७. फोर्टिनेट सुरु गर्दै v7। एन्टिभाइरस र आईपीएस

अभिवादन! पाठ्यक्रमको सातौं पाठमा स्वागत छ Fortinet सुरु गर्दै... माथि अन्तिम पाठ हामीले वेब फिल्टरिङ, एप्लिकेसन कन्ट्रोल र HTTPS निरीक्षण जस्ता सुरक्षा प्रोफाइलहरूसँग परिचित भयौं। यस पाठमा हामी सुरक्षा प्रोफाइलहरूमा हाम्रो परिचय जारी राख्नेछौं। पहिले, हामी एन्टिभाइरस र घुसपैठ रोकथाम प्रणालीको सञ्चालनको सैद्धान्तिक पक्षहरूसँग परिचित हुनेछौं, र त्यसपछि हामी यी सुरक्षा प्रोफाइलहरूले व्यवहारमा कसरी काम गर्छ भनेर हेर्नेछौं।

एन्टिभाइरसको साथ सुरु गरौं। पहिले, फोर्टिगेटले भाइरस पत्ता लगाउन प्रयोग गर्ने प्रविधिहरूबारे छलफल गरौं:
एन्टिभाइरस स्क्यानिङ भाइरस पत्ता लगाउने सबैभन्दा सजिलो र छिटो विधि हो। यसले भाइरसहरू पत्ता लगाउँदछ जुन एन्टिभाइरस डाटाबेसमा समावेश गरिएका हस्ताक्षरहरूसँग पूर्ण रूपमा मेल खान्छ।

ग्रेवेयर स्क्यान वा अनावश्यक प्रोग्राम स्क्यानिङ - यो प्रविधिले प्रयोगकर्ताको ज्ञान वा सहमति बिना स्थापना गरिएका अनावश्यक कार्यक्रमहरू पत्ता लगाउँदछ। प्राविधिक रूपमा, यी कार्यक्रमहरू भाइरसहरू होइनन्। तिनीहरू सामान्यतया अन्य कार्यक्रमहरूसँग बन्डल हुन्छन्, तर जब स्थापना हुन्छ तिनीहरूले प्रणालीलाई नकारात्मक रूपमा असर गर्छ, त्यसैले तिनीहरू मालवेयरको रूपमा वर्गीकृत हुन्छन्। प्राय: यस्ता कार्यक्रमहरू फोर्टिगार्ड अनुसन्धान आधारबाट साधारण ग्रेवेयर हस्ताक्षरहरू प्रयोग गरेर पत्ता लगाउन सकिन्छ।

Heuristic स्क्यानिङ - यो प्रविधि सम्भावनाहरूमा आधारित छ, त्यसैले यसको प्रयोगले गलत सकारात्मक प्रभावहरू निम्त्याउन सक्छ, तर यसले शून्य दिन भाइरसहरू पनि पत्ता लगाउन सक्छ। शून्य दिन भाइरसहरू नयाँ भाइरसहरू हुन् जुन अहिलेसम्म अध्ययन गरिएको छैन, र तिनीहरूलाई पत्ता लगाउन सक्ने कुनै हस्ताक्षरहरू छैनन्। पूर्वनिर्धारित रूपमा Heuristic स्क्यानिङ सक्षम गरिएको छैन र कमाण्ड लाइनमा सक्षम हुनुपर्छ।

यदि सबै एन्टिभाइरस क्षमताहरू सक्षम छन् भने, फोर्टिगेटले तिनीहरूलाई निम्न क्रममा लागू गर्दछ: एन्टिभाइरस स्क्यानिङ, ग्रेवेयर स्क्यानिङ, हेरिस्टिक स्क्यानिङ।

फोर्टिगेटले कार्यहरूमा निर्भर गर्दै धेरै एन्टिभाइरस डाटाबेसहरू प्रयोग गर्न सक्छ:

