Перейти к содержанию
Сергей Ильин

Блокирование и просмотр HTTPS-трафика

Recommended Posts

Сергей Ильин

Хотел бы обсудить возможности предлагаемых на рынке продуктов по блокированию и мониторингу трафика https.

О такой фичи заявляет Websense и Symantec. Однако, что именно делается с трафиком https мало кто знает. Производители говорят о разборе HTTPS-трафика с подменой сертификатов (по сути атака man in the middle). Но все может сводиться на деле к банальной блокировке шифрованного трафика.

Дополнительно скажу, что функционал по разбору HTTPS уже тестируется у InfoWatch.

В связи с этим хотелось бы услышать мнения экспертов по реализации блокировки и мониторинга HTTP и вообще нужности такого решения.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Leo
Хотел бы обсудить возможности предлагаемых на рынке продуктов по блокированию и мониторингу трафика https.

О такой фичи заявляет Websense и Symantec. Однако, что именно делается с трафиком https мало кто знает. Производители говорят о разборе HTTPS-трафика с подменой сертификатов (по сути атака man in the middle). Но все может сводиться на деле к банальной блокировке шифрованного трафика.

Дополнительно скажу, что функционал по разбору HTTPS уже тестируется у InfoWatch.

В связи с этим хотелось бы услышать мнения экспертов по реализации блокировки и мониторинга HTTP и вообще нужности такого решения.

Ну мы это можем делать в версии с агентами -- контур информационной безопасности от СофтИнформ. Линка в подписи. Также мы ловим скайп причем и разговоры и чаты. Реально просто мы все перехватываем еще до уровня шифрования. В очень глубокие детали я не лез -- но принцип на самом деле один что для https что для скайпа что еще для чего то -- если ловишь на более низком уровне то шифрование ни на что не влияет :rolleyes:

А вот в том что касается блокирования, то делать это можно в варианте с агентами но не очень желательно. Так как сразу как мы начинаем говорить про блокировку защищенныъх каналов то может что то и нарушится да и человек сразу заметит, а как говорится " кто предупрежден тот вооружен "

Как показывает наша практика с учетом плотного общения с господами в погонах -- гораздо правильней ничего не тормозить а иметь всю информацию и грамотно проводить оперативную работу.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ashot
если ловишь на более низком уровне

Ты наверное имел ввиду на более высоком? На низком уровне уже все зашифровано, там транспорт фактически. Не шифрованный трафик можно снять только у приложения наверху.

Интересно, а при этом HTTPS-трафик ловится для любого браузера? Или только для IE и тех, кто юзает MS'вкую реализацию SSL?

Со скайпом тоже интересно - а как воспроизводить то, что записалось? У Скайпа проприаритарные кодеки (на базе GIPS) плюс ISAC, как быть?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
p2u

Со стороны атакующих: Применение сетевых протоколов в самой сети и тем более в приложениях - дефективное, и поэтому возможность для атак типа man-in-the-middle, подмены сертификатов, и т.д. всегда будет.

Со стороны пользователя, который не хочет, чтобы мониторили то, что он делает: Боюсь, что это только как-то сработает если создать белый список посещаемых сайтов (= ip-адресов) и не исключено, что и при этом можно обходить эти системы. В Китае, например, где специализируются в обход таких систем фильтрации (необязательно в недобрых целях) люди пользуются либо web-based proxy сайтами, либо Tunneling в обход таких фильтров. Против Websense и Symantec точно работает. Про других у меня пока информации нет.

P.S.: Главное и возможно очень ложное предположение во всём этом: те, которых мы наняли - все добрые, особенно те, которые обслуживают систему защиты.

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Ну мы это можем делать в версии с агентами -- контур информационной безопасности от СофтИнформ. Линка в подписи. Также мы ловим скайп причем и разговоры и чаты. Реально просто мы все перехватываем еще до уровня шифрования.

Кейлоггеры что ли ставите людям на машины? ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ashot
Кейлоггеры что ли ставите людям на машины

ну со стандратным (MS'ским SSL) все ясно, это можно сделать. А вот что делать если реализация SSL нестандартная?

со скайпом там тоже что-то можно через плагины получить, но в общем случаи записать разговор и потом его воспроизвести не получится (точнее так - если есть лицензия на GIPS плюс отдельно на кодек ISAC, то что-то можно пытаться делать), если только снимать аудио-поток со звуковой карточки.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001
Хотел бы обсудить возможности предлагаемых на рынке продуктов по блокированию и мониторингу трафика https.

Предлагаю ознакомиться со следующими решениями комплексного подхода к защите HTTP или HTTPS-трафика от Secure Computing.

О такой фичи заявляет Websense и Symantec. Однако, что именно делается с трафиком https мало кто знает
.

