Настройка правил SSH-инспектирования производится на уровне security-policy ssh-inspection. О структуре команд читайте подробнее в разделе Настройка правил с использованием UPL.
Далее представлены параметры правил инспектирования SSH.
Параметр
Описание
OK
PASS
Действие правила инспектирования SSH:
OK — Расшифровать.
PASS — Не расшифровывать
enabled
Включение/отключение правила:
enabled(yes) или enabled(true).
enabled(no) или enabled(false).
name
Название правила инспектирования SSH.
Для указания названия правила: name("SSH inspection rule example").
desc
Описание правила.
Например: desc("SSH inspection rule example configured in CLI").
rule_log
Запись в журнал информации о трафике при срабатывании правила. Возможны варианты:
rule_log(no) или rule_log(false) — отключить журналирование. Если при создании правила rule_log не указано, функция журналирования отключена.
rule_log(yes) или rule_log(true) — включить журналирование.
block_ssh_shell
Блокирование удалённого запуска shell (интерпретатора командной строки, оболочки). Доступно в правилах с действием Расшифровать:
block_ssh_shell(yes) или block_ssh_shell(true) — включить блокировку.
block_ssh_shell(no) или block_ssh_shell(false) -отключить блокировку.
block_ssh_exec
Блокирование удалённого выполнения по SSH. Доступно в правилах с действием Расшифровать:
block_ssh_exec(yes) или block_ssh_exec(true) — включить блокировку.
block_ssh_exec(no) или block_ssh_exec(false) — отключить блокировку.
ssh_command
Команда linux, которую требуется передать, в формате
Редактирование команды SSH доступно в правилах с действием Расшифровать.
block_sftp
Блокирование соединения SFTP (Secure File Transfer Protocol). Доступно в правилах с действием Расшифровать:
block_sftp(yes) или block_sftp(true) — включить блокировку соединения.
block_sftp(no) или block_sftp(false) — отключить блокировку соединения.
user
Пользователи и группы пользователей, для которых применяется правило инспектирования SSH (локальные или LDAP).
Для добавления LDAP групп и пользователей необходим корректно настроенный LDAP-коннектор (о настройке LDAP-коннектора через CLI читайте в разделе Настройка LDAP-коннектора).
В следующей строке описано добавление локальных пользователя (local_user) и группы (Local Group), пользователя (example.local\AD_user) и группы LDAP (AD group):
user = (local_user, "CN=Local Group, DC=LOCAL", "example.loc\\AD_user", "CN=AD group, OU=Example, DC= example, DC=loc")
Заранее был настроен домен Active Directory example.loc. При добавлении пользователей и групп LDAP можно указать список путей на сервере, начиная с которых система будет осуществлять поиск пользователей и групп.
src.zone
Зона источника трафика.
Для указания зоны источника, например, Trusted: src.zone = Trusted.
Подробнее о настройке зон с использованием интерфейса командной строки читайте в разделе Зоны.
src.ip
Добавление списков IP-адресов или доменов источника.
Для указания списка IP-адресов: src.ip = lib.network(); в скобках необходимо указать название списка. Подробнее о создании и настройке списков IP-адресов с использованием CLI читайте в разделе Настройка IP-адресов.
Для указания списка доменов источника: src.ip = lib.url(); в скобках необходимо указать название URL, в который были добавлены необходимые домены. Подробнее о создании и настройке списков URL с использованием интерфейса командной строки читайте в разделе Настройка списков URL.
src.geoip
Указание GeoIP источника; необходимо указать код страны (например, src.geoip = RU).
Коды названий стран доступны по ссылке ISO 3166-1.
Важно! Существует ограничение на количество GeoIP, которое может быть указано: не более 15.
dst.ip
Добавление списков IP-адресов или доменов назначения.
Для указания списка IP-адресов: dst.ip = lib.network(); в скобках необходимо указать название списка. Подробнее о создании и настройке списков IP-адресов с использованием CLI читайте в разделе Настройка IP-адресов.
Для указания списка доменов назначения: dst.ip = lib.url(); в скобках необходимо указать название URL-списка, в который были добавлены необходимые домены. Подробнее о создании и настройке списков URL с использованием интерфейса командной строки читайте в разделе Настройка списков URL.
dst.geoip
Указание GeoIP назначения; необходимо указать код страны (например, dst.geoip= RU).
Коды названий стран доступны по ссылке ISO 3166-1.
Важно! Существует ограничение на количество GeoIP, которое может быть указано: не более 15.
