7. Fortinet 시작하기 v6.0. 바이러스 백신 및 IPS

인사말! 이 과정의 일곱 번째 수업에 오신 것을 환영합니다. 포티넷 시작하기. 에 마지막 수업 우리는 웹 필터링, 애플리케이션 제어 및 HTTPS 검사와 같은 보안 프로필에 대해 알게 되었습니다. 이번 강의에서는 보안 프로필을 계속해서 소개하겠습니다. 먼저 바이러스 백신 및 침입 방지 시스템 작동의 이론적 측면을 살펴본 다음 이러한 보안 프로필이 실제로 어떻게 작동하는지 살펴보겠습니다.

바이러스 백신부터 시작해 보겠습니다. 먼저 FortiGate가 바이러스를 탐지하는 데 사용하는 기술에 대해 논의해 보겠습니다.
바이러스 백신 검사는 바이러스를 탐지하는 가장 쉽고 빠른 방법입니다. 안티 바이러스 데이터베이스에 포함된 서명과 완전히 일치하는 바이러스를 탐지합니다.

그레이웨어 검색 또는 원치 않는 프로그램 검색 - 이 기술은 사용자가 알지 못하거나 동의하지 않고 설치된 원치 않는 프로그램을 검색합니다. 기술적으로 이러한 프로그램은 바이러스가 아닙니다. 일반적으로 다른 프로그램과 함께 번들로 제공되지만 설치하면 시스템에 부정적인 영향을 미치므로 악성 코드로 분류됩니다. 이러한 프로그램은 FortiGuard 연구 기반의 간단한 그레이웨어 서명을 사용하여 탐지할 수 있는 경우가 많습니다.

휴리스틱 스캐닝 - 이 기술은 확률을 기반으로 하기 때문에 이를 사용하면 잘못된 긍정 효과가 발생할 수 있지만 제로 데이 바이러스도 탐지할 수 있습니다. 제로데이 바이러스는 아직 연구되지 않은 새로운 바이러스로, 이를 탐지할 수 있는 시그니처가 없습니다. 휴리스틱 스캐닝은 기본적으로 활성화되어 있지 않으며 명령줄에서 활성화해야 합니다.

모든 바이러스 백신 기능이 활성화된 경우 FortiGate는 바이러스 백신 검색, 그레이웨어 검색, 휴리스틱 검색 순서로 해당 기능을 적용합니다.

FortiGate는 작업에 따라 여러 바이러스 백신 데이터베이스를 사용할 수 있습니다.

• 일반 바이러스 백신 데이터베이스(일반) - 모든 FortiGate 모델에 포함되어 있습니다. 여기에는 최근 몇 달 동안 발견된 바이러스에 대한 서명이 포함되어 있습니다. 가장 작은 바이러스 백신 데이터베이스이므로 사용 시 가장 빠르게 검사합니다. 그러나 이 데이터베이스는 알려진 모든 바이러스를 탐지할 수 없습니다.
• 확장 - 이 기반은 대부분의 FortiGate 모델에서 지원됩니다. 더 이상 활동하지 않는 바이러스를 탐지하는 데 사용할 수 있습니다. 많은 플랫폼이 여전히 이러한 바이러스에 취약합니다. 또한 이러한 바이러스는 향후 문제를 일으킬 수 있습니다.
• 마지막으로 익스트림 베이스(Extreme)는 높은 수준의 보안이 필요한 인프라에 사용됩니다. 이 도구를 사용하면 현재 널리 배포되지 않는 오래된 운영 체제를 대상으로 하는 바이러스를 포함하여 알려진 모든 바이러스를 탐지할 수 있습니다. 이러한 유형의 서명 데이터베이스는 모든 FortiGate 모델에서도 지원되지 않습니다.

빠른 검색을 위해 설계된 컴팩트 서명 데이터베이스도 있습니다. 그것에 대해서는 조금 나중에 이야기하겠습니다.

다양한 방법을 사용하여 바이러스 백신 데이터베이스를 업데이트할 수 있습니다.

첫 번째 방법은 FortiGuard 연구 데이터베이스가 업데이트를 출시하자마자 데이터베이스를 업데이트할 수 있는 푸시 업데이트입니다. FortiGate는 긴급 업데이트가 제공되는 즉시 수신되므로 높은 수준의 보안이 필요한 인프라에 유용합니다.

두 번째 방법은 일정을 설정하는 것입니다. 이렇게 하면 매시간, 매일 또는 매주 업데이트를 확인할 수 있습니다. 즉, 여기서 시간 범위는 귀하의 재량에 따라 설정됩니다.
이러한 방법은 함께 사용할 수 있습니다.

그러나 업데이트를 수행하려면 하나 이상의 방화벽 정책에 대해 바이러스 백신 프로필을 활성화해야 한다는 점을 명심해야 합니다. 그렇지 않으면 업데이트가 이루어지지 않습니다.

Fortinet 지원 사이트에서 업데이트를 다운로드한 다음 수동으로 FortiGate에 업로드할 수도 있습니다.

스캔 모드를 살펴보겠습니다. 흐름 기반 모드의 전체 모드, 흐름 기반 모드의 빠른 모드, 프록시 모드의 전체 모드 등 세 가지만 있습니다. Flow 모드의 Full 모드부터 시작해 보겠습니다.

