6. Fortinet ການເລີ່ມຕົ້ນ v6.0. ການກັ່ນຕອງເວັບແລະການຄວບຄຸມຄໍາຮ້ອງສະຫມັກ

ຊົມເຊີຍ! ຍິນດີຕ້ອນຮັບສູ່ບົດຮຽນທີ VI ຂອງຫຼັກສູດ Fortinet ເລີ່ມຕົ້ນ. ໃນ ບົດຮຽນສຸດທ້າຍ ພວກເຮົາໄດ້ mastered ພື້ນຖານຂອງການເຮັດວຽກກັບເຕັກໂນໂລຊີ NAT ສຸດ FortiGate, ແລະ​ຍັງ​ໄດ້​ປ່ອຍ​ຕົວ​ຜູ້​ໃຊ້​ທົດ​ສອບ​ຂອງ​ພວກ​ເຮົາ​ກ່ຽວ​ກັບ​ອິນ​ເຕີ​ເນັດ​. ໃນປັດຈຸບັນມັນເຖິງເວລາທີ່ຈະດູແລຄວາມປອດໄພຂອງຜູ້ໃຊ້ໃນສະຖານທີ່ເປີດຂອງລາວ. ໃນບົດຮຽນນີ້ພວກເຮົາຈະເບິ່ງໂປຣໄຟລ໌ຄວາມປອດໄພຕໍ່ໄປນີ້: ການກັ່ນຕອງເວັບ, ການຄວບຄຸມແອັບພລິເຄຊັນ, ແລະການກວດສອບ HTTPS.

ເພື່ອເລີ່ມຕົ້ນດ້ວຍໂປຣໄຟລ໌ຄວາມປອດໄພ, ພວກເຮົາຕ້ອງເຂົ້າໃຈອີກຢ່າງໜຶ່ງຄື: ໂໝດກວດກາ.

ຄ່າເລີ່ມຕົ້ນແມ່ນຮູບແບບ Flow Based. ມັນກວດເບິ່ງໄຟລ໌ໃນຂະນະທີ່ພວກເຂົາຜ່ານ FortiGate ໂດຍບໍ່ມີການ buffering. ເມື່ອແພັກເກັດມາຮອດ, ມັນຖືກປຸງແຕ່ງແລະສົ່ງຕໍ່, ໂດຍບໍ່ຕ້ອງລໍຖ້າໄຟລ໌ທັງຫມົດຫຼືຫນ້າເວັບທີ່ໄດ້ຮັບ. ມັນຮຽກຮ້ອງໃຫ້ມີຊັບພະຍາກອນຫນ້ອຍແລະສະຫນອງການປະຕິບັດທີ່ດີກວ່າຮູບແບບ Proxy, ແຕ່ໃນເວລາດຽວກັນ, ບໍ່ແມ່ນການທໍາງານຄວາມປອດໄພທັງຫມົດທີ່ມີຢູ່ໃນມັນ. ຕົວຢ່າງ, Data Leak Prevention (DLP) ສາມາດໃຊ້ໄດ້ໃນໂໝດພຣັອກຊີເທົ່ານັ້ນ.
ໂໝດພຣັອກຊີເຮັດວຽກແຕກຕ່າງກັນ. ມັນສ້າງສອງການເຊື່ອມຕໍ່ TCP, ຫນຶ່ງລະຫວ່າງລູກຄ້າແລະ FortiGate, ທີສອງລະຫວ່າງ FortiGate ແລະເຄື່ອງແມ່ຂ່າຍ. ນີ້ອະນຸຍາດໃຫ້ມັນກັບການຈະລາຈອນ buffer, i.e. ໄດ້ຮັບໄຟລ໌ທີ່ສົມບູນຫຼືຫນ້າເວັບ. ການສະແກນໄຟລ໌ສໍາລັບໄພຂົ່ມຂູ່ຕ່າງໆເລີ່ມຕົ້ນພຽງແຕ່ຫຼັງຈາກໄຟລ໌ທັງຫມົດໄດ້ຖືກ buffered. ນີ້ອະນຸຍາດໃຫ້ທ່ານໃຊ້ຄຸນສົມບັດເພີ່ມເຕີມທີ່ບໍ່ມີຢູ່ໃນໂຫມດ Flow. ດັ່ງທີ່ທ່ານສາມາດເຫັນໄດ້, ຮູບແບບນີ້ເບິ່ງຄືວ່າກົງກັນຂ້າມກັບ Flow Based - ຄວາມປອດໄພມີບົດບາດສໍາຄັນຢູ່ທີ່ນີ້, ແລະການປະຕິບັດແມ່ນໃຊ້ເວລາກັບຄືນໄປບ່ອນ.
ຄົນມັກຖາມວ່າ: ໂໝດໃດດີກວ່າ? ແຕ່ບໍ່ມີສູດທົ່ວໄປຢູ່ທີ່ນີ້. ທຸກສິ່ງທຸກຢ່າງແມ່ນສະເຫມີໄປສ່ວນບຸກຄົນແລະຂຶ້ນກັບຄວາມຕ້ອງການແລະເປົ້າຫມາຍຂອງທ່ານ. ຕໍ່ມາໃນຫຼັກສູດຂ້ອຍຈະພະຍາຍາມສະແດງຄວາມແຕກຕ່າງລະຫວ່າງໂປຣໄຟລ໌ຄວາມປອດໄພໃນໂຫມດ Flow ແລະ Proxy. ນີ້ຈະຊ່ວຍໃຫ້ທ່ານປຽບທຽບການທໍາງານແລະຕັດສິນໃຈວ່າອັນໃດດີທີ່ສຸດສໍາລັບທ່ານ.

