Cloud Firewall:Inspeção TLS

Riscos de segurança do tráfego criptografado

Risco 1: Ataques avançados e violações de dados passam despercebidos pelo IPSAtacantes utilizam túneis HTTPS para entregar payloads maliciosos, exfiltrar dados ou se comunicar com servidores C2. O tráfego criptografado impede que o mecanismo IPS identifique assinaturas de ataque ou vazamentos de dados. A inspeção TLS expõe o tráfego em texto simples e permite que o IPS detecte e bloqueie essas ameaças.

Risco 2: A filtragem web não consegue impor controles no nível de caminho sobre tráfego HTTPSA filtragem web faz a correspondência de nomes de host e caminhos em requisições HTTP (como example.com/upload/*). Sem descriptografia, o firewall lê apenas o domínio a partir do SNI e não extrai os caminhos da URL. Consequentemente, políticas refinadas como "permitir navegação mas negar uploads" falham. A inspeção TLS viabiliza a correspondência completa de caminhos no tráfego HTTPS.

Risco 3: A precisão na identificação de aplicações diminui sob criptografia e limita a granularidade do controleO controle de aplicações usa inspeção profunda de pacotes (DPI) para identificar aplicações com base nos dados do payload. Sem descriptografia, o DPI depende apenas de informações de handshake, como SNI e certificados. Isso torna impossível distinguir comportamentos sob o mesmo domínio (por exemplo, "navegar no GitHub" versus "fazer upload para o GitHub"). A inspeção TLS fornece visibilidade total do tráfego para identificar comportamentos com precisão.

Etapa 1: Configurar uma política de inspeção TLS

Na página TLS Inspection, clique em Create TLS Inspection Policy acima da lista de políticas. O painel lateral Create TLS Inspection Policy será exibido à direita.

1. Associate Certificate.

   Parâmetro	Descrição
   Policy Name	Insira um nome descritivo para a política.
   Associate TLS Certificate	Selecione um certificado existente. Nota Ao criar sua primeira política, o menu suspenso de certificados inclui a opção Apply for a Trial Certificate. Clique nela para gerar um certificado de teste destinado à avaliação da inspeção TLS. Um certificado de teste só pode ser usado uma vez. Em ambientes de produção, adquira e utilize seu próprio certificado. Atualmente, apenas certificados PCA são suportados. O certificado deve atender aos seguintes requisitos: A finalidade do certificado deve estar definida como "Internal enterprise use". Certificados com algoritmos criptográficos chineses não são suportados. Caso utilize o algoritmo de chave privada RSA, o comprimento da chave deve ser de pelo menos 2048 bits. Caso utilize o algoritmo de chave privada ECC, selecione P-256. Se não houver certificados disponíveis, clique em Buy Certificate para acessar o console do Certificate Management Service. Ao adquirir o certificado, certifique-se de que a finalidade do certificado PCA esteja definida como "Internal enterprise use". O que é um certificado PCA?.
   Certificate Validity	Exibe o período de validade do certificado após a seleção. Um aviso aparece quando a validade restante cai para menos de um ano. Garanta que os certificados mantenham pelo menos um ano de validade.
   Description	Insira uma descrição para a política.

   Após configurar os parâmetros, clique em Next para prosseguir para a etapa Configure Inspection Range. A política é criada e salva ao avançar para a próxima etapa.

2. Configure Inspection Range.

   Importante

   • A cota total para todos os intervalos de inspeção é de 20.000.

   • A cota consumida por uma única política de inspeção TLS corresponde à soma das cotas de todos os seus intervalos de inspeção.

   • Um único intervalo de inspeção consome cota calculada da seguinte forma: número de endereços IP de origem × número de faixas de portas de origem × número de endereços IP de destino × número de faixas de portas de destino.

   Parâmetro	Descrição
   Protocol Type	Atualmente, apenas o protocolo TCP é suportado.
   Source IP Address	Selecione endereços IP de host para inspeção de tráfego de saída. Máximo: 1.000 endereços. Nota Tipos de ativos suportados: ECS EIP, ECS public IP, NAT EIP, EIP e ENI EIP.
   Source Port	Especifique as portas no formato start port/end port. Faixa válida: 0-65535. Separe múltiplas faixas com vírgulas. Máximo: 100 faixas. Nota Todas as portas usam o formato de faixa, mesmo para uma única porta. Por exemplo, 8080/8080 verifica apenas a porta 8080. Para verificar todas as portas, use 0/65535.
   Destination IP Address	Endereços IP de destino acessados pelos hosts de origem. Nota É necessário usar endereços IPv4 ou faixas de endereços em notação CIDR. Exemplo: 192.0.2.0/24,8.8.8.8/32. É possível inserir até 100 objetos de endereço IP. Separe múltiplos objetos com vírgulas (,). Para representar todos os endereços, use 0.0.0.0/0.
   Destination Port	Portas de serviço de destino. Formato: start port/end port. Faixa válida: 0-65535. Separe múltiplas faixas com vírgulas. Máximo: 100 faixas.
   Description	Insira uma descrição para o intervalo de inspeção.
   Outras operações	Salvar: Clique em Save abaixo da seção Inspection Scope para salvar o intervalo de inspeção sem clicar em Next. Após salvar o escopo, Saved aparece no canto superior direito da seção. Adicionar: Clique em Add an inspection range para adicionar outro intervalo de inspeção. Uma única política suporta até 10 intervalos de inspeção. Excluir: Clique no ícone no canto superior direito da seção Inspection Scope para excluir o intervalo de inspeção atual. Após confirmar a exclusão, o intervalo é removido imediatamente, sem necessidade de clicar em Next. Utilize esta opção com cautela.

