Paramètres de contrôle d’accès avancé pour l’analyse de réseau et les politiques de prévention d’intrusion

Ce chapitre décrit comment configurer les paramètres avancés pour l’analyse de réseau et les politiques de prévention des intrusions.

Paramètres de contrôle d’accès avancé pour l’analyse de réseau et les politiques de prévention d’intrusion

Les paramètres de contrôle d’accès avancé sont des configurations de détection et de prévention des intrusions qui

  • nécessitent une expertise spécifique pour la configuration,

  • ne nécessitent généralement que peu ou aucune modification, et

  • ne sont pas communes à tous les déploiements.

Compatibilité des versions


Remarque

Snort 2 n’est pas pris en charge sur Threat Defense, version 7.7. Pour en savoir plus sur les fonctionnalités de Snort 2 qui sont prises en charge dans les versions antérieures à 7.7, consultez le guide Firewall Management Center correspondant à votre version Firewall Threat Defense.

Paramètres de contrôle d’accès avancé pour l’analyse de réseau et les politiques de prévention d’intrusion

Les paramètres de contrôle d’accès avancé sont des configurations de détection et de prévention des intrusions qui

  • nécessitent une expertise spécifique pour la configuration,

  • ne nécessitent généralement que peu ou aucune modification, et

  • ne sont pas communes à tous les déploiements.

Compatibilité des versions


Remarque

Snort 2 n’est pas pris en charge sur Threat Defense, version 7.7. Pour en savoir plus sur les fonctionnalités de Snort 2 qui sont prises en charge dans les versions antérieures à 7.7, consultez le guide Firewall Management Center correspondant à votre version Firewall Threat Defense.

Exigences et conditions préalables pour les paramètres de contrôle d’accès avancé pour l’analyse de réseau et les politiques de prévention d’intrusion

Cette référence présente les exigences du système, les conditions préalables aux logiciels et les dépendances de configuration nécessaires pour mettre en œuvre les paramètres de contrôle d’accès avancé pour l’analyse du réseau et les politiques de détection d’intrusion dans les environnements Cisco Secure Firewall.

Prise en charge des modèles

Tout.

Domaines pris en charge

N’importe quel

Rôles de l’utilisateur

  • Admin

  • Administrateur d’accès

  • Administrateur de réseau

Inspection des paquets qui passent avant que le trafic ne soit identifié

L’inspection des paquets qui passent avant que le trafic ne soit identifié est un processus de sécurité réseau qui

  • permet à quelques paquets de passer initialement pour l’établissement de la connexion et l’identification du trafic,

  • permet à des fonctionnalités telles que le filtrage d’URL, la détection des applications, la limitation de débit, et le contournement intelligent des applications de fonctionner correctement, et

  • nécessite une configuration explicite dans les stratégies de contrôle d’accès pour inspecter et bloquer ces paquets initiaux et générer des incidents à leur sujet.

Exigences de configuration

Vous devez configurer explicitement votre politique de contrôle d’accès pour inspecter ces paquets, les empêcher d’atteindre leur destination et générer des événements.

Dès que le système identifie la règle de contrôle d’accès ou l’action par défaut qui doit gérer la connexion, les paquets restants de la connexion sont gérés et inspectés en conséquence.

Bonnes pratiques de traitement des paquets qui passent avant l’identification du trafic

L’action par défaut spécifiée pour une politique de contrôle d’accès N’EST PAS appliquée à ces paquets.

Utilisez plutôt les lignes directrices suivantes pour choisir une valeur pour la politique de prévention des intrusions utilisée avant la détermination de la règle de contrôle d’accès dans les paramètres avancés de la stratégie de contrôle d’accès.

  • Vous pouvez choisir une politique de prévention des intrusions créée par le système ou personnalisée. Par exemple, vous pouvez sélectionner Sécurité et connectivité équilibrées.

  • Pour des raisons de performance, sauf si vous avez une bonne raison de procéder autrement, ce paramètre doit correspondre aux actions par défaut définies pour votre politique de contrôle d’accès.

