Настройка сигнатур и блокировок в СОВ Dallas Lock 8 / система обнаружения вторжений Dallas Lock

• Обзор системы обнаружения вторжений в Windows Server 2016.  

• Сравнение централизованного и локального управления.  

• Демонстрация работы системы на примере сканирования портов.  

• Централизованное управление через сервер безопасности.  

• Локальное управление на уровне домена и компьютера.  

• Различия в настройках и функционале между централизованным и локальным управлением.  

• Возможность отключения системы обнаружения вторжений через межсетевой экран.  

• Локальное отключение системы через параметры компьютера.  

• Централизованное отключение недоступно.  

• Настройки группы действуют только на компьютеры в группе.  

• Возможность отключения системы на уровне группы.  

• Локальное управление более полно.  

• Отключение сетевого экрана для чистоты эксперимента.  

• Запуск сканирования портов и блокировка клиента.  

• Визуализация работы системы обнаружения вторжений.  

• Система обнаружения и предотвращения вторжений.  

• Функции сетевой и хостовой системы обнаружения вторжений.  

• Защита от внутренних и внешних угроз.  

• Настройка сигнатур журналов и трафика.  

• Возможность изменения и активации сигнатур.  

• Пример создания новой сигнатуры трафика.  

• В разделе информации можно ознакомиться с параметрами сигнатуры.  

• Для блокировки трафика с порносайта выбираем действие "разорвать соединение".  

• Указываем порт назначения 80 и группу "подозрительный трафик".  

• В содержимом указываем слово "порно" или "порно ру".  

• Для срабатывания правила должны сработать все сигнатуры.  

• Переменные позволяют задать сетевые адреса и порты.  

• При изменении значений переменных, сигнатуры также обновляются.  

• Переменные бывают двух типов: диапазоны адресов и диапазоны портов.  

• Указываем диапазоны адресов для внутренней и внешней сети.  

• Блокировка адресов происходит автоматически или вручную.  

• Можно добавлять адреса в список заблокированных или доверенных.  

• Доверенные адреса позволяют пропускать трафик, но отмечают атаки в журнале.  

• Время блокировки можно настроить по умолчанию на 15 минут.