6. Fortinet Първи стъпки v6.0. Уеб филтриране и контрол на приложенията

Поздравления! Добре дошли в шестия урок от курса Fortinet Първи стъпки, за последен урок усвоихме основите на работа с NAT технологията FortiGate, а също така пусна нашия тестов потребител в Интернет. Сега е време да се погрижим за безопасността на потребителя в неговите открити пространства. В този урок ще разгледаме следните профили за сигурност: Уеб филтриране, Контрол на приложения и HTTPS инспекция.

За да започнем с профилите за сигурност, трябва да разберем още нещо - режимите на проверка.

По подразбиране е базиран на поток режим. Той проверява файловете, докато преминават през FortiGate без буфериране. След като пакетът пристигне, той се обработва и предава, без да се чака пристигането на целия файл или уеб страница. Той изисква по-малко ресурси и осигурява по-добра производителност от прокси режима, но в същото време не всички функции за защита са налични в него. Например, Data Leak Prevention (DLP) може да се използва само в режим на прокси.
Прокси режимът работи по различен начин. Той създава две TCP връзки, едната между клиента и FortiGate'om, втората между FortiGate'om и сървъра. Това му позволява да буферира трафика, т.е. да получи пълен файл или уеб страница. Сканирането на файлове за различни заплахи започва едва след като целият файл е буфериран. Това ви позволява да използвате допълнителни функции, които не са налични в базиран на поток режим. Както можете да видите, този режим изглежда противоположен на Flow Based - безопасността играе основна роля тук, а производителността изчезва на заден план.
Често ни питат кое е по-добро? Но тук няма обща рецепта. Винаги всичко е индивидуално и зависи от вашите нужди и задачи. Ще се опитам да покажа разликите между профилите за сигурност в режимите Flow и Proxy по-късно в курса. Това ще ви помогне да сравните характеристиките и да решите кое е най-доброто за вас.

Нека да преминем директно към профилите за сигурност и първо да разгледаме уеб филтрирането. Помага да се контролира или следи кои уеб сайтове посещават потребителите. Мисля, че не си струва да се задълбочаваме в обяснението на необходимостта от такъв профил в сегашните реалности. Нека разберем по-добре как работи.

След като се установи TCP връзка, потребителят изисква съдържанието на конкретен уеб сайт, използвайки GET заявка.

Ако уеб сървърът отговори положително, той изпраща информация за уебсайта в отговор. Тук влиза в действие уеб филтърът. Той проверява съдържанието на дадения отговор.По време на проверката FortiGate изпраща запитване в реално време до мрежата за разпространение на FortiGuard (FDN), за да определи категорията на дадения уебсайт. След като определи категорията на даден уебсайт, уеб филтърът, в зависимост от настройките, извършва определено действие.
В режим Flow са налични три действия:

• Разреши - разреши достъп до уебсайта
• Блокиране - блокиране на достъпа до уебсайта
• Монитор - разрешете достъп до уебсайта и го регистрирайте

Добавени са още две действия в прокси режим:

• Предупреждение - дайте на потребителя предупреждение, че се опитва да посети определен ресурс и дайте на потребителя избор - да продължи или да напусне уебсайта
• Удостоверяване - подкана за потребителски идентификационни данни - това ви позволява да разрешите достъп на определени групи до ограничени категории уебсайтове.

Сайтът Лаборатории на FortiGuard можете да видите всички категории и подкатегории на уеб филтъра, както и да разберете към коя категория принадлежи определен уебсайт. И като цяло, за потребителите на решения на Fortinet, това е доста полезен сайт, съветвам ви да го опознаете по-добре в свободното си време.

Много малко може да се каже за Application Control. Както подсказва името, той ви позволява да контролирате работата на приложенията. И той прави това с помощта на модели на различни приложения, така наречените подписи. Въз основа на тези подписи той може да определи конкретно приложение и да приложи конкретно действие към него:

• Разрешаване - разрешаване
• Наблюдавайте - разрешете и регистрирайте това
• Блокиране - забрана
• Карантина - запишете събитие в регистрационните файлове и блокирайте IP адреса за определено време

Можете също така да видите съществуващи подписи на уебсайта Лаборатории на FortiGuard.

Сега нека разгледаме механизма за проверка на HTTPS. Според статистиката за края на 2018 г. делът на HTTPS трафика надхвърля 70%. Тоест, без да използваме HTTPS проверка, ще можем да анализираме само около 30% от трафика, преминаващ през мрежата. Първо, нека разгледаме как работи HTTPS в грубо приближение.

Клиентът инициира TLS заявка към уеб сървъра и получава TLS отговор, а също така вижда цифров сертификат, който трябва да бъде надежден за този потребител. Това е необходимият минимум, който трябва да знаем за работата на HTTPS, всъщност схемата на неговата работа е много по-сложна. След успешно TLS ръкостискане започва криптиран трансфер на данни. И това е добре. Никой няма достъп до данните, които обменяте с уеб сървъра.

За охранителните компании обаче това е истинско главоболие, защото те не могат да видят този трафик и да проверят съдържанието му нито с антивирусна програма, нито със система за предотвратяване на проникване, нито с DLP системи, нищо. Освен това се отразява негативно на качеството на дефиницията на приложения и уеб ресурси, използвани в мрежата - точно това, което е подходящо за нашата тема на урока. Технологията за проверка на HTTPS е предназначена да реши този проблем. Същността му е много проста - всъщност устройството, което се занимава с проверка на HTTPS, организира Man In The Middle атака. Изглежда по следния начин: FortiGate прихваща заявката на потребителя, организира HTTPS връзка с него и самостоятелно създава HTTPS сесия с ресурса, до който потребителят има достъп. В същото време сертификатът, издаден от FortiGate, ще бъде видим на компютъра на потребителя. Трябва да има доверие, за да може браузърът да разреши връзката.

Всъщност проверката на HTTPS е доста сложно нещо и има много ограничения, но ние няма да разглеждаме това в рамките на този курс. Само ще добавя, че внедряването на HTTPS инспекция не е въпрос на минути, обикновено отнема около месец. Необходимо е да се събере информация за необходимите изключения, да се направят съответните настройки, да се събере обратна връзка от потребителите и да се коригират настройките.

Горната теория, както и практическата част, са представени в този видео урок:

В следващия урок ще разгледаме други профили за сигурност: антивирусна защита и предотвратяване на проникване. За да не го пропуснете, следете за актуализации на следните канали:

• Youtube
• FaceBook Group
• Yandex Zen
• Нашият сайт
• Телеграм канал

Източник: www.habr.com