Webinhaltsfilterung und DNS-Sinkholes

Das Surfen im Web gehört zu den häufigsten Infektionswegen – schädliche Downloads, Drive-by-Exploits und Phishing-Seiten setzen allesamt voraus, dass Benutzer schädliche URLs aufrufen. Webinhaltsfilterung steuert, auf welche Websites Benutzer und Geräte zugreifen können, und blockiert Kategorien schädlicher oder gegen Richtlinien verstoßender Inhalte, bevor die Verbindung hergestellt wird. Die Filterung kann auf der Ebene des Netzwerkproxys, des DNS oder direkt am Endpunkt erfolgen. Bei korrekter Konfiguration verhindert die Filterung Malware-Downloads, Command-and-Control-(C2)-Callbacks und Datenexfiltration, selbst wenn andere Schutzmaßnahmen versagen.

Ein Webproxy befindet sich zwischen Clients und dem Internet. Wenn ein Benutzer eine URL aufruft, wird die Anfrage an den Proxy gesendet. Dieser prüft die URL anhand einer kategorisierten URL-Datenbank, die von Anbietern wie Webroot, Zscaler und Palo Alto gepflegt wird. Wenn die Kategorie blockiert ist (Malware, Glücksspiel, nicht jugendfreie Inhalte), gibt der Proxy eine Blockierungsseite zurück. Wenn der Zugriff zulässig ist, ruft der Proxy den Inhalt ab und liefert ihn an den Benutzer zurück. Explizite Proxys erfordern eine Konfiguration des Browsers; transparente Proxys fangen den Datenverkehr ohne Clientkonfiguration ab. Cloudbasierte Secure Web Gateways (SWGs) erweitern die Filterung auf Remote-Benutzer, ohne den Datenverkehr über das Unternehmensnetzwerk zurückzuführen.

DNS-basierte Filterung blockiert schädliche Domänen bereits bei der DNS-Auflösung, bevor eine TCP-Verbindung hergestellt wird. Wenn ein Gerät eine bekannte schädliche Domäne abfragt, gibt der DNS-Resolver statt der tatsächlichen Adresse eine Sinkhole-IP-Adresse (oder NXDOMAIN) zurück und verhindert so die Verbindung vollständig. Dienste wie Cisco Umbrella, Cloudflare Gateway und Quad9 fungieren als cloudbasierte DNS-Resolver, die Bedrohungsinformationen in Echtzeit auf Milliarden von Abfragen anwenden. DNS-Filterung ist besonders wirksam beim Blockieren von C2-Callback-Domänen und Domänen zur Malware-Verteilung.

Ein DNS-Sinkhole ist ein Server, der für blockierte Domänen eine gefälschte, kontrollierte IP-Adresse zurückgibt. Wenn Malware auf einem Endpunkt versucht, ihre C2-Domäne aufzulösen, gibt das Sinkhole die IP-Adresse des Sinkhole-Servers zurück. Der Verbindungsversuch der Malware erreicht den Sinkhole-Server, der die Verbindung protokolliert. Dadurch wird sichtbar, welche internen Hosts infiziert sind (sie stellen C2-Abfragen), wie häufig sie Callbacks versuchen und welche Malware-Familie aktiv ist (anhand der C2-Domäne). Sinkholes verwandeln blockierten schädlichen Datenverkehr in Bedrohungsinformationen – sie blockieren nicht nur, sondern identifizieren auch infizierte Hosts zur Behebung.

URL-Filterungsdatenbanken ordnen Milliarden von URLs Kategorien zu: Malware, Phishing, Botnet-C2, Anonymisierer/VPN, nicht jugendfreie Inhalte, Glücksspiel, soziale Medien, Cloud-Speicher, Streamingmedien, Nachrichten und Hunderte weitere. Administratoren konfigurieren Blockierungsrichtlinien (immer verweigern), Zulassungsrichtlinien (immer erlauben) und Warnrichtlinien (der Benutzer sieht eine Warnung und muss den Zugriff bestätigen). Die URL-Kategorisierung wird von den Anbietern in Echtzeit gepflegt; neue schädliche Domänen werden typischerweise innerhalb weniger Minuten nach ihrer Erkennung hinzugefügt. Die Qualität der Kategorisierungsdatenbank bestimmt unmittelbar die Wirksamkeit der Filterung.

Da der meiste Webdatenverkehr über HTTPS erfolgt, müssen Inhaltsfilterungsproxys eine SSL/TLS-Inspektion (auch SSL-Bumping oder Man-in-the-Middle-Inspektion genannt) durchführen, um verschlüsselte Sitzungen einsehen zu können. Der Proxy beendet die TLS-Sitzung des Clients, überprüft den Inhalt und verschlüsselt ihn für den Server erneut. Ein Unternehmens-CA-Zertifikat wird über MDM auf alle verwalteten Endpunkte verteilt. Dadurch vertrauen die Clients den vom Proxy neu signierten Zertifikaten, ohne Browserwarnungen anzuzeigen. Kategorien, die aufgrund von Datenschutzbedenken und regulatorischen Vorgaben nicht überprüft werden sollten, sind beispielsweise Banken, Gesundheitsportale und juristische Recherche-Websites.

