Konfiguracja i bezpieczne testowanie IPS na Sophos Firewall

Intrusion Prevention System (IPS) jest jedną z najważniejszych funkcji ochronnych Sophos Firewall. IPS analizuje ruch pod kątem znanych wzorców ataków, exploitów i podejrzanych zachowań protokołów. Prawidłowo wdrożony zapewnia dodatkową ochronę klientów, serwerów, opublikowanych usług i połączeń VPN obok reguł zapory, Web Protection, Application Control i TLS Inspection.

W praktyce IPS nie jest przełącznikiem, który należy wszędzie ustawić na maksimum. Nieprawidłowa lub zbyt szeroka polityka IPS może zakłócić prawidłowy ruch, VoIP i działanie aplikacji, zwiększyć obciążenie albo powodować fałszywe alarmy. Dlatego IPS należy włączać planowo, dobierać osobno do każdej reguły, a następnie weryfikować na podstawie logów i testów.

Kiedy warto stosować IPS

IPS jest szczególnie przydatny tam, gdzie ruch wiąże się z podwyższonym ryzykiem lub znane exploity powinny być blokowane na wczesnym etapie.

Typowe zastosowania:

• sieci klienckie z dostępem do Internetu
• sieci serwerowe i strefy DMZ
• reguły DNAT prowadzące do serwerów wewnętrznych
• ruch Site-to-Site VPN między lokalizacjami
• ruch Remote Access po zestawieniu VPN do systemów wewnętrznych
• VoIP, wyłącznie z ostrożnym doborem polityki i testami
• szczególnie ważne segmenty, takie jak sieci zarządzające, backupowe i infrastrukturalne

W przypadku opublikowanych serwerów IPS należy rozpatrywać łącznie z poprawną konfiguracją NAT, precyzyjnymi regułami zapory, logowaniem i zarządzaniem poprawkami. Odpowiedni kontekst dla NAT i reguł zapory opisuje artykuł Publikowanie serwera przez DNAT na Sophos Firewall. Podstawy tworzenia reguł znajdują się w artykule Jak działają reguły Sophos Firewall i jak je prawidłowo konfigurować.

Wymagania

IPS działa tylko po spełnieniu niezbędnych wymagań.

Przed wdrożeniem należy sprawdzić:

• aktywną subskrypcję Network Protection lub licencję próbną
• włączenie IPS Protection w Intrusion prevention > IPS policies
• działanie aktualizacji wzorców: na zaporach online przez usługi aktualizacji Sophos, a na licencjonowanych zaporach Air Gap przez przewidziany proces aktualizacji Air Gap
• przypisanie odpowiednich polityk IPS do reguł zapory w Detect and prevent exploits (IPS)
• aktywne logowanie dla odpowiednich reguł i typów logów
• zdefiniowany proces obsługi fałszywych alarmów, wyjątków i zmian polityk
• znajomość reguły zapory, która faktycznie obsługuje ruch do opublikowanych usług i między segmentami

Po wygaśnięciu subskrypcji Network Protection przełącznik IPS może nadal wyglądać na aktywny, mimo że ochrona nie jest już wymuszana. Ręczne wyłączenie IPS zatrzymuje aktualizacje sygnatur i blokuje konfigurację polityk; po 30 dniach sygnatury i reguły IPS są usuwane. Po wygaśnięciu licencji próbnej IPS wyłącza się automatycznie. Kopię zapasową lub eksport konfiguracji IPS należy więc wykonać w ciągu 30 dni.

Uwaga: IPS zależy od licencji i aktualizacji. Samo wybranie polityki IPS w regule zapory nie dowodzi, że ruch jest chroniony. Należy sprawdzić status licencji, globalne włączenie IPS, dostępność sygnatur i logi.

Globalne włączenie IPS

W aktualnych wersjach SFOS globalne włączenie odbywa się w Protect > Intrusion prevention > IPS policies. W niektórych widokach ścieżka jest skrócona do Intrusion prevention > IPS policies.

1. Otworzyć Protect > Intrusion prevention > IPS policies.
2. Włączyć IPS Protection.
3. Sprawdzić komunikaty dotyczące licencji.
4. Poczekać na udostępnienie sygnatur.
5. Przejrzeć dostępne polityki standardowe.
6. W razie potrzeby sklonować własną politykę z istniejącej.

