问候！ 欢迎来到本课程的第六课 。 上 我们已经掌握了使用 NAT 技术的基础知识 ，并将我们的测试用户发布到互联网上。 现在是时候关心用户在开放空间中的安全了。 在本课中，我们将了解以下安全配置文件：Web 过滤、应用程序控制和 HTTPS 检查。
要开始使用安全配置文件，我们还需要了解一件事：检查模式。
默认为基于流的模式。 它在文件通过 FortiGate 时对其进行检查，无需缓冲。 一旦数据包到达，就会对其进行处理和转发，而无需等待整个文件或网页被接收。 与代理模式相比，它需要更少的资源并提供更好的性能，但与此同时，并非所有安全功能都可用。 例如，数据泄漏防护 (DLP) 只能在代理模式下使用。
代理模式的工作方式有所不同。 它创建两个 TCP 连接，一个在客户端和 FortiGate 之间，第二个在 FortiGate 和服务器之间。 这允许它缓冲流量，即接收完整的文件或网页。 仅在整个文件缓冲后才开始扫描文件中的各种威胁。 这允许您使用基于流程的模式中不可用的其他功能。 正如您所看到的，这种模式似乎与基于流的模式相反 - 安全性在这里起着主要作用，而性能则退居二线。
人们常常会问：哪种模式更好？ 但这里没有通用的食谱。 一切都是个性化的，取决于您的需求和目标。 在课程的后面，我将尝试展示流模式和代理模式下安全配置文件之间的差异。 这将帮助您比较功能并决定哪一个最适合您。
让我们直接转到安全配置文件，首先看一下 Web 过滤。 它有助于监控或跟踪用户访问的网站。 我认为没有必要更深入地解释当前现实中对这样一个概况的必要性。 让我们更好地了解它是如何工作的。
一旦建立 TCP 连接，用户就使用 GET 请求来请求特定网站的内容。
如果网络服务器做出积极响应，则会发回有关网站的信息。 这就是网络过滤器发挥作用的地方。 它验证该响应的内容。在验证过程中，FortiGate 向 FortiGuard 分发网络 (FDN) 发送实时请求，以确定给定网站的类别。 确定特定网站的类别后，网络过滤器根据设置执行特定操作。
Flow 模式下可以执行三种操作：
- 允许 - 允许访问该网站
- 阻止 - 阻止对网站的访问
- 监控 - 允许访问网站并将其记录在日志中
在代理模式下，还添加了两个操作：
- 警告 - 向用户发出警告，表明他正在尝试访问某个资源，并给用户一个选择 - 继续或离开网站
- 身份验证 - 请求用户凭据 - 这允许某些组访问受限类别的网站。
该网站 您可以查看网页过滤器的所有类别和子类别，还可以找出特定网站属于哪个类别。 总的来说，这对于 Fortinet 解决方案的用户来说是一个非常有用的网站，我建议您在空闲时间更好地了解它。
关于应用程序控制，可以说的很少。 顾名思义，它允许您控制应用程序的操作。 他使用来自各种应用程序的模式（所谓的签名）来做到这一点。 使用这些签名，他可以识别特定的应用程序并对其应用特定的操作：
- 允许-允许
- 监控 - 允许并记录此行为
- 阻止-禁止
- 隔离 - 在日志中记录事件并阻止 IP 地址一段时间
您还可以在网站上查看现有签名 .
现在我们来看看HTTPS检查机制。 据2018年底统计，HTTPS流量占比超过70%。 也就是说，如果不使用 HTTPS 检查，我们将只能分析通过网络的大约 30% 的流量。 首先，让我们粗略地看看 HTTPS 是如何工作的。
客户端向 Web 服务器发起 TLS 请求并接收 TLS 响应，并且还会看到该用户必须信任的数字证书。 这是我们需要了解的关于 HTTPS 工作原理的最低限度的信息；事实上，它的工作方式要复杂得多。 成功 TLS 握手后，加密数据传输开始。 这很好。 没有人可以访问您与网络服务器交换的数据。
然而，对于公司安全人员来说，这确实是一个令人头痛的问题，因为他们无法看到这些流量，也无法使用防病毒软件、入侵防御系统、DLP 系统或其他任何东西来检查其内容。 这也会对网络内使用的应用程序和 Web 资源的定义质量产生负面影响 - 这正是与我们的课程主题相关的。 HTTPS检查技术就是为了解决这个问题而设计的。 其本质非常简单——实际上，执行 HTTPS 检查的设备组织了中间人攻击。 它看起来像这样：FortiGate 拦截用户的请求，组织与其连接的 HTTPS 连接，然后打开与用户访问的资源的 HTTPS 会话。 在这种情况下，FortiGate 颁发的证书将在用户的计算机上可见。 浏览器必须信任它才能允许连接。
事实上，HTTPS检查是一个相当复杂的事情，并且有很多限制，但我们在本课程中不会考虑这一点。 我只是补充一点，实施 HTTPS 检查不是几分钟的事；通常需要一个月左右的时间。 有必要收集有关必要例外的信息，进行适当的设置，收集用户的反馈并调整设置。
本视频课程中介绍了给定的理论以及实践部分：
在下一课中，我们将了解其他安全配置文件：防病毒和入侵防御系统。 为了不错过，请关注以下渠道的更新：
来源： habr.com