About yyu

解决办法： 我的防火墙还能做什么？自定义应用程序和应用程序覆盖!   根据你的环境，你可能有自定义创建的专有应用程序或你只想用自定义名称识别的流量。你可能正在运行一个通常被Palo Alto Networks防火墙识别为网络浏览的网络服务，使你更难创建报告，或者你可能想将QoS应用于使用共同App-ID的一组特定连接。   为了解决这些问题，你可以创建与流量中的某个签名相匹配的自定义App-ID，或者使用应用程序覆盖来简单地强迫某些会话被识别为你配置的应用程序。   基于签名的自定义应用程序依赖于App-ID引擎来积极地识别通过防火墙的数据包中的签名。如果你试图识别一个使用可预测或容易识别的签名的专有应用程序，你可以使用regex创建一个自定义应用程序来帮助识别签名。   基于签名的自定义应用程序ID   当我们仔细观察从前往服务器的流量中捕获的数据包时，一个可识别的签名可以是主机名。   要创建一个自定义应用程序，请前往应用程序并创建一个新的应用程序。设置应用程序属性，如果适用，设置父应用程序：当流量目前已经被识别为一个应用程序时，父应用程序被使用。这将有助于App-ID正确报告定制的应用程序。如果是目前没有被App-ID识别的专有应用程序，父应用程序可以保留为'无'。   在 "高级 "选项卡中，你可以设置该应用程序将使用的端口或协议，还可以设置该应用程序是否可以被扫描以获取威胁。然而，有一些注意事项是需要考虑的。   如果自定义应用程序的扫描选项未被选中，威胁引擎将在自定义应用程序被识别后立即停止检查流量。 如果自定义应用程序没有可以通过常规App-ID识别的父应用程序，或用于应用程序覆盖（见下文），则不能对其进行威胁扫描。   在签名标签中，你可以添加识别应用程序所需的所有签名。可以指示App-ID引擎在单个交易（从客户端到服务器或从服务器到客户端的单个数据包）或整个会话（一个或多个签名可能分布在任一方向的几个数据包中）中寻找潜在的签名。在哪里寻找签名以及在哪种情况下寻找签名，有很多选项可用。多个签名集也可以在 "AND "或 "OR "条件下添加。   如果这一切看起来有点令人困惑，不要担心--我在最后添加了几篇有用的文章，将更深入地解释自定义签名可以实现什么。现在，我们将保持简单，在http请求主机头中寻找签名。 我的签名将仅仅是主机名称的regex友好格式。这意味着在点的前面需要有一个反斜杠，以表示点是一个字符而不是通配符。我还将把限定符设置为http-method GET，以表明签名可以在GET请求中找到。 一旦这个自定义应用程序被提交，防火墙将开始识别所有连接到我的网络服务器的新应用程序。 我们现在可以根据定制的应用程序创建报告，并具体监测什么样的流量正在冲击我们的网站。   如果应用程序可以很容易地被识别，上述步骤将完美地工作，但有时可能没有必要甚至不可能查看数据流并识别某个签名。   应用覆盖 应用程序覆盖强行绕过AppID过程，并设置会话以匹配手动配置的应用程序名称。任何像这样处理的会话都不会被并行处理所扫描，而会被卸载到fastpath。   对于大多数使用情况，我们建议创建一个简单的自定义应用程序，属性尽可能少，因为应用程序覆盖将绕过扫描或签名检测。它将简单地将一个会话识别为自定义应用程序，并不采取进一步的行动。这可能是一个非常简单但强大的工具，有助于识别内部应用程序，并提高吞吐量，因为会话被立即卸载到硬件，但请考虑安全影响。   ... View more

