Penyaringan Konten Web dan Sinkhole DNS

Penjelajahan web merupakan salah satu jalur infeksi yang paling umum — unduhan berbahaya, eksploitasi drive-by, dan halaman phishing semuanya mengandalkan pengguna yang mengunjungi URL berbahaya. Penyaringan konten Web mengontrol situs web mana yang dapat diakses pengguna dan perangkat, serta memblokir kategori konten berbahaya atau yang melanggar kebijakan sebelum koneksi dibuat. Penyaringan dapat diterapkan pada lapisan proxy jaringan, lapisan DNS, atau langsung pada titik akhir. Jika dikonfigurasi dengan benar, penyaringan dapat menghentikan unduhan malware, panggilan balik command-and-control (C2), dan eksfiltrasi data bahkan ketika pertahanan lainnya gagal.

Proxy web berada di antara klien dan internet. Ketika pengguna membuka suatu URL, permintaan tersebut dikirim ke proxy, yang memeriksa URL berdasarkan (yang dikelola oleh vendor seperti Webroot, Zscaler, dan Palo Alto). Jika kategorinya diblokir (malware, perjudian, konten dewasa), proxy mengembalikan halaman pemblokiran. Jika diizinkan, proxy mengambil konten tersebut dan mengembalikannya kepada pengguna. Proxy eksplisit memerlukan konfigurasi browser; proxy transparan mencegat lalu lintas tanpa konfigurasi klien. Secure Web Gateway (SWG) berbasis Cloud memperluas penyaringan kepada pengguna jarak jauh tanpa mengarahkan lalu lintas kembali melalui jaringan perusahaan.

Penyaringan berbasis DNS memblokir domain berbahaya pada lapisan resolusi DNS, sebelum koneksi TCP apa pun dibuat. Ketika perangkat meminta resolusi domain berbahaya yang telah diketahui, resolver DNS mengembalikan IP sinkhole (atau NXDOMAIN), bukan alamat sebenarnya, sehingga koneksi sepenuhnya dicegah. Layanan seperti Cisco Umbrella, Cloudflare Gateway, dan Quad9 beroperasi sebagai resolver DNS Cloud yang menerapkan intelijen ancaman secara waktu nyata pada miliaran kueri. Penyaringan DNS sangat efektif untuk memblokir domain panggilan balik C2 dan domain distribusi malware.

DNS sinkhole adalah Server yang mengembalikan alamat IP palsu yang dikendalikan untuk domain yang diblokir. Ketika malware pada titik akhir mencoba melakukan resolusi domain C2-nya, sinkhole mengembalikan IP Server sinkhole. Upaya koneksi malware tersebut mencapai Server sinkhole, yang mencatat koneksi itu. Hal ini mengungkapkan: Host internal mana yang terinfeksi (karena melakukan kueri C2), seberapa sering Host tersebut mencoba melakukan panggilan balik, dan keluarga malware mana yang aktif (berdasarkan domain C2). Sinkhole mengubah lalu lintas berbahaya yang diblokir menjadi intelijen ancaman — sinkhole tidak hanya memblokir, tetapi juga mengidentifikasi Host yang terinfeksi untuk ditangani.

Basis data penyaringan URL mengategorikan miliaran URL ke dalam berbagai kategori: Malware, Phishing, C2 Botnet, Anonymizers/VPN, Konten Dewasa, Perjudian, Media Sosial, Penyimpanan Cloud, Media Streaming, Berita, dan ratusan kategori lainnya. Administrator mengonfigurasi kebijakan blokir (selalu menolak), kebijakan izinkan (selalu mengizinkan), dan kebijakan peringatan (pengguna melihat peringatan dan harus mengeklik untuk melanjutkan). Pengategorian URL dikelola secara waktu nyata oleh vendor; domain berbahaya baru biasanya ditambahkan dalam hitungan menit setelah terdeteksi. Kualitas basis data pengategorian secara langsung menentukan efektivitas penyaringan.

Karena sebagian besar lalu lintas web menggunakan HTTPS, proxy penyaringan konten harus melakukan inspeksi SSL/TLS (juga disebut SSL bumping atau inspeksi man-in-the-middle) untuk melihat isi sesi terenkripsi. Proxy mengakhiri sesi TLS dari klien, memeriksa kontennya, lalu mengenkripsinya kembali untuk dikirim ke Server. Sertifikat CA perusahaan didorong ke semua titik akhir terkelola melalui MDM, sehingga klien dapat mempercayai sertifikat yang ditandatangani ulang oleh proxy tanpa peringatan browser. Kategori yang sebaiknya dikecualikan dari inspeksi: perbankan, portal Healthcare, dan situs riset hukum — karena masalah privasi dan batasan peraturan.

