Версия v26.08

Теперь пользователям с учетными записями, для которых активирована двухфакторная аутентификация, при входе потребуется ввести дополнительный код подтверждения.

Для подключения двухфакторной аутентификации пользователь должен установить приложение аутентификатор и ввести секретный ключ или отсканировать QR-код в настройках профиля.

Администратор системы может настроить её как обязательную для всех пользователей или оставить опциональной — каждый пользователь сможет включить её по своему желанию. Настройка задается на странице “Общие параметры” в настройках системы.

1. Добавлена функциональность контрмеры SERB для блокировки трафика пары IP-адрес и порт отправителя.
2. Добавлена новая функциональность для блокировки трафика пары IP-адресов источника и получателя.

Добавлено действие PASS, которое позволяет исключить влияние контрмеры на трафик, соответствующий определенным отпечаткам. Трафик, соответствующий отпечаткам в таком правиле, будет пропускаться на выход контрмеры. Например, следующее правило будет пропускать на выход контрмеры все «ClientHello», соответствующие указанному JA3-отпечатку, и на него не смогут повлиять ни последующие правила с указанием именованных списков отпечатков, ни действие для JA3/JA4-отпечатков, не указанных в правилах.

PASS JA3 771,4866-4867-4865-49191-255,11-10-35-22-23-13-43-45-51,29-23-30-25-24,0-1-2

Для всех отпечатков, не описанных правилами, можно также выбрать одно из трех действий: задать совокупный порог, при превышении которого трафик прочих отпечатков будет сбрасываться, заносить в TBL отправителей, превысивших совокупный порог, либо пропускать «ClientHello», не описанные правилами, на выход контрмеры.

В целях унификации действие BLOCK теперь следует указывать в начале правила. Для обратной совместимости возможность указывать действие BLOCK в середине правила сохранена, поэтому переписывать старые правила не требуется.

Добавлено действие PASS, которое позволяет исключить влияние контрмеры на трафик, соответствующий определенному шаблону. Трафик, соответствующий такому правилу, будет пропускаться на выход контрмеры. Например, следующее правило будет пропускать на выход контрмеры все пакеты из подсети 10.10.10.0/24, поступающие на IP-адрес 175.180.90.21, и на него не смогут повлиять ни последующие правила с указанием именованных списков IP-адресов, ни действие для остального трафика, не описанного правилами.

PASS ACL src 10.10.10.0/24 dst 175.180.90.21

Для трафика, не соответствующего ни одному из правил, можно также выбрать одно из трех действий: задать совокупный порог скорости в пакетах или битах в секунду, при превышении которого трафик будет сбрасываться, заносить в TBL отправителей, превысивших совокупный порог, либо пропускать трафик, не описанный правилами, на выход контрмеры.

В целях унификации действие BLOCK теперь следует указывать в начале правила. Для обратной совместимости возможность указывать действие BLOCK в середине правила сохранена, поэтому переписывать старые правила не требуется.

Теперь именованному списку IP-адресов можно присвоить опцию “Может использоваться в коллекторах трафика”. Эти списки будут загружаться на Collector и использоваться для решения различных задач.

Именованные списки, для которых активирована возможность загрузки на Collector, помечаются флагом в общем списке.

На текущий момент списки для загрузки на Collector принимают только IP-адреса и префиксы. Поддержка номеров автономных систем и доменных имен будет добавлена в следующих версиях.

Переработаны виджеты “С произвольными фильтрами”. Теперь виджеты с предустановленными фильтрами вынесены в отдельную группу “По приложениям”. Виджеты по приложениям доступны и для топов и для графиков скоростей.

Виджет с произвольными фильтрами сохранен для категории “Скорости”.

Теперь в правилах определения входящего и исходящего трафика объекта мониторинга можно указывать именованные списки IP-адресов, загруженные на Collector.

На страницу объекта мониторинга добавлена вкладка “Правила детектирования”, в которой задаются правила для трафика объекта мониторинга. Правило содержит описание трафика, порог и действие. Если по данным Collector описанный правилом трафик превышает заданный для него порог, то действие выполняется.

В грамматику правил детектирования по данным Collector добавлено ключевое слово ttl. Указание ttl в правиле позволяет отсрочить отключение действия в правиле на указанное количество секунд.

Пример правила детектирования для политики защиты:

tcp per-dst bits 100 ttl 60 >> hpd

Данное правило означает, что когда на IP-адрес поступило больше 100 бит TCP-трафика за секунду, то этот адрес добавляется в HPD и остается в нем, пока сохраняется превышение порога, а также еще в течение 60 секунд после падения скорости ниже значения ограничения.

Если в течение этих 60 секунд трафик на IP-адрес снова превысит порог, то IP-адрес не будет удален из HPD, то есть задание времени удержания позволяет уменьшить тактование.

Пример правила детектирования для объекта мониторинга:

tcp inbound domain-a packets on 6 ttl 60 >> log

Данное правило создаст запись в журнале событий о превышении порога скорости в 6 пакетов в секунду для входящего TCP-трафика, учтенного в домене а, а также повторную запись о падении скорости ниже 6 пакетов в секунду спустя 60 секунд после падения скорости ниже порога.

В данном случае указание ttl в правиле позволяет уменьшить количество записей в журнал событий, так как несколько событий превышения и падения скорости ниже порога фактически объединятся в одно событие.

Для удобства отображения графиков трафика на инсталляциях с множеством экземпляров теперь можно выбрать для отображения графики не только с одного конкретного экземпляра, а с нескольких одновременно. Для каждой кривой будет отображаться суммарное значение по выбранным экземплярам.