Использование средства обнаружения вторжений

Помимо функции брандмауэра, pfSense имеет модули, предназначенные для обнаружения сетевых аномалий. Самое распространённое из свободно доступных – SNORT. Его можно установить как модуль, через меню администрирования. (Рис. 19-21)
Рассмотрим управление модулем. SNORT – довольно сложная система, и полноценная её настойка выйдет за рамки данной работы, однако общую информацию о ней получить можно. В меню интерфейсов можно добавить сетевые интерфейсы, на которых будет работать программа. (Рис. 22)
Для интерфейса, помимо включения мониторинга, доступно определение поведения при обнаружении угроз: информирование в журнал, и автоматическая блокировка

. При этом можно блокировать адрес получателя, адрес отправителя и оба адреса. (Рис. 23)
Для максимальной защиты можно активировать программу на обеих интерфейсах. Но при этом, используя автоматическую блокировку, нужно быть очень аккуратным – легко можно нарушить работу всей сети. (Рис. 24)
Для оценки наличия аномалий в сетевом трафике SNORT использует правила, которые по сути напоминают антивирусные базы: содержат описания (сигнатуры) аномалий. Можно использовать бесплатные наборы фильтров, можно – подписаться на коммерческие рассылки