Поведенческое обнаружение вторжений Microsoft Forefront TMG
Примечание:
Имейте в виду, что информация в этой статье основана на бета-версии Microsoft Forefront TMG и может быть изменена.
Начнем
Несколько месяцев назад Microsoft выпустила третью бета-версию Microsoft Forefront TMG (Threat Management Gateway), которая содержит множество новых функций.
Одной из основных сильных сторон Microsoft Forefront TMG является защита от нескольких сетевых атак и попыток вторжения. Начиная с Microsoft Forefront TMG, Microsoft разделила эти защитные механизмы на две части:
- Система проверки сети (NIS)
- Поведенческое обнаружение вторжений
Хотя многие части поведенческого обнаружения вторжений уже существуют в ISA Server 2006, система проверки сети (NIS) является новой в Microsoft Forefront TMG. Если вы хотите узнать больше о NIS, прочтите наши статьи о NIS на сайте www.ISAserver.org. Эта статья будет посвящена поведенческому обнаружению вторжений.
Поведенческое обнаружение вторжений
Большинство частей механизма поведенческого обнаружения вторжений в TMG не новы и остались неизменными в TMG по сравнению с ISA Server 2006.
TMG поставляется со следующим поведенческим механизмом обнаружения вторжений:
- Общие сетевые атаки
- Фильтрация IP-опций
- Защита от наводнений
Прежде чем мы начнем объяснять различные настройки, я попытаюсь дать вам краткий обзор распространенных типов атак, чтобы предоставить некоторую справочную информацию по этому вопросу.
Типы атак
Чтобы знать, как работают «хакеры», вам нужно знать об искусстве взлома и о том, какие типы атак существуют. В следующей таблице представлен обзор некоторых типов атак.
Атака | Описание |
Атака внутреннего червя через TCP-соединение | Клиенты заражены червем, и он попытается распространиться через разные порты на другие компьютеры в сети. |
Эксплойт таблицы соединений | Злоумышленник пытается заполнить таблицу соединений неверными запросами, чтобы ISA-сервер не мог выполнять законные запросы. |
Последовательные TCP-соединения во время флуд-атаки | Злоумышленник пытается последовательно открывать и промежуточно закрывать множество TCP-соединений, чтобы обойти механизм квот и потреблять много ресурсов ISA. |
DDoS-атаки протокола передачи гипертекста (HTTP) с использованием существующих подключений | Злоумышленник отправляет чрезмерное количество HTTP-запросов через существующее TCP-соединение, которое использовало интервал проверки активности. |
Настройка параметров обнаружения для распространенных сетевых атак
Параметры общих атак позволяют настроить некоторые основные методы обнаружения вторжений против нескольких известных атак.
Общие атаки
Распространенными атаками являются Ping of Death, UDP-бомбы или половинное сканирование IP-адресов и многое другое. Эти механизмы защиты не новы, но должны быть рекомендованы для большинства серверов TMG.
Рисунок 1: Защита от распространенных атак
По умолчанию Microsoft Forefront TMG регистрирует все отброшенные пакеты, чтобы быть в курсе, когда злоумышленник попытается подключиться к брандмауэру.
DNS-атаки
Forefront TMG позволяет настроить брандмауэр для фильтрации DNS-трафика с помощью встроенного DNS-фильтра. TMG защищает от переполнения имени хоста DNS, переполнения длины DNS и при необходимости фильтрует данные передачи зоны DNS. Если вы активируете опцию передачи зоны DNS, TMG отклоняет возможную передачу зоны DNS через брандмауэр.
Рисунок 2: Защита от DNS-атак
Настройка фильтрации параметров IP
После того, как мы закончили объяснять распространенные варианты атак, мы должны взглянуть на фильтрацию IP-параметров в Forefront TMG.
Параметры IP
Протокол TCP/IP определяет несколько параметров IP, которые можно использовать для различных целей в сетях IP. Microsoft Forefront TMG имеет возможность блокировать некоторые параметры IP, поскольку не все параметры IP сегодня используются в IP-сетях, а некоторые параметры IP могут использоваться для проникновения в сеть. По умолчанию TMG отклоняет некоторые параметры IP (как вы можете видеть на следующем снимке экрана), и вы можете запретить параметры IP, которые вы не хотите использовать, но будьте осторожны, какие параметры IP вы деактивируете, потому что неправильная настройка может привести к несколько сетевых сбоев.
Рисунок 3: Фильтрация параметров IP
IP-фрагменты
Microsoft Forferont TMG позволяет блокировать IP-фрагменты. Фрагментация IP используется для фрагментации пакетов, если их размер превышает установленный максимальный размер. Этот параметр отключен по умолчанию, и вы должны осторожно активировать эту функцию, потому что она может даже прервать VPN-подключение и некоторый другой трафик.
IPv6
Это новый параметр в Microsoft Forefront TMG. Поскольку Microsoft Forefront TMG можно использовать в сочетании с новой функцией прямого доступа (DA) Windows Server 2008 R2, необходимо вручную разрешить TMG Server действовать как сервер прямого доступа. Для получения дополнительных сведений о прямом доступе перейдите по ссылке в разделе «Ссылки» в конце этой статьи.
Рисунок 4. Включение поддержки прямого доступа в Forefront TMG
Настройка параметров защиты от наводнений
Microsoft Forefront TMG включает некоторые функции защиты от атак, которые можно настраивать и отслеживать с помощью консоли управления Microsoft forefront TMG. Настройки в TMG почти такие же, как и в ISA Server 2006, поэтому, если вы знакомы с конфигурацией в ISA Server 2006, у вас не возникнет проблем с этими функциями в TMG. TMG содержит следующие функции:
- Ограничения HTTP-соединений
- Функции Flood Attack и Worm распространения
- Ограничьте количество одновременных пользователей
- Защита от определенных атак, таких как подмена IP-адреса, переполнение DNS, отравление DHCP и обнаружение вторжений.
