Назначение профиля СОВ

Профиль СОВ позволяет создавать динамический набор сигнатур СОВ, предназначенный для обнаружения вторжений и защиты определенных сервисов. Динамичность профиля достигается за счет того, что профиль явно не содержит в себе никаких сигнатур, а содержит фильтры, с помощью которых собирается набор сигнатур. Для фильтрации используются как описательные поля сигнатур, так и настройки. В итоге получается, что при изменении библиотеки сигнатур профили динамически наберут новые наборы сигнатур, удовлетворяющих фильтрам профилей.

Помимо создания необходимого набора сигнатур в профиле могут определяться действия, которые будут выполняться над трафиком, отфильтрованным сигнатурами.

Создание профиля СОВ в веб-консоли администратора

В веб-консоли администратора профили СОВ создаются в разделе Библиотеки ➜ Профили СОВ.

Необходимо нажать Добавить и заполнить соответствующие поля в свойствах профиля:

1. В поле Название указать название создаваемого профиля.

2. В поле Описание опционально указать назначение профиля.

3. В области Фильтры добавляются фильтры для выбора необходимых сигнатур из библиотеки.

4. На вкладке Совпавшие сигнатуры отображается превью сигнатур СОВ, отобранных всеми фильтрами профиля, и настроенные действия, которые необходимо выполнить над трафиком, отфильтрованным этими сигнатурами.

Настройка фильтров сигнатур в профиле СОВ

Для создания фильтра сигнатур необходимо в области Фильтры нажать кнопку Добавить. Откроется окно свойств фильтра. 

Фильтр можно создать, выбирая опции фильтрации в панели инструментов. В окне под панелью инструментов будут отображаться сигнатуры, отбираемые этим фильтром: 

Также фильтр можно создать, описав его с помощью sql-подобного синтаксиса. Для этого необходимо нажать кнопку Расширенный в панели инструментов и в открывшейся строке описать свойства выбора фильтра:

Начиная с версии ПО 7.3.0 в свойствах фильтров доступна возможность перенастройки параметров всех сигнатур, отбираемых фильтром:

Можно перенастроить следующие параметры отфильтрованных сигнатур:

• Состояние сигнатуры — возможность включить или выключить сигнатуры. Значение "По умолчанию" оставляет состояние всех сигнатур, как оно определено в самих сигнатурах по умолчанию.

• Действие — предпринимаемое действие, если сигнатура сработала, т.е. была найдена в трафике. Действия могут быть следующие: пропустить пакет, отбросить пакет, сбросить пакет с разрывом TCP соединения, блокировать IP-адрес источника и/или назначения. Значение "По умолчанию" оставляет для всех сигнатур то действие, которое было определено в самих сигнатурах по умолчанию.

• Журналировать — включение/отключение журналирования срабатывания сигнатуры. Значение "По умолчанию" оставляет настройку журналирования для всех сигнатур, как она определена в самих сигнатурах по умолчанию. 

• Файл PCAP — включение/отключение записи в PCAP-файл, если сигнатура сработала. Значение "По умолчанию" оставляет настройку записи в PCAP-файл для всех сигнатур, как она определена в самих сигнатурах по умолчанию. 

• Применить к — настраивается, если параметр Действие выставлен в значения Сбросить или Блокировать IP. Параметр имеет следующие значения: Источник, Назначение, Оба.

• Продолжительность — возможно настроить, если параметр Действие имеет значение Блокировать IP. Число, указывающее срок блокировки IP-адреса. Если значение равно нулю, IP-адрес блокируется бесконечно. 

Для сохранения созданного фильтра необходимо нажать кнопку Сохранить.

В одном профиле можно использовать сразу несколько фильтров.

Фильтры в профиле работают по логическому ИЛИ. Например, если в профиле добавлено два фильтра: `category = injection` и `threat = low`, они эквивалентны одному фильтру: `category = injection OR threat = low`.

Если одна и та же сигнатура попала в несколько фильтров, то приоритет настроек параметров сигнатуры определяется настройками в верхнем фильтре в списке.

Фильтры в профиле можно двигать вверх-вниз:

Точечное переопределение параметров сигнатур в профиле СОВ

На вкладке профиля Совпавшие сигнатуры можно произвести точечное переопределение параметров сигнатуры. Для этого необходимо выбрать нужные сигнатуры в списке совпавших сигнатур и нажать кнопку Переопределить в панели инструментов:

Переопределение настроек сигнатур в профиле СОВ имеет более высокий приоритет, чем настройки этих же сигнатур в библиотеке сигнатур СОВ.

