7. Фортинет Геттинг Стартед в6.0. Антивирус и ИПС

Велики поздрав! Добродошли на седму лекцију курса Фортинет Први кораци. Он Последња лекција упознали смо се са безбедносним профилима као што су Веб Филтрирање, Контрола апликација и ХТТПС инспекција. У овој лекцији наставићемо са нашим упознавањем са безбедносним профилима. Прво ћемо се упознати са теоријским аспектима рада антивирусног и система за спречавање упада, а затим ћемо погледати како ови безбедносни профили функционишу у пракси.

Почнимо са антивирусом. Прво, хајде да разговарамо о технологијама које ФортиГате користи за откривање вируса:
Антивирусно скенирање је најлакши и најбржи метод за откривање вируса. Он открива вирусе који се у потпуности подударају са потписима садржаним у антивирусној бази података.

Граиваре Сцан или скенирање нежељених програма – ова технологија открива нежељене програме који су инсталирани без знања или сагласности корисника. Технички, ови програми нису вируси. Обично долазе у пакету са другим програмима, али када се инсталирају негативно утичу на систем, због чега су класификовани као злонамерни софтвер. Често се такви програми могу открити коришћењем једноставних сивих потписа из истраживачке базе ФортиГуард.

Хеуристичко скенирање - ова технологија је заснована на вероватноћама, тако да њено коришћење може да изазове лажно позитивне ефекте, али такође може да открије вирусе нултог дана. Вируси нултог дана су нови вируси који још нису проучавани и не постоје потписи који би их могли открити. Хеуристичко скенирање није омогућено подразумевано и мора бити омогућено на командној линији.

Ако су све антивирусне могућности омогућене, ФортиГате их примењује следећим редоследом: антивирусно скенирање, скенирање сивог софтвера, хеуристичко скенирање.

ФортиГате може да користи неколико антивирусних база података, у зависности од задатака:

• Нормална антивирусна база података (Нормал) - садржана у свим ФортиГате моделима. Укључује потписе за вирусе који су откривени последњих месеци. Ово је најмања антивирусна база података, тако да најбрже скенира када се користи. Међутим, ова база података не може да открије све познате вирусе.
• Проширено - ову базу подржава већина ФортиГате модела. Може се користити за откривање вируса који више нису активни. Многе платформе су још увек рањиве на ове вирусе. Такође, ови вируси могу изазвати проблеме у будућности.
• И последња, екстремна база (Ектреме) - користи се у инфраструктурама где је потребан висок ниво безбедности. Уз његову помоћ можете открити све познате вирусе, укључујући вирусе усмерене на застареле оперативне системе, који тренутно нису широко распрострањени. Овај тип базе података потписа такође не подржавају сви ФортиГате модели.

Постоји и компактна база података потписа дизајнирана за брзо скенирање. Причаћемо о томе мало касније.

Антивирусне базе података можете ажурирати на различите начине.

Први метод је Пусх Упдате, који омогућава ажурирање база података чим истраживачка база података ФортиГуард објави ажурирање. Ово је корисно за инфраструктуре које захтевају висок ниво безбедности, пошто ће ФортиГате добијати хитна ажурирања чим буду доступна.

Други метод је постављање распореда. На овај начин можете да проверите да ли има ажурирања сваки сат, дан или недељу. То јест, овде се временски опсег поставља по вашем нахођењу.
Ове методе се могу користити заједно.

Али морате имати на уму да да бисте могли да ажурирате, морате да омогућите антивирусни профил за најмање једну смерницу заштитног зида. У супротном, ажурирања се неће вршити.

Такође можете преузети ажурирања са сајта за подршку Фортинет-а и затим их ручно отпремити на ФортиГате.

Хајде да погледамо режиме скенирања. Постоје само три од њих - пуни режим у режиму заснованом на протоку, брзи режим у режиму заснованом на протоку и пуни режим у режиму проксија. Почнимо са пуним режимом у режиму протока.

