Hei! Velkommen til den syvende leksjonen i kurset . PÄ vi har blitt kjent med sikkerhetsprofiler som Web Filtering, Application Control og HTTPS-inspeksjon. I denne leksjonen vil vi fortsette med Ä utforske sikkerhetsprofiler. FÞrst vil vi se nÊrmere pÄ de teoretiske aspektene ved antivirus og inntrengingsforebyggende systemer, og deretter vil vi se hvordan disse sikkerhetsprofilene fungerer i praksis.
La oss begynne med antivirus. FĂžrst vil vi diskutere teknologiene som FortiGate bruker for Ă„ oppdage virus:
Antivirus scanning er den enkleste og raskeste metoden for Ă„ oppdage virus. Den identifiserer virus som helt samsvarer med signaturene som finnes i antivirusdatabasen.
Grayware Scan, eller skanning av uÞnskede programmer, er en teknologi som identifiserer programvare som installeres uten brukerens viten eller samtykke. Teknisk sett er disse programmene ikke virus. De kommer ofte med andre programmer, men ved installasjon pÄvirker de systemet negativt, og derfor klassifiseres de som skadelig programvare. Slike programmer kan ofte oppdages ved hjelp av enkle grayware-signaturer fra FortiGuards forskningsbase.
Heuristisk scanning er en teknologi basert pÄ sannsynligheter, sÄ bruken kan fÞre til falske positiver. Imidlertid kan den ogsÄ oppdage zero-day virus. Zero-day virus er nye virus som ennÄ ikke er blitt undersÞkt, og hvor det ikke finnes signaturer for Ä oppdage dem. Heuristisk scanning er ikke aktivert som standard, og mÄ aktiveres i kommandolinjen.
NĂ„r alle funksjoner i antiviruset er aktivert, bruker FortiGate dem i fĂžlgende rekkefĂžlge: antivirus scanning, grayware scanning, heuristisk scanning.
FortiGate kan bruke flere antivirusdatabaser, avhengig av oppgavene:
- Normal antivirusdatabase (Normal) â finnes i alle modeller av FortiGate. Den inkluderer signaturer for virus som har blitt oppdaget de siste mĂ„nedene. Dette er den minste antivirusdatabasen, sĂ„ skanningen utfĂžres raskest med den. Imidlertid kan denne databasen ikke oppdage alle kjente virus.
- Utvidet (Extend) - denne databasen stÞttes av de fleste FortiGate-modeller. Med den kan man oppdage virus som ikke lenger er aktive. Mange plattformer er fortsatt sÄrbare for disse virusene. Disse virusene kan ogsÄ forÄrsake problemer i fremtiden.
- Og den siste, ekstreme databasen (Extreme) - brukes i infrastrukturer der et hÞyt sikkerhetsnivÄ er nÞdvendig. Med den kan man oppdage alle kjente virus, inkludert virus som er mÄlrettet mot utdaterte operativsystemer som for Þyeblikket ikke er mye utbredt. Denne typen signaturdatabase stÞttes heller ikke av alle FortiGate-modeller.
Det finnes ogsÄ en kompakt signaturdatabase designet for rask skanning. Den vil vi snakke om litt senere.
Antivirusdatabasene kan oppdateres pÄ forskjellige mÄter.
Den fÞrste metoden - Push Update - lar deg oppdatere databasene sÄ snart forskningsdatabasen FortiGuard slipper en oppdatering. Dette er nyttig for infrastrukturer som trenger et hÞyt sikkerhetsnivÄ, siden FortiGate vil motta presserende oppdateringer umiddelbart etter at de er tilgjengelige.
Den andre metoden er Ä sette opp en tidsplan. PÄ den mÄten kan oppdateringer sjekkes hver time, dag eller uke. Det vil si at tidsintervallet settes etter eget Þnske.
Disse metodene kan brukes sammen.
Men det er viktig Ä huske - for at oppdateringer skal finne sted, mÄ antivirusprofilen vÊre aktivert pÄ minst én brannmurpolitikk. Ellers vil oppdateringer ikke bli utfÞrt.
Du kan ogsÄ laste ned oppdateringer fra Fortinets stÞtteside, og deretter laste dem opp manuelt til FortiGate.
La oss se pÄ skannemodusene. Det finnes tre moduser - Full Mode i Flow Based-modus, Quick Mode i Flow Based-modus, og Full Mode i proxy-modus. Vi starter med Full Mode i Flow-modus.
La oss si at brukeren Þnsker Ä laste ned en fil. Han sender en forespÞrsel. Serveren begynner Ä sende ham pakkene som filen bestÄr av. Brukeren mottar disse pakkene umiddelbart. Men fÞr pakkene overfÞres til brukeren, cacher FortiGate dem. NÄr FortiGate mottar den siste pakken, begynner den Ä skanne filen. I lÞpet av denne tiden settes den siste pakken i kÞ og sendes ikke til brukeren. Hvis filen ikke inneholder virus, sendes den siste pakken til brukeren. Hvis et virus blir oppdaget, bryter FortiGate forbindelsen med brukeren.
