Filtrering af webindhold og DNS-sinkholes

Webbrowsing er en af de mest almindelige infektionsvektorer — ondsindede downloads, drive-by-udnyttelser og phishing-sider er alle afhængige af, at brugere besøger skadelige URL'er. Filtrering af webindhold styrer, hvilke websteder brugere og enheder kan få adgang til, og blokerer kategorier af ondsindet indhold eller indhold, der overtræder politikker, før forbindelsen oprettes. Filtrering kan anvendes på netværksproxy-laget, DNS-laget eller direkte på slutpunktet. Når filtreringen er konfigureret korrekt, stopper den malwaredownloads, C2-tilbagekald og dataeksfiltration, selv når andre forsvarsmekanismer svigter.

En webproxy befinder sig mellem klienterne og internettet. Når en bruger går til en URL, sendes anmodningen til proxyen, som kontrollerer URL'en mod en kategoriseret URL-database (vedligeholdt af leverandører som Webroot, Zscaler og Palo Alto). Hvis kategorien er blokeret (malware, gambling eller voksenindhold), returnerer proxyen en blokeringsside. Hvis adgangen er tilladt, henter proxyen indholdet og returnerer det til brugeren. Eksplicitte proxyer kræver konfiguration af browseren, mens transparente proxyer opfanger trafik uden konfiguration af klienten. Cloudbaserede Secure Web Gateways (SWG'er) udvider filtreringen til fjernbrugere uden at føre trafikken i en omvej gennem virksomhedens netværk.

DNS-baseret filtrering blokerer ondsindede domæner på DNS-opløsningslaget, før der oprettes en TCP-forbindelse. Når en enhed forespørger efter et kendt ondsindet domæne, returnerer DNS-opløseren en sinkhole-IP-adresse (eller NXDOMAIN) i stedet for den rigtige adresse, så forbindelsen helt forhindres. Tjenester som Cisco Umbrella, Cloudflare Gateway og Quad9 fungerer som cloudbaserede DNS-opløsere, der anvender trusselsinformation i realtid på milliarder af forespørgsler. DNS-filtrering er særligt effektiv til at blokere C2-tilbagekaldsdomæner og domæner, der distribuerer malware.

En DNS-sinkhole er en server, der returnerer en falsk, kontrolleret IP-adresse for blokerede domæner. Når malware på et slutpunkt forsøger at opløse sit C2-domæne, returnerer sinkholen sinkhole-serverens IP-adresse. Malwarens forbindelsesforsøg rammer sinkhole-serveren, som logger forbindelsen. Det afslører: hvilke interne værter der er inficerede (de foretager C2-forespørgsler), hvor ofte de forsøger at foretage tilbagekald, og hvilken malwarefamilie der er aktiv (baseret på C2-domænet). Sinkholes omdanner blokeret ondsindet trafik til trusselsinformation — de blokerer ikke bare, men identificerer inficerede værter, så de kan afhjælpes.

URL-filtreringsdatabaser kategoriserer milliarder af URL'er i kategorier som Malware, Phishing, Botnet-C2, Anonymiseringstjenester/VPN, Voksenindhold, Gambling, Sociale medier, Cloudlager, Streamingmedier, Nyheder og hundredvis af andre. Administratorer konfigurerer blokeringspolitikker (afvis altid), tilladelsespolitikker (tillad altid) og advarselspolitikker (brugeren får vist en advarsel og skal klikke sig videre). URL-kategoriseringen vedligeholdes i realtid af leverandører, og nye ondsindede domæner tilføjes typisk inden for få minutter efter registrering. Kvaliteten af kategoriseringsdatabasen afgør direkte, hvor effektiv filtreringen er.

Da det meste webtrafik er HTTPS, skal proxyer, der filtrerer indhold, udføre SSL/TLS-inspektion (også kaldet SSL-bumping eller man-in-the-middle-inspektion) for at se indholdet i krypterede sessioner. Proxyen afslutter TLS-sessionen fra klienten, inspicerer indholdet og krypterer det igen til serveren. Et virksomheds-CA-certifikat distribueres til alle administrerede slutpunkter via MDM, så klienterne kan have tillid til proxyens signerede certifikater uden browseradvarsler. Kategorier, der ikke bør inspiceres, omfatter banktjenester, sundhedsportal og juridiske researchwebsteder på grund af hensyn til privatliv og lovgivningsmæssige begrænsninger.

