Technologia ASQ (Active Security Qualification) bazuje na tzw. kontekstowej analizie ruchu przechodzącego przez urządzenie, która dokonywana jest bezpośrednio w jądrze systemu operacyjnego (kernel mode) a nie jak to jest w przypadku innych urządzeń UTM w trybie proxy (proxy mode). Możliwość prowadzenia analizy w trybie kernel mode pozwala osiągnąć niespotykaną w innych urządzeniach UTM szybkość działania, niezależną od liczby uruchomionych serwisów czy zdefiniowanych w danym momencie reguł.   

Analizie w poszukiwaniu zagrożeń i ataków poddawany jest cały ruch sieciowy od trzeciej  do siódmej warstwy modelu OSI. Stosowane są trzy podstawowe metody: analiza protokołów, analiza heurystyczna oraz sygnatury kontekstowe.

Podczas analizy protokołów kontrolowana jest zgodność ruchu sieciowego przechodzącego przez urządzanie ze standardami RFC. Tylko ruch zgodny z tym standardem może zostać przepuszczony. Kontroli poddawane są nie tylko poszczególne pakiety ale także połączenia i sesje. W ramach technologii ASQ dla poszczególnych typów ruchu sieciowego warstwy aplikacji opracowane zostały specjalne plug-iny (wtyczki programowe) pracujące w trybie kernel-mode. Po wykryciu określonego typu ruchu (np. HTTP, FTP, SMTP, TELNET itp.) automatycznie uruchamiany jest odpowiedni plug-in, który specjalizuje się w ochronie danego protokołu. Tym samym, rodzaj stosowanych zabezpieczeń jest w sposób dynamiczny dostosowywany do rodzaju przepływającego ruchu.

W analizie heurystycznej podstawę stanowi statystyka oraz analiza zachowań. Na podstawie dotychczasowego ruchu i pewnych założeń dotyczących możliwych zmian określa się czy dany ruch jest uznawany za dopuszczalne odchylenie od normy czy też powinien już zostać uznany za atak.

Ostatni z elementów, to systematycznie aktualizowane sygnatury kontekstowe. Pozwalają na wykrycie znanych już ataków, które zostały sklasyfikowane i dla których zostały opracowane odpowiednie sygnatury. W tym przypadku zasadnicze znaczenie ma kontekst w jakim zostały wykryte pakiety charakterystyczne dla określonego ataku - tzn. rodzaj połączenia, protokół, port. Wystąpienie sygnatury ataku w niewłaściwym dla tego ataku kontekście nie powoduje reakcji systemu IPS. Dzięki temu zastosowanie sygnatur kontekstowych pozwala na znaczne zwiększenie skuteczności wykrywania ataków przy jednoczesnym ograniczeniu niemal do zera ilości fałszywych alarmów.

NETASQ jest urządzeniem integrującym w jednej obudowie wszystkie elementy niezbędne do kompletnego zabezpieczenia i monitorowania sieci lokalnej.Podstawowe funkcje każdego urządzenia NETASQ to:

• Stateful Inspection Firewall

UTM NETASQ wyposażony jest w wysokiej klasy stateful inspection firewall. Dzięki intuicyjnej konsoli konfiguracyjnej oraz analizatorowi reguł, który pozwala na wychwycenie ewentualnych błędów i sprzeczności, definiowanie reguł jest zadaniem stosunkowo prostym.
Administrator ma możliwość zdefiniowania wielu różnych zestawów reguł określających jaki ruch powinien być przez firewall przepuszczany a jaki blokowany, które obowiązują w różnych przedziałach czasowych. Pozwala także na ustalenie innych zasad filtrowania ruchu w godzinach pracy, innych w godzinach popołudniowych a jeszcze innych w dni wolne od pracy.

• Intrusion Prevention System

Intrusion Prevention System (IPS) - system wykrywania i blokowania włamań

System Intrusion Prevention w urządzeniach NETASQ wykorzystuje unikalną, stworzoną w laboratoriach firmy NETASQ technologię wykrywania i blokowania ataków ASQ (Active Security Qualification). Analizie w poszukiwaniu zagrożeń i ataków poddawany jest cały ruch sieciowy od trzeciej (Network Layer) do siódmej (Application Layer) warstwy modelu OSI. Stosowane są trzy podstawowe metody: analiza protokołów, analiza heurystyczna oraz sygnatury kontekstowe.