사용자가 파일을 다운로드하려고 한다고 가정해 보겠습니다. 그는 요청을 보냅니다. 서버는 파일을 구성하는 패킷을 그에게 보내기 시작합니다. 사용자는 즉시 이러한 패키지를 받습니다. 하지만 FortiGate는 이러한 패킷을 사용자에게 전달하기 전에 해당 패킷을 캐시합니다. FortiGate는 마지막 패킷을 수신한 후 파일 검색을 시작합니다. 이때 마지막 패킷은 큐에 대기되어 사용자에게 전송되지 않습니다. 파일에 바이러스가 포함되어 있지 않으면 최신 패킷이 사용자에게 전송됩니다. 바이러스가 감지되면 FortiGate는 사용자와의 연결을 끊습니다.

Flow Based에서 사용할 수 있는 두 번째 스캔 모드는 빠른 모드입니다. 일반 데이터베이스보다 적은 수의 서명이 포함된 압축 서명 데이터베이스를 사용합니다. 또한 전체 모드에 비해 몇 가지 제한 사항이 있습니다.

• 샌드박스로 파일을 보낼 수 없습니다.
• 휴리스틱 분석을 사용할 수 없습니다.
• 또한 모바일 악성코드 관련 패키지는 사용할 수 없습니다.
• 일부 보급형 모델은 이 모드를 지원하지 않습니다.

빠른 모드는 또한 트래픽에 바이러스, 웜, 트로이 목마 및 맬웨어가 있는지 확인하지만 버퍼링은 없습니다. 이렇게 하면 성능이 향상되지만 동시에 바이러스를 탐지할 가능성이 줄어듭니다.

프록시 모드에서 사용할 수 있는 유일한 검색 모드는 전체 모드입니다. 이러한 검사를 통해 FortiGate는 먼저 전체 파일을 자체적으로 저장합니다(물론 검사에 허용되는 파일 크기를 초과하지 않는 한). 클라이언트는 검색이 완료될 때까지 기다려야 합니다. 검사 중 바이러스가 발견되면 즉시 사용자에게 통보됩니다. FortiGate는 먼저 전체 파일을 저장한 다음 스캔하기 때문에 시간이 꽤 오래 걸릴 수 있습니다. 이로 인해 오랜 지연으로 인해 클라이언트가 파일을 수신하기 전에 연결을 종료할 수 있습니다.

아래 그림은 스캔 모드에 대한 비교표를 보여줍니다. 이는 작업에 적합한 스캔 유형을 결정하는 데 도움이 됩니다. 바이러스 백신의 기능을 설정하고 확인하는 방법은 기사 마지막 부분의 비디오에서 실제로 논의됩니다.

강의의 두 번째 부분인 침입 방지 시스템으로 넘어가겠습니다. 그러나 IPS 연구를 시작하려면 익스플로잇과 변칙의 차이를 이해하고 FortiGate가 이를 방지하기 위해 사용하는 메커니즘도 이해해야 합니다.

익스플로잇은 IPS, WAF 또는 바이러스 백신 서명을 사용하여 탐지할 수 있는 특정 패턴을 가진 알려진 공격입니다.

이상 현상은 비정상적으로 많은 양의 트래픽이나 일반적인 CPU 소비량보다 높은 네트워크의 비정상적인 동작입니다. 이상 현상은 아직 탐색되지 않은 새로운 공격의 징후일 수 있으므로 모니터링이 필요합니다. 이상 징후는 일반적으로 행동 분석(소위 속도 기반 서명 및 DoS 정책)을 사용하여 감지됩니다.

결과적으로 FortiGate의 IPS는 서명 기반을 사용하여 알려진 공격을 탐지하고 속도 기반 서명 및 DoS 정책을 사용하여 다양한 이상을 탐지합니다.

기본적으로 초기 IPS 서명 세트는 FortiGate 운영 체제의 각 버전에 포함되어 있습니다. 업데이트를 통해 FortiGate는 새로운 서명을 받습니다. 이러한 방식으로 IPS는 새로운 악용에 대해 여전히 효과적인 상태를 유지합니다. FortiGuard는 IPS 서명을 매우 자주 업데이트합니다.

IPS와 바이러스 백신 모두에 적용되는 중요한 점은 라이센스가 만료된 경우에도 받은 최신 서명을 계속 사용할 수 있다는 것입니다. 하지만 라이센스가 없으면 새 라이센스를 얻을 수 없습니다. 따라서 라이센스가 없는 것은 매우 바람직하지 않습니다. 새로운 공격이 나타나면 이전 서명으로 자신을 보호할 수 없습니다.

IPS 시그니처 데이터베이스는 일반 데이터베이스와 확장 데이터베이스로 구분됩니다. 일반적인 데이터베이스에는 오탐을 거의 또는 전혀 발생시키지 않는 일반적인 공격에 대한 서명이 포함되어 있습니다. 이러한 서명 대부분에 대해 사전 구성된 작업은 차단입니다.

확장된 데이터베이스에는 시스템 성능에 큰 영향을 미치거나 특수한 특성으로 인해 차단할 수 없는 추가 공격 시그니처가 포함되어 있습니다. 이 데이터베이스의 크기로 인해 디스크나 RAM이 작은 FortiGate 모델에서는 사용할 수 없습니다. 그러나 보안 수준이 높은 환경에서는 확장된 기반을 사용해야 할 수도 있습니다.

IPS 기능 설정 및 확인에 대해서는 아래 비디오에서도 설명합니다.

다음 강의에서는 사용자와 함께 작업하는 방법을 살펴보겠습니다. 놓치지 않으려면 다음 채널의 업데이트를 따르세요.

• 유튜브
• 페이스 북 그룹
• Yandex Zen
• 우리 사이트
• 텔레그램 채널

출처 : habr.com