Измененные настройки сигнатур СОВ можно вернуть в первоначальное состояние, для этого нужно выделить сигнатуру в списке сигнатур профиля и нажать кнопку Восстановить по умолчанию в панели инструментов профиля:

Приоритет значений параметров сигнатуры СОВ

В настоящий момент значения параметров сигнатуры СОВ (такие как состояние, действие, журналирование, запись в файл PCAP итд.) могут быть определены в трёх местах:

• В настройках сигнатуры в библиотеке сигнатур СОВ (Библиотеки ➜ Сигнатуры СОВ).

• В настройках фильтров в профиле сигнатур СОВ (подробнее выше в главе Настройка фильтров сигнатур в профиле СОВ). Внимание! Эта опция доступна начиная с релиза ПО 7.3.0!

• Точечное переопределение параметров сигнатур в списке совпавших сигнатур профиля СОВ (подробнее выше в главе Точечное переопределение параметров сигнатур в профиле СОВ).

Приоритет назначений параметров сигнатуры СОВ определяется согласно следующей диаграмме: 

Применение профилей СОВ

Администратор может создать необходимое количество профилей. Рекомендуется ограничивать количество сигнатур в профиле только теми, которые необходимы для защиты определенного сервиса. Большое количество сигнатур требует большего времени обработки трафика и загрузки процессора.

Профиль СОВ применяется в разрешающем правиле межсетевого экрана. 

Правила межсетевого экрана обрабатываются сверху вниз и сессия попадает в первое правило, которое удовлетворяет всем условиям в нем. После попадания под правило с профилем СОВ, трафик начинает анализироваться с помощью определенного в профиле набора сигнатур. При этом анализируются как прямые, так и обратные пакеты согласно условий в фильтре, независимо от того, откуда устанавливается соединение. При срабатывании сигнатур профиля будет выполнено действие, настроенное в профиле и произведена соответствующая запись в Журнале СОВ, если была включена опция журналирования. Если ни одна из сигнатур профиля не была найдена, то трафик пропускается дальше.

Если срабатывает сигнатура с действием Блокировать IP, то тогда блокируется IP-адрес источника или назначения (в зависимости от настройки) на определенное в настройках время. Заблокированные сигнатурами IP-адреса отображаются на странице Диагностика и мониторинг в разделе Заблокированные СОВ/L7 IP-адреса (подробнее читайте в разделе Заблокированные СОВ/L7 IP-адреса).

Сигнатуры СОВ представляют собой некоторую совокупность строк (паттернов) и семантических выражений (фильтров, модификаторов, иных конструкций), которые позволяют идентифицировать/пометить сетевую атаку и предпринять определенные действия. Сигнатуры добавляются в профили СОВ и используются в правилах межсетевого экрана для обнаружения вторжений и защиты сети.

В UserGate могут использоваться два типа сигнатур СОВ:

• Проприетарные сигнатуры.

• Кастомизированные пользовательские сигнатуры.

Проприетарные сигнатуры СОВ создаются разработчиками UserGate и автоматически добавляются в библиотеку системы при наличии соответствующей лицензии. В списке сигнатур в библиотеке такие сигнатуры помечаются в колонке Владелец как: @UserGate.

В проприетарных сигнатурах пользователь может перенастроить следующие параметры:

• Включение/отключение сигнатуры.

• Предпринимаемое действие, если сигнатура сработала, т.е. была найдена в трафике. Действия могут быть следующие: пропустить пакет, отбросить пакет, сбросить пакет с разрывом TCP соединения, блокировать IP-адрес источника и/или назначения.

• Журналирование сигнатуры.

• Запись в pcap-файл, если сигнатура сработала.

Дополнительные опциональные параметры проприетарных сигнатур:

• Применить к — настраивается, если параметр Действие выставлен в значения Отбросить пакет с разрывом TCP соединения, Блокировать IP-адрес источника и/или назначения. Параметр имеет следующие значения: Источник, Назначение, Оба.

• Продолжительность — возможно настроить, если параметр Действие имеет значение Блокировать IP-адрес источника и/или назначения. Число, указывающее длительность блокировки IP-адреса. Если значение равно нулю, IP-адрес блокируется бесконечно. 