ໃຫ້ຍ້າຍໂດຍກົງໄປຫາໂປຣໄຟລ໌ຄວາມປອດໄພ ແລະທໍາອິດເບິ່ງ Web Filtering. ມັນຊ່ວຍຕິດຕາມຫຼືຕິດຕາມເວັບໄຊທ໌ທີ່ຜູ້ໃຊ້ໄປຢ້ຽມຢາມ. ຂ້າພະເຈົ້າຄິດວ່າບໍ່ຈໍາເປັນຕ້ອງລົງເລິກໃນການອະທິບາຍເຖິງຄວາມຕ້ອງການສໍາລັບໂປຣໄຟລ໌ດັ່ງກ່າວໃນຄວາມເປັນຈິງໃນປະຈຸບັນ. ໃຫ້ເຂົ້າໃຈດີກວ່າວ່າມັນເຮັດວຽກແນວໃດ.

ເມື່ອການເຊື່ອມຕໍ່ TCP ຖືກສ້າງຕັ້ງຂຶ້ນ, ຜູ້ໃຊ້ໃຊ້ຄໍາຮ້ອງຂໍ GET ເພື່ອຮ້ອງຂໍເນື້ອຫາຂອງເວັບໄຊທ໌ສະເພາະ.

ຖ້າເຄື່ອງແມ່ຂ່າຍເວັບຕອບສະຫນອງໃນທາງບວກ, ມັນຈະສົ່ງຂໍ້ມູນກ່ຽວກັບເວັບໄຊທ໌ຄືນ. ນີ້ແມ່ນບ່ອນທີ່ຕົວກອງເວັບເຂົ້າມາຫຼິ້ນ. ມັນກວດສອບເນື້ອໃນຂອງການຕອບສະຫນອງນີ້ໃນລະຫວ່າງການກວດສອບ, FortiGate ສົ່ງຄໍາຮ້ອງຂໍໃນເວລາທີ່ແທ້ຈິງໄປຫາ FortiGuard Distribution Network (FDN) ເພື່ອກໍານົດປະເພດຂອງເວັບໄຊທ໌ທີ່ໃຫ້. ຫຼັງຈາກກໍານົດປະເພດຂອງເວັບໄຊທ໌ໂດຍສະເພາະ, ການກັ່ນຕອງເວັບໄຊຕ໌, ອີງຕາມການຕັ້ງຄ່າ, ດໍາເນີນການສະເພາະໃດຫນຶ່ງ.
ມີສາມປະຕິບັດທີ່ມີຢູ່ໃນຮູບແບບການໄຫຼ:

• ອະນຸຍາດໃຫ້ - ອະນຸຍາດໃຫ້ເຂົ້າເຖິງເວັບໄຊທ໌
• ຕັນ - ຂັດຂວາງການເຂົ້າເຖິງເວັບໄຊທ໌
• ຕິດຕາມກວດກາ - ອະນຸຍາດໃຫ້ເຂົ້າເຖິງເວັບໄຊທ໌ແລະບັນທຶກມັນຢູ່ໃນບັນທຶກ

ໃນໂໝດພຣັອກຊີ, ສອງຄຳສັ່ງເພີ່ມເຕີມຈະຖືກເພີ່ມ:

• ຄໍາເຕືອນ - ໃຫ້ຜູ້ໃຊ້ເຕືອນວ່າລາວພະຍາຍາມໄປຢ້ຽມຢາມຊັບພະຍາກອນທີ່ແນ່ນອນແລະໃຫ້ຜູ້ໃຊ້ເລືອກ - ສືບຕໍ່ຫຼືອອກຈາກເວັບໄຊທ໌
• ການກວດສອບຄວາມຖືກຕ້ອງ - ຮ້ອງຂໍຂໍ້ມູນປະຈໍາຕົວຂອງຜູ້ໃຊ້ - ນີ້ອະນຸຍາດໃຫ້ບາງກຸ່ມສາມາດເຂົ້າເຖິງເວັບໄຊທ໌ທີ່ຖືກຈໍາກັດ.

ຢູ່ໃນເວັບໄຊທ໌ ຫ້ອງທົດລອງ FortiGuard ທ່ານ​ສາ​ມາດ​ເບິ່ງ​ທັງ​ຫມົດ​ປະ​ເພດ​ແລະ​ປະ​ເພດ​ຍ່ອຍ​ຂອງ​ການ​ກັ່ນ​ຕອງ​ເວັບ​ໄຊ​ຕ​໌​, ແລະ​ຍັງ​ຊອກ​ຫາ​ທີ່​ປະ​ເພດ​ຂອງ​ເວັບ​ໄຊ​ທ​໌​ສະ​ເພາະ​ໃດ​ຫນຶ່ງ​ເປັນ​ຂອງ​. ແລະໂດຍທົ່ວໄປ, ນີ້ແມ່ນເວັບໄຊທ໌ທີ່ມີປະໂຫຍດຫຼາຍສໍາລັບຜູ້ໃຊ້ວິທີແກ້ໄຂ Fortinet, ຂ້າພະເຈົ້າແນະນໍາໃຫ້ທ່ານຮູ້ຈັກມັນດີກວ່າໃນເວລາຫວ່າງຂອງທ່ານ.

ມີພຽງເລັກນ້ອຍຫຼາຍທີ່ສາມາດເວົ້າໄດ້ກ່ຽວກັບການຄວບຄຸມຄໍາຮ້ອງສະຫມັກ. ໃນຖານະເປັນຊື່ແນະນໍາ, ມັນອະນຸຍາດໃຫ້ທ່ານສາມາດຄວບຄຸມການດໍາເນີນງານຂອງຄໍາຮ້ອງສະຫມັກ. ແລະລາວເຮັດແບບນີ້ໂດຍໃຊ້ຮູບແບບຈາກຄໍາຮ້ອງສະຫມັກຕ່າງໆ, ອັນທີ່ເອີ້ນວ່າລາຍເຊັນ. ການນໍາໃຊ້ລາຍເຊັນເຫຼົ່ານີ້, ລາວສາມາດກໍານົດຄໍາຮ້ອງສະຫມັກສະເພາະໃດຫນຶ່ງແລະນໍາໃຊ້ການປະຕິບັດສະເພາະກັບມັນ:

• ອະນຸຍາດ - ອະນຸຍາດ
• ຕິດຕາມກວດກາ - ອະນຸຍາດໃຫ້ແລະບັນທຶກນີ້
• ຂັດຂວາງ - ຫ້າມ
• ການກັກກັນ - ບັນທຶກເຫດການໃນບັນທຶກ ແລະບລັອກທີ່ຢູ່ IP ໃນເວລາທີ່ແນ່ນອນ

ທ່ານຍັງສາມາດເບິ່ງລາຍເຊັນທີ່ມີຢູ່ແລ້ວຢູ່ໃນເວັບໄຊທ໌ ຫ້ອງທົດລອງ FortiGuard.

ຕອນນີ້ໃຫ້ເບິ່ງກົນໄກການກວດສອບ HTTPS. ອີງຕາມສະຖິຕິໃນທ້າຍປີ 2018, ສ່ວນແບ່ງຂອງການຈະລາຈອນ HTTPS ເກີນ 70%. ນັ້ນແມ່ນ, ໂດຍບໍ່ມີການນໍາໃຊ້ການກວດສອບ HTTPS, ພວກເຮົາຈະສາມາດວິເຄາະພຽງແຕ່ປະມານ 30% ຂອງການຈະລາຈອນຜ່ານເຄືອຂ່າຍ. ທໍາອິດ, ໃຫ້ເບິ່ງວິທີການ HTTPS ເຮັດວຽກໂດຍປະມານຫຍາບຄາຍ.

ລູກຄ້າລິເລີ່ມການຮ້ອງຂໍ TLS ກັບເຄື່ອງແມ່ຂ່າຍເວັບແລະໄດ້ຮັບການຕອບສະຫນອງ TLS, ແລະຍັງເຫັນໃບຢັ້ງຢືນດິຈິຕອນທີ່ຕ້ອງໄດ້ຮັບການໄວ້ວາງໃຈສໍາລັບຜູ້ໃຊ້ນີ້. ນີ້ແມ່ນຫນ້ອຍທີ່ສຸດທີ່ພວກເຮົາຈໍາເປັນຕ້ອງຮູ້ກ່ຽວກັບ HTTPS ເຮັດວຽກແນວໃດ; ໃນຄວາມເປັນຈິງ, ວິທີການເຮັດວຽກແມ່ນສັບສົນຫຼາຍ. ຫຼັງຈາກການຈັບມື TLS ສົບຜົນສໍາເລັດ, ການໂອນຂໍ້ມູນເຂົ້າລະຫັດເລີ່ມຕົ້ນ. ແລະນີ້ແມ່ນດີ. ບໍ່ມີໃຜສາມາດເຂົ້າເຖິງຂໍ້ມູນທີ່ທ່ານແລກປ່ຽນກັບເຄື່ອງແມ່ຂ່າຍເວັບໄຊຕ໌.

