IT-Säkerhetsguiden

Internet Security & Acceleration (ISA) Server är utrustad med ett hyffsat Intrution Detection System som bland annat känner av en portscanning och motverkar en Denial of Service (DoS) attack. Forefront Threat Management Gateway har tagit det här ett steg längre och kan nu räknas som ett fullvärdigt Intrusion Prevention System, förutom detektion på beteende mönster (Behavioral Intrusion Detection) finns även ett signaturbaserat Network Inspection System (NIS).

Tekniken bygger på ett ramverk kallat Generic Application-Level Protocol Analyzer (GAPA) Framework, baserat på en protokollspecifikt språk och analysmotor utvecklat av Microsoft Research.
Det här är en avancerat teknik som klarar att samla in och analysera innehållet i pågående nätverksströmmar, allt ifrån rena HTTP protokoll till mer avancerade och fragmenterade protokoll så som RPC. (Mer teknisk information om GAPA Language finns här: http://research.microsoft.com/pubs/70223/tr-2005-133.pdf )

Du aktiverar och konfigurerar Network Inspection System (NIS) under Intrusion Prevention System i menyn till vänster. Här ser du alla signaturer där flertalet är kända sårbarheter i Microsoft plattformen med fördefinierad action per signatur. Det här betyder att TMG kan detektera och blockera kod som är på väg att utnyttja en sårbarhet i något system du har på insidan. Naturligtvis är det lika viktigt att installera säkerhetsuppdateringar, men det tar fortfarande ett tag från det att en sårbarhet detekteras till att det finns en färdigtestad säkerhetsuppdatering att ladda hem. Signaturen består av en detektering av sårbarheten vilket gör att Microsoft kommer kunna ge ut denna innan själva säkerhetsuppdateringen är färdig. På det sättet minskar glappet mellan detekterad säkerhetsbrist och tagen skyddsåtgärd.

Det finns ett antal olika inställningar, du kan bland annat ställa in undantag, uppdateringsintervall, föreslagen åtgärd samt känslighet. Känsligheten bygger på om den skall prioritera att blockera protokoll som inte följer standard för att öka säkerheten eller om den skall bortse från onormala protokoll för att motverka att legitim trafik blockeras.

Det här funktionen kommer garanterat göra nytta och jag hoppas att alla tar chansen och utnyttjar denna funktion.
Är man osäker, ställer man bara in den på att enbart detektera intrången som i sin tur redovisas som en alert i TMGn. Precis som i ISA Servern kan du ställa in att den skall skicka iväg ett larm via mail vid en viss typ av alert.

En av de stora nyheterna i TMG är möjligheten att inspektera surftrafiken för att förhindra att virus kommer in i miljön redan på brandväggsnivå.

TMG har en inbyggd antivirusmotor för inspektion av webbtrafik, definitioner laddas hem från Microsoft Update, men kan även skötas internt från lokal uppdateringstjänst (ex WSUS). Network Inspection System är en del av Intrusion Prevention system vilket också är definitionsbaserat och laddas hem på samma sätt.

Genom Update Center i TMG sköter du uppdateringsintervallet för dessa två

Malware Inspection tjänsten aktiveras enkelt under Web Access Policyn och är sedan applicerbar på regelbasis.

Jag har även aktiverat HTTPS inspection för att hårdtesta den här funktionaliteten. Min klient på insidan är en vanlig SecureNat klient och har alltså inte proxy konfigurerad eller har någon Firewall Client installerad.
Genom klienten försöker jag ladda ner ett virus, och för att hårdtesta sker detta på ett antal olika sätt:
– Viruset i originalskick
– Omdöpt till ny filändelse
– Packeterad ZIP-fil
– Test genom krypterad SSL tunnel

Första testet att ladda hem viruset gav förväntat resultat och klienten fick ett snyggt och prydligt felmeddelande som talar om vilket virus som påträffats och blockerats.
Genom att klicka sig vidare genom de andra omdöpta och paketerade filerna märktes det tydligt att TMG hade full koll på läget.
Jag var där emot orolig hur det skulle bli att ta hem en paketerad och omdöpt fil över HTTPS från klienten men jag vart riktigt imponerad.

