Polityka bezpieczeństwa Zyxel Firewall H Series - Jak wykrywać i zapobiegać skanowaniu portów TCP za pomocą ochrony DoS

Ten artykuł wyjaśnia, jak skonfigurować profil DoS Prevention w USG FLEX H, aby wykrywać i blokować próby skanowania portów TCP. Funkcja DoS Prevention analizuje ruch sieciowy pod kątem anomalii protokołu, naruszeń RFC (Requests for Comments) oraz podejrzanych wzorców ruchu, pomagając chronić sieć przed działaniami rozpoznawczymi przed wystąpieniem ataku.

Ulepszona ochrona DoS

Począwszy od wersji oprogramowania 1.38, USG FLEX H Series wprowadza ulepszony silnik DoS Prevention zaprojektowany w celu poprawy wykrywania i łagodzenia ataków skanowania portów oraz zalewania (flood).

Ulepszony mechanizm analizuje podejrzany ruch na wcześniejszym etapie przetwarzania pakietów, co pozwala zaporze sieciowej wykrywać i blokować złośliwy ruch zanim zużyje on niepotrzebne zasoby systemowe. Takie podejście poprawia ogólną wydajność, zmniejszając wykorzystanie CPU przy jednoczesnym utrzymaniu skutecznej ochrony przed działaniami rozpoznawczymi.

Silnik DoS Prevention obsługuje wykrywanie wielu typów ataków skanowania i zalewania, w tym:

• Skanowanie portów TCP
• Skanowanie portów UDP
• Skanowanie protokołu IP
• Skanowanie TCP Sweep
• Skanowanie UDP Sweep
• Skanowanie ICMP Sweep
• Skanowanie protokołu IP Sweep
• Zalewanie TCP Flood
• Zalewanie UDP Flood
• Zalewanie ICMP Flood
• Zalewanie IP Flood

Każda reguła wykrywania może być indywidualnie konfigurowana do rejestrowania zdarzeń, blokowania naruszających hostów oraz automatycznego umieszczania adresów IP źródłowych na czarnej liście na konfigurowalny okres.

Konfiguracja ochrony DoS

W USG Flex H przejdź do Security Policy > Dos Prevention > Dodaj profil. Skonfiguruj nazwę, która pozwoli Ci zidentyfikować profil, na przykład „DoS_Prevention”. Skonfiguruj wykrywanie skanowania (Scan Detection) i wykrywanie zalewania (Flood Detection), aby blokować, gdy wykryte zostaną zdarzenia ochrony DoS.

Polityka DoS Prevention – definiuje, na których interfejsach stosowana jest ochrona.

Profil DoS Prevention – definiuje, jakie anomalie są wykrywane i jak zapora reaguje.

Krok 1. Włącz ochronę DoS

Otwórz zakładkę DoS Prevention Policy.

1. Włącz DoS Prevention.
2. Kliknij Dodaj, aby utworzyć nową politykę.
3. Skonfiguruj następujące ustawienia:

Kliknij Zastosuj, aby zapisać politykę.

Uwaga: Zastosowanie polityki na interfejsie WAN zapewnia, że ruch rozpoznawczy pochodzący z Internetu jest analizowany zanim dotrze do zapory.

Krok 2. Utwórz profil DoS Prevention

Otwórz zakładkę Profil i kliknij Dodaj.

Skonfiguruj opisową nazwę profilu, na przykład:

DOS_PREVENTION_PROFILE

Ten profil zawiera wiele silników wykrywania, w tym Wykrywanie skanowania, Wykrywanie zalewania oraz Wykrywanie anomalii protokołu.

Krok 3. Skonfiguruj wykrywanie skanowania

W sekcji Scan Detection skonfiguruj następujące ustawienia:

Włącz następujące reguły wykrywania:

• Skanowanie portów TCP
• Skanowanie portów UDP
• Skanowanie TCP Sweep
• Skanowanie UDP Sweep
• Skanowanie ICMP Sweep
• Skanowanie protokołu IP
• Skanowanie protokołu IP Sweep

Dla każdej włączonej reguły:

• Logowanie: Włącz
• Akcja: Blokuj

Te ustawienia pozwalają zaporze automatycznie wykrywać aktywność rozpoznawczą i tymczasowo umieszczać skanujący host na czarnej liście.

Krok 4. Skonfiguruj wykrywanie zalewania

Silnik Flood Detection chroni zaporę przed nadmiernym natężeniem ruchu, które może wskazywać na atak typu Denial-of-Service (DoS). Każda reguła monitoruje określony protokół i może automatycznie blokować hosty przekraczające skonfigurowany próg.

W tym przykładzie włącz następujące reguły ochrony:

Skonfiguruj następujące ustawienia:

Uwaga: Progi wykrywania mogą wymagać dostosowania w zależności od środowiska sieciowego. Włączenie ochrony przed zalewaniem z zbyt agresywnymi ustawieniami może powodować tymczasowe blokowanie legalnego ruchu o dużym natężeniu.

Krok 5. Skonfiguruj wykrywanie anomalii protokołu

Silnik Protocol Anomaly Detection identyfikuje niepoprawnie sformatowane pakiety oraz naruszenia protokołu, które mogą być wykorzystywane do obejścia zabezpieczeń lub wykorzystania luk.

Dla tej konfiguracji włącz następującą ochronę:

Pozostaw następujące zabezpieczenia wyłączone, chyba że są one specyficznie wymagane przez Twoje środowisko:

Ważne: Funkcje bezpieczeństwa, które analizują anomalie protokołu, mogą czasem błędnie identyfikować legalny ruch jako złośliwy. Przed włączeniem dodatkowych reguł wykrywania anomalii w środowisku produkcyjnym, przetestuj je w środowisku testowym lub monitoruj logi, aby upewnić się, że krytyczne usługi nie są zakłócane.

Testowanie wyniku

Użyj narzędzia do skanowania portów Nmap lub hping3, aby przeskanować interfejs WAN. Na przykład, używając skanera bezpieczeństwa Nmap do testowania wyniku: Otwórz GUI Nmap, ustaw cel na adres IP WAN USG Flex H (w tym przykładzie 10.214.48.19), ustaw profil na Intense Scan i kliknij Skanuj.

Przejdź do Log & Report > Log / Events, gdzie zobaczysz logi zablokowanych wiadomości.