Les politiques de prévention des intrusions sont des ensembles définis de configurations de détection et de prévention des intrusions qui inspectent le trafic à la recherche de violations de la sécurité et qui, dans les déploiements en ligne, peuvent bloquer ou modifier le trafic malveillant. Les politiques de prévention des intrusions sont invoquées par votre politique de contrôle d'accès et constituent la dernière ligne de défense du système avant que le trafic ne soit autorisé à atteindre sa destination.

Les règles de prévention des intrusions sont au cœur de chaque politique de prévention des intrusions. Une règle activée oblige le système à générer des incidents d'intrusion pour le trafic correspondant à la règle (et au bloquer éventuellement). La désactivation d’une règle arrête le traitement de la règle.

Le système fournit plusieurs politiques de base de prévention des intrusions qui vous permettent de profiter de l’expérience des Talos Intelligence Group. Pour ces politiques, Talos définit les états des règles de prévention des intrusions et de préprocesseur (activé ou désactivé) et fournit les configurations initiales pour d’autres paramètres avancés.

Astuces

Les politiques d’analyse de prévention des intrusions et de réseau fournies par le système portent le même nom, mais contiennent des configurations différentes. Par exemple, la politique d’analyse de réseau équilibrée, sécurité et connectivité, et la politique de prévention des intrusions, sécurité et connectivité équilibrées fonctionnent ensemble et peuvent toutes deux être mises à jour dans les mises à jour des règles de prévention des intrusions. Cependant, la politique d’analyse de réseau régit principalement les options de prétraitement, alors que la politique de prévention de prévention des intrusions régit principalement les règles de prévention des intrusions.

Si vous créez une politique de prévention des intrusions personnalisée, vous pouvez :

• Optimiser la détection en activant et en désactivant les règles, ainsi qu’en écrivant et en ajoutant vos propres règles.

• Utiliser les recommandations de Cisco pour associer les systèmes d’exploitation, les serveurs et les protocoles d’applications clientes détectés sur votre réseau à des règles spécifiquement écrites pour protéger ces ressources.

• Configurer divers paramètres avancés tels que les alertes externes, le prétraitement des données sensibles et le seuillage des règles globales.

• Utiliser les couches comme composantes de base pour gérer efficacement plusieurs politiques de prévention des intrusions.

Dans un déploiement en ligne, une politique de prévention des intrusions peut bloquer et modifier le trafic :

• Les règles de suppression peuvent abandonner les paquets correspondants et générer des incidents d'intrusion. Pour configurer une règle de suppression de prévention des intrusions ou de préprocesseur, définissez son état sur Drop (Abandonner) et Generate Events (générer des événements).

• Les règles de prévention des intrusions peuvent utiliser le mot-clé replace pour remplacer du contenu malveillant.

Pour que les règles de prévention des intrusions affectent le trafic, vous devez configurer correctement les règles de suppression et les règles qui remplacent le contenu, et vous devez également déployer correctement les périphériques gérés en ligne, c’est-à-dire avec des ensembles d’interfaces intégrés. Enfin, vous devez activer le comportement de suppression de la politique de prévention des intrusions, ou le paramètre Abandon lorsque en ligne.

Lorsque vous adaptez votre politique de prévention des intrusions, en particulier lors de l’activation et de l’ajout de règles, gardez à l’esprit que certaines règles de prévention des intrusions exigent que le trafic soit d’abord décodé ou prétraité d’une certaine manière. Avant qu’une politique de prévention des intrusions n’examine un paquet, le paquet est prétraité selon les configurations d’une politique d’analyse de réseau. Si vous désactivez un préprocesseur requis, le système l’utilise automatiquement avec ses paramètres actuels, bien que le préprocesseur reste désactivé dans l’interface Web de la politique d’analyse de réseau.

Mise en garde

Le prétraitement et l’inspection de prévention des intrusions sont si étroitement liés que les politiques d’analyse de réseau et de prévention des intrusions examinant un seul paquet doivent se compléter mutuellement. La personnalisation du prétraitement, en particulier de l’utilisation de plusieurs politiques d’analyse de réseau personnalisées, est une tâche avancée.

Après avoir configuré une politique de prévention des intrusions personnalisée, vous pouvez l’utiliser dans le cadre de votre configuration de contrôle d’accès en associant la politique de prévention des intrusions à une ou plusieurs règles de contrôle d’accès ou à une action par défaut d’une politique de contrôle d’accès. Cela oblige le système à utiliser la politique de prévention des intrusions pour examiner une partie du trafic autorisé avant que le trafic n’atteigne sa destination finale. Un ensemble de variables que vous associez à la politique de prévention des intrusions vous permet de refléter avec précision votre réseau domestique et externe et, le cas échéant, les serveurs de votre réseau.

Notez que par défaut, le système désactive l’inspection des intrusions des charges utiles chiffrées. Cela permet de réduire les faux positifs et d’améliorer les performances lorsqu’une connexion chiffrée correspond à une règle de contrôle d’accès pour laquelle l’inspection des intrusions est configurée.

Une politique de contrôle d’accès peut avoir plusieurs règles de contrôle d’accès associées à des politiques de prévention des intrusions. Vous pouvez configurer l’inspection de prévention des intrusions pour toute règle de contrôle d’accès Allow (autorisation) ou Interactive Block (blocage interactif), ce qui vous permet de faire correspondre différents profils d’inspection des intrusions avec différents types de trafic sur votre réseau avant qu’il n’atteigne sa destination finale.

Chaque fois que le système utilise une politique de prévention des intrusions pour évaluer le trafic, il utilise un ensemble de variables associé. La plupart des variables d'un ensemble représentent des valeurs couramment utilisées dans les règles de prévention des intrusions pour identifier les adresses IP et les ports source et destination. Vous pouvez également utiliser des variables dans les politiques de prévention des intrusions pour représenter les adresses IP dans les états de suppressions de règles et de règles dynamiques.

Astuces

Même si vous utilisez les politiques de prévention des intrusions fournies par le système, Cisco vous recommande fortement de configurer les variables du système relatives aux intrusions pour refléter avec exactitude votre environnement réseau. Au minimum, modifiez les variables par défaut dans l'ensemble par défaut.