Система обнаружения и предотвращения вторжений (IDS/IPS)

Что такое IDS/IPS?

IDS (Intrusion Detection System) — система обнаружения вторжений, которая анализирует сетевой трафик и предупреждает об угрозах.

IPS (Intrusion Prevention System) — система предотвращения вторжений, которая не только обнаруживает, но и автоматически блокирует вредоносный трафик.

Принцип работы

UniFi использует движок Suricata — один из самых мощных open-source решений для анализа трафика:

Включение IDS/IPS

Базовая настройка

1. Откройте Settings → Security → Threat Management
2. Включите Intrusion Detection System
3. Выберите режим работы:
   • Detection Only — только обнаружение (IDS)
   • Detection and Prevention — обнаружение и блокировка (IPS)
4. Нажмите Apply Changes

Производительность с IDS/IPS

Уровни чувствительности

UniFi предлагает несколько предустановленных уровней, определяющих какие категории угроз отслеживаются:

Категории угроз

При выборе уровня Custom вы можете включить/отключить конкретные категории:

Защита внутренних сетей

По умолчанию IDS/IPS проверяет только трафик между интернетом и локальной сетью. Вы можете включить проверку трафика между VLAN:

1. Перейдите в Settings → Security → Threat Management
2. Прокрутите до секции Internal Honeypot
3. Включите Restrict Access to Internal Addresses
4. Выберите сети, между которыми проверять трафик

Управление исключениями

Если IDS/IPS блокирует легитимный трафик, вы можете создать исключение:

Исключение по сигнатуре

1. Перейдите в Security → Threat Management → Threats
2. Найдите нужное событие в списке
3. Нажмите на событие для просмотра деталей
4. Нажмите Suppress (Подавить)
5. Выберите область действия:
   • Everywhere — везде
   • By Source — для конкретного источника
   • By Destination — для конкретного назначения

Исключение по IP-адресу

1. Перейдите в Settings → Security → Threat Management
2. Найдите секцию Suppression
3. Нажмите Add Entry
4. Введите IP-адрес или подсеть
5. Выберите направление (Source/Destination/Both)

Просмотр событий безопасности

Dashboard

На главной странице Network отображается виджет Security с количеством угроз за последние 24 часа.

Детальный просмотр

1. Перейдите в Security → Threat Management → Threats
2. Используйте фильтры:
   • Severity — уровень серьёзности
   • Category — категория угрозы
   • Action — предпринятое действие (Alert/Block)
   • Time Range — временной период
3. Нажмите на событие для просмотра деталей:
   • Название сигнатуры
   • Источник и назначение
   • Время и частота
   • CVE (если применимо)

Геоблокировка (GeoIP Filtering)

Блокировка трафика из определённых стран — дополнительный уровень защиты:

1. Перейдите в Settings → Security → Traffic & Firewall Rules
2. Переключитесь на вкладку Traffic Rules
3. Нажмите Create New Rule
4. Настройте правило:
   • Action: Block
   • Category: Regional
   • Region: выберите страны для блокировки
   • Schedule: Always
5. Нажмите Add Rule

Internal Honeypot

Honeypot (приманка) — это ловушка для обнаружения злоумышленников внутри сети:

Как работает

• Система создаёт виртуальные IP-адреса в ваших сетях
• Легитимные устройства никогда не обращаются к этим адресам
• Любое обращение к honeypot — признак сканирования или заражения
• Система немедленно уведомляет о подозрительной активности

Включение

1. Перейдите в Settings → Security → Threat Management
2. Найдите секцию Internal Honeypot
3. Включите Enable Internal Honeypot
4. Выберите сети для размещения приманок

Рекомендации по настройке

Для домашней сети

• Режим: Detection and Prevention
• Уровень: Default
• GeoIP: блокировка регионов с высоким уровнем угроз (по желанию)
• Internal Honeypot: не обязательно

Для малого бизнеса

• Режим: Detection and Prevention
• Уровень: Default или Aggressive
• GeoIP: блокировка нежелательных регионов
• Internal Honeypot: рекомендуется
• Регулярный просмотр журнала угроз

Для enterprise

• Режим: Detection and Prevention
• Уровень: Custom с тонкой настройкой
• GeoIP: строгая политика
• Internal Honeypot: обязательно
• Проверка внутреннего трафика между критичными VLAN
• Интеграция с SIEM (через syslog)

Устранение проблем

Ложные срабатывания

Если блокируется легитимный трафик:

• Проверьте журнал в Threats
• Определите сигнатуру, вызывающую блокировку
• Создайте исключение для конкретной сигнатуры или IP
• Рассмотрите понижение уровня чувствительности

Снижение скорости

Если скорость интернета упала после включения IDS/IPS:

• Проверьте загрузку CPU на шлюзе
• Понизьте уровень чувствительности
• Отключите проверку внутреннего трафика
• Рассмотрите более мощное устройство

Сигнатуры не обновляются

• Проверьте интернет-соединение шлюза
• Убедитесь, что время на устройстве корректное
• Перезагрузите шлюз