5. अधिकतम करने के लिए बिंदु की जाँच करें। आईपीएस। भाग 1

चेक प्वाइंट ट्यूटोरियल्स की हमारी श्रृंखला को जारी रखना। इस बार हम अपने पसंदीदा विषयों में से एक पर चर्चा करेंगे, जिसका नाम IPS (घुसपैठ रोकथाम प्रणाली) है । रूसी में - एक घुसपैठ की रोकथाम प्रणाली। इसके अलावा, रोकथाम (यानी रोकथाम) पर जोर दिया गया है! चेक प्वाइंट के मुख्य प्रमाणों में से एक है: “ हम रोकते हैं, पता नहीं लगाते हैं! "। व्यक्तिगत रूप से, मैं इस स्थिति से सहमत हूं। उदाहरण के लिए, यदि आप एक एनकाउंटर द्वारा हमला किया गया था, तो पता लगाने का क्या उपयोग है? एक एन्क्रिप्टेड कंप्यूटर आपको बताएगा कि कोई हमला हुआ था। वर्तमान वास्तविकताओं में रोकथाम को ध्यान में रखना आवश्यक है। और यहाँ IPS बहुत अच्छी तरह से मदद कर सकता है।

हालाँकि, हाल ही में संरक्षण के इस वर्ग की कुछ उपेक्षा हुई है, यह कहते हुए कि " IPS अब प्रासंगिक नहीं है और इसका उपयोग करने का कोई मतलब नहीं है ।" मेरी राय में, यह राय एक अक्षम्य गलती है। वास्तव में इस पाठ में मैं IPS के बारे में मुख्य मौजूदा गलत धारणाओं का वर्णन करने का प्रयास करूंगा। फिर, लैब के हिस्से के रूप में, मैं आपको दिखाता हूं कि IPS आपके नेटवर्क की सुरक्षा को मजबूत करने में कैसे मदद करता है। और निश्चित रूप से मैं आपको यह बताने की कोशिश करूंगा कि इस उपयोगी टूल का सबसे अधिक लाभ कैसे प्राप्त किया जा सकता है, आईपीएस सहित आपको किन बातों पर ध्यान देना चाहिए और किन बातों को याद रखना चाहिए।

सबक बहुत लंबा निकला, इसलिए मैंने इसे दो भागों में तोड़ दिया। पहला भाग विशुद्ध रूप से सैद्धांतिक होगा, और दूसरा पहले से ही प्रयोगशाला कार्य के रूप में अभ्यास के लिए पूरी तरह से समर्पित है। उम्मीद है कि यह दिलचस्प होगा।

स्पॉयलर - लेख के अंत में, एक वीडियो पाठ यदि यह पढ़ने के बजाय किसी को देखने के लिए अधिक सुविधाजनक है।

आईपीएस का संक्षिप्त इतिहास

मैं कुछ ऐतिहासिक विशेषताओं के साथ शुरुआत करना चाहूंगा। वास्तव में, IPS IDS ( घुसपैठ का पता लगाने वाला सिस्टम - घुसपैठ का पता लगाने वाला सिस्टम या SOV का एक विशेष मामला है, क्योंकि इसे संक्षेप में रूस में कहा जाता है)।

एक आईडी बनाने का विचार जेम्स एंडरसन द्वारा " कंप्यूटर सुरक्षा खतरा निगरानी और निगरानी " लेख के प्रकाशन के बाद 1980 में आया था ! एक मनोरंजक लेख और इस दिन के लिए सबसे महत्वपूर्ण रूप से प्रासंगिक।

6 साल बाद, 1986 में , डोरोथी डेनिंग और पीटर न्यूमैन ने आईडीएस का पहला सैद्धांतिक मॉडल प्रकाशित किया, जो शायद अभी भी आधुनिक प्रणालियों का आधार है। इसके अलावा, कुछ अलग घटनाक्रम थे, लेकिन उनमें से सभी मूल रूप से तीन घुसपैठ का पता लगाने के तरीकों का उपयोग करके उबले हुए थे:

• हस्ताक्षर विश्लेषण
• हेयुरिस्टिक विश्लेषण;
• विसंगति का पता लगाना।

शायद IDS के विकास में महत्वपूर्ण क्षणों में से एक 1998 में libpcap लाइब्रेरी का उद्भव था । नेशनल लेबोरेटरी से उसके लोगों द्वारा विकसित किया गया। बर्कले में लॉरेंस। उसी वर्ष, एपीई पैकेट स्निफर को लीबपैक पैकेज का उपयोग करके विकसित किया गया था। एक महीने बाद, एपीई को प्रसिद्ध स्नॉर्ट का नाम दिया गया। स्नॉर्ट के लेखक मार्टिन रोश हैं ।

सोर्सफायर को बाद में (2001 में) स्थापित किया गया था और स्नॉर्ट परियोजना ने सोर्सफायर के हिस्से के रूप में तेजी से विकास जारी रखा और आईडीएस समाधानों के बीच मानक बन गया। स्नॉर्ट एक खुला स्रोत है, जो सूचना सुरक्षा समाधानों (विशेष रूप से घरेलू कंपनियों) के अधिकांश आधुनिक निर्माताओं द्वारा उपयोग किया जाता है।

2003 में , गार्टनर ने आईडीएस की अक्षमता और आईपीएस सिस्टम पर स्विच करने की आवश्यकता पर ध्यान दिया (यानी, रोकने के लिए डिटेक्टर बदल दें)। उसके बाद, आईडीएस डेवलपर्स ने अपने समाधान को आईपीएस मोड से लैस करना शुरू किया। स्नॉर्ट स्वाभाविक रूप से आईडीएस और आईपीएस मोड में (यानी रोकने के लिए) दोनों काम कर सकता है।

बेशक, यह एक अन्य ओपन सोर्स प्रोजेक्ट - सुरिकाता के तेजी से विकास के लिए भी ध्यान देने योग्य है। इस परियोजना की स्थापना स्नॉर्ट के प्रवासियों ने की थी। पहली बीटा रिलीज़ 2009 में हुई थी। विकास के लिए जिम्मेदार ओपन इंफॉर्मेशन सिक्योरिटी फाउंडेशन (OISF) है। फिलहाल, सुरिकता एक बहुत लोकप्रिय समाधान है (हालांकि यह लोकप्रियता में अभी भी हीनता से हीन है)। वास्तव में, वे अक्सर एक साथ उपयोग किए जाते हैं।

2013 में , सिस्को द्वारा Sourcefire का अधिग्रहण किया गया था। उसी समय, स्नॉर्ट एक ओपन सोर्स प्रोजेक्ट बना हुआ है, और इसका व्यावसायिक संस्करण सिस्को फायरपावर ब्रांड के तहत बेचा जाता है। आपकी अनुमति से, हम स्वतंत्र और मालिकाना संस्करणों के बीच के अंतर के बारे में बात नहीं करेंगे। एक दिलचस्प बिंदु। 2005 में वापस, चेक प्वाइंट ने $ 225 मिलियन के लिए सोर्सफायर खरीदने की कोशिश की, लेकिन अमेरिकी सरकार ने इस सौदे को मंजूरी नहीं दी। और जैसा कि मैंने पहले कहा, सिस्को ने 2013 में SourceFire को $ 2.7 बिलियन में खरीदा। 8 साल के लिए अच्छी कीमत में वृद्धि) 12 से अधिक बार।

स्वाभाविक रूप से, मैंने समाधानों का केवल एक छोटा सा हिस्सा सूचीबद्ध किया। उसी समय, वाणिज्यिक स्वामित्व समाधानों की एक बड़ी संख्या विकसित हुई (चेक प्वाइंट उनमें से एक है)। सबसे अधिक बार, आईपीएस एक UTM या NGFW समाधान का हिस्सा था, कम अक्सर हार्डवेयर के एक स्टैंड-अलोन टुकड़े के रूप में (सिस्को IPS एक प्रमुख उदाहरण है)।

कॉर्पोरेट नेटवर्क में IPS

अब, यदि आप कॉर्पोरेट नेटवर्क में IPS समाधानों के वितरण के इतिहास को छूते हैं, तो आपको निम्नलिखित चित्र मिलते हैं:



2000 के दशक की शुरुआत में, कंपनियों को सुरक्षा समाधानों के इस नए वर्ग पर बहुत संदेह था। ज्यादातर लोगों को लगा कि IPS किसी तरह की विदेशी चीज है जिसकी वास्तव में जरूरत नहीं थी।
2005 के बाद, बहुमत को आईपीएस के लाभ और आवश्यकता का एहसास हुआ। दुनिया भर में कार्यान्वयन का उछाल शुरू हो गया है।