  • Si votre système n’effectue pas d’inspection des intrusions (par exemple, dans un déploiement de découverte uniquement), sélectionnez No Rules Active (Aucune règle active). Le système n’inspectera pas ces paquets initiaux et ils seront autorisés à passer.

  • Par défaut, ce paramètre utilise l’ensemble de variables par défaut. Assurez-vous qu’il convient à vos besoins. Pour en savoir plus, consultez Ensembles de variables.

  • La politique d’analyse de réseau associée à la première règle d’analyse de réseau correspondante prétraite le trafic pour la politique que vous sélectionnez. S’il n’y a aucune règle d’analyse de réseau ou qu’aucune règle ne correspond, la politique d’analyse de réseau par défaut est utilisée.

Préciser une politique pour gérer les paquets qui passent avant l’identification du trafic

Cette tâche explique comment préciser le comportement du système pour le trafic réseau pendant la période précédant l’identification du trafic.


Remarque

Ce paramètre est parfois appelé politique de prévention des intrusions par défaut. (à ne pas confondre avec l’action par défaut pour une politique de contrôle d’accès.)


Mise en garde

Modification du nombre total de politiques de prévention des intrusions utilisées par une politique de contrôle d’accès redémarre le processus Snort lorsque vous déployez des modifications de configuration, interrompant temporairement l’inspection du trafic. Selon la façon dont le périphérique attribué traite le trafic, celui-ci peut être abandonné durant l’interruption ou passer sans inspection supplémentaire. Vous pouvez ajouter une politique de prévention des intrusions qui n’est pas actuellement utilisée ou supprimer la dernière instance d’une politique de prévention des intrusions. Les politiques de prévention des intrusions sont utilisées dans les règles de contrôle d’accès, comme action par défaut ou comme politique de prévention des intrusions par défaut.

Before you begin

Passez en revue les bonnes pratiques pour ces paramètres. Consultez Bonnes pratiques de traitement des paquets qui passent avant l’identification du trafic.

Suivez ces étapes pour préciser une politique pour gérer les paquets qui passent avant l’identification du trafic

Procédure

Étape 1

Dans l’éditeur de politique de contrôle d’accès, cliquez sur Advanced (Avancé), puis sur Modifier (icône Modifier) à côté de la section Network Analysis (Analyse du réseau) et Intrusion Policies (Politiques de prévention des intrusions).

Si Afficher (bouton Afficher) apparaît au contraire, les paramètres sont hérités d'une politique ancêtre ou vous n'êtes pas autorisé à modifier la configuration. Si la configuration est déverrouillée, décochez la case Inherit from base policy (hériter de la politique de base) pour activer la modification.

Étape 2

Sélectionnez une politique de prévention des intrusions dans la liste déroulante Politique de prévention des intrusions utilisée avant la détermination de la règle de contrôle d’accès.

Si vous choisissez une politique créée par l’utilisateur, vous pouvez cliquer sur Modifier (icône Modifier) pour modifier la politique dans une nouvelle fenêtre. Vous ne pouvez pas modifier les politiques fournies par le système.

Étape 3

Vous pouvez également sélectionner un autre ensemble de variables dans la liste déroulante Intrusion Policy Variable Set (ensemble de variables de politique de prévention des intrusions). Vous pouvez également sélectionner Modifier (icône Modifier) à côté de l’ensemble de variables pour créer et modifier des ensembles de variables. Si vous ne modifiez pas l'ensemble de variables, le système utilise un ensemble par défaut.

Étape 4

Cliquez sur OK.

Étape 5

Cliquez sur Save (Enregistrer) pour enregistrer la politique.

What to do next

  • Déployer les changements de configuration.

Paramètres avancés pour les politiques d’analyse de réseau

Une politique d’analyse de réseau est une configuration de prétraitement du trafic qui régit la façon dont le trafic est décodé et prétraité afin qu’il puisse être évalué plus en profondeur, en particulier pour détecter un trafic anormal qui pourrait signaler une tentative d’intrusion.

