Sophos Firewall Spoof Protection i DoS Settings sprawdź
Spoof Protection i DoS Settings należą do klasycznych funkcji hartowania Sophos Firewall. Funkcje te redukują proste, zaszumione lub wyraźnie nieprawidłowe pakiety, zanim staną się niepotrzebnym szumem w logach, regułach lub opublikowanych usługach. Jednocześnie ustawienia te nie stanowią magicznej ochrony przed każdym rodzajem ataku.
W artykule sklasyfikowano te funkcje jako ostrożne, podstawowe utwardzanie: najpierw zapoznaj się z projektem sieci i ścieżkami powrotnymi, następnie aktywuj, przetestuj i sprawdź logi. To rozróżnienie jest szczególnie ważne: funkcje te uzupełniają czyste reguły zapory ogniowej, IPS, Threat Feeds, WAF i rejestrowanie. Nie zastępują one tych elementów składowych.
Krótko wyjaśnione
Spoof Protection sprawdza, czy pakiety z wiarygodnym adresem źródłowym docierają do oczekiwanego interfejsu. Na przykład, jeśli z Internetu pojawi się pakiet z wewnętrznym adresem źródłowym, w większości projektów jest to podejrzane. Z drugiej strony DoS Settings reaguje na pewne wzorce ataków typu Flood lub Connection, na przykład zauważalne ilości ruchu SYN, UDP lub ICMP.
Typowa ścieżka menu, w zależności od wersji SFOS, mieści się w zakresie:
Protect > Intrusion prevention > DoS & spoof protection
Jeśli w nowszej wersji interfejs jest nieco inaczej oznaczony, powinieneś poszukać DoS, ochrony przed fałszowaniem lub zapobiegania włamaniom. Ważna jest nie dokładna ścieżka kliknięcia, ale to, aby funkcja była świadomie zaplanowana, przetestowana i później logowana.
Do czego służą funkcje
| Funkcja | Do czego pomaga | Do czego to nie wystarczy |
|---|---|---|
| Spoof Protection | Odrzuca pakiety z nieprawdopodobnym źródłowym adresem IP, ogranicza proste próby fałszowania, uwidacznia błędnie przekierowane pakiety | nie zastępuje czystej strefy, interfejsu i planowania routingu |
| DoS Settings | ogranicza proste wzorce zalewania, sprawia, że głośne ataki lub błędne konfiguracje stają się zauważalne wcześniej | nie zastępuje ochrony dostawcy przed DDoS, nie ma WAF ani czysto zwymiarowanego projektu upstream |
W praktyce funkcje te są szczególnie interesujące jako podstawowe wzmocnienie. Korzyścią jest ograniczenie oczywistych nonsensów. W rzeczywistych wolumetrycznych atakach DDoS połączenie internetowe często jest już w pełni obciążone, zanim zapora sieciowa może znacząco zareagować. W takim razie potrzebujesz ochrony ze strony dostawcy, czyszczenia nadrzędnego lub innej architektury.
Kiedy Spoof Protection ma sens
Spoof Protection pasuje szczególnie dobrze do wyraźnie podzielonych na segmenty sieci, w których sieci źródłowe, interfejsy i trasy są wyraźnie zaplanowane. Im jaśniejsza struktura sieci, tym łatwiej jest ocenić, czy adres źródłowy w interfejsie jest wiarygodny.
Przydatne aplikacje:
- Internet WAN, na którym nie powinny pojawiać się żadne wewnętrzne źródła RFC1918.
- DMZ lub strefy serwerów z przejrzystymi sieciami źródłowymi i docelowymi.
- Strefy klienta, gościa lub IoT, w których jako źródła nie powinny pojawiać się żadne zewnętrzne sieci wewnętrzne.
- Lokalizacje, w których trasy, VLAN i strefy są wyraźnie udokumentowane.
- Środowiska, w których utracone pakiety muszą być później identyfikowalne za pomocą Packet Capture i dzienników.
Sprawy stają się trudniejsze w przypadku routingu asymetrycznego, złożonych sieci tranzytowych, tymczasowych ścieżek migracji, niepoprawnie udokumentowanych VLAN lub wielu zapór sieciowych na tej samej ścieżce danych. Prawidłowy strumień danych może wyglądać na podszywanie się, chociaż projekt routingu lub ścieżka zwrotna jest w rzeczywistości nieczysta.
