Mustersatzoptimierung
Dateibezogene Muster aktivieren: Muster gegen dateibasierte Angriffe sind standardmäßig deaktiviert, da der Schutz vor solchen Bedrohungen üblicherweise von der Antivirus-Engine übernommen wird. Die Standardeinstellung (deaktiviert) maximiert die Leistung, bei aktivierter Option wird die Erkennungsrate maximiert. Die Aktivierung dateibezogener Muster kann sinnvoll sein, wenn kein anderer Virenschutz verfügbar ist, da z. B. Web Protection ausgeschaltet oder kein Client-Antiviren-Programm installiert ist.
Manuelle Regelmodifizierung
In diesem Bereich können Sie IPS-Regeln manuell modifizieren. Dabei wird die Standardrichtlinie, die aus den Gruppen unter Angriffsmuster stammt, für die jeweilige Regel überschrieben. Solche Änderungen sollten nur erfahrene Benutzer vornehmen.
Um eine modifizierte IPS-Regel anzulegen, gehen Sie folgendermaßen vor:
-
Klicken Sie im Feld Geänderte Regeln auf das Plussymbol.
Das Dialogfenster Regel ändern wird geöffnet.
-
Nehmen Sie die folgenden Einstellungen vor:
Regel-ID: Geben Sie die ID der Regel ein, die Sie ändern wollen. Die Regel-IDs finden Sie in der IPS-Regelliste auf dem Sophos-Webserver. (In dem Ordner finden Sie Dateien mit IPS-rules im Dateinamen, verfügbar für verschiedene UTM- und Musterversionen, sowohl im HTML- als auch im XML-Format.) Die IDs können außerdem auch mit Hilfe des IPS-Protokolls oder des IPS-Berichts identifiziert werden.
Diese Regel deaktivieren: Wenn Sie diese Option wählen, wird die IPS-Regel mit der entsprechenden ID ausgeschaltet.
Wenn Sie diese Option nicht auswählen, stehen die folgenden zwei Optionen zur Verfügung:
- Benachrichtigungen ausschalten: Wenn Sie diese Option wählen, werden keine Benachrichtigungen versendet, wenn diese Regel angewendet wird.
-
Aktion: Hierbei handelt es sich um die Aktionen, die ausgeführt werden, wenn eine Regel zutrifft. Sie können zwischen den folgenden Aktionen wählen:
- Verwerfen: Wenn ein vermeintlicher Angriff festgestellt wird, werden die betroffenen Datenpakete verworfen.
- Warnen: Im Gegensatz zu Verwerfen wird das kritische Datenpaket durch das Gateway gelassen, aber es wird eine Warnmeldung in das IPS-Protokoll geschrieben.
-
Klicken Sie auf Speichern.
Die Regel wird im Feld Geänderte Regeln angezeigt. Bitte beachten Sie, dass Sie außerdem unten auf der Seite auf Übernehmen klicken müssen, damit die Änderungen wirksam werden.
Hinweis – Wenn Sie eine Regel-ID zum Feld Geänderte Regeln hinzufügen und die Aktion zum Beispiel auf Warnung setzen, wird die Änderung nur dann wirksam, wenn die Gruppe, zu der diese Regel gehört, auf der Registerkarte Angriffsmuster aktiv ist. Sollte diese Angriffsmustergruppe deaktiviert sein, haben Änderungen an einzelnen Regeln keine Auswirkung.
Leistungssteigerung
Um die Leistung des Angriffsschutzsystems zu verbessern und die Anzahl falscher Alarme zu minimieren, können Sie hier den Bereich der IPS-Regeln auf einzelne Ihrer internen Server begrenzen. Beispiel: Auf der Registerkarte Angriffsmuster ist die Gruppe HTTP-Server eingeschaltet und hier ist ein bestimmter HTTP-Server eingestellt. Wenn nun das Angriffsschutzsystem einen Angriff auf einen HTTP-Server feststellt, dann wird die eingestellte Aktion (Verwerfen oder Warnung) nur ausgeführt, wenn die IP-Adresse des betroffenen Servers mit der IP-Adresse des hier eingestellten HTTP-Servers übereinstimmt.
Der Einsatzbereich der IPS-Regeln kann für die folgenden Servertypen begrenzt werden:
- HTTP: Alle Untergruppen in der Angriffsmustergruppe HTTP-Server
- DNS: Die Angriffsmustergruppe DNS
- SMTP: Die Angriffsmustergruppen Exchange und Sendmail
- SQL: Alle Untergruppen in der Angriffsmustergruppe SQL Server