Che cos'è VMware Carbon Black Cloud Host-based Firewall?

Ulteriori informazioni circa le regole del firewall basato su host, la precedenza delle regole e la configurazione del firewall basato su host Carbon Black Cloud.

Prodotti interessati:

• VMware Carbon Black Cloud Standard
• VMware Carbon Black Cloud Advanced
• VMware Carbon Black Cloud Enterprise

Versioni interessate:

• Sensore Windows 3.9 o versione successiva

Sistemi operativi interessati:

• Windows

Regole del firewall basato su host

Una regola del firewall è costituita da un'azione e da un oggetto. Le azioni disponibili sono:

• Allow: consente il traffico di rete
• Blocco: blocca il traffico di rete
• Block and Alert: blocca il traffico di rete e invia un avviso alla pagina Alerts

Le regole del firewall si basano sulla valutazione dei seguenti tipi di oggetti:

• Locale (computer client)
• Remoto (computer che comunica con il computer client)
  Nota: L'host locale è sempre il computer client installato dal sensore. L'host remoto è costituito da qualsiasi computer o dispositivo con cui comunica. Questa espressione della relazione con l'host è indipendente dalla direzione del traffico.
• Opzioni per indirizzi IP e subnet
• Porte o intervalli di porte
• Protocollo (TCP, UDP, ICMP)
• Direzione (in entrata e in uscita)
• Applicazione, determinata dal percorso file

Le regole del firewall possono essere combinate in un gruppo di regole del firewall. Un gruppo di regole del firewall è un set logico di regole del firewall che semplifica la gestione di più regole singole in un unico gruppo con uno scopo condiviso (ad esempio, più regole per controllare l'accesso ai server FTP).

I gruppi di regole e le regole sono definiti nelle policy e le policy sono assegnate agli asset.

Precedenza delle regole

Quando si creano e si applicano regole, tenere presente il seguente ordine di precedenza:

• Le regole di esclusione hanno la precedenza su tutte le altre regole. Per questo motivo, le regole del firewall basato su host hanno una precedenza inferiore rispetto alle regole bypass.
• Le regole del firewall basato su host hanno una precedenza maggiore rispetto alle regole di autorizzazione impostate su Consenti o Consenti e registra.

Le condizioni esistenti dei sensori possono influire sull'applicazione delle regole. Ad esempio, il sensore può essere in modalità bypass o in quarantena, oppure le applicazioni possono essere bloccate. VMware Carbon Black Cloud Host-Based Firewall mantiene l'azione prevista della regola specificata dall'utente, anche se la regola può intraprendere un'azione effettiva diversa quando viene applicata in base alla condizione del sensore.

Ad esempio:

VMware Carbon Black Cloud Enterprise Host-Based Firewall

Questa sezione fornisce una panoramica generale su come creare ed eseguire le regole del firewall.

1. Selezionare una policy a cui aggiungere le regole del firewall.
2. Impostare la regola predefinita (Consenti tutti o Blocca tutti).
3. Creare un gruppo di regole e popolarlo con le regole del firewall.
4. Visualizzare, creare e modificare gruppi di regole e regole in base alle necessità.
5. Impostare Host-Based Firewall su Enabled nella scheda Sensor .
6. Verifica le regole.
   Nota: È possibile testare una regola solo quando il relativo stato è impostato su Disabilitato.
7. Esaminare il risultato delle regole. I dati delle regole di test vengono visualizzati nella pagina Investigate.
8. Modificare le regole se necessario e ripetere il test finché non funzionano come previsto.
9. Interrompere i test delle regole di cui è stato verificato il funzionamento previsto e impostarne lo stato su Enabled.
10. Se è stata disabilitata durante le modifiche, impostare Host-Based Firewall su Enabled nella scheda Sensor .
11. Visualizzare gli eventi e gli avvisi relativi al firewall rispettivamente nelle pagine Investigate e Alerts .
12. Continuare a modificare le regole in base alle necessità. Associazione di gruppi di regole ordinati (classificati) alle politiche di sicurezza; I gruppi di regole possono essere riutilizzati nelle policy di sicurezza.
    • Le regole vengono valutate in base all'ordine di precedenza definito dall'utente.
    • Capacità di testare le regole prima dell'applicazione.
    • Conteggio dei comportamenti bloccati dalla policy del firewall basato su host.
    • Visibilità sul profilo di sicurezza degli asset tramite le pagine Alerts e Investigate nella console Carbon Black Cloud.
      Nota: L'add-on Carbon Black Cloud Host-Based Firewall richiede il sensore Windows v3.9 e versioni successive.