如何使用 VMware Carbon Black Cloud 基于主机的防火墙

受影响的产品：

• VMware Carbon Black Cloud Standard
• VMware Carbon Black Cloud Advanced
• VMware Carbon Black Cloud Enterprise

受影响的版本：

• Windows 传感器 3.9 或更高版本

受影响的操作系统：

• Windows

基于主机的防火墙规则

防火墙规则由操作和对象组成。可用操作包括：

• 允许：允许网络流量
• Block：阻止网络流量
• 数据块和警报：阻止网络流量并将警报发送到 Alerts 页面

防火墙规则基于对以下对象类型的评估：

• 本地（客户端计算机）
• 远程（与客户端计算机通信的计算机）

• IP 地址和子网范围
• 端口或端口范围
• 协议（TCP、UDP、ICMP）
• 方向（入站和出站）
• 应用程序，由文件路径确定

防火墙规则可以合并到所谓的防火墙规则组中。防火墙规则组是一组逻辑防火墙规则，可简化将多个单独规则管理为具有共享用途的单个组（例如，用于控制对 FTP 服务器访问的多个规则）。

规则组和规则在策略中定义，策略分配给资产。

规则优先级

创建和应用规则时，请记住以下优先顺序：

• 绕过规则优先于所有其他规则。因此，基于主机的防火墙规则的优先级低于绕过规则。
• 基于主机的防火墙规则的优先级高于设置为 允许 或 允许 和 日志 的权限规则。

现有传感器条件可能会影响规则的实施。例如，传感器可以处于旁路模式或隔离，或者可以阻止应用程序。Carbon Black Cloud 基于主机的防火墙维护用户指定的规则的预期操作，不过在根据传感器条件强制实施规则时，该规则可以采取不同的实际操作。

例如：

使用 Carbon Black Cloud 基于主机的防火墙

本部分概述了如何创建和运行防火墙规则。

1. 选择 要向其添加防火墙规则的策略。
2. 设置默认规则（全部允许 或 全部阻止）。
3. 创建 规则组并使用防火墙规则进行填充。
4. 根据需要查看、创建和修改规则组和规则。
5. 在 传感器 选项卡上将基于主机的防火墙切换到 已启用 。
6. 测试 规则。

7. 查看 规则结果。测试规则数据显示在 调查 页面上。
8. 根据需要修改规则并重新测试，直到规则按预期执行。
9. 停止验证为按预期执行的测试规则，并将其 状态 设置为 已启用 。
10. 如果您在修改过程中禁用了它，请在 传感器 选项卡上将基于主机的防火墙切换为 已启用 。
11. 分别在“调查”和“警报”页面上查看与防火墙相关的事件和警报。
12. 根据需要继续 修改规则。有序（排名）规则组与安全策略的关联;可以跨安全策略重复使用规则组。
    • 按用户定义的优先级顺序计算规则。
    • 能够在强制实施之前测试规则。
    • 基于主机的防火墙策略阻止的行为计数。
    • 通过 Carbon Black Cloud 控制台中的 Alerts and Investigate 页面查看资产的安全状况。

要联系支持部门，请参阅 Dell Data Security 国际支持电话号码。
转至 TechDirect，在线生成技术支持请求。
要获得更多见解和资源，请加入戴尔安全社区论坛。