À propos des interfaces IPS
Cette section décrit les interfaces IPS.
Types d’interface IPS
Les interfaces en mode IPS uniquement contournent de nombreuses vérifications de pare-feu et ne prennent en charge que la politique de sécurité IPS. Vous pourriez souhaiter mettre en œuvre des interfaces IPS uniquement si vous avez un pare-feu distinct qui protège ces interfaces et que vous ne souhaitez pas le surdébit des fonctions du pare-feu.
 Remarque |
Le mode de pare-feu affecte uniquement les interfaces de pare-feu standard, et non les interfaces IPS uniquement, comme les ensembles en ligne ou les interfaces passives. Les interfaces IPS uniquement peuvent être utilisées dans les deux modes de pare-feu. |
Les interfaces IPS uniquement peuvent être déployées en tant que types suivants :
-
Ensemble en ligne, avec mode TAP facultatif : un ensemble en ligne agit comme une bulle sur le câble et lie deux interfaces ensemble pour s’insérer dans un réseau existant. Cette fonction permet d’installer le FTD dans n’importe quel environnement réseau sans la configuration de périphériques réseau adjacents. Les interfaces passives reçoivent tout le trafic sans condition et aucun trafic reçu sur ces interfaces n’est retransmis.
En mode TAP, le FTD est déployé en ligne, mais le flux du trafic réseau n’est pas perturbé. Au lieu de cela, FTD effectue une copie de chaque paquet afin de pouvoir analyser les paquets. Notez que les règles de ces types génèrent des incidents d'intrusion lorsqu’elles sont déclenchées, et la vue du tableau des incidents d'intrusion indique que les paquets de déclenchement auraient été abandonnés dans un déploiement en ligne. Il y a des avantages à utiliser le mode TAP avec les FTD déployés en ligne. Par exemple, vous pouvez configurer le câblage entre le FTD et le réseau comme si le FTD était en ligne et analyser les types d’incidents d'intrusion que le FTD génère. En fonction des résultats, vous pouvez modifier votre politique de prévention des intrusions et ajouter les règles d’abandon qui protègent le mieux votre réseau sans nuire à son efficacité. Lorsque vous êtes prêt à déployer le FTD en ligne, vous pouvez désactiver le mode TAP et commencer à abandonner le trafic suspect sans avoir à reconfigurer le câblage entre le FTD et le réseau.
Remarque
Le mode TAP peut avoir un impact considérable sur les performances de FTD, selon le trafic.
Remarque
Les ensembles en ligne vous sont peut-être familiers sous la forme « ensembles en ligne transparents », mais le type d’interface en ligne n’est pas lié au mode de pare-feu transparent ou aux interfaces de type pare-feu.
-
Passive or ERSPAN Passive (passif ou ERSPAN passif) : Les interfaces passives surveillent le trafic circulant sur un réseau à l'aide d'un commutateur SPAN ou d'un port miroir. Le port SPAN ou miroir permet de copier le trafic d’autres ports du commutateur. Cette fonction assure la visibilité du système dans le réseau sans être dans le flux du trafic réseau. Lorsqu'il est configuré dans un déploiement passif, le système ne peut pas prendre certaines mesures telles que le blocage ou la mise en forme du trafic. Les interfaces passives reçoivent tout le trafic sans condition et aucun trafic reçu sur ces interfaces n’est retransmis. Les interfaces ERSPAN (Encapsulating Remote Switched Port Analyzer) vous permettent de surveiller le trafic à partir de ports sources répartis sur plusieurs commutateurs et utilisent GRE pour encapsuler le trafic. Les interfaces ERSPAN ne sont autorisées que lorsque FTD est en mode de pare-feu routé.
Remarque
L’utilisation d’interfaces SR-IOV en tant qu’interfaces passives sur NGFWv n’est pas prise en charge sur certaines cartes réseau Intel (comme les Intel X710 ou 82599) utilisant les pilotes SR-IOV en raison d’une restriction de mode promiscuité. Dans ce cas, utilisez une carte réseau qui prend en charge cette fonctionnalité. Consultez la section Produits Ethernet Intel pour plus d’informations sur les cartes réseau Intel.
À propos de Hardware Bypass pour les ensembles en ligne
Pour certains modules d'interface sur les modèles pris en charge (voir Exigences et conditions préalables pour les ensembles en ligne), vous pouvez activer la fonction Hardware Bypass. Hardware Bypass garantit que le trafic continue de circuler entre une paire d’interfaces en ligne pendant une panne de courant. Cette fonctionnalité peut servir à maintenir la connectivité du réseau en cas de défaillance matérielle ou logicielle.
Déclencheurs Hardware Bypass
Hardware Bypass peut être déclenchée dans les scénarios suivants :
-
Plantage de Défense contre les menaces
-
Redémarrage de Défense contre les menaces
-
Redémarrage du module de sécurité
-
Plantage du châssis
-
Redémarrage du châssis
-
Déclenchement manuel
-
Perte d'alimentation du châssis
-
Perte d'alimentation du module de sécurité
Remarque |
Le contournement matériel est destiné aux scénarios de défaillance imprévue et imprévue et n’est pas automatiquement déclenché lors des mises à niveau logicielles planifiées. Le contournement matériel ne s’active qu’à la fin d’un processus de mise à niveau planifiée, au redémarrage de l’application défense contre les menaces . |
Commutation pour le contournement matériel
Lors du passage du fonctionnement normal au contournement matériel ou du fonctionnement du contournement matériel au fonctionnement normal, le trafic peut être interrompu pendant plusieurs secondes. Un certain nombre de facteurs peuvent influer sur la durée de l’interruption. par exemple, négociation automatique de port cuivre; le comportement du partenaire de liaison optique, par exemple sa gestion des défaillances de liaison et la synchronisation de l’antirebond; la convergence du protocole Spanning Tree; la convergence des protocoles de routage dynamique; et ainsi de suite. Pendant ce temps, il se peut que vous rencontriez des pertes de connexions.
Vous pourriez également rencontrer des interruptions de connexions en raison d’erreurs d’identification d’application lors de l’analyse des connexions à mi-chemin après le retour à la normale.
Snort Fail Open ou Hardware Bypass
Pour les ensembles en ligne autres que ceux en mode TAP, vous pouvez utiliser l’option Snort sur échec d’ouverture pour abandonner le trafic ou permettre au trafic de passer sans inspection lorsque le processus Snort est occupé ou en panne. Snort Fail Open est pris en charge sur tous les ensembles en ligne, à l’exception de ceux en mode TAP, et pas seulement sur les interfaces qui prennent en charge Hardware Bypass.
La fonctionnalité Hardware Bypass permet au trafic de circuler pendant une défaillance matérielle, y compris une panne de courant complète, et certaines défaillances logicielles limitées. Une défaillance logicielle qui déclenche Snort Fail Open ne déclenche pas de Hardware Bypass.
État Hardware Bypass
Si le système est alimenté, le voyant DEL de contournement indique l’état Hardware Bypass. Reportez-vous au guide d’installation du matériel du châssis Firepower pour obtenir une description des voyants DEL.
Commentaires