Hej! VÀlkommen till sjÀtte lektionen i kursen . Vid vi har lÀrt oss grunderna i NAT-tekniken pÄ , och vi har ocksÄ slÀppt vÄr testanvÀndare pÄ internet. Nu Àr det dags att ta hand om anvÀndarens sÀkerhet pÄ dessa vidder. I denna lektion kommer vi att gÄ igenom följande sÀkerhetsprofiler: Web Filtering, Application Control samt HTTPS-inspektion.
För att börja bekanta oss med sĂ€kerhetsprofilerna behöver vi förstĂ„ en sak till â inspektionslĂ€gen.
Som standard anvÀnds Flow Based-lÀget. Det kontrollerar filer nÀr de passerar genom FortiGate utan buffring. SÄ snart paketet anlÀnder, behandlas det och vidarebefordras utan att vÀnta pÄ att hela filen eller webbsidan ska mottas. Det krÀver fÀrre resurser och ger högre prestanda Àn Proxy-lÀget, men samtidigt Àr inte hela sÀkerhetsfunktionaliteten tillgÀnglig. Till exempel kan datalÀckageskyddssystemet (DLP) endast anvÀndas i Proxy-lÀget.
Proxy-lĂ€get fungerar pĂ„ ett annat sĂ€tt. Det skapar tvĂ„ TCP-anslutningar, en mellan klienten och FortiGate, och en andra mellan FortiGate och servern. Detta gör det möjligt att buffra trafiken, det vill sĂ€ga att ta emot hela filen eller webbsidan. Skanning av filer för olika hot börjar först efter att hela filen har buffrats. Detta möjliggör tillĂ€mpning av ytterligare funktioner som inte Ă€r tillgĂ€ngliga i Flow Based-lĂ€get. Som ni ser verkar detta lĂ€ge som en motsats till Flow Based â sĂ€kerhet hĂ€r spelar huvudrollen medan prestanda hamnar i andra hand.
Det frĂ„gas ofta â vilket lĂ€ge Ă€r bĂ€ttre? Men hĂ€r finns ingen generell lösning. Allt Ă€r alltid individuellt och beror pĂ„ dina behov och uppgifter. Jag kommer under kursens gĂ„ng att försöka visa skillnaderna mellan sĂ€kerhetsprofilerna i Flow och Proxy-lĂ€gen. Detta kommer hjĂ€lpa till att jĂ€mföra funktionaliteten och avgöra vad som passar dig bĂ€st.
LÄt oss nu gÄ direkt till sÀkerhetsprofilerna och börja med Web Filtering. Det hjÀlper till att kontrollera eller övervaka vilka webbplatser anvÀndarna besöker. Jag tror det inte Àr nödvÀndigt att fördjupa sig i vikten av en sÄdan profil i dagens verklighet. LÄt oss istÀllet titta pÄ hur den fungerar.
NÀr TCP-anslutningen har upprÀttats begÀr anvÀndaren med en GET-förfrÄgan innehÄllet frÄn en specifik webbplats.
Om webbservern svarar positivt skickar den information om webbplatsen som svar. HÀr kommer webbfilter in i bilden. Det kontrollerar innehÄllet i detta svar. Under kontrollen skickar FortiGate i realtid en förfrÄgan till FortiGuard Distribution Network (FDN) för att bestÀmma kategorin för denna webbplats. NÀr kategorin för den specifika webbplatsen har faststÀllts genomför webbfilter ett visst ÄtgÀrd beroende pÄ instÀllningarna.
I Flow-lÀge finns det tre ÄtgÀrder:
- Allow â tillĂ„ta Ă„tkomst till webbplatsen
- Block â förbjuda Ă„tkomst till webbplatsen
- Monitor â tillĂ„ta Ă„tkomst till webbplatsen och registrera detta i loggarna
I Proxy-lÀge lÀggs ytterligare tvÄ ÄtgÀrder till:
- Warning â ge anvĂ€ndaren en varning om att de försöker besöka en viss resurs och ge anvĂ€ndaren möjlighet att antingen fortsĂ€tta eller lĂ€mna webbplatsen
- Authenticate â begĂ€ra anvĂ€ndarens inloggningsuppgifter â detta möjliggör för vissa grupper att fĂ„ Ă„tkomst till förbjudna kategorier av webbplatser.
