7. Fortinet ការចាប់ផ្តើម v6.0. កំចាត់មេរោគ និង IPS

ស្វាគមន៍! សូមស្វាគមន៍មកកាន់មេរៀនទីប្រាំពីរនៃវគ្គសិក្សា Fortinet ចាប់ផ្តើម។ បើក មេរៀនចុងក្រោយ យើងបានស្គាល់ទម្រង់សុវត្ថិភាពដូចជា តម្រងគេហទំព័រ ការត្រួតពិនិត្យកម្មវិធី និងការត្រួតពិនិត្យ HTTPS ។ នៅក្នុងមេរៀននេះ យើងនឹងបន្តការណែនាំរបស់យើងអំពីទម្រង់សុវត្ថិភាព។ ជាដំបូង យើងនឹងស្គាល់ពីទិដ្ឋភាពទ្រឹស្តីនៃប្រតិបត្តិការនៃប្រព័ន្ធការពារមេរោគ និងការឈ្លានពាន ហើយបន្ទាប់មកយើងនឹងពិនិត្យមើលពីរបៀបដែលទម្រង់សុវត្ថិភាពទាំងនេះដំណើរការក្នុងការអនុវត្ត។

ចូរចាប់ផ្តើមជាមួយកំចាត់មេរោគ។ ជាដំបូង សូមពិភាក្សាអំពីបច្ចេកវិទ្យាដែល FortiGate ប្រើដើម្បីស្វែងរកមេរោគ៖
ការស្កែនកំចាត់មេរោគគឺជាវិធីសាស្ត្រងាយស្រួលបំផុត និងលឿនបំផុតក្នុងការស្វែងរកមេរោគ។ វារកឃើញមេរោគដែលត្រូវគ្នាទាំងស្រុងជាមួយនឹងហត្ថលេខាដែលមាននៅក្នុងមូលដ្ឋានទិន្នន័យប្រឆាំងមេរោគ។

Grayware Scan ឬការស្កេនកម្មវិធីដែលមិនចង់បាន - បច្ចេកវិទ្យានេះរកឃើញកម្មវិធីដែលមិនចង់បានដែលត្រូវបានដំឡើងដោយគ្មានចំណេះដឹងឬការយល់ព្រមពីអ្នកប្រើប្រាស់។ តាមបច្ចេកទេស កម្មវិធីទាំងនេះមិនមែនជាមេរោគទេ។ ជាធម្មតាពួកវាភ្ជាប់មកជាមួយកម្មវិធីផ្សេងទៀត ប៉ុន្តែនៅពេលដំឡើងរួច ពួកវាប៉ះពាល់អវិជ្ជមានដល់ប្រព័ន្ធ ដែលនេះជាមូលហេតុដែលពួកគេត្រូវបានចាត់ថ្នាក់ជាមេរោគ។ ជាញឹកញាប់កម្មវិធីបែបនេះអាចត្រូវបានរកឃើញដោយប្រើហត្ថលេខាប្រផេះសាមញ្ញពីមូលដ្ឋានស្រាវជ្រាវ FortiGuard ។

ការស្កេនតាមប្រព័ន្ធ - បច្ចេកវិទ្យានេះគឺផ្អែកលើប្រូបាប៊ីលីតេ ដូច្នេះការប្រើប្រាស់របស់វាអាចបណ្តាលឱ្យមានផលវិជ្ជមានមិនពិត ប៉ុន្តែវាក៏អាចរកឃើញមេរោគសូន្យថ្ងៃផងដែរ។ មេរោគ Zero day គឺជាមេរោគថ្មីដែលមិនទាន់ត្រូវបានសិក្សា ហើយមិនមានហត្ថលេខាដែលអាចរកឃើញពួកវានោះទេ។ ការស្កេន Heuristic មិនត្រូវបានបើកតាមលំនាំដើមទេ ហើយត្រូវតែបើកនៅលើបន្ទាត់ពាក្យបញ្ជា។