2010 तक, IPS कॉर्पोरेट नेटवर्क की सुरक्षा के लिए वास्तविक वास्तविक मानक उपकरण बन गया था।

2015 के करीब, आईपीएस बाजार अपेक्षाकृत ठंडा हो गया है। IPS लगभग सभी UTM / NGFW समाधानों में मानक था। सभी ने सिएम में स्विच किया, लक्षित हमलों, सैंडबॉक्स, ऑनस्पॉट्स आदि के खिलाफ सुरक्षा। साथ ही आईपीएस के महत्व को पूरी तरह से भूल गए। लेकिन हम इस पर थोड़ा और चर्चा करेंगे।

अब जब हमारे पास आईपीएस के इतिहास के बारे में थोड़ा ताज़ा ज्ञान है, तो मैं एक और बिंदु पर चर्चा करना चाहूंगा। अर्थात्, आईपीएस कक्षाएं। किसी न किसी सन्निकटन में, सभी IPS समाधानों को दो वर्गों में विभाजित किया जा सकता है:

• एनआईपीएस नेटवर्क स्तर पर काम करता है, अर्थात ट्रैफ़िक / ट्रैफ़िक को स्कैन करना।
• HIPS उपयोगकर्ता के कंप्यूटर स्तर पर संचालित होता है, अर्थात ट्रैफ़िक जो सीधे इस कंप्यूटर के लिए अभिप्रेत है, के साथ, या तो होस्ट स्वयं उत्पन्न करता है।

आज हम पहले विकल्प पर चर्चा करेंगे।

NIPS का उपयोग करने के लिए दो विकल्प

आइए, आइपीएस के स्थापत्य उपयोग को देखें। यहां, सब कुछ काफी सरल है, नेटवर्क IPS का उपयोग करने के लिए दो विकल्प हैं:

1. इनलाइन मोड । रूसी में, हम इसे "अंतर में" कहते हैं। यानी वास्तविक नेटवर्क ट्रैफ़िक IPS से होकर जाता है। इस मामले में IPS एक नियमित पुल की तरह काम करता है (यानी, OSI मॉडल के दूसरे स्तर पर)। यह मोड सुरक्षा के लिहाज से सबसे इष्टतम है। हमले की स्थिति में, IPS तुरंत सत्र और हमलावर के कंप्यूटर को ब्लॉक कर सकता है। ज़ाहिर है, झूठी सकारात्मक प्रतिक्रियाओं के रूप में नकारात्मक पहलू हैं, अच्छी तरह से अर्थात्। जब IPS सामान्य ट्रैफ़िक को अवरुद्ध करता है तो झूठी सकारात्मकता। लेकिन यह एक अलग मुद्दा है, हम इस पर थोड़ी देर बाद चर्चा करेंगे।
2. प्रमुख मोड । फिर से, रूसी में - निगरानी मोड। एक नियम के रूप में, इस मोड में, आईपीएस स्पैन पोर्ट पर "लटका" है, जो डिवाइस COPY को "दर्पण" करता है! यातायात। इस विकल्प में, IPS स्वचालित रूप से IDS में बदल जाता है, जैसा कि यह अब वास्तविक ट्रैफ़िक के साथ काम नहीं करता है, और इसके पास हमलों को जल्दी से ब्लॉक करने का कोई तरीका नहीं है। यानी यह एक बुरा विकल्प है जब अधिकतम सुरक्षा की आवश्यकता होती है।

हम किसी विशेष शासन के आवेदन की विशेषताओं पर विस्तार से विचार नहीं करेंगे। यह एक बहुत व्यापक विषय है जो हमारे पाठ के दायरे से परे है। आइए इनलाइन मोड पर बेहतर ध्यान केंद्रित करें, जैसे यह वह है जो ज्यादातर मामलों में चेक प्वाइंट में उपयोग किया जाता है।

