Интеграция Kaspersky Web Traffic Security с Континент 4, UserGate 6
Содержание
- Схема тестового сегмента.
- Настройка интеграции на Континент 4.
- Настройка интеграции на UserGate 6.
- Настройка Kaspersky Web Traffic Security.
- Тестирование интеграции.
- Блокировка доступа к веб-ресурсу.
- Блокировка скачивания вредоносного файла.
- Журнал событий KWTS.
Решение Kaspersky Web Traffic Security обеспечивает многоуровневую защиту от новейших интернет-угроз и автоматическое реагирование. Может быть интегрировано со шлюзами безопасности, такими как UserGate или Континент для прозрачного сканирования трафика организации и управления доступом к веб-ресурсам. Интеграция позволяет повысить эффективность работы встроенных в шлюзы антивирусных механизмов.
Статью подготовили инженеры внедрения и технической поддержки TS Solution. Группа компаний «TS Solution» решает задачи по проектированию и внедрению комплексных проектов в сфере ИТ и ИБ на основе отечественных и зарубежных решений.
Основные направления деятельности:
- Аудит, соответствие требованиям регуляторов, категорирование объектов КИИ.
- Полный спектр работ по построению системы ИБ.
- Проектирование и внедрение инфраструктурных решений, серверные технологии и системы хранения данных.
- Работы требующие аттестации ФСТЭК и ФСБ.
- Предоставление 1-й и 2-й линии технической поддержки и полное техническое сопровождение проектов.
- Проведение авторизованных и авторских курсов и программ обучения.
KWTS также может быть интегрирован с Kaspersky Anti Targeted Attack Platform (KATA). Kaspersky Anti Targeted Attack Platform – решение, предназначенное для защиты IT-инфраструктуры организации и своевременного обнаружения таких угроз, как, например, атаки «нулевого дня», целевые атаки и сложные целевые атаки advanced persistent threats. Про платформу KATA есть вебинар, где мы на примере рассказываем про преимущество интеграции KWTS и KATA. Рекомендуем к просмотру: Применение Kaspersky KATA & KEDR в контексте актуальных угроз.
Благодаря интеграции KWTS с KATA наибольшая эффективность проверки достигается с помощью песочницы KATA Sandbox, в которой файлы запускаются в виртуальной среде на различных операционных системах и анализируется поведение объектов для выявления вредоносной активности, признаков целевых атак на IT-инфраструктуру организации. На основании проверки песочницей KATA, KWTS может блокировать скачивание вредоносного объекта.
В данной статье мы рассмотрим первый этап – интеграцию KWTS c отечественными NGFW Континент 4 и UserGate 6. Интеграцию KWTS с KATA мы рассмотрим в одной из будущих статей.
Схема тестового сегмента
User1 – Windows 10 Pro 22H2
User2 – Windows 10 Pro 22H2
Континент 4.1.5 – 4.1.5-2475
UserGate – 6.1.9.11814R
Настройка интеграции на Континент 4
Для интеграции KWTS с Континент 4 NGFW возможно использовать функционал ICAP-клиента. Данный функционал стал нововведением в версии Континент 4.1.5.
Для настройки ICAP-сервера необходимо перейти в раздел “Контроль доступа — Межсетевой экран — Группы Web/FTP — ICAP-серверы” и создать новый ICAP-сервер с необходимыми параметрами:
После создания профилей Web/FTP-фильтрации необходимо создать два правила для ICAP на Межсетевом экране.
Для HTTP:
1. Название – произвольное.
2. Отправитель – пользователи и устройства, трафик которых будет фильтроваться при помощи KWTS.
3. Получатель – любой.
4. Сервис – HTTP.
5. Приложение – любое.
6. Действие – фильтровать.
7. Профиль – ранее созданный профиль для KWTS по схеме HTTP.
8. СОВ, Временной интервал, Лог – произвольно.
Для HTTPS:
1. Название – произвольное.
2. Отправитель – пользователи и устройства, трафик которых будет фильтроваться при помощи KWTS.
3. Получатель – любой.
4. Сервис – HTTPS.
5. Приложение – любое.
6. Действие – фильтровать.
7. Профиль – ранее созданный профиль для KWTS по схеме HTTPS.
8. СОВ, Временной интервал, Лог – произвольно.
Настройка интеграции на UserGate 6
Для интеграции KWTS с UserGate 6.1.9 возможно использовать функционал ICAP-клиента. Для этого необходимо создать на UserGate ICAP-сервер и ICAP-правило. Создадим новый ICAP-сервер с необходимыми параметрами:
Далее создадим ICAP-правило с параметрами:
1. Включено – да.