Sprawdź przed aktywacją
Spoof Protection i DoS Settings nie powinny być aktywowane na ślepo w środowisku produkcyjnym. Z góry powinno być jasne, których sieci i usług dotyczy problem.
Ważne punkty kontrolne:
- Document zones, interfaces, VLANs, bridges and LAGs.
- Sprawdź trasy statyczne, trasy SD-WAN, trasy VPN i ścieżki asymetryczne.
- Zidentyfikuj opublikowane usługi poprzez DNAT lub WAF.
- Zwróć uwagę na usługi krytyczne, takie jak VoIP, monitorowanie, tworzenie kopii zapasowych, skanowanie, VPN i połączenia z witrynami.
- Przygotuj rejestrowanie i centralną ocenę, jeśli zdarzenia mają być później identyfikowalne.
- Ustaw okno konserwacji lub obszar pilotażowy dla pierwszej aktywacji.
Jeśli zwykłe reguły zapory sieciowej są trudne do zrozumienia, należy najpierw wyczyścić regułę i status routingu. W przypadku indywidualnych połączeń testowych lepszym początkiem będzie Przetestuj regułę zapory sieciowej za pomocą Log Viewer, Test zasad i Packet Capture.
Spoof Protection aktywuj ostrożnie
Podejście krok po kroku ma sens w przypadku Spoof Protection. Należy najpierw zabezpieczyć najjaśniejsze obszary, a nie od razu każdą strefę specjalną.
Proces praktyczny:
- Zapisz bieżącą konfigurację lub przynajmniej udokumentuj ustawienia, których to dotyczy.
- Zacznij od przejrzystej strefy lub interfejsu, na przykład WAN lub wyraźnie oddzielonej strefy klienta.
- Zapisz aktywację.
- Uruchom zaplanowane połączenia testowe: dostęp do Internetu, VPN, usługi opublikowane, serwery centralne, monitoring.
- Sprawdź Log Viewer i Packet Capture pod kątem nieoczekiwanych spadków.
- Nie zajmuj się od razu rzucającymi się w oczy, uzasadnionymi spadkami (z szerokimi wyjątkami), ale najpierw sprawdź routing, źródłowy adres IP i interfejs.
Częstym błędem jest traktowanie Spoof Protection jako czystego haka bezpieczeństwa. W rzeczywistości funkcja sprawdza założenia dotyczące projektu sieci. Jeśli to założenie nie jest poprawne, Spoof Protection niekoniecznie musi być błędne. Często interfejs, trasa, VLAN lub trasa powrotna nie są budowane zgodnie z oczekiwaniami.
DoS Settings plan
DoS Settings powinien pasować do środowiska. Rzadko ma sens przejmowanie wartości z innego przykładu bez sprawdzania. Witryna z kilkoma użytkownikami, VoIP i małym WAN zachowuje się inaczej niż centrum danych, sieć szkolna lub witryna z regularnym skanowaniem i monitorowaniem.
Przed adaptacją odpowiedz na następujące pytania:
- Które usługi publiczne są narażone?
- Czy występują uzasadnione szczyty obciążenia, skany, monitorowanie lub kontrole stanu?
- Czy używany jest VoIP, VPN, WAF, DNAT lub transfer dużych plików?
- Które zdarzenia powinny być tylko rejestrowane, a które naprawdę blokowane?
- Kto sprawdza logi po aktywacji?
DoS Settings może pomóc w ograniczeniu prostych wzorców zalań. Jednak zbyt rygorystyczne progi mogą również wpływać na legalny ruch. Szczególną ostrożność należy zachować w przypadku VoIP, systemów monitorowania, zadań tworzenia kopii zapasowych, skanowania pod kątem luk w zabezpieczeniach i intensywnie używanych opublikowanych usług.
