Hvilken score får dere? Har dere oppdatert? Gjør testene i dag!
https://www.ssllabs.com/ssltest
Har dere støtte for TLS1.3? Har dere fjernet støtte for TLS1.1, SSLv3 og eldre?
Har dere støtte for ECDHE? Har dere fjernet støtte for RSA og DHE?
Har dere fjernet støtte for CBC?
Har dere aktivert støtte for Post Quantum?
Noen tjenester ligger på servere bak brannmuren, mens andre tjenester er terminert i brannmuren, som VPN.
Ligger tjenesten på en server?
Vedlikehold og oppdatering av server er alfa omega og må prioriteres.
I en Palo Alto Networks brannmur aktiverer man alltid dekryptering for inngående trafikk, og dette gjøres sammen med en Decryption Profile:
Denne profilen inspiserer kommunikasjonen fra internett til server og tillater bare det som er merket her. Så selv om serveren ikke er oppdatert vil brannmuren beskytte serveren og de svake protokollene og cipherne vil ikke være tilgjengelig fra internett. En test fra SSL Labs vil gi resultat deretter.
Er tjenesten terminert i brannmuren?
Klient VPN, i Palo Alto Networks sammenheng blir det GlobalProtect, er terminert i brannmuren. Da gjøres ting på en annen måte. Da heter det SSL/TLS Service Profile:
Dette er tilsvarende det man gjør på en server, da det er her man sier hvordan tjenesten skal oppføre seg.
Har du Least Privilege på regelsettet må du tillate SSL Labs og internet.nl
For de som begrenser inngående trafikk til f.eks bare Norge, eller begrensede land, må man tillate SSL Labs og internet.nl:
Leave a Reply