Gewusst wie: Überprüfen Sie, ob eine Anwendung muss explizit erlaubt Abhängigkeit Apps

Übersicht

Vor PAN-OS 5.0 erforderlich, damit eine Anwendung mit Abhängigkeiten, kann die Sicherheitspolitik alle Abhängigkeiten auch erlaubt sein.

Seit PAN-OS 5.0 können Anwendungen für einige Protokolle ohne Notwendigkeit, deren Abhängigkeiten explizit zulassen dürfen. Die Palo Alto Networks Firewall ist in der Lage, dies für einige Anwendungen zu tun, wenn die Anwendung innerhalb einer vorher festgelegten Punkt in der live-Sitzung identifiziert werden können. Wenn die Anwendung vom Entwickler so codiert, dass Palo Alto Networks-Gerät kann nicht die Anwendung durch den vorher festgelegten Punkt zu bestimmen, kann die Anwendung eines Sicherheitsregeln in der Liste blockiert werden. Für diese Anwendungen eine explizite zulassen für die Liste der Abhängigkeiten ist erforderlich.

Um den Prozess zu erklären, wird die folgende Terminologie in der Regel angewandt:

• Enabler-app: der App-ID, die die Sitzung zunächst entspricht (z. B. Web-browsing)
• Abhängige app: die App-ID, die die Sitzung später entspricht (z. B. Facebook-Basis)

Hinweis: Überprüfen Sie immer die Abhängigkeiten für die Anwendungen, wenn Sie planen, diese zu erlauben. Überprüfen Sie auch implizit verwendeten Anwendungen für die abhängige Anwendung, so dass die richtigen Richtlinien gebaut werden können.

Details

Für die oben genannten Anwendungen, die in der live-Sitzung zu einem vorher festgelegten Zeitpunkt korrekt identifiziert werden können, erlaubt die Firewall implizit die Enabler-app. Aus diesem Grund verwendet die Firewall "verwendet-apps" und "implizite-Gebrauch-apps" Teil der Content-Updates-Metadaten für die jeweilige Anwendung.

Für Anwendungen, die eine Liste der apps in den "implizite-Gebrauch-apps", diese Anwendungen werden implizit erlaubt und keine separate Sicherheitsregel ist notwendig, um ihnen zu ermöglichen.

Für Anwendungen, die nicht bereits eine Liste der apps in den "implizite-Gebrauch-apps" und Liste der apps im "verwendet-apps" Teil der Anwendungsdefinition haben, muss man explizit (Enabler-Anwendungen) können damit die abhängige Anwendung zulässig ist. Dies kann in einem separaten Sicherheitsregel hinzugefügt werden, oder in derselben Regel ist, dass die abhängigen app erlaubt.

Die Anwendungsdefinition kann überprüft werden, um festzustellen, ob es explizit die Enabler-Anwendungen ermöglichen muss.