Concepts de configuration avancée

Ce prétraitement de trafic a lieu après la mise en correspondance Security Intelligence et le déchiffrement du trafic, mais avant que les politiques de prévention des intrusions n’inspectent les paquets en détail. Par défaut, la politique d’analyse de réseau Sécurité et connectivité équilibrées fournie par le système est la politique d’analyse de réseau par défaut.


Astuces

La politique d'analyse du réseau de sécurité et de connectivité équilibrée fournie par le système et la politique d'intrusion de sécurité et de connectivité équilibrée fonctionnent ensemble et peuvent toutes deux être mises à jour dans les mises à jour des règles d'intrusion. Cependant, la politique d’analyse de réseau régit principalement les options de prétraitement, alors que la politique de prévention de prévention des intrusions régit principalement les règles de prévention des intrusions.

Un moyen simple de régler le prétraitement consiste à créer et à utiliser une politique d’analyse de réseau personnalisée par défaut. Si vous êtes un utilisateur avancé avec un déploiement complexe, vous pouvez créer plusieurs politiques d'analyse de réseau, chacune étant conçue pour prétraiter le trafic différemment. Ensuite, vous pouvez configurer le système pour utiliser ces politiques et régir le prétraitement du trafic en utilisant différentes zones de sécurité, réseaux ou VLAN.

Pour ce faire, ajoutez des règles d’analyse de réseau personnalisées à votre politique de contrôle d’accès. Une règle d'analyse de réseau est simplement un ensemble de configurations et de conditions qui spécifient la manière dont vous traitez le trafic qui correspond à ces conditions. Vous pouvez créer et modifier les règles d’analyse de réseau dans les options avancées d’une politique de contrôle d’accès existante. Chaque règle n'appartient qu'à une seule politique.

Chaque règle comporte :

  • un ensemble de conditions de règles qui identifient le trafic spécifique que vous souhaitez prétraiter

  • une politique d’analyse de réseau associée que vous souhaitez utiliser pour prétraiter le trafic qui répond à toutes les conditions des règles.

Lorsque vient le temps pour le système de prétraiter le trafic, il fait correspondre les paquets aux règles d’analyse de réseau en ordre descendant par numéro de règle. Le trafic qui ne correspond à aucune règle d’analyse de réseau est prétraité par la politique d’analyse de réseau par défaut.

Définir la politique d’analyse du réseau par défaut

La définition d’une politique d’analyse de réseau par défaut établit le comportement de prétraitement de référence pour l’analyse du trafic réseau au sein de votre politique de contrôle d’accès.

Vous pouvez choisir une politique créée par le système ou par l’utilisateur.


Remarque

Si vous désactivez un préprocesseur, mais que le système doit évaluer les paquets prétraités par rapport à une règle de prévention des intrusions ou de préprocesseur activée, le système active et utilise automatiquement le préprocesseur, bien qu’il reste désactivé dans l’interface Web de la politique d’analyse de réseau. La personnalisation du prétraitement, en particulier de l’utilisation de plusieurs politiques d’analyse de réseau personnalisées, est une tâche avancée. Le prétraitement et l’inspection de prévention des intrusions étant si étroitement liés, vous devez faire attention et autoriser les politiques d’analyse de réseau et de prévention des intrusions examinant un seul paquet à se compléter.

Procédure

Étape 1

Dans l’éditeur de politique de contrôle d’accès, cliquez sur Avancé, puis sur Modifier (icône Modifier) à côté de la section Network Analysis and Intrusion Policies (Analyse de réseau et politiques d'intrusion).

Si Afficher (bouton Afficher) apparaît au contraire, les paramètres sont hérités d'une politique ancêtre ou vous n'êtes pas autorisé à modifier la configuration. Si la configuration est déverrouillée, décochez la case Inherit from base policy (hériter de la politique de base) pour activer la modification.

Étape 2

Dans la liste déroulante Default Network Analysis Policy (Politique d’analyse de réseau par défaut), sélectionnez une politique d’analyse de réseau par défaut.

Si vous choisissez une politique créée par l’utilisateur, vous pouvez cliquer sur Modifier (icône Modifier) pour modifier la politique dans une nouvelle fenêtre. Vous ne pouvez pas modifier les politiques fournies par le système.


