7. Fortinet ການເລີ່ມຕົ້ນ v6.0. Antivirus ແລະ IPS

ຊົມເຊີຍ! ຍິນດີຕ້ອນຮັບສູ່ບົດຮຽນທີ XNUMX ຂອງຫຼັກສູດ Fortinet ເລີ່ມຕົ້ນ. ໃນ ບົດຮຽນສຸດທ້າຍ ພວກເຮົາໄດ້ຮູ້ຈັກກັບໂປຣໄຟລ໌ຄວາມປອດໄພເຊັ່ນ: ການກັ່ນຕອງເວັບ, ການຄວບຄຸມແອັບພລິເຄຊັນ ແລະການກວດສອບ HTTPS. ໃນບົດຮຽນນີ້ພວກເຮົາຈະສືບຕໍ່ການແນະນໍາຂອງພວກເຮົາກ່ຽວກັບໂປຣໄຟລ໌ຄວາມປອດໄພ. ທໍາອິດ, ພວກເຮົາຈະຮູ້ຈັກກັບລັກສະນະທາງທິດສະດີຂອງການດໍາເນີນງານຂອງລະບົບປ້ອງກັນເຊື້ອໄວຣັສແລະການບຸກລຸກ, ແລະຫຼັງຈາກນັ້ນພວກເຮົາຈະເບິ່ງວິທີການຮັກສາຄວາມປອດໄພເຫຼົ່ານີ້ໃນການປະຕິບັດ.

ໃຫ້ເລີ່ມຕົ້ນດ້ວຍ antivirus. ທໍາອິດ, ໃຫ້ປຶກສາຫາລືກ່ຽວກັບເຕັກໂນໂລຢີທີ່ FortiGate ໃຊ້ເພື່ອກວດຫາໄວຣັດ:
ການສະແກນຕ້ານໄວຣັສແມ່ນວິທີທີ່ງ່າຍທີ່ສຸດ ແລະໄວທີ່ສຸດໃນການກວດຫາໄວຣັສ. ມັນກວດພົບໄວຣັສທີ່ກົງກັບລາຍເຊັນທີ່ມີຢູ່ໃນຖານຂໍ້ມູນຕ້ານໄວຣັສຢ່າງສົມບູນ.

Grayware Scan ຫຼືການສະແກນໂຄງການທີ່ບໍ່ຕ້ອງການ - ເຕັກໂນໂລຢີນີ້ກວດພົບບັນດາໂຄງການທີ່ບໍ່ຕ້ອງການທີ່ຖືກຕິດຕັ້ງໂດຍບໍ່ມີຄວາມຮູ້ຫຼືການຍິນຍອມຂອງຜູ້ໃຊ້. ດ້ານວິຊາການ, ໂຄງການເຫຼົ່ານີ້ແມ່ນບໍ່ມີໄວຣັສ. ປົກກະຕິແລ້ວພວກມັນມາພ້ອມກັບໂປລແກລມອື່ນ, ແຕ່ເມື່ອຕິດຕັ້ງພວກມັນມີຜົນກະທົບທາງລົບຕໍ່ລະບົບ, ນັ້ນແມ່ນເຫດຜົນທີ່ພວກເຂົາຖືກຈັດປະເພດເປັນ malware. ເລື້ອຍໆບັນດາໂຄງການດັ່ງກ່າວສາມາດຖືກກວດພົບໂດຍໃຊ້ລາຍເຊັນຂອງ greyware ງ່າຍດາຍຈາກພື້ນຖານການຄົ້ນຄວ້າ FortiGuard.

