Was ist die VMware Carbon Black Cloud Host-based Firewall?
Summary: Erfahren Sie, wie Sie hostbasierte VMware Carbon Black Cloud-Firewallregeln konfigurieren, die Aktionen, Objekte, Rangfolge und Schritte zur Verwendung der Firewallregeln abdecken.
Instructions
Erfahren Sie mehr über hostbasierte Firewallregeln, die Rangfolge von Regeln und die Konfiguration der hostbasierten Carbon Black Cloud Firewall.
Betroffene Produkte:
- VMware Carbon Black Cloud Standard
- VMware Carbon Black Cloud Advanced
- VMware Carbon Black Cloud Enterprise
Betroffene Versionen:
- Windows Server 3,9 oder höher
Betroffene Betriebssysteme:
- Windows
Hostbasierte Firewallregeln
Eine Firewallregel besteht aus einer Aktion und einem Objekt. Folgende Aktionen stehen zur Verfügung:
- Allow: Netzwerkverkehr zulässig
- Block: Blockiert den Netzwerkverkehr.
- Blockieren und Warnmeldung: Blockiert den Netzwerkverkehr und sendet eine Warnmeldung an die Seite Warnmeldungen .
Firewallregeln basieren auf der Evaluierung der folgenden Objekttypen:
- Lokal (Clientcomputer)
- Remote (Computer, der mit dem Clientcomputer kommuniziert)
Hinweis: Der lokale Host ist immer der mit Sensor installierte Clientcomputer. Der Remotehost ist ein beliebiger Computer oder ein beliebiges Gerät, mit dem er kommuniziert. Dieser Ausdruck der Hostbeziehung ist unabhängig von der Richtung des Datenverkehrs.
- IP-Adresse und Subnetzmaske
- Ports oder Portbereiche
- Protokoll (TCP, UDP, ICMP)
- Richtung (eingehend und ausgehend)
- Anwendung, bestimmt durch Dateipfad
Firewallregeln können in einer Firewallregelgruppe kombiniert werden. Eine Firewallregelgruppe ist ein logischer Satz von Firewallregeln, der das Management mehrerer einzelner Regeln in einer einzigen Gruppe vereinfacht, die einen gemeinsamen Zweck haben (z. B. mehrere Regeln zur Steuerung des Zugriffs auf FTP-Server).
Regelgruppen und Regeln werden in Policies definiert und Policies werden Ressourcen zugewiesen.
Rangfolge der Regel
Beachten Sie beim Erstellen und Anwenden von Regeln die folgende Rangfolge:
- Umgehungsregeln haben Vorrang vor allen anderen Regeln. Aus diesem Grund haben hostbasierte Firewallregeln eine geringere Priorität als Umgehungsregeln.
- Hostbasierte Firewallregeln haben eine höhere Priorität als Berechtigungsregeln, die auf Zulassen oder Zulassen und Protokoll festgelegt sind.
Vorhandene Sensorbedingungen können sich auf die Durchsetzung von Regeln auswirken. Beispielsweise kann sich der Sensor im Umgehungsmodus oder in Quarantäne befinden oder Anwendungen können blockiert werden. Die VMware Carbon Black Cloud Host-Based Firewall behält die beabsichtigte Aktion der Regel wie vom Nutzer angegeben bei, obwohl die Regel eine andere tatsächliche Aktion ausführen kann, wenn sie basierend auf der Sensorbedingung erzwungen wird.
Zum Beispiel:
| Sensormodus | Beabsichtigte hostbasierte Firewallaktion | Vorgesehene Berechtigung oder Blockierungs- und Isolationsregel | Tatsächliche Aktion | Zusammenfassung |
|---|---|---|---|---|
| Unter Quarantäne stellen | Beliebig | Beliebig | Block | Quarantäne-Blockregeln überschreiben hostbasierte Firewallregeln und -berechtigungen. |
| Bypass | Beliebig | Beliebig | Allow | Da sich der Sensor im Umgehungsmodus befindet, ist die hostbasierte Firewallregel unwirksam. |
| Active | Beliebig | Umgehung auf Prozessebene | Allow | Umgangene Prozesse und ihre untergeordneten Prozesse werden nicht durch hostbasierte Firewallregeln blockiert. |
| Active | Block | Zulassen, Zulassen und Protokoll | Block | Hostbasierte Firewallregeln haben Vorrang vor Berechtigungsregeln ohne Umgehung. |
| Active | Allow | Block | Block | Die hostbasierte Firewall, die eine Verbindung zulässt, verhindert nicht, dass eine Regel zum Blockieren und Isolieren von Kommunikationen über das Netzwerk durchgesetzt wird. |
VMware Carbon Black Cloud Enterprise Host-Based Firewall
Dieser Abschnitt bietet eine allgemeine Übersicht über das Erstellen und Ausführen von Firewallregeln.
- Wählen Sie eine Policy aus, der Sie Firewallregeln hinzufügen möchten.
- Legen Sie die Standardregel fest (Alle zulassen oder Alle blockieren).
- Erstellen Sie eine Regelgruppe und füllen Sie sie mit Firewallregeln.
- Anzeigen, Erstellen und Ändern von Regelgruppen und Regeln nach Bedarf
- Schalten Sie Hostbasierte Firewall auf der Registerkarte Sensor auf Aktiviert.
- Testen Sie die Regeln.
Hinweis: Sie können eine Regel nur testen, wenn ihr Status auf Deaktiviert gesetzt ist.
- Überprüfen Sie das Ergebnis der Regeln. Testregeldaten werden auf der Seite Investigate angezeigt.
- Ändern Sie die Regeln nach Bedarf und führen Sie erneute Tests durch, bis die Regeln wie erwartet funktionieren.
- Beenden Sie den Test von Regeln, deren erwartungsgemäße Leistung verifiziert wurde, und setzen Sie ihren Status auf Enabled.
- Wenn Sie sie während der Änderungen deaktiviert haben, ändern Sie Hostbasierte Firewall auf der Registerkarte Sensor zu Aktiviert.
- Zeigen Sie Firewall-bezogene Ereignisse und Warnmeldungen auf den Seiten Investigate bzw. Alerts an.
- Fahren Sie bei Bedarf fort, die Regeln zu ändern. Zuordnung geordneter (geordneter) Regelgruppen zu Sicherheitsrichtlinien; Regelgruppen können in Sicherheits-Policies wiederverwendet werden.
- Regeln werden in der Reihenfolge der nutzerdefinierten Rangfolge ausgewertet.
- Möglichkeit zum Testen von Regeln vor der Erzwingung
- Anzahl der Verhaltensweisen, die von der hostbasierten Firewall-Policy blockiert werden.
- Sichtbarkeit des Sicherheitsstatus von Ressourcen über die Seiten Warnmeldungen und Ermittlungen in der Carbon Black Cloud-Konsole.
Hinweis: Das Carbon Black Cloud Host-Based Firewall-Add-on erfordert den Windows Sensor v3.9 und höher.