security – семейство команд для настройки проверки и анализа содержимого проходящего сетевого трафика

`security antivirus`

Перейти в подменю настройки Антивируса.

`security antivirus> [no] enable`

Включить (или выключить, если no) использование Антивируса. Применяется только после перезапуска решения.

`security antivirus> [no] enable-mail`

Включить (или выключить, если no) использование почтового Антивируса. Применяется только после перезапуска решения.

`security antivirus> profile <name>`

Перейти в подменю настройки профиля с именем <name>.

`security antivirus> (no profile <name>|no security antivirus profile <name>)`

Удалить профиль с именем <name>.

`security antivirus> profile=['name']> rename <name>`

Задать для данного профиля новое имя <name>.

`security antivirus> profile=['name']> description <description>`

Задать описание для профиля. Пробелы не поддерживаются.

`security antivirus> profile=['name']> action (allow|block-stub|block|reset)`

Задать действие для профиля с поддержкой протокола http (для хешового и объектного Антивируса).

`security antivirus> profile=['name']> action-imap (allow|block|reset)`

Задать действие для профиля с поддержкой почтового протокола imap.

`security antivirus> profile=['name']> action-pop3 (allow|block|reset)`

Задать действие для профиля с поддержкой почтового протокола pop3.

`security antivirus> profile=['name']> action-smtp (allow|block|reset)`

Задать действие для профиля с поддержкой почтового протокола smtp.

`security antivirus> profile=['name']> protocols`

Перейти в подменю выбора протоколов для профиля.

`security antivirus> profile=['name']> protocols> [no] use-http`

Включить (или выключить, если no) использование протокола http.

`security antivirus> profile=['name']> protocols> [no] use-imap`

Включить (или выключить, если no) использование протокола imap.

`security antivirus> profile=['name']> protocols> [no] use-pop3`

Включить (или выключить, если no) использование протокола pop3.

`security antivirus> profile=['name']> protocols> [no] use-smtp`

Включить (или выключить, если no) использование протокола smtp.

`security antivirus> profile=['name']> protocols> [no] use-ftp`

Включить (или выключить, если no) использование протокола ftp.

`security antivirus> profile=['name']> protocols> [no] use-websocket`

Включить (или выключить, если no) использование протокола websocket.

`security antivirus> profile=['name']> [no] logging`

Разрешить (или запретить, если no) запись в журнал для всех действий (action).

`security antivirus> profile=['name']> url-ksn-reputation`

Перейти в подменю настройки KSN.

`security antivirus> profile=['name']> url-ksn-reputation> [no] use-url-reputation`

Включить (или выключить, если no) проверку репутации URL по списку адресов из KSN.

`security antivirus> profile=['name']> url-ksn-reputation> ksn-check-url adware`

Задать проверку репутации URL по KSN для профиля: проверка адресов на принадлежность к рекламным URL.

`security antivirus> profile=['name']> url-ksn-reputation> ksn-check-url other`

Задать проверку репутации URL по KSN для профиля: проверка адресов на принадлежность к прочим URL, не включенным ни в одну категорию.

`security antivirus> profile=['name']> [no] use-web-checker`

Включить (или выключить, если no) использование объектного Антивируса.

`security antivirus> profile=['name']> [no] use-hash-checker`

Включить (или выключить, если no) использование Light AV.

`security antivirus> profile=['name']> [no] use-mail-checker`

Включить (или выключить, если no) использование mail.

`security antivirus> profile=['name']> [no] use-kata`

Включить (или выключить, если no) проверку объектов с использованием KATA.

`security antivirus> profile=['name']> [no] use-file-name-filter`

Включить (или выключить, если no) фильтр по именам передаваемых файлов.

`security antivirus> profile=['name']> [no] use-mime-type-filter`

Включить (или выключить, если no) фильтр по MIME-типам передаваемых файлов.

`security antivirus> profile=['name']> [no] logging-kata-scan-events`

Включить (или выключить, если no) запись в журнал событий отправки объектов на сканирование в KATA.

`security antivirus> profile=['name']> web-checker-settings`

Перейти в подменю настроек web-checker.

`security antivirus> profile=['name']> web-checker-settings> max-file-size <bytes>`

Указать максимальный допустимый размер файла для проверки в web-checker.