ប្រសិនបើសមត្ថភាពកំចាត់មេរោគទាំងអស់ត្រូវបានបើក នោះ FortiGate អនុវត្តពួកវាតាមលំដាប់ដូចខាងក្រោមៈ ការស្កេនកំចាត់មេរោគ ការស្កេនប្រផេះ ការស្កេនតាមបែបវិទ្យាសាស្ត្រ។

FortiGate អាចប្រើមូលដ្ឋានទិន្នន័យប្រឆាំងមេរោគជាច្រើន អាស្រ័យលើភារកិច្ច៖

• មូលដ្ឋានទិន្នន័យកំចាត់មេរោគធម្មតា (ធម្មតា) - មាននៅក្នុងម៉ូដែល FortiGate ទាំងអស់។ វារួមបញ្ចូលហត្ថលេខាសម្រាប់មេរោគដែលត្រូវបានរកឃើញក្នុងប៉ុន្មានខែថ្មីៗនេះ។ នេះគឺជាមូលដ្ឋានទិន្នន័យកំចាត់មេរោគតូចបំផុត ដូច្នេះវាស្កេនបានលឿនបំផុតនៅពេលប្រើ។ ទោះយ៉ាងណាក៏ដោយ មូលដ្ឋានទិន្នន័យនេះមិនអាចរកឃើញមេរោគដែលគេស្គាល់ទាំងអស់នោះទេ។
• ពង្រីក - មូលដ្ឋាននេះត្រូវបានគាំទ្រដោយម៉ូដែល FortiGate ភាគច្រើន។ វាអាចត្រូវបានប្រើដើម្បីរកមើលមេរោគដែលលែងសកម្ម។ វេទិកាជាច្រើននៅតែងាយរងគ្រោះដោយសារមេរោគទាំងនេះ។ ដូចគ្នានេះផងដែរ មេរោគទាំងនេះអាចបង្កបញ្ហានៅពេលអនាគត។
• ហើយចុងក្រោយបំផុត មូលដ្ឋានខ្លាំង (Extreme) - ត្រូវបានប្រើនៅក្នុងហេដ្ឋារចនាសម្ព័ន្ធដែលកម្រិតសុវត្ថិភាពខ្ពស់ត្រូវបានទាមទារ។ ដោយមានជំនួយរបស់វា អ្នកអាចរកឃើញមេរោគដែលគេស្គាល់ទាំងអស់ រួមទាំងមេរោគដែលសំដៅលើប្រព័ន្ធប្រតិបត្តិការហួសសម័យ ដែលមិនត្រូវបានចែកចាយយ៉ាងទូលំទូលាយនៅពេលនេះទេ។ ប្រភេទនៃមូលដ្ឋានទិន្នន័យហត្ថលេខានេះក៏មិនត្រូវបានគាំទ្រដោយម៉ូដែល FortiGate ទាំងអស់ដែរ។

វាក៏មានមូលដ្ឋានទិន្នន័យហត្ថលេខាបង្រួមតូចដែលត្រូវបានរចនាឡើងសម្រាប់ការស្កេនរហ័ស។ យើងនឹងនិយាយអំពីវាបន្តិចក្រោយមក។

អ្នកអាចធ្វើបច្ចុប្បន្នភាពមូលដ្ឋានទិន្នន័យប្រឆាំងមេរោគដោយប្រើវិធីសាស្ត្រផ្សេងៗ។

វិធីសាស្រ្តដំបូងគឺ Push Update ដែលអនុញ្ញាតឱ្យមូលដ្ឋានទិន្នន័យត្រូវបានធ្វើបច្ចុប្បន្នភាពភ្លាមៗនៅពេលដែលមូលដ្ឋានទិន្នន័យស្រាវជ្រាវ FortiGuard ចេញផ្សាយការធ្វើបច្ចុប្បន្នភាព។ វាមានប្រយោជន៍សម្រាប់ហេដ្ឋារចនាសម្ព័ន្ធដែលទាមទារកម្រិតខ្ពស់នៃសុវត្ថិភាព ចាប់តាំងពី FortiGate នឹងទទួលបានការអាប់ដេតជាបន្ទាន់ភ្លាមៗនៅពេលដែលពួកគេមាន។

