Options de filtrage avancées
La section Protection contre les attaques réseau permet de configurer des options de filtrage avancées pour détecter plusieurs types d'attaques et de vulnérabilités pouvant être perpétrés contre votre ordinateur.
|
Dans certains cas, vous ne recevrez pas de notification de menace sur les communications bloquées. Pour obtenir des instructions afin d'afficher toutes les communications bloquées dans le journal du pare-feu, consultez la section Consignation et création de règles ou d'exceptions à partir du journal. |
|
La disponibilité d'options spécifiques dans Configurations avancées (F5) > Protection du réseau > Protection contre les attaques réseau peut varier selon le type ou la version de votre produit ESET Endpoint et du module de pare-feu et de celle de votre système d'exploitation. Certaines options peuvent être uniquement disponibles pour ESET Endpoint Security. |
Détection d'intrusion
•Protocole SMB – Détecte et bloque divers problèmes de sécurité dans le protocole SMB, notamment :
•Détection d'authentification par falsification de challenge – Protège contre une attaque utilisant un challenge falsifié durant l'authentification, dans le but d'obtenir les identifiants de l'utilisateur.
•Évasion IDS pendant la détection d'ouverture d'un canal nommé – Détection de techniques d'évasion connues et utilisées pour l'ouverture de canaux nommés MSRPC dans le protocole SMB.
•Détections CVE (Common Vulnerabilities and Exposures) – Méthodes de détection mises en œuvre de diverses attaques, formes, trous de sécurité et exploits sur le protocole SMB. Reportez-vous au site Web CVE cve.mitre.org pour plus de détails sur les identificateurs CVE (CVE).
•Protocole RPC – Détecte et bloque divers CVE dans le système d'appel des procédures à distance développé pour l'environnement Distributed Computing Environment (DCE).
•Protocole RDP – Détecte et bloque divers CVE dans le protocole RDP (voir ci-dessus).
•Bloquer l'adresse non sûre après une détection d'attaque – Les adresses IP qui ont été identifiées comme sources d'attaques sont ajoutées à la liste noire pour prévenir toute connexion pendant une certaine période.
•Afficher une notification après la détection d'une attaque – Active les notifications qui apparaissent dans la barre d'état système, dans l'angle inférieur droit de l'écran.
•Afficher également des notifications pour les attaques entrantes contre les trous de sécurité – Vous avertit si des attaques contre des trous de sécurité sont détectées ou si une menace tente d'accéder au système de cette manière.
Vérification des paquets
•Autoriser les connexions entrantes aux partages administratifs du protocole SMB : les partages administratifs sont les partages réseau par défaut qui partagent les partitions de disque dur (C$, D$, ...) au sein du système, ainsi que le répertoire système (ADMIN$). Désactiver la connexion aux partages administratifs peut limiter de nombreux risques de sécurité. Par exemple, le ver Conficker effectue des attaques par dictionnaire afin de se connecter aux partages administratifs.
•Refuser les dialectes SMB anciens (non pris en charge) – Refuse des sessions SMB qui utilisent un ancien dialecte SMB non pris en charge par IDS. Les systèmes d'exploitation Windows modernes prennent en charge les anciens dialectes SMB en raison de la rétrocompatibilité avec les anciens systèmes d'exploitation tels que Windows 95. Le pirate peut utiliser un ancien dialecte dans une session SMB dans le but d'échapper à l'inspection du trafic. Refusez les anciens dialectes SMB si votre ordinateur n'a pas besoin de partager des fichiers (ou utiliser des communications SMB en général) avec un ordinateur équipé d'une ancienne version de Windows.
•Refuser les sessions SMB sans sécurité étendue – La sécurité étendue peut être utilisée au cours de la négociation de session SMB, afin de fournir un mécanisme d'authentification plus sécurisé que l'authentification par challenge/réponse du gestionnaire LAN (LM). Le schéma LM est considéré comme faible et son utilisation n'est pas recommandée.
•Autoriser la communication avec le service Security Account Manager : pour plus d'informations sur ce service, voir [MS-SAMR].
•Autoriser la communication avec le service Local Security Authority : pour plus d'informations sur ce service, voir [MS-LSAD] et [MS-LSAT].
•Autoriser la communication avec le service Remote Registry : pour plus d'informations sur ce service, voir [MS-RRP].
•Autoriser la communication avec le service Service Control Manager : pour plus d'informations sur ce service, voir [MS-SCMR].
•Autoriser la communication avec le service Server : pour plus d'informations sur ce service, voir [MS-SRVS].
•Autoriser la communication avec les autres services – Le protocole MSRPC est l'implémentation par Microsoft du mécanisme DCE RPC. De plus, MSRPC peut utiliser des canaux nommés transportés (ncacn_np transport) par le protocole SMB (partage de fichiers en réseau). Les services MSRPC fournissent des interfaces d'accès et de gestion à distance pour les systèmes Windows. Plusieurs vulnérabilités ont été découvertes et exploitées librement dans le système Windows MSRPC (vers Conficker et Sasser, …). Désactivez la communication avec les services MSRPC que vous ne devez pas fournir, afin de limiter de nombreux risques de sécurité (tels que l'exécution de code à distance ou les attaques par déni de service).