नेटवर्क परिधि सुरक्षा कैसे सुधारें? चेक प्वाइंट और न केवल के लिए व्यावहारिक सिफारिशें

हम नेटवर्क परिधि सुरक्षा उपकरण (NGFW) की सुरक्षा सेटिंग्स को अनुकूलित करने के लिए समर्पित लेखों की श्रृंखला जारी रखते हैं। मैं तुरंत ध्यान देना चाहता हूं कि ये सिफारिशें न केवल चेक प्वाइंट मालिकों के लिए उपयुक्त हैं। वास्तव में, यदि आप इसे देखते हैं, तो खतरे सभी के लिए समान हैं, बस यह है कि प्रत्येक NGFW विक्रेता निर्णय लेता है (या नहीं) इसे अपने तरीके से हल करता है। इससे पहले, हमने एक मिनी-कोर्स " अधिकतम करने के लिए चेक प्वाइंट " प्रकाशित किया, जहां हमने "डिफ़ॉल्ट" सेटिंग्स का खतरा दिखाया। ये सामान्य सिफारिशें थीं। अब, हम संभवतः परिधि रक्षा को मजबूत करने के लिए अधिक विशिष्ट चरणों का वर्णन करना चाहते थे। यह लेख केवल मार्गदर्शन के लिए है! पहले अपने नेटवर्क के लिए संभावित परिणामों का विश्लेषण किए बिना आँख बंद करके इस निर्देश का पालन न करें!

साइबर हमले में रुझान

सिफारिशें देने से पहले, हमें यह समझने की जरूरत है कि हमें क्या खतरा है? किससे बचाव? ऐसा करने के लिए, मैं 2018 के लिए चेक प्वाइंट रिपोर्ट का उपयोग करने का सुझाव देता हूं (CYT ATTACK TRENDS ANALYSIS)। स्वाभाविक रूप से बहुत सारी मार्केटिंग है, लेकिन बहुत उपयोगी जानकारी भी है। उदाहरण के लिए, वेब (HTTP / https) और ईमेल (smtp) के माध्यम से प्राप्त की गई वायरस फ़ाइलों के प्रकारों के आँकड़े:



इस तस्वीर से आप बहुत महत्वपूर्ण जानकारी प्राप्त कर सकते हैं। वेब और ईमेल अभी भी दो मुख्य हमले वैक्टर हैं। इसके अलावा, यदि आप आंकड़ों को देखते हैं, तो आप देख सकते हैं कि वर्ष की पहली छमाही में एसएमटीपी प्रबल हुआ, और दूसरे में - एचटीटीपी।



आइए देखें कि हम प्रत्येक हमले वेक्टर (यानी, वेब और ईमेल के माध्यम से) के लिए सुरक्षा को कैसे मजबूत कर सकते हैं।
तुरंत एक आरक्षण करें कि व्यापक सुरक्षा प्रदान करने के लिए ये उपाय निश्चित रूप से पर्याप्त नहीं होंगे । हालांकि, आंकड़ों के अनुसार, हम अपने नेटवर्क की सुरक्षा में काफी सुधार कर सकते हैं।

दुर्भावनापूर्ण वेब ट्रैफ़िक के विरुद्ध सुरक्षा बढ़ाना

अभी भी पाठ्यक्रम में " चेक प्वाइंट टू मैक्स ", मैंने वेब ट्रैफिक के लिए सुरक्षा में सुधार के लिए कई तरकीबें दिखाईं। सबसे महत्वपूर्ण बिंदु:

1. HTTPS निरीक्षण सक्षम करें ;
2. सामग्री जागरूकता ब्लेड का उपयोग करें
3. एंटी-वायरस सेटिंग्स में डीप स्कैन सक्षम करें ;
4. फ़ाइलों की जाँच करने के लिए IPS का उपयोग करें ।

हालांकि, अधिकांश सिफारिशें सामान्य थीं। अब हमारे पास सबसे अधिक दबाव वाले खतरों के बारे में जानकारी है। आइए अपने ज्ञान को व्यवहार में लाने का प्रयास करें।

