Willkommen! Herzlich willkommen zur sechsten Lektion des Kurses . In wir haben die Grundlagen der NAT-Technologie auf , und unseren Testbenutzer ins Internet entlassen. Jetzt ist es an der Zeit, die Sicherheit des Benutzers in dieser Umgebung zu gewährleisten. In dieser Lektion werden wir die folgenden Sicherheitsprofile behandeln: Webfilterung, Anwendungssteuerung und HTTPS-Inspektion.
Um mit den Sicherheitsprofilen vertraut zu werden, müssen wir noch eine weitere Sache klären – die Inspektionsmodi.
Standardmäßig wird der Flow Based-Modus verwendet. Er prüft Dateien, während sie ohne Pufferung durch FortiGate übertragen werden. Sobald ein Paket ankommt, wird es verarbeitet und weitergeleitet, ohne darauf zu warten, dass die gesamte Datei oder Webseite empfangen wird. Er benötigt weniger Ressourcen und bietet eine höherer Leistung als der Proxy-Modus, allerdings stehen im Flow Based-Modus nicht alle Sicherheitsfunktionen zur Verfügung. Zum Beispiel kann das System zur Verhinderung von Datenlecks (DLP) nur im Proxy-Modus verwendet werden.
Im Proxy-Modus funktioniert alles anders. Er erstellt zwei TCP-Verbindungen: eine zwischen dem Client und dem FortiGate, die andere zwischen dem FortiGate und dem Server. Dadurch kann er den Verkehr puffern, d.h. die vollständigen Dateien oder Webseiten empfangen. Die Prüfung auf verschiedene Bedrohungen beginnt erst, nachdem die gesamte Datei gepuffert wurde. Somit können zusätzliche Funktionen angewendet werden, die im Flow-basierten Modus nicht verfügbar sind. Wie Sie sehen, steht dieser Modus im Gegensatz zum Flow-basierten — hier spielt die Sicherheit eine zentrale Rolle, während die Leistung in den Hintergrund rückt.
Oft wird die Frage gestellt: Welcher Modus ist der bessere? Es gibt jedoch keine allgemeingültige Antwort. Alles ist immer individuell und hängt von Ihren Bedürfnissen und Anforderungen ab. Im weiteren Verlauf des Kurses werde ich die Unterschiede in den Sicherheitsprofilen zwischen Flow- und Proxy-Modi erläutern. Dies wird Ihnen helfen, die Funktionen zu vergleichen und zu entscheiden, welcher Modus am besten zu Ihnen passt.
Lassen Sie uns direkt zu den Sicherheitsprofilen übergehen und zunächst die Webfilterung betrachten. Sie hilft dabei, zu kontrollieren oder nachzuvollziehen, welche Websites von den Nutzern besucht werden. Ich denke, es ist nicht nötig, weiter auf die Notwendigkeit eines solchen Profils in der aktuellen Realität einzugehen. Lassen Sie uns besser ansehen, wie es funktioniert.
Nachdem die TCP-Verbindung hergestellt wurde, fordert der Nutzer mit einer GET-Anfrage den Inhalt einer bestimmten Website an.
Wenn der Webserver positiv antwortet, sendet er Informationen über die Website zurück. Hier kommt der Webfilter ins Spiel. Er prüft den Inhalt dieser Antwort. Während der Prüfung sendet FortiGate in Echtzeit eine Anfrage an das FortiGuard Distribution Network (FDN), um die Kategorie dieser Website zu bestimmen. Nachdem die Kategorie der bestimmten Website festgestellt wurde, führt der Webfilter je nach den Einstellungen eine spezifische Aktion aus.
Im Flow-Modus sind drei Aktionen verfügbar:
- Erlauben — Zugriff auf die Website gewähren
- Blockieren — Zugriff auf die Website verweigern
- Überwachen — Zugriff auf die Website erlauben und dies in den Protokollen festhalten
Im Proxy-Modus kommen zwei weitere Aktionen hinzu:
- Warnung — den Benutzer darüber informieren, dass er versucht, eine bestimmte Ressource zu besuchen, und dem Benutzer die Wahl geben, ob er fortfahren oder die Website verlassen möchte.
- Authentifizieren — Benutzeranmeldeinformationen anfordern — dies ermöglicht den Zugriff bestimmter Gruppen auf verbotene Kategorien von Websites.