Czego te ustawienia nie rozwiązują
Spoof Protection i DoS Settings to ważne elementy składowe, ale nie rozwiązują każdego problemu bezpieczeństwa.
| Problem | Lepszy dodatkowy moduł |
|---|---|
| Serwer zostaje zaatakowany poprzez dozwolone żądania HTTP | Sprawdź regułę WAF i ochronę serwera WWW |
| Znane złośliwe źródło ataków IP | Threat Feeds lub Sprawdź blokowanie kraju/adresu IP |
| Próba exploita w usłudze | Aktywuj IPS-Policy zgodnie z regułą |
| Linia internetowa jest pełna z powodu DDoS | Uwzględnij dostawcę, czyszczenie lub ochronę przed DDoS |
| Reguła zapory sieciowej pozwala na zbyt wiele | Reguły czyszczenia, NAT i model obiektowy |
| Krople są niezrozumiałe | Popraw logowanie, Packet Capture, syslog lub raportowanie centralne |
Artykuł Publikuj serwer z DNAT na Sophos Firewall ma również zastosowanie w przypadku serwerów dostępnych publicznie. Chodzi o NAT, reguły firewalla i typowe błędy wydawnicze.
Logi i kontrola następcza
Po aktywacji powinieneś nie tylko sprawdzić, czy normalny dostęp do Internetu nadal działa. Ważne jest, czy firewall wyraźnie pokazuje oczekiwane i nieoczekiwane zdarzenia.
Sprawdź:
- Log Viewer filtr dla zapory ogniowej i odpowiednich zdarzeń związanych z bezpieczeństwem.
- Uruchamiaj ruch testowy z wyraźnym źródłowym adresem IP, docelowym adresem IP i usługą.
- Użyj Packet Capture w przypadku niejasnych kropli.
- W przypadku dłuższego przechowywania zaplanuj syslog do SIEM lub serwera logów.
- Podczas uruchamiania Sophos Central sprawdź, czy Centralne raportowanie zapory ogniowej powoduje, że żądane zdarzenia są widoczne.
Jeśli pakiet zostanie upuszczony, ale przyczyna nie jest jasna, pomaga systematyczna analiza upuszczania pakietów w Sophos Firewall: sprawdź przyczyny. Opisuje także, dlaczego Log Viewer i Packet Capture odpowiadają na różne pytania.
Typowe błędy
| Błąd | Wpływ | Lepsze podejście |
|---|---|---|
| Spoof Protection aktywuj bez zrozumienia routingu | legalny ruch może zostać zablokowany | Sprawdź wcześniej strefy, interfejsy, trasy i ścieżki powrotne |
| Zastosuj progi DoS bez sprawdzania | VoIP, monitorowanie, skanowanie lub opublikowane usługi mogą zostać zakłócone | Zaplanuj fazę bazową i testową |
| Rozwiąż każdą anomalię z szerokim wyjątkiem | Hartowanie staje się nieskuteczne i mylące | Ogranicz przyczynę i dokładnie dokumentuj wyjątki |
| Sprzedawaj DoS Settings jako ochronę DDoS | fałszywe oczekiwania co do ataków na przepustowość | Zaplanuj osobno ochronę dostawcy i upstream |
| Nie sprawdzaj logów | Niepoprawne bloki lub ataki pozostają niewidoczne | Zdefiniuj Log Viewer, centralne raportowanie lub syslog jako punkt operacyjny |
| Interpretuj fałszywe ataki jako czysty atak | Błędy routingu lub VLAN są pomijane | Porównaj źródłowy adres IP, interfejs, trasę i Packet Capture |
Operacyjna lista kontrolna
Przed aktywacją: Strefy
- , interfejsy i routing są zrozumiałe.
- Zdefiniowano usługi krytyczne i przypadki testowe.
- Dostępna jest kopia zapasowa lub zmiana dokumentacji.
- Przygotowano rejestrowanie i ocenę.
- Zestaw obszaru pilotażowego lub okna konserwacji.
Po aktywacji:
- Internet, VPN, WAF, DNAT, VoIP i przetestowane monitorowanie.
- Log Viewer sprawdzone pod kątem nieoczekiwanych spadków.
- Packet Capture używany w co najmniej jednym wyraźnym przypadku testowym, gdy występują spadki.
- Wyjątki są stosowane jedynie wąsko i mają ku temu powody.
- Wynik zapisany w dokumentacji operacyjnej.
Regularnie:
- Sprawdzaj DoS i fałszywe zdarzenia.
- Sprawdź wyjątki pod kątem konieczności.
- Przetestuj ponownie po modyfikacjach sieci, zmianach VPN lub nowych VLAN. Powiąż dzienniki
- z IPS, kanałem zagrożeń, WAF i zdarzeniami reguł zapory sieciowej.