ການສະແກນ Heuristic - ເຕັກໂນໂລຢີນີ້ແມ່ນອີງໃສ່ຄວາມເປັນໄປໄດ້, ດັ່ງນັ້ນການນໍາໃຊ້ຂອງມັນສາມາດເຮັດໃຫ້ເກີດຜົນກະທົບທາງບວກທີ່ບໍ່ຖືກຕ້ອງ, ແຕ່ມັນຍັງສາມາດກວດພົບເຊື້ອໄວຣັສທີ່ບໍ່ມີວັນ. Zero day viruses ແມ່ນໄວຣັສໃໝ່ທີ່ຍັງບໍ່ທັນໄດ້ສຶກສາເທື່ອ, ແລະບໍ່ມີລາຍເຊັນທີ່ສາມາດກວດພົບໄດ້. ການສະແກນ Heuristic ບໍ່ໄດ້ຖືກເປີດໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນ ແລະຕ້ອງຖືກເປີດໃຊ້ໃນແຖວຄໍາສັ່ງ.

ຖ້າຄວາມສາມາດຕ້ານໄວຣັສທັງໝົດຖືກເປີດໃຊ້, FortiGate ນຳໃຊ້ພວກມັນຕາມລຳດັບຕໍ່ໄປນີ້: ການສະແກນຕ້ານໄວຣັສ, ການສະແກນແກມແວຣ໌, ການສະແກນແບບ heuristic.

FortiGate ສາມາດໃຊ້ຖານຂໍ້ມູນຕ້ານໄວຣັສຫຼາຍອັນ, ຂຶ້ນກັບໜ້າວຽກ:

• ຖານຂໍ້ມູນ antivirus ປົກກະຕິ (Normal) - ບັນຈຸຢູ່ໃນທຸກຮູບແບບ FortiGate. ມັນປະກອບມີລາຍເຊັນຂອງໄວຣັສທີ່ໄດ້ຖືກຄົ້ນພົບໃນເດືອນທີ່ຜ່ານມາ. ນີ້​ແມ່ນ​ຖານ​ຂໍ້​ມູນ antivirus ຂະ​ຫນາດ​ນ້ອຍ​ທີ່​ສຸດ​, ສະ​ນັ້ນ​ມັນ​ສະ​ແກນ​ໄວ​ທີ່​ສຸດ​ໃນ​ເວ​ລາ​ທີ່​ນໍາ​ໃຊ້​. ຢ່າງໃດກໍຕາມ, ຖານຂໍ້ມູນນີ້ບໍ່ສາມາດກວດພົບໄວຣັສທີ່ຮູ້ຈັກທັງຫມົດ.
• ຂະຫຍາຍ - ພື້ນຖານນີ້ແມ່ນສະຫນັບສະຫນູນໂດຍຮູບແບບ FortiGate ສ່ວນໃຫຍ່. ມັນສາມາດຖືກນໍາໃຊ້ເພື່ອກວດຫາໄວຣັສທີ່ບໍ່ມີການເຄື່ອນໄຫວອີກຕໍ່ໄປ. ຫຼາຍແພລະຕະຟອມຍັງມີຄວາມສ່ຽງຕໍ່ໄວຣັດເຫຼົ່ານີ້. ນອກຈາກນີ້, ໄວຣັສເຫຼົ່ານີ້ສາມາດເຮັດໃຫ້ເກີດບັນຫາໃນອະນາຄົດ.
• ແລະສຸດທ້າຍ, ພື້ນຖານທີ່ສຸດ (Extreme) - ຖືກນໍາໃຊ້ໃນໂຄງສ້າງພື້ນຖານທີ່ຕ້ອງການຄວາມປອດໄພໃນລະດັບສູງ. ດ້ວຍການຊ່ວຍເຫຼືອຂອງມັນ, ທ່ານສາມາດກວດພົບໄວຣັສທີ່ຮູ້ຈັກທັງຫມົດ, ລວມທັງໄວຣັສທີ່ມີຈຸດປະສົງໃນລະບົບປະຕິບັດການທີ່ລ້າສະໄຫມ, ເຊິ່ງບໍ່ໄດ້ຖືກແຈກຢາຍຢ່າງກວ້າງຂວາງໃນຂະນະນີ້. ປະເພດຂອງຖານຂໍ້ມູນລາຍເຊັນນີ້ຍັງບໍ່ໄດ້ຮັບການສະຫນັບສະຫນູນໂດຍຮູບແບບ FortiGate ທັງຫມົດ.