Некоторые сигнатуры также имеют настройку следующих дополнительных параметров:

• Частота срабатывания — количество срабатываний за промежуток времени (секунды).

• Направление — настройка агрегирования по IP-адресу источника или назначения.

Примеры сигнатур с такими настройками:

1064, 1672, 1711, 1732, 1738, 1740, 1741, 5315, 5611, 5612, 5657, 5699, 5701, 5757, 

13003, 17002, 17003, 17004, 45022, 3029251, 3031043, 3031817, 3032798, 3032823, 

3033202, 3033935, 3034466, 3035136, 3037395, 3037608, 3037708, 3037771, 3039602, 

3039703, 3039876, 3039883, 3040088, 3040443, 3042187, 3046218, 3046453, 3046609, 

3049480, 3050453, 3050940, 3051410, 3051613, 3051634, 90000000, 90000001, 90000002, 

90000003, 90000004, 90000005, 90000006, 90000007, 90000008, 90000009, 90000010

После изменения настроек параметров по умолчанию у проприетарных сигнатур в колонке Статус будет указано: Изменено:

Измененные пользователем настройки проприетарных сигнатур СОВ можно вернуть в первоначальное состояние, для этого в веб-консоли администратора в разделе Библиотеки ➜ Сигнатуры СОВ нужно выделить сигнатуру в списке и нажать кнопку Восстановить по умолчанию:

Кастомизированные сигнатуры СОВ создаются самим пользователем. 

Для создания кастомизированной сигнатуры СОВ в веб-консоли администратора необходимо перейти в раздел Библиотеки ➜ Сигнатуры СОВ и нажать на кнопку Добавить. Далее заполняются поля с параметрами сигнатуры. Признаки сетевых уязвимостей описываются с помощью синтаксиса языка UASL (UserGate Application and Security Language).

При создании кастомизированной сигнатуры необходимо настроить ее параметры. На вкладке Общие:

На вкладке UASL и настройки:

С помощью кнопки Проверить сигнатуру можно проверить корректность синтаксиса UASL в описании сигнатуры. Если описание корректно, появится окно с подтверждением:

Если в описании сигнатуры с помощью синтаксиса UASL были допущены ошибки, появится окно с результатом проверки и указанием места, где допущена ошибка:

Данный большой раздел содержит в себе все записи, адреса сайтов, IP-адреса, шаблоны и прочие элементы, которые используются при настройке правил UserGate NGFW.

Первоначальные данные библиотек поставляются вместе с продуктом. Администратор может добавлять необходимые ему элементы в процессе работы. Некоторые элементы библиотек являются нередактируемыми, потому что поставляются и поддерживаются разработчиками UserGate. Библиотеки элементов, поставляемые UserGate, имеют механизм автоматического обновления. Автоматическое обновление элементов требует наличия специальной лицензии. Более подробно о лицензии на продукт вы можете прочитать в главе Лицензирование.

Назначение профиля приложений

Профиль приложений позволяет создавать динамический набор сигнатур приложений, предназначенный для анализа трафика на 7 уровне модели OSI. Динамичность профиля достигается за счет того, что профиль явно не содержит в себе никаких сигнатур, а содержит фильтры, с помощью которых собирается набор сигнатур. При изменении библиотеки сигнатур приложений профили динамически наберут новые наборы сигнатур, удовлетворяющих фильтрам профилей.

Помимо создания необходимого набора сигнатур в профиле могут определятся действия, которые необходимо выполнить над приложениями, отфильтрованными сигнатурами и действия, которые должны быть применены к трафику, который не удалось идентифицировать. 

Создание профиля приложений в веб-консоли администратора

В веб-консоли администратора профили приложений создаются в разделе Библиотеки ➜ Профили приложений.

Необходимо нажать Добавить и заполнить соответствующие поля в свойствах профиля приложений:

1. В поле Название указать название создаваемого профиля.

2. В поле Описание опционально указать назначение профиля.

3. В области Фильтры добавляются фильтры для выбора необходимых сигнатур из библиотеки и настраиваются действия, которые необходимо выполнить над приложениями, отфильтрованными сигнатурами.

4. В области Настройки сигнатуры неопределенных приложений определяются действия с трафиком, который не был определен сигнатурами данного профиля.

5. На вкладке Совпавшие сигнатуры отображается превью сигнатур приложений, отобранных всеми фильтрами профиля, и настроенные действия, которые необходимо выполнить над приложениями, отфильтрованными этими сигнатурами.

