7. תחילת העבודה של Fortinet v6.0. אנטי וירוס ו-IPS

ברכות! ברוכים הבאים לשיעור השביעי של הקורס פורטינט תחילת העבודה. על שיעור אחרון הכרנו פרופילי אבטחה כמו סינון אתרים, בקרת יישומים ובדיקת HTTPS. בשיעור זה נמשיך את ההיכרות שלנו עם פרופילי אבטחה. תחילה נכיר את ההיבטים התיאורטיים של תפעול מערכת אנטי וירוס ומניעת חדירה, ולאחר מכן נבחן כיצד פועלים פרופילי אבטחה אלו בפועל.

נתחיל עם האנטי וירוס. ראשית, בואו נדון בטכנולוגיות שבהן משתמש FortiGate כדי לזהות וירוסים:
סריקת אנטי וירוס היא השיטה הקלה והמהירה ביותר לזיהוי וירוסים. הוא מזהה וירוסים התואמים לחלוטין את החתימות הכלולות במסד הנתונים של האנטי-וירוס.

Greyware Scan או סריקת תוכניות לא רצויות - טכנולוגיה זו מזהה תוכניות לא רצויות המותקנות ללא ידיעת המשתמש או הסכמתו. מבחינה טכנית, תוכניות אלו אינן וירוסים. הם בדרך כלל מגיעים עם תוכניות אחרות, אבל כשהן מותקנות הן משפיעות לרעה על המערכת, וזו הסיבה שהן מסווגות כתוכנות זדוניות. לעתים קרובות ניתן לזהות תוכניות כאלה באמצעות חתימות פשוטות של תוכנות אפורות מבסיס המחקר של FortiGuard.

סריקה היוריסטית - טכנולוגיה זו מבוססת על הסתברויות, כך שהשימוש בה עלול לגרום להשפעות חיוביות שגויות, אך היא יכולה גם לזהות וירוסים של יום אפס. וירוסים של יום אפס הם וירוסים חדשים שעדיין לא נחקרו, ואין חתימות שיכולות לזהות אותם. סריקה היוריסטית אינה מופעלת כברירת מחדל ויש להפעיל אותה בשורת הפקודה.

אם כל יכולות האנטי-וירוס מופעלות, FortiGate מחיל אותן בסדר הבא: סריקת אנטי-וירוס, סריקת תוכנות אפורות, סריקה היוריסטית.

FortiGate יכולה להשתמש במספר מסדי נתונים של אנטי-וירוס, בהתאם למשימות:

• מסד נתונים רגיל של אנטי וירוס (רגיל) - כלול בכל דגמי FortiGate. הוא כולל חתימות לווירוסים שהתגלו בחודשים האחרונים. זהו מסד הנתונים האנטי-וירוס הקטן ביותר, כך שהוא סורק הכי מהר כשמשתמשים בו. עם זאת, מסד נתונים זה אינו יכול לזהות את כל הווירוסים הידועים.
• מורחב - בסיס זה נתמך על ידי רוב דגמי FortiGate. ניתן להשתמש בו כדי לזהות וירוסים שאינם פעילים עוד. פלטפורמות רבות עדיין חשופות לווירוסים הללו. כמו כן, וירוסים אלו עלולים לגרום לבעיות בעתיד.
• והבסיס האחרון, הקיצוני (Extreme) - משמש בתשתיות בהן נדרשת רמת אבטחה גבוהה. בעזרתו תוכלו לזהות את כל הווירוסים המוכרים, כולל וירוסים המכוונים למערכות הפעלה מיושנות, שאינן מופצות באופן נרחב כרגע. סוג זה של מסד נתונים חתימות גם אינו נתמך על ידי כל דגמי FortiGate.

יש גם מסד נתונים קומפקטי של חתימות המיועד לסריקה מהירה. נדבר על זה קצת מאוחר יותר.

אתה יכול לעדכן מסדי נתונים של אנטי וירוס בשיטות שונות.

השיטה הראשונה היא Push Update, המאפשרת לעדכן מסדי נתונים ברגע שמסד הנתונים המחקריים של FortiGuard משחרר עדכון. זה שימושי עבור תשתיות הדורשות רמת אבטחה גבוהה, שכן FortiGate תקבל עדכונים דחופים ברגע שהם יהיו זמינים.

השיטה השנייה היא קביעת לוח זמנים. כך תוכלו לבדוק אם יש עדכונים בכל שעה, יום או שבוע. כלומר, כאן טווח הזמן נקבע לפי שיקול דעתך.
ניתן להשתמש בשיטות אלו יחד.

אך עליך לזכור שכדי לבצע עדכונים, עליך להפעיל את פרופיל האנטי-וירוס עבור מדיניות חומת אש אחת לפחות. אחרת, עדכונים לא יבוצעו.

אתה יכול גם להוריד עדכונים מאתר התמיכה של Fortinet ולאחר מכן להעלות אותם ידנית ל-FortiGate.

בואו נסתכל על מצבי הסריקה. יש רק שלושה מהם - מצב מלא במצב מבוסס זרימה, מצב מהיר במצב מבוסס זרימה, ומצב מלא במצב פרוקסי. נתחיל עם מצב מלא במצב זרימה.