ນອກຈາກນີ້ຍັງມີຖານຂໍ້ມູນລາຍເຊັນທີ່ຫນາແຫນ້ນທີ່ຖືກອອກແບບມາສໍາລັບການສະແກນໄວ. ພວກເຮົາຈະເວົ້າກ່ຽວກັບມັນຕໍ່ມາເລັກນ້ອຍ.

ທ່ານສາມາດປັບປຸງຖານຂໍ້ມູນຕ້ານເຊື້ອໄວຣັສໂດຍໃຊ້ວິທີການທີ່ແຕກຕ່າງກັນ.

ວິທີທໍາອິດແມ່ນ Push Update, ເຊິ່ງອະນຸຍາດໃຫ້ຖານຂໍ້ມູນໄດ້ຮັບການປັບປຸງທັນທີທີ່ຖານຂໍ້ມູນການຄົ້ນຄວ້າ FortiGuard ປ່ອຍການປັບປຸງ. ນີ້ແມ່ນເປັນປະໂຫຍດສໍາລັບໂຄງສ້າງພື້ນຖານທີ່ຕ້ອງການຄວາມປອດໄພໃນລະດັບສູງ, ນັບຕັ້ງແຕ່ FortiGate ຈະໄດ້ຮັບການປັບປຸງດ່ວນທັນທີທີ່ພວກມັນມີ.

ວິທີທີສອງແມ່ນກໍານົດຕາຕະລາງ. ວິທີນີ້ທ່ານສາມາດກວດເບິ່ງການປັບປຸງທຸກໆຊົ່ວໂມງ, ມື້ຫຼືອາທິດ. ນັ້ນແມ່ນ, ຢູ່ທີ່ນີ້ ຊ່ວງເວລາ ແມ່ນຖືກ ກຳ ນົດຕາມການຕັດສິນໃຈຂອງເຈົ້າ.
ວິທີການເຫຼົ່ານີ້ສາມາດຖືກນໍາໃຊ້ຮ່ວມກັນ.

ແຕ່ທ່ານຈໍາເປັນຕ້ອງຈື່ໄວ້ວ່າເພື່ອໃຫ້ມີການປັບປຸງ, ທ່ານຕ້ອງເປີດໃຊ້ໂປໄຟ antivirus ສໍາລັບຢ່າງຫນ້ອຍຫນຶ່ງນະໂຍບາຍໄຟວໍ. ຖ້າບໍ່ດັ່ງນັ້ນ, ການປັບປຸງຈະບໍ່ຖືກເຮັດ.

ນອກນັ້ນທ່ານຍັງສາມາດດາວໂຫຼດການອັບເດດຈາກເວັບໄຊສະຫນັບສະຫນູນ Fortinet ແລະຫຼັງຈາກນັ້ນອັບໂຫລດໃຫ້ເຂົາເຈົ້າດ້ວຍຕົນເອງກັບ FortiGate.

ໃຫ້ເບິ່ງຢູ່ໃນຮູບແບບການສະແກນ. ມີພຽງແຕ່ສາມຂອງພວກເຂົາ - ຮູບແບບເຕັມໃນໂຫມດ Flow Based, ໂຫມດດ່ວນໃນໂຫມດ Flow Based, ແລະຮູບແບບເຕັມໃນໂຫມດຕົວແທນ. ເລີ່ມຕົ້ນດ້ວຍ Full Mode ໃນ Flow mode.

