Politica di Sicurezza Zyxel Firewall Serie H - Come Rilevare e Prevenire la Scansione delle Porte TCP con Prevenzione DoS

Questo articolo spiega come configurare un profilo di Prevenzione DoS su USG FLEX H per rilevare e bloccare i tentativi di scansione delle porte TCP. La funzione di Prevenzione DoS analizza il traffico di rete per anomalie di protocollo, violazioni RFC (Requests for Comments) e modelli di traffico sospetti, aiutando a proteggere la rete dalle attività di ricognizione prima che avvenga un attacco.

Prevenzione DoS Potenziata

A partire dalla versione firmware 1.38, la Serie USG FLEX H introduce un motore di Prevenzione DoS potenziato progettato per migliorare il rilevamento e la mitigazione degli attacchi di scansione delle porte e di flooding.

Il meccanismo potenziato analizza il traffico sospetto in una fase più precoce dell'elaborazione dei pacchetti, permettendo al firewall di rilevare e bloccare il traffico dannoso prima che consumi risorse di sistema non necessarie. Questo approccio migliora le prestazioni complessive riducendo l'utilizzo della CPU pur mantenendo una protezione efficace contro le attività di ricognizione.

Il motore di Prevenzione DoS supporta il rilevamento di molteplici tipi di attacchi di scansione e flooding, inclusi:

• Scansione porte TCP
• Scansione porte UDP
• Scansione protocollo IP
• Sweep TCP
• Sweep UDP
• Sweep ICMP
• Sweep protocollo IP
• Flood TCP
• Flood UDP
• Flood ICMP
• Flood IP

Ogni regola di rilevamento può essere configurata singolarmente per registrare eventi, bloccare host colpevoli e inserire automaticamente nella blacklist gli indirizzi IP sorgente per un periodo configurabile.

Configurare la Prevenzione DoS

Su USG Flex H, andare su Security Policy > Dos Prevention > Aggiungi un profilo. Configurare un Nome per identificare il profilo, ad esempio “DoS_Prevention”. Configurare la Rilevazione Scansione e la Rilevazione Flood per bloccare quando vengono rilevati eventi di prevenzione DoS.

Politica di Prevenzione DoS – definisce su quali interfacce viene applicata la protezione.

Profilo di Prevenzione DoS – definisce quali anomalie vengono rilevate e come il firewall risponde.

Passo 1. Abilitare la Prevenzione DoS

Aprire la scheda Politica di Prevenzione DoS.

1. Abilitare la Prevenzione DoS.
2. Cliccare su Aggiungi per creare una nuova politica.
3. Configurare le seguenti impostazioni:

Cliccare su Applica per salvare la politica.

Nota: Applicare la politica all'interfaccia WAN assicura che il traffico di ricognizione originato da Internet venga ispezionato prima di raggiungere il firewall.

Passo 2. Creare un Profilo di Prevenzione DoS

Aprire la scheda Profilo e cliccare su Aggiungi.

Configurare un nome descrittivo per il profilo, ad esempio:

DOS_PREVENTION_PROFILE

Questo profilo contiene molteplici motori di rilevamento, inclusi Rilevazione Scansione, Rilevazione Flood e Rilevazione Anomalie di Protocollo.

Passo 3. Configurare la Rilevazione Scansione

Nella sezione Rilevazione Scansione, configurare le seguenti impostazioni:

Abilitare le seguenti regole di rilevamento:

• Scansione porte TCP
• Scansione porte UDP
• Sweep TCP
• Sweep UDP
• Sweep ICMP
• Scansione protocollo IP
• Sweep protocollo IP

Per ogni regola abilitata:

• Log: Abilitato
• Azione: Blocca

Queste impostazioni permettono al firewall di rilevare automaticamente l'attività di ricognizione e di inserire temporaneamente nella blacklist l'host che effettua la scansione.

Passo 4. Configurare la Rilevazione Flood

Il motore di Rilevazione Flood protegge il firewall da volumi eccessivi di traffico che possono indicare un attacco Denial-of-Service (DoS). Ogni regola monitora un protocollo specifico e può bloccare automaticamente gli host che superano la soglia configurata.

Per questo esempio, abilitare le seguenti regole di protezione:

Configurare le seguenti impostazioni:

Nota: Le soglie di rilevamento potrebbero dover essere regolate in base all'ambiente di rete. Abilitare la protezione flood con impostazioni troppo aggressive può causare il blocco temporaneo di traffico legittimo ad alto volume.

Passo 5. Configurare la Rilevazione Anomalie di Protocollo

Il motore di Rilevazione Anomalie di Protocollo identifica pacchetti malformati e violazioni di protocollo che potrebbero essere utilizzati per bypassare i controlli di sicurezza o sfruttare vulnerabilità.

Per questa configurazione, abilitare la seguente protezione:

Lasciare le seguenti protezioni disabilitate a meno che non siano specificamente richieste dal tuo ambiente:

Importante: Le funzionalità di sicurezza che ispezionano anomalie di protocollo possono occasionalmente identificare traffico legittimo come dannoso. Prima di abilitare ulteriori regole di rilevamento anomalie in un ambiente di produzione, convalidarle in un ambiente di test o monitorare i log per assicurarsi che i servizi critici non siano influenzati.

Testare il Risultato

Usa lo strumento di scansione porte Nmap o hping3 per scansionare l'interfaccia WAN. Ad esempio, utilizzando lo scanner di sicurezza Nmap per testare il risultato: apri l'interfaccia grafica di Nmap, imposta il Target sull'IP WAN di USG Flex H (10.214.48.19 in questo esempio) e imposta il Profilo su Intense Scan, quindi clicca su Scansiona.

Vai su Log & Report > Log / Eventi, vedrai i log dei messaggi bloccati.