נניח שמשתמש רוצה להוריד קובץ. הוא שולח בקשה. השרת מתחיל לשלוח לו מנות שמרכיבות את הקובץ. המשתמש מקבל מיד את החבילות הללו. אבל לפני מסירת מנות אלה למשתמש, FortiGate מאחסן אותן במטמון. לאחר ש-FortiGate מקבל את החבילה האחרונה, הוא מתחיל לסרוק את הקובץ. בשלב זה, החבילה האחרונה נמצאת בתור ואינה מועברת למשתמש. אם הקובץ אינו מכיל וירוסים, החבילה האחרונה נשלחת למשתמש. אם מתגלה וירוס, FortiGate מנתקת את הקשר עם המשתמש.

מצב הסריקה השני הזמין ב-Flow Based הוא מצב מהיר. הוא משתמש במסד נתונים קומפקטי של חתימות, המכיל פחות חתימות מאשר מסד נתונים רגיל. יש לו גם כמה מגבלות בהשוואה למצב מלא:

• זה לא יכול לשלוח קבצים לארגז החול
• זה לא יכול להשתמש בניתוח היוריסטי
• כמו כן, היא אינה יכולה להשתמש בחבילות הקשורות לתוכנות זדוניות לנייד
• חלק מהדגמים ברמת הכניסה אינם תומכים במצב זה.

מצב מהיר גם בודק את התעבורה לאיתור וירוסים, תולעים, סוסים טרויאניים ותוכנות זדוניות, אך ללא חציצה. זה מספק ביצועים טובים יותר, אך יחד עם זאת הסבירות לגילוי וירוס מופחתת.

במצב Proxy, מצב הסריקה היחיד הזמין הוא מצב מלא. בסריקה כזו, FortiGate מאחסנת תחילה את כל הקובץ על עצמו (אלא אם כן, כמובן, חריגה מגודל הקובץ המותר לסריקה). על הלקוח להמתין לסיום הסריקה. אם זוהה וירוס במהלך הסריקה, המשתמש יקבל הודעה מיידית. מכיוון ש-FortiGate תחילה שומרת את הקובץ כולו ואז סורקת אותו, זה יכול לקחת די הרבה זמן. בשל כך, ניתן ללקוח לסיים את החיבור לפני קבלת הקובץ עקב עיכוב רב.

האיור שלהלן מציג טבלת השוואה למצבי סריקה - היא תעזור לך לקבוע איזה סוג סריקה מתאים למשימות שלך. הגדרה ובדיקת פונקציונליות של האנטי וירוס נידונה בפועל בסרטון בסוף המאמר.

נעבור לחלק השני של השיעור - מערכת מניעת חדירות. אבל כדי להתחיל ללמוד IPS, אתה צריך להבין את ההבדל בין ניצולים לחריגות, וגם להבין באילו מנגנונים FortiGate משתמש כדי להגן מפניהם.

ניצול הן התקפות ידועות עם דפוסים ספציפיים שניתן לזהות באמצעות חתימות IPS, WAF או אנטי וירוס.

חריגות הן התנהגות חריגה ברשת, כגון כמות תעבורה יוצאת דופן או צריכת מעבד גבוהה מהרגיל. יש לנטר חריגות מכיוון שהן עשויות להיות סימנים להתקפה חדשה שלא נחקרה. אנומליות מתגלות בדרך כלל באמצעות ניתוח התנהגותי - מה שנקרא חתימות מבוססות שיעור ומדיניות DoS.

כתוצאה מכך, IPS ב-FortiGate משתמש בבסיסי חתימות כדי לזהות התקפות ידועות, ובחתימות מבוססות קצב ומדיניות DoS כדי לזהות חריגות שונות.

כברירת מחדל, קבוצה ראשונית של חתימות IPS כלולה בכל גרסה של מערכת ההפעלה FortiGate. עם עדכונים, FortiGate מקבל חתימות חדשות. בדרך זו, IPS נשאר יעיל נגד ניצולים חדשים. FortiGuard מעדכן את חתימות IPS בתדירות גבוהה למדי.

נקודה חשובה החלה גם ל-IPS וגם לאנטי וירוס היא שאם פג תוקף הרישיונות שלך, אתה עדיין יכול להשתמש בחתימות האחרונות שהתקבלו. אבל לא תוכל להשיג חדשים ללא רישיונות. לכן, היעדר רישיונות הוא מאוד לא רצוי - אם יופיעו התקפות חדשות, לא תוכל להגן על עצמך בחתימות ישנות.

מסדי נתונים של חתימות IPS מחולקים לרגילים ומורחבים. מסד נתונים טיפוסי מכיל חתימות עבור התקפות נפוצות שלעיתים רחוקות או אף פעם גורמות לתוצאות שגויות. הפעולה המוגדרת מראש עבור רוב החתימות הללו היא חסימה.

מסד הנתונים המורחב מכיל חתימות תקיפה נוספות בעלות השפעה משמעותית על ביצועי המערכת, או שלא ניתן לחסום אותן בשל אופיים המיוחד. בשל גודלו של מסד נתונים זה, הוא אינו זמין בדגמי FortiGate עם דיסק קטן או זיכרון RAM. אבל עבור סביבות מאובטחות ביותר, ייתכן שיהיה עליך להשתמש בבסיס מורחב.

הגדרה ובדיקת הפונקציונליות של IPS נידונה גם בסרטון למטה.

בשיעור הבא נבחן עבודה עם משתמשים. כדי לא לפספס, עקבו אחר העדכונים בערוצים הבאים:

• YouTube
• קהילת Vkontakte
• יאנדקס זן
• האתר שלנו
• ערוץ טלגרם

מקור: www.habr.com