ສົມມຸດວ່າຜູ້ໃຊ້ຕ້ອງການດາວໂຫລດໄຟລ໌. ລາວສົ່ງຄໍາຮ້ອງຂໍ. ເຊີບເວີເລີ່ມສົ່ງແພັກເກັດທີ່ປະກອບເປັນໄຟລ໌ໃຫ້ລາວ. ຜູ້ໃຊ້ໄດ້ຮັບຊຸດເຫຼົ່ານີ້ທັນທີ. ແຕ່ກ່ອນທີ່ຈະສົ່ງແພັກເກັດເຫຼົ່ານີ້ໃຫ້ກັບຜູ້ໃຊ້, FortiGate ເກັບຮັກສາໄວ້ໃຫ້ເຂົາເຈົ້າ. ຫຼັງຈາກ FortiGate ໄດ້ຮັບແພັກເກັດສຸດທ້າຍ, ມັນຈະເລີ່ມການສະແກນໄຟລ໌. ໃນເວລານີ້, ແພັກເກັດສຸດທ້າຍຖືກຈັດຄິວແລະບໍ່ໄດ້ຖືກສົ່ງໄປຫາຜູ້ໃຊ້. ຖ້າໄຟລ໌ບໍ່ມີໄວຣັສ, ແພັກເກັດຫຼ້າສຸດຖືກສົ່ງໄປຫາຜູ້ໃຊ້. ຖ້າເຊື້ອໄວຣັສຖືກກວດພົບ, FortiGate ຈະທໍາລາຍການເຊື່ອມຕໍ່ກັບຜູ້ໃຊ້.

ໂໝດສະແກນທີສອງທີ່ມີຢູ່ໃນ Flow Based ແມ່ນ Quick Mode. ມັນໃຊ້ຖານຂໍ້ມູນລາຍເຊັນທີ່ຫນາແຫນ້ນ, ເຊິ່ງມີລາຍເຊັນຫນ້ອຍກວ່າຖານຂໍ້ມູນປົກກະຕິ. ມັນຍັງມີຂໍ້ຈໍາກັດບາງຢ່າງເມື່ອທຽບກັບ Full Mode:

• ມັນບໍ່ສາມາດສົ່ງໄຟລ໌ໄປຫາ sandbox ໄດ້
• ມັນບໍ່ສາມາດໃຊ້ການວິເຄາະທາງທິດສະດີໄດ້
• ນອກຈາກນີ້ມັນບໍ່ສາມາດໃຊ້ແພັກເກດທີ່ກ່ຽວຂ້ອງກັບ malware ມືຖືໄດ້
• ບາງຕົວແບບລະດັບເຂົ້າບໍ່ຮອງຮັບໂໝດນີ້.

ໂໝດດ່ວນຍັງກວດສອບການຈາລະຈອນຂອງໄວຣັສ, ແມ່ທ້ອງ, ໂທຈັນ ແລະມາລແວ, ແຕ່ບໍ່ມີການ buffering. ນີ້ສະຫນອງການປະຕິບັດທີ່ດີກວ່າ, ແຕ່ໃນເວລາດຽວກັນຄວາມເປັນໄປໄດ້ຂອງການກວດຫາເຊື້ອໄວຣັສແມ່ນຫຼຸດລົງ.

ໃນໂໝດພຣັອກຊີ, ໂໝດສະແກນແບບດຽວເທົ່ານັ້ນທີ່ມີແມ່ນໂໝດເຕັມ. ດ້ວຍການສະແກນດັ່ງກ່າວ, FortiGate ທໍາອິດເກັບໄຟລ໌ທັງຫມົດໄວ້ໃນຕົວມັນເອງ (ເວັ້ນເສຍແຕ່, ແນ່ນອນ, ຂະຫນາດໄຟລ໌ທີ່ອະນຸຍາດໃຫ້ສະແກນແມ່ນເກີນ). ລູກຄ້າຕ້ອງລໍຖ້າການສະແກນສໍາເລັດ. ຖ້າກວດພົບເຊື້ອໄວຣັສໃນລະຫວ່າງການສະແກນ, ຜູ້ໃຊ້ຈະໄດ້ຮັບການແຈ້ງເຕືອນທັນທີ. ເນື່ອງຈາກວ່າ FortiGate ທໍາອິດບັນທຶກໄຟລ໌ທັງຫມົດແລະຫຼັງຈາກນັ້ນສະແກນມັນ, ນີ້ສາມາດໃຊ້ເວລາຂ້ອນຂ້າງຍາວ. ເນື່ອງຈາກວ່ານີ້, ມັນເປັນໄປໄດ້ສໍາລັບລູກຄ້າທີ່ຈະຢຸດການເຊື່ອມຕໍ່ກ່ອນທີ່ຈະໄດ້ຮັບໄຟລ໌ເນື່ອງຈາກການຊັກຊ້າຍາວ.

