Hallo! Welkom bij les zes van de cursus . Op we hebben de basisprincipes van het werken met de NAT-technologie onder de knie gekregen op , en we hebben onze testgebruiker het internet op gestuurd. Nu is het tijd om voor de veiligheid van de gebruiker in deze ruimte te zorgen. In deze les behandelen we de volgende beveiligingsprofielen: Web Filtering, Application Control, en HTTPS-inspectie.
Om te beginnen met de beveiligingsprofielen, moeten we nog een ding begrijpen ā de inspectiemodi.
Standaard wordt de Flow Based modus gebruikt. Deze controleert bestanden tijdens hun doorgang door FortiGate zonder buffering. Zodra een pakket aankomt, wordt het verwerkt en doorgestuurd, zonder te wachten op de ontvangst van een volledig bestand of webpagina. Het vereist minder middelen en zorgt voor betere prestaties dan de Proxy modus, maar biedt niet alle beveiligingsfunctionaliteiten. Bijvoorbeeld, het systeem voor het voorkomen van gegevenslekken (DLP) kan alleen in de Proxy modus worden gebruikt.
De Proxy modus werkt anders. Het creĆ«ert twee TCP-verbindingen, Ć©Ć©n tussen de cliĆ«nt en FortiGate, en een tweede tussen FortiGate en de server. Dit stelt het in staat om het verkeer te bufferen, ofwel een volledig bestand of webpagina te ontvangen. Het scannen van bestanden op verschillende bedreigingen begint pas nadat het volledige bestand is gebufferd. Dit maakt aanvullende mogelijkheden mogelijk die in de Flow Based modus niet beschikbaar zijn. Zoals je kunt zien, lijkt deze modus vrijwel het tegenovergestelde van Flow Based ā veiligheid speelt hier de belangrijkste rol, terwijl prestaties op de achtergrond komen.
Vaak wordt gevraagd ā welke modus is beter? Maar er is geen algemeen antwoord. Het is altijd individueel en hangt af van jouw behoeften en taken. Ik zal gedurende de cursus de verschillen tussen de beveiligingsprofielen in Flow en Proxy modi laten zien. Dit zal helpen om de functionaliteiten te vergelijken en te bepalen wat het beste bij jou past.
Laten we direct overgaan tot de beveiligingsprofielen en beginnen met Web Filtering. Dit helpt te controleren of te volgen welke websites gebruikers bezoeken. Ik denk niet dat het nodig is om dieper in te gaan op de noodzaak van zo'n profiel in de huidige realiteit. Laten we beter bekijken hoe het werkt.
Nadat de TCP-verbinding is ingesteld, vraagt de gebruiker met een GET-verzoek om de inhoud van een bepaalde website.
Als de webserver positief reageert, stuurt deze informatie over de website als antwoord. Hier komt de webfilter in beeld. Deze controleert de inhoud van dit antwoord. Tijdens de controle verzendt FortiGate in realtime een verzoek naar het FortiGuard Distribution Network (FDN) om de categorie van deze website te bepalen. Nadat de categorie van de specifieke website is vastgesteld, voert de webfilter op basis van de instellingen een specifieke actie uit.
In de Flow-modus zijn er drie acties beschikbaar:
- Allow ā toegang tot de website toestaan
- Block ā toegang tot de website verbieden
- Monitor ā toegang tot de website toestaan en dit in de logs vastleggen
In de Proxy-modus worden nog eens twee acties toegevoegd:
- Warning ā de gebruiker waarschuwen dat hij probeert een bepaalde bron te bezoeken en de gebruiker de keuze geven ā doorgaan of de website verlaten
- Authenticate ā de inloggegevens van de gebruiker opvragen ā dit stelt bepaalde groepen in staat toegang te krijgen tot verboden categorieĆ«n van websites.
staat geschreven: hier kunt u alle categorieƫn en subcategorieƫn van de webfilter bekijken en ook achterhalen tot welke categorie een specifieke website behoort. Voor gebruikers van Fortinet-oplossingen is dit een vrij nuttige site, dus ik raad aan om er in uw vrije tijd beter kennis mee te maken.
Over Application Control valt weinig te zeggen. Uit de naam blijkt dat het de werking van toepassingen controleert. Dit doet het met behulp van patronen van verschillende toepassingen, de zogenaamde handtekeningen. Aan de hand van deze handtekeningen kan het een specifieke toepassing identificeren en een bepaalde actie toepassen:
- Allow ā toestaan
- Monitor ā toestaan en dit in de logs vastleggen
- Block ā verbieden
- Quarantine ā het evenement in de logs vastleggen en het IP-adres een bepaalde tijd blokkeren
Bestaande handtekeningen kunnen ook op de website worden bekeken .
Laten we nu het mechanisme van HTTPS-inspectie bekijken. Volgens statistieken aan het einde van 2018 overschreed het aandeel HTTPS-verkeer de 70%. Dat betekent dat we zonder het gebruik van HTTPS-inspectie slechts ongeveer 30% van het binnenkomende netwerkverkeer kunnen analyseren. Laten we beginnen met een ruwe benadering van de werking van HTTPS.
De klant initieert een TLS-verzoek aan de webserver en ontvangt een TLS-antwoord, evenals een digitaal certificaat dat vertrouwd moet zijn voor deze gebruiker. Dit is het absolute minimum dat we moeten weten over hoe HTTPS werkt; in werkelijkheid is het systeem veel complexer. Na een succesvolle TLS-handshake begint de overdracht van gegevens in versleutelde vorm. En dat is goed. Niemand kan toegang krijgen tot de gegevens die u uitwisselt met de webserver.
Voor de beveiligingsprofessionals van bedrijven is dit echter een echte hoofdpijn, omdat ze dit verkeer niet kunnen zien en de inhoud ervan niet kunnen controleren met antivirussoftware, een inbraakpreventiesysteem, DLP-systemen of iets anders. Dit heeft ook een negatieve impact op de kwaliteit van de herkenning van de applicaties en webbronnen die binnen het netwerk worden gebruikt - precies datgene wat betrekking heeft op ons lesonderwerp. De technologie voor HTTPS-inspectie is bedoeld om dit probleem op te lossen. Het principe is heel eenvoudig: in feite organiseert een apparaat dat zich met HTTPS-inspectie bezighoudt een Man In The Middle-aanval. Het ziet er ongeveer als volgt uit: FortiGate onderschept het verzoek van de gebruiker, organiseert een HTTPS-verbinding met hem en stelt zelf een HTTPS-sessie op met de bron waar de gebruiker om vraagt. Op de computer van de gebruiker zal het certificaat zichtbaar zijn dat door FortiGate is uitgegeven. Dit moet vertrouwd zijn, zodat de browser de verbinding toestaat.
Eigenlijk is HTTPS-inspectie een vrij complexe zaak met veel beperkingen, maar in het kader van deze cursus zullen we dat niet behandelen. Ik voeg alleen toe dat de implementatie van HTTPS-inspectie geen kwestie van een paar minuten is; het duurt meestal ongeveer een maand. Het is nodig om informatie te verzamelen over de benodigde uitzonderingen, de relevante instellingen aan te passen, feedback van gebruikers te verzamelen en de instellingen bij te stellen.
De gegeven theorie en de praktische sectie worden gepresenteerd in deze video les:
In de volgende les zullen we andere beveiligingsprofielen bespreken: antivirus en een inbraakpreventiesysteem. Volg de updates op de volgende kanalen om het niet te missen:
Bron: habr.com