`security antivirus> profile=['name']> kata-file-filter`

Перейти в подменю настроек правил фильтрации файлов KATA.

`security antivirus> profile=['name']> kata-file-filter> [no] only-suspicious`

Включить (или выключить, если [no]) обработку только подозрительных файлов.

`security antivirus> profile=['name']> file-name-filter`

Перейти в подменю настроек правил фильтрации по именам передаваемых файлов.

`security antivirus> profile=['name']> file-name-filter> action (allow|block-stub|block)`

Задать действие по умолчанию.

`security antivirus> profile=['name']> file-name-filter> rule <name>`

Добавить новое правило фильтрации или открыть существующее правило для редактирования.

`security antivirus> profile=['name']> file-name-filter> rule=['<name>']> rename <str>`

Задать для данного правила фильтрации новое имя <str>.

`security antivirus> profile=['name']> file-name-filter> rule=['<name>']> [no] enable`

Включить (или выключить, если no) правило.

`security antivirus> profile=['name']> file-name-filter> rule=['<name>']> pattern <text>`

Задать регулярное выражение, описывающее фильтруемые имена файлов. Например, чтобы заблокировать все exe-файлы, в имени которых содержатся цифры, нужно использовать следующее регулярное выражение: .*\d.*\.exe. Используется синтаксис регулярных выражений ECMAScript 3. Пробелы не поддерживаются.

`security antivirus> profile=['name']> file-name-filter> rule=['<name>']> action (allow|block-stub|block)`

Задать действие для правила фильтрации.

`security antivirus> profile=['name']> file-name-filter> rule=['<name>']> priority <priority>`

Задать приоритет для правила фильтрации. Правила с большим приоритетом выполняются раньше.

`security antivirus> profile=['name']> file-name-filter> rule=['<name>']> description <text>`

Задать описание правила фильтрации. Пробелы не поддерживаются.

`security antivirus> profile=['name']> mime-type-filter`

Перейти в подменю настроек правил фильтрации по MIME-типам передаваемых файлов.

`security antivirus> profile=['name']> mime-type-filter> action (allow|block-stub|block)`

Задать действие по умолчанию.

`security antivirus> profile=['name']> mime-type-filter> rule <name>`

Добавить новое правило фильтрации или открыть существующее правило для редактирования.

`security antivirus> profile=['name']> mime-type-filter> rule=['<name>']> rename <str>`

Задать для данного правила фильтрации новое имя <str>.

`security antivirus> profile=['name']> mime-type-filter> rule=['<name>']> [no] enable`

Включить (или выключить, если no) правило.

`security antivirus> profile=['name']> mime-type-filter> rule=['<name>']> pattern <text>`

Задать регулярное выражение, описывающее фильтруемые MIME-типы (например, application/json). Например, чтобы заблокировать все zip и gzip файлы, можно использовать следующее регулярное выражение: application/g?zip. Используется синтаксис регулярных выражений ECMAScript 3. Пробелы не поддерживаются.

`security antivirus> profile=['name']> mime-type-filter> rule=['<name>']> action (allow|block-stub|block)`

Задать действие для правила фильтрации.

`security antivirus> profile=['name']> mime-type-filter> rule=['<name>']> priority <priority>`

Задать приоритет для правила фильтрации. Правила с большим приоритетом выполняются раньше.

`security antivirus> profile=['name']> mime-type-filter> rule=['<name>']> description <text>`

Задать описание правила фильтрации. Пробелы не поддерживаются.

`security antivirus> profile=['name']> trusted-urls <URL>`

Указать доверенный URL-адрес.

`security antivirus> profile=['name']> clone <new-profile-name>`

Создать копию профиля Антивируса name под именем new-profile-name.

`security dns`

Перейти в подменю настройки Защиты DNS-трафика.

`security dns> [no] enable`

Включить (или выключить, если no) использование Защиты DNS-трафика. Применяется только после перезапуска решения.

`security dns> profile <name>`

Перейти в подменю настройки профиля с именем <name>.

`security dns> (no profile <name>|no security dns profile <name>)`

Удалить профиль с именем <name>.