Własną politykę tworzy się przez Add, nadaje jej nazwę i klonuje istniejącą politykę jako punkt wyjścia. Następnie zmienia się tylko potrzebne reguły. Jest to bardziej przejrzyste niż tworzenie od zera zbioru pojedynczych sygnatur, którego uzasadnienia po pewnym czasie nikt już nie pamięta.

Włączenie lub wyłączenie Firewall Acceleration albo PKI Acceleration uruchamia ponownie usługę IPS lub DPI Engine. Takich zmian nie należy wykonywać podczas analizy incydentu produkcyjnego ani w krótkim oknie serwisowym bez przygotowanego planu.

Dobór właściwej polityki IPS

Polityka IPS musi odpowiadać rodzajowi ruchu. Najbardziej restrykcyjna polityka nie zawsze jest najlepsza.

• Klienci do Internetu: zwykle pasuje polityka kliencka lub LAN-to-WAN. Należy uwzględnić również Web, Application Control i TLS Inspection.
• Internet do serwera wewnętrznego przez DNAT: wybrać politykę serwerową lub webserver i dokładnie obserwować system docelowy, porty oraz fałszywe alarmy.
• VPN między lokalizacjami: dobrać politykę do systemów źródłowych i docelowych. Przetestować wydajność, MTU/MSS i aplikacje.
• VoIP: działać bardzo ostrożnie i precyzyjnie. Zbyt agresywne sygnatury nie mogą zakłócać SIP/RTP.
• Sieci zarządzające: stosować ochronę celowaną i restrykcyjną. Przetestować dostęp administracyjny, monitoring i ruch backupowy.

IPS warto również stosować na granicach segmentów: klient–serwer, VPN–serwer i zarządzanie–infrastruktura. Utrudnia to ruch boczny po przejęciu pierwszego systemu. Nadal kluczowa jest kolejność reguł zapory. IPS chroni tylko ruch przechodzący przez regułę, do której przypisano politykę IPS.

Własna polityka IPS ma sens, gdy polityka standardowa jest zbyt szeroka lub potrzebne są tylko określone sygnatury ze zmienioną akcją. Nie należy jednak wyłączać sygnatur bez analizy. Najpierw trzeba ustalić, jaki ruch został objęty detekcją, która sygnatura zadziałała i czy rzeczywiście jest to fałszywy alarm.

Tworzenie własnych polityk IPS

Własne polityki IPS należy klonować z istniejącej polityki, a następnie celowo dostosowywać. Reguły polityki IPS zawierają sygnatury i akcję. Zapora ocenia je od góry do dołu, dlatego zbyt szeroka reguła umieszczona wyżej może przesłonić bardziej szczegółową regułę.

Podczas dodawania reguły polityki IPS wybiera się sygnatury. Można je filtrować według Category, Severity, Platform i Target. W szczególnych przypadkach można dodać własne sygnatury IPS. Należy to robić tylko wtedy, gdy przypadek detekcji jest jasno opisany, a polityka będzie później ponownie sprawdzana.

Najważniejsze pola sygnatury:

• SID: unikalny identyfikator sygnatury używany w logach, zgłoszeniach i wyjątkach.
• Category: obszar techniczny, na przykład przeglądarka, system operacyjny, DNS, RPC lub malware.
• Severity: poziom istotności zagrożenia.
• Platform: platforma docelowa, na przykład Windows, Linux lub komponenty przeglądarki.
• Target: sygnatura dotycząca klienta albo serwera.
• Recommended action: domyślna akcja zalecana przez Sophos.

Severity nie należy interpretować intuicyjnie. Sophos przypisuje Critical w przybliżeniu do CVSS od 9 do 10, Major od 7 do poniżej 9, Moderate od 4 do poniżej 7, a Minor od 1 do poniżej 4 lub do mniej krytycznych sygnatur. Warning oznacza podejrzany ruch i jest traktowany jako alert. Sygnaturę Major na publicznie dostępnym serwerze trzeba więc oceniać inaczej niż trafienie Warning w sieci testowej.

Akcja w regule polityki może zastąpić akcję zalecaną dla sygnatury. Jest to przydatne, ale ryzykowne. Ogólne zastosowanie Allow packet, Disable lub Bypass session może osłabić ochronę w sposób niezauważalny w codziennej pracy.

