7. फोर्टिनेट प्रारंभ करना v6.0। एंटीवायरस और आईपीएस

अभिवादन! पाठ्यक्रम के सातवें पाठ में आपका स्वागत है फोर्टिनेट प्रारंभ हो रहा है. पर अंतिम पाठ हम वेब फ़िल्टरिंग, एप्लिकेशन नियंत्रण और HTTPS निरीक्षण जैसे सुरक्षा प्रोफाइल से परिचित हुए। इस पाठ में हम सुरक्षा प्रोफाइल से अपना परिचय जारी रखेंगे। सबसे पहले, हम एंटीवायरस और घुसपैठ रोकथाम प्रणाली के संचालन के सैद्धांतिक पहलुओं से परिचित होंगे, और फिर हम देखेंगे कि ये सुरक्षा प्रोफाइल व्यवहार में कैसे काम करते हैं।

आइए एंटीवायरस से शुरुआत करें। सबसे पहले, आइए उन तकनीकों पर चर्चा करें जिनका उपयोग फोर्टीगेट वायरस का पता लगाने के लिए करता है:
एंटीवायरस स्कैनिंग वायरस का पता लगाने का सबसे आसान और तेज़ तरीका है। यह ऐसे वायरस का पता लगाता है जो एंटी-वायरस डेटाबेस में मौजूद हस्ताक्षरों से पूरी तरह मेल खाते हैं।

ग्रेवेयर स्कैन या अवांछित प्रोग्राम स्कैनिंग - यह तकनीक उन अवांछित प्रोग्रामों का पता लगाती है जो उपयोगकर्ता की जानकारी या सहमति के बिना इंस्टॉल किए गए हैं। तकनीकी रूप से, ये प्रोग्राम वायरस नहीं हैं। वे आम तौर पर अन्य प्रोग्रामों के साथ बंडल में आते हैं, लेकिन इंस्टॉल होने पर वे सिस्टम को नकारात्मक रूप से प्रभावित करते हैं, यही कारण है कि उन्हें मैलवेयर के रूप में वर्गीकृत किया जाता है। अक्सर ऐसे प्रोग्रामों का पता फोर्टीगार्ड अनुसंधान आधार से सरल ग्रेवेयर हस्ताक्षरों का उपयोग करके लगाया जा सकता है।

ह्यूरिस्टिक स्कैनिंग - यह तकनीक संभावनाओं पर आधारित है, इसलिए इसके उपयोग से गलत सकारात्मक प्रभाव पड़ सकते हैं, लेकिन यह शून्य दिन वाले वायरस का भी पता लगा सकता है। ज़ीरो डे वायरस नए वायरस हैं जिनका अभी तक अध्ययन नहीं किया गया है, और ऐसे कोई हस्ताक्षर नहीं हैं जो उनका पता लगा सकें। ह्यूरिस्टिक स्कैनिंग डिफ़ॉल्ट रूप से सक्षम नहीं है और इसे कमांड लाइन पर सक्षम किया जाना चाहिए।

यदि सभी एंटीवायरस क्षमताएं सक्षम हैं, तो FortiGate उन्हें निम्नलिखित क्रम में लागू करता है: एंटीवायरस स्कैनिंग, ग्रेवेयर स्कैनिंग, ह्यूरिस्टिक स्कैनिंग।

कार्यों के आधार पर, FortiGate कई एंटी-वायरस डेटाबेस का उपयोग कर सकता है:

• सामान्य एंटीवायरस डेटाबेस (सामान्य) - सभी फोर्टिगेट मॉडल में निहित है। इसमें हाल के महीनों में खोजे गए वायरस के हस्ताक्षर शामिल हैं। यह सबसे छोटा एंटीवायरस डेटाबेस है, इसलिए उपयोग करने पर यह सबसे तेज़ स्कैन करता है। हालाँकि, यह डेटाबेस सभी ज्ञात वायरस का पता नहीं लगा सकता है।
• विस्तारित - यह आधार अधिकांश फोर्टीगेट मॉडल द्वारा समर्थित है। इसका उपयोग उन वायरस का पता लगाने के लिए किया जा सकता है जो अब सक्रिय नहीं हैं। कई प्लेटफ़ॉर्म अभी भी इन वायरस की चपेट में हैं। साथ ही ये वायरस भविष्य में समस्या भी पैदा कर सकते हैं।
• और अंतिम, चरम आधार (एक्सट्रीम) - का उपयोग उन बुनियादी ढांचे में किया जाता है जहां उच्च स्तर की सुरक्षा की आवश्यकता होती है। इसकी मदद से, आप सभी ज्ञात वायरस का पता लगा सकते हैं, जिसमें पुराने ऑपरेटिंग सिस्टम पर लक्षित वायरस भी शामिल हैं, जो इस समय व्यापक रूप से वितरित नहीं हैं। इस प्रकार का हस्ताक्षर डेटाबेस भी सभी FortiGate मॉडल द्वारा समर्थित नहीं है।