   Após configurar os parâmetros, clique em Next para concluir a configuração da política.

3. Revise as informações da política.

   Após a configuração da política, os detalhes dela e de seu intervalo de inspeção são exibidos. O Policy ID está incluído nos logs.

Etapa 2: Instalar o certificado TLS

Instale o certificado associado em todos os hosts dentro do escopo de inspeção.

1. Baixe o certificado.

   

   Na lista Configure TLS Inspection Policy, localize a política criada e clique em Download Certificate na coluna Actions à direita. O certificado será baixado para sua máquina local. Descompacte o pacote para obter o arquivo de certificado (.crt).

2. Faça login no host do IP de origem.

   Acesse o host especificado como Source IP Address durante a criação do Inspection Scope. Carregue o certificado em qualquer diretório do host. Métodos para transferência de arquivos.

3. Instale o certificado.

   Copie o certificado para o repositório de confiança do sistema operacional e execute o comando de atualização. Os passos variam conforme o sistema operacional.

   Nota

   • Se sua política TLS utilizar um certificado de CA subordinada, é necessário instalar tanto a CA raiz quanto a CA subordinada.

   • Os exemplos a seguir aplicam-se a cenários onde o repositório de confiança é o repositório do sistema. Caso sua aplicação utilize um repositório diferente, instale o certificado no repositório correto.

   CentOS/Alibaba Cloud Linux/Anolis/Red Hat

   1. Copie o arquivo de certificado: cp <certificate_file_name> /etc/pki/ca-trust/source/anchors/

   2. Atualize os certificados: sudo update-ca-trust

   3. Visualize o certificado atualizado: cat /etc/ssl/certs/ca-bundle.crt

      Se a saída exibir o conteúdo do certificado, a instalação foi bem-sucedida.

      

   Ubuntu

   1. Copie o arquivo de certificado: cp <certificate_file_name> /usr/local/share/ca-certificates/

   2. Atualize os certificados: sudo update-ca-certificates

   3. Visualize o certificado atualizado:cat /etc/ssl/certs/ca-certificates.crt

      Se a saída exibir o conteúdo do certificado, a instalação foi bem-sucedida.

      

   Windows

   Importante

   • Ao utilizar um certificado que referencia uma CA subordinada (CA intermediária), o Gerenciador de Certificados nativo do Windows não instala todas as CAs de um arquivo de cadeia de certificados de uma só vez. Ele instala apenas a primeira CA do arquivo. Nesse cenário, divida manualmente cada bloco de conteúdo de CA em um arquivo separado e instale cada arquivo individualmente.

   • Divida o certificado abrindo o arquivo baixado e descompactado em um editor de texto, recortando o bloco de conteúdo de -----BEGIN CERTIFICATE----- até -----END CERTIFICATE----- e salvando-o como um novo arquivo com extensão .crt.

     

     Após a divisão:

   1. Instale o certificado: Clique com o botão direito no arquivo de certificado e clique em Install Certificate. Em seguida, siga estes passos:

      1	2	3

      Clique em Next para concluir a importação do certificado.

   2. Visualize os certificados importados: Insira certmgr.msc no Prompt de Comando para abrir o Gerenciador de Certificados.

      

   SUSE

   1. Copie o arquivo de certificado: cp <certificate_file_name> /etc/pki/trust/anchors

   2. Atualize os certificados: sudo c_rehash .

   3. Visualize o certificado atualizado: sudo trust list --filter=ca-anchors |grep -C 2 <Certificate CN>

      Se as informações do certificado forem exibidas, a instalação foi bem-sucedida.

      

   Fedora and Fedora CoreOS

   1. Copie o arquivo de certificado: sudo cp <certificate-file-name> /etc/pki/ca-trust/source/anchors/

   2. Atualize os certificados: sudo update-ca-trust extract

   3. Visualize o certificado atualizado: sudo trust list --filter=ca-anchors |grep -C 2 <certificate_CN>

      Se as informações do certificado forem exibidas, a instalação foi bem-sucedida.