Analiza protokołów

Podczas analizy protokołów kontrolowana jest zgodność ruchu sieciowego przechodzącego przez urządzanie ze standardami RFC. Tylko ruch zgodny z tym standardem może zostać przepuszczony. Kontroli poddawane są nie tylko poszczególne pakiety ale także połączenia i sesje. W ramach technologii ASQ dla poszczególnych typów ruchu sieciowego warstwy aplikacji opracowane zostały specjalne plug-iny (wtyczki programowe) pracujące w trybie kernel-mode. Po wykryciu określonego typu ruchu (np. HTTP, FTP, SMTP, TELNET itp.) automatycznie uruchamiany jest odpowiedni plug-in, który specjalizuje się w ochronie danego protokołu. Tym samym, rodzaj stosowanych zabezpieczeń jest w sposób dynamiczny dostosowywany do rodzaju przepływającego ruchu.

Analiza heurystyczna

W analizie heurystycznej podstawę stanowi statystyka oraz analiza zachowań. Na podstawie dotychczasowego ruchu i pewnych założeń dotyczących możliwych zmian określa się czy dany ruch jest uznawany za dopuszczalne odchylenie od normy czy też powinien już zostać uznany za atak.

Ostatni z elementów, to systematycznie aktualizowane sygnatury kontekstowe. Pozwalają na wykrycie znanych już ataków, które zostały sklasyfikowane i dla których zostały opracowane odpowiednie sygnatury. W tym przypadku zasadnicze znaczenie ma kontekst w jakim zostały wykryte pakiety charakterystyczne dla określonego ataku - tzn. rodzaj połączenia, protokół, port. Wystąpienie sygnatury ataku w niewłaściwym dla tego ataku kontekście nie powoduje reakcji systemu IPS. Dzięki temu zastosowanie sygnatur kontekstowych pozwala na znaczne zwiększenie skuteczności wykrywania ataków przy jednoczesnym ograniczeniu niemal do zera ilości fałszywych alarmów.

• SEISMO

SEISMO - skaner wnętrza sieci

Wraz z aktualizacją firmwareu w swoich urządzeniach UTM, firma NETASQ udostępniła SEISMO - moduł skanujący wnętrze sieci w poszukiwaniu jej słabych punktów i potencjalnych zagrożeń. Tym samym firma NETASQ jest pierwszym i jedynym producentem urządzeń UTM, którego rozwiązania oferują kombinację systemu Intrusion Prevention ze skanerem wykrywającym zagrożenia wewnątrz sieci.

Moduł SEISMO umożliwia administratorowi wykrywanie słabych punktów sieci firmowej poprzez wyszukiwanie nieaktualnych wersji oprogramowania na stacjach roboczych i wykrywania niedozwolonego typu ruchu wewnątrz sieci. W przypadku zidentyfikowania nieprawidłowości SEISMO automatycznie informuje o nich administratora, wskazuje zagrożone stacje oraz sugeruje administratorowi źródła, z których może on pobrać odpowiednie poprawki.

• Virtual Private Networks (IPSec , SSL, PPTP)

Virtual Private Networks (VPN) - wirtualne sieci prywatne

Urządzenie posiada wbudowany serwer VPN, który pozwala na tworzenie bezpiecznych połączeń, tzw. kanałów VPN. Kanały VPN mogą być tworzone pomiędzy użytkownikami pracującymi w terenie (tzw. zdalnymi użytkownikami) a siedzibą firmy (połączenia client-to-site) lub pomiędzy centralą a oddziałami firmy (połączenia site-to-site).

Kanały VPN budowane są w oparciu o protokół IPSec, SSL lub PPTP. Mogą być szyfrowane z wykorzystaniem algorytmów DES, 3DES lub AES.

Dostępność kanałów VPN w czasie może być ściśle nadzorowana - administrator systemu decyduje w jakie dni i w jakich godzinach jest możliwe otwarcie danego kanału VPN.

