Bästa praxis - ATP UTM-funktioner

Den här artikeln kommer att titta på Best Practice Setup för ATP i en nätverksmiljö.

Som exempel tar vi en skolmiljö som vi behöver säkra ordentligt med:

ADP, IDP, Content-, DNS-, Webfilter, Anti-Virus, Anti-Malware, Sandboxing, CDR, Reputation Filter.

Vår topologi för detta kommer att vara ett skolnätverk.

Vi antar följande:

Vi har ett skolnät med följande Subnät.

Låt oss nu titta på de olika UTM-tjänsterna och ställa in dem enligt vår bästa praxis.

• App Patrol
• Innehållsfilter
• DNS-innehållsfilter
• Anti-Malware
• Reputation Filter
• IPS (Intrångsdetektion, förebyggande)
• Sandboxing
• CDR
• ADP

App Patrol:

Vi har redan en "default_profile", som inkluderar redan krypterad och anonymiserad Tunneling.

Vi vill också blockera spel och sociala medier (som Facebook och Instagram).

1. Klicka på "Frågeresultat".
2. Vi valde nu " Sök applikation(er) efter kategori" > " Spel: 0 /113" > > "Lägg till i min applikation"
3. Upprepa stegen ovan men välj "Sök applikation(er) efter namn."
4. Sök efter Facebook och Instagram och klicka på "Lägg till i min ansökan".
5. Nu måste vi ändra "Action" till "släpp". Gå till "Min applikation" > välj alla applikationer och klicka på "Åtgärd" och välj "släpp" > "Spara och avsluta".
6. Nu frågar ATP om du vill lägga till profilen i en säkerhetspolicy.
7. Välj "Ja"
8. I vårt fall använder vi LAN2, så vi väljer "LAN2_Outgoing".

Innehållsfilter:

Här kommer vi att skapa en ny profil.

1. Klicka på lägg till
2. Ge den ett namn och klicka på " Aktivera innehållsfilterkategoritjänst."
3. Välj de kategorier du vill blockera och klicka på "OK".
4. Som med App Patrol tidigare, tillämpa profilen på säkerhetspolicyn.

DNS-innehållsfilter:

Vi ställer nu in DNS-innehållsfiltret:

1. Klicka på fliken "DNS-innehållsfilter".
2. Gå till "Lägg till"
   1. Vänligen ge det ett namn
   2. Under "Klonkategoriinställningar från profil" väljer du den innehållsfilterprofil som vi skapade tidigare.
   3. Klicka på "Klona" och "OK"
3. Som tidigare, lägg till det i säkerhetspolicyerna. Den här gången lägger vi också till den i "LANX to Device."

Anti-Malware:

Låt oss nu ställa in Anti-Malware.

Det finns redan en grundläggande säkerhetsinställning som standard.

Vi ska förstärka det.

1. Vi lämnar Hybrid Mode som det är
2. Under "Avancerat"
   1. Vi väljer alla tillgängliga filtyper och lägger till dem i listan.
      1. "Förstör infekterad fil" betyder att klienten fortfarande kommer att ladda ner filen, men brandväggen kommer att injicera slumpmässig "0" i den binära strömmen. Detta resulterar i en förstörd fil.
      2. Om du väljer " Förstör komprimerade filer som inte kunde dekomprimeras" betyder det att till exempel rena (lösenordsskyddade) arkiv också skulle förstöras eftersom vi inte kunde packa upp dem.
   2. Klicka på "Ansök"

Ryktefilter:

När det gäller ryktesfiltret (aktiverat som standard), måste vi tänka på att vi pratar om 3 aspekter:

• IP rykte
• DNS-hotfilter
• URL-hotfilter

Inställningarna här är (som standard) för att blockera allt, och vi bör lämna det.

Du kan lägga till en extern blockeringslista till "IP Reputation" och "URL Threat Filter" om du vill.

"IP-rykte":

• Den externa blockeringsfilen måste vara i textformat (*.txt), med varje post separerad av en ny rad.
• Externa blocklistposter kan bestå av enstaka IPv4/IPv6 IP-adresser, IP-adressintervall, CIDR (Classless Inter-Domain Routing-poster såsom 192.168.1.1/24, 2001:7300:3500::1/64. Detta är några exempel för din Endast referens:
  
  • 4.4.4.4
  • 192.168.1.0/32
• Om den externa blockeringsfilen innehåller några ogiltiga poster kommer Zyxel-enheten inte att använda filen.
• Den externa blockeringsfilen kan innehålla upp till 50 000 poster. Ett varningsmeddelande visas när maxvärdet har nåtts.

"URL-hotfilter":

• Den externa blockeringsfilen måste vara i textformat (*.txt), med varje post separerad av en ny rad.
• Externa blocklistposter kan innehålla en fullständig URL eller ett värdnamn och kan innehålla jokertecken. Det finns några exempel endast för din referens:
  • https://www.zyxel.com/products_services/smb.shtml?t=s (fullständig URL)
  • www.zyxel.com (värdnamn)
  • *.zyxel.* (värdnamn med jokertecken)
• Om den externa blockeringsfilen innehåller några ogiltiga poster kommer Zyxel-enheten inte att använda filen.
• Den externa blockeringsfilen kan innehålla upp till 50 000 poster. Ett varningsmeddelande visas när maxvärdet har nåtts.

IPS (Intrångsdetektion, förebyggande):

IPS är också en "One-click Module", vanligtvis kan vi lämna inställningarna som de är (vilket vi kommer att göra i det här fallet).

Om det behövs kan du lägga till anpassade signaturer eller ändra beteendet hos IPS för vissa signaturer.

Sandboxing:

Sandboxing innehåller alla okända paket eller användarmönster isolerat, emulerar sedan programmen som ska köras och identifierar om de är skadliga eller inte.

Sandboxing kommer att uppdatera denna nya skadliga information via Threat Intelligence Machine Learning till Cloud-servern om den är skadlig.

Här borde det räcka för att "aktivera" modulen.

Om du vill kan du aktivera "Inspektera valda nedladdade filer" och välja vilka filer som alltid ska betraktas som ett hot och vara sandlådor först.

CDR:

Ovanstående moduler upptäcker yttre hot, Collaborative Detection & Response tar hand om de inre hoten.

CDR kan upptäcka skadliga anslutningar eller beteenden från klienter i nätverket.

1. Aktivera funktionen
2. Vi måste konfigurera varningse-posten. (Observera att under "System > Meddelanden" måste du först konfigurera en SMTP-server.)
3. Vi kommer att konfigurera inneslutnings-VLAN (blockerade klienter kommer att skjutas dit för att förhindra dem från att ytterligare sprida de skadliga åtgärderna). Om du använder ATP som en åtkomstpunktskontroller kommer du också att kunna blockera Wi-Fi-klienter helt.
   1. Klicka på "Blockera trådlös klient".
   2. Klicka på "Lägg till VLAN"
      1. Fyll VLAN som ett fiktivt icke-existerande VLAN
      2. Välj det som "Quarantine VLAN" och klicka på "OK"

ADP:

Sist men inte minst ska vi kontrollera ADP (Security Policy > ADP).

" Anomaly Detection and Prevention" försöker upptäcka för närvarande okända hot med kända trådmönster.

Det är aktiverat som standard, och vi kan vanligtvis lämna det som vi kommer att göra.

VARNING:

Kära kund, tänk på att vi använder maskinöversättning för att tillhandahålla artiklar på ditt lokala språk. All text kanske inte översätts korrekt. Om det finns frågor eller avvikelser om riktigheten av informationen i den översatta versionen, läs originalartikeln här: Originalversion