exceed Jul 9 2015 at 13:15

Сетевая безопасность, Часть 2. Next-Generation Firewall

8 min

43K

Hewlett Packard Enterprise corporate blogInformation Security*

Comments 8

ZetaTetra Jul 9 2015 at 14:00

Предполагаются три версии – помощь инсайдера, классический фишинг или использование уязвимости в веб-сервисах с последующей организацией backdoor

Предполагаю ещё один вариант:
До этой атаки, история изменений компонентов Web приложений написанный разработчиками Sony, хранилась в HTML комментариях сами страниц.
С датами, ФИО и что было изменено.
Так что не удивлюсь, если кто-то из разработчиков добавил туда логины и пароли или ещё что-то в этом духе…

exceed Jul 10 2015 at 12:16

Интересно, не знал об этом ), хотя такой варинат мне кажется маловероятным, их бы достаточно быстро вычислили

grafmishurov Jul 9 2015 at 17:56

Ну это все, конечно, замечательно: красивые диаграммы, много кнопочек. Но тут все таки более подробно бы про Deep Packet Inspection: какие протоколы верхнего уровня, какие алгоритмы фильтрации на основе анализа заголовков и пейлоадов.

exceed Jul 10 2015 at 12:30

Если за фильты говорить, то алгоритмы, что делать с трафиком, вы сами можете формировать; FW трафик ловит, а дальше вы с ним делаете то, что вам нужно ( фильтруете, пропускаете молча, пропускаете и нотифицируете, например, можно открыть Yahoo Finance, а Yahoo Mail запретить и нотифицировать, и т.д.)

Если за IPS, то там правил оч. много и они разные — проверка по сигнатурам, статистический анализ, ZDI фильтры, и др.

Список протоколов в DPI, которые FW умеет разбирать до последнего бита, тоже достаточно большой и постоянно обновляется.

amarao Jul 9 2015 at 18:28

И что вы делаете с ssl'ем, когда клиенту не нравится ваш сертификат для его перехвата? А с другим шифрованным трафиком?

exceed Jul 10 2015 at 13:02

fw делает то, что настроено ) дешифровать на лету он, понятно, не может, но если хотите зарезать — зарежет

achekalin Jul 10 2015 at 11:25

> «Установил и забыл», используя рекомендованные IPS настройки;

Никогда не мог понять этого «преимущества». Если у меня дом или маленький офис — да, все ок. Но если говорить о крупной компании, то потоки трафика в ней вряд ли просты и «рекомендованы». Кнопки «защити меня» не то чтобы не существует, но, если мы говорим о системе защиты, которая глубоко «раздумывает» над трафиком, и принимает решение не просто по принципу «запретить трафик на порт 443/tcp в мир», то системе нужно как-то понимать, что считать «плохим трафиком» в компании, где она установлена.

И что-то мне кажется, что «рекомендованные настройки» не справятся, если нужно будет бороться с трафиком по сложной логике.

exceed Jul 10 2015 at 12:51

Я вам на это так скажу: для меня главный критерий правильно/не правильно — это практика. И практика показывает, что на реальных тестах, в очень больших компаниях, с очень сложными профайлами трафика и тестами прониктовения наш IPS показывает себя лучшим образом. Позиция, которую он занимает на рынке, это доказывает. И, конечно, система предварительно настраивается перед тем, как встать в реальную сеть на тесты.

А если правда ситуация такая уникальная и правда нужно написать кастомные фильтры, то для этого есть интерфейс, пожалуйста, можно упражняться. Единственно, нужно помнить про производительность, так как кастомные фильтры — они, как правило, не оптимизированы и если их много и они сложные, могут подсадить performance.