Предотвращение вторжений
Служба обнаружения и предотвращения вторжений
Название службы раздела Предотвращение вторжений: ideco-suricata-backend; ideco-suricata; ideco-suricata-event-syncer; ideco-suricata-event-to-syslog.
Список имен служб для других разделов доступен по ссылке.
Служба предотвращения вторжений доступна только в Enterprise-версии Ideco NGFW для пользователей с активной подпиской на обновления.
Правила Предотвращения вторжений, Контроля приложений и Ограничения скорости не обрабатывают трафик между локальными сетями и сетями филиалов.
Для исключения пользователя или групп пользователей из обработки служб Предотвращения вторжений добавьте соответствующее правило в Правила трафика -> Исключения из правил.
Служба предотвращения вторжений (IDS/IPS, Intrusion detection system / Intrusion prevention system) предназначена для:
Правила блокировки трафика включают в себя блокирование активности троянских программ, spyware, бот-сетей, клиентов p2p и торрент-трекеров, вирусов, сети TOR (используемой для обхода правил фильтрации), анонимайзеров и т. д.
Для настройки службы перейдите на вкладку Правила трафика -> Предотвращение вторжений. Включите или выключите службу, переведя выключатель в соответствующее положение:
Раздел состоит из четырех вкладок:
Журнал - фиксирует логи срабатывания правил службы;
Правила - содержит список предустановленных правил;
Исключения из правил - фиксирует в таблицу список отключенных правил службы предотвращения вторжений;
Настройки - во вкладке создаются правила для службы предотвращения вторжений.
На вкладках Журнал, Правила и Исключения из правил доступна фильтрация правил с помощью кнопки Фильтры.
Примеры использования
Пример анализа логов
Предупреждение службы предотвращения вторжений:
На вкладке Правила можно открыть найденную группу по Событию безопасности, нажать на 
и в ней найти сработавшее правило по его ID:
alert http $EXTERNAL_NET any -> any any (msg:"ET SCAN Zmap User-Agent (Inbound)"; flow:established,to_server; http.user_agent; content:"Mozilla/5.0 zgrab/0.x"; depth:21; endswith; classtype:network-scan; sid:2029054; rev:2; metadata:created_at 2019_11_26, former_category SCAN, updated_at 2020_10_23;)
Можно проанализировать IP-адрес, с которым была попытка подозрительного соединения, через whois.
Last updated