O que é o Cato Internet Firewall?

Este artigo fornece informações de fundo sobre o firewall de Internet para sua conta.

Para mais informações sobre como configurar o firewall de Internet, consulte Gerenciando a Política de Firewall de Internet.

Visão Geral

O firewall da Internet inspeciona o tráfego entre a WAN e a Internet e permite que você crie regras para controlar esse tráfego. Semelhante ao firewall WAN, o firewall da Internet usa uma base de regras ordenada; começando pela primeira regra, as conexões são inspecionadas de acordo com cada regra. O firewall de Internet usa uma abordagem de lista negra. Isso significa que há uma regra implícita ANY - ANY para permitir qualquer tráfego e conexões que não são explicitamente bloqueadas na base de regras. O firewall de Internet também inclui funcionalidade completa da camada 7 com reconhecimento de usuário, e você pode criar regras para aplicativos específicos. Por exemplo, você pode usar o firewall de Internet para:

• Bloquear website específico, como Facebook ou LinkedIn

• Bloquear categorias de websites inadequados, como Armas, Álcool e Jogos

• Permitir apenas ao departamento de TI o uso de aplicações de administração remota (SaaS e IaaS)

Entendendo Insights Autônomos de Firewall

Os "Insights Autônomos de Firewall" são uma lista de Melhores Práticas que avaliam sua política de "Firewall de Internet" e mostram como elas cumprem com as recomendações da "Cato". Seguir essas recomendações otimiza suas configurações de firewall e melhora a postura de segurança.

Existem dois tipos de percepções:

• Ícone de estrela (alimentado por IA): Regras habilitadas em sua política de firewall de Internet são analisadas automaticamente por Inteligência Artificial (IA) para detectar problemas, por exemplo, regras que podem ser descartadas ou modificadas, como:

  • Regra Expirada ou Regra com Data de Expiração Futura: Regras criadas para atender a uma necessidade específica e têm uma data de corte desejável que já passou ou que ainda não foi alcançada ou não pode ser comprovada/avaliada.

  • Regra Temporária: Introduzida como uma solução de curto prazo para abordar uma necessidade imediata. Essas regras são criadas principalmente para funcionar temporariamente enquanto uma solução adequada ou permanente está sendo implementada ou desenvolvida.

  • Regra de Teste: Regras criadas explicitamente para validar, depurar ou experimentar uma funcionalidade ou cenário específico.

  • Regras Não Utilizadas: Identifica regras de firewall com ação Permitir que não geraram nenhum evento nos últimos 60 dias

  • Verificação de Regras Contraditórias: Identifica regras de firewall com predicados idênticos mas ações diferentes, o que pode criar conflitos que impedem a aplicação de regras de menor prioridade

• Baseada em Configuração: As configurações e configurações em sua política de Firewall de Internet são para garantir que sigam as Melhores Práticas.

Trabalhando com o Assistente de Configuração de Firewall de Internet

O Assistente de Configuração do Firewall de Internet revisa autonomamente sua Política de Implantação usando esses checks e Insights. Quando uma verificação falha, você pode revisar e atualizar sua política diretamente no Assistente sem editar regras individuais. Isso ajuda a manter a segurança enquanto simplifica o gerenciamento das políticas. Para mais informações, veja Usando o Assistente de Configuração.

Proteções Anti-Spoofing no Firewall da Cato

Trabalhando com Regras Ordenadas

O firewall de Internet inspeciona conexões sequencialmente e verifica se a conexão corresponde a uma regra. A regra final na base de regras é uma regra implícita de permissão ANY - ANY - então, se uma conexão não corresponder a uma regra, ela é permitida pela regra implícita final.

Regras que estão no topo da base de regras têm maior prioridade porque são aplicadas às conexões antes das regras mais abaixo na base de regras. Se uma conexão corresponder à regra #3, a ação é aplicada à conexão e o firewall para de inspecioná-la. O firewall não continua a aplicar as regras nº 4 e abaixo à conexão.

Trabalhando com Múltiplos Objetos em uma Única Regra

Quando há uma regra com objetos em várias colunas, como uma aplicação e um serviço, então há uma relação E entre eles. Por exemplo, se houver uma regra que bloqueia a aplicação Netflix para a porta 443, então o tráfego é bloqueado quando corresponde tanto à aplicação quanto à porta.

Para regras que utilizam múltiplos objetos em uma única coluna, como mais de uma aplicação, então há uma relação OU entre elas. Por exemplo, se houver uma regra que bloqueia o acesso às aplicações Netflix, iTunes e YouTube, então o tráfego é bloqueado quando corresponde a qualquer uma das aplicações.

Nota:

Nota: Cada regra pode ter no máximo 64 condições com uma relação "E" entre elas, e as exceções de uma regra são incluídas no limite da regra. Por exemplo, se houver uma regra com duas condições E (como uma fonte e um serviço), e a regra tiver 25 exceções com 3 condições E cada (como uma fonte, um aplicativo, e um serviço), então a regra tem 77 condições. Isso excede o limite suportado de 64 condições e a regra pode não funcionar corretamente. No entanto, você pode atribuir mais de 64 objetos dentro da mesma coluna de uma regra, uma vez que há uma relação OU entre eles. Por exemplo, você pode atribuir mais de 64 aplicativos em uma regra.

