Правила фильтрации

Правила фильтрации трафика используются для контроля передачи данных в сети и управления этими данными. Каждое правило состоит из критериев, по которым фильтруется трафик, и действия, которое применяется к трафику, подходящему под заданные критерии.

Типы правил

В решении Kaspersky NGFW существует два типа правил:

• Предустановленное правило применяется по умолчанию при начальной конфигурации. Вы можете изменять установленное в правиле действие, назначать группы профилей безопасности, изменять описание правила и включать или выключать ведение журнала. Вы не можете изменить источник и назначение трафика, удалить или выключить предустановленное правило.
• Пользовательские правила вы можете создавать и настраивать в зависимости от потребностей.

При создании правила вы можете настраивать критерии, по которым фильтруется трафик:

• источник трафика: адреса, адресные группы, пользователи, группы пользователей и зоны безопасности источника;
• назначение трафика: адреса, адресные группы и зоны безопасности назначения;
• сервисы: протоколы и порты;
• приложения.

Логика соответствия правил квалификаторам

Правило применяется к трафику, если трафик соответствует всем квалификаторам правила.

Между разделами квалификаторов верхнего уровня действует логика И. Например, трафик должен одновременно соответствовать квалификаторам источника, назначения, сервисов и приложений, если эти квалификаторы настроены в правиле.

Между квалификаторами разных типов внутри одного раздела действует логика И. Например, если в источнике указаны адрес источника и зона безопасности источника, трафик должен соответствовать обоим квалификаторам.

Внутри квалификаторов одного типа действует логика ИЛИ. Например, если в квалификаторе указано несколько адресов, трафик соответствует квалификатору при совпадении хотя бы с одним адресом.

В разделе Адреса источника квалификатор Пользователи и группы источника относятся к одной группе квалификаторов, а Адреса источника к другой. Между квалификаторами Адреса источника и Пользователи и группы источника действует логика И. Для значений внутри квалификатора Пользователи и группы источника действует логика ИЛИ.

Между адресами, пользователями и группами пользователей действует логика ИЛИ. Трафик соответствует этой группе квалификаторов, если он соответствует хотя бы одному указанному адресу, пользователю или группе пользователей.

Если значение квалификатора не ограничивает трафик, квалификатор считается выполненным.

Типы адресов, используемые в правилах

В качестве адресов в источнике и назначении трафика можно использовать объекты следующих типов:

• хост (IP-адрес);
• подсеть;
• диапазон IP-адресов;
• полное доменное имя (FQDN);
• географическое местоположение (GeoIP).

Если в правиле фильтрации указана адресная группа, Kaspersky NGFW учитывает все сетевые объекты, которые входят в эту группу, включая адреса из вложенных групп. Трафик соответствует адресной группе, если он соответствует хотя бы одному адресу из этой группы.

Если адресная группа с учетом вложенных групп не адресов, такая группа не участвует в определении соответствия трафика правилу.

При изменении адреса или адресной группы изменения применяются во всех правилах фильтрации, в которых используется этот адрес или эта группа.

Количество объектов каждого вида, которые можно добавить в источник или назначение трафика, ограничено. При достижении ограничения добавление новых объектов соответствующего вида становится недоступно.

Особенности работы

К трафику, соответствующему критериям правила, применяется действие, установленное в правиле: разрешить трафик, блокировать трафик или проверять трафик с помощью механизмов безопасности. Критерии правила должны быть настроены максимально точно. Действие, выбранное в правиле, срабатывает, только если трафик полностью соответствует установленным критериям.

Правила фильтрации применяются к трафику, только если при передаче он остается в рамках зон безопасности одного типа.

Также для каждого правила вы можете настроить расписание, в соответствии с которым правило будет работать.

Для каждого правила фильтрации вы можете включить запись в журнал сессий сетевого экрана событий о начале и завершении сессии, попадающей под это правило. В этом случае при удалении сессии, созданной по этому правилу фильтрации, в журнале сессий сетевого экрана будет создана соответствующая запись.

Порядок применения правил

Каждое правило имеет приоритет выполнения. Чем выше правило в списке, тем выше его приоритет и тем раньше оно сработает. Решение сопоставляет трафик с правилами в порядке их расположения в таблице правил сверху вниз. Как только заданные в очередном правиле условия выполняются, к трафику применяются параметры обработки, заданные в этом правиле, и поиск совпадений завершается. Более специфичные правила рекомендуется располагать выше в списке, чем более общие.

Предустановленное правило не имеет приоритета, в списке правил отображается последним. Если трафик не соответствует ни одному пользовательскому правилу, применяется действие, указанное в предустановленном правиле.

Вы можете поменять приоритет выполнения правила, переместив правило на другую позицию в таблице.