यह लेख सुरक्षा बढ़ाने और सुरक्षा के लिए WAN और इंटरनेट फ़ायरवॉल नियमबेस में डिवाइस मापदंड के लिए शर्तें जोड़ने के तरीके पर चर्चा करता है।
समीक्षा
WAN और इंटरनेट फ़ायरवॉल नियमों के लिए उपकरण सेटिंग आपको अपने फ़ायरवॉल सुरक्षा नीति के स्कोप को बढ़ाने की अनुमति देती है ताकि अंतिम उपयोगकर्ता के या आपके नेटवर्क पर संचार करने वाले अन्य उपकरणों (जैसे IoT/OT) के वास्तविक उपकरण की गुणों के आधार पर सशर्त पहुँच शामिल हो सके। आप नेटवर्क पर उपकरणों के लिए पहुँच आवश्यकताओं को निर्दिष्ट कर सकते हैं। ट्रैफ़िक की पुष्टि करना और इसे घटना में प्राप्त डेटा के साथ हस्ताक्षर के संदर्भ से सहसंबंधित करके वास्तविक सकारात्मक या वास्तविक नकारात्मक के रूप में वर्गीकृत करना।
वैन फ़ायरवॉल -
नियम के स्रोत को निर्दिष्ट करें ताकि यह केवल उन्हीं उपकरणों पर लागू हो जो पूर्व-परिभाषित स्थिति को पूरा करते हैं या भौगोलिक स्थान के आधार पर।
व्यापार-महत्वपूर्ण OT उपकरण के लिए केवल विशिष्ट उपयोगकर्ताओं के लिए पहुँच की अनुमति दें।
इंटरनेट फ़ायरवॉल -
ऐसे SaaS अनुप्रयोग के लिए नियम निर्धारित करें जो उपकरण सेटिंग्स और स्थान के आधार पर पहुँच को सीमित करता है।
नेटवर्क पर आईपी कैमरों के लिए इंटरनेट पहुँच को अवरुद्ध करें।
डिफ़ॉल्ट रूप में, उपकरण सेटिंग्स का ट्रैफ़िक पर कोई प्रभाव नहीं होता क्योंकि उन्हें किसी भी पर सेट किया गया है और वे स्वचालित रूप से सभी ट्रैफ़िक से मेल खाते हैं।
Cato WAN और इंटरनेट फ़ायरवॉल के बारे में अधिक जानकारी के लिए, Cato फ़ायरवॉल्स में ज्ञान केंद्र लेख देखें।
पूर्वशर्तें
किसी नियम के लिए डिवाइस सेटिंग्स में एक डिवाइस प्रोफ़ाइल जोड़ने से पहले, आपको डिवाइस प्रोफ़ाइल को बनाना और कॉन्फ़िगर करना होगा
क्लाइंट OS और संस्करण के लिए कौन सी डिवाइस जांच समर्थित हैं यह देखने के लिए, देखें डिवाइस मुद्रा प्रोफाइल और डिवाइस जांच बनाना
जो नियम डिवाइस प्रोफाइल का उपयोग करते हैं, वे केवल तब लागू होते हैं जब Cato क्लाइंट डिवाइस पर स्थापित होता है और पहचान एजेंट के रूप में उपयोग होता है, चाहे वह दूरस्थ रूप से हो या जब सॉकेट के पीछे स्थित हो।
अधिक जानकारी के लिए देखें उपयोगकर्ता जागरूकता के लिए Cato पहचान एजेंट का उपयोग करना (ZTNA लाइसेंस के बिना EA प्रमाणीकरण)।
नोट: लाइसेंस प्राप्त क्लाइंट स्वचालित रूप से पहचान एजेंट के रूप में उपयोग होते हैं।
उपकरण सेटिंग्स विन्यस्त करना
ये वो उपकरण सेटिंग्स हैं जिन्हें आप एक फ़ायरवॉल नियम में जोड़ सकते हैं:
डिवाइस विशेषताएँ - डिवाइस इन्वेंट्री पहचान इंजन द्वारा पहचाने गए उपकरणों की विशेषताएँ
प्लेटफार्म - उपकरण ऑपरेटिंग सिस्टम (OS).
देश - उपकरण की भौतिक स्थिति पर आधारित कनेक्शन के लिए स्रोत देश (आईपी पते भौगोलिक स्थिति के अनुसार).