• सामान्य एन्टिभाइरस डाटाबेस (सामान्य) - सबै फोर्टिगेट मोडेलहरूमा समावेश छ। यसमा हालैका महिनाहरूमा पत्ता लागेका भाइरसहरूका लागि हस्ताक्षरहरू समावेश छन्। यो सबैभन्दा सानो एन्टिभाइरस डाटाबेस हो, त्यसैले यो प्रयोग गर्दा सबैभन्दा छिटो स्क्यान गर्दछ। यद्यपि, यो डाटाबेसले सबै ज्ञात भाइरसहरू पत्ता लगाउन सक्दैन।
• विस्तारित - यो आधार धेरै फोर्टिगेट मोडेलहरू द्वारा समर्थित छ। यो अब सक्रिय नभएका भाइरसहरू पत्ता लगाउन प्रयोग गर्न सकिन्छ। धेरै प्लेटफर्महरू अझै पनि यी भाइरसहरूको लागि कमजोर छन्। साथै, यी भाइरसहरूले भविष्यमा समस्या निम्त्याउन सक्छ।
• र अन्तिम, चरम आधार (चरम) - उच्च स्तरको सुरक्षा आवश्यक पर्ने पूर्वाधारहरूमा प्रयोग गरिन्छ। यसको मद्दतले, तपाईले सबै ज्ञात भाइरसहरू पत्ता लगाउन सक्नुहुन्छ, पुरानो अपरेटिङ सिस्टमहरूमा लक्षित भाइरसहरू सहित, जुन अहिले व्यापक रूपमा वितरण गरिएको छैन। यस प्रकारको हस्ताक्षर डाटाबेस सबै फोर्टिगेट मोडेलहरू द्वारा समर्थित छैन।

द्रुत स्क्यानिङको लागि डिजाइन गरिएको कम्प्याक्ट हस्ताक्षर डाटाबेस पनि छ। हामी यसको बारेमा केहि पछि कुरा गर्नेछौं।

तपाईं विभिन्न विधिहरू प्रयोग गरेर एन्टिभाइरस डाटाबेस अद्यावधिक गर्न सक्नुहुन्छ।

पहिलो विधि पुश अपडेट हो, जसले फोर्टिगार्ड अनुसन्धान डाटाबेसले अपडेट जारी गर्ने बित्तिकै डाटाबेसहरूलाई अद्यावधिक गर्न अनुमति दिन्छ। यो उच्च स्तरको सुरक्षा चाहिने पूर्वाधारहरूको लागि उपयोगी छ, किनकि FortiGate ले तत्काल अद्यावधिकहरू उपलब्ध हुने बित्तिकै प्राप्त गर्नेछ।

दोस्रो विधि भनेको तालिका तय गर्नु हो। यस तरिकाले तपाइँ हरेक घण्टा, दिन वा हप्ता अपडेटहरू जाँच गर्न सक्नुहुन्छ। त्यो हो, यहाँ समय दायरा तपाईंको विवेकमा सेट गरिएको छ।
यी विधिहरू सँगै प्रयोग गर्न सकिन्छ।

तर तपाईंले ध्यानमा राख्नु पर्छ कि अद्यावधिकहरू बनाउनको लागि, तपाईंले कम्तिमा एउटा फायरवाल नीतिको लागि एन्टिभाइरस प्रोफाइल सक्षम गर्नुपर्छ। अन्यथा, अद्यावधिकहरू बनाइनेछैन।

तपाईं फोर्टिनेट समर्थन साइटबाट अद्यावधिकहरू डाउनलोड गर्न सक्नुहुन्छ र त्यसपछि तिनीहरूलाई म्यानुअल रूपमा फोर्टिगेटमा अपलोड गर्न सक्नुहुन्छ।

स्क्यानिङ मोडहरू हेरौं। त्यहाँ तीनवटा मात्र छन् - फ्लो आधारित मोडमा पूर्ण मोड, फ्लो आधारित मोडमा द्रुत मोड, र प्रोक्सी मोडमा पूर्ण मोड। फ्लो मोडमा फुल मोडबाट सुरु गरौं।

