Willkommen zum siebten Lernabschnitt des Kurses! . In Wir haben uns bereits mit Sicherheitsprofilen wie Webfilterung, Anwendungssteuerung und HTTPS-Inspektion vertraut gemacht. In dieser Lektion setzen wir unser Kennenlernen der Sicherheitsprofile fort. Zuerst werden wir die theoretischen Aspekte der Funktionsweise von Antivirenprogrammen und Intrusion Prevention Systemen besprechen, bevor wir uns mit der praktischen Anwendung dieser Sicherheitsprofile befassen.
Beginnen wir mit dem Antivirenprogramm. Zunächst diskutieren wir die Technologien, die FortiGate zur Erkennung von Viren einsetzt:
Die Antivirus-Scannung ist die einfachste und schnellste Methode zur Virusentdeckung. Sie erkennt Viren, die vollständig mit den Signaturen in der Antiviren-Datenbank übereinstimmen.
Grayware-Scan oder die Erkennung unerwünschter Programme – diese Technologie identifiziert unerwünschte Software, die ohne das Wissen oder die Zustimmung des Nutzers installiert wird. Technisch betrachtet sind diese Programme keine Viren. Oft werden sie zusammen mit anderen Programmen installiert und haben negative Auswirkungen auf das System, weshalb sie als schädliche Software klassifiziert werden. Häufig können solche Programme durch einfache Grayware-Signaturen aus der FortiGuard-Forschungsdatenbank erkannt werden.
Heuristische Analyse – diese Technologie beruht auf Wahrscheinlichkeiten, weshalb ihre Anwendung zu False-Positive-Effekten führen kann. Dennoch können damit auch Zero-Day-Viren entdeckt werden. Zero-Day-Viren sind neue Viren, die noch nicht erforscht wurden und für die es noch keine Signaturen gibt, die sie erkennen können. Die heuristische Analyse wird nicht standardmäßig angewendet und muss über die Kommandozeile aktiviert werden.
Wenn alle Funktionen des Antivirenprogramms aktiviert sind, wendet FortiGate sie in folgender Reihenfolge an: Antiviren-Scan, Grayware-Scan, heuristische Analyse.
FortiGate kann je nach Anforderungen verschiedene Antiviren-Datenbanken nutzen:
- Die reguläre Antiviren-Datenbank (Normal) ist in allen FortiGate-Modellen enthalten. Sie umfasst Signaturen für Viren, die in den letzten Monaten entdeckt wurden. Dies ist die kleinste Antiviren-Datenbank, weshalb das Scannen am schnellsten erfolgt. Allerdings kann diese Datenbank nicht alle bekannten Viren erkennen.
- Die erweiterte Datenbank (Extend) wird von den meisten FortiGate-Modellen unterstützt. Mit ihr können Viren erkannt werden, die nicht mehr aktiv sind. Viele Plattformen sind weiterhin anfällig für diese Viren. Darüber hinaus können diese Viren in der Zukunft Probleme verursachen.
- Die letzte, extreme Datenbank (Extreme) wird in Infrastrukturen eingesetzt, die ein hohes Maß an Sicherheit erfordern. Mit ihr können alle bekannten Viren erkannt werden, einschließlich solcher, die auf veraltete Betriebssysteme abzielen, die derzeit nicht weit verbreitet sind. Diese Art von Signaturdatenbank wird zudem nicht von allen FortiGate-Modellen unterstützt.
Es gibt auch eine kompakte Signaturdatenbank, die für schnelles Scannen gedacht ist. Darüber werden wir später sprechen.
Antivirus-Datenbanken können auf verschiedene Arten aktualisiert werden.
Die erste Methode – Push-Update – ermöglicht es, die Datenbanken sofort zu aktualisieren, sobald die Forschungsdatenbank von FortiGuard ein Update veröffentlicht. Dies ist besonders nützlich für Infrastrukturen, die ein hohes Maß an Sicherheit benötigen, da FortiGate dringende Updates sofort nach ihrem Erscheinen erhält.
Die zweite Methode besteht darin, einen Zeitplan festzulegen. Dadurch können die Updates stündlich, täglich oder wöchentlich überprüft werden. Der Zeitrahmen liegt also in Ihrem Ermessen.
Diese Methoden können zusammen verwendet werden.
Es ist jedoch zu beachten, dass zur Durchführung von Updates das Antivirenprofil mindestens in einer Firewall-Richtlinie aktiviert sein muss. Andernfalls werden keine Updates durchgeführt.
Updates können auch von der Support-Website von Fortinet heruntergeladen und anschließend manuell auf FortiGate hochgeladen werden.
Schauen wir uns die Scan-Modi an. Es gibt insgesamt drei: den Full Mode im Flow Based-Modus, den Quick Mode im Flow Based-Modus und den Full Mode im Proxy-Modus. Beginnen wir mit dem Full Mode im Flow Modus.
Angenommen, der Benutzer möchte eine Datei herunterladen. Er sendet eine Anfrage. Der Server beginnt, ihm die Pakete zu senden, aus denen die Datei besteht. Der Benutzer erhält diese Pakete sofort. Aber bevor FortiGate diese Pakete an den Benutzer überträgt, werden sie zwischengespeichert. Nachdem FortiGate das letzte Paket erhalten hat, beginnt es mit dem Scannen der Datei. In der Zwischenzeit wird das letzte Paket in die Warteschlange gestellt und nicht an den Benutzer weitergeleitet. Wenn die Datei keine Viren enthält, wird das letzte Paket an den Benutzer gesendet. Wird jedoch ein Virus entdeckt, trennt FortiGate die Verbindung zum Benutzer.
