인터넷 및 WAN 방화벽 정책을 위한 권장 사항

규칙을 만들 때 구체적이고 독특한 규칙 이름을 지정합니다． 자체 설명 규칙 이름을 사용하면 팀의 다른 관리자가 규칙의 목적을 쉽게 이해할 수 있습니다． 잘못된 이름의 규칙은 실수를 초래하고 혼란을 초래할 수 있습니다．

예를 들어, 도박 웹사이트를 차단하는 인터넷 방화벽 규칙을 도박 차단으로 명명하고 불명확한 차단된 웹사이트 대신 사용할 수 있습니다.

각각의 개별 방화벽 규칙을 비활성화하거나 활성화할 수 있습니다. 그러나 규칙을 짧은 시간 동안만 비활성화할 것을 권장합니다. 오래되었거나 더 이상 사용되지 않는 규칙은 비활성화하지 말고 규칙 기반에서 삭제하십시오. 비활성화된 규칙은 규칙 기반을 더 복잡하게 만들고 관리하기 어렵게 만듭니다.

방화벽 규칙을 만들 때 사용자 또는 사이트 그룹을 사용하여 이 그룹의 멤버에 대해 네트워크 접근을 제한합니다. 예를 들어, 사용자 그룹(자원 > 그룹)을 생성하고 이 그룹에 대해서만 인터넷 액세스를 차단할 수 있습니다．

인터넷 액세스를 허용하는 규칙의 경우 특정 사이트, 호스트 또는 사용자를 소스 열에 선택하는 것이 좋으며 어떤 옵션을 사용하지 않는 것을 추천합니다． 인터넷으로의 모든 트래픽을 허용하는 규칙은 예기치 않은 소스로부터의 트래픽을 허용하기 때문에 잠재적인 보안 위험이 됩니다．

다음 스크린샷은 소스 열이 모든 사이트 및 모든 SDP 사용자 그룹으로 설정된 규칙을 보여주며 어떤 대신 사용되었습니다:

특정 서비스나 포트에 대해 모든 인터넷 아웃바운드 트래픽을 허용하는 방화벽 규칙을 구성해야 하는 경우, 잠재적 보안 위험이 있는 카테고리나 애플리케이션을 차단할 것을 권장합니다．

예를 들어, 모든 HTTP 트래픽을 허용하는 규칙이 있는 경우, 다음과 같은 카테고리에 대한 예외를 규칙에 추가하십시오: 속임수, 도박, 폭력과 증오, 주차된 도메인, 나체, 무기, 성교육, 사이비 종교, 그리고 익명화 도구． 이러한 것은 악성 콘텐츠를 포함할 수 있는 카테고리 예시이며, 이러한 카테고리에 대한 예외는 인터넷 액세스를 차단합니다．

일반적으로 인터넷 트래픽을 허용하는 규칙의 경우 일반 평문 프로토콜 대신 보안, 암호화된 프로토콜을 사용할 것을 권장합니다. 예를 들어, FTP 대신 FTPS를 사용하고, Telnet 또는 SNMP 대신 SSH를 사용하십시오． 보안 프로토콜로 허용되는 인터넷 트래픽은 암호화되어 해커가 인터셉트하고 해독하기 매우 어렵습니다.

보안 위험이 적은 웹사이트에 액세스를 허용하는 규칙이 있는 경우, 프롬프트 작업을 허용 대신 사용할 것을 권장합니다． 사용자가 이러한 웹사이트 중 하나에 액세스하려고 시도하면, 프롬프트 작업은 사용자를 웹 페이지로 리디렉션하여 계속할지 여부를 결정합니다． 이러한 웹사이트는 네트워크에 보안 위험을 추가하기 때문에, 이 규칙과 일치하는 트래픽 이벤트를 추적할 것을 권장합니다．

프롬프트 작업이 올바르게 작동하려면, 지원되는 모든 장치에 카토 인증서를 설치할 것을 권장합니다．

HTTP 및 HTTPS 트래픽을 허용할 때, 리스크가 높거나 부적절한 콘텐츠를 포함하는 웹사이트를 차단할 것을 권장합니다． 이러한 웹사이트는 일반적으로 기업에 의해 차단되며, 멀웨어의 잠재적인 출처가 될 수도 있습니다． 각 카테고리 (자원 > 카테고리)는 다양한 웹사이트와 앱을 포함하고 있으며, 이를 규칙에 쉽게 추가할 수 있습니다． 카테고리에는 예를 들어 Botnets, Compromised, Porn, Keyloggers, Malware, Phishing, Spyware, Illegal Drugs, Hacking, SPAM 및 Questionable이 포함됩니다.

