Salve! Benvenuto alla settima lezione del corso . Su ci siamo familiarizzati con profili di sicurezza come Web Filtering, Application Control e ispezione HTTPS. In questa lezione continueremo a esplorare i profili di sicurezza. Inizieremo con gli aspetti teorici del funzionamento dell'antivirus e del sistema di prevenzione delle intrusioni, per poi esaminare l'applicazione pratica di questi profili di sicurezza.
Iniziamo con l'antivirus. Per prima cosa discutiamo delle tecnologie utilizzate da FortiGate per rilevare i virus:
La scansione antivirus è il metodo più semplice e veloce per rilevare i virus. Identifica i virus che corrispondono esattamente alle firme presenti nel database antivirus.
La scansione Grayware o scansione di programmi indesiderati — questa tecnologia identifica programmi indesiderati che vengono installati senza la conoscenza o il consenso dell'utente. Tecnicamente, questi programmi non sono virus. Di solito vengono installati insieme ad altri programmi, ma influiscono negativamente sul sistema, motivo per cui sono classificati come malware. Spesso, tali programmi possono essere rilevati tramite semplici firme grayware dalla base di ricerca FortiGuard.
La scansione euristica — questa tecnologia si basa su probabilità, quindi il suo utilizzo può causare effetti di falsi positivi, tuttavia permette anche di rilevare virus zero day. I virus zero day sono nuovi virus non ancora studiati, per i quali non esistono firme in grado di identificarli. La scansione euristica non è attivata per impostazione predefinita, deve essere attivata sulla riga di comando.
Se tutte le funzionalità dell'antivirus sono attivate, FortiGate le applica nel seguente ordine: scansione antivirus, scansione grayware, scansione euristica.
FortiGate può utilizzare diversi database antivirus, a seconda delle esigenze:
- Il database antivirus normale (Normal) — è presente in tutti i modelli di FortiGate. Include firme per virus che sono stati rilevati negli ultimi mesi. Questo è il database antivirus più piccolo, quindi durante il suo utilizzo la scansione viene eseguita più rapidamente. Tuttavia, questo database non può rilevare tutti i virus noti.
- Estesa (Extend) — questo database è supportato dalla maggior parte dei modelli FortiGate. Grazie a esso è possibile rilevare virus che non sono più attivi. Molte piattaforme sono ancora vulnerabili a questi virus. Inoltre, questi virus potrebbero causare problemi in futuro.
- E infine, il database estremo (Extreme) — utilizzato nelle infrastrutture dove è necessaria un'elevata sicurezza. Con il suo aiuto è possibile rilevare tutti i virus noti, inclusi i virus destinati a sistemi operativi obsoleti, attualmente poco diffusi. Questo tipo di database di signature non è supportato da tutti i modelli FortiGate.
Esiste anche un database di signature compatto, progettato per scansioni veloci. Ne parleremo più avanti.
Le basi antivirus possono essere aggiornate in vari modi.
Il primo metodo — Push Update — consente di aggiornare le basi non appena il database di ricerca FortiGuard pubblica un aggiornamento. Questo è utile per le infrastrutture che necessitano di un elevato livello di sicurezza, poiché FortiGate riceverà aggiornamenti urgenti immediatamente dopo la loro disponibilità.
Il secondo metodo consiste nell'impostare un programma. In questo modo, gli aggiornamenti possono essere controllati ogni ora, giorno o settimana. Quindi, qui l'intervallo temporale è scelto a vostra discrezione.
Questi metodi possono essere utilizzati insieme.
Ma è importante tenere presente che, affinché gli aggiornamenti vengano effettuati, è necessario attivare il profilo antivirus su almeno una politica firewall. Altrimenti, gli aggiornamenti non verranno effettuati.
È anche possibile scaricare gli aggiornamenti dal sito di supporto Fortinet e caricarli manualmente su FortiGate.
Esaminiamo le modalità di scansione. Ce ne sono tre: Modalità Completa in modalità Flow Based, Modalità Rapida in modalità Flow Based e Modalità Completa in modalità proxy. Iniziamo con la Modalità Completa in modalità Flow.
Supponiamo che l'utente voglia scaricare un file. Invia una richiesta. Il server inizia a inviargli i pacchetti che compongono il file. L'utente riceve immediatamente questi pacchetti. Ma prima di inviare questi pacchetti all'utente, FortiGate li memorizza nella cache. Dopo che FortiGate ha ricevuto l'ultimo pacchetto, inizia a scansionare il file. In quel momento, l'ultimo pacchetto viene messo in attesa e non viene inviato all'utente. Se il file non contiene virus, l'ultimo pacchetto viene inviato all'utente. Se viene rilevato un virus, FortiGate interrompe la connessione con l'utente.
