Cisco Recommendations – Tự động tinh chỉnh Intrusion Policy trong Tường lửa FTD. -

Trong quá trình quản trị hệ thống Cisco Secure Firewall, việc duy trì và tinh chỉnh Intrusion Policy (IPS Policy) là một nhiệm vụ tốn kém nhiều thời gian nếu phải làm thủ công. Cisco đã phát triển tính năng Cisco Recommendations nhằm tự động hóa quá trình này, dựa trên việc phát hiện hệ điều hành, server, và ứng dụng client trong mạng của bạn, từ đó kích hoạt các rule IPS phù hợp để bảo vệ chính xác cho từng tài sản (asset).

1. Nguyên lý hoạt động

• Cisco Recommendations dựa trên dữ liệu Host Profile: thông tin được xây dựng từ Network Discovery, bao gồm OS, dịch vụ và ứng dụng.

• Hệ thống so sánh asset được phát hiện với cơ sở dữ liệu rule IPS.

• Các rule liên quan trực tiếp đến asset sẽ được bật, những rule không liên quan có thể bị disable để giảm overhead.

2. Cách Cisco Recommendations tinh chỉnh Rule States

• Nếu rule đang Disabled nhưng có liên quan đến asset được phát hiện → Cisco khuyến nghị Generate Events.

• Nếu rule đang Generate Events nhưng có khả năng gây hại đến asset → Cisco khuyến nghị Drop and Generate Events.

• Nếu rule không liên quan đến bất kỳ asset nào trong mạng → Cisco khuyến nghị Disable.

• Giảm số lượng rule chạy không cần thiết.

• Giữ tập trung vào các rule quan trọng, phù hợp với hệ thống thật sự đang chạy trong mạng.

3. Các tùy chọn nâng cao (Advanced Settings)

• Redefine host scope: Chọn nhóm host hoặc network segment nào sẽ áp dụng.

• Rule overhead influence: Chỉ áp dụng rule với mức overhead thấp/trung bình (giúp đảm bảo performance).

• Disable recommendations: Cho phép hệ thống tự động disable những rule không cần thiết.

• Apply immediately: Áp dụng ngay các rule theo khuyến nghị.

• Review before apply: Xem lại danh sách rule được enable/disable trước khi xác nhận.

• Schedule auto-generation: Tự động sinh khuyến nghị theo lịch, dựa trên cấu hình đã lưu.

4. Quy tắc về Manual Rule States

• Nếu rule được set thủ công trước khi generate → hệ thống không thay đổi rule đó.

• Nếu rule được set thủ công sau khi generate → cấu hình thủ công sẽ override recommendation.

5. Giá trị thực tiễn với Network Engineer & Security Engineer

• Giảm khối lượng công việc tuning IPS.

• Loại bỏ false positive từ rule không liên quan.

• Giữ hiệu năng hệ thống ổn định bằng cách giảm rule overhead.

• Đảm bảo coverage tốt nhất cho asset thực tế trong mạng.

Tóm tắt