Cloud Firewall:Attack prevention FAQ

Causa

Durante a varredura de vulnerabilidades de aplicativos, o Security Center simula ataques baseados na internet que podem acionar as políticas de prevenção de ataques ou de controle de acesso do Cloud Firewall.

Solução

Ao realizar uma varredura de vulnerabilidades, adicione os endereços IP do Security Center e de outros scanners à lista de permissões de prevenção de ataques no Cloud Firewall. Para obter a lista de endereços IP dos scanners usados pelo Security Center, consulte Endereços IP de scanners da Web para vulnerabilidades de aplicativos. Para instruções sobre como configurar uma lista de permissões de prevenção de ataques no Cloud Firewall, consulte Configurar listas de permissões. Também é possível adicionar os endereços IP do scanner do Security Center a um catálogo de endereços e referenciá-lo na lista de permissões. Para instruções sobre como criar um catálogo de endereços, consulte Catálogos de endereços.

Causa

• As chaves de Proteção Básica, Patches Virtuais ou Inteligência contra Ameaças estão desativadas.

• Existe uma lista de permissões configurada para permitir o tráfego correspondente.

• Embora o mecanismo de ameaças esteja definido como Modo de Bloqueio, a regra correspondente ao tráfego de ataque suporta apenas observação (monitoramento de tráfego independentemente do nível do Modo de Bloqueio) ou sua ação personalizada está definida como observar.

Solução

• Ative a Proteção Básica, os Patches Virtuais e a Inteligência contra Ameaças. Para mais informações, consulte Configuração avançada de prevenção.

• Verifique suas listas de permissões. Para mais informações, consulte Configurar listas de permissões.

• Altere o Modo de Bloqueio e a ação atual. Para mais informações, consulte Configuração do IPS.

O Cloud Firewall obtém amostras de ataque apenas para tráfego que corresponde a regras de Proteção Básica ou Patches Virtuais. Há duas maneiras de obter essa amostra:

• Na página Intrusion Prevention, clique em Details referente a um evento. O Payload Content exibido no painel Attack Payload corresponde à amostra de ataque.

• Na aba Traffic Logs da página Log Audit, defina All Sources como Basic Protection ou Virtual Patches. Em seguida, localize a entrada de log relevante e clique em Obtain Attack Sample na coluna Actions.

Com a sistematização e a rotina dos exercícios de ataque e defesa, os invasores adotam métodos mais furtivos, como phishing, ataques à cadeia de suprimentos e ataques watering hole. A cyber kill chain descreve as etapas de um ataque, oferecendo oportunidades de detecção e resposta em cada fase. A aplicação desse modelo para evitar infiltrações na rede exige capacidades robustas de inteligência e análise de dados. O Cloud Firewall aprimora suas capacidades de detecção e resposta por meio da redução da superfície de ataque, resposta rápida a ataques, conscientização sobre violações e rastreamento de logs.

• Redução da superfície de ataque: identifique seus ativos expostos à internet e utilize políticas de controle de acesso de entrada e saída para diminuir a superfície de ataque da sua rede. Para mais informações, consulte Controle de Acesso.

• Resposta rápida a ataques: o Sistema de Prevenção de Intrusões (IPS) e os Patches Virtuais interceptam ataques automaticamente. A Inteligência contra Ameaças fornece visibilidade sobre tendências de ataque em toda a rede, ajudando a bloquear atividades de varredura e intrusão. Para mais informações, consulte Prevenção de Intrusões e Configuração do IPS.

• Conscientização sobre violações: analise, localize e rastreie ataques para garantir resposta e correção ágeis. A detecção de conexões de saída fornece dados em tempo real sobre as atividades externas dos seus hosts, permitindo o tratamento imediato de hosts suspeitos. Os recursos de proxy direto seguro e política inteligente possibilitam o controle e a proteção do tráfego da sua rede interna para a internet. Para mais informações, consulte Conscientização sobre violações.

• Rastreamento de logs: o mecanismo de detecção de ameaças identifica e registra informações detalhadas sobre intrusões. Ao utilizar um service de log, você realiza análises profundas e rastreamento de ameaças nos logs de acesso e de prevenção de ataques coletados, além de automatizar o tratamento de alertas. Para mais informações, consulte Auditoria de Logs.

Implementação da conscientização sobre violações

As ameaças na cloud tornam-se cada vez mais diversas e complexas, e ameaças avançadas, como ataques de ameaça persistente avançada (APT), representam desafios significativos. Um host comprometido é uma máquina controlada por um invasor, que pode servir de ponto de partida para infiltrar outros hosts na rede interna. De acordo com o modelo da cyber kill chain, após a fase de exploração, o invasor pode prosseguir com instalação, comando e controle, aquisição de dados e movimento lateral. O recurso de conscientização sobre violações auxilia na análise, localização e rastreamento de ataques, viabilizando resposta e correção tempestivas para minimizar o impacto do ataque. O mecanismo de detecção de ameaças do Cloud Firewall detecta e registra informações detalhadas sobre intrusões. Já a detecção de conexões de saída exibe dados em tempo real sobre atividades externas dos seus hosts, ajudando a identificar prontamente atividades suspeitas.

Configuração de políticas de segurança

• Configure políticas de Controle de Acesso norte-sul no Cloud Firewall para reduzir sua superfície de ataque. Para mais informações, consulte Configurar políticas de controle de acesso para um firewall da Internet.

• Ative o recurso de Prevenção de Intrusões (IPS) do Cloud Firewall para interceptar intrusões vindas da internet em direção aos seus hosts na cloud. Para mais informações, consulte Configuração do IPS.

• Utilize os recursos de proxy direto seguro e política inteligente para controlar e proteger o tráfego da sua rede interna para a internet. Para mais informações, consulte Controle de Acesso.

• Monitore e trate prontamente os alertas do Cloud Firewall relacionados à detecção de conexões de saída e à conscientização sobre violações. Para mais informações, consulte Notificações de Alerta.