Entendendo o número de acertos

A contagem de acertos ajuda a identificar regras não utilizadas que podem ser removidas de uma política, e otimizar a configuração de regras para melhor corresponder ao escopo de tráfego necessário. A contagem de acertos de uma regra é baseada no número de eventos gerados pela regra. Se uma regra não gerar eventos, a contagem de acertos é zero.

A contagem de acertos contém dois números:

• O número aproximado de eventos gerados por cada regra na política

• Com que frequência a regra é atingida em relação a outras regras (classificadas por percentil)

Esses valores são atualizados uma vez a cada 24 horas e são baseados nos últimos 14 dias de tráfego.

Você pode identificar rapidamente as regras com a maior e menor contagem de acertos, com base na cor da barra de status. Essa cor reflete com que frequência a regra é atingida em relação às outras regras:

• Azul: 0 - 24º percentil

• Verde: 25º - 49º percentil

• Laranja: 50º - 74º percentil

• Vermelho: 75º - 100º percentil

Revisões de Política e Edição Simultânea por Vários Administradores

O Firewall da Internet permite que diferentes administradores editem a política em paralelo. Cada administrador pode editar regras e salvar as alterações na base de regras em sua própria revisão privada, e então publicá-las na política de contas (a revisão publicada). Para mais informações sobre como gerenciar revisões de políticas, veja Trabalhando com Revisões de Políticas.

Configurando as Configurações de Tempo para uma Regra

Você pode configurar as configurações de tempo para uma regra para que ela seja habilitada ou desabilitada em uma data e hora definidas. No menu suspenso Tempo, você pode configurar a Agenda Diária e/ou o Período Ativo.

Você pode configurar ambas as opções para que, por exemplo, a regra esteja ativa em dias úteis durante o mês de maio de 2025. Alternativamente, você pode configurar cada opção de forma independente para atender aos seus requisitos.

Entendendo a Agenda Diária

A Agenda Diária define o cronograma para quando a regra está ativa. Se um cronograma for configurado para uma regra, na tabela de regras, um símbolo de relógio é exibido na coluna Ação.

As opções para a Agenda Diária são:

• Sem restrição de tempo: Não há agenda para a regra. Este é o comportamento padrão das regras.

• Limitar às horas de trabalho: A regra está ativa apenas durante as horas de trabalho configuradas na Aplicação de Gerenciamento da Cato. Para mais sobre horas de trabalho, veja Definindo Horas de Trabalho Padrão para a Conta.

• Personalizado: Selecione o horário do dia e os dias da semana em que a regra está ativa. Desmarque a opção Recorrente e selecione a Data para a configuração de tempo da regra.

  • Recorrente: A configuração de tempo será aplicada mais de uma vez, por exemplo, todas as terças-feiras, das 09:00 às 17:00.

Entendendo o Período Ativo

O Período Ativo define o período de data e hora em que a regra está ativa em UTC. Se o campo Válido a Partir de não for selecionado, a regra estará ativa imediatamente após a regra ser salva e publicada.

Na tabela de regras, se um Período Ativo for definido, um símbolo de ampulheta é exibido na coluna Ação. A cor do símbolo reflete o status:

• Preto: A regra não está ativa e se tornará ativa no futuro

• Verde: A regra está ativa

• Vermelho: A regra expirou

Tráfego Bloqueado Relacionado ao MSA

O Acordo de Serviço Mestre (MSA) da Cato Networks define o tráfego que é potencialmente ilegal ou malicioso e que é bloqueado automaticamente. Há uma regra oculta implícita no topo da base de regras do firewall de Internet que bloqueia essas conexões.

Para mais sobre o MSA, veja MSA da Cato Networks.

Entendendo as Configurações para Regras de Firewall da Internet

Esta seção explica os campos e configurações para as regras na base de regras do firewall de Internet. Uma compreensão completa do firewall de Internet ajuda a gerenciar com sucesso o controle de acesso para a rede corporativa.

Ações de Regra

A tabela a seguir descreve as ações que cada regra de firewall pode aplicar ao tráfego da rede. Para ações que geram eventos, você pode mostrar logs de eventos em Inicial > Eventos.

Colunas de Base de Regras de Firewall da Internet

Para uma descrição das diferentes colunas da base de regras e dos itens de Fonte, Aplicativo e Categoria para regras, consulte O que é o Firewall Cato WAN? e Referência para Objetos de Regras. Diferentemente do firewall WAN, o Destino para o firewall de Internet é sempre a Internet. Quando há várias colunas configuradas para uma regra, então há uma relação E entre elas.

Definindo a Ordem da Regra

A ordem das regras é definida configurando a posição de uma regra em relação a outras regras. Por exemplo, configure uma regra para seguir uma regra específica ou para ser a primeira em uma seção.

Estas são as opções para definir a ordem das regras:

• Antes da Regra - A regra está posicionada imediatamente antes da regra selecionada

• Após a Regra - A regra posicionada imediatamente após a regra selecionada

• Primeiro na Seção - A regra está posicionada em primeiro lugar na seção selecionada

• Último na Seção - A regra está posicionada em último lugar na seção selecionada

• Primeiro - A regra está posicionada no topo da base de regras

• Último - A regra está posicionada na parte inferior da base de regras