什麼是 EDL / EBL#
簡介#
以往看到惡意的 IP 時，總是需要防火牆管理者以手動的方式將 IP 加入規則中，但這個方式十分的消耗人力與時間。在現今的社會中，資安意識抬頭且安全議題多又複雜，資安人員應該把時間花費在處理其他資安議題上，而非花時間在 ban IP，因此各大防火牆廠商提供了 EDL(External Dynamic Lists) / EBL(External Block List) 的功能加速網路存取控管。
Palo Alto 防火牆上的功能名稱是 EDL(External Dynamic Lists)；FortiGate 上的功能名稱是 EBL(External Block List)。
優點與需求#
EDL / EBL 的優點
提高惡意清單匯入速度:技服提供的惡意 IP 清單，將資料直接放入 EDL / EBL Server，即完成更新，不需要異動到規則。
解決防火牆硬體物件數量限制:每台防火牆硬體上都會有 IP 物件數量限制，抓取 EDL / EBL Server 清單就不存此問題。
多台設備共享清單:現今不論是企業還是政府單位，一定不只一台防火牆，主辦公室、各分點、資料中心等，使用 EDL / EBL 可以直接抓取同一份清單。
EDL / EBL 的需求
多維護一台 EDL / EBL Server:由於該功能是將清單存放在 Server 上，提供防火牆去抓取資料，因此需要多維護一台 Server。
定期確認 EDL / EBL Server 連線狀態:需開通防火牆與 EDL / EBL Server的防火牆規則，如果任何原因導致防火牆無法連到 EDL / EBL Server，則無法取得 IP 清單 。
防火牆需要定期跟 EDL / EBL Server 更新資料:防火牆定期會有更新需求發出，造成防火牆 Log 量的增加，但頻率可以依據各單位使用狀況自行調整，每間廠牌防火牆時間也不同。
EDL / EBL 的運作流程#
匯入清單至 EDL / EBL Server
設定防火牆 EDL / EBL 功能
設定防火牆規則，物件為 EDL / EBL
防火牆會定期抓 EDL / EBL Server 清單，未來不需要再調整防火牆規則
如何使用 EDL / EBL#
需求#
- 定期更新清單內容，讓資訊保持最新狀態
- 開通防火牆規則
設定#
總結#
相較於傳統取得惡意清單後，將惡意 IP 加入防火牆中，EDL / EBL 只需要簡單的設定與匯入方式，就可以提高惡意中繼站清單匯入速度，加速防護 spyware。