`security dns> profile=['name']> rename <name>`

Задать для данного профиля новое имя <name>.

`security dns> profile=['name']> description <description>`

Задать описание для профиля. Пробелы не поддерживаются.

`security dns> profile=['name']> action (reset|allow|block|redirect)`

Задать действие для профиля:

reset – блокировать DNS-запросы и DNS-ответы, в которых обнаружены вредоносные или фишинговые ресурсы, и для TCP-сессий отправлять TCP RST в сторону клиента и в сторону сервера.
allow – разрешать DNS-запросы и DNS-ответы, в которых обнаружены вредоносные или фишинговые веб-ресурсы.
block – блокировать DNS-запросы и DNS-ответы, в которых обнаружены вредоносные или фишинговые ресурсы.
redirect – блокировать DNS-запросы пользователя к вредоносному или фишинговому веб-ресурсу и перенаправлять DNS-ответ на указанный вами сервер.

`security dns> profile=['name']> redirect-ip <IP>`

Задать IP-адрес для действия redirect.

`security dns> profile=['name']> clone <new-profile-name>`

Создать копию профиля name под именем new-profile-name.

`security idps`

Перейти в подменю настройки системы обнаружения и предотвращения вторжений (Intrusion Detection and Prevention System, IDPS).

`security idps> [no] enable`

Включить (или выключить, если no) использование IDPS. Применяется только после перезапуска решения.

`security idps> portsscan-enabled (enabled|disabled)`

Включить или выключить сканирование портов.

`security idps> portsscan (allow|block)`

Задать действие при сканировании портов.

`security idps> [no] portsscan-logging`

Включить (или выключить, если no) создание событий в журнале о сканировании портов.

`security idps> portsscan-events-rate <sec>`

Задать минимальный интервал в секундах между отправками событий в журнал о сканировании портов.

`security idps> [no] portsscan-packet-capture`

Включить (или выключить, если no) захват пакетов при сканировании портов.

`security idps> profile <name>`

Перейти в подменю настройки профиля с именем <name>.

`security idps> (no profile <name>|no security idps profile <name>)`

Удалить профиль с именем <name>.

`security idps> profile=['name']> rename <name>`

Задать для данного профиля новое имя <name>.

`security idps> profile=['name']> description <description>`

Задать описание для профиля. Пробелы не поддерживаются.

`security idps> profile=['name']> action (allow|block|reset)`

Задать действие для профиля (действие, которое будет применяться к трафику в случае обнаружения угрозы):

allow – при обнаружении сигнатур угроз разрешать трафик.
block – при обнаружении сигнатур угроз блокировать трафик (пакеты установленной сессии отбрасываются).
reset – при обнаружении сигнатур угроз блокировать трафик и для TCP-сессий отправлять TCP RST в сторону клиента и в сторону сервера.

`security idps> profile=['name']> [no] packet-capture`

Включить (или выключить, если no) захват пакетов для профиля.

`security idps> profile=['name']> [no] logging`

Включить (или выключить, если no) отправку пользовательских событий при срабатывании профиля.

`security idps> profile=['name']> no exclusion-rule <name>`

Удалить правило исключения из текущего профиля.

`security idps> profile=['name']> exclusion-rule <name>`

Добавить новое правило исключения в профиль или открыть существующее правило исключения для редактирования. Хотя бы одно из полей sid, priority, vuln-type, tactic или technique правила исключения обязательно должно быть установлено.

`security idps> profile=['name']> exclusion-rule=['<name>']> rename <str>`

Задать для данного правила исключения новое имя <str>.

`security idps> profile=['name']> exclusion-rule=['<name>']> action (allow|block)`

Задать действие для правила исключений (действие, которое будет применяться к трафику при обнаружении сигнатуры):

allow – при обнаружении сигнатуры разрешать трафик.
block – при обнаружении сигнатуры блокировать трафик (пакеты установленной сессии отбрасываются).

`security idps> profile=['name']> exclusion-rule=['<name>']> [no] logging`

Включить (или выключить, если no) отправку пользовательских событий на уровне правила исключений.

`security idps> profile=['name']> exclusion-rule=['<name>']> [no] sid <number>`

Задать (или удалить, если no) уникальный идентификатор сигнатуры для правила.

