En el ámbito de la seguridad y gestión de redes, la inspección y monitoreo del tráfico cifrado mediante TLS (Transport Layer Security) es fundamental para mantener la protección sin afectar la performance de la red. La configuración y análisis de la actividad TLS basada en Server Name Indication (SNI) en dispositivos Palo Alto Networks permite identificar con precisión el dominio destino de las conexiones TLS que atraviesan el firewall, proporcionando visibilidad clave para la aplicación de políticas de seguridad adecuadas.
Campos principales
- Server Name Identification (SNI): Este campo muestra el nombre del servidor destino que el cliente solicita durante el establecimiento de la conexión TLS. Es crucial para distinguir múltiples sitios alojados en el mismo servidor IP y permite decisiones de seguridad más detalladas.
- Versión TLS: Indica la versión del protocolo TLS utilizada por las sesiones reportadas. Los valores comunes son TLS 1.2 y TLS 1.3, que son las versiones más seguras y recomendadas actualmente para cifrado.
- Cantidad de sesiones: Número total de sesiones que han establecido una conexión TLS con el servidor especificado usando la versión TLS indicada. Este dato ayuda a entender la frecuencia y volumen de tráfico cifrado por dominio.
- Gráfica de barras: Representa visualmente el número de sesiones para cada versión TLS vinculada a cada SNI, facilitando la rápida interpretación del tráfico cifrado por dominio y versión.
Compatibilidad de versiones y modelos
La funcionalidad de análisis de tráfico TLS por SNI está disponible en versiones modernas del firmware PAN-OS, típicamente a partir de la 8.0 en adelante, con mejoras y ampliaciones continuas hasta las ramas actuales 10.x y 11.x.
Se aplica a la mayoría de las familias de firewalls Palo Alto Networks, incluyendo PA-220, PA-820, PA-3220, PA-5250 y las series de próxima generación, siempre que se cuente con características avanzadas de inspección SSL/TLS habilitadas y licencias correspondientes.
Algunas limitaciones reales incluyen el manejo de tráfico TLS que no incluya SNI (e.g., clientes antiguos), lo que puede dificultar la correlación exacta del dominio; y la imposibilidad de inspeccionar completamente el contenido cifrado sin la configuración apropiada de certificados y políticas de decryption.
Escenarios de uso y recomendaciones
Esta configuración es ideal para entornos corporativos que requieren visibilidad sobre los destinos TLS, permitiendo aplicar políticas basadas en dominios específicos incluso sobre tráfico cifrado. Por ejemplo, distinguir acceso hacia distintos servicios web (como sitios de noticias, redes sociales o servicios internos) y aplicar reglas de control de acceso o inspección especializadas.
Se recomienda combinar análisis basado en SNI con la activación de Decryption cuando la política de seguridad lo permita, para una inspección más profunda y detección de amenazas en contenido cifrado. Sin embargo, en escenarios donde no se puede descifrar, la identificación por SNI sigue siendo vital para generar reportes y alertas.
Entre los riesgos está depender exclusivamente del SNI para la identificación, dado que algunos ataques pueden falsear valores o que el tráfico sin SNI quede fuera del alcance de políticas basadas en dominio. Por ello, es fundamental mantener el firmware actualizado y aplicar configuraciones de seguridad complementarias.
Comandos de CLI útiles para diagnóstico
show running security-policy: Muestra la configuración actual de políticas de seguridad aplicadas, donde se pueden verificar reglas relacionadas con inspección TLS y Decryption.show decryption status: Verifica el estado de la función de descifrado, esencial para el análisis completo del tráfico TLS.show session all filter ssl-proxy yes: Lista sesiones activas con proxy SSL/TSL habilitado, permitiendo verificar conexiones TLS activas y su estado.test ssl-mitm flow ...: Ejecución de pruebas para diagnosticar problemas en la inspección TLS y garantizar que se captura correctamente el SNI.show counter global filter severity drop: Para detectar posibles rechazos o bloqueos relacionados con TLS o políticas aplicadas basado en SNI.
Buenas prácticas de configuración
- Habilitar la inspección y monitoreo de TLS en módulos de Decryption para maximizar la visibilidad y poder aplicar análisis avanzados de amenazas.
- Asegurarse de que el firmware esté actualizado para contar con las últimas mejoras en manejo y análisis de TLS y SNI.
- Configurar reglas segmentadas que utilicen SNI para identificar destinos específicos y aplicar políticas más detalladas sin afectar todo el tráfico cifrado.
- Monitorear log y reportes de TLS periódicamente para identificar patrones inusuales o posibles intentos de evasión.
- Considerar la integración con sistemas externos de análisis y SIEM para correlacionar eventos relacionados con tráfico TLS detectado mediante SNI.
- Documentar cambios y mantener backups de configuración antes de implementar ajustes relacionados con inspección TLS para facilitar la recuperación ante fallos.