7. Fortinet Getting Started v6.0. Антивирус и IPS

Поздрав! Добредојдовте на седмата лекција од курсот Fortinet Започнување. На последната лекција се запознавме со такви безбедносни профили како што се Web Filtering, Application Control и HTTPS инспекција. Во оваа лекција ќе продолжиме со нашето воведување во безбедносните профили. Прво ќе се запознаеме со теоретските аспекти на функционирањето на антивирус и систем за спречување на упади, а потоа ќе погледнеме како овие безбедносни профили функционираат во пракса.

Да почнеме со антивирусот. Прво, да разговараме за технологиите што ги користи FortiGate за откривање вируси:
Антивирусното скенирање е најлесниот и најбрзиот метод за откривање вируси. Открива вируси кои целосно се совпаѓаат со потписите содржани во антивирусната база на податоци.

Grayware Scan или несакано скенирање на програми - оваа технологија открива несакани програми кои се инсталирани без знаење или согласност на корисникот. Технички, овие програми не се вируси. Тие обично доаѓаат во пакет со други програми, но кога се инсталираат негативно влијаат на системот, поради што се класифицирани како малициозен софтвер. Честопати, таквите програми може да се откријат со користење на едноставни потписи за сив софтвер од истражувачката база на FortiGuard.

Хеуристичко скенирање - оваа технологија се заснова на веројатности, така што нејзината употреба може да предизвика лажно позитивни ефекти, но може да открие и вируси од нула ден. Вирусите од нула ден се нови вируси кои сè уште не се проучени и нема потписи кои би можеле да ги детектираат. Хеуристичкото скенирање не е стандардно овозможено и мора да биде овозможено на командната линија.

Ако се овозможени сите антивирусни способности, FortiGate ги применува по следниов редослед: скенирање антивируси, скенирање сив софтвер, хеуристичко скенирање.

FortiGate може да користи неколку антивирусни бази на податоци, во зависност од задачите:

• Нормална антивирусна база на податоци (Normal) - содржана во сите модели на FortiGate. Вклучува потписи за вируси кои се откриени во последните месеци. Ова е најмалата антивирусна база на податоци, така што скенира најбрзо кога се користи. Сепак, оваа база на податоци не може да ги открие сите познати вируси.
• Проширено - оваа основа е поддржана од повеќето модели на FortiGate. Може да се користи за откривање на вируси кои повеќе не се активни. Многу платформи сè уште се ранливи на овие вируси. Исто така, овие вируси можат да предизвикаат проблеми во иднина.
• И последната, екстремна основа (Extreme) - се користи во инфраструктури каде што е потребно високо ниво на безбедност. Со негова помош, можете да ги откриете сите познати вируси, вклучително и вируси насочени кон застарени оперативни системи, кои во моментов не се широко дистрибуирани. Овој тип на база на податоци со потписи исто така не е поддржан од сите модели на FortiGate.

Постои и компактна база на податоци со потпис дизајнирана за брзо скенирање. Ќе зборуваме за тоа малку подоцна.

Можете да ги ажурирате базите на податоци за антивируси користејќи различни методи.

Првиот метод е Push Update, кој овозможува ажурирање на базите на податоци веднаш штом истражувачката база на FortiGuard објави ажурирање. Ова е корисно за инфраструктури кои бараат високо ниво на безбедност, бидејќи FortiGate ќе добива итни ажурирања веднаш штом ќе бидат достапни.

Вториот метод е да поставите распоред. На овој начин можете да проверите дали има ажурирања секој час, ден или недела. Тоа е, тука временскиот опсег е поставен по ваша дискреција.
Овие методи може да се користат заедно.

Но, треба да имате на ум дека за да се направат ажурирања, мора да го овозможите антивирусниот профил за барем една политика за заштитен ѕид. Во спротивно, нема да се прават ажурирања.

Можете исто така да преземате ажурирања од страницата за поддршка на Fortinet и потоа рачно да ги поставите на FortiGate.

Ајде да ги погледнеме режимите на скенирање. Има само три од нив - Целосен режим во режим заснован на проток, Брз режим во режим заснован на проток и Целосен режим во режим на прокси. Да почнеме со Целосен режим во режим на проток.