វិធីទីពីរគឺកំណត់កាលវិភាគ។ វិធីនេះ អ្នកអាចពិនិត្យមើលការអាប់ដេតរៀងរាល់ម៉ោង ថ្ងៃ ឬសប្តាហ៍។ នោះគឺនៅទីនេះ ជួរពេលវេលាត្រូវបានកំណត់តាមការសំរេចចិត្តរបស់អ្នក។
វិធីសាស្រ្តទាំងនេះអាចត្រូវបានប្រើជាមួយគ្នា។

ប៉ុន្តែអ្នកត្រូវចាំថា ដើម្បីឱ្យការអាប់ដេតត្រូវបានធ្វើ អ្នកត្រូវតែបើកទម្រង់កំចាត់មេរោគសម្រាប់គោលការណ៍ជញ្ជាំងភ្លើងយ៉ាងហោចណាស់មួយ។ បើមិនដូច្នោះទេ ការអាប់ដេតនឹងមិនត្រូវបានធ្វើឡើងទេ។

អ្នកក៏អាចទាញយកការអាប់ដេតពីគេហទំព័រគាំទ្រ Fortinet ហើយបន្ទាប់មកផ្ទុកពួកវាទៅ FortiGate ដោយដៃ។

តោះមើលរបៀបស្កេន។ មាន​តែ​បី​ប៉ុណ្ណោះ​ក្នុង​ចំណោម​ពួក​គេ - របៀប​ពេញ​ក្នុង​របៀប​ផ្អែកលើ​លំហូរ, របៀប​រហ័ស​ក្នុង​របៀប​ផ្អែកលើ​លំហូរ និង​របៀបពេញ​ក្នុង​ទម្រង់​ប្រូកស៊ី។ តោះចាប់ផ្តើមជាមួយមុខងារពេញក្នុងរបៀបលំហូរ។

ឧបមាថាអ្នកប្រើប្រាស់ចង់ទាញយកឯកសារ។ គាត់ផ្ញើសំណើ។ ម៉ាស៊ីនមេចាប់ផ្តើមផ្ញើឱ្យគាត់នូវកញ្ចប់ព័ត៌មានដែលបង្កើតជាឯកសារ។ អ្នកប្រើប្រាស់ទទួលបានកញ្ចប់ទាំងនេះភ្លាមៗ។ ប៉ុន្តែមុននឹងបញ្ជូនកញ្ចប់ព័ត៌មានទាំងនេះទៅអ្នកប្រើប្រាស់ FortiGate រក្សាទុកពួកវា។ បន្ទាប់ពី FortiGate ទទួលបានកញ្ចប់ព័ត៌មានចុងក្រោយ វាចាប់ផ្តើមស្កេនឯកសារ។ នៅពេលនេះ កញ្ចប់ព័ត៌មានចុងក្រោយត្រូវបានដាក់ជាជួរ និងមិនបញ្ជូនទៅអ្នកប្រើប្រាស់ទេ។ ប្រសិនបើឯកសារមិនមានមេរោគ កញ្ចប់ព័ត៌មានចុងក្រោយបំផុតត្រូវបានផ្ញើទៅអ្នកប្រើប្រាស់។ ប្រសិនបើមេរោគត្រូវបានរកឃើញ នោះ FortiGate បំបែកការតភ្ជាប់ជាមួយអ្នកប្រើប្រាស់។

របៀបស្កេនទីពីរដែលមាននៅក្នុង Flow Based គឺ Quick Mode។ វាប្រើមូលដ្ឋានទិន្នន័យហត្ថលេខាបង្រួម ដែលមានហត្ថលេខាតិចជាងមូលដ្ឋានទិន្នន័យធម្មតា។ វាក៏មានដែនកំណត់មួយចំនួនបើប្រៀបធៀបទៅនឹង Full Mode៖

• វាមិនអាចផ្ញើឯកសារទៅប្រអប់ខ្សាច់បានទេ។
• វា​មិន​អាច​ប្រើ​ការ​វិភាគ​តាម​ទ្រឹស្ដី​ទេ។
• វាក៏មិនអាចប្រើកញ្ចប់ដែលទាក់ទងនឹងមេរោគទូរស័ព្ទបានដែរ។
• ម៉ូដែលកម្រិតចូលមួយចំនួនមិនគាំទ្ររបៀបនេះទេ។