1) सामग्री जागरूकता

जैसा कि हमने ऊपर चित्र से देखा, .exe प्रारूप सबसे अधिक वायरस फ़ाइलों के बीच पाया जाता है जो उपयोगकर्ता वेब के माध्यम से प्राप्त करते हैं। पहले से ही 46% ! क्या आपके उपयोगकर्ताओं को इन फ़ाइलों की आवश्यकता है? 2 "चेक प्वाइंट टू मैक्सिमम" पाठ में , मैंने पहले ही दिखाया कि कंटेंट अवेयरनेस ब्लेड का उपयोग कैसे करें। यदि आपको अभी भी इस अवरोध के बारे में संदेह था, तो फिर से आंकड़ों पर एक नज़र डालें। इस प्रकार की फ़ाइल को अवरुद्ध करके, आप अपने NGFW के जीवन को 46% (फ़ाइल सत्यापन के संदर्भ में) सरल करते हैं। आपको बस एक नियम जोड़ने की आवश्यकता है:



यह क्यों जांचें कि आपको स्पष्ट रूप से इसकी आवश्यकता नहीं है और आशा करते हैं कि आपके एंटीवायरस या सैंडबॉक्स को खराब नहीं किया गया है?

यदि आप एक अलग समाधान (चेक प्वाइंट नहीं) का उपयोग करते हैं, तो शायद सामग्री जागरूकता जैसी कोई कार्यक्षमता नहीं है, हालांकि, एंटीवायरस का उपयोग करके विभिन्न प्रकार की फ़ाइलों को ब्लॉक करना निश्चित रूप से संभव होगा। यह एक अधिक संसाधन-गहन तरीका है, लेकिन यह कुछ भी नहीं से बेहतर है।

शेष फ़ाइल प्रकार इतने सरल नहीं हैं। ज्यादातर लोगों को शायद डॉक्टर और पीएफडी की आवश्यकता होती है और उन्हें अवरुद्ध करना संभव नहीं है। यही बात अन्य फ़ाइलों (JS, Jar) पर भी लागू होती है, यदि आप उन्हें ब्लॉक करते हैं, तो वेब-पृष्ठों के प्रदर्शन के साथ समस्याएँ होंगी। इस मामले में एकमात्र तरीका यह है कि आप बहुत सावधानी से उनकी जांच करें।

2) सबसे खतरनाक फ़ाइल प्रकारों के लिए डीप स्कैन चालू करें

पाठ 4 में, "चेक प्वाइंट टू द मैक्स", मैंने दिखाया कि डिफ़ॉल्ट सेटिंग्स के साथ, एंटी-वायरस बहुत खराब परिणाम दिखाता है। और यह सभी विक्रेताओं के लिए बिल्कुल सही है। लगभग सभी के पास "त्वरित" सत्यापन और अधिक "गहन" विकल्प हैं। डिफ़ॉल्ट रूप से, निश्चित रूप से, "तेज" का उपयोग अनुकूलन के लक्ष्य के साथ किया जाता है। चेक प्वाइंट में “ डीप स्कैन ” विकल्प है जिसे “ डीप स्कैन ” कहा जाता है और आप इसे विभिन्न प्रकार की फाइलों के लिए सक्षम कर सकते हैं। आपके दिमाग में आने वाली पहली चीज इसे सभी प्रकार की फाइलों के लिए सक्षम करना है (वर्तमान में लगभग 90 प्रकार की फाइलें हैं)। और इसलिए यह किया जा सकता है! अगर आपकी कोई बहुत अमीर कंपनी है। इस विकल्प के लिए बहुत शक्तिशाली हार्डवेयर की आवश्यकता होगी। आप एक समझौता पा सकते हैं - सबसे खतरनाक फाइलों के लिए गहरा स्कैन सक्षम करें:



आंकड़ों से हमारे पास निम्नलिखित फाइलें हैं: पीडीएफ, डॉक्टर, जावास्क्रिप्ट, जार । लेकिन मैं कम से कम एक और जोड़ूंगा : xls, zip, rar, 7zip, rtf, swf । और निश्चित रूप से आपको पासवर्ड-संरक्षित अभिलेखागार को ब्लॉक करने की आवश्यकता है।

यदि आपके पास चेक प्वाइंट नहीं है, तो ऐसे विकल्पों का उपयोग करने की संभावना की जांच करें। यह बहुत महत्वपूर्ण है।

3) हम आवश्यक IPS हस्ताक्षर शामिल करते हैं

दोबारा, "चेक पॉइंट टू मैक्सिमम" कोर्स पर लौटते हुए, पाठ 6 में मैंने फ़ाइल सत्यापन के लिए IPS के महत्व को दिखाया। IPS दस्तावेजों में शोषण पा सकते हैं! IPS के साथ सबसे बड़ी पीड़ा आपको उन हस्ताक्षरों का चयन करना है जिनकी आपको आवश्यकता है। वहां मैंने उनके साथ काम करने (या श्रेणियों के साथ) के लिए कुछ तरकीबें दिखाईं। लेकिन अब हमारे पास और जानकारी है। हमें निश्चित रूप से पीडीएफ, डॉक, जावास्क्रिप्ट और जार जैसी फाइलों से जुड़े हस्ताक्षरों की आवश्यकता है। यह करने के लिए काफी सरल है, बस हस्ताक्षर खोज का उपयोग करें:



(पीडीएफ के मामले में, यह मत भूलो कि अन्य "दर्शक" हो सकते हैं, उदाहरण के लिए फॉक्सिट)।
या फिर, फ़िल्टर में श्रेणियों का उपयोग करके:



अब हम न केवल एंटी-वायरस का उपयोग करके आने वाली फ़ाइलों को स्कैन करेंगे, बल्कि IPS का उपयोग भी करेंगे।

यदि आप चेक प्वाइंट का उपयोग नहीं कर रहे हैं, तो प्रासंगिक हस्ताक्षर (कार्यालय दस्तावेज़, अभिलेखागार, जावास्क्रिप्ट और जार से संबंधित सब कुछ) को सक्षम करने का भी प्रयास करें।

4) खतरा अनुकरण और धमकी निष्कर्षण

एंटीवायरस और IPS अच्छे हैं, लेकिन यह एक हस्ताक्षर विश्लेषण है, जिसका मुख्य दोष यह है कि यह केवल ज्ञात खतरों के साथ काम करता है। अज्ञात (0-दिन) के साथ क्या करना है? इसके लिए, वे "सैंडबॉक्स" के साथ आए। चेक प्वाइंट पर, इस तकनीक को सैंडब्लास्ट कहा जाता है और इस तरह के ब्लेड का उपयोग करके लागू किया जाता है:

खतरा अनुकरण - फ़ाइल अनुकरण। वर्तमान में, 65 से अधिक फ़ाइल प्रकार समर्थित हैं। उपरोक्त सूची ( पीडीएफ, डॉक, जावास्क्रिप्ट और जार ) प्लस मेरी सिफारिशों ( xls, zip, rar, 7zip, rtf, swf ) के लिए अनुकरण सक्षम करना सुनिश्चित करें:



धमकी का अनुकरण आपको डाउनलोड करने से पहले फ़ाइलों की जांच करने की अनुमति देगा। यह एक बहुत ही महत्वपूर्ण विशेषता है, जैसा कि हर समाधान वेब ट्रैफ़िक के लिए रोकथाम मोड में काम नहीं कर सकता है।