Mise en garde

Modification du nombre total de politiques d'analyse de réseau utilisées par une stratégie de contrôle d'accès redémarre le processus Snort lorsque vous déployez des modifications de configuration, interrompant temporairement l’inspection du trafic. Selon la façon dont le périphérique attribué traite le trafic, celui-ci peut être abandonné durant l’interruption ou passer sans inspection supplémentaire.Vous modifiez le nombre total de politiques d'analyse de réseau en ajoutant une politique qui n'est pas utilisée actuellement ou en supprimant la dernière instance d'une politique d'analyse de réseau. Vous pouvez utiliser une politique d’analyse de réseau avec des règles d’analyse de réseau ou comme politique d’analyse de réseau par défaut.

Étape 3

Cliquez sur OK.

Étape 4

Cliquez sur Save (Enregistrer) pour enregistrer la politique.

What to do next

  • Déployer les changements de configuration.

Règles d’analyse du réseau

Une règle d’analyse de réseau est un composant de configuration de prétraitement qui

  • adapte les configurations de prétraitement au trafic réseau dans les paramètres avancés de la stratégie de contrôle d’accès,

  • fait correspondre les paquets en ordre croissant par numéro de règle, en commençant par 1, et

  • prétraite le trafic selon la première règle où toutes les conditions correspondent.

Conditions des règles d’analyse du réseau et mise en correspondance

Vous pouvez ajouter des conditions de zone, de réseau et de balise VLAN à une règle. Si vous ne configurez pas de condition particulière pour une règle, le système ne correspond pas au trafic en fonction de ce critère. Par exemple, une règle avec une condition de réseau, mais aucune condition de zone évalue le trafic en fonction de son adresse IP de source ou de destination, quelle que soit son interface d’entrée ou de sortie. Le trafic qui ne correspond à aucune règle d’analyse de réseau est prétraité par la politique d’analyse de réseau par défaut.

Conditions des règles de politique d’analyse de réseau

Les conditions de règles de politique d’analyse de réseau sont des paramètres de configuration qui vous permettent d’affiner votre politique d’analyse de réseau pour cibler les utilisateurs et les réseaux que vous souhaitez contrôler.

Conditions des règles de zone de sécurité

Une condition de règle de zone de sécurité est un mécanisme de contrôle du trafic réseau qui

  • segmente votre réseau pour vous aider à gérer, classer et déchiffrer le flux de trafic en regroupant les interfaces sur plusieurs périphériques.

  • contrôle ou déchiffre le trafic en fonction de ses zones de sécurité source et de destination, et

  • exige que toutes les interfaces d’une zone soient du même type (toutes en ligne, passives, commutées ou routées).

Correspondance du trafic de condition de zone

Si vous ajoutez des zones de source et de destination à une condition de zone, le trafic correspondant doit provenir d'une interface de l'une des zones de source et passer par une interface de l'une des zones de destination pour correspondre à la règle.

Toutes les zones utilisées dans une condition de zone doivent être du même type. Comme les périphériques déployés de manière passive ne transmettent pas le trafic, vous ne pouvez pas utiliser une zone avec des interfaces passives comme zone de destination.

Dans la mesure du possible, réduisez le nombre de critères de correspondance, en particulier pour les périmètres de sécurité, les objets réseau et les objets portuaires. Lorsque vous précisez plusieurs critères, le système doit être en correspondance avec l’ensemble des contenus du critères que vous précisez.


Astuces

Restreindre les règles par zone est l’un des meilleurs moyens d’améliorer les performances du système. Si une règle ne s’applique pas au trafic via l’une des interfaces de périphérique, cette règle n’affecte pas les performances de ce périphérique.

Conditions de zone de sécurité dans les environnements multidomaine

Dans un déploiement multidomaine, une zone créée dans un domaine ascendant peut contenir des interfaces qui résident sur des périphériques dans différents domaines. Lorsque vous configurez une condition de zone dans un domaine descendant, vos configurations s’appliquent uniquement aux interfaces que vous pouvez voir.

