NetdefendOS_2.27.01_Firewall_User_Manual_RUS

NetDefendOS автоматически корректирует поток данных, удаляя посторонние данные, связанные с
атакой.
События Insertion/Evasion для записи в журнал
Подсистема Insertion/Evasion Attack в NetDefendOS может генерировать два типа сообщений для
записи в журнал:
• Сообщение Attack Detected, указывающее на то, что атака была обнаружена и предотвращена.
• Сообщение Unable to Detect, уведомляющее о том, что система NetDefendOS не смогла выявить
потенциальную атаку при сборке потока TCP / IP, хотя подобная атака могла присутствовать. Эта
ситуация вызвана редкими и сложными образцами данных в потоке.
Рекомендуемые настройки
По умолчанию, защита от атак Insertion/Evasion включена для всех IDP-правил и это рекомендуемая
настройка для большинства конфигураций. Существует две мотивации для отключения опции:
• Increasing throughput (Увеличение пропускной способности) - Если необходима высокая
пропускная способность, следует выключить функцию, так как это обеспечит небольшое снижение
скорости обработки.
• Excessive False Positives (Чрезмерное количество ложных срабатываний) - Если наблюдается
большое количество ложных срабатываний функции Insertion/Evasion, то целесообразно выключить
функцию во время выяснения причин ложных срабатываний.
6.5.5. Соответствие шаблону IDP
Сигнатуры
Для корректной идентификации атак система IDP использует профиль показателей, или шаблон,
связанный с различными типами атак. Эти предварительно определенные шаблоны, также известные
как сигнатуры, хранятся в локальной базе данных NetDefendOS и используются модулем IDP при
анализе трафика. Каждой сигнатуре IDP назначается уникальный номер.
Рассмотрим следующий простой пример атаки, содержащий обмен данными с FTP-сервером.
Неавторизованный пользователь может попытаться получить файл паролей «passwd» от FTP-сервера
с помощью команды FTP RETR passwd. Сигнатура, выполняющая поиск тектовых строк ASCII
RETR и passwd, обнаружит в данном случае соответствие, указывающее на возможную атаку. В
данном примере найден шаблон в виде простого текста, но соответствие шаблону выполняется тем
же способом на исключительно двоичных данных.
Диагностика неизвестных угроз
Злоумышленники, осуществляющие новые вторжения, часто повторно используют старый код. Это
означает, что новые атаки могут появиться очень быстро. Чтобы противостоять этому, D-Link IDP
использует подход, при котором модуль сканирует все многократно используемые компоненты,
выявляя соответствие шаблону стандартных блоков, а не целого кода. Таким образом, можно
защититься от «известных», новых, недавно реализованных, «неизвестных» угроз, сформированных
с повторным использованием компонентов программного обеспечения.
Advisory
Advisory – это пояснительное текстовое описание сигнатуры. Прочитав текстовое описание
сигнатуры, администратор выяснит, какую атаку или вирус поможет обнаружить данная сигнатура.
В связи с изменением характера базы данных сигнатур, текстовые описания не содержатся в
документации D-Link, но доступны на Web-сайте D-Link:
315