Настройка фильтров сигнатур в профиле приложений

Для создания фильтра сигнатур приложений необходимо в области Фильтры нажать кнопку Добавить. Откроется окно свойств фильтра. 

Фильтр можно создать, выбирая опции отбора в панели инструментов. Ниже в окне будут отображаться сигнатуры из библиотеки, попадающие под действие этого фильтра:  

Также фильтр можно создать, описав его с помощью sql-подобного синтаксиса. Для этого необходимо нажать кнопку Расширенный в панели инструментов и в открывшейся строке описать свойства выбора фильтра:

В каждом фильтре могут настраиваться состояния сигнатур и действия, которые применяются ко всем сигнатурам, попадающим под него:

• Включение/отключение сигнатуры.

• Включение/отключение журналирования сигнатуры.

• Запись в pcap-файл, если сигнатура сработала.  

• Предпринимаемое действие над трафиком, если сигнатура сработала, т.е. приложение было найдена в трафике. Действия могут быть следующие: пропустить, отбросить, отбросить с разрывом TCP соединения, блокировать IP-адрес источника и/или назначения.

Для сохранения созданного фильтра необходимо нажать кнопку Сохранить.

В одном профиле может быть создано сразу несколько фильтров.

Фильтры в профиле работают по правилу логического ИЛИ. 

Порядок фильтров сигнатур в профиле важен – настройки верхнего фильтра имеют высший приоритет.  Например, если в библиотеку сигнатур приложений будут добавлены новые сигнатуры и они попадут под действие сразу нескольких фильтров одного профиля, им будет присвоено настроенное действие первого фильтра, под который они попадают.

Настройка действий для трафика, который не удалось идентифицировать

В профиле приложений может быть настроено действие, которое применяется к трафику, который не удалось идентифицировать с помощью набора сигнатур профиля.

В области  Настройки сигнатуры неопределенных приложений настраивается действие, включается/отключается журналирование и запись в файл pcap.

Действия могут быть следующие: пропустить, отбросить, отбросить с разрывом TCP соединения.

Примеры настроек профилей приложений

Пример 1. Профиль приложения с сигнатурой, зависимой от сигнатуры протокола

Списки сигнатур, зависимых от сигнатур протоколов, приведены в разделе Приложения. 

Создадим профиль для приложения Kontur Talk, которое определяется соответствующей сигнатурой (id=14002). Чтобы запретить весь трафик, кроме трафика приложения Kontur Talk, профиль приложений должен выглядеть следующим образом:

Сигнатура SSL/TLS (id=19) необходима для работы сигнатуры Kontur Talk, поэтому она добавляется в профиль, но для нее выставляется действие Отбросить, чтобы не пропускать посторонний трафик по протоколам SSL/TLS. Для неидентифицированного трафика также устанавливается действие Отбросить.

Пример 2. Профиль для белого списка со связанными сигнатурами

Списки связанных сигнатур приведены в разделе Приложения.

Создадим профиль для случая, когда необходимо разрешить загрузку файлов на Yandex Disk. Для того, чтобы сигнатура Yandex.Disk upload работала, необходимо учесть её зависимость от сигнатуры протокола SSL/TLS (id=19) и связанность с сигнатурами Yandex.Disk (id=218) и Yandex Services (id=12044). В данном примере профиль приложений будет выглядеть следующим образом:

Таким образом разрешается доступ и загрузка файлов на Yandex Disk, а весь остальной трафик помечается как неидентифицированный и отбрасываться либо действием сигнатуры SSL/TLS, либо действием для сигнатур неопределенных приложений.

Пример 3. Профиль для черного списка со связанными сигнатурами

В данном примере разрешается весь трафик, кроме попадающего под сигнатуру Yandex.Disk upload (id=7708). Для этого случая необходимо учесть зависимость сигнатуры Yandex.Disk upload от сигнатуры протокола SSL/TLS (id=19). Связанность с сигнатурами Yandex.Disk и Yandex Services в случае блокировки не учитывается. Профиль приложений в данном примере будет выглядеть следующим образом:

Таким образом запрещается загрузка файлов на Yandex Disk, а весь остальной трафик разрешается либо действием сигнатуры SSL/TLS, либо действием для сигнатур неопределенных приложений.

Применение профилей приложений

Администратор может создать необходимое количество профилей. Рекомендуется ограничивать количество сигнатур в профиле только теми, которые необходимы для защиты определенного сервиса. Большое количество сигнатур требует большего времени обработки трафика и загрузки процессора.

