在日常运维场景中,经常会遇到软件实施人员在调试时,为省事方便直接关闭系统防火墙情况。另一种情况则是需要统一批量调整系统防火墙策略,如果服务器数量较多,一台台修改,这时可就犯难了。
如果有在用统一端点安全管理系统 ,俗称EDR,一般都有微隔离策略,下面以深信服的EDR为例简要介绍学习配置。
通过微隔离策略,可针对服务器/终端必要的业务端口进行放通、非必要的端口进行禁止,同时支持流量状态可视化,高效提升客户业务安全性。
一.业务梳理
梳理客户业务系统及业务系统间的访问关系,为后续的微隔离策略做准备,如下表。
对象
业务系统
数据库(Server1)
财务系统(Server2)
OA系统(Server3)
人事系统(Server4、Server5)
IP组
办公终端(x.x.x.x)
办公服务器(y.y.y.y)
服务
SMB(135\136\137\139\445)
HTTP(80)
访问关系
访问关系
1、SMB服务拒绝
源:办公终端 目的:业务系统服务器 服务:SMB 动作:拒绝
2、HTTP服务允许
源:办公终端 目的:业务系统服务器 服务:HTTP 动作:允许
二.创建对象
根据第上述梳理的业务系统,定义业务系统/IP组/服务等对象,为微隔离策略调用。
业务系统创建
通过定义业务系统分类,可将多个服务器终端纳归到统一的业务系统分类中,便于微隔离策略源调用及流量状态展示,配置流程如下:
1.在[微隔离/业务系统]页面,点击<新增>,进行业务系统名称及服务器终端选择,配置界面如下图所示。
• 说明:
一台服务器终端只能加入一个业务系统;
终端仅支持选择服务器终端。
2.创建完成后,可在业务系统页面,查看已创建的业务系统分类及对应分类下的服务器终端信息,可进行角色关联、状态查看等操作。
角色创建
通过角色属性,可定义服务器终端在业务系统分组中的角色,可理解为该服务器终端所提供的服务类型,平台内置了WEB、数据库、FTP、SLB、邮件、消息队列、WebSphere、WebLogic等角色以及对应的角色特征,角色新增配置流程如下:
1.在[微隔离/角色]页面,点击<新增>,在弹出的页面中进行角色名、描述和角色特征编辑,如下图所示。
其中角色特征支持进程名称或端口信息,要求一行一个特征。
2.完成信息编辑后,点击<确定>即完成新角色创建,可在业务系统页面对服务器终端角色进行指定,方便微隔离策略的调用与流量状态显示。
IP组创建
通过IP组可划分内网或互联网的IP到对应的IP组中,平台内置了默认内网IP组包括10.0.0.0/8、172.16.0.0/12、192.168.0.0/16,默认互联网IP组包括0.0.0.0-255.255.255.255,策略通过从上到下进行匹配,方便微隔离策略的调用,IP组创建流程如下:
1.在[微隔离/IP组]页面,点击<新增>,在弹出页面进行IP组添加操作,配置页面如下图所示。
其中地址范围支持单IP、IP范围和子网。
2.点击<确定>进行提交,即完成IP组创建,在IP组页面可对已创建的IP组进行上移、下移等操作,实现策略的从上到下匹配。
服务创建
通过服务属性可定义服务端口,用于微隔离策略调用,内置服务包括35种,可自定义添加,配置流程如下:
• 说明:
自定义服务端口不能与已有所使用端口不能重复。
其中流量类型包括其他流量、业务流量及运维流量,用于流量状态的展示。
配置完成后,点击<确定>进行提交即可。
三.策略配置
1.配置微隔离访问控制策略
在微隔离策略页面,点击<新增>,进行微隔离策略配置,配置界面如下图所示。
其中:
• **源:**访问目标服务的源,可以选择业务系统、角色、服务器、IP组;
• **目的:**被访问的目标终端;
• **服务:**目标终端的服务端口;
• **动作:**微隔离策略的动作可选择允许或拒绝。
• 说明:
源和目的可以点击
进行互换。
2.启用微隔离并开启流量上报。
打开[微隔离设置],如下图。启用微隔离和流量上报。
其中:
• 微隔离:勾选即开启微隔离功能,关闭后所有业务系统的微隔离策略将失效;
• 流量上报:开启后可在[流量隔离状态]中展示流量访问情况,关闭后客户端将禁止流量上报,影响[流量隔离状态]的展示。
四.流量查看
微隔离支持流量状态可视化,支持查看终端系统的流量访问情况,可以显示互联网出口、内网互访及已放通和未放通的流量访问情况,同时支持通过过滤策略进行筛选查看,界面如下图所示。
在[过滤流量]中过滤选项说明如下:
• 红色流量线:表示未放通的流量;
• 绿色流量线:表示已放通的流量;
• 业务之间流量:业务系统之间的流量访问情况;
• **业务内部流量:**业务系统内部的流量访问情况。