उपकरण मुद्रा प्रोफाइल - उपकरण प्रोफाइल (पहुँच में कॉन्फ़िगर किया गया > उपकरण मुद्रा.)
कनेक्शन का स्रोत - उपकरण का भू-स्थान. आप नियम को इस बात पर आधारित कर सकते हैं कि उपकरण साइड के पीछे जुड़ रहा है या क्लाइंट, ब्राउज़र एक्सटेंशन या एंटरप्राइज़ ब्राउज़र के माध्यम से रिमोटली कनेक्ट हो रहा है (प्रत्येक रिमोट कनेक्शन विकल्प को अलग से चुना जा सकता है).
उपयोगकर्ता विशेषताएँ: जोखिम स्तर और विश्वास स्तर की जानकारी जो उपकरण में लॉग इन है।
जब आप किसी नियम के लिए कई शर्तें कॉन्फ़िगर करते हैं, तो उनमें एक AND संबंध होता है, नियम केवल तभी मेल करता है जब ट्रैफ़िक सभी वस्तुओं में परिभाषित मानदंडों से मेल खाता हो।
किसी शर्त के अंदर (एकल सेल), वस्तुओं में OR संबंध होता है। उदाहरण के लिए, एक नियम जिसमें प्लेटफार्म शर्त के विंडोज, और macOS होता है, सभी Windows या macOS उपकरणों से मेल खाता है।
यह एक नियम का उदाहरण है जहां ट्रैफ़िक को इन सभी उपकरण शर्तों को पूरा करना होगा: विंडोज उपकरण, भारत में स्थित, जो उपकरण मुद्रा प्रोफ़ाइल 1 की आवश्यकताओं को पूरा करता है।
उपकरण विशेषता आवश्यकताएँ जोड़ना
उपकरणों के लिए नियम परिभाषित करने के लिए उपकरण विशेषताएँ शर्त का उपयोग करें जो डिवाइस इन्वेंट्री इंजन द्वारा नेटवर्क पर पता लगाए गए थे। आप फ़ायरवॉल नियम में निम्नलिखित विशेषताओं का उपयोग कर सकते हैं: श्रेणी, प्रकार, मॉडल, ओएस, निर्माता, ओएस संस्करण।
एक उपकरण विशेषताओं का प्रकार चुनें, फिर ड्रॉपडाउन सूची से मान चुनें। सूची स्वचालित रूप से नेटवर्क पर पता लगाए गए उपकरणों के मानों से भरी जाती है। आप नियम में कई उपकरण विशेषता प्रकार चुन सकते हैं, और विशेषताओं के बीच एक AND संबंध होता है। उदाहरण के लिए, यदि आप OS को विंडोज के रूप में और निर्माता को डेल के रूप में चुनते हैं, तो शर्त केवल विंडोज ऑपरेटिंग सिस्टम वाले डेल उपकरणों पर लागू होती है।
हालाँकि, जब आप उपकरण विशेषता प्रकार के भीतर कई मान चुनते हैं, तो उनके बीच एक OR संबंध होता है। उदाहरण के लिए, यदि आप निर्माता को डेल और HP के मानों के साथ चुनते हैं, तो शर्त डेल या HP उपकरणों के लिए मेल खाता है।
उपकरण इन्वेंट्री पृष्ठों और विशेषताओं के लिए एक अलग उपकरण इन्वेंट्री लाइसेंस आवश्यक है। लाइसेंस खरीदने के बारे में अधिक जानकारी के लिए कृपया अपने Cato प्रतिनिधि से संपर्क करें।
प्लेटफ़ॉर्म आवश्यकताएँ जोड़ना
फ़ायरवॉल नियम के लिए प्लेटफार्म की स्थिति आपको उन उपकरण ऑपरेटिंग सिस्टम को परिभाषित करने देती है जो नियम से मेल खाते हैं। उदाहरण के लिए, किसी विशिष्ट नेटवर्क खंड के लिए, केवल Windows, macOS, या Linux उपकरणों को अनुमति दें।
देश आवश्यकताएँ जोड़ना
