Linux дээр Network Attack Defense хэрхэн ажилладаг, ямар шаардлага тавигдах вэ?

Linux

Network Attack Defense модуль нь FTP болон SSH протоколын proxy шиг ажиллаж, траффикийг хүлээн авч man-in-the-middle халдлага болон бусад төрлийн халдлагаас (brute-force халдлага, сүлжээний exploit, нууц үг хулгайлагч, drive-by-download халдвар, bot, Trojan) хамгаална.

Энэ хэсэгт Linux төгсгөлийн төхөөрөмж дээрх Network Attack Defense модулийн дэмжлэгийн дэлгэрэнгүйг тайлбарлав.

Траффик барих технологи

Траффикийг Network Attack Defense серверийн сонсдог 8887 порт руу чиглүүлэх хоёр механизм байдаг. Эдгээр нь iptables болон eBPF юм.

iptables

Network Attack Defense-д траффик чиглүүлэх энэ технологи нь iptables багцыг ашиглана. Энэ нь төгсгөлийн төхөөрөмжийн үйлдлийн системд дүрэм нэмж, дэмжигдсэн 21, 22 портоос ирэх траффикийг (бүтээгдэхүүний өөрийн үүсгэсэн траффикаас бусдыг) 8887 порт руу шилжүүлнэ.

Эдгээр дүрмийг төгсгөлийн төхөөрөмжид BEST agent суулгах үед хүргэгддэг хэд хэдэн скрипт тохируулна. Суулгах үед скриптүүд /opt/bitdefender-security-tools/etc/nad.d/ хавтсанд байрлана.

Network Attack Defense эхлэх болон зогсох үед эдгээр скриптийг нэрээр нь эрэмбэлж ажиллуулна. Та скриптүүдийг гараар ажиллуулж болохгүй.

Бүтээгдэхүүний үйлчилгээг зогсоож, шаардлагатай скриптийн ажиллуулах эрхийг хасаад үйлчилгээг дахин асаавал скриптүүдийг идэвхгүй болгож болно. Скриптийн агуулга шинэчлэлтээр дарагдсан ч эрхийн тохиргоо хадгалагдана.

Network Attack Defense-ийн дүрмийн скриптийг идэвхгүй болгох жишээ:

sudo bd stop
sudo chmod -x /opt/bitdefender-security-tools/etc/nad.d/02-ftp.sh
sudo bd start

eBPF

Энэ чиглүүлэх технологи нь kernel-ийн холбогдох функцүүдэд залгагдан траффикийг Network Attack Defense серверийн сонсдог 8887 порт руу чиглүүлнэ.

eBPF-ийг идэвхжүүлж чадахгүй бол чиглүүлэх механизм бүхэлдээ iptables руу шилжинэ.

Дэмжигдэж байвал eBPF нь Network Attack Defense-ийн үндсэн чиглүүлэх технологи байна.

Шалгадаг протоколууд

SSH

SSH траффик барих дүрмийг траффик барих технологиос хамааран өөр өөрөөр удирдана:

• iptables: дүрмийг /opt/bitdefender-security-tools/etc/nad.d/01-ssh.sh скриптээр тохируулна.
• eBPF: дүрмийг Network Attack Defense дотооддоо удирдана.

Network Attack Defense нь зөвхөн 22 портоор орох болон гарах холболтын траффикийг хүлээн авч шалгана.

Хэрэглэж буй GravityZone бодлогын Network Protection хэсэгт Scan SCP/SSH идэвхтэй бол Network Attack Defense нь орох болон гарах SSH холболтыг тайлж шалгаж чадна.

FTP болон FTPS

FTP-ийн траффик барих дүрмийг iptables технологид /opt/bitdefender-security-tools/etc/nad.d/02-ftp.sh скрипт, eBPF технологид Network Attack Defense дотооддоо удирдана.

FTP-ийн зөвхөн passive болон extended passive горимыг дэмжинэ.

Network Attack Defense нь зөвхөн 21 портоор орох болон гарах холболтын траффикийг хүлээн авч шалгана. Орж ирж буй FTP траффикийн динамик өгөгдлийн портыг мөн барина. Гарч буй FTP өгөгдлийг зөвхөн eBPF технологи ашиглаж байгаа үед барьж чадна.

GravityZone дээр Scan FTPS идэвхтэй бол Network Attack Defense нь гарч буй холболтыг тайлж, илүү олон боломжит халдлага илрүүлж чадна.

FTPS-д iptables чиглүүлэлт ашиглаж байвал 1:65534 портоос ирэх бүх орж ирэх траффикийг Network Attack Defense руу чиглүүлнэ. Ингэснээр удирдлага болон өгөгдлийн холболт өөр өөр замаар явснаас үүсэх FTP алдаанаас сэргийлнэ. eBPF чиглүүлэлтэд үүнтэй дүйх шийдэл байхгүй тул FTP серверийн аюулгүй байдлын шалгалтыг идэвхгүй болгох ёстой (жишээ нь vsftpd дахь pasv_promiscuous).

Дэмжигдсэн distribution-ууд

Network Attack Defense нь Endpoint protection – Supported operating systems – Linux нийтлэлийн дараах хоёр дэд хэсэгт жагсаасан үйлдлийн системүүдийг дэмжинэ:

• Fully Supported Linux Modern Distributions
• Fully Supported Linux Modern Distributions for ARM architecture

Хамаарал

• Network Attack Defense нь iptables Linux багцаас хамаарна. Network Attack Defense модулийг суулгах бүх төгсгөлийн төхөөрөмж дээр энэ багцыг гараар суулгах хэрэгтэй.

Багц нь дэмжигдсэн бүх distribution-д байдаг бөгөөд доорх командуудаар суулгаж болно:

- Debian-д суурилсан үйлдлийн системд:

```
apt install -y iptables
```

- Red Hat-д суурилсан үйлдлийн системд:

```
dnf install -y iptables
```

- SUSE үйлдлийн системд:

```
zypper install iptables
```

• Network Attack Defense нь үндсэндээ 8887 портыг ашиглана.

Порт завгүй бол Network Attack Defense өөр порт руу динамикаар шилжихгүй. Портыг өөр юу ч ашиглаагүйг та өөрөө шалгах хэрэгтэй.

> Анхаар: 8887 портыг өөр программ ашиглаж байгаа эсвэл галт хана хаасан бол Network Attack Defense траффик хүлээн авч чадахгүй.

• Network Attack Defense нь зөвхөн IPv4 траффикийг шалгана. IPv6 траффикийг барихгүй.
• eBPF-д Linux kernel 5.9 эсвэл түүнээс дээш хувилбар шаардлагатай.
• eBPF нь траффик чиглүүлэхдээ cgroupv2 дэд системд тулгуурладаг.
• eBPF-д kernel дээр BTF (BPF Type Format) дэмжлэг идэвхтэй байх шаардлагатай. Энэ нь kernel-ийн төрлийн мэдээллийг хөнгөн форматаар өгч, eBPF программыг аюулгүй, зөөврийн, шалгахад хялбар болгодог.

Хэрэгтэй холбоосууд

GravityZone Control Center дээр Network Attack Defense-ийг хэрхэн тохируулах вэ.

Windows сервер дээр Network Attack Defense-ийг хэрхэн суулгах вэ.