यूटीएम उपकरणों में आईपीएस। पैकेट का प्रवाह

ट्रैफिक प्रोसेसिंग के दृष्टिकोण से, पैकेटों को पहले फ़ायरवॉल द्वारा चेक किया जाता है और यदि उन्हें इसी एक्सेस लिस्ट द्वारा अनुमति दी जाती है, तभी आईपीएस चालू होता है और पासिंग ट्रैफ़िक की जाँच शुरू करता है। दरअसल यह ट्रैफिक प्रोसेसिंग एल्गोरिथ्म फ़ायरवॉल और घुसपैठ रोकथाम प्रणाली के बीच वैचारिक अंतर को प्रकट करता है।

“ फ़ायरवॉल यातायात के मार्ग को रोकने का प्रयास करता है। IPS पहले से उत्तीर्ण ट्रैफ़िक के साथ काम करता है । ”

यह न केवल सुरक्षा के मामले में, बल्कि प्रदर्शन के मामले में भी तर्कसंगत है। क्यों कम से कम संसाधन लागत वाले फ़ायरवॉल द्वारा ट्रैफ़िक की जांच जल्दी से की जा सकती है। यह सवाल है कि क्या IPS को फ़ायरवॉल के सामने रखा जाए। निश्चित रूप से नहीं! जरा सोचिए कि इंटरनेट पर सबकुछ स्कैन करने वाले अलग-अलग बॉट्स से कितना "लेफ्ट" ट्रैफिक होगा।

खैर, यही वह जगह है जहाँ हम अपनी लम्बी गीतात्मक विषयांतर को समाप्त करते हैं। आइए ठेठ IPS गलत धारणाओं पर आगे बढ़ें। मैं एक उदाहरण के रूप में चेक प्वाइंट का उपयोग करके उन्हें डिबैंक करने का प्रयास करूंगा।

विशिष्ट IPS गलतफहमी

1. IPS केवल नेटवर्क लेयर हमलों से बचाता है

शायद यह सबसे आम मिथक है। ऐतिहासिक रूप से, निश्चित रूप से, आईपीएस मुख्य रूप से नेटवर्क हमलों के खिलाफ संरक्षित है, जैसे पोर्ट स्कैन, ब्रूट बल, कुछ प्रकार के ddos, और निश्चित रूप से, विसंगतियों के खिलाफ लड़ाई। हालांकि! कई अभी भी नहीं जानते हैं कि आईपीएस डाउनलोड की गई फ़ाइलों की जांच कर सकते हैं! और अगर फ़ाइल में शोषण है, तो IPS एंटी-वायरस की तुलना में अपने डाउनलोड को तेज़ी से अवरुद्ध करेगा, क्योंकि IPS ट्रैफ़िक स्ट्रीम में काम करता है, और एंटी-वायरस को तब तक प्रतीक्षा करने के लिए मजबूर किया जाता है जब तक कि पूरी फ़ाइल बफर में डाउनलोड न हो जाए। यानी IPS PDF, doc, xls और बहुत कुछ जैसी फाइलों की जाँच करता है। मैं इसे लैब में जरूर दिखाऊंगा। इसलिए, शामिल IPS आपके उपयोगकर्ताओं की सुरक्षा को महत्वपूर्ण रूप से बढ़ा देगा जो इंटरनेट से विभिन्न फ़ाइलों को डाउनलोड करते हैं। संरक्षण के इस अतिरिक्त स्तर की उपेक्षा न करें!

2. IPS अब प्रासंगिक नहीं है और किसी भी चीज़ से रक्षा नहीं करता है

एक और लोकप्रिय मिथक। बेशक, हाल ही में पेशेवर हैकर्स क्लासिक अटैक टूल, जैसे पोर्ट स्कैनिंग, ब्रूट फोर्स, आदि का उपयोग नहीं करने की कोशिश कर रहे हैं। और सभी क्योंकि इस तरह के हमले तुरंत ध्यान देने योग्य हैं और क्लासिक बचाव पर बड़ी संख्या में अलर्ट उत्पन्न करते हैं। हालांकि! यह केवल बहुत ही जटिल और लक्षित हमलों में होता है, जब एक वास्तविक पेशेवर इस मामले को उठाता है। सभी सफल हमलों के 99% स्वचालित बॉट हैं जो ज्ञात कमजोरियों के लिए नेटवर्क को स्कैन करते हैं, जो तब वे शोषण करते हैं। IPS यह सब देखता है! इसके अलावा, फिर से वानक्री को याद करते हुए, इस भेद्यता की खोज के बाद, चेक प्वाइंट ने कुछ दिनों में एक IPS हस्ताक्षर जारी किया। Microsoft ने पैच को बहुत बाद में जारी किया (कुछ हफ़्ते में, जहाँ तक मुझे याद है)। वर्तमान हस्ताक्षरों के साथ शामिल आईपीएस पूरी तरह से ऐसे स्वचालित हमलों को दर्शाता है जो अभी भी प्रबल हैं (और यह संभावना नहीं है कि निकट भविष्य में कुछ भी बदल जाएगा)।