Профиль приложения применяется в разрешающем правиле межсетевого экрана. 

Правила межсетевого экрана обрабатываются сверху вниз и сессия попадает в первое правило, которое удовлетворяет всем условиям в нем (адреса/зоны источника/назначения, пользователи итд.). После попадания под разрешающее правило с профилем приложений, трафик начинает анализироваться с помощью сигнатур профиля. При этом анализируются как прямые, так и обратные пакеты согласно условий в фильтре, независимо от того, откуда устанавливается соединение. При срабатывании сигнатур профиля будет выполнено действие, настроенное в фильтрах профиля и произведена соответствующая запись в Журнале трафика, если была включена опция журналирования. Если ни одна из сигнатур не была найдена, то к трафику будет применено действие, настроенное в профиле для неидентифицированного трафика.

Если срабатывает сигнатура с действием Блокировать IP, то тогда блокируется IP-адрес источника или назначения (в зависимости от настройки) на определенное в настройках время. Заблокированные сигнатурами IP-адреса отображаются на странице Диагностика и мониторинг в разделе Заблокированные СОВ/L7 IP-адреса (подробнее читайте в разделе Заблокированные СОВ/L7 IP-адреса).

Сигнатуры приложений представляют собой совокупность семантических выражений, с помощью которых описываются характерные признаки определенных сетевых приложений. Они используются в межсетевом экране для анализа трафика на 7 уровне модели OSI для контроля сетевого трафика.

Типы сигнатур приложений

В UserGate могут использоваться два типа сигнатур приложений:

• Проприетарные сигнатуры приложений.

• Кастомизированные сигнатуры приложений.

Проприетарные сигнатуры приложений создаются разработчиками UserGate и автоматически добавляются в библиотеку системы при наличии соответствующей лицензии. В списке сигнатур в библиотеке такие сигнатуры помечаются в колонке Владелец как: @UserGate.

Кастомизированные сигнатуры приложений создаются самим пользователем. Для создания пользовательской сигнатуры приложений в веб-консоли администратора необходимо перейти в раздел Библиотеки ➜ Приложения и нажать на кнопку Добавить. Далее заполняются поля с параметрами сигнатуры, описываются признаки сигнатуры с помощью синтаксиса UASL.

Необходимо заполнить следующие поля:

Сигнатуры приложений, зависимые от типа протокола

Некоторые сигнатуры приложений для своей работы в профилях приложений требуют наличия сигнатур определенного протокола.

В следующей таблице представлены такие зависимости:

Связанные сигнатуры

Некоторые сигнатуры зависят не только от сигнатуры протокола, но и от связанных сигнатур.

Список связанных сигнатур приложений приведен в следующей таблице:

Раздел IP-адреса содержит список диапазонов IP-адресов, которые могут быть использованы при построении правил NGFW. Первоначальный список адресов поставляется вместе с продуктом. Администратор может добавлять необходимые ему элементы в процессе работы. Для добавления нового списка адресов необходимо выполнить следующие шаги:

Администратор имеет возможность создавать свои списки IP-адресов и централизованно распространять их на все межсетевые экраны UserGate. Для создания такого списка необходимо выполнить следующие действия:

x.x.x.x
y.y.y.y
z.z.z.z

Link Layer Discovery Protocol (LLDP) — протокол канального уровня, позволяющий сетевым устройствам, работающим в локальной сети, объявлять о своём существовании и передавать свои характеристики и получать аналогичные сведения. Информация, собранная при помощи операции LLDP, хранится в сетевом устройстве.

Для создания профиля безопасности необходимо нажать Добавить в разделе Библиотеки ➜ Профили LLDP и указать следующие параметры:

При использовании syslog в качестве источников событий UserGate производит фильтрацию событий в соответствии с указанными syslog-фильтрами UserID агента. Фильтры syslog представляют из себя стандартные Regexp выражения, которые пользователь может писать и сам. В стандартной поставке представлены три вида фильтров:

 Найденные события отображаются во вкладке Журналы и отчёты, в разделе Журналы —> Агент UserID —> Syslog.