देश शर्त आपको उपकरण के IP जियो-लोकेशन के आधार पर नियम से मेल खाने वाले ट्रैफिक का स्रोत परिभाषित करने देती है। उदाहरण के लिए, शाखा कार्यालय के लिए साइट पर पहुंच प्रतिबंधित करें, ताकि केवल उन्हीं उपकरणों को कनेक्ट करने की अनुमति हो जो कार्यालय के समान देश में स्थित हों।
डिवाइस प्रोफाइल आवश्यकताएँ जोड़ना
प्रोफ़ाइल शर्त आपको नियम को केवल उन उपकरणों के लिए मिलान करने के लिए प्रतिबंधित करती है जो डिवाइस प्रोफ़ाइल की आवश्यकताओं को पूरा करते हैं। यह शर्त डिवाइस मुद्रा विशेषता पर आधारित है, जो जाँचती है कि क्या उपकरण मुद्रा आवश्यकताओं को पूरा करता है। उदाहरण के लिए, केवल उन उपकरणों में जो नवीनतम एंटी-मैलवेयर सॉफ़्टवेयर संस्करण है मुद्रा आवश्यकताओं को पूरा करते हैं।
डिवाइस प्रोफाइल वर्तमान में सभी क्लाइंट संस्करणों पर समर्थित नहीं हैं, अधिक जानकारी के लिए देखें डिवाइस मुद्रा प्रोफाइल और डिवाइस जांच बनाना।
समर्थित नहीं Cato क्लाइंट के साथ कार्य करना
फ़ायरवॉल केवल यह निर्धारित कर सकता है कि क्लाइंट समर्थित क्लाइंट के लिए डिवाइस चेक से मेल खाता है। प्रत्येक डिवाइस जांच के लिए, आप उन क्लाइंट के लिए व्यवहार को परिभाषित कर सकते हैं जो अन्य आवश्यकताएँ फ़ायरवॉल नियम (स्रोत, एप्लिकेशन/श्रेणी, आदि) से मेल खाते हैं लेकिन समर्थित नहीं हैं:
डिवाइस जांच छोड़ें, और फ़ायरवॉल कार्रवाई को अनसपोर्टेड क्लाइंट्स पर लागू करें
डिवाइस जांच लागू करें, और क्लाइंट फ़ायरवॉल नियम से मेल नहीं खाता और कार्रवाई लागू नहीं होती है
निम्न तालिका बताती है कि जब कनेक्शन फ़ायरवॉल नियम की सभी अन्य सेटिंग्स से मेल खाता है, तो अनसपोर्टेड क्लाइंट्स के लिए व्यवहार कैसा होगा। व्यवहार इस बात पर निर्भर करता है कि डिवाइस जाँच में असमर्थित SDP क्लाइंट संस्करण के लिए इस जाँच को छोड़ें विकल्प सक्षम है या साफ़ किया गया (अक्षम है)।
असमर्थित क्लाइंट | फ़ायरवॉल नियम कार्रवाई | क्लाइंट व्यवहार |
|---|---|---|
जाँच छोड़ें (सक्षम) | अवरुद्ध करें | असमर्थित क्लाइंट्स स्वचालित रूप से डिवाइस चेक छोड़ते हैं और अवरोधित होते हैं (वे कनेक्ट नहीं कर सकते) |
अनुमति दें | असमर्थित क्लाइंट्स स्वचालित रूप से डिवाइस चेक छोड़ते हैं और अनुमति प्राप्त करते हैं (वे कनेक्ट कर सकते हैं) | |
जाँच लागू करें (अक्षम) | अवरुद्ध करें | असमर्थित क्लाइंट्स डिवाइस चेक से मेल नहीं खाते, फ़ायरवॉल इस नियम को छोड़ता है (कनेक्शन पर अवरोधित क्रिया लागू नहीं करता है) |
अनुमति दें | असमर्थित क्लाइंट्स डिवाइस चेक से मेल नहीं खाते, फ़ायरवॉल इस नियम को छोड़ता है (कनेक्शन पर अनुमति देने की क्रिया लागू नहीं करता है) |
उपकरण मूल आवश्यकताएँ जोड़ना
कनेक्शन का स्रोत शर्त आपको उपकरण के जियोलोकेशन को परिभाषित करने की अनुमति देती है जो नियम से मेल खाता है। उदाहरण के लिए, किसी साइट के पीछे संवेदनशील जानकारी तक पहुंच की अनुमति दें, लेकिन जब दूरस्थ रूप से काम कर रहे हों तो नहीं।
