🥇7. Fortinet Getting Started v6.0. Антивирус и IPS

Здравейте! Добре дошли на седмия урок от курса Fortinet Започване. На прошлия урок в който се запознахме с профилите за сигурност като Web Filtering, Application Control и HTTPS инспекция. В този урок ще продължим с изучаването на профилите за сигурност. Първо ще се запознаем с теоретичните аспекти на работата на антивируса и системата за предотвратяване на прониквания, след което ще разгледаме как работят тези профили за сигурност на практика.

Да започнем с антивируса. Първо ще обсъдим технологиите, които FortiGate използва за откриване на вируси:
Антивирусното сканиране е най-простият и бърз метод за откриване на вируси. То идентифицира вируси, които напълно съвпадат с подписите, съдържащи се в антивирусната база.

Grayware Scan или сканирането на нежелани програми — тази технология определя нежелани програми, които се инсталират без знанието или съгласието на потребителя. Технически тези програми не се считат за вируси. Обикновено те идват заедно с други програми, но при инсталирането негативно влияят на системата, поради което се класифицират като зловреден софтуер. Често такива програми могат да бъдат открити с помощта на простите grayware подписи от изследователската база на FortiGuard.

Евристичното сканиране — тази технология се основава на вероятности, поради което нейното използване може да предизвика false positives, но с нея могат да бъдат открити и zero day вируси. Zero day вирусите са нови вируси, които все още не са изследвани и в момента не съществуват подписи, които да ги откриват. Евристичното сканиране не се прилага по подразбиране, трябва да бъде активирано в командния ред.

Ако всички функции на антивируса са активирани, FortiGate ги прилага в следния ред: антивирусно сканиране, grayware сканиране, евристично сканиране.

FortiGate може да използва няколко антивирусни бази, в зависимост от задачите:

Обикновената антивирусна база (Normal) — налична е във всички модели на FortiGate. Тя включва подписи за вируси, които са били открити през последните месеци. Това е най-малката антивирусна база, така че при нейното използване сканирането се извършва най-бързо. Въпреки това, тази база не може да открие всички известни вируси.
Разширената (Extend) — тази база се поддържа от повечето модели на FortiGate. С нея могат да бъдат открити вируси, които вече не са активни. Много платформи все още са уязвими на тези вируси. Освен това, тези вируси могат да доведат до проблеми в бъдеще.
И последната екстремна база (Extreme) се използва в инфраструктури, изискващи висок nivo на сигурност. С ней можете да откриете всички известни вируси, включително и вируси, насочени към остарели операционни системи, които в момента не са широко разпространени. Този тип база сигнатури не се поддържа от всички модели на FortiGate.

Съществува и компактна база сигнатури, предназначена за бързо сканиране. За нея ще говорим малко по-късно.

Антивирусните бази могат да се обновяват по различни методи.

Първият метод — Push Update — позволява да се обновяват базите веднага, щом изследователската база FortiGuard пусне обновление. Това е полезно за инфраструктури, които изискват висок nivo на сигурност, тъй като FortiGate ще получава спешни обновления веднага след появата им.

Вторият метод е да зададете график. Така можете да проверявате обновленията всеки час, ден или седмица. Тоест, времевият диапазон се определя по ваше усмотрение.
Тези методи могат да се използват заедно.

Но трябва да имате предвид — за да се извършват обновления, необходимо е да активирате профила на антивируса поне за една политика на защитната стена. В противен случай обновленията няма да се извършват.

Можете също да изтеглите обновления от сайта за поддръжка на Fortinet и след това ръчно да ги качите на FortiGate.

Нека разгледаме режимите на сканиране. Те са общо три — Full Mode в Flow Based режим, Quick Mode в Flow Based режим и Full Mode в прокси режим. Начнем с Full Mode във Flow режима.

