Порядок обработки веб-трафика в Ideco NGFW
Порядок обработки веб-трафика:
1. DNS.
2. Захват трафика для DPI:
Контроль приложений;
Ограничение скорости;
Система предотвращения вторжений.
3. Захват трафика для фильтрации (прокси-сервер):
Контент-фильтр;
Антивирус веб-трафика.
4. Файрвол.
INPUT-правила Файрвола обрабатывают трафик раньше прокси-сервера.
Как проверить, что заблокирует трафик первым: Контроль приложений или система Предотвращения вторжений?
Для примера заблокируем TunnelBear для User1.
1. Перейдите в раздел Контроль приложений и создайте правило, блокирующее протокол TunnelBear для User1:
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F2069559690-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FTz4z7VYtla0HRjAqiwsF%252Fuploads%252Fgit-blob-778895a245ec2c0ad3af8d3e505c6b07b7d4fe76%252Fgeoip0.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=f1d3b0fc&sv=1)
2. Убедитесь, что в разделе Предотвращение вторжений активно правило блокировки Анонимайзеры:
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F2069559690-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FTz4z7VYtla0HRjAqiwsF%252Fuploads%252Fgit-blob-d501911abe272357c706ed27d509e3bbbf2ebb37%252Fgeoip1.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=528bd26c&sv=1)
3. Авторизуйте User1 с устройства на Windows и попробуйте зайти на сайт https://www.tunnelbear.com/
.
4. Перейдите в Управление сервером -> Терминал для просмотра логов Контроля приложений/системы Предотвращение вторжений и выполните команду:
Номер локального интерфейса можно узнать в Терминале, выполнив команду ip a
.
В логах Контроля приложений появятся записи о блокировке протокола TunnelBear:
В Правила трафика -> Предотвращение вторжений -> Журнал записей о срабатывании правила Анонимайзеры нет. Значит, Контроль приложений обрабатывает трафик приоритетнее, чем система Предотвращения вторжений.
Подробнее о расшифровке передаваемых логов системы Предотвращения вторжений и Контроля приложений в статье Syslog.
Как проверить, что система Предотвращения вторжений обрабатывает трафик приоритетнее, чем Файрвол?
Для примера создайте GeoIP-правила для системы Предотвращения вторжений и Файрвола, блокирующие запросы к сайтам Польши.
1. В разделе Правила трафика -> Файрвол создайте правило, блокирующее запросы к сайтам Польши:
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F2069559690-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FTz4z7VYtla0HRjAqiwsF%252Fuploads%252Fgit-blob-d8ebff5ecde628fddd691931e92bd97bb251610f%252Fgeoip2.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=e1e8a534&sv=1)
2. Переведите ползунок Счетчик срабатываний в Отображении данных в положение Включен, чтобы отследить, было ли срабатывание правила.
3. Перейдите на вкладку Логирование, создайте правило логирования:
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F2069559690-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FTz4z7VYtla0HRjAqiwsF%252Fuploads%252Fgit-blob-fbcb29b37e10c8db2e273b560ed96783400ab59c%252Fgeoip3.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=a59b4915&sv=1)
4. Проверьте, что в разделе Предотвращения вторжений включен блок правил блокировки стран Восточной Европы по GeoIP:
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F2069559690-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FTz4z7VYtla0HRjAqiwsF%252Fuploads%252Fgit-blob-d8cfa42c38976d942f63a16f7a201a4ec7418ba4%252Fgeoip6.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=f922f624&sv=1)
5. Авторизуйте пользователя и зайдите на любой польский сайт, например, www.gov.pl
. Сайт не должен открыться.
6. В разделе Правила трафика -> Предотвращение вторжений -> Журнал появится запись о блокировке GeoIP Польши:
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F2069559690-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FTz4z7VYtla0HRjAqiwsF%252Fuploads%252Fgit-blob-52641bc3fc6fdf766ab8a7bccd906717df7fd5e8%252Fgeoip4.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=c6aa4c45&sv=1)
7. Перейдите в раздел Файрвол для просмотра счетчика срабатываний. Он должен быть равен нулю.
Если отключить систему Предотвращения вторжений и снова перейти на сайт www.gov.pl
, то в логах срабатывания Файрвола начнут появляться записи о блокировке:
Информацию о том, как просмотреть логи срабатывания Файрвола, можно найти по ссылке.
Счетчик срабатываний запрещающего правила начал расти, так как трафик, будучи не заблокированным выключенной системой Предотвращения вторжений, пошел далее по приоритету и начал блокироваться Файрволом:
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F2069559690-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FTz4z7VYtla0HRjAqiwsF%252Fuploads%252Fgit-blob-9916c0cc880338675e9e4448cbe2c38f39c58091%252Fgeoip5.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=6398d7c1&sv=1)
Система Предотвращения вторжений обрабатывает трафик приоритетнее, чем Файрвол.
Как проверить, что Контент-фильтр обрабатывает трафик приоритетнее, чем Антивирус веб-трафика?
Для примера использовался тестовый файл с Eicar, доступный для скачивания по ссылке.
1. Перейдите в раздел Правила трафика -> Контент фильтр -> Пользовательские категории. Нажмите Добавить.
2. Введите ссылку на ресурс и нажмите :
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F2069559690-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FTz4z7VYtla0HRjAqiwsF%252Fuploads%252Fgit-blob-dc81b25011b880ddfbaff17c20f15c09159c4317%252Fcontent-filter14.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=94579ea8&sv=1)
3. Перейдите на вкладку Правила и создайте два правила для User1:
Правило расшифровки всех HTTPS-запросов, чтобы антивирус мог работать с HTTPS-трафиком;
Правило блокировки созданной пользовательской категории:
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F2069559690-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FTz4z7VYtla0HRjAqiwsF%252Fuploads%252Fgit-blob-4da2eeb2e485b4ee5612c6ced3286b6440955227%252Fprocessing-order1.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=745b036f&sv=1)
4. Убедитесь, что опция Антивирусы веб-трафика переведена в положение Включен:
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F2069559690-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FTz4z7VYtla0HRjAqiwsF%252Fuploads%252Fgit-blob-d319c2e09622c5dcf772fc7272c5385281c3f579%252Fprocessing-order.gif%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=8ec89058&sv=1)
5. Авторизуйте пользователя и перейдите по ссылке на скачивание Eicar. Откроется страница блокировки Контент-фильтра:
![](https://docs.ideco.dev/~gitbook/image?url=https%3A%2F%2F2069559690-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FTz4z7VYtla0HRjAqiwsF%252Fuploads%252Fgit-blob-c1b4c3185773dea9ba2f1fd7dc7890ddcd3c54df%252Fprocessing-order2.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=3ce8d187&sv=1)
Контент-фильтр обрабатывает трафик приоритетнее, чем антивирусы. Просмотреть информацию о срабатывании правил Контент-фильтра можно в Отчеты -> Трафик -> Топ сайтов.
Last updated