Las políticas de seguridad que no especifican aplicaciones en dispositivos Palo Alto Networks suponen un riesgo para la seguridad debido a que permiten el tráfico por cualquier aplicación sobre un servicio definido, lo que dificulta el control granular y puede abrir puertas a amenazas ocultas. En ambientes gestionados con firewalls PA-220, el análisis y la optimización de estas políticas es crucial para mantener un perímetro seguro y eficiente.
Campos principales
- NAME: Nombre identificativo de la política de seguridad. Representa la regla aplicada en el firewall, por ejemplo, “allow-apps” o “Traffic to internet”.
- SERVICE: Define el servicio o puertos TCP/UDP específicos permitidos. En estos casos aparece “any” o servicios comunes como “service-http”, “service-https” o “smb-1”.
- TRAFFIC (BYTES, 30 DAYS): Cantidad de tráfico que ha pasado a través de la política en los últimos 30 días, expresado en bytes, lo que ayuda a evaluar la actividad de la regla.
- APPS ALLOWED: Permite ver qué aplicaciones están configuradas para permitir. Aquí se observa “any”, lo que indica que no hay restricción por aplicación, afectando la seguridad.
- APPS SEEN: Número de aplicaciones distintas detectadas en el tráfico que coincide con la política. Valores como 60, 46 o 3 indican diversidad de tráfico no limitado.
- DAYS WITH NO NEW APPS: Número de días sin que se detecten aplicaciones nuevas en la regla, útil para saber si la política es estable o cambiante.
- COMPARE: Función que permite comparar la cantidad y tipo de aplicaciones observadas con lo configurado, para identificar discrepancias y optimizar reglas.
- MODIFIED / CREATED: Fechas en las que se modificó o creó la política, importante para auditorías y seguimiento de cambios.
Compatibilidad de versiones y modelos
La funcionalidad mostrada en el Policy Optimizer para detectar políticas sin aplicación específica es compatible a partir de PAN-OS 8.0 y posteriores, alineándose con los avances en visibilidad y control de aplicaciones. El PA-220, parte de la serie PA-200, soporta esta característica, orientada a entornos empresariales pequeños y medianos.
Limitaciones pueden aparecer en modelos muy antiguos o versiones PAN-OS previas a 8.0 donde el enfoque de aplicación unificada no estaba plenamente implementado. Además, esta recomendación de migrar políticas basadas en servicio a políticas basadas en aplicaciones es apta para dispositivos con capacidad suficiente, ya que políticas sin control de aplicaciones pueden impactar el rendimiento al analizar tráfico indiscriminadamente.
Escenarios de uso y recomendaciones
El uso habitual de políticas sin aplicaciones específicas es para permitir servicios genéricos o tráfico inicial en ambientes donde no se cuenta con un análisis preciso de las aplicaciones utilizadas, o para políticas temporales y de prueba. Sin embargo, mantener reglas sin aplicaciones definidas implica un riesgo considerable, puesto que cualquier aplicación dentro del servicio permitido podrá pasar, incluyendo aquellas potencialmente maliciosas o no autorizadas.
Se recomienda migrar estas reglas hacia políticas basadas en aplicaciones, aprovechando la capacidad del firewall Palo Alto para identificar, controlar y bloquear aplicaciones de forma granular, lo que mejora la seguridad y optimiza el uso del ancho de banda. Para ello, usar la función APP-ID y analizar las aplicaciones vistas históricamente para actualizar las reglas, evitando así aperturas innecesarias.
En especial, políticas con servicios “any” y aplicaciones permitidas “any” deben ser evitadas salvo que exista una justificación muy concreta y compensaciones de seguridad adicionales, como inspección TLS o segmentación interna estricta.
Comandos de CLI útiles para diagnóstico
show running security-policy: Muestra las políticas activas en el firewall y sus configuraciones actuales.show running security-policy | match "service any": Filtra las reglas que usan el servicio “any” para identificar posibles riesgos.show session all filter application: Permite observar las sesiones activas clasificadas por aplicaciones para verificar el tráfico real.show running application-usage: Detalla las aplicaciones vistas por cada regla para ayuda en la migración a políticas basadas en Apps.test security-policy-match from: Prueba si una conexión específica es permitida por las políticas para evaluar el comportamiento en detalle.to source destination protocol request policy-optimizer run: Ejecuta el Policy Optimizer que sugiere optimizaciones basadas en el análisis histórico del tráfico y aplicaciones.
Buenas prácticas de configuración
- Evitar reglas con aplicaciones configuradas como “any”. Se debe definir el conjunto mínimo necesario para el negocio usando APP-ID.
- Preferir políticas “application-based” por encima de las basadas únicamente en servicios para tener un control granular y eficaz.
- Usar el Policy Optimizer regularmente para detectar y corregir políticas inseguras o ineficaces.
- Documentar las modificaciones de las políticas junto con su justificación para futuras auditorías y seguimiento.
- Aplicar inspección TLS y configuración de perfiles de seguridad para minimizar riesgos de tráfico cifrado que evade controles.
- Realizar revisiones periódicas del tráfico y aplicaciones detectadas para ajustar reglas y evitar acumulación de permisos obsoletos.
- Capacitar al equipo en el correcto uso de la consola y CLI para monitoreo efectivo y respuesta rápida ante incidentes.