Como comparar as políticas de NAP em dispositivos Firepower

Introduction

Este documento descreve como comparar diferentes políticas de análise de rede (NAP) para dispositivos firepower gerenciados pelo Firepower Management Center (FMC).

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Conhecimento do Snort de código aberto
• Firepower Management Center (FMC)
• Firepower Threat Defense (FTD)

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• Este artigo se aplica a todas as plataformas Firepower

• Cisco Firepower Threat Defense (FTD), que executa a versão de software 6.4.0

• Firepower Management Center Virtual (FMC) que executa a versão de software 6.4.0

Informações de Apoio

O Snort usa técnicas de correspondência de padrões para localizar e impedir explorações em pacotes de rede. Para fazer isso, o mecanismo Snort precisa que os pacotes de rede sejam preparados de forma que essa comparação possa ser feita. Esse processo é feito com o auxílio do NAP e pode passar pelas três etapas a seguir:

• Decodificação
• Normalizando
• Pré-processamento

Uma política de análise de rede processa o pacote em fases: primeiro, o sistema decodifica pacotes através das três primeiras camadas TCP/IP e, em seguida, continua com a normalização, o pré-processamento e a detecção de anomalias de protocolo.

Os pré-processadores oferecem duas funcionalidades principais:

• Normalização do tráfego para inspeção posterior
• Identificar anomalias de protocolo

Nota: Algumas regras de política de intrusão exigem determinadas opções de pré-processador para executar a detecção

Para obter informações sobre o Snort de código aberto, visite https://www.snort.org/

Verificar a configuração do NAP

Para criar ou editar políticas NAP do firepower, navegue até FMC Policies > Access Control > Intrusion, depois clique na opção Network Analysis Policy no canto superior direito, como mostrado na imagem:

Verificando a política de análise de rede padrão

Verifique a política de análise de rede (NAP) padrão aplicada na política de controle de acesso (ACP)

Navegue até Políticas > Controle de acesso e edite o ACP que deseja verificar. Clique na guia Avançado e role para baixo até a seção Análise de rede e políticas de intrusão.

A política de análise de rede padrão associada ao ACP é a segurança e a conectividade equilibradas, como mostrado na imagem:

Note: Não confunda a segurança e a conectividade equilibradas para políticas de intrusão e a segurança e conectividade equilibradas para análise de rede. O primeiro é para as regras do Snort, enquanto o segundo é para pré-processamento e decodificação.

Comparar política de análise de rede (NAP)

As políticas NAP podem ser comparadas para alterações feitas e esse recurso pode ajudar a identificar e solucionar problemas. Além disso, os relatórios de comparação de NAP também podem ser gerados e exportados ao mesmo tempo.

Navegue até Políticas > Controle de acesso > Invasão. Em seguida, clique na opção Network Analysis Policy no canto superior direito. Na página de política NAP, você pode ver a guia Comparar políticas no lado superior direito, como mostrado na imagem:

A comparação da política de análise de rede está disponível em duas variantes:

• Entre duas políticas NAP diferentes
• Entre duas revisões diferentes da mesma política NAP

A janela de comparação fornece uma comparação linha por linha entre duas políticas NAP selecionadas e o mesmo pode ser exportado como um relatório da guia relatório de comparação na parte superior direita, como mostrado na imagem:

Para comparação entre duas versões da mesma política NAP, a opção de revisão pode ser selecionada para selecionar a id de revisão necessária, como mostrado na imagem: