Penapisan Kandungan Web dan Lubang Sink DNS

Pelayaran web merupakan salah satu vektor jangkitan yang paling lazim — muat turun berniat jahat, eksploit pandu lalu dan halaman pancingan data semuanya bergantung pada pengguna yang melawati URL berbahaya. Penapisan kandungan Web mengawal tapak web yang boleh diakses oleh pengguna dan peranti, dengan menyekat kategori kandungan berniat jahat atau yang melanggar Policy sebelum sambungan dibuat. Penapisan boleh digunakan pada lapisan Proxy rangkaian, lapisan DNS atau pada titik akhir itu sendiri. Jika dikonfigurasikan dengan betul, penapisan menghentikan muat turun Malware, panggilan balik arahan dan kawalan (C2), serta penyingkiran data walaupun pertahanan lain gagal.

Proxy Web berada di antara Client dan internet. Apabila pengguna melayari URL, Request dihantar kepada Proxy, yang menyemak URL tersebut terhadap pangkalan data URL berkategori (diselenggarakan oleh vendor seperti Webroot, Zscaler, Palo Alto). Jika kategori itu disekat (Malware, Gambling, kandungan Adult), Proxy memulangkan halaman sekatan. Jika dibenarkan, Proxy mengambil kandungan tersebut dan memulangkannya kepada pengguna. Proxy eksplisit memerlukan konfigurasi Browser; Proxy telus memintas trafik tanpa konfigurasi Client. Secure Web Gateway (SWG) berasaskan Cloud meluaskan penapisan kepada pengguna jarak jauh tanpa menghantar trafik secara berlingkar melalui rangkaian korporat.

Penapisan berasaskan DNS menyekat domain berniat jahat pada lapisan resolusi DNS, sebelum sebarang sambungan TCP dibuat. Apabila peranti membuat pertanyaan untuk domain berniat jahat yang diketahui, penyelesai DNS memulangkan IP sinkhole (atau NXDOMAIN) dan bukannya alamat sebenar, lalu menghalang sambungan sepenuhnya. Perkhidmatan seperti Cisco Umbrella, Cloudflare Gateway dan Quad9 beroperasi sebagai penyelesai DNS Cloud yang menggunakan risikan ancaman secara masa nyata pada berbilion-bilion pertanyaan. Penapisan DNS amat berkesan untuk menyekat domain panggilan balik C2 dan domain pengedaran Malware.

Sinkhole DNS ialah Server yang memulangkan alamat IP palsu yang dikawal untuk domain yang disekat. Apabila Malware pada titik akhir cuba menyelesaikan domain C2-nya, sinkhole memulangkan IP Server sinkhole tersebut. Percubaan sambungan Malware akan sampai ke Server sinkhole, yang merekodkan sambungan itu. Ini mendedahkan: Host dalaman yang dijangkiti (kerana membuat pertanyaan C2), kekerapan percubaan panggilan balik, dan keluarga Malware yang aktif (berdasarkan domain C2). Sinkhole menukarkan trafik berniat jahat yang disekat kepada risikan ancaman — sinkhole bukan sekadar menyekat, malah mengenal pasti Host yang dijangkiti untuk pemulihan.

Pangkalan data penapisan URL mengkategorikan berbilion-bilion URL kepada kategori: Malware, Phishing, C2 Botnet, Anonymizers/VPN, Kandungan Adult, Gambling, Media Social, Cloud Storage, Media penstriman, News dan ratusan lagi. Pentadbir mengkonfigurasikan Policy sekatan (sentiasa menolak), Policy kebenaran (sentiasa membenarkan) dan Policy amaran (pengguna melihat amaran dan mesti mengklik untuk meneruskan). Pengkategorian URL diselenggarakan dalam masa nyata oleh vendor; domain berniat jahat baharu biasanya ditambahkan dalam beberapa minit selepas dikesan. Kualiti pangkalan data pengkategorian menentukan keberkesanan penapisan secara langsung.

Memandangkan kebanyakan trafik Web menggunakan HTTPS, Proxy penapisan kandungan mesti melakukan pemeriksaan SSL/TLS (juga dipanggil penggandaan SSL atau pemeriksaan man-in-the-middle) untuk melihat kandungan dalam sesi yang disulitkan. Proxy menamatkan sesi TLS daripada Client, memeriksa kandungan tersebut dan menyulitkannya semula sebelum menghantarnya kepada Server. Sijil CA korporat dihantar kepada semua titik akhir terurus melalui MDM, lalu membolehkan Client mempercayai sijil yang ditandatangani semula oleh Proxy tanpa amaran Browser. Kategori yang tidak sepatutnya diperiksa termasuk perbankan, portal Healthcare dan tapak penyelidikan undang-undang — disebabkan kebimbangan privasi dan kekangan peraturan.

Cabaran utama bagi penapisan berasaskan DNS ialah DNS melalui HTTPS (DoH). Browser seperti Chrome dan Firefox menyokong DoH dengan menghantar pertanyaan DNS yang disulitkan kepada penyelesai seperti 1.1.1.1 atau 8.8.8.8, bukannya kepada penyelesai rekursif setempat. Ini memintas sinkhole DNS dan kawalan penapisan kerana pertanyaan tidak pernah sampai ke Server DNS korporat. Mitigasi Enterprise: nyahdayakan DoH melalui Group Policy, sekat IP penyelesai DoH pada firewall atau halakan semula semua trafik port 443/853 kepada penyelesai DoH korporat yang menyedari DoH menggunakan Proxy telus.

Sistem penapisan kandungan hanya sebaik risikan ancamannya. Platform penapisan moden menggunakan pelbagai suapan risikan: suapan komersial (FireEye, Recorded Future, ThreatConnect) dengan IOC berniat jahat yang dipilih dan disusun; suapan sumber terbuka (AlienVault OTX, abuse.ch, Emerging Threats); dan suapan organisasi tersuai daripada insiden terdahulu. IOC daripada suapan risikan — domain, IP, URL dan cincangan fail berniat jahat — ditolak secara automatik ke dalam Policy penapisan dalam beberapa minit selepas dikesan, lalu menyediakan perlindungan hampir masa nyata terhadap ancaman yang baru ditemui tanpa menunggu kemas kini pangkalan data vendor.

Penapisan Web merangkumi lebih daripada sekadar menyekat keseluruhan tapak. Penguatkuasaan Safe Search untuk enjin carian (Google, Bing) menambahkan parameter Safe Search pada semua pertanyaan, lalu menapis hasil eksplisit tanpa menyekat enjin carian sepenuhnya. Mod terhad YouTube boleh dikuatkuasakan melalui pemetaan semula DNS CNAME. Media Social boleh dibenarkan untuk kegunaan perniagaan sambil menyekat aplikasi Media Social tertentu (muat naik/muat turun) melalui penapisan pada lapisan aplikasi di Proxy. Kawalan terperinci ini membolehkan organisasi mengimbangi penggunaan perniagaan dengan penguatkuasaan Policy tanpa keputusan sekat/benar secara binari.

Penapisan Web menjana telemetri yang kaya untuk menyokong operasi Security. Laporan yang perlu dipantau: hit kategori Malware bagi setiap pengguna dan peranti (menunjukkan kemungkinan pencerobohan), percubaan panggilan balik C2 (memerlukan penyiasatan segera), percubaan memintas Policy (corak penggunaan Anonymizers/VPN) dan risiko penyingkiran data (muat naik besar ke Cloud Storage peribadi). Pemberitahuan bagi hit kategori berniat jahat berkeyakinan tinggi hendaklah disepadukan dengan SIEM dan sistem tiket untuk mencetuskan aliran kerja penyiasatan automatik. Pelaporan berkala kepada pihak pengurusan menunjukkan jumlah ancaman yang disekat pada lapisan Web.

Penapisan Web boleh digunakan pada lapisan rangkaian (Proxy, penyelesai DNS) atau pada lapisan titik akhir (agen yang dipasang pada peranti). Penapisan berasaskan rangkaian melindungi semua peranti tanpa pemasangan bagi setiap peranti, tetapi gagal apabila pengguna berada di luar VPN. Agen titik akhir meluaskan penapisan kepada pengguna jarak jauh dengan menjalankan penapis secara setempat pada peranti dan menghantar telemetri kepada Cloud untuk kemas kini Policy. Model hibrid menggabungkan kedua-duanya: penapisan rangkaian untuk trafik di premis dan agen titik akhir untuk pekerja jarak jauh. Penapisan Cloud berasaskan DNS (Cisco Umbrella) mencapai liputan hampir menyeluruh dengan membolehkan penyelesai korporat mengikuti peranti ke mana-mana sahaja peranti itu pergi.

Dalam pelajaran ini, anda mempelajari bahawa: Proxy penapisan URL menyemak Request Web terhadap pangkalan data berkategori dan menyekat tapak berniat jahat atau yang melanggar Policy, sinkhole DNS memulangkan IP palsu untuk domain berniat jahat yang diketahui serta mengenal pasti Host yang dijangkiti melalui percubaan panggilan balik yang direkodkan, dan pintasan DoH merupakan ancaman besar kepada penapisan berasaskan DNS yang memerlukan Group Policy, peraturan firewall atau Proxy telus untuk dikurangkan. Seterusnya, kita akan meneroka pemeriksaan SSL/TLS dan serangan man-in-the-browser.