En entornos empresariales donde la complejidad del tráfico de red aumenta constantemente, la correcta gestión y análisis de las políticas de seguridad se vuelve crucial. Palo Alto Networks ofrece dentro de su plataforma la herramienta New App Viewer, diseñada para identificar aplicaciones desconocidas o nuevas que coinciden con las reglas existentes de Security Policy. Esta funcionalidad permite validar que las políticas implementadas siguen siendo efectivas ante la aparición de nuevas aplicaciones, ayudando así a mantener tanto la seguridad como la eficiencia operativa.
Campos principales
A continuación, se describen los campos esenciales que se observan en la herramienta New App Viewer, fundamentales para el análisis detallado de políticas:
- Name: Nombre de la regla de seguridad dentro del firewall. Es el identificador lógico que facilita el análisis y la gestión de la política.
- Service: Define el servicio o puerto que se encuentra asociado a la regla. Puede incluir valores predefinidos como any o servicios específicos definidos en el firewall.
- Application: La aplicación reconocida o perfil usado en la política para inspeccionar tráfico. Es útil para segmentar y aplicar controles precisos según el tipo de tráfico detectado.
- Traffic (Bytes, 30 days): Mide el volumen total de datos traficados bajo la política en los últimos 30 días, lo que permite dimensionar la importancia y uso real de esa regla.
- Apps Allowed: Lista o cantidad de aplicaciones permitidas explícitamente por la política, reflejando la granularidad del control establecido.
- Apps Seen: Número de aplicaciones observadas dentro del tráfico que coinciden con la regla, indicador clave para detectar nuevas aplicaciones emergentes.
- Days with No New Apps: Cantidad de días sin detección de nuevas aplicaciones bajo la regla, proporcionando un indicador de estabilidad o cambio en el perfil de uso.
- Compare: Enlace para comparar diferentes periodos o configuraciones, facilitando el análisis de tendencias y cambios.
- Modified y Created: Fechas de creación y última modificación de la política, útiles para auditorías y seguimiento de cambios.
Compatibilidad de versiones y modelos
La funcionalidad del New App Viewer está soportada a partir de versiones modernas del firmware Pan-OS, típicamente desde la serie 9.0 en adelante, donde se incorporaron mejoras en la identificación de aplicaciones y análisis de políticas. Es particularmente útil en appliances virtuales (VM-Series) y dispositivos físicos de las familias PA-220 en adelante, incluyendo la gama PA-800 y superiores, que cuentan con capacidad suficiente para manejar análisis profundos de tráfico.
Las versiones anteriores a Pan-OS 9.0 tienen capacidades limitadas para identificar aplicaciones desconocidas y carecen de esta funcionalidad integrada, por lo que actualizar el dispositivo es recomendable para aprovechar estas ventajas. En modelos hardware antiguos con recursos limitados, el impacto de este análisis podría ser notable en el rendimiento, debiéndose realizar pruebas previas o limitar el uso.
Escenarios de uso y recomendaciones
Este visor es ideal para administradores de red que desean:
- Detectar aplicaciones nuevas o inesperadas que emergen en la red y que coinciden con reglas diseñadas para otras aplicaciones, evitando así fugas o accesos no controlados.
- Optimizar políticas ajustando el conjunto de aplicaciones permitidas para reducir la superficie de ataque y mejorar el rendimiento del firewall.
- Auditar los cambios en el uso de la red para detectar cambios anómalos o no autorizados que puedan indicar una brecha o uso indebido.
Sin embargo, el riesgo principal es confiar exclusivamente en aplicaciones definidas por el firewall sin un proceso proactivo de actualización y revisión constante, ya que nuevas amenazas pueden no ser detectadas rápidamente. Por ello, se recomienda complementar la información con monitoreo continuo y alertas específicas.
Comandos de CLI útiles para diagnóstico
Para los administradores que prefieren CLI o necesitan un análisis profundo, estos comandos son clave:
show running security-policy: Lista la política de seguridad actual con detalles de aplicaciones y servicios configurados.show running application: Muestra las aplicaciones reconocidas actualmente en el sistema.show session all filter source x.x.x.x: Permite filtrar sesiones activas por dirección IP origen para identificar qué aplicaciones están utilizando.debug dataplane show appid stats: Muestra estadísticas avanzadas de identificación de aplicaciones en el dataplane.show counter global filter severity error: Para encontrar errores relacionados con la aplicación o políticas que podrían estar afectando la identificación.
Buenas prácticas de configuración
- Actualizar periódicamente las definiciones de aplicaciones y firmas en Pan-OS para mejorar la detección de nuevas apps.
- Revisar continuamente las reglas con Apps Allowed y Apps Seen para ajustar las políticas y minimizar aplicaciones no deseadas.
- Utilizar el enlace de comparación (Compare) para analizar cambios entre diferentes periodos y evitar reglas redundantes o obsoletas.
- Monitorear los días sin nuevas aplicaciones para identificar estabilidad o posibles cambios súbitos en tráfico que requieran revisión.
- Combinar el uso de New App Viewer con perfiles de URL Filtering, Threat Prevention y WildFire para una seguridad en profundidad.
- Implementar alertas automatizadas basadas en la detección de nuevas aplicaciones para activación rápida de análisis y respuestas.
- Antes de modificar reglas críticas, validar con tráfico real y pruebas en ambiente controlado para evitar impactos operativos.
- Documentar cambios en las políticas con fechas de modificación para facilitar auditorías internas y cumplimiento.