使用动态地址组对 SSL 解密进行疑难解答

Created On 09/25/18 19:10 PM - Last Modified 06/12/23 08:18 AM

Resolution

介绍

本文档将遍历一个使用帕洛阿尔托网络防火墙和动态地址组 (达吉斯坦) 的自动化示例。使用达吉斯坦是将自动化引入安全策略的有效方法。其目的是在防火墙上配置预先设置的策略, 利用动态地址组。当主机的条件发生变化时, 它可能会动态地移动到一个规则库, 因此会受到不同的策略的限制。如果该主机的条件再次发生变化, 它可能会被移动到另一个达格·哈马舍尔德, 完全不同的策略。所有没有管理员添加和部署新规则或提交更改将被推出。

可能被监视的条件是巨大的!在本示例中, 我们将使用达吉斯坦动态地将主机移入和取出 SSL 解密组以进行故障排除。然而, 用例实际上是无穷无尽的。

要求

必需项目	说明
帕洛阿尔托网络防火墙	用 VM50、帕诺斯8.1.0 测试
带浏览器的主机	使用 Windows 7 64 位 VM 进行测试

网络图

用例图

Picture28. png Picture29. png Picture30. png

配置

动态地址组

我们将首先创建将由动态地址组使用的标记。创建用于禁用 SSL 解密的标记。

对象 > 标签 > 添加

创建要在解密策略中使用的达格·哈马舍尔德。

对象 > 地址组 > 添加

命名地址组
将类型更改为 "动态"
单击 "添加匹配条件", 然后选择在上一步中创建的标记, 以表示没有 SSL 加密

SSL 解密策略

将 SSL 解密策略配置为解密 (在达格·哈马舍尔德之外的主机), 并排除解密 (在达格·哈马舍尔德内部的主机)。

策略 > 解密 > 添加

按此顺序添加两个策略
- 不解密
  - 使用不将达格·哈马舍尔德解密为源地址
  - 使操作 "不解密"
- 解密所有其他
  - 使用任何源/目标地址
  - 使操作 "解密"
  - 确保类型为 "ssl 转发-代理"

注意: 此文档假定防火墙和客户端上有一个证书来执行解密。如有需要, 请参阅此处的说明: https://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-Implement-and-Test-SSL-Decryption/ta-p/59719

解密策略应反映如下内容:

漏洞签名

在添加日志记录条件之前, 我们需要一种触发条件的方法。在此示例中, 我们将创建监视特定 URI 路径的自定义漏洞签名。我们将使用 URI 路径将主机移入或离开我们的达格·哈马舍尔德。

创建一个用于查找 "/kw-nodecrypt/" 的 URI 路径的漏洞签名。

对象 > 自定义对象 > 漏洞 > 添加

对于 "配置" 选项卡:

为线程 ID 指定自定义签名号
建议将严重性设置为信息和操作以提醒
- 对于实时环境, 请与事件响应团队协作, 以便他们知道忽略此特定警报
方向是 client2server

对于 "签名" 选项卡:

添加标准签名 (打开新窗口)
将范围保留为交易记录
使用 "绿色加号" 按钮添加和条件 (打开一个新窗口)
将上下文更改为: http-应用于 uri-路径
对于模式, 请输入我们的自定义命令以禁用解密:/kw-nodecrypt/

选择 "确定" 以查看结果。

单击 "确定" 两次以保存。

创建一个漏洞签名, 它查找 "/kw-nodecrypt-删除/" 的 URI 路径。这将告诉防火墙从 SSL 旁路通道中删除主机, 并再次开始解密。这将在配置的日志转发部分进一步说明。

对象 > 自定义对象 > 漏洞 > 添加

对于 "配置" 选项卡:

为线程 ID 指定自定义签名号
建议将严重性设置为信息和操作以提醒
- 对于实时环境, 请与事件响应团队协作, 以便他们知道忽略此特定警报
方向是 client2server

对于 "签名" 选项卡:

添加标准签名 (打开新窗口)
将范围保留为交易记录
使用 "绿色加号" 按钮添加和条件 (打开一个新窗口)
将上下文更改为 http-需要-uri 路径
对于模式, 请输入我们的自定义命令以禁用解密:/kw-nodecrypt-删除/

单击 "确定" 以查看结果。

单击 "确定" 两次以保存。

两个自定义漏洞签名类似于以下内容:

Picture11. png

日志转发配置文件

随着支持配置到位, 我们现在可以配置防火墙来监视我们的自定义签名并采取行动 (将主机移入或出一个达格·哈马舍尔德)。

创建自定义日志转发配置文件。

对象 > 日志转发 > 添加

命名日志转发配置文件
选择 "添加" 以创建新的匹配列表 (打开新窗口)
命名匹配列表
选择 "威胁" 作为日志类型
用于过滤器使用: (名称为-threatid eq 41000)
- 使用在创建第一个漏洞签名时输入的 threatID
- 注意: 还可以通过选择此字段中的向下箭头并选择 "筛选器生成器" 手动生成筛选器
在内置操作窗口中选择 "添加" (打开一个新窗口)
命名操作
选择 "标记为操作类型"
目标是源地址
操作是添加标记
注册是本地用户 ID
在 "标记" 下拉列表中, 选择在第一步中创建的标记

Picture12. png

单击 "确定" 两次, 将其带回日志转发配置文件。如果退出太远, 请单击日志转发配置文件, 以便添加另一个匹配列表。

选择 "添加" 以创建第二个匹配列表 (打开一个新窗口)
命名匹配列表
选择 "威胁" 作为日志类型
用于过滤器使用: (名称为-threatid eq 41001)
- 使用在创建第二个漏洞签名时输入的 threatID
- 注意: 还可以通过选择此字段中的向下箭头并选择 "筛选器生成器" 手动生成筛选器
在内置操作窗口中选择 "添加" (打开一个新窗口)
命名操作
选择 "标记为操作类型"
目标是源地址
操作是删除标记
注册是本地用户 ID
在 "标记" 下拉列表中, 选择在第一步中创建的标记

Picture13. png