VÀlkommen! Du har nu kommit till den sjunde lektionen av kursen . Vid Vi har blivit bekanta med sÀkerhetsprofiler som Web Filtering, Application Control och HTTPS-inspektion. I den hÀr lektionen kommer vi att fortsÀtta vÄr introduktion till sÀkerhetsprofiler. Först kommer vi att bekanta oss med de teoretiska aspekterna av antivirus och intrÄngsskyddssystem, och sedan kommer vi att se hur dessa sÀkerhetsprofiler fungerar i praktiken.
LÄt oss börja med antivirus. Först diskuterar vi de teknologier som FortiGate anvÀnder för att upptÀcka virus:
Antivirusgenomsökning Àr den enklaste och snabbaste metoden för att upptÀcka virus. Det identifierar virus som helt överensstÀmmer med signaturerna i antivirusdatabasen.
Grayware Scan eller genomsökning av oönskade program â denna teknologi identifierar oönskade program som installeras utan anvĂ€ndarens vetskap eller samtycke. Tekniskt sett Ă€r dessa program inte virus. De kommer vanligtvis tillsammans med andra program, men vid installation pĂ„verkar de systemet negativt, och dĂ€rför klassificeras de som skadlig programvara. Dessa program kan ofta upptĂ€ckas med hjĂ€lp av enkla grayware-signaturer frĂ„n FortiGuards forskningsdatabas.
Heuristisk genomsökning â denna teknologi baseras pĂ„ sannolikheter, sĂ„ dess anvĂ€ndning kan leda till falska positiva resultat, men den kan ocksĂ„ upptĂ€cka zero day-virus. Zero day-virus Ă€r nya virus som Ă€nnu inte har undersökts och för vilka det inte finns nĂ„gra signaturer som kan upptĂ€cka dem. Heuristisk genomsökning anvĂ€nds inte som standard och mĂ„ste aktiveras via kommandoraden.
Om alla antivirusfunktioner Àr aktiverade, tillÀmpar FortiGate dem i följande ordning: antivirusgenomsökning, grayware-genomsökning, heuristisk genomsökning.
FortiGate kan anvÀnda flera antivirusdatabaser beroende pÄ uppgifterna:
- Normal antivirusdatabas (Normal) â finns i alla FortiGate-modeller. Den innehĂ„ller signaturer för virus som har upptĂ€ckts under de senaste mĂ„naderna. Detta Ă€r den minsta antivirusdatabasen, sĂ„ nĂ€r den anvĂ€nds, genomförs genomsökningen snabbast. Men denna databas kan inte upptĂ€cka alla kĂ€nda virus.
- Extended (Extend) â denna databas stöds av de flesta FortiGate-modeller. Den gör det möjligt att upptĂ€cka virus som inte lĂ€ngre Ă€r aktiva. MĂ„nga plattformar Ă€r fortfarande sĂ„rbara för dessa virus. Dessa virus kan ocksĂ„ orsaka problem i framtiden.
- Och den sista, extrema databasen (Extreme) â anvĂ€nds i infrastrukturer dĂ€r en hög sĂ€kerhetsnivĂ„ krĂ€vs. Den gör det möjligt att upptĂ€cka alla kĂ€nda virus, inklusive virus som riktar sig mot förĂ„ldrade operativsystem, som för nĂ€rvarande inte Ă€r allmĂ€nt spridda. Denna typ av signaturdatabas stöds inte av alla FortiGate-modeller.
Det finns ocksÄ en kompakt signaturdatabas, avsedd för snabb skanning. Den kommer vi att diskutera lite senare.
Antivirusdatabaser kan uppdateras pÄ olika sÀtt.
Den första metoden â Push Update â gör det möjligt att uppdatera databaser sĂ„ snart FortiGuards forskningsdatabas slĂ€pper en uppdatering. Detta Ă€r anvĂ€ndbart för infrastrukturer som behöver en hög sĂ€kerhetsnivĂ„, eftersom FortiGate omedelbart fĂ„r akuta uppdateringar sĂ„ snart de Ă€r tillgĂ€ngliga.
Den andra metoden Àr att stÀlla in ett schema. PÄ sÄ sÀtt kan uppdateringar kontrolleras varje timme, dag eller vecka. Tidsintervallet sÀtts efter ditt val.
Dessa metoder kan anvÀndas tillsammans.
Men det Ă€r viktigt att ha i Ă„tanke â för att uppdateringar ska genomföras mĂ„ste antivirusprofilen aktiveras pĂ„ minst en brandvĂ€ggspolicy. Annars kommer uppdateringarna inte att göras.
Det Àr ocksÄ möjligt att ladda ner uppdateringar frÄn Fortinets supportwebbplats och sedan manuellt ladda upp dem till FortiGate.
LĂ„t oss titta pĂ„ skanningslĂ€gena. Det finns totalt tre â Full Mode i Flow Based-lĂ€ge, Quick Mode i Flow Based-lĂ€ge och Full Mode i proxy-lĂ€ge. Vi börjar med Full Mode i Flow-lĂ€get.
