Настройка Защиты от сетевого сканирования

Сетевое сканирование – способ обнаружения уязвимых узлов в сети путем обращения к разным портам разных хостов. Этот способ может применяться специалистами по безопасности в качестве инструмента для поиска уязвимых мест IT-инфраструктуры, а также злоумышленниками на подготовительном этапе атаки для получения информации о целевом хосте. Например, для проникновения злоумышленники могут воспользоваться уязвимостями в доступных извне сетевых службах или в операционной системе устройства.

Защита от сетевого сканирования включается для определенных зон безопасности и применяется до проверки трафика на соответствие правилам фильтрации.

Kaspersky NGFW обрабатывает трафик, генерирует и отправляет пользовательские события в соответствии с настроенным параметрам.

Параметры настраиваются независимо для двух типов атак:

• TCP Port Scan.
• UDP Port Scan.

Чтобы включить Защиту от сетевого сканирования:

1. В главном меню Консоли Open Single Management Platform перейдите в раздел Приложения и сервисы → NGFW.
2. Перейдите на вкладку Объекты и выберите Зоны безопасности.
3. Выполните одно из следующих действий:
   • Если вы хотите создать новую зону безопасности и настроить на ней Защиту от сетевого сканирования, нажмите Создать и настройте необходимые параметры зоны безопасности.
   • Если вы хотите настроить Защиту от сетевого сканирования в существующей зоне безопасности, выберите нужную зону безопасности в таблице и нажмите на ее название либо установите флажок рядом с зоной безопасности и нажмите Изменить.
4. В открывшемся окне перейдите на вкладку Защита от сетевого сканирования и включите переключатель Статус.
5. Выберите действие, которое будет применяться к сессиям в случае обнаружения сетевого сканирования:
   • Разрешать – не анализировать трафик на возможные атаки с использованием сканирования сети. Весь трафик разрешается без проверки на сетевое сканирование.
   • Блокировать – при обнаружении атаки с использованием сканирования сети сессия создана не будет.
6. При необходимости включите запись событий безопасности в журнал. Если запись в журнал включена, при срабатывании действия при обнаружении сетевого сканирования событие записывается в журнал событий безопасности и отправляется в SIEM-систему.
7. Если вы хотите записывать трафик при срабатывании Защиты от сетевого сканирования для последующего анализа, включите переключатель Захват пакетов. Включение захвата пакетов возможно, только если включена запись событий безопасности в журнал.

   Трафик записывается в PCAP-файл и отправляется в составе события безопасности в SIEM-систему. PCAP-будет сохранен, только если событие безопасности было отправлено в SIEM-систему.

   Включение захвата пакетов сильно увеличивает потребление оперативной памяти. Не оставляйте захват пакетов включенным на продолжительное время.

8. Нажмите Сохранить.

Защита от сетевого сканирования будет включена для выбранной зоны безопасности.