Επιλογές για προχωρημένους

Στη διαδρομή Ρυθμίσεις για προχωρημένους > Προστασίες > Προστασία πρόσβασης στο δίκτυο > Προστασία από επιθέσεις δικτύου (IDS) > Επιλογές για προχωρημένους, μπορείτε να ενεργοποιήσετε ή να απενεργοποιήσετε την ανίχνευση διαφόρων τύπων επιθέσεων και προγραμμάτων εκμετάλλευσης που ενδέχεται να βλάψουν τον υπολογιστή σας.

Ανίχνευση εισβολής

Η ανίχνευση εισβολών παρακολουθεί την επικοινωνία δικτύου της συσκευής για κακόβουλη δραστηριότητα.

•ΠρωτόκολλοSMB – Ανιχνεύει και αποκλείει διάφορα προβλήματα ασφαλείας στο πρωτόκολλο SMB.

•Πρωτόκολλο DCE/RPC – Ανιχνεύει και αποκλείει διάφορα κενά ασφαλείας CVE στο σύστημα απομακρυσμένης κλήσης διαδικασίας που αναπτύχθηκε για το Περιβάλλον κατανεμημένων υπολογιστών (DCE).

•Πρωτόκολλο RDP – Ανιχνεύει και αποκλείει διάφορα κενά ασφαλείας CVE στο πρωτόκολλο RDP (βλ. παραπάνω).

•Ανίχνευση επίθεσης προσβολής ARP – Η ανίχνευση των επιθέσεων προσβολής ARP που ενεργοποιούνται από προσβολές μεσάζοντα ή η ανίχνευση μη εξουσιοδοτημένης παρακολούθησης στον διακόπτη του δικτύου. Το ARP (Πρωτόκολλο ανάλυσης διευθύνσεων) χρησιμοποιείται από την εφαρμογή ή τη συσκευή δικτύου για να προσδιορίσει τη διεύθυνση Ethernet.

•TCP/UDP Ανιχνεύει επιθέσεις λογισμικού – εφαρμογής σάρωσης θυρών που είναι σχεδιασμένο/η να εξετάζει έναν κεντρικό υπολογιστή για ανοιχτές θύρες στέλνοντας αιτήματα προγράμματος-πελάτη σε διάφορες διευθύνσεις θυρών, με στόχο να εντοπίσει ενεργές θύρες και να εκμεταλλευτεί τα κενά ασφαλείας της υπηρεσίας. Διαβάστε περισσότερα για αυτό τον τύπο εισβολής στο γλωσσάρι.

•Αποκλεισμός μη ασφαλούς διεύθυνσης μετά την ανίχνευση της επίθεσης – Οι διευθύνσεις IP που έχουν ανιχνευτεί ως πηγές επιθέσεων προστίθενται στη Λίστα αποκλεισμένων διευθύνσεων για να αποτρέπεται η σύνδεση για ένα ορισμένο χρονικό διάστημα. Μπορείτε να ορίσετε το στοιχείο Περίοδος διατήρησης Λίστας αποκλεισμένων διευθύνσεων, η οποία ρυθμίζει το χρονικό διάστημα για το οποίο θα αποκλείεται η διεύθυνση μετά την ανίχνευση επίθεσης.

•Εμφάνιση ειδοποίησης μετά την ανίχνευση της επίθεσης – Ενεργοποιεί την ειδοποίηση στην περιοχή ειδοποιήσεων των Windows στην κάτω δεξιά γωνία της οθόνης.

•Εμφάνιση ειδοποιήσεων και για εισερχόμενες επιθέσεις σε κενά ασφαλείας – Σας ειδοποιεί εάν ανιχνευτούν επιθέσεις σε κενά ασφαλείας ή εάν κάποια απειλή επιχειρήσει να εισβάλει στο σύστημα με αυτό τον τρόπο.

Επιθεώρηση πακέτου

Ένας τύπος ανάλυσης πακέτων που φιλτράρει τα δεδομένα που μεταφέρονται μέσω του δικτύου.

•Να επιτρέπεται εισερχόμενη σύνδεση με κοινόχρηστα στοιχεία διαχείρισης σε πρωτόκολλο SMB – Τα κοινόχρηστα αρχεία διαχείρισης είναι τα προεπιλεγμένα κοινόχρηστα αρχεία δικτύου που έχουν κοινόχρηστα διαμερίσματα σκληρού δίσκου (C$, D$ κ.λπ.) στο σύστημα μαζί με το φάκελο συστήματος (ADMIN$ADMIN$). Η απενεργοποίηση της σύνδεσης με τα κοινόχρηστα αρχεία διαχείρισης θα πρέπει περιορίσει πολλούς κινδύνους ασφαλείας. Για παράδειγμα, το Conficker worm εκτελεί επιθέσεις σε λεξικά για να συνδεθεί με κοινόχρηστα αρχεία διαχείρισης.

•Να μην επιτρέπονται παλαιές (μη υποστηριζόμενες) διάλεκτοι SMB – Να μην επιτρέπονται περίοδοι λειτουργίας SMB που χρησιμοποιούν παλιά διάλεκτο SMB, η οποία δεν υποστηρίζεται από το IDS. Τα σύγχρονα λειτουργικά συστήματα των Windows υποστηρίζουν παλιές διαλέκτους SMB λόγω της συμβατότητάς τους με παλαιότερες εκδόσεις λειτουργικών συστημάτων όπως τα Windows 95. Ο εισβολέας μπορεί να χρησιμοποιήσει μια παλιά διάλεκτο σε περίοδο λειτουργίας SMB για να αποφύγει την επιθεώρηση κυκλοφορίας. Μην επιτρέπετε παλιές διαλέκτους SMB αν ο υπολογιστής σας δεν χρειάζεται να κάνει κοινή χρήση αρχείων (ή να χρησιμοποιεί επικοινωνία SMB γενικότερα) με έναν υπολογιστή με παλιά έκδοση των Windows.

•Να μην επιτρέπονται περίοδοι λειτουργίας SMB χωρίς εκτενή ασφάλεια – Η εκτεταμένη ασφάλεια μπορεί να χρησιμοποιηθεί κατά τη διάρκεια της διαπραγμάτευσης της περιόδου λειτουργίας SMB για την παροχή πιο ασφαλούς μηχανισμού ελέγχου ταυτότητας από αυτόν που παρέχει ο έλεγχος ταυτότητας της Διαχείρισης προκλήσεων/αποκρίσεων LAN (LM). Το σχήμα LM θεωρείται αδύναμο και η χρήση του δεν συνιστάται.

•Να μην επιτρέπεται το άνοιγμα εκτελέσιμων αρχείων σε διακομιστή εκτός της ζώνης αξιοπιστίας στο πρωτόκολλο SMB – Κλείνει τη σύνδεση όταν προσπαθείτε να ανοίξετε ένα εκτελέσιμο αρχείο (.exe, .dll, ...) από έναν κοινόχρηστο φάκελο στον διακομιστή που δεν ανήκει στη ζώνη αξιοπιστίας στο Firewall. Σημειώνεται ότι η αντιγραφή εκτελέσιμων αρχείων από αξιόπιστες πηγές μπορεί να είναι νόμιμη. Σημειώστε ότι η αντιγραφή εκτελέσιμων αρχείων από αξιόπιστες πηγές μπορεί να είναι νόμιμη, ωστόσο αυτή η ανίχνευση θα πρέπει να μειώνει τους κινδύνους από το ανεπιθύμητο άνοιγμα ενός αρχείου σε κακόβουλο διακομιστή (για παράδειγμα, ενός αρχείου που ανοίγει κάνοντας κλικ σε ένα σύνδεσμο προς ένα κοινόχρηστο κακόβουλο εκτελέσιμο αρχείο).

•Να μην επιτρέπεται έλεγχος ταυτότητας NTLM στο πρωτόκολλο SMB για σύνδεση με διακομιστή εντός/εκτός της ζώνης αξιοπιστίας – Τα πρωτόκολλα που χρησιμοποιούν σχήματα ελέγχου ταυτότητας NTLM (και στις δύο εκδόσεις) εκτίθενται σε μια επίθεση προώθησης διαπιστευτηρίων (γνωστή ως επίθεση μεταβίβασης SMB στην περίπτωση πρωτοκόλλου SMB). Όταν δεν επιτρέπεται ο έλεγχος ταυτότητας NTLM με έναν διακομιστή εκτός της ζώνης αξιοπιστίας, αυτό θα πρέπει να μειώσει τους κινδύνους από προώθηση διαπιστευτηρίων από κάποιον κακόβουλο διακομιστή εκτός της ζώνης αξιοπιστίας. Παρομοίως, μπορείτε να μην επιτρέψετε έλεγχο ταυτότητας NTLM σε διακομιστές εντός της Ζώνης αξιοπιστίας.

•Να επιτρέπεται επικοινωνία με την υπηρεσία Διαχείρισης λογαριασμών ασφαλείας – Για περισσότερες πληροφορίες σχετικά με αυτή την υπηρεσία, ανατρέξτε στη σελίδα [MS-SAMR].

•Να επιτρέπεται επικοινωνία με την υπηρεσία Τοπικής αρχής ασφαλείας – Για περισσότερες πληροφορίες σχετικά με αυτή την υπηρεσία, ανατρέξτε στις σελίδες [MS-LSAD] και [MS-LSAT].

•Να επιτρέπεται επικοινωνία με την υπηρεσία Απομακρυσμένου μητρώου – Για περισσότερες πληροφορίες σχετικά με αυτή την υπηρεσία, ανατρέξτε στη σελίδα [MS-RRP].

•Να επιτρέπεται επικοινωνία με την υπηρεσία Διαχείρισης ελέγχου υπηρεσιών – Για περισσότερες πληροφορίες σχετικά με αυτή την υπηρεσία, ανατρέξτε στη σελίδα [MS-SCMR].

•Να επιτρέπεται επικοινωνία με την υπηρεσία διακομιστή – Για πληροφορίες σχετικά με αυτή την υπηρεσία, ανατρέξτε στη σελίδα [MS-SRVS].

•Να επιτρέπεται επικοινωνία με τις άλλες υπηρεσίες – Άλλες υπηρεσίες MSRPC. Το MSRPC είναι η υλοποίηση της Microsoft του μηχανισμού DCE RPC. Επιπλέον, το MSRPC μπορεί να χρησιμοποιεί επώνυμους διαύλους στο πρωτόκολλο SMB (κοινή χρήση αρχείων δικτύου) για μεταφορά (ncacn_np transport). Οι υπηρεσίες MSRPC παρέχουν διασυνδέσεις για την απομακρυσμένη πρόσβαση και διαχείριση συστημάτων Windows. Έχουν ανακαλυφθεί πολλά κενά ασφαλείας τα οποία έγιναν αντικείμενο κατάχρησης στο σύστημα Windows MSRPC (Conficker worm, Sasser worm κ.λπ.). Απενεργοποιήστε την επικοινωνία με υπηρεσίες MSRPC που δεν χρειάζεται να παρέχετε για να ελαχιστοποιηθούν πολλοί κίνδυνοι ασφάλειας (όπως η απομακρυσμένη εκτέλεση κώδικα ή οι επιθέσεις αποτυχίας υπηρεσιών).