ຮູບຂ້າງລຸ່ມນີ້ສະແດງໃຫ້ເຫັນຕາຕະລາງການປຽບທຽບສໍາລັບຮູບແບບການສະແກນ - ມັນຈະຊ່ວຍໃຫ້ທ່ານກໍານົດປະເພດຂອງການສະແກນທີ່ເຫມາະສົມສໍາລັບວຽກງານຂອງທ່ານ. ການຕັ້ງຄ່າແລະການກວດສອບການເຮັດວຽກຂອງ antivirus ແມ່ນປຶກສາຫາລືໃນການປະຕິບັດໃນວິດີໂອໃນຕອນທ້າຍຂອງບົດຄວາມ.

ຂໍໃຫ້ກ້າວໄປສູ່ພາກທີສອງຂອງບົດຮຽນ - ລະບົບປ້ອງກັນການບຸກລຸກ. ແຕ່ເພື່ອເລີ່ມຕົ້ນການສຶກສາ IPS, ທ່ານຈໍາເປັນຕ້ອງເຂົ້າໃຈຄວາມແຕກຕ່າງລະຫວ່າງການຂູດຮີດແລະຄວາມຜິດປະກະຕິ, ແລະຍັງເຂົ້າໃຈກົນໄກທີ່ FortiGate ໃຊ້ເພື່ອປ້ອງກັນພວກມັນ.

ການຂູດຮີດແມ່ນການໂຈມຕີທີ່ຮູ້ຈັກດ້ວຍຮູບແບບສະເພາະທີ່ສາມາດກວດພົບໄດ້ໂດຍໃຊ້ IPS, WAF, ຫຼືລາຍເຊັນຕ້ານໄວຣັສ.

ຄວາມຜິດປົກກະຕິແມ່ນພຶດຕິກຳທີ່ຜິດປົກກະຕິໃນເຄືອຂ່າຍ ເຊັ່ນ: ປະລິມານການສັນຈອນຫຼາຍຜິດປົກກະຕິ ຫຼືສູງກວ່າການບໍລິໂພກ CPU ປົກກະຕິ. ຄວາມຜິດປົກກະຕິຕ້ອງໄດ້ຮັບການຕິດຕາມ ເພາະມັນອາດຈະເປັນສັນຍານຂອງການໂຈມຕີແບບໃໝ່ທີ່ບໍ່ໄດ້ສຳຫຼວດ. ຄວາມຜິດປົກກະຕິແມ່ນຖືກກວດພົບໂດຍປົກກະຕິໂດຍໃຊ້ການວິເຄາະພຶດຕິກໍາ - ອັນທີ່ເອີ້ນວ່າລາຍເຊັນໂດຍອີງໃສ່ອັດຕາແລະນະໂຍບາຍ DoS.

ດັ່ງນັ້ນ, IPS ໃນ FortiGate ໃຊ້ຖານລາຍເຊັນເພື່ອກວດຫາການໂຈມຕີທີ່ຮູ້ຈັກ, ແລະ Rate-Based signatures ແລະ DoS policy ເພື່ອກວດຫາຄວາມຜິດປົກກະຕິຕ່າງໆ.

ໂດຍຄ່າເລີ່ມຕົ້ນ, ຊຸດເບື້ອງຕົ້ນຂອງລາຍເຊັນ IPS ແມ່ນລວມຢູ່ໃນແຕ່ລະລຸ້ນຂອງລະບົບປະຕິບັດການ FortiGate. ດ້ວຍການອັບເດດ, FortiGate ໄດ້ຮັບລາຍເຊັນໃໝ່. ດ້ວຍວິທີນີ້, IPS ຍັງຄົງມີປະສິດທິພາບຕໍ່ກັບການຂຸດຄົ້ນໃຫມ່. FortiGuard ປັບປຸງລາຍເຊັນ IPS ເລື້ອຍໆ.