त्वरित स्कैनिंग के लिए डिज़ाइन किया गया एक कॉम्पैक्ट हस्ताक्षर डेटाबेस भी है। हम इसके बारे में थोड़ी देर बाद बात करेंगे।

आप विभिन्न तरीकों का उपयोग करके एंटी-वायरस डेटाबेस को अपडेट कर सकते हैं।

पहली विधि पुश अपडेट है, जो फोर्टीगार्ड अनुसंधान डेटाबेस द्वारा अपडेट जारी करते ही डेटाबेस को अपडेट करने की अनुमति देती है। यह उन बुनियादी ढांचे के लिए उपयोगी है जिनके लिए उच्च स्तर की सुरक्षा की आवश्यकता होती है, क्योंकि फोर्टीगेट को उपलब्ध होते ही तत्काल अपडेट प्राप्त होंगे।

दूसरा तरीका एक शेड्यूल निर्धारित करना है। इस तरह आप हर घंटे, दिन या सप्ताह में अपडेट की जांच कर सकते हैं। यानी यहां समय सीमा आपके विवेक पर निर्धारित की गई है।
इन विधियों का एक साथ उपयोग किया जा सकता है.

लेकिन आपको यह ध्यान रखना होगा कि अपडेट करने के लिए, आपको कम से कम एक फ़ायरवॉल नीति के लिए एंटीवायरस प्रोफ़ाइल को सक्षम करना होगा। अन्यथा, अपडेट नहीं किए जाएंगे.

आप फोर्टिनेट सपोर्ट साइट से भी अपडेट डाउनलोड कर सकते हैं और फिर उन्हें मैन्युअल रूप से फोर्टीगेट पर अपलोड कर सकते हैं।

आइए स्कैनिंग मोड पर नजर डालें। उनमें से केवल तीन हैं - फ़्लो आधारित मोड में पूर्ण मोड, फ़्लो आधारित मोड में त्वरित मोड, और प्रॉक्सी मोड में पूर्ण मोड। आइए फ्लो मोड में फुल मोड से शुरुआत करें।

मान लीजिए कि कोई उपयोगकर्ता कोई फ़ाइल डाउनलोड करना चाहता है। वह एक अनुरोध भेजता है. सर्वर उसे पैकेट भेजना शुरू कर देता है जो फ़ाइल बनाते हैं। उपयोगकर्ता को ये पैकेज तुरंत प्राप्त हो जाते हैं। लेकिन इन पैकेट्स को यूजर तक पहुंचाने से पहले FortiGate इन्हें कैश कर लेता है। फ़ोर्टिगेट को अंतिम पैकेट प्राप्त होने के बाद, वह फ़ाइल को स्कैन करना शुरू कर देता है। इस समय, अंतिम पैकेट कतारबद्ध है और उपयोगकर्ता को प्रेषित नहीं किया गया है। यदि फ़ाइल में वायरस नहीं है, तो नवीनतम पैकेट उपयोगकर्ता को भेजा जाता है। यदि कोई वायरस पाया जाता है, तो FortiGate उपयोगकर्ता से कनेक्शन तोड़ देता है।

फ़्लो बेस्ड में उपलब्ध दूसरा स्कैनिंग मोड क्विक मोड है। यह एक कॉम्पैक्ट हस्ताक्षर डेटाबेस का उपयोग करता है, जिसमें नियमित डेटाबेस की तुलना में कम हस्ताक्षर होते हैं। पूर्ण मोड की तुलना में इसकी कुछ सीमाएँ भी हैं:

• यह सैंडबॉक्स में फ़ाइलें नहीं भेज सकता
• यह अनुमानी विश्लेषण का उपयोग नहीं कर सकता
• साथ ही यह मोबाइल मैलवेयर से संबंधित पैकेज का उपयोग नहीं कर सकता है
• कुछ प्रवेश स्तर के मॉडल इस मोड का समर्थन नहीं करते हैं।

त्वरित मोड वायरस, वर्म्स, ट्रोजन और मैलवेयर के लिए ट्रैफ़िक की जाँच भी करता है, लेकिन बफरिंग के बिना। इससे बेहतर प्रदर्शन मिलता है, लेकिन साथ ही वायरस का पता चलने की संभावना कम हो जाती है।

प्रॉक्सी मोड में, उपलब्ध एकमात्र स्कैनिंग मोड पूर्ण मोड है। इस तरह के स्कैन के साथ, फ़ोर्टिगेट पहले पूरी फ़ाइल को अपने पास संग्रहीत करता है (जब तक कि, निश्चित रूप से, स्कैनिंग के लिए अनुमेय फ़ाइल आकार पार न हो जाए)। क्लाइंट को स्कैन पूरा होने तक प्रतीक्षा करनी होगी। यदि स्कैनिंग के दौरान कोई वायरस पाया जाता है, तो उपयोगकर्ता को तुरंत सूचित किया जाएगा। क्योंकि FortiGate पहले पूरी फ़ाइल को सेव करता है और फिर उसे स्कैन करता है, इसमें काफी लंबा समय लग सकता है। इस वजह से, क्लाइंट के लिए लंबे विलंब के कारण फ़ाइल प्राप्त होने से पहले कनेक्शन समाप्त करना संभव है।

