Important note about SSL VPN compatibility for 20.0 MR1 with EoL SFOS versions and UTM9 OS. Learn more in the release notes.

This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

WAF und FQDN

Hallo,

hat jemand eine Idee, wie ich eine WAF (Web Server Protection) Rule so einstelle, dass der dahinterliegende Webserver nur von einigen FQDN Hosts erreicht werden kann. In der WAF Rule selbst kann ich ja nur IP und NETWORK auswählen als ALLOWED SOURCE. Gibt es irgend einen Trick, damit ich das trotzdem irgendwie auf anfragende FQDN's begrenzen kann (zusätzlich andere Regeln, irgendwas auf der CLI) oder hat Sophos hier mal wieder gepennt (oder braucht die Funktion wirklich keiner) ?

Edit: Ich nutze eine XG Firewall mit SFOS 19.1 bzw. 19.5



Added TAGs
[edited by: Erick Jan at 1:24 PM (GMT -7) on 9 Jun 2023]
Parents
  • Moin

    Du kannst doch im Sitepathrouting nicht nur "Netzwork"- und "Host"-Objekte, sondern auch "DNS-host"-Objekte verwenden ("DNS Groups" allerdings nicht). Aber ist das nicht genau das, was Du Dir wünscht?

    LG, Janbo) 

    ---

    janbo.noerskau@comedia.de UTM lover ;-)

  • Ok, mein Fehler. Hätte dazu schreiben sollen das ich die XG / XGS einsetze... auf der SG geht das - hat noch jemand eine Idee zur XG ?

  • Ich verkaufe die WAF auch nur noch selten. Dabei unterteile ich immer zwischen dem Szenario: Kenne ich den User oder nicht. Und in der Regel kennt man den Benutzer, daher greife ich auf ZTNA zurück, dort kannst du mit Client oder Clientless das deutlich performanter lösen und nebenbei noch zukunftsorientiert diese Szenarien aufbauen. 

    www.sophos.com/.../zero-trust-network-access

    __________________________________________________________________________________________________________________

  • Ja, das wäre der Traum von Sophos :-) ZTNA für alles - leider bei den aufgerufenen Konditionen eher nicht in der Masse erschwinglich. Außerdem denke ich nicht, dass ich "unseren" Kunden einfach so einen ZTNA Client installieren kann. Eine Lösung vielleicht; eine praktikable aber leider eher nicht...

  • Wir setzen WAF auch häufig und primär für "FirmenFremde" ein. Da passt ZTNA einfach nicht.
    Uns fehlen auf der XGS auch noch ein paar Features, welche die Migrationen auf XGS bei KRITIS-Kunden ausbremsen. (2FA für WAF, Länderliste in WAF ... der CountryBlocking-Workaround ist Haarsträubend und das logging unzureichend)


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

  • Welche Features fehlen euch bei ZTNA Clientless vs WAF? 

    __________________________________________________________________________________________________________________

  • Sorry, ungenau gewünscht, die erwähnten fehlenden Features beziehen sich auf die XGS. Hab das korrigiert.


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

  • Also, ich habe mit der ZTNA as a Service eine bessere Implementation von Clientless Apps gefunden. Als Sophos Partner kann ich nur eine NFR empfehlen und das mal ausprobiereren. 
    Wer das einmal genutzt hat, möchte keine WAF mehr zurück. 

    __________________________________________________________________________________________________________________

  • Ok, ZTNA Agentless schau ich mir an, aber überwacht das ZTNA Gateway denn public Traffic wie die WAF (sprich SQL Injection, HTTP Injection) es tun SOLLTE? Evtl. sogar besser und sicherer?

  • Im Grunde nein. Weil das auch nicht die Aufgabe von einer ZTNA Lösung ist. ZTNA soll die Verbindung herstellen und absichern. Nicht was in der Verbindung passiert - Weil die Verbindung gilt als "gesichert" nachdem der User sich auch autorisiert hat. SQL Injection werden "selten" von Benutzern ausgeführt, die zum Unternehmen gehören. SQL Injection und andere Themen werden primär gefordert, wenn die Benutzer nicht bekannt sind: Webserver die im Internet stehen und wo unbekannte Benutzer darauf Surfen. Das ist weniger die Anforderung von ZTNA. 

    __________________________________________________________________________________________________________________

  • Sieht du jetzt mein Problem :-) ZTNA hilft mir nicht, weil eben die Pakete nicht überwacht werden und WAF könnte es, kann aber kein FQDN :-(

  • Und ich werde gerade etwas nervös, wenn ich das hier lese:

    30. Juni 2026 - Sophos SG-Serie End-of-Life und End-of-Support Hardware Appliances

    Das heißt ihr habt jetzt 3 Jahre WAF zu fixen - ich sehe schwarz...

Reply Children
No Data