ຈຸດສໍາຄັນທີ່ໃຊ້ກັບທັງ IPS ແລະ antivirus ແມ່ນວ່າຖ້າໃບອະນຸຍາດຂອງທ່ານຫມົດອາຍຸ, ທ່ານຍັງສາມາດໃຊ້ລາຍເຊັນຫລ້າສຸດທີ່ໄດ້ຮັບ. ແຕ່ທ່ານຈະບໍ່ສາມາດໄດ້ຮັບອັນໃຫມ່ໂດຍບໍ່ມີໃບອະນຸຍາດ. ດັ່ງນັ້ນ, ການຂາດໃບອະນຸຍາດແມ່ນເປັນສິ່ງທີ່ບໍ່ຕ້ອງການທີ່ສຸດ - ຖ້າການໂຈມຕີໃຫມ່ປາກົດ, ທ່ານຈະບໍ່ສາມາດປົກປ້ອງຕົວເອງດ້ວຍລາຍເຊັນເກົ່າ.

ຖານຂໍ້ມູນລາຍເຊັນ IPS ຖືກແບ່ງອອກເປັນປົກກະຕິແລະຂະຫຍາຍ. ຖານຂໍ້ມູນປົກກະຕິປະກອບມີລາຍເຊັນສໍາລັບການໂຈມຕີທົ່ວໄປທີ່ບໍ່ຄ່ອຍຫຼືບໍ່ເຄີຍເຮັດໃຫ້ເກີດຜົນບວກທີ່ບໍ່ຖືກຕ້ອງ. ຄຳສັ່ງທີ່ກຳນົດໄວ້ລ່ວງໜ້າສຳລັບລາຍເຊັນເຫຼົ່ານີ້ສ່ວນຫຼາຍແມ່ນບລັອກ.

ຖານຂໍ້ມູນທີ່ຂະຫຍາຍປະກອບດ້ວຍລາຍເຊັນການໂຈມຕີເພີ່ມເຕີມທີ່ມີຜົນກະທົບຢ່າງຫຼວງຫຼາຍຕໍ່ການເຮັດວຽກຂອງລະບົບ, ຫຼືບໍ່ສາມາດຖືກບລັອກໄດ້ເນື່ອງຈາກລັກສະນະພິເສດຂອງມັນ. ເນື່ອງຈາກຂະຫນາດຂອງຖານຂໍ້ມູນນີ້, ມັນບໍ່ມີຢູ່ໃນຮູບແບບ FortiGate ທີ່ມີແຜ່ນຂະຫນາດນ້ອຍຫຼື RAM. ແຕ່ສໍາລັບສະພາບແວດລ້ອມທີ່ມີຄວາມປອດໄພສູງ, ທ່ານອາດຈະຈໍາເປັນຕ້ອງໃຊ້ພື້ນຖານຂະຫຍາຍ.

ການຕັ້ງຄ່າແລະກວດສອບການທໍາງານຂອງ IPS ແມ່ນຍັງສົນທະນາໃນວິດີໂອຂ້າງລຸ່ມນີ້.

ໃນບົດຮຽນຕໍ່ໄປພວກເຮົາຈະເບິ່ງການເຮັດວຽກກັບຜູ້ໃຊ້. ເພື່ອບໍ່ໃຫ້ພາດມັນ, ຕິດຕາມການອັບເດດໃນຊ່ອງທາງຕໍ່ໄປນີ້:

• ຢູ່​ທູບ
• ГруппаВконтакте
• Yandex Zen
• ເວັບໄຊທ໌້ຂອງພວກເຮົາ
• ຊ່ອງ Telegram

ແຫຼ່ງຂໍ້ມູນ: www.habr.com