La configuración y análisis de la actividad de intercambio de claves en un firewall Palo Alto Networks es crucial para garantizar la seguridad y el rendimiento de las conexiones TLS (Transport Layer Security) dentro de una red. Esta métrica permite entender qué algoritmos de intercambio de claves predominan en las sesiones cifradas, lo que protege la confidencialidad e integridad de los datos entre clientes y servidores. Al monitorear esta actividad, los administradores pueden identificar debilidades potenciales, adaptar políticas de seguridad y optimizar el tráfico cifrado, asegurando una defensa robusta y eficiente contra amenazas.
Campos principales
- Aplicación: Se refiere al tipo de tráfico o servicio identificado por el firewall, como «ssl», «google-base» o «dropbox-base». Indica el contexto de uso de los algoritmos de intercambio de claves.
- Sesiones: Número de sesiones que utilizan un determinado algoritmo de intercambio de claves. Permite cuantificar la prevalencia de cada método en la red.
- Algoritmos (ECDHE, RSA): Representan los métodos de intercambio de claves empleados. Por ejemplo, ECDHE (Elliptic Curve Diffie-Hellman Ephemeral) ofrece seguridad mejorada con perfect forward secrecy, mientras que RSA es un método más antiguo y menos recomendable hoy en día.
- Gráfica de barras: Visualiza comparativamente la cantidad de sesiones asociadas a cada algoritmo, facilitando la rápida identificación de predominancias y anomalías.
Compatibilidad de versiones y modelos
Este tipo de medición y análisis de intercambio de claves está soportado en PAN-OS a partir de versiones 8.x en adelante, mejor refinado y extendido en las versiones 9.0+. Es aplicable a la mayoría de las familias de dispositivos Palo Alto, incluyendo los modelos PA-220, PA-850, PA-3220, PA-5250 y serie PA-7000.
Limitaciones reales pueden presentarse en modelos más antiguos o firmware por debajo de 8.0, donde la visibilidad TLS y la inspección SSL no están tan desarrolladas. También se debe considerar la carga que este monitoreo puede generar en dispositivos con alto tráfico cifrado sin un hardware dedicado para descifrado SSL.
Escenarios de uso y recomendaciones
En entornos corporativos, monitorizar el tipo de intercambio de claves es fundamental para asegurar que las políticas de seguridad aplicadas a la inspección SSL estén actualizadas y alineadas con las mejores prácticas. Un predominio elevado de RSA, por ejemplo, puede indicar conexiones inseguras o antiguas que deberían migrarse a ECDHE para obtener perfect forward secrecy, reduciendo riesgos de compromiso en caso de robo de claves privadas.
Este control también ayuda a identificar aplicaciones que podrían estar usando configuraciones TLS obsoletas o incompletas, generando sesiones etiquetadas como «incomplete» que pueden afectar la experiencia del usuario o aumentar el riesgo de ataques man-in-the-middle.
La visibilidad granular por aplicación permite ajustar políticas específicas para servicios críticos como Google, Dropbox o YouTube, equilibrando la seguridad y rendimiento.
Comandos de CLI útiles para diagnóstico
show ssl protocol-stats: Muestra estadísticas detalladas sobre protocolos y algoritmos de TLS en uso, incluyendo sesiones activas y tipos de intercambio de claves.show counter global | match key-exchange: Filtra contadores globales relacionados con el intercambio de claves para detectar anomalías o tendencias.debug dataplane packet-diag set capture on filter ssl: Inicia la captura de paquetes para tráfico SSL, útil para inspeccionar eventos específicos en el intercambio de claves.show running security-policy: Permite verificar las políticas activas que pueden afectar el tráfico SSL y su inspección.
Buenas prácticas de configuración
- Habilitar la inspección SSL y descifrado selectivo para monitorear eficazmente el intercambio de claves y proteger el tráfico cifrado.
- Priorizar el uso de algoritmos modernos como ECDHE para garantizar perfect forward secrecy y robustez criptográfica.
- Actualizar PAN-OS a la última versión disponible en sus dispositivos para aprovechar mejoras en visibilidad y rendimiento de SSL.
- Aplicar políticas de seguridad basadas en aplicaciones específicas para controlar y limitar el uso de algoritmos inseguros o versiones obsoletas de TLS.
- Monitorizar regularmente los reportes y métricas de intercambio de claves para identificar y corregir rápidamente configuraciones inseguras o tráfico sospechoso.
- Formar al equipo de seguridad en conceptos de criptografía y buenas prácticas TLS para una gestión más proactiva y efectiva.