नीचे दिया गया आंकड़ा स्कैनिंग मोड के लिए एक तुलना तालिका दिखाता है - यह आपको यह निर्धारित करने में मदद करेगा कि किस प्रकार की स्कैनिंग आपके कार्यों के लिए उपयुक्त है। लेख के अंत में वीडियो में अभ्यास में एंटीवायरस की कार्यक्षमता की स्थापना और जाँच पर चर्चा की गई है।

आइए पाठ के दूसरे भाग पर चलते हैं - घुसपैठ रोकथाम प्रणाली। लेकिन आईपीएस का अध्ययन शुरू करने के लिए, आपको कारनामों और विसंगतियों के बीच अंतर को समझना होगा, और यह भी समझना होगा कि फोर्टिगेट उनसे बचाव के लिए किन तंत्रों का उपयोग करता है।

एक्सप्लॉइट्स विशिष्ट पैटर्न वाले ज्ञात हमले हैं जिन्हें IPS, WAF, या एंटीवायरस हस्ताक्षरों का उपयोग करके पता लगाया जा सकता है।

विसंगतियाँ किसी नेटवर्क पर असामान्य व्यवहार हैं, जैसे असामान्य रूप से बड़ी मात्रा में ट्रैफ़िक या सामान्य सीपीयू खपत से अधिक। विसंगतियों पर नज़र रखने की आवश्यकता है क्योंकि वे एक नए, अज्ञात हमले के संकेत हो सकते हैं। विसंगतियों का पता आमतौर पर व्यवहार विश्लेषण - तथाकथित दर-आधारित हस्ताक्षर और DoS नीतियों का उपयोग करके लगाया जाता है।

परिणामस्वरूप, फोर्टीगेट पर आईपीएस ज्ञात हमलों का पता लगाने के लिए हस्ताक्षर आधारों का उपयोग करता है, और विभिन्न विसंगतियों का पता लगाने के लिए दर-आधारित हस्ताक्षर और डीओएस नीतियों का उपयोग करता है।

डिफ़ॉल्ट रूप से, फोर्टीगेट ऑपरेटिंग सिस्टम के प्रत्येक संस्करण के साथ आईपीएस हस्ताक्षरों का एक प्रारंभिक सेट शामिल होता है। अपडेट के साथ, FortiGate को नए हस्ताक्षर प्राप्त होते हैं। इस तरह, आईपीएस नए कारनामों के खिलाफ प्रभावी रहता है। FortiGuard अक्सर IPS हस्ताक्षरों को अद्यतन करता है।

एक महत्वपूर्ण बिंदु जो आईपीएस और एंटीवायरस दोनों पर लागू होता है वह यह है कि यदि आपके लाइसेंस की समय सीमा समाप्त हो गई है, तो भी आप प्राप्त नवीनतम हस्ताक्षरों का उपयोग कर सकते हैं। लेकिन बिना लाइसेंस के आप नए नहीं पा सकेंगे। इसलिए, लाइसेंस की अनुपस्थिति बेहद अवांछनीय है - यदि नए हमले सामने आते हैं, तो आप पुराने हस्ताक्षरों से अपनी रक्षा नहीं कर पाएंगे।

आईपीएस हस्ताक्षर डेटाबेस नियमित और विस्तारित में विभाजित हैं। एक विशिष्ट डेटाबेस में सामान्य हमलों के लिए हस्ताक्षर होते हैं जो शायद ही कभी या कभी भी गलत सकारात्मकता का कारण नहीं बनते हैं। इनमें से अधिकांश हस्ताक्षरों के लिए पूर्व-कॉन्फ़िगर कार्रवाई ब्लॉक है।

विस्तारित डेटाबेस में अतिरिक्त आक्रमण हस्ताक्षर होते हैं जिनका सिस्टम प्रदर्शन पर महत्वपूर्ण प्रभाव पड़ता है, या जिन्हें उनकी विशेष प्रकृति के कारण अवरुद्ध नहीं किया जा सकता है। इस डेटाबेस के आकार के कारण, यह छोटी डिस्क या रैम वाले फोर्टीगेट मॉडल पर उपलब्ध नहीं है। लेकिन अत्यधिक सुरक्षित वातावरण के लिए, आपको विस्तारित आधार का उपयोग करने की आवश्यकता हो सकती है।

नीचे दिए गए वीडियो में आईपीएस की कार्यक्षमता की स्थापना और जांच पर भी चर्चा की गई है।

अगले पाठ में हम उपयोगकर्ताओं के साथ काम करने पर गौर करेंगे। इसे न चूकने के लिए, निम्नलिखित चैनलों पर अपडेट का पालन करें:

• यूट्यूब
• फेसबुक समूह
• यांडेक्स ज़ेन
• हमारी साइट
• елеграм канал

स्रोत: www.habr.com