Особенности конвертации политик утилитой Kaspersky Next Generation Firewall Security Rule Converter

Особенности конвертации политик утилитой Kaspersky Next Generation Firewall Security Rule Converter зависят от стороннего производителя, от которого получены исходные политики.

Check Point

Поддерживаемые типы глобальных объектов:

• Сетевые объекты:
  • address-range;
  • multicast-address-range;
  • host;
  • checkpoint-host;
  • network;
  • group;
  • group-with-exclusion;
  • dns-domain;
  • Global.
• Сервисы:
  • service-tcp;
  • service-udp;
  • service-icmp;
  • service-group;
  • service-other;
  • CpmiAnyObject;
  • Global.
• Прикладные сервисы:
  • application-site;
  • application-site-category.

При этом имеются следующие особенности:

• Если сервис/сетевой объект имеет тип, отличный от вышеперечисленных, то такой сервис/сетевой объект будет проигнорирован.
• Объект типа CpmiAnyObject со значениями (Any, All), Global учитывается при конвертации правил при указании его в поле source, destination, services. В этом случае соответствующее поле правила Kaspersky NGFW остается пустым.
• Объект типа address-range преобразуется в IP-адрес, если первый и последний адрес диапазона равны. В противном случае будет создан диапазон адресов.
• Объект типа service-group разворачивается в плоский список, так как группы сервисов не поддерживаются в Kaspersky NGFW.

Итоговое количество объектов внутри group (хосты, диапазоны, подсети, домены, геолокации) не должно превышать 1000.

Fortinet

Поддерживаемые типы глобальных объектов:

• Сетевые объекты:
  • iprange;
  • subnet;
  • mappedip;
  • fqdn;
  • member – для групп сетевых объектов;
  • all – для всех сетевых объектов.
• Сервисы:
  • udp-portrange;
  • tcp-portrange;
  • ICMP;
  • IP – прочие сервисы;
  • member – для групп сервисов;
  • ALL – для всех сервисов.
• Расписания:
  • firewall schedule recurring.

При этом имеются следующие особенности:

• Если сервис/сетевой объект имеет тип, отличный от вышеперечисленных, то такой сервис/сетевой объект будет проигнорирован.
• Объект типа all, ALL учитывается при конвертации правил при указании его в поле source, destination, services. В этом случае соответствующее поле правила Kaspersky NGFW остается пустым.
• Объект типа fqdn преобразуется в домен. Если в объекте указано несколько доменов, то он преобразуется в группу доменов.
• Объект типа iprange преобразуется в IP-адрес, если первый и последний адрес диапазона равны. В противном случае будет создан диапазон адресов.
• Объект типа subnet преобразуется в подсеть. Если маска подсети равна 32, то преобразуется в IP-адрес.
• Объект типа mappedip преобразуется в IP-адрес.
• Объект типа Group с наличием поля member преобразуется в группу сетевых объектов.
• Сервис типа Service с наличием поля member разворачивается в плоский список, так как группы сервисов не поддерживаются в Kaspersky NGFW.

Итоговое количество объектов внутри group (хосты, диапазоны, подсети, домены, геолокации) не должно превышать 1000.

Palo Alto

Поддерживаемые типы глобальных объектов:

• Сетевые объекты:
  • ip-range;
  • ip-netmask;
  • fqdn;
  • static – для групп сетевых объектов;
  • any – для всех сетевых объектов.
• Сервисы:
  • service-http;
  • service-https;
  • tcp-{port-range};
  • udp-{port-range};
  • members – для групп сервисов;
  • (any, application-default) – для всех сервисов.

При этом имеются следующие особенности:

• Если сервис/сетевой объект имеет тип, отличный от вышеперечисленных, то такой сервис/сетевой объект будет проигнорирован.
• Объект типа any учитывается при конвертации правил при указании его в поле source, destination, services. В этом случае соответствующее поле правила Kaspersky NGFW остается пустым.
• Объект типа fqdn преобразуется в домен. Если в объекте указано несколько доменов, то он преобразуется в группу доменов.
• Объект типа ip-range преобразуется в IP-адрес, если первый и последний адрес диапазона равны. В противном случае будет создан диапазон адресов.
• Объект типа ip-netmask преобразуется в подсеть. Если маска подсети равна 32, то преобразуется в IP-адрес.
• Если в правиле указан объект не через идентификатор (например, имя объекта), а напрямую указан адрес, то он будет преобразован в объект (адрес/диапазон адресов) с автоматически сгенерированным именем.
• Объект типа Group c наличием поля static преобразуется в группу сетевых объектов.
• Сервисы типа (service-http, service-https) преобразуются в TCP-сервисы c портами по умолчанию 80 и 443.
• Сервисы типа tcp-{port-range}, udp-{port-range} преобразуются в TCP- или UDP-сервисы с указанным портом/диапазоном портов.
• Сервис типа Service c наличием поля members разворачивается в плоский список, так как группы сервисов не поддерживаются в Kaspersky NGFW.

Итоговое количество объектов внутри group (хосты, диапазоны, подсети, домены, геолокации) не должно превышать 1000.