थ्रेट एक्सट्रैक्शन - सक्रिय सामग्री की सफाई। सफाई को पीडीएफ में परिवर्तित करके, या सभी सक्रिय सामग्री (स्क्रिप्ट, मैक्रोज़, यूआरएल, आदि) को काटकर किया जा सकता है। थ्रेट एक्सट्रैक्शन वर्तमान में लगभग 45 प्रकार की फ़ाइलों का समर्थन करता है। और इस ब्लेड का उपयोग करने के पेशेवरों ने मुझे चेक प्वाइंट सैंडब्लास्ट पाठ्यक्रम के भाग 3 में वर्णित किया। देखिए, काम का प्रदर्शन है। पीडीएफ और डॉक को साफ करने के लिए थ्रेट एक्सट्रैक्शन का उपयोग करना बहुत ही उचित है। और "पीडीएफ में कनवर्ट करें" चुनना सबसे अच्छा है, यह "100 पाउंड" विधि है। Xls के साथ, यह हमेशा काम नहीं करता है, क्योंकि कोई दस्तावेज़ गंभीर रूप से क्षतिग्रस्त हो सकता है, इसलिए थ्रेट एक्सट्रैक्शन के लिए एक कस्टम पॉलिसी का उपयोग करें।

दुर्भाग्य से, फिलहाल वेब ट्रैफ़िक के लिए थ्रेट एक्सट्रैक्शन केवल एक विशेष ब्राउज़र एक्सटेंशन का उपयोग करते समय काम करता है - ब्राउज़र के लिए सैंडब्लास्ट एजेंट । हालांकि, पहले से ही अगली रिलीज़ ( Gaia R80.30 ) में, अतिरिक्त एक्सटेंशन के बिना भी फ़ाइलों को साफ और परिवर्तित करना संभव होगा।

यदि आप चेक प्वाइंट का उपयोग नहीं कर रहे हैं, तो मैं सैंडबॉक्स कार्यक्षमता की कोशिश करने की भी सलाह देता हूं। लगभग सभी विक्रेताओं के पास परीक्षण मोड है। मुझे पूरा यकीन है कि आपके "कैच रेट" को चालू करने के बाद काफी वृद्धि होगी।

मालवेयर ईमेल सुरक्षा को बढ़ाना

हम कम या ज्यादा समझे गए वेब ट्रैफ़िक (हालांकि यह वास्तव में अधिक जटिल हैं)। अब एक और लोकप्रिय हमले वेक्टर पर चलते हैं - ईमेल। लगभग सभी कंपनियों में, मेल सुरक्षा के लिए सबसे अधिक ध्यान दिया जाता है। आइए देखें कि हम नेटवर्क की परिधि पर एनजीएफडब्ल्यू समाधान के साथ क्या कर सकते हैं।

1) एमटीए मोड

पहली चीज जो आपको करनी चाहिए वह है चेक प्वाइंट गेटवे को एमटीए (मेल ट्रांसफर एजेंट) मोड पर स्विच करना। यह मेल संदेशों की अधिक व्यापक जांच की अनुमति देगा, खासकर अगर एसएमटीपीएस का उपयोग किया जाता है (इस मामले में, एमटीए फ़ंक्शन के बिना, आपका गेटवे बस इस ट्रैफ़िक की जांच नहीं कर पाएगा)।



यदि आप गैर-चेक प्वाइंट का उपयोग करते हैं और आपका एनजीएफडब्ल्यू एमटीए का समर्थन नहीं करता है, तो लेख को आगे पढ़ने का कोई मतलब नहीं है। आप बस अतिरिक्त जांच नहीं कर सकते। इस मामले में सबसे अधिक संभावना है, आप एक अलग मेल सुरक्षा समाधान का उपयोग कर रहे हैं।

2) R80.20 पर अपग्रेड करें

यह एक और महत्वपूर्ण बिंदु है। गैया R80.20 रिलीज में, एमटीए कार्यक्षमता (और न केवल) में महत्वपूर्ण बदलाव आए हैं। यह ईमेल रिपोर्टिंग पर भी लागू होता है। डिफ़ॉल्ट रूप से, कई नए डैशबोर्ड एक ही बार में उपलब्ध हैं:



निगरानी और समस्या निवारण के लिए आपको अब कमांड लाइन पर नहीं जाना होगा। इसके अलावा, संस्करण R80.20 से शुरू होकर, एमटीए कार्यक्षमता को खतरा निवारण प्रोफ़ाइल सेटिंग्स में एक अलग टैब पर ले जाया गया है:



