Salve! Benvenuto alla sesta lezione del corso . Su abbiamo acquisito le basi dell'uso della tecnologia NAT su , e abbiamo anche rilasciato il nostro utente di test su Internet. Ora è il momento di preoccuparci della sicurezza dell'utente in questi spazi. In questa lezione esamineremo i seguenti profili di sicurezza: Web Filtering, Application Control, e anche l'ispezione HTTPS.
Per iniziare a familiarizzare con i profili di sicurezza, dobbiamo comprendere un'altra cosa: le modalità di ispezione.
Per impostazione predefinita viene utilizzata la modalità Flow Based. Questa controlla i file mentre passeranno attraverso FortiGate senza bufferizzazione. Non appena il pacchetto arriva, viene elaborato e inoltrato, senza aspettare di ricevere l'intero file o la pagina web. Richiede meno risorse e offre prestazioni migliori rispetto alla modalità Proxy, ma allo stesso tempo non dispone di tutte le funzionalità di sicurezza. Ad esempio, il sistema di prevenzione della perdita di dati (DLP) può essere utilizzato solo nella modalità Proxy.
La modalità Proxy funziona in modo diverso. Crea due connessioni TCP: una tra il client e FortiGate, l'altra tra FortiGate e il server. Questo gli consente di bufferizzare il traffico, ovvero di ricevere l'intero file o la pagina web. La scansione dei file per varie minacce inizia solo dopo che il file è stato completamente bufferizzato. Questo permette di applicare ulteriori funzionalità che non sono disponibili nella modalità Flow Based. Come potete vedere, questa modalità è praticamente l'opposto della Flow Based: la sicurezza è qui la priorità, mentre le prestazioni passano in secondo piano.
Spesso viene chiesto: quale modalità è migliore? Ma non esiste una risposta universale. È sempre tutto molto individuale e dipende dalle vostre esigenze e obiettivi. In seguito nel corso cercherò di mostrare le differenze tra i profili di sicurezza nelle modalità Flow e Proxy. Questo aiuterà a confrontare le funzionalità e a decidere quale si adatta meglio a voi.
Passiamo direttamente ai profili di sicurezza e iniziamo con il Web Filtering. Questo aiuta a controllare o monitorare quali siti web visitano gli utenti. Non credo sia necessario approfondire l'importanza di questo profilo nelle attuali realtà. Meglio comprendere come funziona.
Dopo che la connessione TCP è stata stabilita, l'utente richiede il contenuto di un sito web specifico tramite una richiesta GET.
Se il server web risponde positivamente, invia informazioni sul sito web in risposta. Qui entra in gioco il filtro web. Controlla il contenuto di questa risposta. Durante il controllo, FortiGate invia in tempo reale una richiesta alla FortiGuard Distribution Network (FDN) per determinare la categoria di questo sito web. Dopo aver identificato la categoria del sito, il filtro web esegue un'azione specifica in base alle impostazioni.
In modalità Flow sono disponibili tre azioni:
- Allow — consentire l'accesso al sito web
- Block — vietare l'accesso al sito web
- Monitor — consentire l'accesso al sito web e registrare questo nei log
In modalità Proxy vengono aggiunte altre due azioni:
- Warning — avvisare l'utente che sta tentando di visitare una risorsa specifica e dare all'utente la scelta di continuare o abbandonare il sito web
- Authenticate — richiedere le credenziali dell'utente, permettendo a determinati gruppi di accedere a categorie di siti web vietate.
Sul sito Puoi consultare tutte le categorie e sottocategorie del filtro web, oltre a scoprire a quale categoria appartiene un determinato sito web. Per gli utenti delle soluzioni Fortinet, è un sito molto utile; consiglio di esplorarlo nel tempo libero.
Di Application Control si può dire molto poco. Dal nome si intuice che consente di controllare il funzionamento delle applicazioni. Lo fa utilizzando dei modelli delle varie applicazioni, chiamati firme. Sulla base di queste firme, può identificare l'applicazione specifica e applicare a essa un'azione definita:
- Allow — consentire
- Monitor — consentire e registrare nei log
- Block — vietare
- Quarantine — registrare l'evento nei log e bloccare l'indirizzo IP per un determinato periodo
Puoi anche visualizzare le firme esistenti sul sito .
Ora esaminiamo il meccanismo dell'ispezione HTTPS. Secondo le statistiche della fine del 2018, la quota di traffico HTTPS ha superato il 70%. Ciò significa che senza l'uso di ispezione HTTPS possiamo analizzare solo circa il 30% del traffico di rete. Iniziamo esaminando il funzionamento di HTTPS in modo approssimativo.
Il cliente avvia una richiesta TLS al server web e riceve una risposta TLS, oltre a visualizzare il certificato digitale che deve essere fidato per l'utente in questione. Questo è il minimo indispensabile che dobbiamo sapere sul funzionamento di HTTPS; in realtà, lo schema del suo funzionamento è molto più complesso. Dopo un handshake TLS riuscito, inizia il trasferimento dei dati in forma crittografata. Ed è una cosa positiva. Nessuno può accedere ai dati che stai scambiando con il server web.
Tuttavia, per i professionisti della sicurezza delle aziende, questa rappresenta una vera e propria spina nel fianco, poiché non possono vedere questo traffico né controllarne il contenuto con antivirus, sistemi di prevenzione delle intrusioni, sistemi DLP o nulla di tutto ciò. Inoltre, ciò influisce negativamente sulla qualità di identificazione delle applicazioni e delle risorse web utilizzate all'interno della rete, proprio ciò che è collegato al tema della nostra lezione. La tecnologia di ispezione HTTPS è stata ideata per risolvere questo problema. La sua essenza è piuttosto semplice: sostanzialmente, il dispositivo che si occupa dell'ispezione HTTPS organizza un attacco Man In The Middle. Questo funziona più o meno in questo modo: FortiGate intercetta la richiesta dell'utente, stabilisce una connessione HTTPS con lui e poi stabilisce una sessione HTTPS con la risorsa richiesta dall'utente. A questo punto, sul computer dell'utente sarà visibile un certificato emesso da FortiGate. Questo deve essere fidato affinché il browser consenta la connessione.
In realtà, l'ispezione HTTPS è una questione piuttosto complessa e presenta molte limitazioni, ma nel contesto di questo corso non ci soffermeremo su questo. Aggiungo solo che implementare l'ispezione HTTPS non è un compito da poco; di solito richiede circa un mese. È necessario raccogliere informazioni sulle eccezioni necessarie, apportare le impostazioni appropriate, raccogliere feedback dagli utenti e correggere le impostazioni.
La teoria presentata, così come la parte pratica, sono illustrate in questo video corso:
Nella prossima lezione esamineremo altri profili di sicurezza: antivirus e sistemi di prevenzione delle intrusioni. Per non perderla, segui gli aggiornamenti sui seguenti canali:
Fonte: habr.com
