Версия v26.06

Добавлена категория виджетов «Пропуск». В виджетах категории отображается sFlow c MITIGATOR по пропущенному трафику.

• General WL + TWL Bypass – скорость трафика, пропущенного на выход системы контрмерами WL и TWL в общей защите;
• All Policies WL + TWL Bypass – суммарная скорость трафика, пропущенного на выход всех политик защиты контрмерами WL и TWL.

На вкладку “Настройка” в политику защиты добавлена кнопка для копирования настроек политики через буфер обмена.

При копировании выбирается область применения. Можно скопировать:

• параметры контрмер;
• параметры контрмер и настройки автодетектирования;
• все параметры и настройки политики.

Настройки сохраняются в буфер обмера в JSON-формате и могут быть применены к другой политике защиты, например, на другом кластере MITIGATOR. Применение полностью заменит все текущие настройки политики защиты новыми.

Добавлено действие PASS, которое позволяет исключить из обработки контрмерой трафик, соответствующий фильтру. Для таких правил не требуется указание лимита и периода.

Пример:

# такой набор правил будет сбрасывать весь трафик с IP-адреса, пока с него
# поступает за 3 секунды больше 10 пакетов по протоколу TCP на порт 80,
# содержащих строку `\sLOGIN\s[^\n]{100}`, если это не трафик с IP-адреса 175.180.90.0.

PASS ACL src 175.180.90.0 dport 80
PACKETS 10 PERIOD 3 ACL tcp dport 80 REX \sLOGIN\s[^\n]{100}

Добавлено действие PASS, которое позволяет исключить из обработки контрмерой трафик, соответствующий указанному TLS-отпечатку.

Например, если задано правило:

PASS JA3 771,4866-4867-4865-49191-255,11-10-35-22-23-13-43-45-51,29-23-30-25-24,0-1-2

и установлен чекбокс “Применять пороги для прочих JA3/JA4” с порогом 10 пакетов в секунду, то при получении более 10 ClientHello в секунду контрмера FTLS будет блокировать прохождение любых ClientHello кроме тех, что соответствуют JA3-отпечатку из правила PASS.

Теперь для правил c действиями block и alert можно проверять значение поля $host.

Поддерживаются регулярные выражения, что позволяет описать шаблон, которому должны (host) или не должны (not host) соответствовать значения в поле.

Также добавлено ключевое слово host-ip. позволяющее реагировать на указание в поле $host IP-адреса.

Примеры:

# Заблокировать на 300 секунд IP-адрес, у которого значение в поле $host
# соответствует шаблону `^api\.example\.com$`:

block 300 host ^api\.example\.com$

# Заблокировать на 120 секунд IP-адрес, у которого значение в поле $host
# не соответствует шаблону `^internal\.example\.com$`:

block 120 not host ^internal\.example\.com$

# Создать запись в журнале событий в случае получения от IP-адреса 
# двух и более запросов за 10 секунд, содержащих IP-адрес в поле $host:

alert host-ip limit 2 period 10

Добавлена поддержка отправки в мессенджер MAX для:

• уведомлений о событиях системы;
• файлов захвата пакетов;
• отчетов по инцидентам;
• регулярных отчетов.

В Настройки системы добавлена новая страница “Сервис PSG”, на которой можно задать параметры подключения к сервису и определить уровень доступа к функциям сервиса для групп.

Изменение позволяет оптимизировать потребление ресурсов обработчиком пакетов при наличии большого количества политик защиты с активированной гео-фильтрацией.