Eine große Herausforderung für DNS-basierte Filterung ist DNS over HTTPS (DoH). Browser wie Chrome und Firefox unterstützen DoH und senden DNS-Abfragen verschlüsselt an Resolver wie 1.1.1.1 oder 8.8.8.8, statt den lokalen rekursiven Resolver zu verwenden. Dadurch werden DNS-Sinkhole- und Filterungskontrollen umgangen, da die Abfragen den Unternehmens-DNS-Server nie erreichen. Maßnahmen in Unternehmen: DoH über Gruppenrichtlinien deaktivieren, IP-Adressen von DoH-Resolvern an der Firewall blockieren oder den gesamten Datenverkehr über Port 443/853 mithilfe eines transparenten Proxys an den DoH-fähigen Unternehmensresolver umleiten.

Inhaltsfiltersysteme sind nur so gut wie ihre Bedrohungsinformationen. Moderne Filterungsplattformen nutzen mehrere Informations-Feeds: kommerzielle Feeds (FireEye, Recorded Future, ThreatConnect) mit kuratierten schädlichen IOCs; Open-Source-Feeds (AlienVault OTX, abuse.ch, Emerging Threats) und benutzerdefinierte Organisations-Feeds aus früheren Vorfällen. IOCs aus Informations-Feeds – schädliche Domänen, IPs, URLs und Datei-Hashes – werden innerhalb weniger Minuten nach der Erkennung automatisch in die Filterungsrichtlinien übernommen. So entsteht ein nahezu Echtzeitschutz vor neu entdeckten Bedrohungen, ohne auf Aktualisierungen der Anbieterdatenbanken warten zu müssen.

Webfilterung geht über das vollständige Blockieren ganzer Websites hinaus. Die Erzwingung der sicheren Suche für Suchmaschinen (Google, Bing) ergänzt alle Abfragen um Safe-Search-Parameter und filtert explizite Ergebnisse, ohne die Suchmaschine vollständig zu blockieren. Der eingeschränkte YouTube-Modus kann über eine DNS-CNAME-Umleitung erzwungen werden. Soziale Medien können für geschäftliche Zwecke erlaubt werden, während bestimmte Social-Media-Anwendungen (Upload/Download) durch Filterung auf Anwendungsebene am Proxy blockiert werden. Diese detaillierten Kontrollen ermöglichen es Organisationen, die geschäftliche Nutzung und die Durchsetzung von Richtlinien auszubalancieren, ohne ausschließlich zwischen Blockieren und Zulassen wählen zu müssen.

Webfilterung erzeugt umfangreiche Telemetriedaten für den Sicherheitsbetrieb. Zu überwachende Berichte: Treffer in der Malware-Kategorie pro Benutzer und Gerät (Hinweis auf eine mögliche Kompromittierung), Versuche von C2-Callbacks (erfordern eine sofortige Untersuchung), Versuche, Richtlinien zu umgehen (Nutzungsmuster von Anonymisierern/VPNs) und Risiko der Datenexfiltration (große Uploads in persönliche Cloud-Speicher). Warnmeldungen bei mit hoher Wahrscheinlichkeit schädlichen Kategorietreffern sollten in SIEM- und Ticketsysteme integriert werden, um automatisierte Untersuchungsabläufe auszulösen. Regelmäßige Berichte an die Geschäftsleitung zeigen das Ausmaß der auf der Webebene blockierten Bedrohungen.

Webfilterung kann auf der Netzwerkebene (Proxy, DNS-Resolver) oder auf der Endpunktebene (auf dem Gerät installierter Agent) erfolgen. Netzwerkbasierte Filterung schützt alle Geräte ohne Installation auf jedem einzelnen Gerät, versagt jedoch, wenn Benutzer nicht mit dem VPN verbunden sind. Endpunktagenten erweitern die Filterung auf Remote-Benutzer, indem sie den Filter lokal auf dem Gerät ausführen und Telemetriedaten für Richtlinienaktualisierungen an die Cloud senden. Hybride Modelle kombinieren beides: Netzwerkfilterung für den Datenverkehr vor Ort und Endpunktagenten für Remote-Mitarbeiter. Cloudbasierte DNS-Filterung (Cisco Umbrella) erreicht eine nahezu vollständige Abdeckung, indem der Unternehmensresolver dem Gerät überallhin folgt.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: URL-Filterungsproxys prüfen Webanfragen anhand kategorisierter Datenbanken und blockieren schädliche oder gegen Richtlinien verstoßende Websites, DNS-Sinkholes geben für bekanntermaßen schädliche Domänen gefälschte IP-Adressen zurück und identifizieren infizierte Hosts anhand protokollierter Callback-Versuche, und die DoH-Umgehung stellt eine erhebliche Bedrohung für DNS-basierte Filterung dar, die durch Gruppenrichtlinien, Firewallregeln oder einen transparenten Proxy eingedämmt werden muss. Als Nächstes behandeln wir SSL/TLS-Inspektion und Man-in-the-Browser-Angriffe.