Atualize uma network list a partir de uma automação

Você faz uma automação, como um playbook de SIEM ou SOAR ou um script agendado, gravar os itens de uma network list pela Azion API ou pela Azion CLI, e faz a mesma mudança manualmente pelo Azion Console. Para criar uma lista com um item datado e a regra que o nega, consulte Bloqueie endereços até uma data.

Uma regra de firewall nomeia a network list pelo ID, então uma mudança nos itens muda o que corresponde em toda regra que lê a lista, sem mudar nenhuma regra. A automação que já acompanha os endereços é a que os grava, e a plataforma aplica cada data de expiração na gravação seguinte.

1. Uma automação dona de todos os itens da lista envia o conjunto inteiro em uma gravação.
2. Uma automação que compartilha a lista lê primeiro os itens armazenados e depois os grava de volta com o novo item.
3. Um job agendado grava de volta os itens armazenados sem mudança, então os itens que passaram da data de expiração saem da lista.
4. Em cada gravação, a plataforma descarta os itens já vencidos e armazena o resto como enviado. As regras correspondem aos novos itens quando a mudança chega ao tráfego.

Pré-requisitos

• Uma network list do tipo ip_cidr e a regra de firewall que a lê. Para criar as duas, consulte Bloqueie endereços até uma data.
• Um personal token para a automação, criado por um usuário cuja equipe tem a permissão Edit Network Lists. Para a permissão, consulte Permissões.
• A Azion CLI instalada e autorizada, para o procedimento pela CLI.
• Acesso ao Azion Console, para o procedimento pelo Console. Consulte Acesse o Azion Console.

Os exemplos gravam a lista <network-list-id>, que tem o item permanente 192.0.2.10 #permanent block, e adicionam 198.51.100.7 até 2030-01-01T00:00:00Z. Substitua-os pela sua lista, pelos seus itens e pelas suas datas.

Adicione um item à lista

Um PATCH que envia items substitui o array inteiro, então uma automação que envia só o novo item remove todos os outros. Ela lê os itens armazenados, adiciona o seu item e grava o array de volta. Um item pode carregar uma data de expiração, --LT e uma data e hora UTC em segundos inteiros terminada em Z, e um comentário depois de #, por último na linha. O comentário pode nomear a detecção ou o ticket por trás do item. A API informa só o primeiro item inválido de uma gravação, em meta.index e meta.value, então valide o array inteiro antes de enviá-lo.

A lista tem o novo item ao lado de todos os itens que tinha antes. As regras que a leem correspondem a 198.51.100.7 quando a mudança chega ao tráfego, de 46 segundos a cerca de 100 segundos depois da gravação.

Substitua a lista a partir da sua fonte da verdade

Quando outro sistema já acompanha todos os endereços, como um SIEM ou um inventário, deixe que ele seja o dono da lista e envie o conjunto inteiro em cada gravação. Cada gravação deixa então exatamente o que foi enviado, e a gravação seguinte corrige uma que falhou. Cada gravação também sobrescreve todos os outros editores, então dê um único dono à lista e mantenha os bloqueios manuais em uma lista própria, com a sua própria regra. Uma lista tem de 1 a 20.000 itens de até 250 caracteres cada, com as anotações.

A lista tem o conjunto da sua fonte da verdade e nada mais. Um item que a fonte retirou deixa de corresponder quando a mudança chega ao tráfego.

Remova itens expirados de forma agendada

Uma data de expiração nunca remove um item sozinha. A plataforma lê as datas de expiração só quando os itens são gravados: cada gravação descarta os itens já vencidos, e um item cuja data passa depois da gravação continua correspondendo. Um job agendado que grava de volta os itens armazenados é o que encerra cada bloqueio, e a frequência dele define por quanto tempo um item expirado continua correspondendo. Quando todos os itens estão vencidos, a gravação é recusada com 22019, então mantenha na lista um item sem data de expiração.

A lista tem só os itens ainda em vigor, e as regras deixam de corresponder ao endereço expirado quando a mudança chega ao tráfego. Um PATCH que carrega só um name não descarta nada, porque não grava nenhum item.

Próximos passos