Реагирование с помощью Ideco NGFW

Развернуть все | Свернуть все

Ideco NGFW – это решение, которое действует как фильтр для интернет-трафика в корпоративных и частных сетях. Он позволяет заблокировать IP-адреса и веб-адреса, обнаруженные Open Single Management Platform, если вы ранее настроили интеграцию Open Single Management Platform и службы запуска скриптов.

Поддерживается Ideco NGFW версии 16.0 и выше.

Логин и пароль для доступа к Ideco NGFW хранятся в скрипте для интеграции с Ideco NGFW. Вы можете скачать скрипт по следующей ссылке:

Загрузить скрипт

Чтобы использовать скрипт:

1. Установите скрипт одним из следующих способов:
   • С помощью pip, например:

     pip install -r requirements.txt

   • Из WHL-файла, например:

     pip install ./dist/kaspersky_xdr_ideco_integration-<version>-py3-none-any.whl

   • Автономная установка.

     Если у вас нет доступа в интернет, вы можете установить скрипт автономно. В этом случае сделайте следующее:

     1. Загрузите зависимости на устройство с доступом в интернет, выполнив следующую команду:

        pip download -r requirements.txt

     2. Переместите загруженные зависимости на устройство, на котором вы будете запускать скрипт.
     3. Установите зависимости с помощью команды:

        pip install --no-index --find-links <путь_к_папке_с_загруженными_зависимостям> -r requirements.txt

2. Настройте скрипт одним из следующих способов:
   • С помощью ENV-файла, например:

     cp .env.sample .env

     nano .env

   • В теле скрипта (ideco.py) измените параметры в следующих строках:

     BASE_URL: str = getenv("BASE_URL", "https://your-ip:your-port")

     LOGIN: str = getenv("LOGIN", "your-login")

     PASSWORD: str = getenv("PASSWORD", "your-password")

     IP_DENY_LIMIT: int = int(getenv("IP_DENY_LIMIT", 1000))

3. Добавьте правила запрета для IP-адресов, обнаруженных Open Single Management Platform, и для вредоносных веб-адресов.

Чтобы добавить правило сетевого экрана, которое будет блокировать IP-адреса:

1. Запустите скрипт с помощью команды add_firewall_rule.

   Команда имеет следующую логику:

   1. Проверяет, существуют ли IP-адреса в списке объектов Ideco NGFW.

      Если они существуют, текущий IP-адрес не добавляется.

      Если они не существуют, добавляется текущий IP-адрес.

   2. Проверяет, существует ли список IP-адресов с именем XDR.

      Если список существует, он используется повторно, и к нему добавляются IP-адреса.

      Если он не существует, создается список, в который добавляются IP-адреса.

   3. Проверяет, существует ли правило для сетевого экрана с именем XDR.

      Если правило сетевого экрана существует, оно используется повторно и к нему добавляется список IP-адресов из шага 2.

      Если оно не существует, создается правило сетевого экрана, и к нему добавляется список IP-адресов из шага 2.

2. Укажите IP-адреса, которые вы хотите заблокировать.

   По умолчанию максимальное количество IP-адресов – 1000. Вы можете изменить это значение, как описано в шаге 2 Настройка скрипта.

   Необходимо добавлять действительные IPv4-адреса через запятую и без пробелов, например:

   python ideco.py add_firewall_rule --ip_address "12.12.12.12, 13.13.13.13"

Правило запрета для выбранных IPv4-адресов добавлено.

Чтобы добавить правило фильтрации, которое будет блокировать вредоносные веб-адреса:

1. Запустите скрипт с помощью команды add_content_filter_file command.

   Команда имеет следующую логику:

   1. Проверяет, существует ли категория с именем XDR.

      Если она существует, веб-адреса добавляются в эту категорию.

      Если она не существует, создается категория, а затем к ней добавляются веб-адреса.

   2. Проверяет, существует ли правило фильтрации содержимого с именем XDR.

      Если правило фильтрации содержимого существует, к нему добавляется категория из шага 1.

      Если оно не существует, создается правило фильтрации содержимого, а затем к нему добавляется категория из шага 1.

2. Укажите веб-адреса, которые вы хотите заблокировать.

   Веб-адреса должны быть разделены запятыми и иметь префиксы http:// или https://, например:

   python ideco.py add_content_filter_rule --url "https://url_1.com, http://url_2.com.uk, http://qwerty.nl, http://zxc.xc"

Правило запрета для указанных URL добавлено.