Поведение Kaspersky NGFW при ошибках обработки сессий механизмами безопасности

При обработке трафика в механизмах безопасности Kaspersky NGFW может возникнуть ошибка обработки сессии. В этом случае Kaspersky NGFW применяет к сессии действие, заданное для соответствующего механизма безопасности.

Действие при ошибке обработки сессии настраивается отдельно для следующих механизмов и компонентов обработки трафика:

• Веб-Контроль для управления доступом пользователей к сайтам на основе категорий.
• Защита DNS-трафика для проверки DNS-трафика и определения вредоносных и фишинговых доменов.
• Антивирус для проверки трафика на вирусы.
• IDPS (система обнаружения и предотвращения вторжений) для обнаружения и предотвращения в трафике атак или угроз на основе имеющейся базы правил/сигнатур.
• Контроль трафика приложений с помощью Deep Packet Inspection (DPI).

Настройка является глобальной для устройства Kaspersky NGFW и не задается на уровне профиля безопасности или правила фильтрации.

Для Антивируса, Веб-Контроля, DPI и IDPS доступны следующие действия:

• bypass – Kaspersky NGFW пропускает сессию без дальнейшей проверки соответствующим механизмом безопасности. Для DPI и IDPS Kaspersky NGFW закрывает контекст сессии и не отправляет новые пакеты этой сессии на анализ соответствующим механизмом.
• block – Kaspersky NGFW блокирует сессию. Это действие по умолчанию.
• reset-both – Kaspersky NGFW блокирует TCP-сессию и отправляет TCP RST клиенту и серверу.

Для Защиты DNS-трафика доступны следующие действия:

• bypass – Kaspersky NGFW не выполняет дополнительных действий с сессией.
• block – Kaspersky NGFW блокирует сессию. Это действие по умолчанию.

При изменении действия, которое Kaspersky NGFW применяет при ошибке обработки сессии в Защите DNS-трафика, требуется перезапустить процесс VPP. При настройке действия в командной строке Kaspersky NGFW выводит уведомление о необходимости перезапуска.

Если для соответствующего механизма безопасности настроена передача событий безопасности, Kaspersky NGFW отправляет в SIEM-систему событие о примененном действии. При ошибке обработки сессии в Защите DNS-трафика событие безопасности в SIEM-систему не отправляется.

При ошибке обработки сессии в инспектировании TLS Kaspersky NGFW применяет фиксированное действие reset-both. Настроить другое действие для таких ошибок невозможно.

При ошибке обработки протоколов POP3, SMTP и IMAP Kaspersky NGFW применяет фиксированное действие reset-both. Настроить другое действие для таких ошибок невозможно.

Вы можете настроить действия при ошибках обработки сессий с помощью командной строки, используя семейство команд system. Описание семейств команд для настройки работы Kaspersky NGFW вы можете найти в документе Управление Kaspersky NGFW с помощью командной строки.