Подробные описания технолигии и компонентов см. по ссылкам.

Secure Web (Webwasher) >>>

Secure Web SmartFilter >>>

Secure Web Protection Service >>>

В наличии и с подробным иллюстрированным описанием:

Secure Web Filter - Веб-фильтр

Secure Web Anti-Malware - Anti-Malware для Интернет

Secure Web Anti-Virus - Антивирус для Интернет

Secure Web SSL Scanner - SSL-Сканер для Интернет

Secure Web Reporter - Веб-Репортер

Secure Web Instant Message and Peer-to-peer security

Secure Web Cache - Кэш для Web 2.0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Leo
Ты наверное имел ввиду на более высоком? На низком уровне уже все зашифровано, там транспорт фактически. Не шифрованный трафик можно снять только у приложения наверху.

Интересно, а при этом HTTPS-трафик ловится для любого браузера? Или только для IE и тех, кто юзает MS'вкую реализацию SSL?

Со скайпом тоже интересно - а как воспроизводить то, что записалось? У Скайпа проприаритарные кодеки (на базе GIPS) плюс ISAC, как быть?

Про терминологию высокий или узкий уровень тут вопрос риторики. Ну в общем на том уровне когда уже ушло от пользователя но пока еще не зашифровано.

От браузеров не зависит в принципе.

По скайпу -- а что воспроизводить? Если про чаты то мы получаем текст и его пишем к себе и индексим. А если про звук то кодеки тоже не причем -- все гораздо ниже -- скайп несмотря на свои кодеки тоже пользуется аппаратурой в частности звуковой картой и микрофоном. А аппаратуре кодеки фиолетовы.

Кейлоггеры что ли ставите людям на машины? ;)

Нет -- кейлогеры это пошло :rolleyes:

Есть технологии если очень низко копать. Сейчас вот по СкайпСниферу идет финальное тестирование и в конце мая уже будут коммерческие поставки (деньги уже пришли). А анонстирвоали мы это 19 марта на нашей презентации в Москве -- оно уже тогда в принципе работало. Сейчас подчищаются мелочи.

так что кому будет интересно следите за нашим сайтом и при желании в конце мая уже можно будет попробовать коммерческую весрию

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ashot
Про терминологию высокий или узкий уровень тут вопрос риторики

неа, это не вопрос вообще ;) это просто так и все.

скайп несмотря на свои кодеки тоже пользуется аппаратурой в частности звуковой картой и микрофоном.

Все понятно, я про этот путь написал в другом посте.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Вот, о чем я говорил. Теперь у InfoWatch в партнерсве с Aladdin есть проверка HTTPs трафика.

http://www.anti-malware.ru/forum/index.php?showtopic=7642

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Deja_Vu
так что кому будет интересно следите за нашим сайтом и при желании в конце мая уже можно будет попробовать коммерческую весрию

Сейчас QIP на основе SIPNET'a предоставляет связь - это вы тоже снифите?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Н.Зенин
О такой фичи заявляет Websense и Symantec. Однако, что именно делается с трафиком https мало кто знает. Производители говорят о разборе HTTPS-трафика с подменой сертификатов (по сути атака man in the middle). Но все может сводиться на деле к банальной блокировке шифрованного трафика.

Дополню о блокировании и мониторинге HTTPS трафика в названных решениях.

В общем, есть 3 уровня, на которых HTTPS отслеживается (все проверены нами на практике):

1) Подстановкой сертификатов. Для обоих продуктов нужна внешняя открывашка, например: для Websense DSS - Websense Content Gateway, для Symantec DLP - BlueCoat. Этот man in the middle подставляет общающимся сторонам свои сертификаты, читает трафик, передает его на анализ по тем же алгоритмам, что и HTTP. Способен заблокировать, если уходят секреты. Карантина нет.

2) Блокировкой протоколов. Брутально, но HTTPS можно прикрыть как класс для выбранных групп пользователей средствами самой DLP системы (Symantec DLP), либо интегрированными системами (Websense Web Security).

3) На уровне Endpoint агентов DLP системы до того, как созданный трафик был зашифрован, - подобно как это реализовал СофтИнформ

Ну мы это можем делать в версии с агентами

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Дополню о блокировании и мониторинге HTTPS трафика в названных решениях.

Николай, Спасибо. Итак, повторюсь, Symantec DLP работает с HTTPS через подстановку сертификатов на поддерживаемом Proxy сервере. На рабочих станциях Symantec Endpoint DLP агенты также могут работать с HTTPS через встраивание в виде плагинов в основные виды браузеров и разбор информации еще до ее шифрования

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      ---------------------------------------------------------
       4.15.6
      ---------------------------------------------------------
       o Исправлена ошибка из-за которой автоматически не замораживались потоки внедренные в uVS,
         если их код НЕ принадлежал одной из загруженных DLL.

       o Добавлена поддержка английского интерфейса при запуске под Win2k.