Да речеме дека корисникот сака да преземе датотека. Тој испраќа барање. Серверот почнува да му испраќа пакети што ја сочинуваат датотеката. Корисникот веднаш ги добива овие пакети. Но, пред да ги достави овие пакети на корисникот, FortiGate ги кешира. Откако FortiGate ќе го прими последниот пакет, тој започнува со скенирање на датотеката. Во тоа време, последниот пакет е во ред и не се пренесува на корисникот. Ако датотеката не содржи вируси, најновиот пакет се испраќа до корисникот. Ако се открие вирус, FortiGate ја прекинува врската со корисникот.

Вториот режим на скенирање достапен во „Заснован на проток“ е брз режим. Користи компактна база на податоци со потписи, која содржи помалку потписи од обична база на податоци. Исто така, има некои ограничувања во споредба со целосниот режим:

• Не може да испраќа датотеки во песокот
• Не може да користи хеуристичка анализа
• Исто така, не може да користи пакети поврзани со мобилен малициозен софтвер
• Некои модели на почетно ниво не го поддржуваат овој режим.

Брзиот режим исто така го проверува сообраќајот за вируси, црви, тројанци и малициозен софтвер, но без баферирање. Ова обезбедува подобри перформанси, но во исто време веројатноста за откривање на вирус е намалена.

Во режимот на прокси, единствениот достапен режим на скенирање е Целосниот режим. Со такво скенирање, FortiGate прво ја складира целата датотека на себе (освен, се разбира, ако не се надмине дозволената големина на датотеката за скенирање). Клиентот мора да почека да заврши скенирањето. Доколку се открие вирус при скенирање, корисникот веднаш ќе биде известен. Бидејќи FortiGate прво ја зачувува целата датотека, а потоа ја скенира, ова може да потрае доста долго. Поради ова, можно е клиентот да ја прекине врската пред да ја прими датотеката поради долго доцнење.

Сликата подолу покажува табела за споредба за режимите на скенирање - ќе ви помогне да одредите кој тип на скенирање е погоден за вашите задачи. Поставувањето и проверката на функционалноста на антивирусот се дискутира во пракса во видеото на крајот од статијата.

Да преминеме на вториот дел од лекцијата - системот за спречување на упад. Но, за да започнете со проучување на IPS, треба да ја разберете разликата помеѓу експлоатирањата и аномалиите, а исто така да разберете кои механизми FortiGate ги користи за да се заштити од нив.

Експлоатите се познати напади со специфични обрасци кои можат да се откријат со помош на IPS, WAF или антивирусни потписи.

Аномалиите се невообичаено однесување на мрежата, како што е невообичаено голема количина сообраќај или повисока од нормалната потрошувачка на процесорот. Аномалиите треба да се следат бидејќи тие може да бидат знаци за нов, неистражен напад. Аномалиите обично се откриваат со помош на анализа на однесувањето - таканаречени потписи засновани на стапка и DoS политики.

Како резултат на тоа, IPS на FortiGate користи бази на потписи за откривање познати напади и потписи базирани на стапка и DoS политики за откривање различни аномалии.

Стандардно, почетен сет на потписи на IPS е вклучен со секоја верзија на оперативниот систем FortiGate. Со ажурирања, FortiGate добива нови потписи. На овој начин, IPS останува ефикасен против новите експлоатирања. FortiGuard доста често ги ажурира потписите на IPS.

Важна точка што се однесува и на IPS и на антивирус е дека ако вашите лиценци се истечени, сè уште можете да ги користите најновите добиени потписи. Но, нема да можете да добивате нови без лиценци. Затоа, отсуството на лиценци е крајно непожелно - ако се појават нови напади, нема да можете да се заштитите со стари потписи.

Базите на податоци за потпис на IPS се поделени на редовни и проширени. Типична база на податоци содржи потписи за вообичаени напади кои ретко или никогаш не предизвикуваат лажни позитиви. Претходно конфигурираното дејство за повеќето од овие потписи е блок.

Проширената база на податоци содржи дополнителни потписи за напад кои имаат значително влијание врз перформансите на системот или кои не можат да се блокираат поради нивната посебна природа. Поради големината на оваа база на податоци, таа не е достапна на моделите на FortiGate со мал диск или RAM меморија. Но, за високо безбедни средини, можеби ќе треба да користите проширена база.

Поставувањето и проверката на функционалноста на IPS е исто така дискутирано во видеото подолу.

Во следната лекција ќе ја разгледаме работата со корисници. За да не го пропуштите, следете ги ажурирањата на следните канали:

• YouTube
• Vkontakte заедница
• Јандекс Зен
• Нашата страница
• Телеграмски канал

Извор: www.habr.com