Ruch pod kontrolą
-
- 20.11.2013
Jeśli witryna jest nieznana, automat pobiera ją i dokonuje analizy. Kluczowymi elementami strony będą próbki treści, na których podstawie można dokonać wstępnej klasyfikacji. Niektóre strony łatwo poddają się automatycznej analizie, dobrym przykładem jest obecność niektórych słów (choćby często pojawiające się słowo „win” pisane dużą, barwną czcionką na stronach związanych z hazardem), szczególnego rodzaju grafiki (pornografia) lub wiele różnych często aktualizowanych treści w obrębie jednej domeny, z różnymi szablonami wyglądu (blogi internetowe, serwisy wiadomości).
Są jednak strony, które wymykają się sztywnym kryteriom automatów, dlatego dostawcy posługują się grupą specjalistów, którzy analizują stronę ręcznie, przeglądając ją.
Kłopotliwa lista adresów
Internet jest dynamicznie rozwijającą się siecią i statyczne narzędzia nie nadążają z jej katalogowaniem oraz ochroną. Nawet jeśli lista jest aktualizowana codziennie (standard dla narzędzi antywirusowych), nadal są strony, których badacze nie odwiedzili i nie skatalogowali. Nie ma zatem dla takich serwisów żadnych reguł, w wielu urządzeniach pojawiają się jako „inne” lub „nieklasyfikowane”. Twórcy polityki bezpieczeństwa mogą zarządzić blokowanie stron, które nie znajdują się w pożądanych kategoriach, ale decyzja taka może mieć istotne skutki biznesowe.
Model statyczny, bazujący na listach adresów www, ma jeszcze inną wadę – słabo zabezpiecza przed szybko zmieniającymi się stronami, które są wektorami ataków dnia zerowego. Witryna udostępniająca niepożądane treści może być utworzona bardzo szybko, jej promocja za pomocą wiadomości e-mail następuje już po chwili. Statyczna lista URL nie da rady prawidłowo zablokować takiego ruchu. Szanse ma automatyczny filtr, który analizuje treść strony za pomocą odpowiedniego zestawu reguł (tak może działać np. DansGuardian), ale nadal skuteczność takich filtrów pozostawia wiele do życzenia. Na nowe zagrożenia najszybciej odpowiada filtr korzystający z klasyfikacji online, działający w modelu cloud computing.
Obecnie większość ataków nie odbywa się przez przełamanie zabezpieczeń zapory z zewnątrz, ale przez infekcję stacji roboczej obiektami pobieranymi z internetu. Ponieważ cały ten ruch odbywa się na portach 80 i 443, standardowe reguły zapory IP nie rozróżnią zawartości jedynie na podstawie portów. Aby rozciągnąć kontrolę nad danymi przesyłanymi w połączeniach HTTP, należy wprowadzić kontrolę treści. W polskich firmach znacznie częściej spotyka się filtr antywirusowy (lub antyspamowy) niż ochronę przez kategoryzację odwiedzanych stron www. Jest to poważny błąd.
… z firmy Fortinet mówi: „Radykalne zmniejszenie prawdopodobieństwa infekcji firmowego komputera można osiągnąć dzięki wprowadzeniu kategoryzacji stron www, w tym także ochrony bazującej na reputacji strony. Chociaż nie jest to całkowite zabezpieczenie, utrudnia infekcję złośliwym oprogramowaniem, gdyż włamywacz musi przełamać zabezpieczenia strony cieszącej się dobrą reputacją, a następnie z takiego portalu hostować malware. Jest to o wiele trudniejsze od instalacji serwera www w chmurze i hostowanie z niego złośliwego oprogramowania”.
