Sådan bruges VMware Carbon Black Cloud Host-Based Firewall

Få mere at vide om værtsbaserede firewallregler, forrang for regel og konfiguration af værtsbaseret firewall i Carbon Black Cloud.

Berørte produkter:

• VMware Carbon Black Cloud Endpoint
• VMware Carbon Black Cloud Endpoint
• VMware Carbon Black Cloud Enterprise EDR

Berørte versioner:

• Windows Sensor 3.9 eller nyere

Påvirkede operativsystemer:

• Windows

Værtsbaserede firewallregler

En firewallregel består af en handling og et objekt. Tilgængelige handlinger er:

• Tillad: Tillader netværkstrafik
• Bloker: Blokerer netværkstrafik
• Bloker og advar: Blokerer netværkstrafik og sender en advarsel til advarselssiden

Firewallregler er baseret på evaluering af følgende typer objekter:

• Lokal (klientcomputer)
• Fjernadgang (computer, der kommunikerer med klientcomputeren)
  Bemærk: Den lokale vært er altid den sensorinstallerede klientcomputer. Fjernværten er enhver computer eller enhed, som den kommunikerer med. Dette udtryk for værtsforholdet er uafhængigt af trafikretningen.
• IP-adresse- og undernetområder
• Port- eller portintervaller
• Protokol (TCP, UDP, ICMP)
• Retning (indgående og udgående)
• Program, bestemt af filsti

Firewallregler kan kombineres til en firewallregelgruppe. En firewallregelgruppe er et logisk sæt firewallregler, der forenkler administrationen af flere individuelle regler i en enkelt gruppe, der har et fælles formål (f.eks. flere regler til at styre adgangen til FTP-servere).

Regelgrupper og regler defineres i politikker, og politikker tildeles aktiver.

Rettens forrang

Når du opretter og anvender regler, skal du huske følgende prioritetsrækkefølge:

• Omgåelsesregler har forrang for alle andre regler. Derfor har værtsbaserede firewallregler lavere prioritet end regler for omgåelse.
• Værtsbaserede firewallregler har højere prioritet end tilladelsesregler, der er indstillet til Tillad eller Tillad &-log.

Eksisterende sensorforhold kan påvirke håndhævelsen af reglerne. Sensoren kan f.eks. være i bypass-tilstand eller karantæne, eller programmer kan blokeres. VMware Carbon Black Cloud Host-Based Firewall bevarer den tilsigtede handling af reglen som angivet af brugeren, selvom reglen kan udføre en anden faktisk handling, når den håndhæves baseret på sensortilstanden.

For eksempel:

Brug af værtsbaseret firewall i Carbon Black Cloud

Dette afsnit indeholder en overordnet oversigt over, hvordan du opretter og kører firewallregler.

1. Vælg en politik, som firewallregler skal føjes til.
2. Indstil standardreglen (Tillad alle eller Bloker alle).
3. Opret en regelgruppe, og udfyld den med firewallregler.
4. Få vist, opret og rediger regelgrupper og regler efter behov.
5. Skift værtsbaseret firewall til Aktiveret på fanen Sensor .
6. Test reglerne.
   Bemærk: Du kan kun teste en regel, når dens Status er indstillet til Deaktiveret.
7. Gennemgå resultatet af reglerne. Testregeldata vises på siden Undersøg.
8. Rediger regler efter behov, og test igen, indtil reglerne fungerer som forventet.
9. Stop testregler, der er verificeret til at fungere som forventet, og indstil deres Status til Aktiveret.
10. Hvis du har deaktiveret den under ændringerne, skal du skifte Værtsbaseret firewall til Aktiveret under fanen Sensor .
11. Få vist firewallrelaterede hændelser og advarsler på siderne Undersøg og Advarsler .
12. Fortsæt med at ændre reglerne efter behov. Tilknytning af ordnede (rangordnede) regelgrupper til sikkerhedspolitikker; Regelgrupper kan genbruges på tværs af sikkerhedspolitikker.
    • Regler evalueres i rækkefølge efter brugerdefineret prioritet.
    • Evne til at teste regler før håndhævelse.
    • Antal funktionsmåder, der er blokeret af værtsbaseret firewallpolitik.
    • Synlighed i aktivers sikkerhedstilstand via siderne Advarsler og Undersøg i Carbon Black Cloud-konsollen.
      Bemærk: Carbon Black Cloud Host-Based Firewall-tilføjelsesprogrammet kræver Windows-sensor v3.9 og nyere.