在防火墙上，防病毒配置文件阻止恶意文件。如果你怀疑被阻止的文件是良性的，你可以向PaloAlto支持部门申请改变该文件的判决。将文件判决改为良性将使签名失效。   环境 所有PAN-OS版本。 原因 一个良性的文件模式与一个恶意软件文件的模式相匹配。   解决方法 我们需要一些必要的项目来快速解决。请通过开案主动收集以下数据，以便我们能快速工作。   所需的信息 1. 防病毒和野火签名包的当前版本。     1）CLI的 "显示系统信息 "的输出。     2）或从 PA 防火墙的 "仪表板小工具-->一般信息 "显示当前版本信息。 2. 文件信息。 1）我们需要关于文件的信息；以下任何信息都足够好。 触发每个AV签名的实际样本文件，用密码 "已感染 "进行压缩（zip）。你可以使用任何简单的zip或压缩工具。保护ZIP文件的密码将确保附件在上传支持系统时不会被任何主机或基于网络的安全设备所剥离。同时添加sha256哈希值以确保文件的完整性。 2）如果它是一个众所周知的应用程序，请提供一个可公开访问的URL。请注意，"公共应用程序 "是指无需创建账户即可下载的文件。 3）如果该文件有敏感信息，并且你不想分享它，请提供该文件的sha256哈希值。如果不提供实际样本，我们可能无法确认假阳性。 3.威胁日志。 请以CSV格式导出这些事件的威胁日志，并上传至案件。必须过滤掉并只收集相关的日志；不必要的日志会使文件变大，难以上传。 4.围绕你为什么怀疑这些AV警报的背景是不真实的。 -这是你的应用程序，由你的内部团队开发？ -这个文件或应用程序是来自一个受信任的第三方吗？ -这个文件是由受信任的一方签署的吗？ -使用时的协议是什么？虽然这些信息可以通过威胁日志来识别，但是，如果能加上这些信息就更好了。 -这个文件是否经过内部分析？你是否检查过任何其他声誉来源，如VirusTotal的判决？ -重要提示：如果文件的哈希值不在VirusTotal中，我们不建议将样本上传到VT。 在VT中，任何人都可以看到并下载它，这意味着你与公众分享你的信息。 5.请提供触发的威胁警报的名称和线程ID。从威胁日志中获取触发的威胁警报的屏幕截图/文本输出。监控 > 威胁 -> 点击放大镜图标将为您提供更多细节，如下图所示。即，威胁ID为377248044，威胁名称：Virus/Win32.WGeneric.aplnvy     ... View more

症状 漏洞假阳性，即良性网络流量被识别为漏洞并触发漏洞签名。   环境问题 所有PAN-OS版本。 原因 流量可能被误认为是漏洞之一。   解决方法 漏洞签名是以网络流量为基础的，因此，重点在于签名启动时在网络上看到的数据，并怀疑它是一个假阳性。提供以下内容是最重要的: 1.一个完整的解密数据包，包括完整的TCP/UDP交易和包括一个触发签名的合适的关闭。 2.你的防火墙上的当前应用和威胁数据包。 3.签名的名称和威胁的ID 4.威胁日志。   为什么是解密的数据包捕获？ 1.我们需要解密的 pcap。 解密的 pcap 可以用来在实验室环境中重放，以重现问题，同时解密的数据包也可以显示流量模式。 2.这可以通过各种方式进行，如通过防火墙与解密端口镜像或在Windows和MacOS上的终端本身。 3.请注意，对于间谍软件签名类型，有时扩展的数据包捕获就足够了，但对于漏洞签名，最好是完整的数据包捕获。   为什么要进行完整的数据包捕获？ 1.漏洞签名假阳性调查需要客户提供的数据包捕获。PaloAlto的技术支持通过在实验室重放数据包捕获来重现这个问题。 2.完整的数据包捕获也提供了额外的 "背景"，当确定警报是否是假阳性。 3.针对特定威胁特征ID的扩展数据包捕获不是解决假阳性的理想方案，因为数据包捕获将在违规会话的中途开始捕获。这将导致缺乏会话创建（SYN / SYN-ACK / ACK）的数据包捕获，在没有被篡改的情况下无法正确重放。   操作步骤 1.当前的应用程序和威胁版本。从防火墙的CLI中收集 "显示系统信息 "的输出，或从WebGUI的Dashboard中复制 "一般信息 "窗格。这将显示当前的应用程序和威胁版本。 2.威胁日志。确定问题的再现方法。这可能涉及到与产生触发签名的流量的主机或服务器的互动，或者用不太直接的方法确定签名定期触发的共同来源/目的地/时间。这可以通过评估威胁日志中的可用数据来实现。转到WebGUI > 监控 > 威胁。 3.