Auf der Website Hier können Sie alle Kategorien und Unterkategorien des Webfilters einsehen sowie erfahren, zu welcher Kategorie eine bestimmte Website gehört. Für Nutzer von Fortinet-Lösungen ist dies insgesamt eine sehr nützliche Seite, die ich Ihnen empfehle, in Ihrer Freizeit näher kennenzulernen.
Über die Anwendungskontrolle lässt sich nicht viel sagen. Der Name deutet bereits darauf hin, dass sie die Nutzung von Anwendungen überwacht. Dies geschieht mittels von Mustern verschiedener Anwendungen, sogenannte Signaturen. Anhand dieser Signaturen kann die spezifische Anwendung identifiziert und eine entsprechende Maßnahme ergriffen werden:
- Erlauben — zulassen
- Überwachen — zulassen und in den Protokollen festhalten
- Blockieren — verbieten
- Quarantäne — das Ereignis in den Protokollen aufzeichnen und die IP-Adresse für eine bestimmte Zeit blockieren
Vorhandene Signaturen können ebenfalls auf der Website angesehen werden. .
Betrachten wir nun den Mechanismus der HTTPS-Überprüfung. Laut Statistiken Ende 2018 überstieg der Anteil des HTTPS-Traffics 70 %. Das bedeutet, dass wir ohne Verwendung der HTTPS-Überprüfung nur etwa 30 % des laufenden Traffics analysieren können. Zunächst schauen wir uns die Funktionsweise von HTTPS in groben Zügen an.
Der Client initiiert eine TLS-Anfrage an den Webserver und erhält eine TLS-Antwort, sowie sieht er das digitale Zertifikat, das für den betreffenden Benutzer vertrauenswürdig sein sollte. Das ist das notwendige Minimum, das wir über die Funktionsweise von HTTPS wissen müssen; tatsächlich ist das Schema seiner Funktionsweise viel komplexer. Nach dem erfolgreichen TLS-Handschlag beginnt die Übertragung von Daten in verschlüsselter Form. Und das ist gut. Niemand kann auf die Daten zugreifen, die Sie mit dem Webserver austauschen.
Für die Sicherheitsbeauftragten von Unternehmen ist dies jedoch ein echtes Kopfzerbrechen, da sie diesen Datenverkehr nicht einsehen und dessen Inhalte weder mit Antivirenprogrammen, noch mit Intrusion Prevention Systemen oder DLP-Lösungen überprüfen können – schlichtweg mit nichts. Dies hat auch negative Auswirkungen auf die Qualität der Erkennung der innerhalb des Netzwerks genutzten Anwendungen und Webressourcen – genau das, was unserem Unterrichtsthema entspricht. Die Technologie zur HTTPS-Inspektion soll dieses Problem lösen. Das Prinzip ist recht einfach: Das Gerät, das die HTTPS-Inspektion durchführt, organisiert einen Man-in-the-Middle-Angriff. Das sieht etwa so aus: FortiGate fängt die Anfrage des Nutzers ab, stellt eine HTTPS-Verbindung zu ihm her und initiiert dann eine HTTPS-Sitzung mit der Ressource, auf die der Nutzer zuzugreifen versucht. Der Nutzer sieht dabei ein Zertifikat, das von FortiGate ausgestellt wurde. Dieses Zertifikat muss vertrauenswürdig sein, damit der Browser die Verbindung zulässt.
Die HTTPS-Inspektion ist tatsächlich ein recht komplexes Thema und hat viele Einschränkungen. Im Rahmen dieses Kurses werden wir das jedoch nicht vertiefen. Ich möchte nur hinzufügen, dass die Implementierung der HTTPS-Inspektion keine kurzfristige Angelegenheit ist; in der Regel dauert es ungefähr einen Monat. Es ist notwendig, Informationen über die erforderlichen Ausnahmen zu sammeln, die entsprechenden Einstellungen vorzunehmen, Feedback von Nutzern einzuholen und die Einstellungen zu optimieren.
Die vorgestellte Theorie sowie der praktische Teil sind in diesem Video-Lernprogramm enthalten:
Im nächsten Unterricht werden wir uns mit anderen Sicherheitsprofilen beschäftigen: Antivirenprogrammen und Intrusion Prevention Systems (IPS). Um nichts zu verpassen, folgen Sie den Updates auf den folgenden Kanälen:
Quelle: habr.com