2. Название – произвольное.
3. Действие – переслать.
4. Вставить – вниз списка.
5. ICAP-сервер – ранее созданный.
6. Остальное – произвольно (в соответствии с потребностями).
После добавления правила можно проверить в разделе ICAP-сервера сервер KWTS.
После создания правила начинается опрос KWTS на предмет доступности. Если доступ до сервера имеется, загорается зеленый индикатор:
Настройка Kaspersky Web Traffic Security
Kaspersky Web Traffic Security (KWTS) проверяет входящий и исходящий трафик, проходящий через интернет-шлюз, а также позволяет контролировать доступ ваших сотрудников к интернет-ресурсам. Это первый эшелон защиты, который обнаруживает угрозы (включая вредоносное ПО, шифровальщиков и фишинговые ссылки) и блокирует их до того, как они смогут заразить конечные узлы сети. Это позволяет минимизировать риски, связанные с неосмотрительным использованием веб-ресурсов и несанкционированной передачей конфиденциальных данных.
В рамках данной статьи мы опустим первоначальную настройку KWTS и перейдем к подготовке шлюза к интеграции. Наша цель в интеграции обеспечить проверку трафика с использованием KWTS прозрачно для конечного пользователя и её мы можем достичь, используя функционал ICAP-сервера. В таком случае NGFW будет выполнять роль ICAP клиента. В веб-интерфейсе KWTS перейдем в меню Параметры – Общие – ICAP сервер:
Мы видим, что по умолчанию ICAP сервер слушает на адресе 127.0.0.1, то есть на внутреннем адресе самого KWTS и клиенты не смогут подключиться к серверу. Для того, чтобы разрешить обрабатывать трафик сторонних ICAP клиентов, выберем из выпадающего меню 0.0.0.0 и нажмем Сохранить. Остальные поля можно пока оставить по умолчанию. На этом подготовка к интеграции окончена, технически KWTS готов принимать подключения.
Можно немного преобразить нашу страницу блокировки, она предоставляется пользователю, если KWTS найдет вредоносное ПО или ссылку и заблокирует доступ. В том же меню Параметры – Общие – Страница блокировки по умолчанию в формате HTML настройте сообщение пользователям и нажмите Сохранить. Предварительно можно просмотреть как будет выглядеть ваша страница. В данном случае мы просто перевели страницу на русский язык:
Теперь перейдем к тестированию.
Тестирование интеграции
- Пользователь пытается получить доступ к веб-ресурсу, который попадает в категорию, заблокированную администратором на KWTS;
- Пользователь пытается скачать вредоносный файл с веб-ресурса.
Блокировка доступа к веб-ресурсу
Укажем действие – заблокировать, фильтрация трафика по категории «Общение в сети». Название – «Socials Block». Нажимаем кнопку «Добавить». При создании правила можно также указать IP адреса, названия браузеров, имена пользователей, а в случае интеграции с LDAP указать группы или имена пользователей с контроллера домена и применять правила точечно.
По умолчанию создаваемые правила выключены и их необходимо включить. Правила применяются сразу.
Перейдем к рабочей станции, которая находится за NGFW, где настроена интеграция с KWTS, и попробуем открыть одну из социальных сетей:
Блокировка скачивания вредоносного файла
Журнал событий KWTS
Помимо прочих мы видим события, связанные с доступом к vk.com и к файлу eicar. В таблице сразу видно в какое время произошло событие, с каким пользователем и с какого IP, а также видим результат проверки.
Так выглядят подробности события блокировки vk.com:
Можно увидеть по какому правилу произведена блокировка, к какому URL, информация о браузере, на каком узле KWTS была обработка события и как долго производилась.
Перейдем к событию блокировки файла.
Здесь мы можем увидеть свойства, характерные для файла, такие как его имя, размер и к какому типу относится вредоносный объект.
Таким образом Kaspersky Web Traffic Security может повысить безопасность работы в сети ваших пользователей без необходимости развертывания и настройки отдельных прокси серверов.
В статье мы рассмотрели лишь типовой сценарий интеграции, в вашей инфраструктуре возможны другие конфигурации. Мы всегда готовы помочь с настройкой, пишите нам на почту sales@tssolution.ru.
Вы можете ознакомиться с нашими статьями по настройке продукта для защиты почты Kaspersky Secure Mail Gateway от Лаборатории Касперского:
Kaspersky Secure Mail Gateway 2.0
KSMG 2.0. Интеграция с Kaspersky Anti Targeted Attack Platform (KATA)
А также посмотреть вебинар по KSMG:
Защита почты с Kaspersky Email Security
