Palo Alto Networks PA-5060 - Exclusive Networks

PA – 5060 – Documentación para la preventaPágina 45 de 100Prevención de amenazas (IPS)Es importante señalar, antes de avanzar más en eldetalle de las capacidades de prevención deataques, que todos los equipos de PAN se basan enla utilización de App-ID, como tecnología base. Tal ycomo se mencionó con anterioridad, App-ID utilizaun mecanismo de lógica positiva en la identificación de las aplicaciones (nivel 7). Estosignifica que antes siquiera de comenzar a buscar posibles amenazas, el equipodetermina si la aplicación que está circulando por la red se corresponde realmente conaquella que los administradores de seguridad han habilitado en sus políticas. Laidentificación es posible realizarla incluso aunque el tráfico vaya cifrado bajo SSL. Si laaplicación detectada no es acorde a la política de seguridad configurada, esa sesiónsimplemente se elimina sin darle opción a que progrese y pueda incluir algunaamenaza.Gracias a la utilización de esta tecnología de base, es posible eliminar multitud deamenazas basadas en la ofuscación o tunelización de unas aplicaciones sobre otras,además de que también permite reducir drásticamente los falsos positivos.La tecnología clave que permite a Content-ID identificar y bloquear con mayor certezalos ataques, es el decodificador de aplicación (ver punto anterior, sobre App-ID, paraencontrar más información al respecto). Content-ID toma streams de los datos de lasaplicaciones, que ya han sido analizados y reensamblados por el decodificador, parainspeccionarlos en busca de amenazas.Además, en vez de utilizar un subconjunto independiente de motores de análisis yfirmas para cada tipo de amenaza, Content-ID emplea un motor de firmas uniformes,lo que le permite detectar y bloquear en una única pasada diversos tipos de malware(exploits, viruses, spyware, …). Esta capacidad es crítica para garantizar un rendimientomuy alto a la par que una latencia mínima.En lo referente a las amenazas contra las aplicaciones, la prevención se consigue através de un conjunto de medidas de tipo IPS (Intrusion Prevention System). Los tiposde ataques generales, que es posible detectar se listan a continuación: Exploits contra vulnerabilidades de red Exploits contra vulnerabilidades de aplicación Ataques de denegación de servicio (DoS y DDoS)