PÄ webbplatsen du kan se alla kategorier och underkategorier av webbfilter samt ta reda pÄ vilken kategori en specifik webbplats tillhör. Och för anvÀndare av Fortinet-lösningar Àr detta en ganska anvÀndbar webbplats, jag rekommenderar att ni bekantar er med den nÀr ni har tid.
Om Application Control kan man sÀga ganska lite. Som namnet antyder gör den det möjligt att kontrollera applikationers funktionalitet. Detta görs med hjÀlp av mönster frÄn olika applikationer, sÄ kallade signaturer. Genom dessa signaturer kan den identifiera en specifik applikation och tillÀmpa en viss ÄtgÀrd:
- Allow â tillĂ„ta
- Monitor â tillĂ„ta och registrera detta i loggarna
- Block â förbjuda
- Quarantine â registrera hĂ€ndelsen i loggarna och blockera IP-adressen under en viss tid
Du kan Àven se befintliga signaturer pÄ webbplatsen .
Nu lÄt oss titta pÄ mekanismen för HTTPS-inspektion. Enligt statistik frÄn slutet av 2018 översteg andelen HTTPS-trafik 70%. Det betyder att utan anvÀndning av HTTPS-inspektion kan vi bara analysera cirka 30% av den trafik som gÄr genom nÀtverket. Först ska vi se hur HTTPS fungerar i grova drag.
Klienten initierar en TLS-förfrÄgan till webbservern och fÄr ett TLS-svar samt ser ett digitalt certifikat som mÄste vara betrott för den hÀr anvÀndaren. Detta Àr den nödvÀndiga minimibemÀrkelse vi behöver veta om HTTPS, men i verkligheten Àr dess funktion mycket mer komplex. Efter en lyckad TLS-handshake inleds överföringen av data i krypterad form. Och det Àr bra. Ingen kan fÄ tillgÄng till de data du utbyter med webbservern.
Men för sĂ€kerhetsmedarbetarna pĂ„ företagen Ă€r det en riktig huvudvĂ€rk, eftersom de inte kan se denna trafik och kontrollera dess innehĂ„ll varken med antivirusprogram, intrĂ„ngsskyddssystem eller DLP-system, ingenting. Detta pĂ„verkar ocksĂ„ kvaliteten pĂ„ definitionen av de program och webbresurser som anvĂ€nds inom nĂ€tverket â vilket Ă€r precis vad som rör vĂ„rt Ă€mne för lektionen. Problemet ska lösas med hjĂ€lp av teknologin för HTTPS-inspektion. Dess kĂ€rna Ă€r ganska enkel â i praktiken organiserar en enhet som sysslar med HTTPS-inspektion en Man In The Middle-attack. Det ser ut ungefĂ€r sĂ„ hĂ€r: FortiGate fĂ„ngar upp anvĂ€ndarens förfrĂ„gan, etablerar en HTTPS-anslutning med den och bygger sedan en HTTPS-session med resurserna som anvĂ€ndaren har begĂ€rt. PĂ„ anvĂ€ndarens dator kommer certifikatet som utfĂ€rdats av FortiGate att synas. Det mĂ„ste vara betrott för att webblĂ€saren ska tillĂ„ta anslutningen.
Faktum Àr att HTTPS-inspektion Àr en ganska komplicerad sak och har mÄnga begrÀnsningar, men inom ramen för denna kurs kommer vi inte att gÄ in pÄ det. Jag vill bara tillÀgga att implementeringen av HTTPS-inspektion inte Àr nÄgot man gör pÄ en minut, det tar vanligtvis cirka en mÄnad. Det Àr nödvÀndigt att samla in information om de nödvÀndiga undantagen, göra lÀmpliga instÀllningar, samla in Äterkoppling frÄn anvÀndare och justera instÀllningarna.
Den presenterade teorin samt den praktiska delen finns i den hÀr videolektionen:
I nÀsta lektion kommer vi att titta pÄ andra sÀkerhetsprofiler: antivirus och intrÄngsskyddssystem. För att inte missa den, följ oss för uppdateringar pÄ följande kanaler:
KĂ€lla: habr.com