`security idps> profile=['name']> exclusion-rule=['<name>']> [no] priority (low|medium|high)`

Задать (или удалить, если no) степень важности, присвоенную правилу.

`security idps> profile=['name']> exclusion-rule=['<name>']> [no] vuln-type <str>`

Задать (или удалить, если no) тип уязвимости или угрозы:

Для фильтрации сигнатур вместо classtype будем использовать значения параметра vuln type (это названия из сообщения до первой точки), например: HackTool.BindTaskSchedulerService.ATSVC.C&C, Exploit.CVE-2018-1111.DHCP.C&C.

`security idps> profile=['name']> exclusion-rule=['<name>']> [no] tactic <str>`

Задать (или удалить, если no) MITRE-тактику.

`security idps> profile=['name']> exclusion-rule=['<name>']> [no] technique <str>`

Задать (или удалить, если no) MITRE-технику.

`security idps> profile=['name']> clone <new-profile-name>`

Создать копию профиля name под именем new-profile-name.

`security kata`

Перейти в подменю настройки Kaspersky Anti Targeted Attack Platform (далее KATA).

`security kata> enable`

Включить отправку сканируемых файлы на проверку в KATA.

`security kata> no enable`

Выключить отправку сканируемых файлы на проверку в KATA.

`security kata> sensor-id <sensor-id>`

Задать значение KATA sensor ID.

`security kata> generate-sensor-id`

Сгенерировать уникальный KATA sensor ID.

`security kata> [no] client-certificate <certificate>`

Задать (или удалить, если no) публичный сертификат клиента в PEM-формате.

`security kata> [no] client-private-key <key>`

Задать (или удалить, если no) закрытый ключ клиента в PEM-формате.

`security kata> primary-server`

Перейти в подменю настроек подключения к основному серверу KATA.

`security kata> primary-server> [no] host <host>`

Задать (или удалить, если no) адрес основного сервера KATA.

`security kata> primary-server> port <port>`

Задать порт основного сервера KATA. По умолчанию 443.

`security kata> primary-server> [no] certificate <certificate>`

Задать (или удалить, если no) публичный сертификат основного сервера KATA в PEM-формате.

`security kata> reserved-server <id>`

Перейти в подменю настроек подключения к резервному серверу KATA с номером id. Вы можете настроить от 1 до 3 резервных серверов.

`security kata> reserved-server=['id']> [no] host <host>`

Задать (или удалить, если no) адрес резервного сервера KATA.

`security kata> reserved-server=['id']> port <port>`

Задать порт резервного сервера KATA. По умолчанию 443.

`security kata> reserved-server=['id']> [no] certificate <certificate>`

Задать (или удалить, если no) публичный сертификат резервного сервера KATA в PEM-формате.

`security kata> no reserved-server <id>`

Удалить настройки подключения к резервному серверу KATA с номером id.

`security urls-groups`

Перейти в подменю настройки веб-категорий.

`security urls-groups>name <name>`

Перейти в подменю настройки категории с именем <name>.

`security urls-groups> no name <name>`

Удалить категорию с именем <name>.

`security urls-groups> name=['name']> rename <name>`

Задать для данной категории новое имя <name>.

`security urls-groups> name=['name']> description <description>`

Задать описание для категории. Пробелы не поддерживаются.

`security urls-groups> name=['name']> urls <URL>`

Задать URL для категории. Пробелы не поддерживаются.

`security urls-groups> name=['name']> no urls <URL>`

Убрать URL для категории. Пробелы не поддерживаются.

`security web-control`

Перейти в подменю настройки Веб-контроля.

`security web-control> [no] enable`

Включить (или выключить, если no) использование Веб-контроля. Применяется только после перезапуска решения.

`security web-control> profile <name>`

Перейти в подменю настройки профиля с именем <name>.

`security web-control> (no profile <name>|no security web-control profile <name>)`

Удалить профиль с именем <name>.

`security web-control> profile=['name']> rename <name>`

Задать для данного профиля новое имя <name>.

`security web-control> profile=['name']> description <description>`

Задать описание для профиля. Пробелы не поддерживаются.