La seconda modalità di scansione, disponibile in Flow Based, è la Modalità Veloce. Utilizza un database di firme compatto, che contiene meno firme rispetto al database normale. Inoltre, presenta alcune limitazioni rispetto alla Modalità Completa:
- Non può inviare file alla sandbox
- Non può utilizzare analisi euristica
- Non può utilizzare pacchetti relativi a malware mobili
- Alcuni modelli entry level non supportano questa modalità.
La modalità Veloce controlla anche il traffico per la presenza di virus, worm, trojan e malware, ma senza bufferizzazione. Ciò garantisce migliori prestazioni, ma contemporaneamente riduce la probabilità di rilevare virus.
Nella modalità Proxy è disponibile una sola modalità di scansione: la Modalità Completa. Con questa scansione, FortiGate prima memorizza l'intero file (a meno che non venga superato il limite di dimensione consentita per la scansione). Il cliente deve attendere il termine della scansione. Se viene rilevato un virus durante la scansione, l'utente viene immediatamente avvisato. Poiché FortiGate prima memorizza l'intero file e poi lo scansiona, ciò può richiedere molto tempo. Pertanto, dal lato del cliente, è possibile che la connessione venga interrotta prima di ricevere il file a causa di un lungo ritardo.
Nella figura sottostante è riportata una tabella comparativa per le modalità di scansione: questa ti aiuterà a determinare quale tipo di scansione sia più adatto alle tue esigenze. La configurazione e la verifica del funzionamento dell'antivirus vengono trattate praticamente in un video alla fine dell'articolo.
Passiamo alla seconda parte della lezione — il sistema di prevenzione delle intrusioni. Ma per iniziare a studiare l'IPS, è necessario comprendere la differenza tra exploit e anomalie, oltre a capire quali meccanismi utilizza FortiGate per proteggersi da esse.
Gli exploit sono attacchi noti, con schemi specifici, che possono essere individuati tramite IPS, WAF o firme antivirus.
Le anomalie sono comportamenti insoliti nella rete, come un volume di traffico insolitamente elevato o un utilizzo della CPU maggiore del normale. Le anomalie devono essere monitorate, poiché potrebbero essere segni di un attacco nuovo e ancora sconosciuto. Le anomalie vengono solitamente scoperte attraverso l'analisi comportamentale, le cosiddette firme basate sul tasso e le politiche DoS.
In sintesi, l'IPS su FortiGate utilizza banche dati di firme per rilevare attacchi noti e firme basate sul tasso e politiche DoS per rilevare diverse anomalie.
Per impostazione predefinita, il set iniziale di firme IPS è incluso in ogni versione del sistema operativo FortiGate. Con gli aggiornamenti, FortiGate riceve nuove firme. In questo modo, l'IPS rimane efficace contro nuovi exploit. Il servizio FortiGuard aggiorna frequentemente le firme IPS.
Un punto importante che si applica sia all'IPS che all'antivirus è che se le licenze sono scadute, è comunque possibile utilizzare le ultime firme ricevute. Tuttavia, non sarà possibile ottenere nuove firme senza licenze. Pertanto, la mancanza di licenze è estremamente indesiderabile: quando emergono nuovi attacchi, non sarà possibile proteggersi con le vecchie firme.
Le banche dati delle firme IPS sono suddivise in normale ed estesa. La banca normale contiene firme per attacchi comuni, che raramente o mai generano falsi positivi. L'azione predefinita per la maggior parte di queste firme è il blocco.
La banca estesa contiene firme aggiuntive per attacchi che influenzano significativamente le prestazioni del sistema o che non possono essere bloccati a causa della loro natura particolare. A causa delle dimensioni di questa banca, non è disponibile per i modelli FortiGate con disco o RAM di piccole dimensioni. Tuttavia, per ambienti altamente protetti potrebbe essere necessario utilizzare la banca estesa.
La configurazione e la verifica del funzionamento dell'IPS sono anche trattate nel video qui sotto.
Nella prossima lezione esamineremo il lavoro con gli utenti. Per non perdertela, segui gli aggiornamenti sui seguenti canali:
Fonte: habr.com
