Кеңейтілген сүзу опциялары

Брандмауэр және желілік шабуылдан қорғау бөлімдері компьютерге қарсы жүргізілуі мүмкін бірнеше шабуыл түрлерін және осалдықтарды анықтау мақсатында кеңейтілген сүзу опцияларын конфигурациялау мүмкіндігін береді.

Рұқсат етілген қызметтер

Бұл топтағы параметрлер сенімді аймақтан осы компьютердің қызметтеріне қатынасты конфигурациялауды жеңілдетуге арналған. Олардың көбі алдын ала анықталған брандмауэр ережелерін қосады/өшіреді.

• Сенімді аймақта ортақ пайдаланылатын файл мен принтерге рұқсат ету – Сенімді аймақтағы қашықтағы компьютерлерге ортақтастырылған файлдар мен басып шығырғыштарға қатынау мүмкіндігін береді.
• Сенімді аймақтағы жүйелік қызметтерге арналған UPNP протоколына рұқсат ету – Жүйелік қызметтерге арналған UPnP протоколдарының кіріс және шығыс сұрауларына рұқсат етеді. UPnP (Әмбебап автоматты конфигурациялау режимі, Microsoft Network Discovery ретінде де белгілі) Windows Vista және кейінгі операциялық жүйелерде қолданылады.
• Сенімді аймақтағы кіріс RPC байланысына рұқсат ету – MS RPC Portmapper және RPC/DCOM қызметтеріне қатынасуға мүмкіндік бере отырып, Сенімді аймақтан TCP байланыстарына рұқсат етеді.
• Сенімді аймақтағы қашықтағы жұмыс үстеліне рұқсат ету – Microsoft қашықтағы жұмыс үстелі протоколы (RDP) арқылы байланыстарға рұқсат етеді және Сенімді аймақ ішіндегі компьютерлердің RDP пайдаланылатын бағдарлама арқылы компьютеріңізге қатынасуға мүмкіндік береді (мысалы, «Қашықтағы жұмыс үстелі қосылымы»). Сондай-ақ Сенімді аймақтан тыс RDP қосылымдарына рұқсат ету әдісін қараңыз.
• IGMP арқылы көп мекенжайлы топтарға тіркелуге мүмкіндік беру – Кіріс/шығыс IGMP және UDP көп мекенжайлы ағындарға рұқсат етеді, мысалы IGMP (Интернетті Топтық Басқару Протоколы) протоколын пайдаланып бағдарламалар арқылы жасалған бейне ағындар.
• Желілік көпір қосылымдары байланысына рұқсат ету — Бұл опцияны желілік көпір қосылымдарының тоқтатылуына жол бермеу үшін таңдаңыз. Желілік көпір хост компьютерінің Ethernet адаптерімен виртуалды компьютерді желіге қосады. Егер желілік көпірді пайдалансаңыз, виртуалды компьютер желідегі физикалық компьютердегідей желідегі басқа құрылғыларға және керісінше қатынаса алады.

• Сенімді аймақтағы жүйе қызметтері үшін веб-қызметтерді автоматты түрде анықтауға (WSD) рұқсат ету – Брандмауэр арқылы Сенімді аймақтардан кіріс веб-қызметтерін анықтау сұрауларына рұқсат етеді. WSD - жергілікті желідегі қызметтерді табуға арналған протокол.
• Сенімді аймақтағы топтық мекенжай ажыратымдылығына рұқсат ету (LLMNR) – LLMNR (Жергілікті көп мекенжайлы атау ажыратымдылығы) – IPv4 және IPv6 басты компьютерлерінің екеуіне де бір жергілікті сілтемедегі басты компьютерлер үшін DNS серверінің немесе DNS клиентінің конфигурациясын қажет етпестен атау ажыратымдылығын орындауға мүмкіндік беретін DNS бумасы негізіндегі протокол. Бұл опция Сенімді аймақтан брандмауэр арқылы кіріс көп мекенжайлы DNS сұрауларына рұқсат етеді.
• Windows үй тобын қолдау – Windows 7 және кейінгі операциялық жүйелерге арналған үй тобын қолдауды қосады. Үй тобы үйдегі желіде файлдарды және принтерлерді ортақ пайдалана алады. Үй тобын конфигурациялау үшін Бастау > Басқару тақтасы > Желі және Интернет > Үй тобы тармағына шарлаңыз.

Шабуылдауды анықтау

• SMB протоколы – SMB протоколындағы әр түрлі қауіпсіздік мәселелерін анықтайды және бұғаттайды, атап айтқанда:

• Бұзақы сервер қаупі шабуылының аутентификациясын анықтау – Бұл опция пайдаланушы есептік жазбасының деректерін алу мақсатында аутентификациялау кезінде бұзақылықты пайдаланатын шабуылдан қорғайды.

• Аталған құбырдың ашылуы кезінде IDS жүйесінен қашуды анықтау – SMB протоколындағы MSRPC атаулы арналарын ашуға арналған белілі қашу әдістерін анықтау.

• CVE анықтау (Жалпы осал тұстар мен қауіптер) - SMB протоколынан тыс жасалатын әр түрлі шабуылдарды, пішіндерді, қауіпсіздік ойықтары мен эксплойттарды анықтау әдістері жүзеге асырылған. CVE идентификаторлары туралы толығырақ мәліметтерді іздеп, алу үшін cve.mitre.org мекенжайындағы CVE веб-сайтын қараңыз.

• RPC протоколы – Қашықтағы процедураны шақыру жүйесіндегі Таратылған есептеуіш орта (DCE) үшін жасалған әр түрлі CVE анықтайды және бұғаттайды.
• RDP протоколы – RDP протоколындағы әр түрлі CVE анықтайды және бұғаттайды (жоғарыдан қараңыз).
• ARP улау шабуылын анықтау – «man in the middle» шабуылынан болған ARP улау шабуылын анықтау немесе желілік коммутатордағы иіскеуді анықтау. ARP (Мекенжай ажыратымдылығы протоколы) желілік бағдарлама немесе құрылғы арқылы Ethernet мекенжайын анықтау үшін пайдаланылады.
• TCP/UDP портын қарап шығу шабуылын анықтау – Портты қарап шығу бағдарламалық құралының шабуылдарын анықтайды - клиенттік сұрауларды порт мекенжайларының ауқымына жіберу арқылы ашық порттарға арналған түйінді зерттеуге арналып жасалған бағдарлама, белсенді порттарды табу және қызметтің осал тұстарын пайдалану мақсаты бар. Шабуылдың осы түрі туралы глоссарийде қосымша оқыңыз.
• Шабуылды анықтаған соң қауіпті мекенжайды блоктау – Шабуыл көздері ретінде анықталған IP мекенжайлары белгілі бір уақытқа байланысқа тыйым салу үшін Қара тізімге қосылды.
• Шабуыл анықталғаннан кейін хабарландыруды көрсету – Бейнебеттің төменгі оң жақ бұрышындағы жүйелік науа хабарландыруларын қосады.

• Сондай-ақ, қауіпсіздік тесіктеріне қарсы кіріс шабуылдар туралы хабарландыруларды көрсету – қауіпсіздік тесіктеріне қарсы шабуылдар анықталса немесе қауіп жүйеге осылайша енуге әрекет жасаса, сізге ескертеді.

Пакетті тексеру

• SMB протоколында әкімшінің ортақ қалталарына кіріс байланысқа рұқсат ету- Әкімшілік ортақ қалталар (әкімші ортақ қалталары) дегеніміз - жүйедегі қатты диск бөлімдерін жүйе қалтасымен ортақ пайдаланатын C$, D$, ...) әдепкі желілік ортақ қалталар (ADMIN$). Әкімші ресурстарымен байланысты өшіру көптеген қауіпсіздік мәселелерін жеңілдетуі қажет. Мысалы, әкімші ресурстарымен байланысу үшін Conficker құрты сөздік шабуыл жасайды.

• Ескі (қолдау көрсетілмейтін) SMB диалектілерінен бас тарту – IDS қолдау көрсетпейтін ескі SMB диалектісін пайдаланатын SMB сеанстарынан бас тарту. Заманауи Windows операциялық жүйелері Windows 95 секілді ескі операциялық жүйелермен үйлесімді болуына байланысты ескі SMB диалектілерін қолдайды. Трафикті тексеруден қашу үшін шабуылдаушы SMB сеансында ескі диалектіні пайдалануы мүмкін. Компьютеріңіз файлдарды Windows жүйесінің ескі нұсқасы бар компьютермен ортақ пайдалануды (немесе жалпы айтқанда, SMB байланысын пайдалануды) қажет етпесе, ескі SMB диалектілерінен бас тартыңыз.
• Кеңейтілген қауіпсіздігі жоқ SMB сеанстарынан бас тарту – жергілікті желі басқарушы қаупі/Жауап (LM) аутентификациясынан қауіпсіздеу аутентификация механизмін ұсыну үшін SMB сеансының келіссөзі кезінде пайдалануға болады. LM схемасы әлсіз және оны пайдалануға кеңес берілмейді.
• Сенімді аймақтан тыс сервердегі SMB протоколында атқарылатын файлдарды ашудан бас тарту – Отрақ қалтадан немесе брандмауэрде сенімді аймаққа жатпайтын серверден орындалатын файлды (.exe, .dll, ...) ашып көру кезінде байланысты ажыратады. Сенімді көздерден орындалатын файлдарды көшіру заңды болуы мүмкін екенін, дегенмен, бұл анықтау зиянкес серверде файлды қалаусыз ашу (мысалы, бөлісілген зиянкес орындалатын файлға еренсілтемені басу арқылы ашылған файл) қауіптерін жоймайтынын ескеріңіз.
• Сенімді аймақтағы/одан тыс серверге қосылу үшін SMB протоколындағы NTLM аутентификациясынан бас тарту – NTLM (екі нұсқасы да) аутентификация схемаларын пайдаланатын протоколдар есептік жазба мәліметтерін қайта жіберу шабуылына ұшырауы мүмкін (SMB протоколы жағдайында SMB кідірісі шабуылы ретінде белгілі). Сенімді аймақтан тыс сервері бар NTLM аутентификациясынан бас тарту сенімді аймақтан тыс зиянкес сервер арқылы есептік жазба мәліметтерді қайта жіберу қауіптерін азайтуы тиіс. Оған қоса, Сенімді аймақта серверлері бар NTLM аутентификациясынан бас тартуға болады.

• Қауіпсіздік тіркелгісі басқарушысы қызметіне байланысуға рұқсат ету – бұл қызмет туралы қосымша ақпарат алу үшін [MS-SAMR] бөлімін қараңыз.

• Жергілікті қауіпсіздік орталығы қызметімен байланысуға рұқсат ету – бұл қызмет туралы қосымша ақпарат алу үшін [MS-LSAD] және [MS-LSAT] бөлімдерін қараңыз.

• Қашықтан тіркеу қызметімен байланысуға рұқсат ету – бұл қызмет туралы қосымша ақпарат алу үшін [MS-RRP] бөлімін қараңыз.

• Қызметтерді бақылау басқарушысы қызметімен байланысуға рұқсат ету – бұл қызмет туралы қосымша ақпарат алу үшін [MS-SCMR] бөлімін қараңыз.

• Сервер қызметімен байланысуға рұқсат ету – осы қызмет туралы ақпарат алу үшін [MS-SRVS] бөлімін қараңыз.
• Басқа қызметтермен байланысуға рұқсат ету — Басқа MSRPC қызметтері. MSRPC — Microsoft корпорациясының DCE RPC механизмінің енгізуі. Сонымен қатар, MSRPC тасымалдауға (ncacn_np transport) арналған SMB (желілік файлды бөлісу) протоколына тасымалданатын атаулы арналарды пайдалана алады. MSRPC қызметтері Windows жүйелеріне қашықтан қатынасуға және басқаруға арналған интерфейстерді қамтамасыз етеді. Бірнеше қауіпсіздік осалдығы Windows MSRPC жүйесінде анықталды және ретсіз жағдайда пайдаланылды (мысалы, Conficker құрты, Sasser құрты,...). Көптеген қатерлерді (соның ішінде қашықтағы код орындауы немесе қызмет ақауының шабуылдары) барынша азайту үшін қамтамасыз ету қажет емес MSRPC қызметтерімен байланысты өшіріңіз.