`security web-control> profile=['name']> default-action (allow|block-stub|continue-stub)`

Задать действие по умолчанию для профиля: разрешать (allow), показывать блокирующую страницу (block-stub) или показывать предупреждающую страницу (continue-stub).

`security web-control> profile=['name']> [no] default-logging`

Разрешить (или запретить, если no) запись в журнал по умолчанию для профиля.

`security web-control> profile=['name']> url (both|ksn|local|none)`

Задать режим для проверки URL для профиля.

`security web-control> profile=['name']> predefined-category <name>`

Задать предопределенную категорию из списка для профиля. Пробелы не поддерживаются.

`security web-control> profile=['name']> predefined-category=['name']> action (allow|block-stub|continue-stub)`

Задать действие для предопределенной категории: разрешать (allow), показывать блокирующую страницу (block-stub) или показывать предупреждающую страницу (continue-stub).

`security web-control> profile=['name']> predefined-category=['name']> [no] logging>`

Разрешить (или запретить, если no) запись в журнал для предопределенной категории.

`security web-control> profile=['name']> custom-category <name>`

Задать пользовательскую категорию из списка веб-категорий для профиля. Пробелы не поддерживаются.

`security web-control> profile=['name']> custom-category=['name']> action (allow|block-stub|continue-stub)`

Задать действие для пользовательской категории: разрешать (allow), показывать блокирующую страницу (block-stub) или показывать предупреждающую страницу (continue-stub).

`security web-control> profile=['name']> custom-category=['name']> [no] logging`

Разрешить (или запретить, если no) запись в журнал для пользовательской категории.

`security web-control> profile=['name']> trusted-urls-category <name>`

Задать доверенную категорию из списка веб-категорий для профиля. Пробелы не поддерживаются.

`security web-control> profile=['name']> trusted-urls <URL>`

Задать доверенный URL для профиля. Пробелы не поддерживаются.

`security web-control> profile=['name']> [no] logging-trusted`

Включить (или выключить, если no) отправку событий об исключениях при попадании URL в доверенные.

`security web-control> profile=['name']> clone <new-profile-name>`

Создать копию профиля name под именем new-profile-name.

`show security (antivirus|dns|idps|web-control) status`

Показать информацию о состоянии использования Антивируса|Защиты DNS-трафика|IDPS|Веб-контроля.

Пример вывода:

ngfw> show security antivirus status
{
  "ngfw-antivirus:antivirus": {
    "state": true,
    "enable": true,
    "enable-mail": true,
    "profile": [
      {
        "id": "00000000-0000-4000-0000-000000000001",
        "name": "default",
        "use-hash-checker": true,
        "use-mail-checker": true,
        "use-web-checker": false,
        "use-kata": false,
        "use-file-reputation": false,
        "use-url-reputation": false,
        "use-file-name-filter": false,
        "use-mime-type-filter": false,
        "ksn-check-url-adware": false,
        "ksn-check-url-other": false,
        "use-block-partial-content": false,
        "action": "block-stub",
        "action-imap": "block",
        "action-pop3": "block",
        "action-smtp": "block",
        "logging": true,
        "description": "Default profile",
        "logging-trusted": true,
        "logging-kata-scan-events": true,
        "protocols": {
          "use-http": true,
          "use-imap": true,
          "use-pop3": true,
          "use-smtp": true,
          "use-ftp": false,
          "use-websocket": false
        },
        "web-checker-settings": {
          "max-file-size": 10485760
        },
        "kata-file-filter": {
          "only-suspicious": false
        }
      }
    ]
  }
}

`show security (antivirus|dns|idps|web-control) settings`

Показать информацию обо всех профилях Антивируса|Защиты DNS-трафика|IDPS|Веб-контроля. Информация о профилях берется из оперативного хранилища данных, то есть несохраненные изменения не отобразятся.