सबसे महत्वपूर्ण बिंदु:

1. अब मेल अटैचमेंट को न केवल सैंडबॉक्स (एमटीए मोड में) से चेक किया जा सकता है। सबसे पहले, पत्र में फाइलें और लिंक एंटी-वायरस इंजन द्वारा स्कैन किए जाएंगे। डिवाइस प्रदर्शन के मामले में यह बहुत फायदेमंद है, जैसा कि यदि फ़ाइल एक ज्ञात मैलवेयर है, तो इसे सैंडबॉक्स में भेजे बिना छोड़ दिया जाएगा।
2. अब सभी अवरुद्ध अक्षरों को एक समर्पित ईमेल पर भेजा जा सकता है और इस प्रकार एक प्रकार का संगरोध आयोजित किया जा सकता है। यदि आपको अवरुद्ध संदेश तक पहुँच की आवश्यकता है तो यह उपयोगी है।

जहां तक ​​मुझे पता है, फिलहाल, चेक प्वाइंट में एक समर्पित टीम बनाई गई है, जो विशेष रूप से एमटीए कार्यक्षमता से संबंधित है। तो आगे सुधार सिर्फ कोने के आसपास है (R80.30 पहले से ही ईए कार्यक्रम में है)।

3. एमटीए के लिए एक अलग खतरा निवारण नियम बनाएं

एक और महत्वपूर्ण बिंदु। वेब ट्रैफिक और ईमेल के लिए अलग-अलग प्रोफाइल होनी चाहिए। नियम इस तरह दिखना चाहिए:



यदि आप R80.20 का उपयोग करते हैं, तो यह नियम स्वचालित रूप से बनाया जाता है जब आप एमटीए चालू करते हैं।

4. ईमेल के लिए एंटीवायरस

जैसा कि ऊपर उल्लेख किया गया है, 80.20 पर हमारे पास एंटी-वायरस "इंजन" का उपयोग संलग्नक और हाइपरलिंक की जांच करने का अवसर है। यह हमारी आवश्यकताओं के साथ पूरी तरह से संबंध रखता है। यदि आप बहुत शुरुआत में आँकड़ों को देखते हैं, तो आप देख सकते हैं कि क्लासिक दस्तावेजों के अलावा, exe फाइलें और url एक खतरा पैदा करते हैं।

सबसे पहले, आपको बिल्कुल सभी अनावश्यक फ़ाइल प्रकारों को ब्लॉक करने की आवश्यकता है जिन्हें संलग्नक के रूप में भेजा जा सकता है (न कि केवल exe)। यह कहना आसान है कि छोड़ने लायक क्या है: pdf, doc, xls, ppt। ज़िप, rar, 7zip और अन्य लोकप्रिय कार्यालय फ़ाइल प्रारूप। लेकिन विभिन्न लिपियों, लिनक्स अभिलेखागार, निष्पादन योग्य फ़ाइलों को अवरुद्ध किया जाना चाहिए।
संदेश की सामग्री में url की जाँच करना भी न भूलें:



सभी प्रकार की फ़ाइलों के लिए जिन्हें हम अनुमति देते हैं, स्वाभाविक रूप से गहरी स्कैन को कॉन्फ़िगर करना आवश्यक है।

5. थ्रेट इम्यूलेशन एंड थ्रेट एक्सट्रैक्शन

मेल लक्षित हमलों के लिए मुख्य वेक्टर है, अर्थात हमलों के लिए तैयार रहना। सबसे अधिक बार, ये हमले शून्य-दिन की कमजोरियों (0-दिन) का उपयोग करते हैं। और यहाँ हस्ताक्षर विश्लेषण शक्तिहीन है। इसलिए, यदि आप सैंडबॉक्स वर्ग समाधान का उपयोग करने का निर्णय लेते हैं, तो ईमेल वह पहला स्थान है जहां आपको इसे लागू करना चाहिए। सभी अनुमत (एंटीवायरस में) फ़ाइलों के लिए, हमें सैंडबॉक्स की कार्यक्षमता का उपयोग करना चाहिए। यह न केवल चेक प्वाइंट समाधान पर लागू होता है।