Conditions des règles de réseau

Une condition de réseau est un critère de correspondance de trafic qui

  • contrôle ou déchiffre le trafic en fonction des adresses IP source et de destination à l’aide d’en-têtes de paquets internes,

  • permet aux administrateurs de spécifier des adresses IP exactes ou des blocs pour l’application des politiques granulaires, et

  • peut être créée à l’aide d’objets réseau prédéfinis ou en saisissant manuellement des adresses IP ou des blocs d’adresses.

Restrictions des conditions des règles de réseau

Dans la mesure du possible, réduisez le nombre de critères de correspondance, en particulier pour les périmètres de sécurité, les objets réseau et les objets portuaires. Lorsque vous précisez plusieurs critères, le système doit être en correspondance avec l’ensemble des contenus du critères que vous précisez.


Remarque

vous ne pouvez pas utiliser des objets réseau FDQN dans les règles d'identité.

Conditions des règle des balises VLAN

Les conditions de règle des balises VLAN sont des mécanismes de filtrage qui

  • contrôlent le trafic balisé VLAN, y compris le trafic Q-in-Q (VLAN empilés)

  • utilisent la balise VLAN la plus interne pour filtrer le trafic VLAN, à l’exception de la politique de préfiltre, qui utilise la balise VLAN la plus externe, et

  • s’appliquent uniquement aux ensembles en ligne et ne correspondent pas au trafic sur les interfaces de pare-feu.

Détails de la configuration des conditions de règle de balise VLAN

Remarque

Les balises VLAN dans les règles d’accès s’appliquent uniquement aux ensembles en ligne. Les règles d’accès avec des balises VLAN ne correspondent pas au trafic sur les interfaces de pare-feu.

Le système utilise la balise VLAN la plus à l’intérieur pour filtrer le trafic VLAN, à l’exception de la politique de préfiltre, qui utilise la balise VLAN la plus à l’extérieur dans ses règles.

Notez cette prise en charge de Q-in-Q :

  • Firewall Threat Defense sur les périphériques Firepower 4100/9300 : ne prend pas en charge Q-in-Q (ne prend pas en charge une seule balise VLAN).

  • Firewall Threat Defense Pour tous les autres modèles :

    • Ensembles en ligne et interfaces passives : prend en charge Q-in-Q, jusqu’à 2 balises VLAN.

    • Interfaces de pare-feu : ne prennent pas en charge Q-in-Q (ne prend en charge qu'une seule balise VLAN).

Vous pouvez utiliser des objets prédéfinis pour créer des conditions VLAN ou saisir manuellement une balise VLAN entre 1 et 4094. Utilisez un tiret pour spécifier une plage de balises VLAN.

Dans une grappe, si vous rencontrez des problèmes de correspondance VLAN, modifiez les options avancées de la politique de contrôle d’accès, les paramètres de préprocesseur de transport/réseau, et sélectionnez l’option Ignore the VLAN header when tracking connections (Ignorer l'en-tête VLAN lors du suivi des connexions).

Configuration des règles d'analyse du réseau

Les règles d’analyse de réseau vous permettent de préciser quelle politique d’analyse de réseau doit prétraiter le trafic qui correspond à des conditions spécifiques, fournissant un contrôle fin sur l’inspection du trafic avant la détection des intrusions.

Les règles d’analyse de réseau sont configurées dans les paramètres avancés d’une politique de contrôle d’accès. Vous pouvez créer des règles personnalisées pour appliquer différentes politiques d’analyse de réseau en fonction des conditions de trafic telles que la source, la destination, les ports ou les applications.

Before you begin

Suivez les étapes suivantes pour configurer les règles d’analyse du réseau :

Procédure

Étape 1

Dans l’éditeur de politique de contrôle d’accès, cliquez sur Avancé, puis sur Modifier (icône Modifier) à côté de la section Network Analysis and Intrusion Policies (Analyse de réseau et politiques d'intrusion).

Si Afficher (bouton Afficher) apparaît au contraire, les paramètres sont hérités d'une politique ancêtre ou vous n'êtes pas autorisé à modifier la configuration.Si la configuration est déverrouillée, décochez la case Inherit from base policy (hériter de la politique de base) pour activer la modification.