Urządzenia NETASQ zostały wyposażone w sprzętową akcelerację ASIC (Application Specific Integrated Circuit), która odpowiada za szyfrowanie tuneli IPSec znacznie poprawiając ich przepustowość.

• Autoryzacja użytkowników (LDAP, AD)

Każde urządzenie posiada wewnętrzną bazę LDAP (Lightweight Directory Access Protocol), która może być wykorzystana do przechowywania danych użytkowników niezbędnych podczas autentykacji (nazwa użytkownika, hasło, certyfikat itp.).

Możliwe jest także użycie zewnętrznej bazy LDAP co jest szczególnie użyteczne, gdy ta sama grupa użytkowników ma mieć możliwość dostępu do kilku urządzeń. NETASQ UTM współpracuje również z innymi bazami jak RADIUS, Kerberos, Active Directory czy NTLM Server. Na każdym urządzeniu można stworzyć własną bazę użytkowników.

Dzięki autoryzacji użytkowników możliwość zalogowania się do systemu może zostać ograniczona do określonych dni lub/i godzin. W zaleznosci od tego kto zaloguje sie na danym komputerze zawsze będzie miał swoje uprawnienia.

• Ochrona antywirusowa

NETASQ posiada wbudowany system ochrony antywirusowej ClamAV. Na obecność wirusów sprawdzana jest cała poczta przychodząca i wychodząca (protokoły POP3 oraz SMTP). Wiadomości zawierające wirusy są automatycznie usuwane a o zdarzeniu powiadamiany jest odbiorca poczty. Na obecność wirusów sprawdzane są też wszystkie odwiedzane przez użytkowników strony internetowe, zbiory pobierane z Internetu (ruch HTTP) oraz dane przesyłane przez FTP.

Dodatkowo, jako opcja, dostępny jest skaner antywirusowy Kaspersky AV. Filtr ochrony antywirusowej może pracować w trybie proxy mode lub bridge mode. W przypadku zastosowania trybu bridge mode ochrona antywirusowa jest "przezroczysta" dla ruchu sieciowego i nie wymaga żadnych zmian w konfiguracji sieci.

• Ochrona przed spamem

Urządzenia NETASQ mają mozliwość blokowania lub oznaczania wiadomości spamowych  dzięki czemu stanowiąz pierwszą linię ochrony przez niechciana pocztą.

NETASQ przy wykrywaniu spamu wykorzystują technologię heurystyczną w skład której wchodzi 7 podstawowych metod analizy:
- analiza z wykorzystaniem reguł empirycznych,
- analiza semantyczna,
- reguły reakcji zwrotnej (counter-reaction),
- analiza kodu HTML,
- analiza zestawów znaków,
- wykrywanie scamu
- analiza raportów o braku możliwości dostarczenia poczty (delivery failure notification).

Ochrona przed spamem zapewniana jest również poprzez wbudowany w urządzenie system DNS Blacklisting znany także jako RBL (Real Time Blackhole). System ten umożliwia blokowanie spamu bezpośrednio u zródła dzięki na stale aktualizowanej liście serwerów rozsyłających spam.

Administrator może tworzyć własne białe i czarne listy domen.

• Filtrowanie URL

Filtr URL - blokowanie użytkownikom dostępu do wybranych stron internetowych

Każde urządzenie wyposażone jest we własny, stale aktualizowany moduł filtrowania stron internetowych. Administrator może w każdej chwili uzupełnić listę stron, które powinny być dostępne lub niedostępne dla użytkowników.

Filtr URL może być ustawiany dla wszystkich lub wybranych grup użytkowników definiowanych przez administratora. Dodatkowo określone filtry mogą działać tylko w wyznaczonych godzinach, dzięki czemu użytkownicy mogą np. w godzinach popołudniowych mieć zapewniony szerszy dostęp do Internetu niż w czasie godzin pracy.

Filtr dostarczany przez firmę NETASQ zawiera w standardzie najbardziej popularne polskie strony odwiedzane przez użytkowników.

Jako opcja dostępny jest filtr URL firmy OPTENET (dla modeli wyposażonych w twardy dysk). Istnieje możliwość przekierowania ruchu do skanowania na zewnętrzym serwerze URL takim jak X-Stop lub WebSense.