q  Ciclo de una PoC

q  ¿Qué hacer antes, durante y después de una demo?

q  AVR

Prospecto

Análisis Demo en línea

Descubrimiento

Instalación equipo Demo

Resultados

Viabilidad

2da. Semana 1ra. Semana

• App-­‐ID™  • Iden%fica  la  aplicación  

• Content-­‐ID™  • Analiza  el  contenido  

• User-­‐ID™  • Iden%fica  el  usuario  

Firewall Firewall

Palo Alto Networks con App-ID Firewall Tradicional

Firewall Rule: ALLOW DNS Regla: ALLOW Port 53

DNS = DNS: Petición Puerto 53: Allow Allow

DNS DNS DNS DNS

Bittorrent

BitTorrent ≠ DNS:

Visibilidad: BitTorrent detectado y bloqueado

Deny

BitTorrent

Petición Puerto 53: Allow

Visibilidad: Puerto 53 permitido

BitTorrent

Firewall Firewall App IPS

Firewall Rule: ALLOW DNS Regla Firewall: ALLOW Port 53

DNS=DNS: Petición Puerto 53: Allow Allow

DNS DNS DNS DNS

Bittorrent

Bittorrent ≠ DNS:

Visibilidad: BitTorrent detectado y bloqueado

Deny

Bittorrent

Bittorrent: Deny

Visibilidad: BitTorrent detectado y bloqueado

DNS

Bittorrent

Regla IPS aplicación: Block Bittorrent

Palo Alto Networks con App-ID Firewall Tradicional

Firewall Firewall

Firewall Rule: ALLOW DNS Regla Firewall: ALLOW Port 53 Regla IPS aplicación: Block Bittorrent

Palo Alto Networks con App-ID Firewall Tradicional

DNS=DNS: Packet on Port 53: Allow Allow

DNS DNS DNS DNS

Zero-day C & C

Command & Control ≠ DNS:

Visibilidad: Tráfico desconocido detectado y bloqueado

Deny

Bittorrent

Visibilidad: Paquete Puerto 53 allowed

DNS

Bittorrent Bittorrent

Zero-day C & C

Zero-day C & C

Zero-day C & C

C & C ≠ Bittorrent: Allow

App IPS

Modo Tap Modo Virtual Wire Modo Capa 3

•  Visibilidad de la red •  ALTAMENTE recomendado

para DEMO

•  Creación de políticas, no intrusivo

•  Es necesario dimensionar correctamente el equipo

•  Integración FULL a la red •  NO SE RECOMIENDA para

Demo

ü  Ciclo de una PoC

q  ¿Qué hacer antes, durante y después de una demo?

q  AVR

•  ¿Qué quiere ver el cliente?

Control de aplicaciones Control de amenazas

Reportes de uso

Gestión de enlaces

Identificación de archivos Día Cero Tráfico Cifrado Calidad en el Servicio

Desempeño del appliance Networking

IPS

Políticas por usuario

•  ¿Contra qué estamos compitiendo? −  vs. UTM −  vs. “NGFW”

−  vs. Filtrado Web/IPS −  vs. PRECIO

•  Preparativos −  Licencias −  Actualizaciones −  Configuración Básica

•  Requerimientos -  Físicos

§  Espacio en rack §  Cable y fuente de alimentación §  Cables de red

-  Topología de Red §  Diagrama de red actual §  Identificación de conexión PA §  Port Mirror

-  Administración §  Direccionamiento IP §  Creación de cuentas de administración

•  No obviar nada –  Recuerda llevar la versión de sistema operativo –  No olvides las bases de datos de firmas

•  Plan de contingencia –  Es importante tener un diseño alterno –  Recuerda medir el desempeño del equipo

•  El que no enseña NO vende –  Dedícale media hora a mostrar la consola y las

primeras evidencias

•  Y al día siguiente:

–  Es muy importante llamar y/o hacer una sesión remota para revisar hallazgos o dudas

–  Recuerda revisar los primeros reportes

•  Antes de retirar el equipo

– Obtén la información para el AVR

– Obtén algún reporte final

– De ser necesario, borra la información

ü  Ciclo de una PoC

ü  ¿Qué hacer antes, durante y después de una demo?

q  AVR

•  ¿Ya tienes acceso?

https://avr.paloaltonetworks.com

•  Solicita tu registro

IMPORTANTE:

NO ENVIES EL REPORTE AVR POR CORREO, SOLICITA UNA CITA PARA

REVISARLO CON LAS ÁREAS INVOLUCRADAS

•  No lo olvides, entrega un reporte típico de Wildfire

https://wildfire.paloaltonetworks.com