Для чего нужны сценарии

UserGate NGFW позволяет существенно сократить время между обнаружением атаки и реакцией на нее благодаря концепции SOAR (Security Orchestration, Automation and Response). NGFW реализует данную концепцию с помощью механизма сценариев. Сценарий является дополнительным условием в правилах межсетевого экрана, пропускной способности, контентной фильтрации, PBR, правилах защиты DoS, позволяя администратору настроить реакцию NGFW на определенные события, произошедшие за некое продолжительное время.

Примером работы сценариея может быть задача по ограничению на определенное время пропускной спообности для пользователя, который выбрал установленный лимит трафика.

Настройка сценариев

Для начала работы со сценариями необходимо выполнить следующие шаги:

1. Создать сценарий. 

2. Применить созданный сценарий в правилах межсетевого экрана, пропускной способности, контентной фильтрации, PBR, правилах защиты DoS.

В веб-консоли администратора сценарии создаются в разделе Библиотеки элементов ➜ Сценарии.

При создании сценария необходимо указать следующие параметры:

• Включено — Включает или отключает сценарий.

• Название — Название сценария.

• Описание — Описание сценария.

• Применить для — Параметр, отвечающий за количество пользователей в правиле, к которым будет применен сценарий. Возможны варианты:

  • Одного пользователя — при срабатывании сценария, правило, в котором используется сценарий, будет применено только к тому пользователю, для которого сработал сценарий.

  • Всех пользователей — при срабатывании сценария, правило в котором используется сценарий, будет применено ко всем пользователям, указанным в поле Пользователи/Группы правила.

• Продолжительность — длительность работы ограничивающего правила, в котором сработал сценарий.

На вкладке Условия задаются условия срабатывания сценария. Для каждого условия можно указать количество срабатываний за определенное время, необходимое для срабатывания сценария. Если выбрано несколько условий, то необходимо указать механизм срабатывания сценария — совпадение хотя бы одного из указанных условий, или всех условий.

Настройка условий срабатывания сценариев

Возможны следующие условия срабатывания для использования в сценарии:

• Категория URL — совпадения указанных категорий UserGate URL в трафике пользователя.

• Обнаружен вирус — факт обнаружения вируса.

• Приложение — обнаружено указанное приложение в трафике пользователя.

• СОВ — срабатывание системы обнаружения вторжений.

• Типы контента — обнаружены указанные типы контента в трафике пользователя.

• Объем трафика — объем трафика пользователя превысил определенный лимит за указанную единицу времени.

• Проверка состояния — проверка состояния какого-либо ресурса, который должен быть доступен с NGFW. Проверка может осуществляться с помощью команды icmp ping, запроса DNS или выполнения HTTP GET.

Категория URL

Условием срабатывания в данном случае является совпадения указанных категорий UserGate URL в трафике пользователя.

В данном условии настраиваются следующие параметры:

• Количество срабатываний — количество срабатываний, после которых активируется условие сценария;

• За интервал — интервал, в течение которого будет считаться количество срабатываний.

• Выбор категорий сайтов из библиотеки элементов или создание списка с категориями сайтов из имеющихся в библиотеке элементов.

• Проверить URL — возможность проверки конкретного URL на соответствие той или иной категории.

Обнаружен вирус

Условием срабатывания в данном случае является обнаружение вируса в трафике пользователя.

Приложение

Условием срабатывания в данном случае является обнаружение определенных приложений в трафике пользователя.

В данном условии настраиваются следующие параметры:

• Количество срабатываний — количество срабатываний, после которых активируется условие сценария;

• За интервал — интервал, в течение которого будет считаться количество срабатываний.

• Выбор групп или категорий приложений из библиотеки элементов.

СОВ

Условием срабатывания в данном случае является детектирование системой СОВ угрозы определенного уровня.

Типы контента

В данном условии настраиваются следующие параметры:

• Количество срабатываний — количество срабатываний, после которых активируется условие сценария;

• За интервал — интервал, в течение которого будет считаться количество срабатываний.

• Выбор типов контента из библиотеки элементов.

Объем трафика

Условие срабатывания сценария по объему прошедшего трафика через NGFW.

В данном условии настраиваются параметры:

• Введите размер — предельный объем трафика, прошедшего через NGFW, при котором сработает сценарий. 

• Период — промежуток времени за который будет посчитан объем проходящего трафика.

Т.е. если будет выбран 5 ГБ за день, то при превышении 5 ГБ трафика пользователем за 1 день, сработает данный сценарий.  

Проверка состояния

Условия срабатывания сценарии зависят от состояния сервера, запрос к которому идет с NGFW. 

