Lorsqu'un serveur est compromis, la fonctionnalité de détection des intrusions de Cloud Firewall vous aide à détecter et identifier rapidement les événements d'intrusion afin d'éviter des pertes commerciales importantes. Cette rubrique explique comment vérifier la présence de menaces de sécurité sur vos serveurs et configurer les modes de protection.
Prérequis
Le pare-feu Internet est activé. Pour plus d'informations, consultez la section Activer le commutateur du pare-feu.
Le mode Block du moteur de menace est activé. Pour plus d'informations, consultez la section Configuration IPS.
Procédure
Connectez-vous à la console Cloud Firewall.
Dans le volet de navigation de gauche, sélectionnez .
-
Sur la page Breach Detection, consultez les détails des événements d'intrusion.
Sur la page Breach Detection, vous pouvez :
-
Afficher la liste des événements
Dans la liste des événements d'intrusion, consultez les détails tels que le niveau de risque, l'adresse IP et l'UID de l'actif concerné, ainsi que l'état de traitement.
-
Rechercher un événement cible
Dans la barre de menu supérieure, filtrez les événements par niveau de risque, type d'heure, état de traitement ou plage de temps de détection. Vous pouvez également rechercher un événement d'intrusion par son adresse IP d'instance, son ID, son nom ou son UID.
-
Activer le mode Block pour le moteur de menace
Après avoir activé le pare-feu Internet, le moteur de menace utilise le mode Block par défaut. Si vous désactivez le mode Block, la page Breach Detection peut détecter les événements de risque, mais ne peut pas les bloquer. Dans la colonne Actions, cliquez sur Quick Blocking pour activer le mode Block pour le moteur de menace.
ImportantLe commutateur Quick Blocking ne contrôle pas les événements individuels. L'activation ou la désactivation de l'option Quick Blocking active ou désactive la fonctionnalité du système de prévention des intrusions (IPS) pour l'ensemble de Cloud Firewall.
-
Ignorer un événement d'intrusion
Si vous déterminez qu'un événement d'intrusion correspond à une activité normale, localisez l'événement et cliquez sur Ignore dans la colonne Actions.
RemarqueUn événement marqué comme Ignore est supprimé de la liste des événements d'intrusion et Cloud Firewall ne générera plus d'alertes pour celui-ci.
-
Afficher les détails de l'événement
Localisez l'événement que vous souhaitez inspecter et cliquez sur Details dans la colonne Actions pour afficher ses détails et les recommandations de sécurité.
-
Analyser un événement avec l'assistance de l'IA : Cliquez sur l'icône
dans la colonne AI Analysis pour utiliser l'Security AI Assistant afin d'analyser rapidement l'alerte d'intrusion.L'analyse comprend :
Analyse du contenu de la charge utile : Une brève description de l'alerte sélectionnée et les résultats de l'analyse par IA.
Intention de l'attaquant : Une prédiction du comportement de l'attaquant basée sur l'analyse par IA.
Recommandations de défense : Recommandations pour les configurations de protection de Cloud Firewall (telles que les politiques ACL et la configuration IPS) et l'enquête sur les actifs.
-
Références
Utilisez la fonctionnalité de configuration IPS pour définir le mode d'exécution du moteur de menace et configurer la threat intelligence, la défense de base, la défense intelligente et le correctif virtuel. Cela vous aide à identifier et bloquer les risques d'intrusion avec une plus grande précision. Pour plus d'informations, consultez la section Configuration IPS.
Le système de prévention des intrusions (IPS) assure la détection et le blocage en temps réel du trafic malveillant, y compris les attaques de pirates, les exploitations de vulnérabilités, les attaques par force brute, les vers, les programmes de minage, les attaques par cheval de Troie et les attaques par déni de service (DoS). Il protège vos systèmes d'information basés sur le cloud et votre architecture réseau. Pour plus d'informations, consultez les sections Présentation de l'IPS et Prévention des intrusions.
Cloud Firewall peut se synchroniser avec Security Center pour identifier les vulnérabilités exploitées par les attaques réseau et s'en défendre. Pour plus d'informations, consultez la section Prévention des vulnérabilités.
Meilleures pratiques pour la défense contre les programmes de minage