      

   Container Service (ACK)

   Quando o tráfego de saída se origina de pods em um cluster ACK, instale o certificado PCA dentro de cada pod, pois o ambiente de contêiner é isolado do host. Se os nós também iniciarem requisições HTTPS (como baixar imagens de um repositório público), instale o certificado também nos nós.

   Nota

   • Os passos a seguir aplicam-se ao Alibaba Cloud Linux 3.2104 LTS 64-bit (otimizado para contêineres) e servem apenas como referência. Ajuste os comandos conforme seu sistema operacional e requisitos de negócio.

   • Alguns dos comandos abaixo reiniciam recursos. Para evitar interrupções nos negócios, recomendamos executar essas operações fora do horário de pico.

   Instalar o certificado nos nós

   Faça login em cada nó e execute os seguintes comandos.

   1. Copie o arquivo de certificado: cp <certificate_file_name> /etc/pki/ca-trust/source/anchors/

   2. Atualize os certificados: sudo update-ca-trust

   3. Visualize o certificado atualizado:cat /etc/ssl/certs/ca-bundle.crt

      Se o conteúdo do certificado for exibido, ele está instalado.

   4. Reinicie o serviço de contêiner para que as alterações tenham efeito: sudo systemctl restart containerd.

   Instalar o certificado nos pods

   1. Crie um Secret no console do cluster de destino. Abaixo está um exemplo de configuração. O valor da chave é o conteúdo do arquivo de certificado. Para detalhes sobre como criar um Secret, consulte Gerenciar Secrets. Alternativamente, execute o seguinte comando kubectl para criar o Secret e obter o mesmo efeito. Substitua ca_chain.crt no comando pelo nome real do arquivo de certificado.

      kubectl create secret generic cfw-pca-cert \
        --from-file=ca_chain.crt=./ca_chain.crt \
        -n default

   2. Para um exemplo de Deployment, adicione o seguinte conteúdo ao seu arquivo YAML:

      1. Navegue até o campo spec.template.spec.containers e adicione o conteúdo abaixo para montar o certificado e atualizar o repositório de confiança. No conteúdo, secretName é o nome do Secret criado na etapa anterior, por exemplo, cfw-pca-cert.

         volumes:
                 - name: custom-ca-volume
                   secret:
                     secretName: cfw-pca-cert   
         volumeMounts:
                 - name: custom-ca-volume
                   mountPath: /etc/ssl/custom
                   readOnly: true  

      2. Continue adicionando o comando de inicialização sob o campo spec.template.spec.containers.

         Nota

         O exemplo a seguir baseia-se no sistema de contêiner CentOS e serve apenas como referência. Ajuste os comandos conforme seu sistema operacional e requisitos de negócio.

         command:
                   - "/bin/sh"
                   - "-c"
                   - |
                     # 1. Install curl.
                     echo "Installing curl......"
                     yum install -y curl
         
                     # 2. Verify that the certificate is mounted. Replace ca_chain.crt with the actual certificate filename.
                     if [ ! -f /etc/ssl/custom/ca_chain.crt ]; then
                       echo "ERROR: Certificate file not found!"
                       exit 1
                     fi
         
                     # 3. Inject the certificate based on the steps for CentOS.
                     echo "Copying certificate to anchors directory..."
                     cp /etc/ssl/custom/ca_chain.crt /etc/pki/ca-trust/source/anchors/
         
                     echo "Updating CA trust store..."
                     update-ca-trust        
         
                     # 4. Keep the pod running.
                     echo "Pod ready for manual testing. Use 'kubectl exec' to test further."
                     sleep infinity

Etapa 3: Ativar a inspeção e consultar logs de tráfego

1. Após instalar os certificados em todos os hosts, ative a política.

   Importante

   Ao ativar a inspeção TLS, a proteção para novas conexões entra em vigor em cerca de um minuto. Conexões persistentes existentes não são afetadas e não serão protegidas.

   Para EIPs que já estão protegidos e têm a inspeção TLS ativada, desativar a inspeção TLS interrompe as conexões persistentes. A duração da interrupção depende do tempo de reconexão da sua aplicação.

   

   A página TLS Inspection lista todas as políticas. Alterne o switch de status para ativar uma política. Uma vez ativada, o Cloud Firewall inspeciona o tráfego criptografado de saída conforme sua configuração.

   Nota

   Só é possível excluir uma política quando ela estiver desativada.

2. Consulte os logs de tráfego.

   Depois que os hosts inspecionados gerarem tráfego, no painel de navegação à esquerda do console do Cloud Firewall, escolha Detection & Response > Log Audit.

   Na aba Traffic Logs > Internet Firewall, consulte o tráfego gerado pelos hosts, incluindo a política de inspeção TLS e o intervalo de inspeção correspondentes.

   Os logs exibem os IDs da política e do intervalo de inspeção.