Cloud Firewall:Attack prevention FAQ

Causa

Cuando Security Center busca vulnerabilidades en aplicaciones, simula ataques desde internet. Estas simulaciones pueden activar las directivas de prevención de ataques o de control de acceso de Cloud Firewall.

Solución

Si ejecuta un escaneo de vulnerabilidades, agregue las direcciones IP de Security Center y de otros escáneres a la lista de permitidos de prevención de ataques en Cloud Firewall. Para consultar la lista de direcciones IP de los escáneres que utiliza Security Center, consulte Web scanner IP addresses for application vulnerabilities. Para conocer cómo configurar una lista de permitidos de prevención de ataques en Cloud Firewall, consulte Configure whitelists. También puede agregar las direcciones IP del escáner de Security Center a una libreta de direcciones y luego hacer referencia a dicha libreta en la lista de permitidos. Para saber cómo crear una libreta de direcciones, consulte Address books.

Causa

• Los interruptores de Basic Protection, Virtual Patches o Threat Intelligence están desactivados.

• Se configuró una lista de permitidos que autoriza el tráfico coincidente.

• Aunque el motor de amenazas está en Block Mode, la regla que coincide con el tráfico de ataque solo admite observación (monitoreo del tráfico sin importar el nivel de Block Mode), o bien su acción personalizada está establecida como observe.

Solución

• Habilite Basic Protection, Virtual Patches y Threat Intelligence. Para obtener más información, consulte Advanced prevention configuration.

• Revise sus listas de permitidos. Para obtener más información, consulte Configure whitelists.

• Modifique el Block Mode y la acción actual. Para obtener más información, consulte IPS Configuration.

Cloud Firewall solo obtiene muestras de ataque para el tráfico que coincide con reglas de Basic Protection o de Virtual Patches. Existen dos formas de obtener una muestra de ataque:

• En la Intrusion Prevention, haga clic en Details junto a un evento. El campo Payload Content que aparece en el panel Attack Payload corresponde a la muestra de ataque.

• En la pestaña Traffic Logs de la Log Audit, cambie All Sources por Basic Protection o Virtual Patches. Después, localice el registro correspondiente y haga clic en Obtain Attack Sample dentro de la columna Actions.

Conforme los ejercicios de ataque y defensa se vuelven más sistemáticos, generalizados y habituales, los atacantes adoptan métodos más sigilosos, como el phishing, los ataques a la cadena de suministro y los ataques watering hole. La cadena de eliminación cibernética describe las etapas de un ataque y ofrece oportunidades de detección y respuesta en cada paso. Aplicar este modelo para evitar infiltraciones en la red requiere capacidades sólidas de inteligencia y análisis de datos. Cloud Firewall mejora sus capacidades de detección y respuesta mediante la reducción de la superficie de ataque, la respuesta rápida ante ataques, la detección de brechas y el rastreo de registros.

• Reducir la superficie de ataque: identifique sus recursos expuestos a internet y utilice directivas de control de acceso entrante y saliente para disminuir la superficie de ataque de su red. Para obtener más información, consulte Access Control.

• Respuesta rápida ante ataques: el sistema de prevención de intrusiones (IPS) y Virtual Patches interceptan los ataques automáticamente. Threat Intelligence proporciona visibilidad sobre las tendencias de ataque en toda la red, lo que ayuda a bloquear actividades de escaneo e intrusión. Para obtener más información, consulte Intrusion Prevention y IPS Configuration.

• Detección de brechas: analice, localice y rastree los ataques para responder y corregir a tiempo. La detección de conexiones salientes proporciona datos en tiempo real sobre la actividad saliente de sus hosts, lo que le permite gestionar rápidamente los hosts sospechosos. Las funciones de proxy directo seguro y de directiva inteligente le permiten controlar y proteger el tráfico que va de su red interna hacia internet. Para obtener más información, consulte Breach awareness.

• Rastreo de registros: el motor de detección de amenazas identifica y registra información detallada sobre las intrusiones. Con un servicio de registros, usted analiza a fondo los registros de acceso y de prevención de ataques recopilados, rastrea amenazas y automatiza la gestión de alertas. Para obtener más información, consulte Log Audit.

Implementación de la detección de brechas

Las amenazas en la nube son cada vez más diversas y complejas. Amenazas avanzadas como los ataques de amenaza persistente avanzada (APT) representan retos importantes. Un host comprometido es una máquina controlada por un atacante que sirve como punto intermedio para infiltrarse en otros hosts de la red interna. Según el modelo de cadena de eliminación cibernética, después de la fase de explotación, el atacante continúa con la instalación, el comando y control, la obtención de datos y el movimiento lateral. La función de detección de brechas ayuda a analizar, localizar y rastrear los ataques. Esto permite responder y corregir a tiempo para minimizar el impacto del ataque. El motor de detección de amenazas de Cloud Firewall identifica y registra información detallada sobre las intrusiones. La función de detección de conexiones salientes muestra datos en tiempo real sobre la actividad saliente de sus hosts, lo que facilita identificar rápidamente cualquier comportamiento sospechoso.

Configuración de directivas de seguridad

• Configure directivas de control de acceso norte-sur en Cloud Firewall para reducir su superficie de ataque. Para obtener más información, consulte Configure access control policies for an Internet firewall.

• Habilite la función Intrusion Prevention (IPS) de Cloud Firewall para interceptar intrusiones provenientes de internet hacia sus hosts en la nube. Para obtener más información, consulte IPS Configuration.

• Utilice las funciones de proxy directo seguro y de directiva inteligente para controlar y proteger el tráfico que va de su red interna hacia internet. Para obtener más información, consulte Access Control.

• Monitoree y gestione oportunamente las alertas de Cloud Firewall relacionadas con la detección de conexiones salientes y la detección de brechas. Para obtener más información, consulte Alert Notifications.