Den andre skanningsmodusen, tilgjengelig i Flow Based, er Quick Mode. Den bruker en kompakt signaturdatabase som har fÊrre signaturer enn vanlig database. Den har ogsÄ noen begrensninger sammenlignet med Full Mode:
- Den kan ikke sende filer til sandkassen.
- Den kan ikke bruke heuristisk analyse.
- Den kan heller ikke bruke pakker relatert til mobile skadelig programmer.
- Noen entry level modeller stĂžtter ikke denne modusen.
Quick mode sjekker ogsÄ trafikken for virus, ormer, trojanere og skadelig programvare, men uten buffer. Dette gir bedre ytelse, men samtidig reduseres sannsynligheten for Ä oppdage virus.
I Proxy-modus er det tilgjengelig kun Ă©n skanningsmodus â Full Mode. Ved denne skanningen lagrer FortiGate fĂžrst hele filen pĂ„ sin egen side (med mindre den tillatte filstĂžrrelsen for skanning overskrides). Klienten mĂ„ vente til skanningen er fullfĂžrt. Hvis det oppdages et virus under skanningen, vil brukeren bli varslet umiddelbart. Siden FortiGate fĂžrst lagrer hele filen og deretter skanner den, kan det ta ganske lang tid, og pĂ„ klientens side kan det vĂŠre en avslutning av tilkoblingen fĂžr filen mottas pĂ„ grunn av lang forsinkelse.
Nedenfor er en sammenligningstabell for skanningsmodi â den vil hjelpe deg Ă„ avgjĂžre hvilken type skanning som passer til dine behov. Oppsett og testing av antivirus er omtalt i videoen pĂ„ slutten av artikkelen.
La oss gĂ„ videre til den andre delen av leksjonen â systemet for inntrengningsforebygging. Men for Ă„ begynne Ă„ studere IPS, mĂ„ vi forstĂ„ forskjellen mellom exploits og anomalier, samt forstĂ„ hvilke mekanismer FortiGate bruker for Ă„ beskytte mot dem.
Exploits er kjente angrep med spesifikke mĂžnstre som kan oppdages med IPS, WAF eller antivirus-signaturer.
Anomalier er uvanlig atferd i nettverket, som for eksempel en unormalt hĂžy mengde trafikk eller hĂžyere CPU-forbruk enn vanlig. Anomalier mĂ„ overvĂ„kes, da de kan vĂŠre tegn pĂ„ et nytt, ennĂ„ uutforsket angrep. Anomalier oppdages vanligvis ved hjelp av atferdsanalyse â sĂ„kalte rate-based signaturer og DoS-politikker.
Til slutt â IPS pĂ„ FortiGate bruker signaturdatabaser for Ă„ oppdage kjente angrep, samt Rate-Based signaturer og DoS-politikker for Ă„ oppdage ulike anomalier.
Som standard er det grunnleggende settet med IPS-signaturer aktivert i hver versjon av FortiGate-operativsystemet. Gjennom oppdateringer fÄr FortiGate nye signaturer. Dermed forblir IPS effektivt mot nye exploits. FortiGuard-tjenesten oppdaterer IPS-signaturene ganske ofte.
Et viktig punkt som gjelder bĂ„de IPS og antivirus er â hvis lisensene dine har utlĂžpt, kan du fortsatt bruke de siste mottatte signaturene. Men du vil ikke kunne fĂ„ nye uten lisenser. Derfor er det svĂŠrt uĂžnsket Ă„ mangle lisenser â nĂ„r nye angrep oppstĂ„r, kan du ikke beskytte deg med gamle signaturer.
IPS-signaturdatabasene deles inn i vanlig og utvidet. Den vanlige databasen inneholder signaturer for vanlige angrep som sjelden eller aldri utlÞser feil. Den forhÄndsinnstilte handlingen for de fleste av disse signaturene er blokkering.
Den utvidede databasen inneholder ekstra angrepssignaturer som har betydelig innvirkning pÄ systemets ytelse, eller som ikke kan blokkeres pÄ grunn av deres spesielle natur. PÄ grunn av stÞrrelsen pÄ denne databasen er den ikke tilgjengelig for FortiGate-modeller med lite lagringsminne eller RAM. Men for hÞysikrede miljÞer kan det vÊre nÞdvendig Ä bruke den utvidede databasen.
Innstilling og testing av IPS-funksjonalitet er ogsÄ behandlet i videoen nedenfor.
I neste leksjonen skal vi se pÄ hvordan man jobber med brukere. For Ä ikke gÄ glipp av det, fÞlg med pÄ oppdateringer pÄ fÞlgende kanaler:
Kilde: habr.com
Russian
Italian
German
Polish
Estonian
Albanian
Bulgarian
Croatian
Czech
Danish
Dutch
English
French
Hungarian
Latvian
Norwegian
Portuguese
Romanian
Slovak
Slovenian
Spanish
Swedish