उपयोगकर्ता विशेषता आवश्यकताएँ जोड़ना
उपयोगकर्ता विशेषता शर्त आपको किसी उपयोगकर्ता के जोखिम स्कोर या विश्वास स्तर के आधार पर मानदंड परिभाषित करने देती है। यह उदाहरण एक इंटरनेट फ़ायरवॉल नीति का है जो सभी उपयोगकर्ताओं के लिए Salesforce तक पहुँच को अवरुद्ध करता है जिनका विश्वास स्तर कम विश्वसनीय है।
विश्वास स्तर विशेषता का उपयोग करने से आपको संवेदनशील संसाधनों तक पहुँचते समय उच्च स्तर के प्रमाणीकरण की आवश्यकता लागू करने की अनुमति मिलती है।
जब पहुँच को अवरुद्ध किया जाता है, आप एक कस्टम टेम्पलेट लागू कर सकते हैं जो उपयोगकर्ता को बताता है कि उन्हें क्यों अवरुद्ध किया गया और उन्हें क्या करना है।
डीएनएस नीति में उपकरण स्थितियाँ विन्यस्त करना
आप किसी नए या मौजूदा फ़ायरवॉल नियम में उपकरण मापदंड सेटिंग्स कॉन्फ़िगर कर सकते हैं।
फ़ायरवॉल नियम के लिए उपकरण शर्तें कॉन्फ़िगर करने के लिए:
नेविगेशन फलक में सुरक्षा अनुभाग से, इंटरनेट फ़ायरवॉल या वान फ़ायरवॉल चुनें।
एक नया नियम बनाने के लिए नया पर क्लिक करें, या मौजूदा नियम के लिए मानदंड कॉलम में संपादन आइकन
पर क्लिक करें।मानदंड अनुभाग में, इस नियम से मेल खाने के लिए आवश्यक उपकरण विशेषताएँ, प्लेटफार्म, देश, और प्रोफ़ाइल कॉन्फ़िगर करें।
क्लिक करें लागू करें।
नियम के लिए मानदंड शर्तें सक्रिय हैं।
उपकरण स्थितियों के साथ नमूना फ़ायरवॉल नियम
यह एक वैन फ़ायरवॉल नियम का उदाहरण है जो सभी एसडीपी उपयोगकर्ता के लिए दोनों दिशाओं में ट्रैफ़िक की अनुमति देता है जो सभी निम्नलिखित उपकरण शर्तों का मिलान करते हैं: विंडोज ओएस उपकरण का उपयोग करते हुए, भौतिक रूप से दक्षिण कोरिया में स्थित है, और परीक्षण नीति डिवाइस प्रोफ़ाइल की आवश्यकताओं का मिलान करता है।
यह इंटरनेट फ़ायरवॉल नियम का एक उदाहरण है जो सामाजिक श्रेणी को अवरोधित करने वाले नियम का अपवाद है। अपवाद निम्नलिखित उपकरण शर्तों का मिलान करने वाले ट्रैफ़िक को अनुमति देता है: विंडोज या macOS उपकरण का उपयोग करते हुए और भौतिक रूप से संयुक्त राज्य अमेरिका में स्थित है।
उपयोगकर्ता विशेषताओं के साथ नमूना फ़ायरवॉल नियम
यह एक उदाहरण है जहां एक इंटरनेट फ़ायरवॉल नियम सेल्सफोर्स के लिए ट्रैफ़िक को कम विश्वास स्तर के सभी उपयोगकर्ताओं के लिए अवरुद्ध करता है।
जब कोई उपयोगकर्ता अवरुद्ध होता है, उन्हें एक समर्पित ब्लॉक पृष्ठ पेश किया जाता है जो उन्हें सूचित करता है कि सेल्सफोर्स में पहुँच पाने के लिए उन्हें क्या करना चाहिए।
फ़ायरवॉल उपकरण स्थितियों को लागू करने के लिए सर्वोत्तम प्रथाएं
अनुमति दें कार्रवाई के साथ नियमों में प्रोफ़ाइल डिवाइस मुद्रा जोड़ें
उपकरणों को कनेक्ट करने की अनुमति देने के लिए न्यूनतम आवश्यकताओं के साथ उपकरण प्रोफ़ाइल परिभाषित करें (जो उपकरण इन आवश्यकताओं को पूरा नहीं करते हैं वे अवरुद्ध हैं)