Tantangan utama bagi penyaringan berbasis DNS adalah DNS over HTTPS (DoH). Browser seperti Chrome dan Firefox mendukung DoH dengan mengirimkan kueri DNS terenkripsi ke resolver seperti 1.1.1.1 atau 8.8.8.8, bukan ke resolver rekursif lokal. Hal ini melewati kontrol sinkhole dan penyaringan DNS karena kueri tidak pernah mencapai Server DNS perusahaan. Mitigasi Enterprise: menonaktifkan DoH melalui Group Policy, memblokir IP resolver DoH pada firewall, atau mengarahkan semua lalu lintas port 443/853 ke resolver DoH perusahaan yang memahami DoH menggunakan proxy transparan.

Sistem penyaringan konten hanya sebaik intelijen ancaman yang digunakannya. Platform penyaringan modern menggunakan beberapa umpan intelijen: umpan komersial (FireEye, Recorded Future, ThreatConnect) yang berisi IOC berbahaya terkurasi; umpan sumber terbuka (AlienVault OTX, abuse.ch, Emerging Threats); dan umpan organisasi khusus dari insiden sebelumnya. IOC dari umpan intelijen — domain berbahaya, IP, URL, dan hash file — secara otomatis dimasukkan ke dalam kebijakan penyaringan dalam hitungan menit setelah terdeteksi, sehingga memberikan perlindungan hampir waktu nyata terhadap ancaman yang baru ditemukan tanpa menunggu pembaruan basis data vendor.

Penyaringan Web tidak hanya mencakup pemblokiran seluruh situs. Penerapan Safe Search untuk mesin pencari (Google, Bing) menambahkan parameter Safe Search ke semua kueri, sehingga hasil eksplisit disaring tanpa memblokir mesin pencari sepenuhnya. Mode terbatas YouTube dapat diterapkan melalui pemetaan ulang DNS CNAME. Media sosial dapat diizinkan untuk keperluan bisnis, sementara aplikasi media sosial tertentu (unggah/unduh) diblokir melalui penyaringan pada lapisan aplikasi di proxy. Kontrol terperinci ini memungkinkan organisasi menyeimbangkan penggunaan untuk bisnis dengan penegakan kebijakan tanpa harus memilih keputusan blokir/izinkan secara biner.

Penyaringan Web menghasilkan telemetri yang kaya untuk mendukung operasi Security. Laporan yang perlu dipantau: hit kategori malware per pengguna dan perangkat (menunjukkan kemungkinan kompromi), upaya panggilan balik C2 (memerlukan penyelidikan segera), upaya melewati kebijakan (pola penggunaan anonymizer/VPN), dan risiko eksfiltrasi data (unggahan besar ke penyimpanan Cloud pribadi). Peringatan untuk hit kategori berbahaya dengan tingkat keyakinan tinggi harus terintegrasi dengan SIEM dan sistem tiket untuk memicu alur kerja penyelidikan otomatis. Pelaporan rutin kepada manajemen menunjukkan volume ancaman yang diblokir pada lapisan Web.

Penyaringan Web dapat diterapkan pada lapisan jaringan (proxy, resolver DNS) atau pada lapisan titik akhir (agen yang dipasang pada perangkat). Penyaringan berbasis jaringan melindungi semua perangkat tanpa pemasangan per perangkat, tetapi gagal ketika pengguna berada di luar VPN. Agen titik akhir memperluas penyaringan kepada pengguna jarak jauh dengan menjalankan penyaring secara lokal pada perangkat dan mengirimkan telemetri ke Cloud untuk pembaruan kebijakan. Model hibrida menggabungkan keduanya: penyaringan jaringan untuk lalu lintas di lokasi dan agen titik akhir untuk pekerja jarak jauh. Penyaringan Cloud berbasis DNS (Cisco Umbrella) mencapai cakupan hampir universal dengan membuat resolver perusahaan mengikuti perangkat ke mana pun perangkat tersebut pergi.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa: proxy penyaringan URL memeriksa permintaan Web berdasarkan basis data yang dikategorikan dan memblokir situs berbahaya atau yang melanggar kebijakan, DNS sinkhole mengembalikan IP palsu untuk domain berbahaya yang telah diketahui dan mengidentifikasi Host yang terinfeksi melalui upaya panggilan balik yang dicatat, serta pengelakan DoH merupakan ancaman signifikan terhadap penyaringan berbasis DNS yang memerlukan Group Policy, aturan firewall, atau proxy transparan sebagai mitigasi. Selanjutnya, kita akan membahas inspeksi SSL/TLS dan serangan man-in-the-browser.