Ensure SSL/TLS service profiles do not allow TLS 1.0 or 1.1

CaoCấp 1Tự độngpaloalto

Mô tả

SSL/TLS service profiles back the management web UI, GlobalProtect portals/gateways and captive portal. FAILs if any profile sets min-version tls1-0 or tls1-1. Note: a profile left at the default may omit min-version from the export, so also review profiles in the GUI. Audited against the PAN-OS running configuration in set format: run 'set cli config-output-format set' then 'show config running' (or 'show' in configure mode) and save the output.

Cách kiểm tra

Phương pháp kiểm tra: Mẫu cấu hình

Mẫu khớp: (?m)^set (?:shared |vsys (?:"[^"\n]*"|\S+) )?ssl-tls-service-profile (?:"[^"\n]*"|\S+) protocol-settings min-version tls1-[01]\b

Cách khắc phục

Phương pháp khắc phục: Hướng dẫn hoặc bản vá hạ tầng

configure set shared ssl-tls-service-profile <profile> protocol-settings min-version tls1-2 set shared ssl-tls-service-profile <profile> protocol-settings max-version max commit GUI: Device > Certificate Management > SSL/TLS Service Profile > <profile> > Min Version = TLSv1.2.

Thuộc tính

Hệ điều hành: Bất kỳ
Thẻ: paloaltocryptoglobalprotect
Tham chiếu: CIS Palo Alto Firewall Benchmark - GlobalProtect and Management - SSL/TLS Service Profile (verify section number for your PAN-OS release)

Kiểm tra máy này

Chạy lệnh này trên máy bạn được phép kiểm tra. Lần quét chỉ ở chế độ đọc.

shell

tmaegis scan --target paloalto