Особенности конвертации политик утилитой Kaspersky Next Generation Firewall Security Rule Converter

Особенности конвертации политик утилитой Kaspersky Next Generation Firewall Security Rule Converter зависят от стороннего производителя, от которого получены исходные политики.

Check Point

Поддерживаемые типы глобальных объектов:

• Сетевые объекты:
  • address-range;
  • multicast-address-range;
  • host;
  • checkpoint-host;
  • network;
  • group;
  • group-with-exclusion;
  • dns-domain;
  • Global.
• Сервисы:
  • service-tcp;
  • service-udp;
  • service-icmp;
  • service-group;
  • service-other;
  • CpmiAnyObject;
  • Global.
• Прикладные сервисы:
  • application-site;
  • application-site-category.

При этом имеются следующие особенности:

• Если сервис/сетевой объект имеет тип, отличный от вышеперечисленных, то такой сервис/сетевой объект будет проигнорирован.
• Объект типа CpmiAnyObject со значениями (Any, All), Global учитывается при конвертации правил при указании его в поле source, destination, services. В этом случае соответствующее поле правила Kaspersky NGFW остается пустым.
• Объект типа address-range преобразуется в IP-адрес, если первый и последний адрес диапазона равны. В противном случае будет создан диапазон адресов.
• Объект типа service-group разворачивается в плоский список, так как группы сервисов не поддерживаются в Kaspersky NGFW.

Итоговое количество объектов внутри group (хосты, диапазоны, подсети, домены, геолокации) не должно превышать 1000.

Fortinet

Поддерживаемые типы глобальных объектов:

• Сетевые объекты:
  • iprange;
  • subnet;
  • mappedip;
  • fqdn;
  • member – для групп сетевых объектов;
  • all – для всех сетевых объектов.
• Сервисы:
  • udp-portrange;
  • tcp-portrange;
  • ICMP;
  • IP – прочие сервисы;
  • member – для групп сервисов;
  • ALL – для всех сервисов.
• Расписания:
  • firewall schedule recurring.

При этом имеются следующие особенности:

• Если сервис/сетевой объект имеет тип, отличный от вышеперечисленных, то такой сервис/сетевой объект будет проигнорирован.
• Объект типа all, ALL учитывается при конвертации правил при указании его в поле source, destination, services. В этом случае соответствующее поле правила Kaspersky NGFW остается пустым.
• Объект типа fqdn преобразуется в домен. Если в объекте указано несколько доменов, то он преобразуется в группу доменов.
• Объект типа iprange преобразуется в IP-адрес, если первый и последний адрес диапазона равны. В противном случае будет создан диапазон адресов.
• Объект типа subnet преобразуется в подсеть. Если маска подсети равна 32, то преобразуется в IP-адрес.
• Объект типа mappedip преобразуется в IP-адрес.
• Объект типа Group с наличием поля member преобразуется в группу сетевых объектов.
• Сервис типа Service с наличием поля member разворачивается в плоский список, так как группы сервисов не поддерживаются в Kaspersky NGFW.

Итоговое количество объектов внутри group (хосты, диапазоны, подсети, домены, геолокации) не должно превышать 1000.

Palo Alto

Поддерживаемые типы глобальных объектов:

• Сетевые объекты:
  • ip-range;
  • ip-netmask;
  • fqdn;
  • static – для групп сетевых объектов;
  • any – для всех сетевых объектов.
• Сервисы:
  • service-http;
  • service-https;
  • tcp-{port-range};
  • udp-{port-range};
  • members – для групп сервисов;
  • (any, application-default) – для всех сервисов.

При этом имеются следующие особенности:

• Если сервис/сетевой объект имеет тип, отличный от вышеперечисленных, то такой сервис/сетевой объект будет проигнорирован.
• Объект типа any учитывается при конвертации правил при указании его в поле source, destination, services. В этом случае соответствующее поле правила Kaspersky NGFW остается пустым.
• Объект типа fqdn преобразуется в домен. Если в объекте указано несколько доменов, то он преобразуется в группу доменов.
• Объект типа ip-range преобразуется в IP-адрес, если первый и последний адрес диапазона равны. В противном случае будет создан диапазон адресов.
• Объект типа ip-netmask преобразуется в подсеть. Если маска подсети равна 32, то преобразуется в IP-адрес.
• Если в правиле указан объект не через идентификатор (например, имя объекта), а напрямую указан адрес, то он будет преобразован в объект (адрес/диапазон адресов) с автоматически сгенерированным именем.
• Объект типа Group c наличием поля static преобразуется в группу сетевых объектов.
• Сервисы типа (service-http, service-https) преобразуются в TCP-сервисы c портами по умолчанию 80 и 443.
• Сервисы типа tcp-{port-range}, udp-{port-range} преобразуются в TCP- или UDP-сервисы с указанным портом/диапазоном портов.
• Сервис типа Service c наличием поля members разворачивается в плоский список, так как группы сервисов не поддерживаются в Kaspersky NGFW.

Итоговое количество объектов внутри group (хосты, диапазоны, подсети, домены, геолокации) не должно превышать 1000.

Cisco ASA

Поддерживаемые типы глобальных объектов:

• Сетевые объекты:
  • host;
  • network;
  • range;
  • fqdn;
  • object-group network – для групп сетевых объектов;
  • time-range;
  • any - для всех сетевых объектов.
• Сервисы:
  • tcp;
  • udp;
  • tcp-udp;
  • icmp;
  • object-group service – для групп сервисов;
  • any - для всех сервисов.

При этом имеются следующие особенности:

• Если превышен лимит групповых объектов в 1999, будут импортированы только первые 1999 групп, у которых самое большое количество членов группы. Остальные группы при использовании в правилах будут раскрыты в плоский список.
• Если превышены лимиты в квалификаторах source, destination, services в правилах фильтрации трафика, то будет сформировано несколько правил.
• Если сервис/сетевой объект имеет тип, отличный от вышеперечисленных, то такой сервис/сетевой объект будет проигнорирован.
• Объект типа any учитывается при конвертации правил при указании его в поле source, destination, services. В этом случае соответствующее поле правила Kaspersky NGFW остается пустым.
• Объект типа host cо значением IPv6-адреса пропускается, так как Kaspersky NGFW не поддерживает IPv6-адреса.
• Объект типа fqdn преобразуется в домен.
• Если в правиле указан объект не через идентификатор (например, имя объекта), а напрямую указан адрес, то он будет преобразован в объект (адрес/диапазон адресов) с автоматически сгенерированным именем.
• Сервис типа tcp-udp преобразуется в сервис с протоколами tcp и udp.
• Сервис типа object-group service разворачивается в плоский список, так как группы сервисов не поддерживаются в Kaspersky NGFW.

Итоговое количество объектов внутри object-group network (хосты, диапазоны, подсети, домены, геолокации) не должно превышать 1000.