មុខងាររហ័សក៏ពិនិត្យមើលចរាចរណ៍សម្រាប់មេរោគ ពពួក Worm Trojan និង Malware ផងដែរ ប៉ុន្តែមិនមានការផ្អាក។ នេះផ្តល់នូវដំណើរការប្រសើរជាងមុន ប៉ុន្តែក្នុងពេលជាមួយគ្នានេះ លទ្ធភាពនៃការរកឃើញមេរោគត្រូវបានកាត់បន្ថយ។

នៅក្នុងមុខងារប្រូកស៊ី របៀបស្កេនតែមួយគត់ដែលមានគឺមុខងារពេញ។ ជាមួយនឹងការស្កេនបែបនេះ FortiGate ដំបូងរក្សាទុកឯកសារទាំងមូលនៅលើខ្លួនវា (លើកលែងតែទំហំឯកសារដែលអាចអនុញ្ញាតបានសម្រាប់ការស្កេនគឺលើស) ។ អតិថិជនត្រូវរង់ចាំការស្កេនបញ្ចប់។ ប្រសិនបើមេរោគត្រូវបានរកឃើញកំឡុងពេលស្កេន អ្នកប្រើប្រាស់នឹងត្រូវបានជូនដំណឹងភ្លាមៗ។ ដោយសារតែ FortiGate ដំបូងរក្សាទុកឯកសារទាំងមូលហើយបន្ទាប់មកស្កេនវា វាអាចចំណាយពេលយូរ។ ដោយសារតែនេះ វាអាចទៅរួចសម្រាប់អតិថិជនក្នុងការបញ្ចប់ការតភ្ជាប់មុនពេលទទួលបានឯកសារដោយសារតែការពន្យារពេលយូរ។

រូបខាងក្រោមបង្ហាញពីតារាងប្រៀបធៀបសម្រាប់របៀបស្កេន - វានឹងជួយអ្នកកំណត់ថាតើប្រភេទស្កេនប្រភេទណាដែលសមរម្យសម្រាប់កិច្ចការរបស់អ្នក។ ការដំឡើង និងពិនិត្យមើលមុខងាររបស់កំចាត់មេរោគត្រូវបានពិភាក្សាក្នុងការអនុវត្តនៅក្នុងវីដេអូនៅចុងបញ្ចប់នៃអត្ថបទ។

ចូរបន្តទៅផ្នែកទីពីរនៃមេរៀន - ប្រព័ន្ធការពារការឈ្លានពាន។ ប៉ុន្តែដើម្បីចាប់ផ្តើមសិក្សា IPS អ្នកត្រូវយល់ពីភាពខុសគ្នារវាងការកេងប្រវ័ញ្ច និងភាពមិនប្រក្រតី ហើយក៏យល់ពីយន្តការអ្វីដែល FortiGate ប្រើដើម្បីការពារប្រឆាំងនឹងពួកគេ។

ការកេងប្រវ័ញ្ចគឺជាការវាយប្រហារដែលគេស្គាល់ជាមួយនឹងលំនាំជាក់លាក់ដែលអាចត្រូវបានរកឃើញដោយប្រើ IPS, WAF ឬហត្ថលេខាកំចាត់មេរោគ។

ភាពមិនប្រក្រតីគឺជាអាកប្បកិរិយាមិនធម្មតានៅលើបណ្តាញ ដូចជាចំនួនចរាចរច្រើនខុសពីធម្មតា ឬខ្ពស់ជាងការប្រើប្រាស់ CPU ធម្មតា។ ភាពមិនប្រក្រតីត្រូវតែត្រួតពិនិត្យ ព្រោះវាអាចជាសញ្ញានៃការវាយប្រហារថ្មីដែលមិនបានរកឃើញ។ ភាពមិនប្រក្រតីជាធម្មតាត្រូវបានរកឃើញដោយប្រើការវិភាគអាកប្បកិរិយា - អ្វីដែលគេហៅថាហត្ថលេខាផ្អែកលើអត្រា និងគោលនយោបាយ DoS ។

