Защита от сетевых угроз

Компонент Защита от сетевых угроз (также Intrusion Detection System (IDS) – система обнаружения вторжений) отслеживает во входящем сетевом трафике активность, характерную для сетевых атак. Обнаружив попытку сетевой атаки на компьютер пользователя, приложение блокирует сетевое соединение с атакующим компьютером. Описания известных в настоящее время видов сетевых атак и методов борьбы с ними содержатся в базах приложения. Список сетевых атак, которые обнаруживает компонент Защита от сетевых угроз, пополняется в процессе обновления баз и модулей приложения.

Как работает Защита от сетевых угроз

1. Приложение анализирует входящие пакеты

   Для проверки входящего трафика компонент Защита от сетевых угроз принимает подключения по всем портам, номера которых получает из баз приложения. При проверке сети в режиме перехвата трафика iptables это может выглядеть как открытый порт на устройстве, даже если никакое приложение в системе его не прослушивает. Неиспользуемые порты рекомендуется закрывать средствами сетевого экрана.

2. Приложение проверяет входящий трафик

   Защита от сетевых угроз проверяет входящий трафик с помощью следующих технологий:

   • Антивирусные базы
   • Облачные службы Kaspersky Security Network
   • Эвристический анализ – технология позволяет выявлять угрозы, которые еще не внесены в базы данных "Лаборатории Касперского".
3. Завершение проверки

   При обнаружении сетевой угрозы приложение блокирует все сетевые соединения от атакующего устройства на определенное время.

Настройка Защиты от сетевых угроз

1. Настройте правила сетевого экрана ОС

   Чтобы обеспечить совместимость правил REDIRECT (например, перенаправление с 443 порта на 8443) с правилами перехвата Защиты от сетевых угроз, вам нужно удалить правила REDIRECT и добавить правила перехвата.

   Пример команды удаления правил REDIRECT:

   iptables -t nat -D PREROUTING -p tcp -m tcp --dport 443 -j REDIRECT --to-ports 8443

   Пример команд добавления правил перехвата:

   iptables -t nat -A PREROUTING -p tcp -m tcp --dport 443 -m mark ! --mark 0x400/0x400 -j REDIRECT --to-ports 8443

   iptables -t nat -A OUTPUT -p tcp --dport 443 -m mark --mark 0x400/0x400 -m addrtype ! --src-type LOCAL -j DNAT --to-destination :8443

2. Сформируйте список контролируемых сетевых портов

   По умолчанию приложение контролирует известные и зарегистрированные порты, например, 443 порт для HTTPS-соединений, 143 порт для работы почтового протокола IMAP и другие. Параметры по умолчанию обеспечивают рекомендуемый уровень защиты и оптимальное потребление ресурсов компьютера. Если нужно, вы можете изменить список контролируемых портов или включить контроль всех портов.

3. Выберите режим перехвата трафика

   При получении сетевых пакетов Защита от сетевых угроз извлекает данные для проверки на наличие угроз. Для перехвата входящего трафика доступны следующие режимы:

   • eBPF.
   • iptables (по умолчанию).

   Выбор режима перехвата трафика зависит от инфраструктуры организации. Для закрытого периметра рекомендуем использовать eBPF. В остальных случаях используйте iptables.

   Рекомендуем разделить устройства по режиму перехвата трафика в разные группы администрирования.

4. Включите Защиту от веб-угроз в режиме информирования

   По умолчанию Защита от сетевых угроз выключена. Перед включением Защиты от сетевых угроз в режиме блокирования рекомендуем включить компонент в режиме информирования. Так Kaspersky Endpoint Security не будет нарушать работу сетевых соединений, при этом выявляя подозрительную сетевую активность и записывая в журнал информацию об обнаруженных сетевых атаках. Проверьте доступ сторонних корпоративных приложений к сетевым ресурсам. Убедитесь, что контроль сетевых портов не замедляет работу этих приложений.

5. Соберите статистику IP-адресов, с которых Защита от сетевых угроз наблюдает подозрительную сетевую активность

   Вы можете получить статистику IP-адресов, которые Защита от сетевых угроз считает небезопасными с помощью отчетов. Приложение формирует события Обнаружена сетевая атака.

6. Добавьте доверенные IP-адреса

   После анализа отчетов о работе Защиты от сетевых угроз вам нужно добавить IP-адреса тех устройств, сетевым соединениям с которых вы доверяете, в список доверенных. Вы можете добавить в список исключений адрес конкретного устройства или подсети. Пакеты, приходящие от такого устройства, Защита от сетевых угроз не будет перехватывать и проверять.

7. Включите Защиту от сетевых угроз в режиме Блокировать

   После добавления IP-адресов доверенных устройств в список исключений включите компонент в режиме блокирования. Сетевая активность недоверенных устройств будет заблокирована, информация об этом появится в отчетах.

Особенности и ограничения

• Приложение проверяет входящий трафик для TCP-портов. Приложение использует для перехвата соединений фиксированный порт 9789 на localhost.
• Включение или выключение приложения, а также включение или выключение компонентов Защита от веб-угроз и Защита от сетевых угроз приводит к разрыву соединений в перехватываемых портах.
• Защита от сетевых угроз не работает на компьютерах под управлением CentOS 5.2 и 5.4, так как на этих компьютерах отсутствует поддержка механизма TProxy.