Unified-Threat- Management. Série firewall ZyXEL USG à partir de la version de firmware Knowledge Base KB-3531 Juillet 2014.

Transcription

1 Unified-Threat- Management Série firewall ZyXEL USG à partir de la version de firmware 4.10 Knowledge Base KB-3531 Juillet 2014 Studerus AG

2 UNIFIED-THREAT-MANAGEMENT Enregistrement de l USG Afin de pouvoir activer des services UTM, l appareil doit être enregistré sur le portail myzyxel.com 2.0. L enregistrement sur fait sur la page web Les services sont alors disponibles en test pendant 30 jours. Certains modèles comprennent en plus une licence d un an. L activation de services sur un USG nécessite une connexion Internet qui fonctionne. Unified-Threat-Management 2 KB-3531 / PAG

3 Enregistrement des services UTM Tous les services sont disponibles au moins en tant que version Trial gratuite de 30 jours. Les licences UTM achetées en supplément s enregistrent dans «Service Registration» ; on les attribue à un appareil et on les active dans «Service Management». Après avoir actualisé «Licence Status», l USG affiche l état actuel des licences activées. L USG doit pour cela disposer d une connexion Internet. Configuration > Licensing > Registration > Service Unified-Threat-Management 3 KB-3531 / PAG

4 Attribuer des services UTM Afin de définir quels flux de données les services UTM doivent contrôler, les profils UTM sont reliés dans les Security Policies avec les règles de firewall correspondantes. Il faut veiller à ce que l initiation de la session soit prise en compte dans le choix de la Security Policy. La Policy «LAN1_Outgoing» vérifie toutes les données qui se trouvent sur l établissement d une connexion à partir du LAN1, indépendamment de la direction même de transmission. Paramétrages classiques de firewall, décrits en détail dans la KB Relié au profil UTM. Dans l aperçu du firewall, les symboles affichent les profils UTM actifs. Unified-Threat-Management 4 KB-3531 / PAG

5 Application Patrol Ce service vérifie si un trafic de données peut être attribué à une application spécifique (OSI Layer 7). Il permet le règlement détaillé de l accès de différents programmes (P2P, Messenger, Streaming- Clients etc.). App Patrol est une composante de la licence IDP. Paramétrage de l objet Application : Configuration > Object > Application > Application > Add. Ajouter une nouvelle Application Rule, avec Add ajouter les signatures souhaitées. Unified-Threat-Management 5 KB-3531 / PAG

6 Paramétrage du profil d Application : Configuration > UTM Profile > App Patrol > Add. Adapter la nouvelle Rule et ajouter avec Add l objet d application créé auparavant. L option Action définit ce qui doit se produire en cas de reconnaissance de l application. Après avoir complété la Security-Policy avec le profil nouvellement créé, l USG bloque l application sélectionnée. Si cela est défini ainsi, l USG enregistre dans le log les événements correspondants : Unified-Threat-Management 6 KB-3531 / PAG

7 Content Filter Le filtrage de contenu (Content-Filter) de Commtouch empêche, à l aide d une base de données «cloud», l accès à des sites web non souhaités, infectés ou défectueux. En particulier pour la lutte contre les infections Driveby, le filtrage de contenu joue un rôle important, complétant l anti-virus et l IDP. Configuration > UTM Profile > Content Filter > Profile > Add crée un nouveau profil de Content- Filter : Active le service de catégories du Content-Filter. Conserve des événements importants dans le log. Catégories de filtres Dans la liste prédéfinie, sélectionnez les contenus qui doivent être bloqués. Ou alors, créez votre propre règle dans «Custom Service». Unified-Threat-Management 7 KB-3531 / PAG

8 IDP (Intrusion-Detection-Prevention) A l aide de la technologie Deep-Packet-Inspection, IDP reconnaît les attaques sur les failles des systèmes d exploitation, les applications et services de serveurs, qui se cachent des simples firewalls basés sur les ports et protocoles. Pour le paramétrage, créer une nouvelle Rule dans Configuration > UTM Profile > IDP. Une fenêtre de dialogue demande quelle zone doit être contrôlée et ajoute alors les signatures nécessaires. IDP est efficace dès qu une Security Policy a été complétée par le profil IDP. Désactivation de signatures : Après activation, le service IDP contrôle chaque paquet contre chaque signature. Ainsi, la désactivation de certaines signatures ne mène pas à un gain de performance, elle influence uniquement l action relative (drop, none, reject-both...). Le Dashboard tient chaque signature reconnue, même si celle-ci a été désactivée dans les profils. Unified-Threat-Management 8 KB-3531 / PAG

9 Anti-Virus La solution antivirus Kaspersky SafeStream II Gateway, qui domine le marché, protège en temps réel contre les malware avant que celles-ci ne puissent accéder au réseau lors d un transfert de fichiers. Dès la reconnaissance du code malveillant, l engin AV change le contenu du fichier en valeur nulle. Le transfert est toutefois continué et terminé. Un anti-virus activé sur le client sonne éventuellement une alarme en raison du nom du fichier. Le modèle de l EICAR (European Expert Group for IT-Security) est adapté aux tests. Il est possible de télécharger ce modèle sur dans la rubrique Anti-Malware-Test, et ce, en différentes versions (par ex. texte, fichier ou fichier comprimé). Unified-Threat-Management 9 KB-3531 / PAG

10 Anti-Spam L anti-spam (AS) de Cyren (Commtouch) basé sur le «cloud» fournit une protection anti-spam en temps réel. Il reconnaît les vagues de spam quelques minutes après l envoi, quels que soit la langue ou le format dans lesquels les mails ont été rédigés. Créer une nouvelle Rule AS : Configuration > UTM Profile > Anti-Spam > Profile > Add. Activer les sortes de vérification souhaitées dans Configuration > UTM Profile > Anti-Spam > Mail Scan. Il est possible d adapter les tags pour le marquage des mails reconnus en tant que spam, ou de les compléter avec des valeurs de pondération. Unified-Threat-Management 10 KB-3531 / PAG

11 Les Black et White Listes représentent une aide importante pour le contrôle supplémentaire des résultats du filtrage. Il est par exemple possible d éviter que des mails de partenaires commerciaux ne se perdent en raison d une reconnaissance False-Positive effectuée par erreur. Unified-Threat-Management 11 KB-3531 / PAG

12 Port-less Protocol Detection L USG définit des services en raison du port sous-jacent à la transmission. Le filtrage de contenu vérifie les transmissions http entre autres sur les ports 80 et Un accès http sur un serveur web avec le port n a pas encore été capturé par le CF. L USG peut utiliser l Application-Patrol pour la reconnaissance du protocole. Si App-Patrol n est pas déjà utilisé, un profil ADP vide suffit aussi dans la Security-Policy correspondante. Le classement du trafic de données exécuté par l ADP permet désormais à l USG d élargir le contrôle des services tels que CF et AV à tous les protocoles reconnus, indépendamment des ports utilisés. Unified-Threat-Management 12 KB-3531 / PAG

13 Mises à jour automatiques Le menu Configuration > Licensing > Signature Update définit le calendrier d actualisation automatique de l anti-virus, de l IDP et des signatures App-Patrol. En standard, l actualisation est initialisée à minuit. Unified-Threat-Management 13 KB-3531 / PAG