Convalida e risoluzione dei problemi

La convalida conferma che il firewall può scaricare il feed, analizzare gli indicatori e applicare la policy prevista. Trattateli come controlli separati; un download riuscito non significa automaticamente che la policy sia attiva.

Molti problemi non derivano dal feed stesso, ma da errori URL, tipi di indicatori errati, sondaggi, certificati, limiti della piattaforma o una policy che non utilizza l’oggetto importato.

I quattro posti di blocco

Controlla un’implementazione in questo ordine:

1. Download: il firewall riesce a raggiungere l’URL HTTPS?
2. Importazione: il firewall riconosce la risposta TXT e carica le voci?
3. Politica: viene fatto riferimento all’elenco importato nella regola prevista?
4. Effetto: le corrispondenze vengono visualizzate nei registri o nei rapporti?

Questo ordine separa i problemi di connettività dai problemi di formato, licenza e policy. Solo quando tutti e quattro i punti funzionano chiaramente il feed è veramente integrato nella produzione.

Controlla il download

Controllo:

• Risoluzione DNS dal firewall o dal piano di gestione.
• Accesso HTTPS in uscita all’host del feed Cybora.
• Attendibilità del certificato e comportamento del proxy.
• URL del feed e chiave di licenza corretti.
• Intervallo di aggiornamento corrispondente al piano.
• Codice di stato HTTP e contenuto della risposta dell’URL del feed.
• Suggerimenti sul limite di velocità o sulla protezione dagli abusi dopo un polling eccessivo.

Controlla l’analisi

Se il firewall scarica il feed ma non importa alcuna voce, controlla se il tipo di feed corrisponde al tipo di oggetto firewall. Un elenco IP di solito non può essere importato in un oggetto URL puro e un feed URL potrebbe non essere accettato da un semplice alias di indirizzo.

Importante anche:

• Il feed viene fornito come testo normale.
• Ogni riga contiene esattamente un indicatore.
• I feed IP, dominio e URL devono essere importati nelle funzioni firewall corrispondenti.
• I limiti della piattaforma possono far sì che non tutte le iscrizioni vengano accettate.

Controlla la politica

Se le voci vengono importate ma il traffico non viene influenzato:

1. Conferma che la regola fa riferimento all’elenco importato.
2. Controlla l’ordine delle regole.
3. Controlla l’utilizzo dell’origine rispetto alla destinazione.
4. Confermare che la policy sia stata installata o confermata.
5. Esaminare i log per il nome della regola prevista.

Controlla l’effetto

Se download, importazione e policy sono corretti, controlla l’effetto reale:

• Sono presenti voci di registro sulla regola prevista?
• L’elenco viene utilizzato come origine o destinazione come previsto?
• Si applica una regola di autorizzazione o esclusione precedente?
• La policy è applicata all’interfaccia, alla zona o al gateway corretto?
• Il firewall ha davvero installato o confermato la versione più recente della policy?

Per i nuovi ambienti, è sensato un’implementazione controllata. Inizia con la registrazione, un ambito limitato o una policy di test se il firewall lo supporta. Solo dopo che il download, l’importazione e l’effetto politico saranno chiari, il feed dovrebbe essere utilizzato ampiamente nelle regole di blocco della produzione.

Informazioni per il supporto

Per un caso di supporto, fornisci fornitore e versione del firewall, tipo di feed, URL del feed configurato senza la chiave completa, intervallo di aggiornamento, messaggio di errore, stato HTTP, timestamp, stato del proxy e policy interessata.