En væsentlig udfordring for DNS-baseret filtrering er DNS over HTTPS (DoH). Browsere som Chrome og Firefox understøtter DoH og sender DNS-forespørgsler krypteret til opløsere som 1.1.1.1 eller 8.8.8.8 i stedet for den lokale rekursive DNS-opløser. Det omgår DNS-sinkhole- og filtreringskontroller, fordi forespørgslerne aldrig når virksomhedens DNS-server. Foranstaltninger i virksomheden er: deaktivér DoH via Group Policy, blokér IP-adresserne på DoH-opløserne ved firewallen eller omdirigér al trafik på port 443/853 til virksomhedens DoH-bevidste DNS-opløser ved hjælp af en transparent proxy.

Filtreringssystemer er kun så gode som deres trusselsinformation. Moderne filtreringsplatforme bruger flere informationsfeeds: kommercielle feeds (FireEye, Recorded Future, ThreatConnect) med udvalgte ondsindede IOC'er, open source-feeds (AlienVault OTX, abuse.ch, Emerging Threats) og brugerdefinerede organisatoriske feeds fra tidligere hændelser. IOC'er fra informationsfeeds — ondsindede domæner, IP-adresser, URL'er og filhashværdier — sendes automatisk ind i filtreringspolitikker inden for få minutter efter registrering. Det giver beskyttelse næsten i realtid mod nyopdagede trusler uden at vente på opdateringer af leverandørens database.

Webfiltrering rækker videre end at blokere hele websteder. Håndhævelse af sikker søgning for søgemaskiner (Google, Bing) tilføjer parametre for sikker søgning til alle forespørgsler og filtrerer eksplicitte resultater uden at blokere hele søgemaskinen. YouTubes begrænsede tilstand kan håndhæves via DNS-CNAME-omlægning. Sociale medier kan tillades til arbejdsbrug, mens bestemte programmer til sociale medier (upload/download) blokeres gennem filtrering på programlaget i proxyen. Disse detaljerede kontroller giver organisationer mulighed for at afveje arbejdsbrug mod håndhævelse af politikker uden binære beslutninger om blokering eller tilladelse.

Webfiltrering genererer omfattende telemetri, som leverer data til sikkerhedsdriften. Rapporter, der bør overvåges, omfatter: forekomster i malwarekategorier pr. bruger og enhed (angiver et muligt kompromis), forsøg på C2-tilbagekald (kræver øjeblikkelig undersøgelse), forsøg på at omgå politikker (brugsmønstre for anonymiseringstjenester/VPN) og risiko for dataeksfiltration (store uploads til personligt cloudlager). Alarmer om ondsindede kategoriforekomster med høj sikkerhed bør integreres med SIEM- og sagsstyringssystemer, så automatiserede arbejdsgange for undersøgelse udløses. Regelmæssig rapportering til ledelsen viser omfanget af de trusler, der blokeres på web-laget.

Webfiltrering kan anvendes på netværkslaget (proxy, DNS-opløser) eller på slutpunktslaget (en agent installeret på enheden). Netværksbaseret filtrering beskytter alle enheder uden installation på hver enkelt enhed, men fungerer ikke, når brugere er uden for VPN. Slutpunktsagenter udvider filtreringen til fjernbrugere ved at køre filteret lokalt på enheden og sende telemetri til skyen for at hente politikopdateringer. Hybridmodeller kombinerer begge dele: netværksfiltrering for trafik på virksomhedens lokalitet og slutpunktsagenter for fjernarbejdere. Cloudbaseret DNS-filtrering (Cisco Umbrella) opnår næsten fuldstændig dækning ved at få virksomhedens DNS-opløser til at følge enheden, uanset hvor den befinder sig.

I denne lektion har du lært, at URL-filtreringsproxyer kontrollerer webanmodninger mod kategoriserede databaser og blokerer ondsindede websteder eller websteder, der overtræder politikker, at DNS-sinkholes returnerer falske IP-adresser for kendt ondsindede domæner og identificerer inficerede værter gennem loggede tilbagekaldsforsøg, og at omgåelse via DoH er en væsentlig trussel mod DNS-baseret filtrering, som kræver Group Policy, firewallregler eller en transparent proxy for at blive begrænset. I næste afsnit undersøger vi SSL/TLS-inspektion og man-in-the-browser-angreb.