🥇7. Fortinet Започване v6.0. Антивирус и IPS

Добре дошли! Осми урок на курса. Fortinet Започнете. На миналия урок Познаваме профили за защита като Web Filtering, Application Control и HTTPS инспекция. В този урок ще продължим с профилите за защита. Първо ще се запознаем с теоретичните аспекти на антивируса и системата за предотвратяване на прониквания, а след това ще разгледаме практическото им приложение.

Нека започнем с антивируса. Първо ще обсъдим технологиите, които използва FortiGate за откриване на вируси:
Антивирусното сканиране е най-простият и бърз метод за откриване на вируси. То открива вируси, които напълно съвпадат с подписите, съдържащи се в антивирусната база.

Grayware сканиране или откриване на нежелани програми — тази технология идентифицира нежелани програми, които се инсталират без знанието или съгласието на потребителя. Технически тези програми не са вируси. Обикновено те идват с други приложения, но при инсталация оказват негативно влияние на системата, затова се класифицират като злонамерени. Често такива програми могат да бъдат открити с помощта на прости grayware подписи от изследователската база FortiGuard.

Евристично сканиране — тази технология е основана на вероятности, затова нейното използване може да предизвика фалшиви положителни резултати, но с нея могат да се откриват и zero day вируси. Zero day вирусите са нови вируси, които все още не са проучени, и за които все още не съществуват подписи за откритие. Евристичното сканиране не се прилага по подразбиране, необходимо е да се активира в командния ред.

Ако всички функции на антивируса са активирани, FortiGate ги прилага в следния ред: антивирусно сканиране, grayware сканиране, евристично сканиране.

FortiGate може да използва няколко антивирусни бази, в зависимост от задачите:

Обикновената антивирусна база (Normal) — налична е във всички модели FortiGate. Тя включва подписи за вируси, които са били открити в последните месеци. Това е най-малката антивирусна база, затова при нейното използване сканирането се извършва най-бързо. Въпреки това, тази база не може да открие всички известни вируси.
Разширена (Extend) — тази база се поддържа от повечето модели FortiGate. С нейна помощ може да се откриват вируси, които вече не са активни. Множество платформи все още са уязвими за тези вируси. Освен това, тези вируси могат да предизвикат проблеми в бъдеще.
И последната, екстремна база (Extreme) — използва се в инфраструктури, където е необходим висок уровень на сигурност. С нейна помощ може да се открият всички известни вируси, включително и вируси, насочени към остарели операционни системи, които в момента не са широко разпространени. Този тип база сигнатури не се поддържа от всички модели FortiGate.

Съществува и компактна база сигнатури, предназначена за бързо сканиране. За нея ще говорим по-късно.

Антивирусните бази могат да бъдат актуализирани по различни методи.

Първият метод — Push Update — позволява актуализиране на базите веднага, след като изследователската база FortiGuard пусне обновление. Това е полезно за инфраструктури, които се нуждаят от висок уровень на сигурност, тъй като FortiGate ще получава спешни актуализации веднага след появата им.

Вторият метод е да се зададе график. По този начин актуализациите могат да се проверяват всяки час, ден или седмица. Тоест времевият диапазон се определя по ваше усмотрение.
Тези методи могат да се използват заедно.

Но трябва да имате предвид — за да се извършват актуализации, е необходимо да включите антивирусния профил поне в една от политиките на защитната стена. В противен случай актуализациите няма да се извършват.

Също така може да изтеглите актуализации от сайта на поддръжка на Fortinet и след това ръчно да ги качите на FortiGate.

Нека разгледаме режимите на сканиране. Те са три — Full Mode в Flow Based режим, Quick Mode в Flow Based режим и Full Mode в прокси режим. Нека започнем с Full Mode в Flow режима.

Представете си, че потребителят иска да изтегли файл. Той изпраща заявка. Сървърът започва да му изпраща пакети, от които се състои файлът. Потребителят веднага получава тези пакети. Но преди да предаде тези пакети на потребителя, FortiGate ги кешира. След като FortiGate получи последния пакет, той започва да сканира файла. В това време последният пакет се поставя в опашка и не се предава на потребителя. Ако файлът не съдържа вируси, последният пакет се изпраща на потребителя. Ако обаче вирус бъде открит, FortiGate прекъсва връзката с потребителя.