       
    • demkd
      Иногда спрашивают, как загрузиться в командную строку без диска, я постоянно забывают дополнить Общий FAQ.
      И вот наконец-то я про это вспомнил:
      Q: Как запустить uVS с командной строки Windows без использования загрузочного диска/флешки для работы с НЕактивной системой.
         (!) Для текущей версии uVS работа с командной строки доступна только для 32-х битных систем. (что бы работало в x64 системах, нужно делать uVS x64 и это запланировано).
         1. Если у вас Windows 8 и старше, то запустите start.exe и нажмите кнопку "Перезагрузить систему в меню дополнительных параметров загрузки".
         2. Далее в меню "Поиск и устранение неисправностей->Дополнительные параметры->Командная строка"
         3. Выберите админскую учетную запись и введите для нее пароль.
         4. Запустите start.exe из каталога uVS с командной строки.
            (!) Обычно система расположена на диске D.
                Например: uVS лежит в каталоге С:\uvs (в командной строке это будет D:\uvs)
                Для запуска uVS необходимо последовательно набрать 3 команды, завершая каждую нажатием клавиши Enter.
                1. d:
                2. cd d:\uvs
                3. start.exe
         5. Выбрать каталог Windows (обычно D:\Windows).
         Если у вас Windows 7 и младше, то в меню вы можете попасть только нажав F8 при перезагрузке системы
         (!) Использовать msconfig для этого не рекомендуется, система может не загрузиться после его использования.
         Для младших систем доступен только безопасный режим с поддержкой командной строки, т.е. система будет активна.
       
    • demkd
      ---------------------------------------------------------
       4.15.5
      ---------------------------------------------------------
       o Обновлена функция трансляции переменных окружения USERPROFILE, HOMEPATH, LOCALAPPDATA, APPDATA.
         Значения этих переменных теперь зависят от того где физически находится lnk файл.
         Теперь с разбором lnk файлов будет меньше проблем, но я все же рекомендую удалять ссылки
         на отсутствующие объекты только под текущем пользователем.

       o Исправлена функция разбора путей не содержащих букву диска.

       o Исправлена функция разбора аргументов rundll32.

       o Обновлен start.exe.
         o Обновлен интерфейс.
         o Изменена кнопка по умолчанию, теперь это "запуск под текущим пользователем".
         o Исправлена ошибка: при определенных параметрах повторный запуск uVS в режиме "до запуска эксплорера" был невозможен.
         
    • Ego Dekker
      Домашние антивирусы для Windows были обновлены до версии 17.1.13.
    • demkd
      ---------------------------------------------------------
       4.15.4
      ---------------------------------------------------------
       o Обновлен интерфейс.

       o Из Ф портировано окно "История запуска процессов" для комфортного распутывания цепочек запуска и взаимодействия
         процессов с задачами.
         Доступ к окну можно получить через меню "Дополнительно->История процессов и задач".
         В первом списке отображается история запуска процессов с момента старта системы (по данным журнала Windows).
         В списке доступен фильтрующий поиск по имени, PID и фильтрация по родительскому процессу (см. контекстное меню).
         В нижнем списке отображается история воздействия процессов на задачи с момента запуска системы, а если установлен
         фильтр родительского процесса то отображаются лишь те задачи с которым взаимодействовал родительский процесс.
         (!) История доступна лишь при активном отслеживании процессов и задач (Твик #39).
         (!) История не доступна для неактивных систем.

       o Обновлен формат образа автозапуска, образы созданные v4.15.4 не будут читаться старыми версиями uVS.
         Добавлено:
          o Мгновенный срез активности процессов на момент завершения создания образа (Запустить->Просмотр активности процессов [Alt+D])
          o История процессов и задач (Дополнительно->История процессов и задач)
            (!) История доступна лишь при активном отслеживании процессов и задач (Твик #39).
          o Защита образа от повреждений.

       o Утилита cmpimg обновлена до версии 1.04 для поддержки нового формата образов автозапуска.

       o Утилита uvs_snd обновлена до версии 1.05 для поддержки нового формата образов автозапуска.

       o Теперь при подключении к удаленной системе всегда запускается "v" версия uVS, если клиентская система не младше Vista.
         На удаленной системе всегда запускается обычная версия uVS для совместимости с системами младше Vista.

       o Исправлена ошибка отображения имени процесса при работе под Win2k в окне "Активность процессов".
         (!) Английская версия uVS НЕ_совместима с Win2k, с Win2k работает только русская версия.

       o Исправлена ошибка разбора состояния TCPIPv6 соединений.
       
×