Да предположим, че потребителят иска да изтегли файл. Той изпраща заявка. Сървърът започва да му изпраща пакетите, от които се състои файлът. Потребителят веднага получава тези пакети. Но преди да предаде тези пакети на потребителя, FortiGate ги кешира. След като FortiGate получи последния пакет, той започва да сканира файла. През това време последният пакет остава на изчакване и не се изпраща на потребителя. Ако файлът не съдържа вируси, последният пакет се изпраща на потребителя. Ако обаче се открие вирус — FortiGate разрива връзката с потребителя.

Вторият режим на сканиране, наличен в Flow Based — Quick Mode. Той използва компактна база сигнатури, която съдържа по-малко сигнатури от обичайната база. Също така има някои ограничения в сравнение с Full Mode:

Не може да изпраща файлове в песчената
Не може да използва хевристичен анализ
Не може също да използва пакети, свързани с мобилни зловредни програми
Някои базови модели не поддържат този режим.

Бързият режим също проверява трафика за наличие на вируси, червеи, троянски коне и злонамерен софтуер, но без буфериране. Това осигурява по-добра производителност, но същевременно вероятността за откритие на вирус намалява.

В режим Proxy е наличен единствен режим на сканиране — Пълен режим. При такова сканиране, FortiGate първо запазва целия файл у себе си (освен ако не се надвиши допустимият размер на файловете за сканиране). Клиентът трябва да изчака, докато сканирането завърши. Ако по време на сканирането бъде открит вирус, потребителят ще бъде незабавно уведомлен. Тъй като FortiGate първо запазва целия файл, а след това го сканира, това може да отнеме доста време, поради което от страна на клиента е възможно прекъсване на връзката преди получаването на файла заради дългото забавяне.

На изображението по-долу е представена сравнителна таблица за режимите на сканиране — тя ще ви помогне да определите кой тип сканиране е подходящ за вашите нужди. Настройката и проверката на работоспособността на антивируса са разгледани на практика в видеото в края на статията.

Преминаваме към втората част на урока — системата за предотвратяване на прониквания. Но преди да започнем изследването на IPS, е необходимо да разберем разликата между експлойти и аномалии, както и да разберем какви механизми използва FortiGate за защита от тях.

Експлойти — това са известни атаки с конкретни шаблони, които могат да се открият с помощта на IPS, WAF или антивирусни сигнатури.

Аномалии — това е необичайно поведение в мрежата, например необичайно голям обем на трафика или по-високо от обичайното потребление на CPU. Аномалиите трябва да се наблюдават, тъй като те могат да бъдат признаци на нова, все още неизследвана атака. Аномалиите обикновено се откриват с помощта на поведенчески анализ — така наречените rate-based сигнатури и политики на DoS.

В крайна сметка — IPS на FortiGate използва сигнатурни бази за откритие на известни атаки и Rate-Based сигнатури и политики на DoS за откритие на различни аномалии.

По подразбиране, началният комплект IPS сигнатури е включен в всяка версия на операционната система FortiGate. С помощта на актуализации FortiGate получава нови сигнатури. По този начин IPS остава ефективен срещу нови експлойти. Услугата FortiGuard обновява IPS сигнатурите доста често.

Важно е да се отбележи, че както при IPS, така и при антивируса — ако лицензите ви са изтекли, все пак можете да използвате последните получени сигнатури. Но нови без лицензии не можете да получите. Ето защо липсата на лицензии е крайно нежелателна — при появата на нови атаки няма да можете да се защитите с остарели сигнатури.

IPS базите на сигнатури се разделят на обикновена и разширена. Обикновената база съдържа сигнатури за често срещани атаки, които много рядко или изобщо не предизвикват фалшиви сработвания. Предварително настроеното действие за повечето от тези сигнатури е блокиране.

Разширената база съдържа допълнителни сигнатури на атаки, които имат значително влияние върху производителността на системата, или които не могат да бъдат блокирани поради тяхната специална природа. Поради размера на такава база, тя не е налична за модели FortiGate с малък диск или RAM. Но за високо защитени среди може да се наложи използването на разширената база.

Настройката и проверката на функционирането на IPS също са разгледани във видеото по-долу.

В следващия урок ще разгледаме работата с потребителите. За да не го пропуснете, следете обновленията на следните канали:

Източник: habr.com