3. IPS को बार-बार अपडेट करने की आवश्यकता नहीं है

दरअसल, पिछले पैराग्राफ में, मैंने कहा था कि ACTUAL हस्ताक्षर वाले IPS स्वचालित हमलों से सुरक्षा प्रदान करते हैं। किसी कारण से, कई लोग मानते हैं कि केवल एंटी-वायरस डेटाबेस को नियमित रूप से अपडेट किया जाना चाहिए, जबकि आईपीएस के बारे में पूरी तरह से भूल जाते हैं। लेकिन आईपीएस के लिए हस्ताक्षर हर दिन सचमुच दिखाई देते हैं या अपडेट किए जाते हैं। उदाहरण के लिए, आप चेक प्वाइंट संसाधन का उपयोग कर सकते हैं। जैसा कि आप देख सकते हैं, केवल पिछले कुछ दिनों में कई नए हस्ताक्षर जारी किए गए हैं। या पहले बनाए गए अपडेट किए गए थे।
अप-टू-डेट डेटाबेस के साथ IPS बहुत महत्वपूर्ण है। जैसा कि मैंने पहले कहा था, आईपीएस हस्ताक्षर विक्रेताओं से पैच की तुलना में तेजी से निकलते हैं। यदि आपके पास पुराने हस्ताक्षर हैं, तो आपका आईपीएस बस यातायात और सिस्टम संसाधनों को बर्बाद कर रहा है। और ओडब्ल्यूएल के घरेलू निर्माताओं को विश्वास नहीं है, जो कहते हैं कि महीने में एक बार अपडेट करना सामान्य है (एक नियम के रूप में, वे इस तरह की अवधि निर्धारित करते हैं और सबसे अधिक संभावना है कि यह इस तथ्य के कारण है कि वे स्नॉर्ट डेटाबेस का उपयोग करते हैं, जो मुफ्त संस्करण के लिए 30-दिन की देरी से अपडेट होते हैं) ।

4. IPS डिवाइस के प्रदर्शन को काफी कम कर देता है

मैं इस मिथक के बारे में क्या कह सकता हूं। हाँ और नहीं। बेशक, IPS को शामिल करने से प्रोसेसर और रैम दोनों पर लोड बढ़ जाता है। लेकिन सब कुछ उतना नाटकीय नहीं है जितना आमतौर पर माना जाता है। IPS चालू होने पर लोड में भारी वृद्धि आमतौर पर दो मामलों में प्रकट होती है:

