Salve! Benvenuto alla settima lezione del corso . Su abbiamo esplorato profili di sicurezza come il Web Filtering, il Application Control e l'ispezione HTTPS. In questa lezione continueremo la nostra introduzione ai profili di sicurezza. Cominceremo con gli aspetti teorici del funzionamento degli antivirus e dei sistemi di prevenzione delle intrusioni, per poi esaminare il funzionamento di questi profili di sicurezza nella pratica.
Iniziamo con l'antivirus. Per prima cosa, discutiamo le tecnologie che FortiGate utilizza per rilevare i virus:
La scansione antivirus è il metodo più semplice e veloce per rilevare virus. Essa identifica i virus che corrispondono esattamente alle firme contenute nel database antivirus.
La scansione Grayware, o scansione di software indesiderato, questa tecnologia identifica programmi indesiderati che vengono installati senza la conoscenza o il consenso dell'utente. Tecnicamente, questi programmi non sono virus. Di solito vengono installati insieme ad altri programmi, ma hanno un impatto negativo sul sistema, quindi vengono classificati come software malevolo. Spesso tali programmi possono essere rilevati tramite semplici firme grayware dalla base di ricerca FortiGuard.
La scansione euristica è una tecnologia basata su probabilità, quindi il suo utilizzo può causare effetti di falsi positivi; tuttavia, essa può anche rilevare virus zero day. I virus zero day sono nuovi virus che non sono ancora stati studiati, e finché non esistono firme capaci di rilevarli. La scansione euristica non è attivata per impostazione predefinita, ma deve essere abilitata nella riga di comando.
Se tutte le funzionalità dell'antivirus sono attivate, FortiGate le applica nel seguente ordine: scansione antivirus, scansione grayware, scansione euristica.
FortiGate può utilizzare diverse banche dati antivirus, a seconda delle necessità:
- La banca dati antivirus normale (Normal) è presente in tutti i modelli di FortiGate. Include firme per virus che sono stati rilevati negli ultimi mesi. Questa è la banca dati antivirus più piccola, quindi l'analisi viene eseguita nel minor tempo possibile. Tuttavia, questa banca dati non può rilevare tutti i virus noti.
- La banca estesa (Extend) è supportata dalla maggior parte dei modelli FortiGate. Essa permette di rilevare virus che non sono più attivi. Molte piattaforme sono ancora vulnerabili a questi virus, e possono presentare problemi in futuro.
- Infine, la banca dati estrema (Extreme) viene utilizzata in infrastrutture dove è richiesto un alto livello di sicurezza. Essa consente di rilevare tutti i virus noti, compresi quelli mirati a sistemi operativi obsoleti, attualmente poco diffusi. Questo tipo di banca dati non è supportato da tutti i modelli di FortiGate.
Esiste anche una banca dati compatta delle firme, progettata per scansioni rapide. Di essa parleremo più avanti.
Le banche dati antivirus possono essere aggiornate tramite diversi metodi.
Il primo metodo è il Push Update, che consente di aggiornare le banche dati non appena la base di ricerca FortiGuard rilascia un aggiornamento. Questo è utile per infrastrutture che necessitano di un alto livello di sicurezza, poiché FortiGate riceverà aggiornamenti urgenti non appena saranno disponibili.
Il secondo metodo è impostare un programma. In questo modo, gli aggiornamenti possono essere controllati ogni ora, giorno o settimana. Quindi, l'intervallo di tempo è a vostra discrezione.
Questi metodi possono essere utilizzati insieme.
Tuttavia, è importante tener presente che per consentire gli aggiornamenti, è necessario attivare il profilo antivirus almeno su una politica firewall. Altrimenti, gli aggiornamenti non verranno eseguiti.
È inoltre possibile scaricare gli aggiornamenti dal sito di supporto Fortinet e poi caricarli manualmente su FortiGate.
Esaminiamo le modalità di scansione. Ci sono tre modalità: Full Mode in modalità Flow Based, Quick Mode in modalità Flow Based e Full Mode in modalità proxy. Iniziamo con la Full Mode in modalità Flow.