Der zweite Scan-Modus, der im Flow Based verfügbar ist, ist der Quick Mode. Er verwendet eine kompakte Signaturdatenbank, die weniger Signaturen enthält als die reguläre Datenbank. Er hat auch einige Einschränkungen im Vergleich zum Full Mode:
- Er kann keine Dateien in die Sandbox senden.
- Er kann keine heuristische Analyse verwenden.
- Er kann auch keine Pakete verwenden, die mit mobilen Malware-Programmen verbunden sind.
- Einige Einstiegsmodelle unterstützen diesen Modus nicht.
Der Schnellmodus überprüft ebenfalls den Datenverkehr auf Viren, Würmer, Trojaner und Malware, jedoch ohne Pufferung. Dies sorgt für eine bessere Leistung, verringert jedoch gleichzeitig die Wahrscheinlichkeit, einen Virus zu entdecken.
Im Proxy-Modus steht nur ein Scan-Modus zur Verfügung — der Vollmodus. Bei diesem Scan speichert FortiGate zunächst die gesamte Datei (sofern die zulässige Dateigröße für den Scan nicht überschritten wird). Der Client muss warten, bis der Scan abgeschlossen ist. Sollte während des Scans ein Virus entdeckt werden, wird der Benutzer sofort benachrichtigt. Da FortiGate zunächst die gesamte Datei speichert und sie dann scannt, kann dies recht lange dauern, wobei es auf Seiten des Clients zu einer Unterbrechung der Verbindung kommen kann, bevor die Datei aufgrund der langen Verzögerung empfangen wird.
Im folgenden Bild finden Sie eine Vergleichstabelle für die Scan-Modi — sie hilft Ihnen zu bestimmen, welcher Scan-Typ für Ihre Anforderungen am besten geeignet ist. Die Konfiguration und Überprüfung der Funktionalität des Antivirenprogramms wird in einem praktischen Video am Ende des Artikels behandelt.
Kommen wir zum zweiten Teil des Unterrichts – dem Intrusion Prevention System (IPS). Um IPS zu verstehen, müssen wir zuerst den Unterschied zwischen Exploits und Anomalien klären und herausfinden, welche Mechanismen FortiGate zum Schutz dagegen einsetzt.
Exploits sind bekannte Angriffe mit spezifischen Mustern, die durch IPS, WAF oder antivirale Signaturen erkannt werden können.
Anomalien hingegen sind ungewöhnliches Verhalten im Netzwerk, wie beispielsweise ein überdurchschnittlich hoher Datenverkehr oder ein höherer CPU-Verbrauch als gewohnt. Anomalien sollten überwacht werden, da sie Anzeichen eines neuen, noch unerforschten Angriffs darstellen können. Sie werden typischerweise durch Verhaltensanalysen – sogenannte rate-based Signaturen und DoS-Richtlinien – entdeckt.
Zusammenfassend lässt sich sagen: Das IPS auf FortiGate verwendet Signaturdatenbanken zur Erkennung bekannter Angriffe sowie rate-based Signaturen und DoS-Politiken zur Entdeckung verschiedener Anomalien.
Standardmäßig ist ein anfängliches Set von IPS-Signaturen in jeder Version des FortiGate-Betriebssystems enthalten. Durch Updates erhält FortiGate neue Signaturen. So bleibt das IPS gegen neue Exploits effektiv. Der FortiGuard-Service aktualisiert die IPS-Signaturen recht häufig.
Ein wichtiger Punkt, der sowohl für IPS als auch für Antivirensoftware gilt: Wenn Ihre Lizenzen abgelaufen sind, können Sie dennoch die letzten erhaltenen Signaturen verwenden. Neue Signaturen können jedoch ohne Lizenzen nicht abgerufen werden. Daher ist ein Mangel an Lizenzen äußerst unerwünscht – bei Neuerungen in Angriffen sind Sie mit alten Signaturen nicht sicher.
Die IPS-Signaturdatenbanken unterscheiden sich in eine Standard- und eine erweiterte Variante. Die Standarddatenbank enthält Signaturen für gängige Angriffe, die sehr selten oder gar nicht zu Fehlalarmen führen. Die voreingestellte Aktion für die meisten dieser Signaturen ist „blockieren“.
Die erweiterte Datenbank enthält zusätzliche Angriffssignaturen, die die Systemleistung stark beeinträchtigen oder aufgrund ihrer besonderen Natur nicht blockiert werden können. Aufgrund der Größe dieser Datenbank ist sie für FortiGate-Modelle mit kleinem Speicher oder RAM nicht verfügbar. Für hochgesicherte Umgebungen könnte es jedoch erforderlich sein, die erweiterte Datenbank zu verwenden.
Die Konfiguration und Überprüfung der Funktionsfähigkeit des IPS werden ebenfalls im folgenden Video betrachtet.
Im nächsten Unterricht werden wir uns mit der Arbeit mit Benutzern beschäftigen. Um nichts zu verpassen, folgen Sie bitte den Updates auf den folgenden Kanälen:
Quelle: habr.com