Пример вывода:

ngfw> show security antivirus settings

 Profile            Description        use-url-reputation    use-web-checker    check-url-malware    check-url-phishing    ksn-check-url-adware    ksn-check-url-malware    ksn-check-url-other    ksn-check-url-phishing    http-action
 -----------------  -----------------  --------------------  -----------------  -------------------  --------------------  ----------------------  -----------------------  ---------------------  ------------------------  -------------
  default                               false                 false              false                false                 false                   false                    false                  false                     block-stub
 -----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

ngfw> show security dns settings

 Profile            Description        check-malware    check-phishing    action
 -----------------  -----------------  ---------------  ----------------  ------------
  default                               true             true              block
 -------------------------------------------------------------------------------------

ngfw> show security idps settings

 Profile            Description        action
 -----------------  -----------------  ------------
  default                               reset-both
 --------------------------------------------------

ngfw> show security web-control settings

 Profile            Description        Default-action        default-log-enable   Url                  Content               Predefined      Custom      Trusted
 -----------------  -----------------  --------------------  -------------------  -------------------  --------------------  --------------  ----------  -----------
  default                               block-stub            true                local                none                  88              0           0
 -------------------------------------------------------------------------------------------------------------------------------------------------------------------

`show security (antivirus|dns|idps|web-control) profile <name>`

Показать информацию о профиле Антивируса|Защиты DNS-трафика|IDPS|Веб-контроля с именем <name>. Информация о профилях берется из оперативного хранилища данных, то есть несохраненные изменения не отобразятся.

`show security urls-groups`

Показать информацию обо всех веб-категориях.

Пример вывода:

ngfw> show security urls-groups

 Name               Description        Urls
 -----------------  -----------------  -----------------
  test                                  test.com
 -------------------------------------------------------

`show security web-control predefined-categories`

Показать имена всех предустановленных категорий.

Пример вывода:

ngfw> show security web-control predefined-categories

       Categories
 ----  -------------------------------------
 1     adult
 .................................
 88    forbidden-by-regional-laws
 -------------------------------------------

`security-group-profiles`

Перейти в подменю настройки группового профиля.

`security-group-profiles> profile <name>`

Перейти в подменю настройки профиля с именем <name>.

`security-group-profiles> (no profile <name>|no security-group-profiles profile <name>)`

Удалить профиль с именем <name>.

`security-group-profiles> profile=['name']> description <description>`

Задать описание для профиля. Пробелы не поддерживаются.

`security-group-profiles> profile=['name']> rename <name>`

Задать для данного профиля новое имя <name>.

`security-group-profiles> profile=['name']> av-profile <name>`

Задать профиль Антивируса из списка для профиля. Пробелы не поддерживаются.

`security-group-profiles> profile=['name']> no av-profile`

Убрать профиль Антивируса из списка для профиля. Пробелы не поддерживаются.

`security-group-profiles> profile=['name']> dns-profile <name>`

Задать профиль Защиты DNS-трафика из списка для профиля. Пробелы не поддерживаются.

`security-group-profiles> profile=['name']> no dns-profile`

Убрать профиль Защиты DNS-трафика из списка для профиля. Пробелы не поддерживаются.

`security-group-profiles> profile=['name']> idps-profile <name>`

Задать профиль IDPS из списка для профиля. Пробелы не поддерживаются.

`security-group-profiles> profile=['name']> no idps-profile`

Убрать профиль IDPS из списка для профиля. Пробелы не поддерживаются.

`security-group-profiles> profile=['name']> wc-profile <name>`

Задать профиль Веб-Контроля из списка для профиля. Пробелы не поддерживаются.

`security-group-profiles> profile=['name']> no wc-profile`

Убрать профиль Веб-Контроля из списка для профиля. Пробелы не поддерживаются.

`security-group-profiles> profile=['name']> clone <new-profile-name>`

Создать копию профиля name под именем new-profile-name.

`show security-group-profiles settings`

Показать информацию обо всех групповых профилях.

`show security-group-profiles profile <name>`

Показать информацию о групповом профиле с именем <name>.

Пример вывода:

{
  "ngfw-security-group-profiles:security-group-profiles": {
    "profile": [
      {
        "id": "00000000-0000-4000-0000-000000000001",
        "name": "default",
        "av-profile": "00000000-0000-4000-0000-000000000001",
        "dns-profile": "00000000-0000-4000-0000-000000000001",
        "ids-profile": "00000000-0000-4000-0000-000000000001",
        "wc-profile": "00000000-0000-4000-0000-000000000001",
        "description": "Default profile"
      }
    ]
  }
}

| Prev | Home | Next |