ASA & IPS

ASA با IPS چگونه کار ميکند؟

ASA يا Cisco ASA 5500 Series Adaptive Security Appliances نسل جديد Cisco PIX است که قابليت های جديدی به آن اضافه کرده اند و علاوه بر فايروال خصوصيات VPN، IPS، Antivirus، Anti-Spam، Anti-Spyware و … را داراست.

فرق Firewall با IPS يا Intrusion Prevention System دراين است که
فايروال هيچ چيزی را از خود عبور نمي دهد مگر اينکه داخل Rule ها عنوان شده باشد.

IPS تقريبا همان IDS است Intrusion Detection System و بسته ها را با يکسری Signature از پيش تنظيم شده مقايسه ميکند تا يک حمله را شناسايي کند با اين تفاوت که IDS خصوصيت دفاعی ندارد و تنها اخطار ميدهد در حاليکه IPS از شبکه دفاع کرده و بسته های مشکوک را بر اساس ضريب شکاکی اش بيرون ميريزد.

داخل ASA يک ماژول برای توسعه قرار دارد که قابليت اضافه شدن برای سه کارت را دارد:

ماژول 4GE که چهار پورت Gig به ASA اضافه ميکند يا ماژول فيبر که قابليت Fiber Interface به ASA ميدهد.

ماژول IPS که برای Intrusion Prevention است و جديدترين پکت های Attack را شناسايي و از بين ميبرد.

ماژول CSC که داخل بسته های HTTP و SMTP و FTP را برای شناسايي ويروس و Spyware و Spam ميگردد و کار آنتی ويروس را برای ما انجام ميدهد.

اگر IPS را بهمراه ASA سفارش دهيم به آن AIP-SSM ميگويند:

Advanced Inspection and Prevention Security Services Module (AIP-SSM) (IPS) module

ترافيک داخل ASA را بسادگی ميتوان از فيلتر های IPS رد کرد تا جلوی حملاتی که توسط IPS تشخيص داده ميشود را گرفت.

به دو صورت IPS کار ميکند:

Inline وقتی که تمام بسته ها را از IPS عبور دهيم که عملکرد آن به سايز و حجم ترافيک بستگی دارد.

Promiscuous وقتی که تنها يک Copy از بسته را به IPS ميفرستيم و اگر موردی داشت از بسته های بعدی جلوگيری ميکند. اين نوع تنظيم خود مزايا و معايبی دارد، کارايي و Performance دستگاه ASA را پايين نمي آورد اما توانايي جلوگيری از بسته اول را ندارد. بعضی حمله ها تک Packet هستند يعنی نبايد يک بسته نيز به داخل بيايد و همان بسته اولی از Attack نيز خطرناک است.

سوال اين است که چگونه ترافيک داخل ASA را از IPS عبور دهيم. برای اين کار بايد از Modular Policy Framework استفاده کنيم و داخل يک class-map ترافيک مورد نظر را (با کمک Access-list) شناسايي و داخل Policy-map آنرا به IPS بفرستيم:

access-list ips_traffic permit ip any any

!

class-map ips_map

match access-list ips_traffic

!

policy-map IPS_policy

class ips_map

ips inline fail-open

!

service-policy IPS_policy interface dmz

يا ميتوانيم اين policy-map را برای کل ترافيک ورودی/خروجی ASA اجرا کنيم:

service-policy global_policy global

class ips_map

ips inline fail-open

و اما چند نکته:

بصورت Default؛ سيسکو ASA پروتکل ICMP را بصورت Stateful بررسی نميکند. پس اگر ICMP echo فرستاده شود و از داخل به خارج Permit شود؛ برگشت آن ICMP reply از خارج به داخل اجازه ورود نخواهد داشت مگر آنکه از Access-List استفاده کنيم. و البته اين برای TCP صدق نميکند و Connection ی که از داخل به بيرون ايجاد کرده ايم دو طرفه مجاز شناخته ميشود.

در ضمن در حالت Default:

از داخل ASA نميتوانيم بيرون را Ping کنيم و تنها پورت ASA که به سمت داخل است قابل Ping شدن است.

نوشته های مرتبط

• PIX ASA FWSM
• MAC-ACL و VACL
• Quality of Service
• GRE Tunnel
• NAT on a Stick