Klienten får upp samma detaljerade meddelande:

TMG redovisar vilken kategori av sajt som besöktes, vilket typ händelse och vilken åtgärd som gjordes. Typ av malware samt kritisk nivå för säkerheten.

Tänk nu tanken om den här information även når antivirussystemet för klienterna som kan ta action på det som TMG missar. Det här är precis vad Stirlingprojektet handlar om och Forefront Protection Suite kommer lanseras inom en snar framtid.

Microsoft har ambitionen att lansera TMG i samband med Teched i November, det är bara att hålla tummarna!

Efter att ha testat av URL filtreringen i TMG Beta 3 har jag kommit fram till några slutsatser.

TMG klarar av att kategorisera URLer både för SecureNAT och proxy klienter!

För en NATad klient sker namnuppslagningen lokalt mellan klient och DNS, klienten efterfrågar sedan efter information baserat på IP till TMG Servern, därav skulle det kunna blir problem att filtrera på URL. TMG löser detta genom att göra en namnuppslagning på klientens IP förfrågan (Reverse lookup).

Min labb miljö:
DNS 192.168.168.10     –     TMG 192.168.168.1    –     INTERNET

En network monitor logg  från TMG ser ut enligt nedan:

1    192.168.168.1     192.168.168.10    DNS    (Standard query), Query  for 14.113.248.87.in-addr.arpa of type PTR on class Internet
2    192.168.168.10    ns2.yahoo.com   DNS    QUERY Query  for 14.113.248.87.in-addr.arpa of type PTR on class Internet
3    ns2.yahoo.com   192.168.168.10    DNS    QUERY Response – Success, Array
4    192.168.168.10    192.168.168.1      DNS    QUERY, Response – Success

Allt lirar perfekt och jag förväntar mig då också att TMG Serverns loggar och rapporter fylls upp med korrekt URL på varje förfrågan även för NATade klienter, vilket har varit en brist i ISAns rapportering. Dock blev det en besvikelse, enbart proxyklienter fyller rapporter och loggar med snygga listor på besökta webbplatser. NATade klienter visar enbart på IP precis som vanligt, vilket är konstigt då TMG har informationen. Jag har ställt frågan till utvecklingsteamet och hoppas innerligt att det här blir löst till skarp release.

I övrigt är det en fröjd att jobba i nya TMG och jag ser fram emot att få tid över att hårdtesta Intrution Prevention System (IPS)

En efterlängtad funktion som jag velat blogga om länge har äntligen blivigt offentlig.
URL Filtrering kommer vara en inbyggd funktion i Forefront Threat Managemt Gateway (TMG) och vi kan säga farväl till ännu några tredjepartsleverantörer.
TMG kommer ha full koll på om sidan du surfar till hör till News, Pornography, Violence o.s.v.

Genom den här funktionen kommer du att få enorma möjligheter att styra surftrafiken. Exempel att enbart tillåta nyhetssidor under lunchtid, förhindra ”Nudity” för en grupp av unga användare och stoppa pornografi för alla. Möjligheterna är många, en annan vanlig konfiguration kommer vara att man aktiverar ”HTTPS inspection” för alla kategorier utom Bank och vårdsidor.
Oavsett vilka regler du sätter upp kommer du få bättre rapporter över proxytrafiken där du ser belastningen över dessa kategorier.

I slutet på förra året träffade jag en av TMG-utvecklarna och fick se den här funktionen, jag var då tvungen att testa hur ”Sverige-vänlig” funktionen var, genom att testa en liten värmländsk tidning (vf.se) och den markerades som ”Newspaper”. Jag vågar dock inte lova att den lösningen jag fick se under NDA är samma som kommer i den skarpa versionen. Det sägs dock bli tredje gången gillt, att URL filtreringen finns med i Beta 3 av TMG 🙂

Funktionsmässigt slår TMG mot en onlinetjänst hos Microsoft och cachar lokalt. Du kan inte titta i listan, men göra uppslag mot den för att se vad den kategoriserar en viss URL som. Med hjälp av såkallade ”Overrides” kan du ta bort och lägga till URL från en viss kategori.

Jag tror inte att jag är ensam om att vänta på den här produkten!