Una Rule Base che si lascia leggere

Una policy vive per anni e passa di mano: le funzionalità che la rendono leggibile non sono decorazioni, sono manutenzione. SmartConsole mette a disposizione la colonna Name per battezzare ogni regola e la colonna Comment, descritta nella documentazione come il campo facoltativo che ti permette di riassumere la regola: è il posto dove scrivere il perché — il ticket, il progetto, la data di scadenza dell’eccezione — non il cosa, che si legge già dalle altre colonne.

Le sezioni (i section title) raggruppano regole contigue sotto un’intestazione che si può richiudere: “Accesso amministrativo”, “Server DMZ”, “Eccezioni temporanee”. Una sezione non cambia il comportamento del motore, che continua a valutare le regole in ordine, ma cambia la probabilità che il collega di turno capisca dove va inserita la prossima regola.

Per la struttura vera, invece, la documentazione indica i Layer: “Use Layers to add structure and hierarchy of rules in the Rule Base”. Sezioni per leggere, Layer per organizzare l’ispezione. Utile anche la pratica suggerita dal vendor per il lavoro in corso: disabilita una regola mentre ci stai lavorando e riabilitala quando vuoi usarla, invece di lasciarla attiva a metà.

Quello che dicono i numeri

La colonna Hits mostra il numero di connessioni che hanno corrisposto a ogni regola. Hit Count è globalmente abilitato per default sui Security Gateway supportati e conta in modo indipendente dal tracking: una regola con Track impostato su None continua ad accumulare hit. L’intervallo di tempo è selezionabile (All, 1 day, 7 days, 1 month, 3 months) e il valore predefinito è 3 mesi; l’indicatore va da Zero a Very High.

Attenzione a come si legge quel numero: gli hit non vengono accumulati per i gateway non supportati o per quelli in cui Hit Count è stato disabilitato. Uno zero può quindi significare “nessuno ha mai usato questa regola” oppure “nessuno dei gateway che la applicano sa contare”.

Policy Insights fa il passo successivo: analizza la policy e il traffico e segnala regole mai colpite, oggetti mai colpiti, oggetti troppo ampi che potrebbero essere sostituiti con alternative più specifiche e regole disabilitate. Si apre dal pulsante Insights in alto a sinistra sulla Access Control Rule Base, oppure dalla scheda Insights nel riquadro inferiore per la singola regola. Richiede versioni minime lato management e SmartConsole.

Publish, verifica, Install Policy

Il ciclo di lavoro ha due momenti distinti che l’esame ama confondere. Publish rende visibili agli altri amministratori le modifiche fatte nella tua sessione; Discard le butta via. Nessuno dei due tocca il traffico. Solo Install Policy porta le regole sui gateway.

L’installazione non è una copia: prima parte una verifica. Il sistema esegue una verifica euristica sulle regole per accertarsi che siano coerenti e che non ci siano regole ridondanti, controlla che ogni Security Gateway applichi almeno una delle regole, e poi distribuisce il database degli utenti e quello degli oggetti ai target selezionati. La distinzione da memorizzare è netta: se la verifica produce errori, la policy non viene installata; se produce avvisi — per esempio un problema di anti-spoofing — l’installazione può proseguire.

Due dettagli operativi di R82. L’Accelerated Install Policy riduce sensibilmente la durata dell’installazione a seconda delle modifiche fatte alla policy di Access Control dall’ultima installazione. La Concurrent Install Policy permette a uno o più amministratori di lanciare installazioni di policy diverse su gateway diversi nello stesso momento, fino a un massimo di 5 task contemporanei; gli altri restano in coda e si seguono dalla finestra Recent Tasks in basso a sinistra. Riguarda solo Access Control e Threat Prevention, non Desktop e QoS, e non consente di installare Access Control e Threat Prevention sullo stesso gateway nello stesso momento.

Trappole tipiche d’esame

  • Publish non installa. Lo scenario classico: l’amministratore ha pubblicato la sessione e il traffico non cambia. La risposta non è “attendere la sincronizzazione”, è Install Policy.
  • Errore contro avviso. Se la domanda dice che l’installazione è fallita, cerca un errore di verifica: gli avvisi, come l’anti-spoofing, lasciano proseguire. Se la domanda dice che la policy è stata installata “nonostante l’avviso”, non è un bug.
  • Hit Count a zero non significa regola inutile. Prima di cancellare, verifica che Hit Count sia abilitato e che i gateway interessati lo supportino, e controlla l’intervallo selezionato: tre mesi è solo il default.
  • Policy Insights cancella davvero. L’azione sulle regole disabilitate le rimuove in modo permanente dalla Rule Base: non è un filtro di visualizzazione.
  • Il limite dei 5 task è per installazioni diverse. Le richieste oltre il limite non falliscono, vanno in coda; e Access Control e Threat Prevention non si installano insieme sullo stesso gateway.
  • Commenti e sezioni non cambiano il matching. Una domanda che propone “spostare la regola in un’altra sezione” come soluzione a un problema di traffico sta offrendo un distrattore: conta solo la posizione nell’ordine.