1. आपने (या आपने) गलत तरीके से समाधान का चयन किया। यह हार्डवेयर उत्थान या आभासी समाधान हो। यह वह प्रश्न है जिसे खरीदने से पहले हर चीज का परीक्षण करना होता है। फिर, बहुत कुछ इस बात पर निर्भर करता है कि समाधान का चयन कौन करता है। इस पर विशेष ध्यान दें। उपकरणों पर डेटाशीट का सावधानीपूर्वक उपयोग करें। आईपीएस सक्षम होने पर यह डिवाइस की बैंडविड्थ को इंगित करता है। खैर, फिर से, चेक प्वाइंट में एक आकार देने वाला उपकरण है जो एक उपयुक्त मॉडल के लिए बहुत यथार्थवादी सिफारिशें प्रदान करता है। आकार का उपयोग करना सुनिश्चित करें! यदि आपके पास इस उपकरण तक पहुंच नहीं है, तो अपने भागीदारों से पूछें।
2. IPS के कारण बढ़ते लोड का दूसरा और सबसे आम कारण यह है कि बहुत सारे हस्ताक्षर शामिल हैं। यह आईपीएस का उपयोग करने के चरम सीमाओं में से एक है जब सभी उपलब्ध हस्ताक्षर सक्षम होते हैं, इस तथ्य के कारण कि शुरू में यह स्पष्ट नहीं है कि किन लोगों की आवश्यकता है। यह बहुत ही स्थूल त्रुटि एक साधारण जंगली बूट डिवाइस और बहुत सारी झूठी सकारात्मकता की ओर ले जाती है। इसे चलाने के बाद, कई व्यवस्थापक IPS को अक्षम करने का निर्णय लेते हैं, क्योंकि इसके साथ, सीमा प्रवेश द्वार बस "झुकता" है। कैसे हो? ठीक है, पहले आपको यह निर्धारित करने की आवश्यकता है कि आप वास्तव में क्या संरक्षित करने जा रहे हैं। यह मानना ​​तर्कसंगत है कि यदि आपके पास अपने DMZ में लिनक्स-आधारित मेल सर्वर है, तो संभवतः आपको Microsoft, MacOS, Android, Wordpress, आदि से संबंधित इस खंड हस्ताक्षर के लिए शामिल नहीं करना चाहिए। मुझे लगता है कि सामान्य अर्थ स्पष्ट है। अंधाधुंध रूप से सभी हस्ताक्षरों के साथ थ्रेशिंग ट्रैफ़िक बहुत महंगा है । IPS के लिए कुशलतापूर्वक संसाधनों का उपयोग करने के लिए, आपको केवल आवश्यक हस्ताक्षर सक्षम करने और अनावश्यक लोगों को बंद करने की आवश्यकता है। यह आसान लगता है। लेकिन कार्यान्वयन बहुत जटिल लगता है। यहाँ से निम्नलिखित मिथक बढ़ता है।

5. IPS को कॉन्फ़िगर करना कठिन है

यह आंशिक रूप से उचित राय है जो हुई है। वास्तव में, कई IPS समाधान अभी भी सीखना बहुत मुश्किल है। लेकिन यह शतरंज की बात नहीं है। क्रम में चलते हैं। आमतौर पर एक हस्ताक्षर कैसा दिखता है? यह आमतौर पर कुछ इस तरह है:

IGSS SCADA ListAll फ़ंक्शन बफर ओवरफ़्लो
WebGate कई उत्पाद WESPMonitor स्टैक बफर अतिप्रवाह

और यह पता लगाने की कोशिश करें कि यह किस तरह का हस्ताक्षर है, इसके लिए क्या है, गेटवे इसे कितना चालू करेगा, यह कितना महत्वपूर्ण है? सौभाग्य से, चेक प्वाइंट में प्रत्येक हस्ताक्षर का विस्तृत विवरण है। विवरण सीधे स्मार्टकॉन कंसोल में दिखाई देता है और आपको प्रत्येक नाम को Google करने की आवश्यकता नहीं है। इसके अलावा, सुविधा के लिए, चेक प्वाइंट ने प्रत्येक हस्ताक्षर को कई टैग दिए हैं:

• गंभीरता (यानी खतरे का स्तर जो यह हस्ताक्षर बंद कर सकता है);
• आत्मविश्वास का स्तर (हस्ताक्षर की विश्वसनीयता का स्तर, यानी इस हस्ताक्षर की पर्याप्तता की संभावना क्या है। यह विशेष रूप से व्यवहार विश्लेषण के लिए एक बहुत महत्वपूर्ण विशेषता है)
• प्रदर्शन प्रभाव (यह टैग दिखाता है कि डिवाइस को कितना जोरदार सक्षम हस्ताक्षर लोड करेगा)
• विक्रेता - आप विक्रेता द्वारा हस्ताक्षर फ़िल्टर कर सकते हैं (उदाहरण के लिए, सभी एडोब या Microsoft उत्पादों से जुड़ी कमजोरियाँ)
• उत्पाद - उत्पाद द्वारा फ़िल्टर करना संभव है (उदा। Microsoft Office या वर्डप्रेस)।

टैग विक्रेता और उत्पाद कभी-कभी प्रतिच्छेद करते हैं, क्योंकि अक्सर एक कंपनी में केवल एक उत्पाद होता है।