Akcje pakietowe sprawdzają każdy pakiet. Akcje sesyjne analizują ruch do pierwszego trafienia, a następnie działają na całą sesję. Dlatego Drop session, Reset i Bypass session ingerują silniej niż zezwolenie na pojedynczy pakiet lub jego odrzucenie.

Praktyczne znaczenie akcji:

• Recommended: standard dla większości reguł produkcyjnych. Zachowanie zależy od sygnatury.
• Allow packet: obserwacja bez blokowania, na przykład podczas pilotażu. Rzeczywisty atak nie zostanie w ten sposób zatrzymany.
• Drop packet: odrzucenie pojedynczych pakietów. Może zakłócić działanie aplikacji.
• Drop session: zakończenie sesji w celu zatrzymania ataku. Jest to silniejsza ingerencja w ruch produkcyjny.
• Reset: aktywne zresetowanie sesji TCP. Użytkownik lub aplikacja zobaczy nagłe przerwanie połączenia.
• Disable: wyłączenie sygnatury. Ochrona przed nią przestaje działać.
• Bypass session: pominięcie dalszego skanowania sesji. Zależnie od architektury taki ruch może trafić do FastPath lub offload, co może wyłączyć z inspekcji więcej ruchu, niż oczekiwano.

Dla polityk produkcyjnych warto prowadzić krótką notatkę zmian: która sygnatura została zmieniona, dlaczego, w jakiej polityce, dla której reguły zapory i kiedy zmiana zostanie ponownie zweryfikowana.

IPS w regułach zapory

Nie wystarczy globalnie włączyć IPS. Politykę trzeba również przypisać do odpowiedniej reguły zapory.

1. Otworzyć Rules and policies > Firewall rules.
2. Edytować właściwą regułę lub utworzyć nową.
3. W sekcji Other security features włączyć Detect and prevent exploits (IPS).
4. Wybrać odpowiednią politykę IPS.
5. Włączyć logowanie reguły.
6. Zapisać zmianę.
7. Przeprowadzić kontrolowany test ruchu.

Jeżeli reguła zapory nie ma przypisanej polityki IPS, globalne włączenie IPS nie wpływa na ten ruch. Przy nakładających się regułach decyduje kolejność. Gdy ruch pasuje wcześniej do reguły bez IPS, polityka IPS w późniejszej regule nie zadziała. W takich przypadkach pomocny jest artykuł Reguła Sophos Firewall nie działa: sprawdzanie przyczyn.

Wdrażanie w środowisku produkcyjnym

IPS należy wdrażać etapami.

1. Rozpoczęcie od reguł pilotażowych

Najpierw należy wybrać małą, dobrze znaną regułę, na przykład sieć testową klientów albo pojedynczą regułę DNAT. Następnie sprawdzić logi i przetestować rzeczywiste aplikacje.

2. Analiza trafień

W Log viewer należy filtrować zdarzenia IPS. Istotne są źródło, cel, usługa, reguła, sygnatura, SID, Severity, akcja i czas. Jeżeli ruch analizuje kilka modułów ochrony, trzeba łącznie ocenić logi Web, Application Control, SSL/TLS Inspection i zapory.

3. Zawężanie fałszywych alarmów

Jeżeli blokowany jest prawidłowy ruch, nie należy od razu globalnie wyłączać IPS. Lepsza jest precyzyjna analiza:

• Która sygnatura zadziałała?
• Która aplikacja lub usługa została objęta blokadą?
• Czy problem dotyczy jednego hosta, sieci czy tylko portu?
• Czy system docelowy ma aktualne poprawki?
• Czy można bardziej zawęzić regułę zapory?
• Czy wystarczy dostosowana polityka IPS zamiast globalnego wyjątku?

4. Stopniowe rozszerzanie

Dopiero po ustabilizowaniu reguły pilotażowej należy rozszerzać IPS na kolejne reguły. VoIP, systemy ERP, protokoły przemysłowe, połączenia VPN i starsze aplikacje wymagają okna testowego oraz planu wycofania zmian.

Kontrolowanie wyjątków i zmian sygnatur

Wyjątki IPS są decyzjami dotyczącymi bezpieczeństwa. Jeżeli sygnatura zakłóca prawidłowy ruch, może wymagać dostosowania. Nie należy jednak automatycznie osłabiać całej polityki IPS ani wyłączać IPS w regule. Najpierw trzeba potwierdzić, czy jest to fałszywy alarm, czy sygnatura ujawnia rzeczywiste ryzyko.