Защита от флуда и распространения червей
Атака наводнения определяется как атака со стороны злонамеренного пользователя, когда этот пользователь пытается затопить машину или сеть мусорными TCP-пакетами. Атака наводнения может вызвать одну из следующих реакций:
- Большая нагрузка на диск и потребление ресурсов брандмауэром
- Высокая загрузка процессора
- Высокое потребление памяти
- Высокое потребление пропускной способности сети
В Microsoft Forefront TMG можно установить максимальное количество подключений в течение определенного периода времени или максимальное количество подключений для IP-адреса. Когда достигается максимальное количество клиентских запросов, любые новые клиентские запросы отклоняются, а соединения разрываются.
Параметры конфигурации по умолчанию защиты от переполнения в Microsoft Forefront TMG помогают гарантировать, что сервер TMG может продолжать функционировать, даже когда TMG подвергается атаке переполнения.
Атака | Смягчение TMG | По умолчанию |
Атака флудом. Определенный IP-адрес пытается открыть множество подключений к разным IP-адресам, чтобы создать атаку флудом. | Количество запросов TCP-подключения в минуту на IP-адрес | По умолчанию TMG Server ограничивает количество TCP-запросов на клиента до 600 в минуту. Имейте в виду, что есть некоторые законные приложения, которые могут создавать большое количество попыток подключения. |
Атака флудом — определенный IP-адрес пытается затопить ISA Server, одновременно поддерживая множество TCP-соединений. | Параллельные TCP-соединения на IP-адрес | TMG ограничивает количество одновременных TCP-соединений на клиента до 160. |
SYN-атака. Вредоносный клиент пытается залить сервер TMG большим количеством полуоткрытых TCP-соединений. | TMG защищает от SYN-атак | TMG ограничивает количество одновременных полуоткрытых TCP-подключений до половины количества одновременных подключений, настроенных для одновременных TCP-подключений. Этот параметр нельзя изменить |
Атака переполнения протокола пользовательских дейтаграмм (UDP) — IP-адрес пытается запустить атаку типа «отказ в обслуживании». | Параллельные сеансы UDP на IP-адрес. |
Когда происходит флуд-атака UDP, сервер TMG закрывает старые сеансы, так что одновременно разрешено не более указанного количества подключений.
Конфигурация атаки флудом
Давайте начнем с некоторых основных шагов, чтобы настроить защиту от флуда в консоли управления TMG Server.
В настройках защиты от флуда можно включить защиту от флуда и распространения червей, а также указать, следует ли регистрировать заблокированный трафик.
Рисунок 5: Меры по смягчению последствий наводнения
Для многих параметров предотвращения флуда можно настроить пользовательские ограничения для определенных IP-адресов, из которых вы знаете, что эти IP-адреса не скомпрометированы и трафик является законным.
IP-исключения
Не каждая атака является реальной атакой хакера или злоумышленника. Есть некоторые юридические причины для клиента, который создает больше соединений за раз или IP-адрес, чем другие клиенты. После выяснения того, что у клиента есть юридическая причина для такого большого трафика, и вы уверены, что у TMG достаточно ресурсов для дополнительных подключений, можно создать IP-исключения, как показано на следующем снимке экрана.
Рисунок 6: Исключения для защиты от наводнений
Существуют некоторые настройки, такие как лимиты соединений для полуоткрытых соединений TCP, для которых вы не можете настроить пользовательские исключения.
Рисунок 7: Настройка исключений
Настроить оповещения
Как администратор вы хотели бы знать, когда происходит флуд-атака или атака спуфинга. TMG дает вам возможность настроить определения оповещений для оповещения по электронной почте, журналу событий и многим другим. Чтобы настроить оповещения, запустите консоль управления TMG, перейдите к узлу «Мониторинг», выберите вкладку «Оповещения» и на панели задач нажмите «Настроить определения оповещений ».
Рисунок 8: Настройка предупреждений об обнаружении вторжений
SIP-квоты
Поддержка SIP (Session Initiation Protocol) — это новая функция в Microsoft Forefront TMG, но в бета-версии 3 TMG с некоторыми ограничениями. Если вы планируете использовать эту функцию, вам следует прочитать примечания к выпуску Beta 3. SIP используется для предоставления услуг IP-телефонии и шлюзов VoIP. До ISA Server 2006 поддержка SIP отсутствовала, поэтому вам приходилось вручную настраивать все необходимые порты для связи по протоколу SIP. Microsoft Forefront TMG поставляется со встроенным SIP-фильтром. SIP использует SIP-квоты для своей работы, а Microsoft Forefront TMG позволяет настраивать ограничения SIP-квоты, как показано на следующем снимке экрана. Если вы решите настроить SIP-квоты в TMG, внимательно ознакомьтесь с требованиями поставщиков аппаратного и программного обеспечения SIP и рекомендуемыми ими настройками.
Рисунок 9: Настройка SIP-квот
Вывод
В этой статье я попытался показать вам, как настроить Microsoft Forefront TMG для защиты от известных попыток обнаружения вторжений и как настроить параметры предупреждений, чтобы получать информацию о вторжении в Microsoft Forefront TMG.
Ссылки по теме
- Шлюз управления угрозами Forefront, бета-версия 3
- Выпущена третья бета-версия Forefront TMG
- Что нового в Forefront TMG Beta 2 (часть 1)
- Установка и настройка Microsoft Forefront TMG Beta 2
- Объяснение и настройка NIS (Служба проверки сети)
- Защита от флуда ISA Server 2006
- Обзор Windows 7 и Windows Server 2008 R2 DirectAccess для руководителей