Anta att en anvÀndare vill ladda ner en fil. Han skickar en begÀran. Servern börjar skicka paket till honom som filen bestÄr av. AnvÀndaren fÄr dessa paket omedelbart. Men innan dessa paket överförs till anvÀndaren, cachar FortiGate dem. NÀr FortiGate har fÄtt det sista paketet börjar det skanna filen. Under tiden stÀlls det sista paketet i kö och överförs inte till anvÀndaren. Om filen inte innehÄller virus, skickas det sista paketet till anvÀndaren. Om ett virus upptÀcks - bryter FortiGate anslutningen till anvÀndaren.
Det andra skanningslÀget som finns i Flow Based - SnabblÀge. Det anvÀnder en kompakt signaturdatabas som innehÄller fÀrre signaturer Àn den vanliga databasen. Det har ocksÄ vissa begrÀnsningar i jÀmförelse med Full Mode:
- Det kan inte skicka filer till sandlÄdan.
- Det kan inte anvÀnda heuristisk analys.
- Det kan heller inte anvÀnda paket som Àr kopplade till mobila skadliga program.
- Vissa entry level-modeller stöder inte detta lÀge.
SnabblÀge kontrollerar ocksÄ trafiken för virus, maskar, trojaner och skadliga program, men utan buffring. Detta ger bÀttre prestanda, men minskar samtidigt sannolikheten för att upptÀcka virus.
I Proxy-lÀge finns det endast ett skanningslÀge - Full Mode. Vid sÄdan skanning sparar FortiGate först hela filen hos sig sjÀlvt (om den inte överskrider den tillÄtna storleken för skanning). Klienten mÄste vÀnta tills skanningen Àr klar. Om ett virus upptÀckts under skanningen kommer anvÀndaren att meddelas omedelbart. Eftersom FortiGate först sparar hela filen och sedan skannar den, kan detta ta ganska lÄng tid. PÄ grund av detta kan klienten avsluta anslutningen innan filen mottas pÄ grund av lÄng fördröjning.
I följande bild presenteras en jÀmförande tabell för skanningslÀgena - den kommer hjÀlpa dig att avgöra vilket typ av skanning som passar dina behov. InstÀllning och test av antivirusets funktionalitet har behandlats praktiskt i videon i slutet av artikeln.
LĂ„t oss gĂ„ vidare till den andra delen av lektionen â systemet för intrĂ„ngsskydd. Men innan vi börjar studera IPS, mĂ„ste vi förstĂ„ skillnaden mellan exploits och anomalier, samt vilka mekanismer FortiGate anvĂ€nder för att skydda mot dem.
Exploits Àr kÀnda attacker med specifika mönster som kan upptÀckas av IPS, WAF eller antivirus-signaturer.
Anomalier Ă€r ovanligt beteende i nĂ€tverket, som till exempel en ovanligt stor mĂ€ngd trafik eller högre CPU-anvĂ€ndning Ă€n vanligt. Anomalier mĂ„ste övervakas eftersom de kan vara tecken pĂ„ en ny, Ă€nnu oupptĂ€ckt attack. Anomalier upptĂ€ckts vanligtvis med beteendeanalys â sĂ„ kallade rate-based signaturer och DoS-policys.
Sammanfattningsvis anvÀnder IPS pÄ FortiGate signaturdatabaser för att upptÀcka kÀnda attacker samt rate-based signaturer och DoS-policys för att identifiera olika anomalier.
Som standard Àr den initiala uppsÀttningen av IPS-signaturer inkluderad i varje version av FortiGate-operativsystemet. Genom uppdateringar fÄr FortiGate nya signaturer. PÄ sÄ sÀtt förblir IPS effektiv mot nya exploits. FortiGuard-tjÀnsten uppdaterar IPS-signaturerna ganska ofta.
En viktig punkt som gĂ€ller bĂ„de IPS och antivirus Ă€r att om dina licenser har löpt ut, kan du fortfarande anvĂ€nda de senaste erhĂ„llna signaturerna. Men du kan inte fĂ„ nya utan licenser. DĂ€rför Ă€r avsaknaden av licenser mycket oönskad â nĂ€r nya attacker dyker upp kan du inte skydda dig med gamla signaturer.
Databaser för IPS-signaturer delas in i vanlig och avancerad. Den vanliga databasen innehÄller signaturer för vanliga attacker som mycket sÀllan eller inte alls orsakar falska positiva reaktioner. Den förinstÀllda ÄtgÀrden för de flesta av dessa signaturer Àr blockering.
Den avancerade databasen innehÄller ytterligare signaturer för attacker som starkt pÄverkar systemets prestanda, eller som inte kan blockeras pÄ grund av deras speciella natur. PÄ grund av storleken pÄ denna databas Àr den inte tillgÀnglig för FortiGate-modeller med liten lagringskapacitet eller RAM. Men för högt skyddade miljöer kan det vara nödvÀndigt att anvÀnda den avancerade databasen.
Konfiguration och test av IPS diskuteras ocksÄ i videon nedan.
I nÀsta lektion kommer vi att gÄ igenom hur man arbetar med anvÀndare. För att inte missa den, följ uppdateringarna pÄ följande kanaler:
KĂ€lla: habr.com