ជាលទ្ធផល IPS លើ FortiGate ប្រើមូលដ្ឋានហត្ថលេខាដើម្បីស្វែងរកការវាយប្រហារដែលគេស្គាល់ និង Rate-Based signatures និង DoS policy ដើម្បីរកមើលភាពមិនប្រក្រតីផ្សេងៗ។

តាមលំនាំដើម សំណុំហត្ថលេខា IPS ដំបូងត្រូវបានរួមបញ្ចូលជាមួយកំណែនីមួយៗនៃប្រព័ន្ធប្រតិបត្តិការ FortiGate ។ ជាមួយនឹងបច្ចុប្បន្នភាព FortiGate ទទួលបានហត្ថលេខាថ្មី។ វិធីនេះ IPS នៅតែមានប្រសិទ្ធភាពប្រឆាំងនឹងការកេងប្រវ័ញ្ចថ្មី។ FortiGuard ធ្វើបច្ចុប្បន្នភាពហត្ថលេខា IPS ជាញឹកញាប់។

ចំណុចសំខាន់ដែលអនុវត្តទាំង IPS និងកំចាត់មេរោគគឺថា ប្រសិនបើអាជ្ញាប័ណ្ណរបស់អ្នកបានផុតកំណត់ អ្នកនៅតែអាចប្រើហត្ថលេខាចុងក្រោយបំផុតដែលទទួលបាន។ ប៉ុន្តែអ្នកនឹងមិនអាចទទួលបានថ្មីដោយគ្មានអាជ្ញាប័ណ្ណទេ។ ដូច្នេះហើយ អវត្ដមាននៃអាជ្ញាបណ្ណគឺជាការមិនចង់បានបំផុត - ប្រសិនបើការវាយប្រហារថ្មីលេចឡើង អ្នកនឹងមិនអាចការពារខ្លួនអ្នកជាមួយនឹងហត្ថលេខាចាស់បានទេ។

មូលដ្ឋានទិន្នន័យហត្ថលេខា IPS ត្រូវបានបែងចែកទៅជាទៀងទាត់ និងពង្រីក។ មូលដ្ឋានទិន្នន័យធម្មតាមានហត្ថលេខាសម្រាប់ការវាយប្រហារទូទៅដែលកម្រ ឬមិនដែលបង្កឱ្យមានផលវិជ្ជមានមិនពិត។ សកម្មភាពដែលបានកំណត់រចនាសម្ព័ន្ធជាមុនសម្រាប់ហត្ថលេខាទាំងនេះភាគច្រើនគឺរារាំង។

មូលដ្ឋានទិន្នន័យដែលបានពង្រីកមានហត្ថលេខាវាយប្រហារបន្ថែម ដែលមានឥទ្ធិពលយ៉ាងសំខាន់លើដំណើរការប្រព័ន្ធ ឬមិនអាចទប់ស្កាត់បាន ដោយសារលក្ខណៈពិសេសរបស់វា។ ដោយសារតែទំហំនៃមូលដ្ឋានទិន្នន័យនេះ វាមិនមាននៅលើម៉ូដែល FortiGate ដែលមានថាសតូច ឬ RAM ទេ។ ប៉ុន្តែសម្រាប់បរិស្ថានដែលមានសុវត្ថិភាពខ្ពស់ អ្នកប្រហែលជាត្រូវប្រើមូលដ្ឋានបន្ថែម។

ការដំឡើង និងពិនិត្យមើលមុខងាររបស់ IPS ក៏ត្រូវបានពិភាក្សានៅក្នុងវីដេអូខាងក្រោមផងដែរ។

នៅក្នុងមេរៀនបន្ទាប់ យើងនឹងពិនិត្យមើលការធ្វើការជាមួយអ្នកប្រើប្រាស់។ ដើម្បីកុំឱ្យខកខាន សូមតាមដានព័ត៌មានថ្មីៗនៅលើប៉ុស្តិ៍ខាងក្រោម៖

• Youtube
• សហគមន៍ Vkontakte
• Yandex Zen
• គេហទំព័ររបស់យើង
• ឆានែល Telegram

ប្រភព: www.habr.com