一旦确定了违规流量的可靠来源和/或目的地，就可以创建数据包捕获。这可以通过网络管理员认为合适的任何方式进行。 在客户端/服务器上基于主机的数据包捕获是可以的，只要它们包括完整的会话创建和产生签名的流量（Wireshark和TCPDUMP是两个例子）。 从PAN-OS设备上抓取数据包也是一种可能! 完整的数据包捕获可以通过过滤特定的流量来产生。 4.威胁ID：请提供被触发的威胁ID号，以及被触发的威胁名称。或者，触发的威胁日志截图也够了。 5.提供背景资料，说明为什么认为该签名触发是假阳性。一些例子可能包括: 1)漏洞签名中对目标操作系统/产品的描述与环境中使用的产品或应用程序不一致。例如，看到一个漏洞签名触发器指定了一个供应商名称、操作系统或应用程序，而众所周知，这个供应商名称、操作系统或应用程序并没有在网络上使用（并且已经被确认为没有在使用）。 2)该流量在被报告之前经过了内部分析，是安全的。 6. 一旦所有这些数据都被收集起来并放入支持案例中，就可以对数据包捕获进行分析，并得出判决和可能的修复. 其他信息: 在SSL/TLS加密流量的情况下，需要对数据包的捕获进行解密。这可以通过各种方式完成，如通过防火墙与解密端口镜像或在Windows和MacOS上的终端本身。 ... View more

症状 文档提供了关于设置IPSEC隧道的信息。这篇文章提供了一个带有屏幕截图和IP地址的例子。   环境 Palo Alto 防火墙 IPSEC VPN配置 支持的PAN-OS   拓扑 解决办法 注意：Palo Alto Networks只支持IPSec VPN的隧道模式。IPSec VPN不支持传输模式。  步骤1 进入 "网络">"接口">"隧道 "标签，点击 "添加 "创建一个新的隧道接口，并指定以下参数。 名称： tunnel.1 虚拟路由器：（选择你希望你的隧道接口所在的虚拟路由器） 安全区：（为隧道接口配置一个新的安全区，以便更精细地控制进出隧道的流量）。     注意：如果隧道接口所处的区域与流量起源或离开的区域不同，那么就需要一个策略来允许流量从源区域流向包含隧道接口的区域。 在隧道接口上配置ip-address是可选的。如果你打算在隧道接口上运行动态路由协议，就需要IP-address。 第2步 转到网络 > 网络配置文件 > IKE加密。 点击添加并定义IKE加密配置文件（IKEv1阶段1）参数。 名称并不重要，可以是任何你喜欢的。 这些参数应该在远程防火墙上匹配，以便IKE Phase-1协商成功。   第3步 进入网络 > 网络配置文件 > IKE网关，配置IKE阶段1的网关。 版本。版本有选项，你可以选择只有IKEv1模式、只有IKEv2模式或IKEv2首选模式。 选择网关支持的IKE版本，并且必须同意与对等网关一起使用。IKEv2首选模式使网关进行IKEv2协商，如果对等方也支持IKEv2，他们就会使用该模式。否则，网关将退回到IKEv1。 接口。连接到互联网的外部接口。 本地和对等体识别。定义本地/对等网关的格式和标识，它们与预共享密钥一起用于IKEv1第一阶段SA和IKEv2 SA的建立。 选择以下类型之一并输入数值。FQDN（主机名）、IP地址、KEYID（二进制格式的HEX ID字符串）、或用户FQDN（电子邮件地址）。如果不指定数值，网关将使用本地/对方的IP地址作为本地/对方的识别值。   点击 "高级选项 "标签   启用被动模式 - 防火墙仅处于响应者模式。防火墙将只响应IKE连接，而不会发起连接。 交换模式 - 设备可以接受主模式和攻击性模式的协商请求；但是，只要有可能，它就会发起协商并允许在主模式下进行交换 步骤 4 在 "网络">"网络配置文件">"IPSec加密 "下，单击 "添加 "创建新的配置文件，定义IPSec加密配置文件以指定协议和算法，用于基于IPSec SA协商（IKEv1阶段2）的VPN隧道的识别、验证和加密。 这些参数应在远程防火墙上匹配，以使IKE第二阶段的协商成功。   