Вторият режим на сканиране, наличен в Flow Based, е Quick Mode. Той използва компактна база от сигнатури, която съдържа по-малко сигнатури в сравнение с обикновената база. Освен това той има някои ограничения спрямо Full Mode:

Не може да изпраща файлове в пясъчник
Не може да използва хевристичен анализ
Също така не може да използва пакети, свързани с мобилни зловредни програми
Някои entry level модели не поддържат този режим.

Quick mode също проверява трафика за наличие на вируси, червеи, троянски коне и зловредни програми, но без буфериране. Това осигурява по-добра производителност, но в същото време вероятността за откриване на вирус намалява.

В Proxy режим е наличен единствен режим на сканиране — Full Mode. При такова сканиране FortiGate първо запазва целия файл при себе си (освен ако не бъде надвишен допустимият размер на файловете за сканиране). Клиентът трябва да чака, докато сканирането завърши. Ако при сканирането бъде открит вирус, потребителят ще бъде незабавно уведомлен. Тъй като FortiGate първо запазва целия файл, а след това го сканира, това може да отнеме доста време. Поради това от страна на клиента е възможно прекратяване на връзката преди получаването на файла поради дълга забавяне.

На изображението по-долу е представена сравнителна таблица за режимите на сканиране — тя ще ви помогне да определите кой тип сканиране е подходящ за вашите нужди. Настройката и проверката на работоспособността на антивируса са разгледани на практика във видеото в края на статията.

Преминаваме към втората част на урока - системата за предотвратяване на прониквания. Но преди да започнем да изучаваме IPS, е необходимо да разберем разликата между експлойтите и аномалиите, а също така да осъзнаем какви механизми използва FortiGate за защита от тях.

Експлойтите са известни атаки с конкретни модели, които могат да бъдат открити с помощта на IPS, WAF или антивирусни сигнатури.

Аномалиите са необичайно поведение в мрежата, например странно голямо количество трафик или по-високо от обичайното потребление на ЦП. Аномалиите трябва да бъдат наблюдавани, тъй като могат да бъдат признаци на нова, все още неизследвана атака. Аномалиите обикновено се откриват чрез поведенчески анализ - така наречените сигнатури на базата на скорост и политики за DoS.

В резултат на това - IPS на FortiGate използва бази от сигнатури за откриване на известни атаки, както и Rate-Based сигнатури и политики за DoS за откриване на различни аномалии.

По подразбиране, началният набор от IPS сигнатури е включен във всяка версия на операционната система FortiGate. Чрез актуализации FortiGate получава нови сигнатури. По този начин IPS остава ефективен срещу нови експлойти. Службата FortiGuard актуализира IPS сигнатурите доста често.

Важно е да се отбележи, че както за IPS, така и за антивируса - ако вашите лицензи са изтекли, все пак можете да използвате последните получени сигнатури. Но нови без лицензи не можете да получите. Затова липсата на лицензии е крайно нежелателна - при появата на нови атаки няма да можете да се защитите със стари сигнатури.

Базите на IPS сигнатурите се делят на обикновена и разширена. Обикновената база съдържа сигнатури за разпространени атаки, които много рядко или изобщо не предизвикват фалшиви сработвания. Преднастроеното действие за повечето от тези сигнатури е блокиране.

Разширената база съдържа допълнителни сигнатури на атаки, които сериозно влияят на производителността на системата или които не могат да бъдат блокирани заради тяхната особена природа. Заради размера на тази база, тя не е налична за модели FortiGate с малък диск или RAM. Но за високо защитени среди може да се наложи да се използва разширената база.

Настройката и проверката на работоспособността на IPS също са разгледани във видеото по-долу.

В следващия урок ще разгледаме работата с потребителите. За да не го пропуснете, следете обновленията в следните канали:

Източник: habr.com

7. Fortinet Getting Started v6.0. Антивирус и IPS