Zyxel Firewall H Series Sicherheitsrichtlinie – Erkennung und Verhinderung von TCP-Port-Scans mit DoS-Prävention

Dieser Artikel erklärt, wie ein USG FLEX H DoS-Präventionsprofil konfiguriert wird, um TCP-Port-Scan-Versuche zu erkennen und zu blockieren. Die DoS-Präventionsfunktion analysiert den Netzwerkverkehr auf Protokollanomalien, RFC-Verstöße (Requests for Comments) und verdächtige Verkehrsmuster, um das Netzwerk vor Aufklärungsaktivitäten zu schützen, bevor ein Angriff erfolgt.

Erweiterte DoS-Prävention

Ab Firmware-Version 1.38 führt die USG FLEX H Serie eine erweiterte DoS-Präventions-Engine ein, die darauf ausgelegt ist, die Erkennung und Abwehr von Port-Scan- und Flooding-Angriffen zu verbessern.

Der erweiterte Mechanismus analysiert verdächtigen Verkehr in einer früheren Phase der Paketverarbeitung, sodass die Firewall bösartigen Verkehr erkennen und blockieren kann, bevor unnötige Systemressourcen verbraucht werden. Dieser Ansatz verbessert die Gesamtleistung, indem die CPU-Auslastung reduziert wird, während ein effektiver Schutz gegen Aufklärungsaktivitäten erhalten bleibt.

Die DoS-Präventions-Engine unterstützt die Erkennung mehrerer Scan- und Flood-Angriffstypen, darunter:

• TCP-Port-Scan
• UDP-Port-Scan
• IP-Protokoll-Scan
• TCP-Sweep
• UDP-Sweep
• ICMP-Sweep
• IP-Protokoll-Sweep
• TCP-Flood
• UDP-Flood
• ICMP-Flood
• IP-Flood

Jede Erkennungsregel kann individuell konfiguriert werden, um Ereignisse zu protokollieren, angreifende Hosts zu blockieren und Quell-IP-Adressen für einen konfigurierbaren Zeitraum automatisch auf eine schwarze Liste zu setzen.

Einrichtung der DoS-Prävention

Im USG Flex H gehen Sie zu Sicherheitspolitik > Dos Prevention > Profil hinzufügen. Konfigurieren Sie einen Namen, mit dem Sie das Profil identifizieren können, z. B. „DoS_Prevention“. Stellen Sie Scan Detection und Flood Detection so ein, dass bei Erkennung von DoS-Präventionsereignissen blockiert wird.

DoS-Präventionsrichtlinie – definiert, auf welchen Schnittstellen der Schutz angewendet wird.

DoS-Präventionsprofil – definiert, welche Anomalien erkannt werden und wie die Firewall reagiert.

Schritt 1. DoS-Prävention aktivieren

Öffnen Sie den Tab DoS Prevention Policy.

1. Aktivieren Sie DoS Prevention.
2. Klicken Sie auf Hinzufügen, um eine neue Richtlinie zu erstellen.
3. Konfigurieren Sie die folgenden Einstellungen:

Klicken Sie auf Übernehmen, um die Richtlinie zu speichern.

Hinweis: Die Anwendung der Richtlinie auf die WAN-Schnittstelle stellt sicher, dass Internet-basierter Aufklärungsverkehr überprüft wird, bevor er die Firewall erreicht.

Schritt 2. Erstellen eines DoS-Präventionsprofils

Öffnen Sie den Tab Profil und klicken Sie auf Hinzufügen.

Geben Sie einen aussagekräftigen Profilnamen ein, zum Beispiel:

DOS_PREVENTION_PROFILE

Dieses Profil enthält mehrere Erkennungs-Engines, darunter Scan Detection, Flood Detection und Protocol Anomaly Detection.

Schritt 3. Konfiguration der Scan-Erkennung

Unter Scan Detection konfigurieren Sie die folgenden Einstellungen:

Aktivieren Sie die folgenden Erkennungsregeln:

• TCP-Port-Scan
• UDP-Port-Scan
• TCP-Sweep
• UDP-Sweep
• ICMP-Sweep
• IP-Protokoll-Scan
• IP-Protokoll-Sweep

Für jede aktivierte Regel:

• Protokollieren: Aktivieren
• Aktion: Blockieren

Diese Einstellungen ermöglichen es der Firewall, Aufklärungsaktivitäten automatisch zu erkennen und den scanenden Host vorübergehend auf die schwarze Liste zu setzen.

Schritt 4. Konfiguration der Flood-Erkennung

Die Flood Detection-Engine schützt die Firewall vor übermäßigen Verkehrsvolumina, die auf einen Denial-of-Service-(DoS)-Angriff hindeuten können. Jede Regel überwacht ein bestimmtes Protokoll und kann Hosts automatisch blockieren, die den konfigurierten Schwellenwert überschreiten.

Für dieses Beispiel aktivieren Sie die folgenden Schutzregeln:

Konfigurieren Sie die folgenden Einstellungen:

Hinweis: Die Erkennungsschwellenwerte müssen möglicherweise an Ihre Netzwerkumgebung angepasst werden. Das Aktivieren des Flood-Schutzes mit zu aggressiven Einstellungen kann dazu führen, dass legitimer Hochvolumenverkehr vorübergehend blockiert wird.

Schritt 5. Konfiguration der Protokoll-Anomalie-Erkennung

Die Protocol Anomaly Detection-Engine erkennt fehlerhafte Pakete und Protokollverstöße, die verwendet werden können, um Sicherheitskontrollen zu umgehen oder Schwachstellen auszunutzen.

Für diese Konfiguration aktivieren Sie den folgenden Schutz:

Lassen Sie die folgenden Schutzmaßnahmen deaktiviert, sofern sie nicht ausdrücklich in Ihrer Umgebung erforderlich sind:

Wichtig: Sicherheitsfunktionen, die Protokollanomalien untersuchen, können gelegentlich legitimen Verkehr fälschlicherweise als bösartig identifizieren. Bevor Sie zusätzliche Anomalie-Erkennungsregeln in einer Produktionsumgebung aktivieren, validieren Sie diese in einer Testumgebung oder überwachen Sie die Protokolle, um sicherzustellen, dass kritische Dienste nicht beeinträchtigt werden.

Testergebnis überprüfen

Verwenden Sie das Port-Scan-Tool Nmap oder hping3, um die WAN-Schnittstelle zu scannen. Zum Beispiel mit dem Nmap-Sicherheitsscanner zur Überprüfung des Ergebnisses: Öffnen Sie die Nmap-GUI, setzen Sie das Ziel auf die WAN-IP des USG Flex H (in diesem Beispiel 10.214.48.19), wählen Sie das Profil „Intense Scan“ und klicken Sie auf „Scan“.

Navigieren Sie zu Protokolle & Berichte > Protokolle / Ereignisse, dort sehen Sie Protokolle der blockierten Nachrichten.