Обзор политики IPS от Cato
Сервис IPS Cato состоит из нескольких уровней безопасности, включая:
Поведенческие сигнатуры: Защищая от отклонений от нормального, ожидаемого поведения системы или пользователя. Обычное поведение определяется с помощью анализа больших данных и глубокой видимости потоков трафика в облачной сети Cato.
Анализ репутации: Защита от входящей/исходящей связи с скомпрометированными или вредоносными ресурсами.
Известные уязвимости: Защита от известных CVE, быстрая адаптация для включения новых.
Анти-бот: Защита от исходящего трафика на серверы C&C на основе репутационных данных и анализа сетевого поведения.
Анализ сетевого поведения: Защита от входящих/исходящих сканирований сети.
Проверка протоколов: Защита от недействительных пакетов (соответствие протоколу), снижение поверхности атаки от эксплойтов с использованием аномального трафика.
Географическое ограничение: Внедрение пользовательской политики гео-ограничений для блокировки входящего, исходящего или всего трафика в определенные страны.
IPS и географические ограничения от Cato
Этот раздел является примером создания политики IPS для блокировки WAN и входящего трафика. Он также содержит политику гео-ограничений для блокировки трафика в Иран и Северную Корею.
Примечание: Если вы хотите заблокировать трафик из страны, но разрешить определенное полное доменное имя (FQDN), используйте межсетевой экран для Интернета. Для получения дополнительной информации см. Рекомендации по межсетевым экранам Интернета и WAN.
Определение Политики защиты IPS
Для WAN, входящего и исходящего трафика вы можете определить действия для двигателя IPS и соответствующие уведомления по электронной почте. Возможно, что соответствующий трафик является ложноположительным и на самом деле является легитимным трафиком.
Доступны следующие действия:
Блокировать - Блокирует трафик и он не продолжается к пункту назначения. При необходимости перенаправляет пользователя на специальную веб-страницу блокировки. Создается событие для экрана События (Домашняя > События).
Мониторинг - Трафик разрешен к продолжению к назначению и создается событие для экрана События (Домашняя > События).
Настроить действия для Политики IPS:
Из меню навигации выберите Безопасность > IPS.
На странице IPS щелкните вкладку Политика защиты.
Нажмите ползунок
, чтобы включить политику IPS.Переключатель становится зеленым
когда включен.В разделе Политика защиты настройте следующие параметры для каждой Область защиты:
Для WAN трафика система предотвращения вторжений блокирует соответствующие защиты и генерирует уведомление по электронной почте:
Нажмите WAN Трафик.
Панель Редактирование открывается.
В Действие из выпадающего меню выберите Блокировать.
В Отслеживание выберите Уведомление по электронной почте.
Щелкните Применить.
Для входящего интернет-трафика система предотвращения вторжений блокирует соответствующие защиты и генерирует уведомление по электронной почте:
Нажмите Входящий Трафик.
Открывается панель Редактировать.
В Действие из выпадающего меню выберите Блокировать.
В Отслеживание выберите Уведомление по электронной почте.
Щелкните Применить.
Для исходящего интернет-трафика система предотвращения вторжений мониторит соответствующие защиты и не генерирует уведомление по электронной почте:
Нажмите Исходящий Трафик.
Открывается панель Редактировать.
В Действие из выпадающего меню выберите Мониторинг.
В Отслеживание убедитесь, что Уведомление по электронной почте очищено.
Кликните Применить.
Нажмите Save. Настройки политики IPS сохранены для учетной записи.
Управление правилами географических ограничений
Вы можете определить правила географических ограничений для IPS. Правила географических ограничений для IPS основаны на геолокации IP-адреса, а не на домене. Можно определить правило для применения к входящему, исходящему или обоим направлениям трафика.
Заметка:
Если вы настроите правило Географическое ограничение для входящего трафика, это также применяется к ресурсам RPF. Однако, правила географического ограничения IPS не применяются к трафику от Клиентов SDP Cato. Чтобы блокировать подключения Клиентов из определённых регионов, вы можете настроить правила в Политике доступа Клиента.
Чтобы определить правило географического ограничения:
Из меню навигации выберите Безопасность > IPS.
На странице IPS щелкните вкладку Географическое ограничение или разверните раздел.
Нажмите на Новый.
Откроется панель Добавление.
Введите Имя для правила и в разделе Направление выберите Оба направления, чтобы настроить правило для применения ко всему трафику.
В разделе Страны добавьте Иран и Корейская Народно-Демократическая Республика (Северная Корея).
В Действие выберите Блокировать для блокировки всего трафика из Ирана и Северной Кореи.
В Отслеживание выберите Событие и Уведомление по электронной почте, чтобы иметь максимальную видимость трафика из Ирана и Северной Кореи.
Нажмите Применить, а затем Сохранить.