इन टैगों का उपयोग करके, आप बहुत तेज़ी से उन हस्ताक्षरों की सूची तैयार कर सकते हैं जिन्हें आप शामिल करना चाहते हैं। और इसके लिए आपको माथे में सात स्पैन होने की आवश्यकता नहीं है। ठीक है, निश्चित रूप से, इससे पहले आपको नेटवर्क का एक छोटा ऑडिट करने की आवश्यकता है और यह समझना चाहिए कि आपके कर्मचारी कौन से सॉफ़्टवेयर का उपयोग करते हैं।
हम इन टैग के साथ लैब में और अधिक विस्तार से काम करने पर चर्चा करेंगे।

6. IPS के साथ काम थकाऊ और नियमित काम है।

मैंने कई बार कहा है कि सूचना सुरक्षा एक परिणाम नहीं है, बल्कि एक सतत प्रक्रिया है। आप एक बार सिस्टम सेट नहीं कर सकते हैं और इसके बारे में भूल सकते हैं। निरंतर, व्यवस्थित शोधन की आवश्यकता है। वही IPS के लिए जाता है। और यहां आमतौर पर मुश्किलें आती हैं। लगभग किसी भी अधिक या कम पर्याप्त आईपीएस प्रणाली बड़ी संख्या में लॉग उत्पन्न करती है। वे आमतौर पर इस तरह दिखते हैं:



अब कल्पना करें कि ये लॉग एक सप्ताह में कई हजार जमा हुए हैं। आप उनका विश्लेषण कैसे करते हैं? कैसे समझें कि कौन सी घटनाएं सबसे अधिक बार होती हैं? किन हस्ताक्षरों को बंद करने की आवश्यकता हो सकती है या कौन से मेजबानों को फ़ायरवॉल स्तर पर अवरुद्ध किया जा सकता है?

बेशक, चेकपॉइंट लॉग अधिक आकर्षक और स्पष्ट दिखते हैं:



यहां आप गंभीरता और प्रदर्शन प्रभाव और आत्मविश्वास स्तर देख सकते हैं। हालांकि, यह इतनी बड़ी संख्या में घटनाओं के विश्लेषण की समस्या को हल नहीं करता है। एक नियम के रूप में, सिएम सिस्टम जो कि घटनाओं के प्रारंभिक विश्लेषण को एकत्र करने, सहसंबंधित और निष्पादित करने के लिए डिज़ाइन किए गए हैं, उन्हें यहां याद किया जाता है। सौभाग्य से, चेक प्वाइंट में एक अंतर्निहित सीमेंस प्रणाली है - स्मार्ट इवेंट । यह ब्लेड आपको संसाधित और एकत्रित रूप में IPS लॉग देखने की अनुमति देता है:



जैसा कि आप जानते हैं, यह पहले से ही बहुत आसान है। कोलम्बिया का मुख्य मूल्य यह है कि यह प्रणाली आपको मात्रात्मक दृष्टि से आपकी सुरक्षा को "देखने" की अनुमति देती है। किसी भी काम में, आपको परिणाम देखने की आवश्यकता है और यहां संख्याओं पर ध्यान केंद्रित करना बहुत आसान है। हमारे उदाहरण में, हम देखते हैं कि गंभीर स्तर की गंभीरता के साथ लॉग की एक बड़ी संख्या है । यह उनके साथ है कि आपको काम शुरू करने की आवश्यकता है। इसके अलावा, हम देखते हैं कि घटनाओं की सबसे बड़ी संख्या GNU बैश रिमोट कोड निष्पादन हस्ताक्षर से संबंधित हैं। इन घटनाओं के साथ विश्लेषण शुरू होना चाहिए। आगे गिरने के बाद, हम निर्धारित कर सकते हैं:

• क्या कर रहे हैं मेजबान पर हमला?
• किस मेजबान पर हमला कर रहे हैं?
• किस देश से आ रहा है हमला?