ຢ່າງໃດກໍຕາມ, ສໍາລັບເຈົ້າຫນ້າທີ່ຮັກສາຄວາມປອດໄພຂອງບໍລິສັດ, ນີ້ແມ່ນການເຈັບຫົວແທ້ໆ, ເພາະວ່າພວກເຂົາບໍ່ສາມາດເບິ່ງການຈະລາຈອນນີ້ແລະກວດເບິ່ງເນື້ອໃນຂອງມັນບໍ່ວ່າຈະເປັນ antivirus, ຫຼືລະບົບປ້ອງກັນການບຸກລຸກ, ຫຼືລະບົບ DLP, ຫຼືສິ່ງໃດກໍ່ຕາມ. ນີ້ຍັງມີຜົນກະທົບທາງລົບຕໍ່ຄຸນນະພາບຂອງຄໍານິຍາມຂອງຄໍາຮ້ອງສະຫມັກແລະຊັບພະຍາກອນເວັບໄຊຕ໌ທີ່ໃຊ້ພາຍໃນເຄືອຂ່າຍ - ຢ່າງແທ້ຈິງກ່ຽວກັບຫົວຂໍ້ບົດຮຽນຂອງພວກເຮົາ. ເທກໂນໂລຍີການກວດສອບ HTTPS ຖືກອອກແບບມາເພື່ອແກ້ໄຂບັນຫານີ້. ໂດຍເນື້ອແທ້ແລ້ວຂອງມັນແມ່ນງ່າຍດາຍຫຼາຍ - ໃນຄວາມເປັນຈິງ, ອຸປະກອນທີ່ປະຕິບັດການກວດສອບ HTTPS ຈັດຕັ້ງການໂຈມຕີ Man In The Middle. ມັນເບິ່ງຄືວ່ານີ້: FortiGate ຂັດຂວາງການຮ້ອງຂໍຂອງຜູ້ໃຊ້, ຈັດຕັ້ງການເຊື່ອມຕໍ່ HTTPS ກັບມັນ, ແລະຫຼັງຈາກນັ້ນເປີດກອງປະຊຸມ HTTPS ກັບຊັບພະຍາກອນທີ່ຜູ້ໃຊ້ເຂົ້າເຖິງ. ໃນກໍລະນີນີ້, ໃບຢັ້ງຢືນທີ່ອອກໃຫ້ໂດຍ FortiGate ຈະເຫັນໄດ້ໃນຄອມພິວເຕີຂອງຜູ້ໃຊ້. ມັນຕ້ອງໄດ້ຮັບການໄວ້ວາງໃຈສໍາລັບຕົວທ່ອງເວັບທີ່ຈະອະນຸຍາດໃຫ້ເຊື່ອມຕໍ່.

ໃນຄວາມເປັນຈິງ, ການກວດສອບ HTTPS ແມ່ນສິ່ງທີ່ສັບສົນຫຼາຍແລະມີຂໍ້ຈໍາກັດຫຼາຍ, ແຕ່ພວກເຮົາຈະບໍ່ພິຈາລະນາໃນຫຼັກສູດນີ້. ຂ້າພະເຈົ້າພຽງແຕ່ຈະເພີ່ມວ່າການປະຕິບັດການກວດສອບ HTTPS ບໍ່ແມ່ນເລື່ອງຂອງນາທີ; ມັນເປັນສິ່ງຈໍາເປັນທີ່ຈະເກັບກໍາຂໍ້ມູນກ່ຽວກັບຂໍ້ຍົກເວັ້ນທີ່ຈໍາເປັນ, ເຮັດໃຫ້ການຕັ້ງຄ່າທີ່ເຫມາະສົມ, ເກັບກໍາຂໍ້ຄຶດຄໍາເຫັນຈາກຜູ້ໃຊ້, ແລະປັບການຕັ້ງຄ່າ.

ທິດສະດີທີ່ໄດ້ໃຫ້, ເຊັ່ນດຽວກັນກັບພາກປະຕິບັດ, ໄດ້ຖືກນໍາສະເຫນີໃນບົດຮຽນວິດີໂອນີ້:

ໃນບົດຮຽນຕໍ່ໄປພວກເຮົາຈະເບິ່ງໂປຣໄຟລ໌ຄວາມປອດໄພອື່ນໆ: antivirus ແລະລະບົບປ້ອງກັນການບຸກລຸກ. ເພື່ອບໍ່ໃຫ້ພາດມັນ, ຕິດຕາມການອັບເດດໃນຊ່ອງທາງຕໍ່ໄປນີ້:

• ຢູ່​ທູບ
• ГруппаВконтакте
• Yandex Zen
• ເວັບໄຊທ໌້ຂອງພວກເຮົາ
• ຊ່ອງ Telegram

ແຫຼ່ງຂໍ້ມູນ: www.habr.com