Фильтрация файлов в сетевом трафике

Kaspersky NGFW позволяет фильтровать файлы, содержащиеся в сетевом трафике или передаваемые от веб-страниц, чтобы блокировать определенные файлы еще до отправки их на проверку механизмом безопасности Антивирус. Kaspersky NGFW поддерживает фильтрацию файлов в трафике, передаваемом по протоколам HTTP, HTTPS (после SSL-расшифровки) и FTP.

Фильтрация файлов в сетевом трафике осуществляется на основе следующих параметров:

• На основе MIME-типов файлов, определяемых в HTTP-заголовке Content-Type в запросе и ответе: например, текстовые файлы типа Text, звуковые файлы типа Audio, видеофайлы типа Video и данные приложения типа Application.
• На основе имени файла, определяемого в объекте Content-Disposition в параметре filename или в URL-адресе в кодировке ASCII.

Вы можете настраивать фильтрацию файлов в сетевом трафике с помощью командной строки, используя следующие команды из семейства команд security antivirus:

• команды mime-type-filter для настройки фильтрации по MIME-типам;
• команды file-name-filter для настройки фильтрации по имени файла.

Описание семейств команд для настройки работы Kaspersky NGFW вы можете найти в документе Управление Kaspersky NGFW с помощью командной строки.

С помощью командной строки вы можете включить фильтрацию файлов только по MIME-типам, только по имени файлов или оба способа фильтрации. Вы можете создавать правила для фильтрации файлов (не более 10 000 для каждого способа фильтрации) на основе регистронезависимых регулярных выражений в формате синтаксиса ECMAScript 3. К файлам, обнаруженным в сетевом трафике или передаваемым от веб-страниц, применяется одно из следующих действий для фильтрации: разрешить файл (allow) и передать его для последующей проверки или блокировать файл (block). По умолчанию для обоих способов фильтрации установлено действие allow. При необходимости вы можете изменить действия по умолчанию.

Правила фильтрации файлов применяются до передачи файла на проверку механизмом безопасности Антивирус, только если выполнятся следующие условия:

• В применимом к трафику правиле фильтрации используется профиль Антивируса.
• Для механизма безопасности Антивирус включены Объектный антивирус и анализ трафика хотя бы по одному из протоколов HTTP, HTTPS (после SSL-расшифровки) и FTP.

Алгоритм работы фильтрации файлов в сетевом трафике включает следующие шаги:

1. Поиск подходящего правила для фильтрации по имени файла (если включена):
   • Если правило найдено, выполняется действие из правила.
   • Если правило не найдено или имя файла не удалось определить, применяется действие, установленное по умолчанию для этого способа фильтрации.

   Если применилось действие block, файл блокируется. Если применилось действие allow, файл передается для следующей проверки (по MIME-типам, если включена, или в Антивирус).

2. Поиск подходящего правила фильтрации по MIME-типам файлов (если включена):
   • Если правило найдено, выполняется действие из правила.
   • Если правило не найдено или MIME-тип файла не удалось определить, применяется действие, установленное по умолчанию для этого способа фильтрации.

   Если применилось действие block, файл блокируется. Если применилось действие allow, файл передается для проверки в Антивирус.

Для каждого способа фильтрации Kaspersky NGFW ищет соответствие только среди включенных правил и проверяет их в порядке их приоритета. Поиск останавливается после первого сработавшего правила. Как только к файлу применяется действие block, все проверки останавливаются, файл блокируется и не передается для проверки в механизм безопасности Антивирус. Если после прохождения всех проверок к файлу было применено только действие allow, файл передается для проверки в механизм безопасности Антивирус.

Если для механизма безопасности Антивирус включена запись событий в журнал, то информация о файлах, заблокированных с помощью фильтрации файлов, записывается в журнале потокового и объектного антивируса.