問候！ 歡迎來到本課程的第六課 。 上 我們已經掌握了使用 NAT 技術的基礎知識 ，並將我們的測試用戶發佈到網路上。 現在是時候關心使用者在開放空間中的安全了。 在本課程中，我們將了解以下安全性設定檔：Web 過濾、應用程式控制和 HTTPS 檢查。
要開始使用安全性設定文件，我們還需要了解一件事：檢查模式。
預設為基於流的模式。 它在檔案通過 FortiGate 時對其進行檢查，無需緩衝。 一旦資料包到達，就會對其進行處理和轉發，而無需等待整個文件或網頁被接收。 與代理模式相比，它需要更少的資源並提供更好的效能，但同時，並非所有安全功能都可用。 例如，資料外洩防護 (DLP) 只能在代理模式下使用。
代理模式的工作方式有所不同。 它會建立兩個 TCP 連接，一個在客戶端和 FortiGate 之間，第二個在 FortiGate 和伺服器之間。 這允許它緩衝流量，即接收完整的文件或網頁。 僅在整個文件緩衝後才開始掃描文件中的各種威脅。 這允許您使用基於流程的模式中不可用的其他功能。 正如您所看到的，這種模式似乎與基於流的模式相反 - 安全性在這裡起著主要作用，而性能則退居二線。
人們常常會問：哪種模式比較好？ 但這裡沒有通用的食譜。 一切都是個人化的，取決於您的需求和目標。 在課程的後面，我將嘗試展示在串流模式和代理模式下安全性設定檔之間的差異。 這將幫助您比較功能並決定哪一個最適合您。
讓我們直接轉到安全設定文件，首先看一下 Web 過濾。 它有助於監控或追蹤用戶訪問的網站。 我認為沒有必要更深入地解釋當前現實中對這樣一個概況的必要性。 讓我們更好地了解它是如何工作的。
一旦建立 TCP 連接，使用者就使用 GET 請求來請求特定網站的內容。
如果網頁伺服器做出積極回應，則會傳回有關網站的資訊。 這就是網路過濾器發揮作用的地方。 它驗證該回應的內容。在驗證過程中，FortiGate 向 FortiGuard 分發網路 (FDN) 發送即時請求，以確定給定網站的類別。 確定特定網站的類別後，網路過濾器會根據設定執行特定操作。
Flow 模式下可以執行三種操作：
- 允許 - 允許訪問該網站
- 阻止 - 阻止對網站的訪問
- 監控 - 允許訪問網站並將其記錄在日誌中
在代理模式下，還新增了兩個操作：
- 警告 - 向使用者發出警告，表明他正在嘗試存取某個資源，並給使用者一個選擇 - 繼續或離開網站
- 身份驗證 - 請求使用者憑證 - 這允許某些群組存取受限類別的網站。
該網站 您可以查看網頁過濾器的所有類別和子類別，也可以找出特定網站屬於哪個類別。 總的來說，這對於 Fortinet 解決方案的用戶來說是一個非常有用的網站，我建議您在空閒時間更好地了解它。
關於應用程式控制，可以說的很少。 顧名思義，它允許您控制應用程式的操作。 他使用來自各種應用程式的模式（所謂的簽名）來做到這一點。 使用這些簽名，他可以識別特定的應用程式並對其應用特定的操作：
- 允許-允許
- 監控 - 允許並記錄此行為
- 阻止-禁止
- 隔離 - 在日誌中記錄事件並阻止 IP 位址一段時間
您也可以在網站上查看現有簽名 .
現在我們來看看HTTPS檢查機制。 根據2018年底統計，HTTPS流量佔比超過70%。 也就是說，如果不使用 HTTPS 檢查，我們將只能分析通過網路的大約 30% 的流量。 首先，讓我們粗略地看看 HTTPS 是如何運作的。
用戶端向 Web 伺服器發起 TLS 請求並接收 TLS 回應，並且還會看到該用戶必須信任的數位憑證。 這是我們需要了解的關於 HTTPS 工作原理的最低限度的信息；事實上，它的工作方式要複雜得多。 成功 TLS 握手後，加密資料傳輸開始。 這很好。 沒有人可以存取您與網路伺服器交換的資料。
然而，對於公司安全人員來說，這確實是一個令人頭痛的問題，因為他們無法看到這些流量，也無法使用防毒軟體、入侵防禦系統、DLP 系統或其他任何東西來檢查其內容。 這也會對網路內使用的應用程式和 Web 資源的定義品質產生負面影響 - 這正是與我們的課程主題相關的。 HTTPS檢查技術就是為了解決這個問題而設計的。 其本質非常簡單——實際上，執行 HTTPS 檢查的設備組織了中間人攻擊。 它看起來像這樣：FortiGate 攔截用戶的請求，組織與其連接的 HTTPS 連接，然後打開與用戶訪問的資源的 HTTPS 會話。 在這種情況下，FortiGate 頒發的憑證將在使用者的電腦上可見。 瀏覽器必須信任它才能允許連線。
事實上，HTTPS檢查是一個相當複雜的事情，並且有很多限制，但我們在本課程中不會考慮這一點。 我只是補充一點，實作 HTTPS 檢查不是幾分鐘的事；通常需要一個月左右的時間。 有必要收集有關必要例外的信息，進行適當的設置，收集用戶的反饋並調整設置。
本影片課程中介紹了給定的理論以及實踐部分：
在下一課中，我們將了解其他安全設定檔：防毒和入侵防禦系統。 為了不錯過，請關注以下頻道的更新：
來源： www.habr.com