Возможны следующие методы проверки состояния сервера:

• Ping;

• DNS;

• HTTP GET.

Метод Ping. 

В данном условии настраиваются следующие параметры:

• Адрес — IP-адрес для выполнения ICMP ping c NGFW.

• Шлюз — шлюз.

• Результат — отрицательный или положительный. Определяет, какой результат будет ожидаться от пинга сервера. Отрицательный — нет ответа по ping, положительный — ответ есть.

• Тайм-аут подключения — максимальное время, в течение которого клиент готов ждать ответа от сервера после успешного установления соединения.

• Количество срабатываний — количество срабатываний, после которых активируется условие сценария;

• За интервал — интервал, в течение которого будет считаться количество срабатываний.

Метод DNS.

В данном условии настраиваются следующие параметры:

• Адрес — это ip адрес DNS сервера, на который посылаем DNS запросы с NGFW.

• FQDN запроса — доменное имя сервера, которое разрешается в рамках проверки доступности.

• Шлюз — шлюз.

• Результат — положительный или отрицательный. Определяет, какой результат будет ожидаться от запроса сервера. Отрицательный  — нет ответа, положительный — ответ есть.

• Тайм-аут подключения — максимальное время, в течение которого клиент готов ждать ответа от сервера после успешного установления соединения.

• Тип DNS-запроса — тип DNS-запроса (a, aaaa, cname, ns, ptr).

• Количество срабатываний — количество срабатываний, после которых активируется условие сценария.

• За интервал — интервал, в течение которого будет считаться количество срабатываний.

Тип HTTP GET

В данном условии настраиваются следующие параметры:

• Адрес — домен для выполнения HTTP GET c NGFW.

• Шлюз — шлюз.

• Результат — положительный или отрицательный. Определяет, какой результат будет ожидаться от запроса сервера. Отрицательный  — нет ответа, положительный — ответ есть.

• Тайм-аут подключения — максимальное время, в течение которого клиент готов ждать ответа от сервера после успешного установления соединения.

• Тайм-аут ответа — тайм-аут ответа для проверки выполнением  HTTP GET.

• Количество срабатываний — количество срабатываний, после которых активируется условие сценария.

• За интервал — интервал, в течение которого будет считаться количество срабатываний.

Пример использования сценариев

Как пример, сценарии могут использоваться в правилах межсетевого экрана для ограничения доступа в сеть, если происходит какое-либо событие, описанное в сценарии.

В данном примере реализуется следующий сценарий: для подключенных к NGFW узлов должно работать правило межсетевого экрана, блокирующее доступ в сеть на 5 минут, если на этом узле было скачано за 1 минуту 250 МБ трафика и более. В ином случае доступ в сеть через NGFW должен быть разрешен.

Создан сценарий с условием срабатывания по объему прошедшего трафика:

В межсетевом экране создано блокирующее правило, в которое добавлен созданный сценарий:

Верхнее блокирующее правило Block by traffic в межсетевом экране имеет более высокий приоритет по отношению к нижнему разрешающему правилу Allow all, но оно сработает только в случае срабатывания сценария по объему прошедшего трафика. В остальных случаях трафик будет разрешен правилом Allow all.   

Страница предназначена для задания списков указателей URL, которые могут быть использованы в правилах контентной фильтрации в качестве черных и белых списков.

Компания UserGate предоставляет собственные обновляемые списки. Для использования этих списков необходима соответствующая лицензия. Более подробно о лицензии на продукт вы можете прочитать в главе Лицензирование.

Для фильтрации с помощью списков URL необходимо выполнить следующие действия:

Если URL-запись начинается с http://, «https://», «ftp://» или содержит один или более символов «/», то это считается URL и применяется только для HTTP(S) фильтрации, к DNS-фильтрации такая запись не применяется. В противном случае строка рассматривается как имя домена и применяется для DNS-фильтрации и HTTP(S)-фильтрации.

Если вы хотите заблокировать точный адрес, используйте символы «^» и «$»:

^http://domain.com/exacturl$

Для блокирования точного URL всех дочерних папок используйте символ «^»:

^http://domain.com/exacturl/

Для блокирования домена со всеми возможными URL используйте запись такого вида:

domain.com

Пример интерпретации URL-записей:

Администратор имеет возможность создавать собственные списки и централизованно распространять их на все межсетевые экраны UserGate. Для создания таких списков необходимо выполнить следующие действия: