Blocking Known Attacks and Data Leaks

 بسیاری از حملات و Data Leak ها می توانند بوسیله ی Signature ها در دستگاه FortiWeb شناسایی شوند. جهت دفاع در برابر این حملات باید Signature های زیر را فعال کنید.

• Cross-Site Scripting (XSS)
• SQL Injection and Many other Code Injection Styles
• Remote File Inclusion (RFI)
• Local File Inclusion (LFI)
• OS Commands
• Trojans/Viruses
• Exploits
• Sensitive Server Information Disclosure
• Credit Card Data Leaks

 دستگاه FortiWeb موارد زیر را اسکن می کند:

• Parameters in the URL of HTTP GET Requests
• Parameters in the Body of HTTP POST Requests
• XML in the Body of HTTP POST Requests (if Enable XML Protocol Detection is Enabled)
• Cookies
• Headers
• JSON Protocol Detection
• Uploaded Filename (MULTIPART_FORM_DATA_FILENAME)

علاوه بر اسکن درخواست های استاندارد، دستگاه FortiWeb همچنین می تواند XML و Action Message Format 3.0 (AMF3) را اسکن کند.

تنظیمات Signature

شما می توانید Rule مربوط به محافظت از سرور را بوسیله ی آیتم های Severity ،Action و تنظیمات مربوط به Notification یا همان Trigger ایجاد و تنظیم کنید. این Rule مشخص می کند دستگاه FortiWeb چگونه هر Violation را مدیریت می کند. برای مثال زمانی که دستگاه FortiWeb حملاتی که در دسته ی Cross-Site Scripting و SQL Injection قرار می گیرند را شناسایی می کند، آیتم های فوق می توانند این گونه تنظیم گردند: گزینه ی Alert_Deny برای آیتم Action و گزینه ی High برای آیتم Severity انتخاب شود و همچنین Trigger یک Alert Email بفرستد.

 ایجاد یک Signature Policy

• قبل از ایجاد یک Signature Rule باید یک Custom Signature را جهت اضافه کردن به Rule ایجاد کنید.جهت اشنایی با تنظیمات مربوط به Custom Signature به آموزش Defining Custom Data Leak & Attack Signatures مراجعه کنید.
  

• از منوی سمت چپ به مسیر Web Protection > Known Attacks > Signatures بروید. از نوار بالای صفحه یکی از دو گزینه ی زیر را انتخاب کنید:

1. Signature Wizard: جهت محدود و غیر فعال کردن Signature های غیر مرتبط با نوع پایگاه داده و نوع وب سرور، این گزینه را انتخاب کنید. در واقع بر اساس نوع پایگاه داده و نوع وب سرور، Signature های غیر مرتبط را غیر فعال می کنید. این امر کارایی را بهبود می بخشد.
2. Create New: جهت ایجاد یک Signature جدید بر اساس Signature های موجود، از این گزینه استفاده می کنید. 
   

در این مثال گزینه ی Signature Wizard را انتخاب کنید.

•  اگر  Signature های Information Disclosure ،Trojans یا Credit Card Detection را فعال کرده اید تنظیمات مربوط به Decompression Rule را نیز انجام دهید. تنظیمات Decompression Rule را در آموزش های بعدی مورد بررسی قرار خواهیم داد.

•  جهت اعمال Signature Rule فوق، آن را در یک Inline Protection Profile یا Offline Protection Profile انتخاب کنید.
  

• اگر در Web Protection Profile ویژگی Device Tracking را فعال کرده اید و Device Reputation Policy انتخاب شده از Signatures استفاده می کند باید Threat Weight را برای هر Signature تنظیم کنید. بدین منظور بر روی گزینه ی Signature Details در پایین صفحه ی تنظیمات فوق کلیک کرده و سپس یک Signature انتخاب کرده و از نوار بالای صفحه گزینه ی Threat Weight را انتخاب و به Signature فوق یک Weight اختصاص دهید.

• جهت آزمایش درستی انجام تنظیمات از یک درخواست که باید توسط تنظیمات فوق شناسایی و بلاک شود به عنوان یک حمله ی  شبیه سازی شده استفاده کنید. اگر آزمایش فوق با خطا مواجه شد:

1. بررسی شود که Routing و TCP/IP-Layer Firewalling از ایجاد اتصال ممانعت به عمل نیاورد.
2. بررسی شود که حمله ی شبیه سازی شده بر روی HTTP Header یا بر روی HTTP Body عمل می کند.
3. اگر  درخواست فوق بر روی HTTP Body عمل می کند، بررسی شود که سایز Http-Cache به اندازه ی کافی بزرگ است یا خیر. یا این که Body Length Block Request را به گونه ای که بزرکتر از Buffer Limit باشد تنظیم کرده اید؟
4. اگر  HTTP Body فشرده شده است بررسی شود که آیا ماکزیمم سایز بافر مربوط به آنتی ویروس به اندازه ی کافی بزرگ است و یا این که شما تنظیمات Buffer Limit را جهت بلاک کردن در خواستهایی که Body Length از حد مجاز بیشتر است، انجام داده اید
5.  اگر Trojanرا فعال کرده اید بررسی شود که آیا تنظیمات مربوط به آن را نیز انجام داده اید. 
6.  اگر  درخواست بر روی پارامتر های URL در HTTP Header عمل می کند بررسی شود که مجموع طول پارامتر از سایز بافر مربوط به مجموع طول پارامتر های URL بزرگتر نباشد.