Przed utworzeniem wyjątku należy zebrać co najmniej:

• SID i nazwę sygnatury: wskazują, która detekcja zadziałała.
• Źródło, cel, usługę i regułę zapory: pozwalają zawęzić objęty ruch.
• Czas i częstotliwość: odróżniają pojedyncze zdarzenie od powtarzalnego wzorca.
• Aplikację lub protokół: pomagają ocenić, czy ruch jest prawidłowy.
• Poziom poprawek systemu docelowego: ogranicza ryzyko zezwolenia na rzeczywisty exploit.
• Packet Capture lub fragment logu: stanowią dowód przed zmianą polityki.

Jeżeli wyjątek jest konieczny, powinien być możliwie wąski:

• wyłączyć pojedynczą sygnaturę zamiast całej kategorii
• zastosować osobną politykę IPS wyłącznie w odpowiedniej regule zapory
• sprawdzić kolejność reguł polityki, aby szczegółowej reguły nie przesłoniła szersza
• bardziej zawęzić źródło, cel i usługę w regule zapory
• udokumentować powód, właściciela i datę ponownej weryfikacji wyjątku
• po zmianie potwierdzić, że dotyczy wyłącznie oczekiwanego ruchu

Tymczasowy wyjątek jest często lepszy niż trwałe wyłączenie ochrony. Po aktualizacji aplikacji, firmware lub systemu docelowego wyjątek należy ponownie sprawdzić. Jeżeli wiele sygnatur zakłóca tę samą aplikację, zwykle lepsza jest osobna polityka albo poprawna segmentacja niż duży wyjątek globalny.

Logowanie i rozwiązywanie problemów

Analiza IPS wymaga kilku źródeł informacji.

• Log viewer: trafienie IPS, sygnatura, akcja, źródło, cel i reguła.
• ips.log: dokładniejsze informacje o decyzjach IPS, DPI i Application Control.
• Packet Capture: przepływ pakietów, rule ID, NAT ID, IPS policy ID i kierunek.
• Test reguły: sprawdzenie, która reguła zapory faktycznie pasuje do ruchu.
• Syslog lub Central Reporting: dłuższa retencja i korelacja zdarzeń.

Artykuł Rozwiązywanie problemów Sophos Firewall: usługi i logi opisuje ips.log i powiązane pliki. Sposób łączenia Log Viewer z Packet Capture przedstawia artykuł Testowanie reguły Sophos Firewall za pomocą Log Viewer i Packet Capture. Przy nieoczekiwanym odrzucaniu pakietów pomocny jest artykuł Analizowanie odrzuconych pakietów na Sophos Firewall.

Usługa IPS ma stan DEAD

W SFOS 22.0 GA i nowszych wersjach usługa IPS może w rzadkich przypadkach przejść do stanu DEAD. Nie można jej wtedy ponownie uruchomić; mogą przestać działać aktualizacje wzorców IPS i zależne usługi Web Policy. W klastrze HA problem może wystąpić niezależnie na każdym węźle.

Poniższe polecenie tylko do odczytu wyświetla w Advanced Shell wszystkie wiersze usług, których nazwa zawiera ips:

service -S | grep -i ips

Istotny jest wiersz, w którym pierwsza nazwa usługi brzmi dokładnie ips; nie chodzi o podobnie nazwane usługi, takie jak ipsec-monitor. Jeżeli usługa IPS ma stan DEAD i aktualizacje wzorców nie działają, należy zabezpieczyć informacje o wersji SFOS, czasie zdarzenia, objętym węźle HA, pełnym wyniku polecenia statusu oraz pliki ips.log i sig_upgrade.log, a następnie skontaktować się z Sophos Support. Samo polecenie nie potwierdza znanego problemu NC-181971. Sophos nie wskazuje obecnie wersji z poprawką i udostępnia workaround wyłącznie przez Support; wielokrotne próby restartu ani nieudokumentowane polecenia naprawcze nie są właściwym rozwiązaniem.

Wydajność

IPS zużywa zasoby. Wzrost obciążenia zależy od modelu, ruchu, aktywnych sygnatur, TLS Inspection, Application Control, VPN, rozmiaru pakietów i przepustowości.

