pfSense einrichten

Verwenden Sie diese Anleitung, um Cybora in pfSense über URL Table Aliases einzubinden. In nativen pfSense-Umgebungen ist dies der direkteste Weg, einen externen IP-basierten Threat Feed zu verwenden und in Firewall-Regeln anzuwenden.

Was pfSense mit einem Cybora-Feed machen kann

• pfSense kann entfernte IP-basierte Feeds in URL Table Aliases laden.
• Der Alias kann dann in Firewall-Regeln überall dort verwendet werden, wo Network Aliases unterstützt werden.
• Dieser native Workflow eignet sich am besten für IP-basierte Cybora-Feeds.
• Native pfSense URL Table Aliases aktualisieren sich auf tagebasierter Grundlage und eignen sich daher eher für tägliche Feed-Abrufe als für sehr häufige Updates.

Bevor Sie beginnen

• Verwenden Sie eine pfSense-Version, die URL Table Aliases unterstützt.
• Stellen Sie sicher, dass die Firewall Ihre Cybora-Feed-URL über HTTPS erreichen kann.
• Verwenden Sie einen IP-basierten Cybora-Feed, da der native URL-Table-Alias-Workflow für entfernte IP-Daten ausgelegt ist.
• Halten Sie den Feed im Plain-Text-Format mit einer IP-Adresse pro Zeile.

Alias erstellen

1. Gehen Sie zu Firewall > Aliases und fügen Sie einen neuen Alias hinzu.
2. Geben Sie einen klaren Alias-Namen und eine Beschreibung ein.
3. Setzen Sie Type auf URL Table (IPs).
4. Fügen Sie Ihre Cybora-Feed-URL in das URL-Feld ein.
5. Setzen Sie das Update-Intervall. Bei nativen pfSense URL Table Aliases ist das Aktualisierungsintervall tagebasiert. Wählen Sie einen Wert, der innerhalb Ihres Cybora-Plans bleibt, und fragen Sie den Feed nicht häufiger ab als erlaubt. Innerhalb des erlaubten Intervalls ist nur eine Abfrage zulässig. Zu häufiges Polling kann dazu führen, dass der Feed blockiert wird.
6. Speichern Sie den Alias und übernehmen Sie die Änderungen.

Alias in Firewall-Regeln anwenden

1. Öffnen Sie die Firewall-Regel, in der Sie die importierten Indikatoren durchsetzen möchten.
2. Verwenden Sie den Cybora-Alias als Source oder Destination, je nach Policy-Design.
3. Setzen Sie die Regelaktion so, dass passender Traffic wie gewünscht blockiert oder verworfen wird.
4. Aktivieren Sie Logging auf der Regel, damit Sie Treffer später bestätigen können.
5. Übernehmen Sie die Firewall-Änderungen.

Validierung

1. Öffnen Sie den Alias und prüfen Sie, ob die entfernten Inhalte erfolgreich geladen wurden.
2. Bestätigen Sie, dass der Alias in der vorgesehenen Firewall-Regel erscheint.
3. Prüfen Sie die Firewall-Logs, um zu bestätigen, dass passender Traffic von der Regel blockiert wird, die den Alias referenziert.
4. Falls nötig, prüfen Sie die Alias-Tabelleninhalte, um zu bestätigen, dass die erwarteten Indikatoren vorhanden sind.

Weiterführende Links

• Alias Types
• Firewall Rules