O que é o Firewall WAN Cato?

O Firewall WAN na Cato Cloud controla o acesso a objetos e entidades na sua Rede de Área Ampla (WAN). Configurar a base de regras do firewall WAN para criar uma política de controle de acesso segura e proteger a rede.

O Firewall WAN é parte do Firewall de Próxima Geração (NGFW) integrado na Cato Cloud e permite criar regras para prevenir acesso não autorizado à rede. O Firewall WAN utiliza uma abordagem de lista de permissões, e há uma regra padrão ANY-ANY para bloquear todas as conexões que não são explicitamente permitidas na base de regras.

Use as regras para configurar o firewall para inspecionar todas as conexões e permitir apenas aquelas que correspondem às suas configurações ativadas. O firewall utiliza uma base de regras ordenada. Isso significa que ele começa inspecionando a conexão e verifica se corresponde à primeira regra. Se não, ele continua a aplicar cada regra sequencialmente na conexão até que uma regra corresponda à conexão.

O Firewall WAN também inclui funcionalidade completa de camada 7 com Consciência do Usuário, permitindo regras de acesso de confiança zero para aplicativos específicos no WAN.

Entendendo Insights Autônomos de Firewall

Os Insights Autônomos de Firewall WAN são uma lista de verificações de postura que avaliam sua política de Firewall WAN e mostram como elas cumprem com as recomendações da Cato. Seguir essas recomendações otimiza suas configurações de firewall e melhora a postura de segurança.

Existem dois tipos de insights:

• Ícone de estrela (movido por IA): As regras ativadas na sua política de Firewall WAN são automaticamente analisadas pela Inteligência Artificial (IA) para detectar problemas, por exemplo, regras que podem ser descartadas ou modificadas, como:

  • Regra Temporária: Introduzida como uma solução de curto prazo para abordar uma necessidade imediata. Essas regras são criadas principalmente para funcionar temporariamente enquanto uma solução adequada ou permanente está sendo implementada ou desenvolvida.
  • Regra de Teste: Regras criadas explicitamente para validar, depurar ou experimentar uma funcionalidade ou cenário específico.
  • Regra Expirada ou Regra com Data de Expiração Futura: Regras criadas para atender a uma necessidade específica e têm uma data de corte desejável que já passou ou que ainda não foi alcançada ou não pode ser comprovada/avaliada.

  • Regras Permissivas Demais: Regras que podem ser excessivamente permissivas com base em usuários, hosts, aplicativos ou protocolos definidos para a regra. Este insight utiliza heurísticas topológicas e indica que recomendamos que você remova os itens extras da regra para melhor aderir à sua estratégia de confiança zero.

    Por exemplo: restrinja o acesso do usuário apenas ao sampleAdmin, condicionado por um perfil de postura de dispositivo de confiança zero específico, limite o aplicativo apenas ao RDP, e restrinja o protocolo apenas ao TCP.

  • Regra Não Utilizada: Identifica regras de firewall com uma ação de Permitir que não geraram qualquer evento nos últimos 60 dias.
• Baseada em Configuração: As configurações e configurações em sua política de Firewall de Internet são para garantir que sigam as melhores práticas.

Trabalhando com o Assistente de Configuração de Firewall WAN

O Assistente de Configuração de Firewall WAN revisa autonomamente sua política usando essas verificações e insights. Quando uma verificação falha, você pode revisar e atualizar sua política diretamente no Assistente sem editar regras individuais. Isso ajuda a manter a segurança enquanto simplifica o gerenciamento das políticas. Para mais informações, veja Usando o Assistente de Configuração.

Proteções Anti-Spoofing no Firewall Cato

Uma das funcionalidades básicas de um NGFW é proteger contra ataques de anti-spoofing. Os motores de segurança na Cato Cloud descartam implicitamente qualquer conexão onde o IP de origem esteja fora do escopo da entidade configurada (como local, intervalo de rede, dispositivo ou usuário). Isso bloqueia ataques de anti-spoofing e evita violações da topologia lógica configurada.

O firewall WAN inspeciona conexões sequencialmente e verifica se a conexão corresponde a uma regra. A regra final na base de regras é uma regra de bloqueio padrão ANY-ANY - portanto, se uma conexão não corresponder a uma regra, ela é bloqueada pela regra padrão final. Uma política de controle de acesso forte contém regras de firewall que permitem conexões e tráfego específicos na WAN.

Você pode revisar as configurações da regra padrão na seção Regras Padrão no final da base de regras. Essas configurações de regra não podem ser editadas.

Regras que estão no topo da base de regras têm uma prioridade mais alta porque são aplicadas às conexões antes das regras mais abaixo na base de regras. Por exemplo, se uma conexão corresponder à regra nº 3, a ação é aplicada à conexão, e o firewall para de inspecioná-la. O firewall não continua a aplicar as regras nº 4 e abaixo à conexão. Você pode aumentar a eficiência do firewall WAN e dar alta prioridade às regras que correspondem ao maior número de conexões.

Quando há uma regra com objetos em várias colunas, como um aplicativo e um serviço, há uma relação E entre eles. Por exemplo, se houver uma regra que permita o aplicativo Serviços de Backup para a porta 443, então o tráfego é permitido quando corresponde tanto ao aplicativo quanto à porta.

Para regras que utilizam múltiplos objetos em uma única coluna, como mais de uma porta, há uma relação OU entre eles. Por exemplo, se houver uma regra que permita acesso ao servidor de e-mail para o serviço SMTP e portas 25, 265, 587 e 2525, então o tráfego é permitido quando corresponde ao serviço SMTP ou a qualquer uma das portas.