규칙 베이스의 맨 위에 모든 DNS 서비스를 인터넷 트래픽의 일부로 허용하는 규칙이 있는지 확인하십시오．

다음 스크린샷은 DNS 트래픽을 허용하는 예시 규칙을 보여줍니다：

계정에서 사용하는 서비스 중 인터넷 접근이 필요한 것은 허용하는 규칙을 만듭니다． 또한, 특정 사이트에서만 사용하는 서비스가 있다면, 그 사이트에만 접근을 허용하는 별도의 규칙을 만들 수 있습니다．

귀사의 조직에서 사용하는 애플리케이션을 미리 정의된 애플리케이션 목록에서 인터넷 방화벽 규칙에 추가하십시오． Cato는 이 목록을 지속적으로 업데이트하여 새로운 애플리케이션을 포함시킵니다． 목록에 없는 애플리케이션이 필요하면 사용자 정의 애플리케이션을 정의할 수 있습니다． 사용자 정의 앱 구성에 대한 자세한 정보는 사용자 정의 앱 작업을 참조하십시오.

Telnet 및 SNMP v1 & v2와 같은 서비스는 잠재적인 보안 위험이며 인터넷 규칙베이스에서 차단할 수 있습니다． 귀 조직이 이러한 서비스에 대한 액세스를 요구한다면, 특정 사용자나 그룹에 대해 차단 규칙에 예외를 추가할 것을 권장합니다．

다음 스크린샷은 IT부서에 대해 허용을 설정한 Telnet과 SNMP 트래픽을 차단하는 예시 규칙을 보여줍니다：

카테고리 미분류에는 카테고리 목록의 기존 카테고리에 할당되지 않은 웹사이트가 포함됩니다． 이 웹사이트들은 네트워크에 잠재적인 보안 위험이 될 수 있습니다． 모든 인터넷 트래픽에 대해 미분류 카테고리를 차단하는 규칙을 만드십시오．

또한 Cato의 RBI 서비스를 사용하여 미분류 사이트에 대한 안전한 액세스를 활성화할 수 있습니다． RBI에 대한 자세한 내용은 원격 브라우저 격리를 통한 브라우징 세션 보안을 참조하십시오.

여러 국가가 악성 트래픽을 생성하는 것으로 알려져 있습니다. 귀하의 조직이 이러한 국가와 사업을 하지 않는다면, 인터넷 접근을 차단하고 잠재적인 악성 트래픽을 줄일 것을 권장합니다. 지정된 국가로의 인터넷 트래픽을 차단하기 위해 앱/카테고리 섹션의 국가 설정을 사용하는 규칙을 생성할 수 있습니다.

특정 국가의 트래픽을 차단하고 특정 FQDN에 대한 접근을 허용하려면, 해당 FQDN을 허용 작업과 함께 포함한 규칙을 생성하십시오. 그런 다음 국가를 차단하는 낮은 우선순위의 규칙을 생성하십시오. 

WAN 방화벽의 황금 규칙은 원하는 트래픽만 허용하는 것입니다． 이러한 허용 규칙의 경우 사용되는 특정 서비스 및 포트를 추가하여 WAN 방화벽에 대해 향상된 보안 연결성을 제공합니다.

다음 스크린샷은 모든 ZTNA 사용자가 데이터센터 사이트에 액세스할 수 있도록 하는 WAN 방화벽 규칙 샘플을 보여줍니다. 이 규칙은 ZTNA 사용자에 대해서만 RDP 트래픽을 허용하므로 보안이 향상됩니다.

WAN 방화벽 규칙에서 소스 또는 목적지에 대한 접근을 허용하는 경우 특정 사이트와 사용자에 비해 보안이 낮습니다． 보다 구체적인 설정은 계정의 WAN 연결성을 제어할 수 있는 권한을 증가시켜 줍니다．

다음 스크린샷은 소스 및 목적지 설정에 특정 사이트를 사용하는 WAN 방화벽 규칙의 예시를 보여줍니다：

허용 목록 WAN 방화벽의 강력한 보안 정책에는 조직에서 사용하는 특정 서비스 및 애플리케이션만 허용하는 규칙이 포함됩니다． 사이트 간 트래픽을 위한 모든 서비스를 허용하는 규칙을 사용하는 대신, 이 규칙에 서비스 또는 애플리케이션을 추가하십시오． 서비스가 포트보다 더 구체적이기 때문에, 가능한 경우 포트 대신 서비스를 사용하여 규칙을 정의하는 것이 좋습니다．

조직에서 자주 사용하는 서비스의 예로는 DNS, DHCP, SMB, 데이터베이스, Citrix, RDP, DCE/RPC, SMTP, FTP, ICMP, NetBIOS, NTP, SNMP 등이 있습니다．

조직에서 자주 사용하는 애플리케이션의 예로는 SharePoint, Slack, Citrix ShareFile 등이 있습니다．

또한 WAN 방화벽의 모든 애플리케이션과 서비스를 포함하는 사용자 정의 카테고리를 생성한 후 해당 사용자 정의 카테고리를 관련 규칙에 추가할 수 있습니다. 방화벽에 사전 정의되지 않은 애플리케이션 또는 서비스에 대해 사용자 정의 애플리케이션을 사용하십시오． 이렇게 하면 이벤트에 애플리케이션 이름이 포함되어 더 나은 분석이 가능합니다．

차단 목록 WAN 방화벽의 경우, 강력한 보안 정책을 만들기 위해 최종 모든 모든 허용 규칙 위에 다음 규칙을 추가하는 것이 좋습니다.