7. Fortinet Първи стъпки v6.0. Антивирусна и IPS

Поздравления! Добре дошли в седмия урок от курса Fortinet Първи стъпки, за последен урок се запознахме с такива профили за сигурност като уеб филтриране, контрол на приложения и проверка на HTTPS. В този урок ще продължим нашето въведение в профилите за сигурност. Първо ще се запознаем с теоретичните аспекти на работата на една антивирусна система и система за предотвратяване на проникване, а след това ще разгледаме как тези профили за сигурност работят на практика.

Да започнем с антивирусната програма. Първо, нека обсъдим технологиите, които FortiGate използва за откриване на вируси:
Антивирусното сканиране е най-лесният и бърз метод за откриване на вируси. Той открива вируси, които напълно съвпадат със сигнатурите, съдържащи се в антивирусната база данни.

Grayware Scan или сканиране на нежелани програми - тази технология открива нежелани програми, които са инсталирани без знанието или съгласието на потребителя. Технически тези програми не са вируси. Те обикновено идват в комплект с други програми, но когато са инсталирани, влияят негативно на системата, поради което се класифицират като зловреден софтуер. Често такива програми могат да бъдат открити с помощта на прости сигнатури на сивия софтуер от изследователската база FortiGuard.

Евристично сканиране - тази технология се основава на вероятности, така че използването й може да доведе до фалшиви положителни ефекти, но също така може да открие вируси от нулевия ден. Вирусите от нулев ден са нови вируси, които все още не са проучени и няма сигнатури, които биха могли да ги открият. Евристичното сканиране не е активирано по подразбиране и трябва да бъде активирано от командния ред.

Ако всички антивирусни възможности са активирани, FortiGate ги прилага в следния ред: антивирусно сканиране, сканиране на сив софтуер, евристично сканиране.

FortiGate може да използва няколко антивирусни бази данни, в зависимост от задачите:

• Нормална антивирусна база данни (Normal) - съдържа се във всички модели на FortiGate. Той включва сигнатури за вируси, открити през последните месеци. Това е най-малката антивирусна база данни, така че сканира най-бързо, когато се използва. Тази база данни обаче не може да открие всички известни вируси.
• Разширена - тази база се поддържа от повечето модели на FortiGate. Може да се използва за откриване на вируси, които вече не са активни. Много платформи все още са уязвими към тези вируси. Освен това тези вируси могат да причинят проблеми в бъдеще.
• И последната, крайна база (Extreme) - използва се в инфраструктури, където се изисква високо ниво на сигурност. С негова помощ можете да откриете всички известни вируси, включително вируси, насочени към остарели операционни системи, които в момента не са широко разпространени. Този тип база данни със сигнатури също не се поддържа от всички модели на FortiGate.

Има и компактна база данни със сигнатури, предназначена за бързо сканиране. Ще поговорим за това малко по-късно.

Можете да актуализирате антивирусни бази данни, като използвате различни методи.

Първият метод е Push Update, който позволява базите данни да бъдат актуализирани веднага щом изследователската база данни FortiGuard пусне актуализация. Това е полезно за инфраструктури, които изискват високо ниво на сигурност, тъй като FortiGate ще получава спешни актуализации веднага щом са налични.

Вторият метод е да зададете график. По този начин можете да проверявате за актуализации на всеки час, ден или седмица. Тоест тук времевият диапазон се задава по ваша преценка.
Тези методи могат да се използват заедно.

Но трябва да имате предвид, че за да се правят актуализации, трябва да активирате антивирусния профил за поне една политика на защитна стена. В противен случай няма да се правят актуализации.

Можете също да изтеглите актуализации от сайта за поддръжка на Fortinet и след това да ги качите ръчно във FortiGate.

Нека да разгледаме режимите на сканиране. Има само три от тях - пълен режим в режим базиран на поток, бърз режим в режим базиран на поток и пълен режим в режим на прокси. Нека започнем с пълен режим в режим Flow.