मानौं प्रयोगकर्ताले फाइल डाउनलोड गर्न चाहन्छ। उसले अनुरोध पठाउँछ। सर्भरले उसलाई फाइल बनाउने प्याकेटहरू पठाउन थाल्छ। प्रयोगकर्ताले तुरुन्तै यी प्याकेजहरू प्राप्त गर्दछ। तर प्रयोगकर्तालाई यी प्याकेटहरू डेलिभर गर्नु अघि, फोर्टिगेटले तिनीहरूलाई क्यास गर्दछ। FortiGate ले अन्तिम प्याकेट प्राप्त गरेपछि, यसले फाइल स्क्यान गर्न थाल्छ। यस समयमा, अन्तिम प्याकेट लामबद्ध छ र प्रयोगकर्तालाई प्रसारण गरिएको छैन। यदि फाइलमा भाइरसहरू छैनन् भने, नवीनतम प्याकेट प्रयोगकर्तालाई पठाइन्छ। यदि भाइरस पत्ता लाग्यो भने, फोर्टिगेटले प्रयोगकर्तासँगको जडान तोड्छ।

फ्लो बेस्डमा उपलब्ध दोस्रो स्क्यानिङ मोड द्रुत मोड हो। यसले कम्प्याक्ट हस्ताक्षर डाटाबेस प्रयोग गर्दछ, जसमा नियमित डाटाबेस भन्दा कम हस्ताक्षरहरू समावेश हुन्छन्। यसमा पूर्ण मोडको तुलनामा केही सीमितताहरू पनि छन्:

• यसले स्यान्डबक्समा फाइलहरू पठाउन सक्दैन
• यसले ह्युरिस्टिक विश्लेषण प्रयोग गर्न सक्दैन
• साथै यसले मोबाइल मालवेयरसँग सम्बन्धित प्याकेजहरू प्रयोग गर्न सक्दैन
• केही प्रविष्टि स्तर मोडेलहरूले यो मोडलाई समर्थन गर्दैनन्।

द्रुत मोडले भाइरस, वर्म, ट्रोजन र मालवेयरको लागि ट्राफिक जाँच गर्दछ, तर बफरिङ बिना। यसले राम्रो प्रदर्शन प्रदान गर्दछ, तर एकै समयमा भाइरस पत्ता लगाउने सम्भावना कम हुन्छ।

प्रोक्सी मोडमा, उपलब्ध स्क्यानिङ मोड मात्र फुल मोड हो। यस्तो स्क्यानको साथ, फोर्टिगेटले पहिले सम्पूर्ण फाइल आफैमा भण्डार गर्दछ (जबसम्म, स्क्यानिङको लागि अनुमतियोग्य फाइल आकार नाघिसकेको छ)। ग्राहकले स्क्यान पूरा हुनको लागि कुर्नु पर्छ। यदि स्क्यानिङको क्रममा भाइरस पत्ता लाग्यो भने, प्रयोगकर्तालाई तुरुन्तै सूचित गरिनेछ। किनभने FortiGate ले पहिले सम्पूर्ण फाइल बचत गर्छ र त्यसपछि यसलाई स्क्यान गर्दछ, यसले धेरै लामो समय लिन सक्छ। यस कारणले गर्दा, ग्राहकले लामो ढिलाइको कारण फाइल प्राप्त गर्नु अघि जडान समाप्त गर्न सम्भव छ।

तलको चित्रले स्क्यानिङ मोडहरूको लागि तुलना तालिका देखाउँछ - यसले तपाइँलाई तपाइँको कार्यहरूको लागि कुन प्रकारको स्क्यानिङ उपयुक्त छ भनेर निर्धारण गर्न मद्दत गर्नेछ। सेटअप र एन्टिभाइरसको कार्यक्षमता जाँच लेखको अन्त्यमा भिडियोमा अभ्यासमा छलफल गरिएको छ।

पाठको दोस्रो भागमा जाऔं - घुसपैठ रोकथाम प्रणाली। तर IPS को अध्ययन सुरु गर्नको लागि, तपाईंले शोषण र विसंगतिहरू बीचको भिन्नता बुझ्न आवश्यक छ, र फोर्टिगेटले तिनीहरूबाट जोगाउन प्रयोग गर्ने संयन्त्रहरू पनि बुझ्नुपर्छ।

शोषणहरू IPS, WAF, वा एन्टिभाइरस हस्ताक्षरहरू प्रयोग गरेर पत्ता लगाउन सकिने विशिष्ट ढाँचाहरू भएका आक्रमणहरू हुन्।