यह पता चल सकता है कि हस्ताक्षर हमारे आंतरिक नोड द्वारा उत्पन्न ट्रैफ़िक द्वारा ट्रिगर किया गया है। यह परीक्षण का एक अवसर है। या तो यह वास्तव में संक्रमित है, या यह एक गलत सकारात्मक है। अगला, हम या तो मेजबान का इलाज करते हैं या इस मेजबान के लिए विशेष रूप से इस हस्ताक्षर को बंद कर देते हैं।

यदि हमला किसी बाहरी नेटवर्क से होता है, तो हो सकता है कि ये सभी लॉग केवल एक हमलावर नोड द्वारा बनाए गए हों (सबसे अधिक संभावना है कि यह किसी प्रकार का बॉट है), और कुछ सिंगापुर से। इस मामले में, हम इस होस्ट (या पूरे सिंगापुर नेटवर्क) को ब्लॉक सूची में जोड़ सकते हैं ताकि यह फ़ायरवॉल स्तर पर अवरुद्ध हो और आईपीएस ट्रैफ़िक प्रसंस्करण तक न पहुँच सके।

हम यह भी नोटिस कर सकते हैं कि हस्ताक्षर लिनक्स वितरण के लिए हमलों को पकड़ता है, जबकि विंडोज़ होस्ट पर हमला किया जा सकता है। इस मामले में, विशेष रूप से इस मेजबान के लिए लिनक्स हस्ताक्षरों को निष्क्रिय करना भी तर्कसंगत होगा।

जैसा कि आप देख सकते हैं, प्रक्रिया एक निश्चित जांच जैसा दिखता है। इस तरह के निरंतर अनुकूलन के बाद, प्रवेश द्वार पर लोड में काफी कमी आएगी, क्योंकि:

1. हमलावर मेजबानों का हिस्सा फ़ायरवॉल स्तर पर अवरुद्ध हो जाएगा;
2. संसाधनों का उपभोग करने वाले अनावश्यक हस्ताक्षर अक्षम हो जाएंगे।

उसी समय, स्मार्टइवेंट आपको लॉग की घटती संख्या के रूप में तुरंत परिणाम देखने की अनुमति देता है। यह केवल मात्रात्मक विशेषता है जो हमारे काम की प्रभावशीलता को दर्शाता है। आदर्श रूप से, हमें तथाकथित "शोर" से छुटकारा पाना चाहिए और लॉग्स में केवल वास्तव में महत्वपूर्ण आईपीएस घटनाओं (यानी वास्तविक हमलों) को देखना चाहिए।

इसके अलावा, ब्लॉक सूची में मेजबानों की जांच और मेजबानों को जोड़ने की पूरी प्रक्रिया स्वचालित हो सकती है! R80.10 ने एक पूर्ण एपीआई की शुरुआत की जो आपको तीसरे पक्ष के समाधान के साथ एकीकृत करने की अनुमति देता है। मैंने पहले ही एपीआई के बारे में हब पर एक लेख लिखा था - चेक प्वाइंट R80.10 एपीआई। सीएलआई, लिपियों और अधिक के माध्यम से प्रबंधन।
इसके अलावा, मेरे सहयोगी ग्लीब रयास्किन ने चेक प्वाइंट और स्पंक - चेक प्वाइंट एपीआई + स्प्लंक को एकीकृत करने पर विस्तृत निर्देश प्रकाशित किए । नेटवर्क हमलों के खिलाफ सुरक्षा का स्वचालन ।

न केवल एक सैद्धांतिक हिस्सा है, बल्कि एक प्रैक्टिकल भी है, जिसमें एक अटैक और ऑटोमैटिक एडिशन टू ब्लॉक लिस्ट का उदाहरण है। आलसी मत बनो, देखो।

इस पर मैंने अपना सैद्धांतिक हिस्सा खत्म करने का प्रस्ताव रखा है। अगले पाठ में, प्रयोगशाला के बहुत से काम हमारी प्रतीक्षा कर रहे हैं।

वीडियो ट्यूटोरियल प्रारूप में सैद्धांतिक हिस्सा

यदि आप चेक प्वाइंट पर अन्य सामग्रियों में रुचि रखते हैं, तो यहां आपको एक बड़ा चयन ( चेक प्वाइंट। टीएस समाधान से उपयोगी सामग्री का चयन ) मिलेगा। आप हमारे चैनल ( YouTube , VK , Telegram ) को भी सब्सक्राइब कर सकते हैं ताकि नए लेख, पाठ्यक्रम और सेमिनार न छूटें।

चरम स्विच मॉडल के बारे में अधिक जानकारी यहां पाई जा सकती है ।
आप यहां चेक प्वाइंट सुरक्षा सेटिंग्स का निःशुल्क ऑडिट कर सकते हैं।