Да приемем, че потребител иска да изтегли файл. Той изпраща молба. Сървърът започва да му изпраща пакети, които съставят файла. Потребителят веднага получава тези пакети. Но преди да достави тези пакети на потребителя, FortiGate ги кешира. След като FortiGate получи последния пакет, той започва да сканира файла. По това време последният пакет е на опашка и не се предава на потребителя. Ако файлът не съдържа вируси, последният пакет се изпраща на потребителя. Ако бъде открит вирус, FortiGate прекъсва връзката с потребителя.

Вторият режим на сканиране, наличен в Flow Based, е Quick Mode. Той използва компактна база данни със сигнатури, която съдържа по-малко сигнатури от обикновената база данни. Освен това има някои ограничения в сравнение с пълния режим:

• Не може да изпраща файлове в пясъчника
• Не може да използва евристичен анализ
• Също така не може да използва пакети, свързани с мобилен зловреден софтуер
• Някои базови модели не поддържат този режим.

Бързият режим също проверява трафика за вируси, червеи, троянски коне и зловреден софтуер, но без буфериране. Това осигурява по-добра производителност, но в същото време вероятността за откриване на вирус е намалена.

В прокси режим единственият наличен режим на сканиране е пълен режим. При такова сканиране FortiGate първо съхранява целия файл върху себе си (освен ако, разбира се, не бъде превишен допустимият размер на файла за сканиране). Клиентът трябва да изчака сканирането да завърши. Ако по време на сканиране бъде открит вирус, потребителят ще бъде уведомен незабавно. Тъй като FortiGate първо записва целия файл и след това го сканира, това може да отнеме доста дълго време. Поради това е възможно клиентът да прекрати връзката, преди да получи файла поради голямо забавяне.

Фигурата по-долу показва сравнителна таблица за режимите на сканиране - тя ще ви помогне да определите кой тип сканиране е подходящ за вашите задачи. Настройването и проверката на функционалността на антивирусната програма се обсъжда на практика във видеото в края на статията.

Да преминем към втората част на урока - системата за предотвратяване на проникване. Но за да започнете да изучавате IPS, трябва да разберете разликата между експлойти и аномалии, както и какви механизми използва FortiGate, за да се предпази от тях.

Експлойтите са известни атаки със специфични модели, които могат да бъдат открити с помощта на IPS, WAF или антивирусни подписи.

Аномалиите са необичайно поведение в мрежа, като например необичайно голямо количество трафик или по-високо от нормалното потребление на процесора. Аномалиите трябва да се наблюдават, защото може да са признаци на нова, неизследвана атака. Аномалиите обикновено се откриват с помощта на поведенчески анализ - така наречените сигнатури, базирани на скоростта, и DoS политики.

В резултат на това IPS на FortiGate използва бази със сигнатури за откриване на известни атаки и сигнатури, базирани на скоростта, и DoS политики за откриване на различни аномалии.

По подразбиране към всяка версия на операционната система FortiGate е включен първоначален набор от IPS подписи. С актуализации FortiGate получава нови подписи. По този начин IPS остава ефективен срещу нови експлойти. FortiGuard актуализира IPS подписите доста често.

Важен момент, който се отнася както за IPS, така и за антивирусната програма, е, че ако вашите лицензи са изтекли, все още можете да използвате последните получени подписи. Но няма да можете да получите нови без лицензи. Следователно липсата на лицензи е изключително нежелателна - ако се появят нови атаки, няма да можете да се защитите със стари подписи.

Базите данни със сигнатури на IPS са разделени на обикновени и разширени. Типичната база данни съдържа сигнатури за често срещани атаки, които рядко или никога не причиняват фалшиви положителни резултати. Предварително конфигурираното действие за повечето от тези подписи е блокиране.

Разширената база данни съдържа допълнителни сигнатури за атака, които оказват значително влияние върху производителността на системата или които не могат да бъдат блокирани поради специалното си естество. Поради размера на тази база данни, тя не е налична за модели на FortiGate с малък диск или RAM. Но за високо защитени среди може да се наложи да използвате разширена база.

Настройката и проверката на функционалността на IPS също се обсъжда във видеото по-долу.

В следващия урок ще разгледаме работата с потребители. За да не го пропуснете, следете актуализациите на следните канали:

• Youtube
• FaceBook Group
• Yandex Zen
• Нашият сайт
• Телеграм канал

Източник: www.habr.com