Blockieren von Facebook und Bittorrent mit der Firewall von PaloAlto Networks

We covered blocking Facebook, Twitter and BitTorrent using Paloalto networks firewall by creating an application filter and specifying the required parameters to identify social media pattern in user traffic.

Cyber Security Study Notes

SOC Analyst Study Notes

Höhepunkte

What is a Firewall?

A firewall is software or hardware that monitors the network traffic and compares it against a set of rules before passing or blocking it. The most basic firewall should be able to inspect at least the packet’s protocol, source and destination port and IP addresses.

Firewall-Typen basierend auf Paketfilterung

• Paketfilter-Firewalls oder als Stateless Firewalls bezeichnet. Diese Firewalls prüfen jedes Datenpaket, während es durch ein Netzwerk reist. Sie entscheiden, ob ein bestimmtes Paket basierend auf den konfigurierten Regeln blockiert wird.
• Firewalls auf Anwendungsebenekann ein physisches Gerät sein, das seine eigene Hardware verwendet, oder softwarebasiert, das auf einem anderen Rechner installiert ist, wie ein Plug-in oder ein Filter. Diese Arten von Firewalls zielen auf Anwendungen ab und überwachen deren Verhalten. Wenn sie beispielsweise vor einem Webserver platziert werden, können sie Anfragen für HTTP-Verbindungen prüfen und ungewöhnliche Datenfluten blockieren, die auf einen DOS-Angriff hinweisen.
• Circuit-level firewalls check whether TCP and UDP connections across a network are valid before data is exchanged. For example, this type of firewall might first check whether the source and destination addresses, the user, the time, and the date meet certain defined rules. Data is exchanged between parties without further investigation when these checks pass, and a session starts.
• Proxyserver-Firewallsoder als Web Application Firewalls bezeichnet. Sie kontrollieren die Informationen, die in ein Netzwerk hinein- und hinausgehen. Diese Fähigkeit bedeutet, dass der Server Datenanfragen an ein Netzwerk und von einem Netzwerk überwachen, filtern und zwischenspeichern kann. Firewall-Proxyserver bieten allen Geräten in einem Netzwerk einen sicheren Internetzugang. Wie in der Abbildung unten dargestellt, kann ohne den Proxyserver keine Kommunikation zwischen dem Client-Rechner und dem Internet stattfinden.
• Zustandsbehaftete FirewallsÜberprüfen Sie Verbindungen in einem Netzwerk. Wenn der Datenverkehr die Firewall erreicht, überwacht sie alle Pakete, die sie passieren, und speichert eine Kombination von Informationen über die Pakete in einer Statustabelle. Die Statustabelle verfolgt Sitzungen, indem sie Portnummern aufzeichnet, wenn Sitzungen innerhalb des Netzwerks beginnen und außerhalb des Netzwerks übertragen werden. Das Sammeln dieser Informationen hilft der Firewall zu erkennen, wie legitimer Datenverkehr mit den richtigen Portnummern bei seiner Rückkehr aussehen sollte, und ermöglicht so legitime Antworten zurück in das Netzwerk. 
• Firewalls der nächsten Generation perform many of the same functions as stateful firewalls but with more functions from other types of firewalls, such as packet filtering and VPN support. This type of firewall also investigates packets more thoroughly compared to stateful firewalls. For example, a next-generation firewall can examine the payload for each packet and inspect it for suspicious characteristics and malware. Examples include the Juniper SRX series and Cisco Firepower.

Blocking and Allowing Social Media Such as Facebook, Twitter using Paloalto Firewall

1)set up a default policy to all users and default URL profile A to block social networking sites.

2) create another policy on the top of the default policy and create another URL profile B and apply this profile to the security policy. In this URL profile block all the social networking websites and in the allow list type this *.facebook.com/*. This will allow only facebook and will block all other social media sites to these users.

Additionally, Palo Alto Networks recommends creating a security policy in the firewall to block the QUIC application. With the QUIC traffic getting blocked by the Firewall, the Chrome browser will fall back to using traditional TLS/SSL. Note that this will not cause the user to lose any functionality on their browser. Firewall gains better visibility and control of Google applications with or without the SSL decryption enabled. 

Video-Komplettlösung