Przed włączeniem i po nim należy sprawdzić:

• obciążenie procesora i pamięci
• obciążenie związane z IPS i DPI
• przepustowość na odpowiednich interfejsach
• opóźnienia i retransmisje w krytycznych aplikacjach
• liczbę logów i obciążenie Syslog
• zgłoszenia użytkowników lub aplikacji po zmianie

Przy podejrzeniu problemu z przepustowością nie należy po prostu wyłączać IPS i zamykać sprawy. Lepsze jest porównanie według jasno określonej metody, na przykład z wykorzystaniem artykułów Prawidłowa interpretacja parametrów wydajności Sophos Firewall i Testowanie wydajności Sophos Firewall za pomocą iPerf.

Typowe błędy

• IPS Protection jest globalnie wyłączony.
• Subskrypcja Network Protection wygasła lub nie jest aktywna.
• W regule zapory nie wybrano polityki IPS.
• Ruch pasuje do innej reguły niż oczekiwano.
• Szeroka reguła polityki IPS znajduje się nad regułą szczegółową i ją przesłania.
• Logowanie jest wyłączone w odpowiedniej regule.
• Polityka serwerowa jest stosowana do ruchu klienckiego lub odwrotnie.
• VoIP albo protokoły specjalistyczne są sprawdzane agresywną polityką bez pilotażu.
• Fałszywe alarmy są rozwiązywane przez globalne wyłączenie zamiast precyzyjnego dostosowania.
• Sygnatury są wyłączane bez dowodów, właściciela lub daty ponownej weryfikacji.
• Po wygaśnięciu licencji próbnej nie sprawdzono dostępności sygnatur i polityk.
• Problemy z wydajnością nie są porównywane na podstawie pomiarów przed zmianą i po niej.

Operacyjna lista kontrolna

• Sprawdzona subskrypcja Network Protection lub licencja próbna.
• IPS Protection włączony w Protect > Intrusion prevention > IPS policies.
• Sprawdzone sygnatury i aktualizacje wzorców.
• Właściwa polityka IPS przypisana do każdej reguły zapory.
• Włączone logowanie reguły.
• Reguła pilotażowa przetestowana z rzeczywistym ruchem.
• Sprawdzone Log viewer i ips.log.
• Zdefiniowany proces obsługi fałszywych alarmów.
• Wyjątki IPS precyzyjnie udokumentowane i zaplanowane do ponownej weryfikacji.
• Własne polityki IPS nie zawierają nieuzasadnionych reguł Allow, Disable ani Bypass session.
• Wydajność porównana przed włączeniem i po nim.
• Krytyczne wyjątki udokumentowane wraz z datą ponownej weryfikacji.

Powiązane zagadnienia Security Inspection

IPS jest tylko jednym z elementów Security Inspection. W zależności od problemu lub celu wdrożenia lepszy może być inny artykuł:

• Włączenie IPS, dobór polityki i analiza fałszywych alarmów: ten artykuł.
• Kontrolowanie kategorii internetowych, Web Policies i ruchu użytkowników: Konfiguracja Sophos Firewall Web Protection za pomocą Web Policies.
• Deszyfrowanie i analizowanie zaszyfrowanego ruchu internetowego: Prawidłowe wdrażanie TLS Inspection na Sophos Firewall.
• Sprawdzanie plików i pobrań za pomocą sandbox lub ML: Sophos Firewall Zero-Day Protection: działanie i eksploatacja.
• Blokowanie znanych złośliwych adresów IP, domen i URL: Bezpieczna konfiguracja i eksploatacja Threat Feeds na Sophos Firewall.
• Ograniczanie prostych ataków spoofing i flooding: Sprawdzanie Spoof Protection i DoS Settings na Sophos Firewall.
• Ochrona publicznie dostępnych serwerów za pomocą NAT i IPS: Publikowanie serwera przez DNAT na Sophos Firewall.
• Analiza nieoczekiwanych odrzuceń, rule ID i IPS policy ID: Analizowanie odrzuconych pakietów na Sophos Firewall.

Logika ochrony pozostaje dzięki temu czytelna: reguły zapory ograniczają dozwolony ruch, IPS analizuje go pod kątem wzorców ataków, Web Protection kontroluje treści internetowe, TLS Inspection zapewnia widoczność ruchu HTTPS, a Zero-Day Protection uzupełnia analizę plików i pobrań.

Często zadawane pytania