Supponiamo che un utente voglia scaricare un file. Invia una richiesta. Il server inizia a inviare pacchetti che compongono il file. L'utente riceve immediatamente questi pacchetti. Ma prima di trasferirli all'utente, FortiGate li memorizza nella cache. Dopo aver ricevuto l'ultimo pacchetto, FortiGate inizia a scansionare il file. Nel frattempo, l'ultimo pacchetto viene messo in coda e non viene inviato all'utente. Se il file non contiene virus, l'ultimo pacchetto viene inviato all'utente. Se viene rilevato un virus, FortiGate interrompe la connessione con l'utente.
La seconda modalità di scansione disponibile in Flow Based è la Modalità Veloce. Utilizza un database di firme compatto, che contiene meno firme rispetto al database normale. Ha anche alcune limitazioni rispetto alla Modalità Completa:
- Non può inviare file nella sandbox
- Non può utilizzare analisi euristica
- Non può utilizzare pacchetti legati a malware mobile
- Alcuni modelli entry level non supportano questa modalità.
La modalità veloce controlla anche il traffico per la presenza di virus, worm, trojan e malware, ma senza buffering. Questo garantisce migliori prestazioni, ma nel contempo riduce la probabilità di rilevamento dei virus.
In modalità Proxy è disponibile un'unica modalità di scansione — Modalità Completa. In questo tipo di scansione, FortiGate prima salva l'intero file (a meno che non venga superata la dimensione massima consentita per la scansione). Il client deve attendere il completamento della scansione. Se viene rilevato un virus durante la scansione, l'utente viene immediatamente avvisato. Poiché FortiGate salva prima l'intero file e poi lo scansiona, questo può richiedere molto tempo; per questo motivo, il cliente potrebbe interrompere la connessione prima di ricevere il file a causa di un lungo ritardo.
Nell'immagine sottostante è presente una tabella comparativa per le modalità di scansione — essa ti aiuterà a determinare quale tipo di scansione si adatta meglio alle tue esigenze. La configurazione e il collaudo del funzionamento dell'antivirus sono stati trattati praticamente in un video alla fine dell'articolo.
Passiamo alla seconda parte della lezione — il sistema di prevenzione delle intrusioni. Tuttavia, per iniziare a studiare l'IPS, è necessario chiarire la differenza tra exploit e anomalie, oltre a comprendere quali meccanismi utilizza FortiGate per proteggere contro di esse.
Gli exploit sono attacchi noti, con schemi specifici, che possono essere rilevati tramite IPS, WAF o firme antivirus.
Le anomalie sono comportamenti insoliti nella rete, come un volume di traffico insolitamente elevato o un consumo di CPU superiore alla norma. Le anomalie devono essere monitorate, poiché possono essere indicatori di un attacco nuovo e ancora sconosciuto. Le anomalie sono solitamente rilevate tramite analisi comportamentale — le cosiddette firme e politiche basate su rate.
In conclusione, l'IPS su FortiGate utilizza database di firme per rilevare attacchi noti, e firme basate su rate e politiche DoS per rilevare varie anomalie.
Per impostazione predefinita, un set iniziale di firme IPS è incluso in ogni versione del sistema operativo FortiGate. Attraverso gli aggiornamenti, FortiGate riceve nuove firme. In questo modo, l'IPS rimane efficace contro nuovi exploit. Il servizio FortiGuard aggiorna le firme IPS piuttosto frequentemente.
Un punto importante, che si applica sia all'IPS che all'antivirus, è che se le tue licenze sono scadute, puoi comunque utilizzare le ultime firme ricevute. Tuttavia, non potrai ottenere nuove firme senza licenze. Pertanto, la mancanza di licenze è estremamente inopportuna - in caso di nuovi attacchi, non sarai in grado di proteggerti con firme obsolete.
I database delle firme IPS sono divisi in normali ed estesi. Il database normale contiene firme per attacchi comuni, che raramente o mai causano falsi positivi. L'azione predefinita per la maggior parte di queste firme è il blocco.
Il database esteso contiene ulteriori firme di attacchi che influenzano pesantemente le prestazioni del sistema, o che non possono essere bloccate a causa della loro particolare natura. A causa della sua dimensione, questo database non è disponibile per modelli FortiGate con spazio su disco o RAM limitati. Tuttavia, per ambienti altamente protetti, potrebbe essere necessario utilizzare il database esteso.
La configurazione e il collaudo del funzionamento dell'IPS sono state trattate nel video qui sotto.
Nella lezione successiva, esamineremo il lavoro con gli utenti. Per non perderla, segui gli aggiornamenti sui seguenti canali:
Fonte: habr.com