विसंगतिहरू नेटवर्कमा असामान्य व्यवहार हुन्, जस्तै असामान्य रूपमा ठूलो मात्रामा ट्राफिक वा सामान्य CPU खपत भन्दा बढी। विसंगतिहरू अनुगमन गर्न आवश्यक छ किनभने तिनीहरू नयाँ, अनपेक्षित आक्रमणको संकेत हुन सक्छन्। विसंगतिहरू सामान्यतया व्यवहार विश्लेषण प्रयोग गरेर पत्ता लगाइन्छ - तथाकथित दर-आधारित हस्ताक्षरहरू र DoS नीतिहरू।

फलस्वरूप, FortiGate मा IPS ले ज्ञात आक्रमणहरू पत्ता लगाउन हस्ताक्षर आधारहरू प्रयोग गर्दछ, र विभिन्न विसंगतिहरू पत्ता लगाउन दर-आधारित हस्ताक्षर र DoS नीतिहरू।

पूर्वनिर्धारित रूपमा, फोर्टिगेट अपरेटिङ सिस्टमको प्रत्येक संस्करणमा IPS हस्ताक्षरहरूको प्रारम्भिक सेट समावेश गरिएको छ। अपडेटहरूको साथ, फोर्टिगेटले नयाँ हस्ताक्षरहरू प्राप्त गर्दछ। यसरी, IPS नयाँ शोषणहरू विरुद्ध प्रभावकारी रहन्छ। FortiGuard ले IPS हस्ताक्षरहरू प्राय: अपडेट गर्दछ।

IPS र एन्टिभाइरस दुवैमा लागू हुने एउटा महत्त्वपूर्ण बिन्दु यो हो कि यदि तपाइँको इजाजतपत्रको म्याद सकिएको छ भने, तपाइँ अझै पनि प्राप्त गरिएका नवीनतम हस्ताक्षरहरू प्रयोग गर्न सक्नुहुन्छ। तर तपाईले इजाजतपत्र बिना नयाँ प्राप्त गर्न सक्नुहुन्न। तसर्थ, इजाजतपत्रहरूको अनुपस्थिति अत्यन्तै अवांछनीय छ - यदि नयाँ आक्रमणहरू देखा पर्छन् भने, तपाईं पुरानो हस्ताक्षरहरूसँग आफूलाई सुरक्षित गर्न सक्षम हुनुहुने छैन।

IPS हस्ताक्षर डाटाबेस नियमित र विस्तारित मा विभाजित छन्। एक सामान्य डाटाबेसले साधारण आक्रमणहरूका लागि हस्ताक्षरहरू समावेश गर्दछ जुन विरलै वा कहिले पनि गलत सकारात्मकहरू उत्पन्न गर्दैन। यी अधिकांश हस्ताक्षरहरूको लागि पूर्व कन्फिगर गरिएको कार्य ब्लक हो।

विस्तारित डाटाबेसले अतिरिक्त आक्रमण हस्ताक्षरहरू समावेश गर्दछ जसले प्रणाली कार्यसम्पादनमा महत्त्वपूर्ण प्रभाव पार्छ, वा तिनीहरूको विशेष प्रकृतिको कारणले ब्लक गर्न सकिँदैन। यस डाटाबेसको साइजको कारण, यो सानो डिस्क वा RAM संग फोर्टिगेट मोडेलहरूमा उपलब्ध छैन। तर अत्यधिक सुरक्षित वातावरणको लागि, तपाईंले विस्तारित आधार प्रयोग गर्न आवश्यक पर्दछ।

IPS को कार्यक्षमता सेटअप र जाँच गर्ने बारे तलको भिडियोमा पनि छलफल गरिएको छ।

अर्को पाठमा हामी प्रयोगकर्ताहरूसँग काम गर्ने बारे हेर्नेछौं। यसलाई नछुटाउनको लागि, निम्न च्यानलहरूमा अद्यावधिकहरू पालना गर्नुहोस्:

• Youtube
• Vkontakte समुदाय
• Yandex Zen
• हाम्रो वेबसाइट
• टेलिग्राम च्यानल

स्रोत: www.habr.com