Рецимо да корисник жели да преузме датотеку. Он шаље молбу. Сервер почиње да му шаље пакете који чине датотеку. Корисник одмах добија ове пакете. Али пре него што испоручи ове пакете кориснику, ФортиГате их кешира. Након што ФортиГате прими последњи пакет, почиње да скенира датотеку. У овом тренутку, последњи пакет је у реду чекања и не преноси се кориснику. Ако датотека не садржи вирусе, кориснику се шаље најновији пакет. Ако се открије вирус, ФортиГате прекида везу са корисником.

Други режим скенирања доступан у Флов Басед је Куицк Моде. Користи компактну базу података потписа, која садржи мање потписа од обичне базе података. Такође има нека ограничења у поређењу са пуним режимом:

• Не може да шаље датотеке у сандбок
• Не може користити хеуристичку анализу
• Такође не може да користи пакете који се односе на мобилни малвер
• Неки модели почетног нивоа не подржавају овај режим.

Брзи режим такође проверава саобраћај на вирусе, црве, тројанце и малвер, али без баферовања. Ово обезбеђује боље перформансе, али је у исто време смањена вероватноћа откривања вируса.

У прокси режиму, једини доступан режим скенирања је пун режим. Са таквим скенирањем, ФортиГате прво чува целу датотеку на себи (осим ако, наравно, није прекорачена дозвољена величина датотеке за скенирање). Клијент мора да сачека да се скенирање заврши. Ако се током скенирања открије вирус, корисник ће одмах бити обавештен. Пошто ФортиГате прво чува целу датотеку, а затим је скенира, ово може потрајати доста времена. Због тога је могуће да клијент прекине везу пре него што прими датотеку због дугог кашњења.

На слици испод приказана је табела поређења за режиме скенирања - она ​​ће вам помоћи да одредите који тип скенирања је погодан за ваше задатке. Подешавање и провера функционалности антивируса у пракси се разматра у видео снимку на крају чланка.

Пређимо на други део лекције – систем за спречавање упада. Али да бисте почели да проучавате ИПС, морате да разумете разлику између експлоатације и аномалија, као и да разумете које механизме ФортиГате користи за заштиту од њих.

Експлоатације су познати напади са специфичним обрасцима који се могу открити коришћењем ИПС, ВАФ или антивирусних потписа.

Аномалије су необично понашање на мрежи, као што је неуобичајено велика количина саобраћаја или већа потрошња процесора од нормалне. Аномалије се морају пратити јер могу бити знаци новог, неистраженог напада. Аномалије се обично откривају коришћењем бихевиоралне анализе – такозваних потписа заснованих на стопи и ДоС политика.

Као резултат тога, ИПС на ФортиГате-у користи базе потписа за откривање познатих напада, а потписе засноване на брзини и ДоС политике за откривање различитих аномалија.

Подразумевано, почетни скуп ИПС потписа је укључен у сваку верзију оперативног система ФортиГате. Са ажурирањима, ФортиГате добија нове потписе. На овај начин, ИПС остаје ефикасан против нових експлоатација. ФортиГуард ажурира ИПС потписе прилично често.

Важна тачка која се односи и на ИПС и на антивирус је да ако су вам лиценце истекле, и даље можете да користите најновије примљене потписе. Али нећете моћи да набавите нове без лиценци. Због тога је одсуство лиценци крајње непожељно - ако се појаве нови напади, нећете моћи да се заштитите старим потписима.

ИПС базе података потписа деле се на редовне и проширене. Типична база података садржи потписе за уобичајене нападе који ретко или никада не изазивају лажне позитивне резултате. Унапред конфигурисана радња за већину ових потписа је блокирање.

Проширена база података садржи додатне потписе напада који имају значајан утицај на перформансе система или који се не могу блокирати због њихове посебне природе. Због величине ове базе података, она није доступна на ФортиГате моделима са малим диском или РАМ-ом. Али за високо безбедна окружења, можда ћете морати да користите проширену базу.

Подешавање и провера функционалности ИПС-а такође се говори у видео снимку испод.

У следећој лекцији ћемо се осврнути на рад са корисницима. Да га не бисте пропустили, пратите ажурирања на следећим каналима:

• иоутубе
• Вконтакте заједница
• Иандек Зен
• Наш сајт
• Телеграм канал

Извор: ввв.хабр.цом