第5步 在网络 > IPSec隧道下，点击添加创建一个新的IPSec隧道。 在常规窗口中，使用上面的隧道接口、IKE网关和IPSec加密配置文件来设置参数，以便在防火墙之间建立IPSec VPN隧道。   注意：如果隧道的另一端是支持基于策略的VPN的对等体，你必须定义代理ID 当配置IPSec隧道的Proxy-ID配置来识别被NAT化的流量的本地和远程IP网络时，IPSec隧道的Proxy-ID配置必须配置Post-NAT的IP网络信息，因为Proxy-ID信息定义了IPSec配置中允许通过隧道两边的网络。   第6步 在网络 > 虚拟路由器下，点击你的虚拟路由器配置文件，然后点击静态路由。 为另一个VPN端点后面的网络添加一个新的路由。使用适当的隧道接口。 完成后点击确定。   第7步 配置所需的安全规则/政策 允许IKE协商和IPSec/ESP数据包。默认情况下，IKE协商和IPSec/ESP数据包将通过区域内的默认允许被允许。 如果你希望有更精细的控制，你可以特别允许所需的流量，而拒绝其他的流量。   允许传入和传出的流量通过隧道。如果你需要对传入和传出的流量进行细化控制，你可以为每个方向创建单独的规则。 第八步 提交配置。 注意。 只有当有有趣的流量指向该隧道时，该隧道才会出现。 要手动启动隧道，检查状态和清除隧道请参考。 如何检查状态、清除、恢复和监控IPSEC VPN隧道。   ... View more

解决办法： 为了将本地管理的防火墙添加到Panorama，首先你需要将防火墙配置导入到Panorama。当导入防火墙配置时，Panorama自动创建一个模板（template），以包含导入的网络（Network)和设备(Device)设置。为了包含导入的策略(Policies)和对象(Objects)，Panorama自动创建一个设备组(Device Group)。   你可以导入运行PAN-OS 5.0或更高版本的防火墙的配置到Panorama上。不过支持这些配置导入的Panorama的版本（Panorama 7.0或更高版本）不能将配置推送或导出到运行PAN-OS 6.0.3或更早版本的防火墙。   步骤： 1. 将防火墙添加到Panorama管理的设备列表中。登录Panorama，选择Panorama > Managed Devices，然后点击Add。输入防火墙的序列号，并点击确定。提交。对于提交类型，选择Panorama，并再次点击提交。 2. 设置从防火墙到Panorama的连接。登录到防火墙，选择 "设备">"设置"，并编辑 "Panorama设置"。在 Panorama 服务器字段中，输入 Panorama 管理服务器的 IP 地址。单击 "确定 "并提交。 3. 将防火墙配置导入Panorama。从 Panorama，选择 Panorama > 设置 > 操作，单击导入设备配置到 Panorama，并选择设备。Panorama不能从分配给现有设备组或模板的防火墙导入配置。 4. 通过Panorama > Config Audit > Go比较运行和候选配置，验证配置被正确和完整地导入。如果配置是好的，单击 "提交 "并提交到类型 Panorama。 5. 将设备配置包推送到防火墙，以便从本地配置中删除所有策略和对象。进入Panorama > Setup > Operations，点击 "Export or push device config bundle"。选择你导入配置的设备，单击 "确定"，然后单击 "推送和提交"。 6. 进行任何必要的配置修改，并将你的修改提交给设备组。点击提交，在提交类型中选择设备组。选择与设备候选配置合并（Merge with Device Candidate Config），选择 "包括设备和网络模板（Include Device and Network Templates） " 复选框，然后点击提交。   ... View more