Astuces

Cliquez sur Network Analysis Policy List (Liste des politiques d'analyse de réseau) pour afficher et modifier les politiques d’analyse de réseau personnalisées existantes.

Étape 2

À côté de Network Analysis Rules (règles d’analyse de réseau), cliquez sur l'énoncé qui indique combien de règles personnalisées vous avez.

Étape 3

Cliquez sur Add Rule (ajouter une règle).

Étape 4

Configurez les conditions de la règle en cliquant sur les conditions que vous souhaitez ajouter.

Étape 5

Cliquez sur Network Analysis (analyse de réseau) et choisissez la politique d’analyse de réseau que vous souhaitez utiliser pour prétraiter le trafic correspondant à cette règle.

Cliquez sur Modifier (icône Modifier) pour modifier une politique personnalisée dans une nouvelle fenêtre. Vous ne pouvez pas modifier les politiques fournies par le système.


Mise en garde

Modification du nombre total de politiques d'analyse de réseau utilisées par une politique de contrôle d'accès redémarre le processus Snort lorsque vous déployez des modifications de configuration, interrompant temporairement l’inspection du trafic. Selon la façon dont le périphérique attribué traite le trafic, celui-ci peut être abandonné durant l’interruption ou passer sans inspection supplémentaire.Vous modifiez le nombre total de politiques d'analyse de réseau en ajoutant une politique qui n'est pas utilisée actuellement ou en supprimant la dernière instance d'une politique d'analyse de réseau. Vous pouvez utiliser une politique d’analyse de réseau avec des règles d’analyse de réseau ou comme politique d’analyse de réseau par défaut.

Étape 6

Cliquez sur Add (ajouter).

What to do next

  • Déployer les changements de configuration.

Gestion des règles d’analyse du réseau

Les règles d’analyse du réseau vous permettent de contrôler le prétraitement du trafic en définissant des conditions et des configurations spécifiques qui déterminent les méthodes de gestion du trafic.

Une règle d'analyse de réseau est simplement un ensemble de configurations et de conditions qui spécifient la manière dont vous traitez le trafic qui correspond à ces conditions. Vous pouvez créer et modifier les règles d’analyse de réseau dans les options avancées d’une politique de contrôle d’accès existante. Chaque règle n'appartient qu'à une seule politique.

Procédure

Étape 1

Dans l’éditeur de politique de contrôle d’accès, cliquez sur Advanced (Avancé), puis sur Modifier (icône Modifier) à côté de la section Politiques de prévention des intrusions et d’analyse de réseau.

Si Afficher (bouton Afficher) apparaît au contraire, les paramètres sont hérités d'une politique ancêtre ou vous n'êtes pas autorisé à modifier la configuration.Si la configuration est déverrouillée, décochez la case Inherit from base policy (hériter de la politique de base) pour activer la modification.

Étape 2

À côté de Network Analysis Rules (règles d’analyse de réseau), cliquez sur l'énoncé qui indique combien de règles personnalisées vous avez.

Étape 3

Modifier vos règles personnalisées. Vous avez les options suivantes :

  • Pour modifier les conditions d’une règle ou la politique d’analyse de réseau appelée par la règle, cliquez sur Modifier (icône Modifier) à côté de la règle.

  • Pour modifier l’ordre d’évaluation d’une règle, cliquez sur la règle et faites-la glisser jusqu’à l’emplacement approprié. Pour sélectionner plusieurs règles, utilisez la touche Maj + Ctrl.

  • Pour supprimer une règle, cliquez sur Supprimer (icône supprimer) à côté de la règle.


Astuces

Cliquez avec le bouton droit sur une règle pour afficher un menu contextuel qui vous permet de couper, de copier, de coller, de modifier, de supprimer et d’ajouter de nouvelles règles d’analyse de réseau.

Étape 4

Cliquez sur OK.

Étape 5

Cliquez sur Save (Enregistrer) pour enregistrer la politique.

What to do next

  • Déployer les changements de configuration.