ईमेल के लिए थ्रेट एमुलेशन को कॉन्फ़िगर करने के संदर्भ में, सब कुछ समान है, जैसा कि वेब के लिए है। बस सुनिश्चित करें कि आप उन सभी फ़ाइलों के लिए अनुकरण सक्षम करें जिनकी अनुमति है (एंटीवायरस द्वारा)। फिर से, यदि आप हमारे आँकड़ों को देखें, तो सबसे खतरनाक फ़ाइल प्रकार doc, pdf, rtf, xls हैं।
इसके अलावा, सक्रिय सामग्री को साफ करने के लिए थ्रेट एक्सट्रैक्शन का उपयोग करना सुनिश्चित करें।



उसी समय, पीडीएफ और डॉक जैसे दस्तावेजों के लिए , रूपांतरण को पीडीएफ में कॉन्फ़िगर करना सुनिश्चित करें। इस मामले में, आपको थ्रेट एमुलेशन पर भरोसा करने की आवश्यकता नहीं है। इसके अलावा, एक सकारात्मक फैसले के साथ, उपयोगकर्ता मूल फ़ाइल को डाउनलोड करने में सक्षम होगा (95% मामलों में, किसी को मूल की आवश्यकता नहीं है)।

सामान्य सिफारिशें

नेटवर्क परिधि की सुरक्षा का मुख्य सिद्धांत हमले के क्षेत्र को कम करना है। ऐसा करने के लिए, हमारे पास तंत्र का एक बड़ा समूह है:

1. फ़ायरवॉल स्तर पर अनुमत पोर्ट को सीमित करें;
2. कॉर्पोरेट नेटवर्क में उपयोग किए जाने वाले अनुप्रयोगों को सीमित करें;
3. दुर्भावनापूर्ण संसाधनों तक पहुंच को प्रतिबंधित करें;
4. अवांछित सामग्री प्रकार (निष्पादन योग्य फ़ाइलें, आदि) को रोकें;
5. संपूर्ण चित्र देखने के लिए SSL निरीक्षण सक्षम करें।

इन चरणों के बिना, अन्य सभी क्रियाएं बेकार हैं। हमले के क्षेत्र को कम करने के बाद, हमें हस्ताक्षर विश्लेषण विधियों का अधिकतम उपयोग करना चाहिए, जैसे:

1. एंटी वायरस;
2. आईपीएस;
3. एंटी-बॉट,
4. एंटी-स्पैम।

और उसके बाद, हम भारी उपकरणों पर जा सकते हैं, जैसे सैंडबॉक्स:

1. खतरा अनुकरण;
2. धमकी बाहर निकालना।

इस तरह के सुसंगत दृष्टिकोण नेटवर्क परिधि संरक्षण को बढ़ाने में बहुत मदद करेंगे। दृष्टिकोण लगभग सभी NGFW समाधानों के लिए सार्वभौमिक और प्रासंगिक है।

अतिरिक्त सामग्री

यदि आप इस विषय में रुचि रखते हैं, तो कम से कम निम्नलिखित संसाधनों की सिफारिश की जाती है:

• अधिकतम बिंदु की जाँच करें
• चेक प्वाइंट सिक्योरिटी सेटिंग्स चेकलिस्ट
• चेक प्वाइंट सैंडब्लास्ट के साथ लक्षित (0-दिवसीय) हमलों के खिलाफ संरक्षण ( भाग 1 , भाग 2 , भाग 3 )

आप यहां चेक प्वाइंट सुरक्षा सेटिंग्स का निःशुल्क ऑडिट कर सकते हैं।

जल्द ही हम इस सभी कार्यक्षमता के प्रदर्शन के साथ, एक छोटा पाठ्यक्रम शुरू करने की योजना बना रहे हैं। तो बने रहिये! ( vk , टेलीग्राम )।