Salve! Benvenuto alla sesta lezione del corso . Su abbiamo appreso le basi della tecnologia NAT su , e abbiamo anche rilasciato il nostro utente di prova su Internet. È ora di prendersi cura della sicurezza dell'utente mentre naviga su di essa. In questa lezione esamineremo i seguenti profili di sicurezza: Filtraggio Web, Controllo delle Applicazioni e ispezione HTTPS.
Per iniziare a familiarizzare con i profili di sicurezza, dobbiamo comprendere un'altra cosa: le modalità di ispezione.
Per impostazione predefinita viene utilizzata la modalità Flow Based. Essa verifica i file quando passano attraverso FortiGate senza buffering. Non appena un pacchetto arriva, viene elaborato e inoltrato, senza attendere il ricevimento di un intero file o di una pagina web. Essa richiede meno risorse e garantisce una maggiore prestazione rispetto alla modalità Proxy, ma allo stesso tempo non fornisce tutte le funzionalità di sicurezza. Ad esempio, il sistema di prevenzione della perdita di dati (DLP) può essere utilizzato solo in modalità Proxy.
La modalità Proxy funziona in modo diverso. Crea due connessioni TCP: una tra il client e il FortiGate, e l'altra tra il FortiGate e il server. Questo consente di memorizzare il traffico, cioè di ricevere l'intero file o la pagina web. La scansione dei file per vari minacce inizia solo dopo che l'intero file è stato memorizzato. Questo permette di applicare funzionalità aggiuntive non disponibili nella modalità basata su flussi. Come vedete, questa modalità è praticamente opposta alla modalità basata su flussi: qui la sicurezza gioca un ruolo principale, mentre le prestazioni passano in secondo piano.
Spesso ci si chiede: quale modalità è migliore? Ma non esiste una risposta universale. Ogni situazione è unica e dipende dalle vostre esigenze e obiettivi. Nel corso delle lezioni, cercherò di mostrare le differenze tra i profili di sicurezza nelle modalità basate su flussi e Proxy. Questo aiuterà a confrontare le funzionalità e decidere quale sia la più adatta per voi.
Passiamo direttamente ai profili di sicurezza, iniziando con il Filtraggio Web. Questo aiuta a controllare o monitorare quali siti web visitano gli utenti. Non è necessario approfondire l'importanza di questo profilo nella realtà attuale. Meglio capire come funziona.
Dopo che la connessione TCP è stata stabilita, l'utente richiede il contenuto di un determinato sito web tramite una richiesta GET.
Se il server web risponde in modo positivo, restituisce informazioni sul sito web nella risposta. Qui entra in gioco il filtro web. Esso verifica il contenuto di questa risposta. Durante il controllo, FortiGate invia in tempo reale una richiesta alla FortiGuard Distribution Network (FDN) per determinare la categoria del sito web. Dopo aver stabilito la categoria specifica del sito web, il filtro web esegue un'azione specifica in base alle impostazioni.
Nel modo Flow sono disponibili tre azioni:
- Allow — consenti l'accesso al sito web
- Block — nega l'accesso al sito web
- Monitor — consenti l'accesso al sito web e registra questo nei log
Nel modo Proxy vengono aggiunte altre due azioni:
- Avviso — avvisare l'utente che sta cercando di visitare una risorsa specifica e offrire all'utente la possibilità di continuare o lasciare il sito web.
- Autenticare — richiedere le credenziali dell'utente, consentendo l'accesso a gruppi specifici a categorie di siti web vietati.
Sul sito Può consultare tutte le categorie e sottocategorie del filtro web, oltre a scoprire a quale categoria appartiene un sito web specifico. In generale, per gli utenti delle soluzioni Fortinet, questo è un sito piuttosto utile; consiglio di conoscerlo meglio nel tempo libero.
Di Application Control si può dire ben poco. Dal nome si evince che permette di controllare il funzionamento delle applicazioni. Lo fa attraverso i modelli di varie applicazioni, chiamati firme. Sulla base di queste firme può identificare un'applicazione specifica e applicare a essa un'azione definita:
- Consenti — permettere
- Monitora — permettere e registrare nei log
- Blocca — vietare
- Quarantena — registrare l'evento nei log e bloccare l'indirizzo IP per un certo periodo
È possibile visualizzare anche le firme esistenti sul sito .
Esaminiamo ora il meccanismo dell'ispezione HTTPS. Secondo le statistiche di fine 2018, la quota di traffico HTTPS ha superato il 70%. Ciò significa che, senza l'uso dell'ispezione HTTPS, possiamo analizzare solo circa il 30% del traffico che circola in rete. Iniziamo a considerare il funzionamento di HTTPS in termini molto generali.
Il cliente avvia una richiesta TLS al server web e riceve una risposta TLS, oltre a visualizzare un certificato digitale che deve essere fidato per quell'utente. Questo è il minimo che dobbiamo sapere sul funzionamento di HTTPS; in realtà, il suo schema è molto più complesso. Dopo un successo nel handshake TLS, inizia la trasmissione dei dati in forma crittografata. E questo è positivo. Nessuno può accedere ai dati che scambiate con il server web.
Tuttavia, per i professionisti della sicurezza delle aziende, questo rappresenta un vero e proprio grattacapo, poiché non possono vedere il traffico né verificarne il contenuto tramite antivirus, sistemi di prevenzione delle intrusioni, DLP o altro. Questo influisce negativamente sulla qualità della rilevazione delle applicazioni e delle risorse web utilizzate all'interno della rete, proprio l'argomento del nostro corso. La tecnologia di ispezione HTTPS è destinata a risolvere questo problema. Essa si basa su un concetto piuttosto semplice — sostanzialmente, il dispositivo che effettua l'ispezione HTTPS esegue un attacco Man In The Middle. Il processo è più o meno il seguente: FortiGate intercetta la richiesta dell'utente, stabilisce una connessione HTTPS con essa e successivamente solleva una sessione HTTPS con la risorsa a cui l'utente ha cercato di accedere. Nel computer dell'utente, sarà visibile un certificato rilasciato da FortiGate. Questo certificato deve essere considerato attendibile affinché il browser consenta la connessione.
In effetti, l'ispezione HTTPS è un tema piuttosto complesso e presenta numerose limitazioni, ma in questo corso non lo trattiamo. Aggiungo solo che implementare l'ispezione HTTPS non è un'operazione immediata, di solito richiede circa un mese. È necessario raccogliere informazioni sulle eccezioni richieste, effettuare le configurazioni appropriate, raccogliere feedback dagli utenti e correggere le impostazioni.
La teoria fornita, così come la parte pratica, sono presentate in questo video corso:
Nel prossimo corso esamineremo altri profili di sicurezza: antivirus e sistemi di prevenzione delle intrusioni. Per non perderlo, segui gli aggiornamenti nei seguenti canali:
Fonte: habr.com
