Palo Alto Networks PA-4060 - Exclusive Networks

PA – 4060 – Documentación para la preventaPágina 22 de 100modelos de seguridad tradicionales, basados en lógica negativa, no pueden identificarel tráfico y por tanto la seguridad que ofrecen se basa en la búsqueda, “a ciegas”, depatrones de comportamiento que se consideran perniciosos. Esto significa que ofrecenuna visibilidad muy limitada y en muchos casos errónea, además de incurrir con mayorfacilidad en la generación de falsos positivos (detección errónea de ataques sobretráfico legítimo) o falsos negativos (no detección de ataques, cuando realmente lo son).Además de los aspectos relacionados únicamente con la seguridad, App-ID ofrece unavisibilidad sin precedentes puesto que muestra realmente las aplicaciones que circulanpor las redes, así como su comportamiento. Usada además junto con User-ID, losadministradores pueden saber quién está utilizando la aplicación en base a su identidadcorporativa, y no solamente por la dirección IP (ver capítulo posterior para encontrarinformación detallada sobre User-ID).App-ID es además capaz no solamente de identificar las aplicaciones base, sinodiferentes subaplicaciones dentro de la misma aplicación padre, que pueden ofrecercapacidades y comportamientos diversos (por ejemplo WebEx base para realizarconferencias, frente a WebEx Desktop Sharing para compartir escritorios). Con estasarmas, los administradores pueden utilizar un modelo positivo para bloquear lasaplicaciones malignas, mientras que se permiten, inspeccionan y gestionan aquellasque están permitidas. Este punto es crucial, porque la respuesta en muchas ocasionesno es solamente permitir o bloquear, sino que hay que habilitar aplicaciones, que aunconllevando riesgos, son útiles para la operativa corporativa. App-ID permiteprecisamente realizar esta habilitación controlada de las aplicaciones.La identificación adecuada de la aplicación, es el primer paso para entender mejor eltráfico que circula por la red. Saber lo que la aplicación hace, los puertos que utiliza, sutecnología subyacente y las características de comportamiento, son la base para tomaruna decisión mejor informada sobre cómo gestionar la aplicación. Una vez que sedispone de esta información, las organizaciones pueden tomar medidas más granularesque un simple “permitir” o “bloquear”, como por ejemplo: Permitir o bloquear Permitir pero analizar en búsqueda de exploits, viruses, … Permitir en base al horario, los usuarios o los grupos Descifrar e inspeccionar Aplicar QoS