Чем отличается мониторинг трафика от фильтрации

Фильтрация сетевого трафика

Фильтрация сетевого трафика необходима для ограничения доступа пользователей к определенной информации. Реализовывается путем использования специализированного программного и (или) аппаратного обеспечения.

Благодаря применению систем фильтрации трафика можно получить:

• защиту от атак: шпионских программ, DDoS-атак и прочих;
• невозможность посещения зараженных или нежелательных интернет-сайтов;
• обнаружение средств слежения за активностью пользователей.

Современные сайты стали динамичнее, поэтому размер кода каждой страницы увеличился. Это открыло большие возможности для злоумышленников, которые могут незаметно внедрить даже малый программный текст, чтобы впоследствии совершить атаку. Благодаря url-фильтрации обеспечивается пропуск только безопасного содержимого, внешние угрозы блокируются.

Показатели контент-фильтров

Условно системы фильтрации сетевого трафика можно оценить по четырем параметрам:

1. Подотчетность. Оценивается степень участия населения в политике фильтрации контента.
2. Точность. Определяется успешность цензуры: избыточное или недостаточное блокирование.
3. Прозрачность. Четкость параметров, позволяющих отнести трафик к запрещенному.
4. Открытость. Пользователь получает достоверную информацию о посещении ресурса, отнесенного к запрещенным. Иначе происходит «маскировка» блокировки под технические неполадки.

Классификация фильтрации трафика

Учитывая метод установки систем фильтрации, их делят на четыре группы:

1. Международный уровень. Централизованный подход к фильтрации DNS-запросов на государственном уровне. Обеспечивается полнота контроля, хотя требуются большие затраты в организации метода.
2. Уровень интернет-провайдеров. Для этого организации пользуются перечнями запрещенных сайтов, сформированными судами и государственными службами. Метод признан надежным, характеризуется доступной стоимостью.
3. Уровень интернет-шлюза. Используется частными предприятиями, образовательными и государственными организациями. Требуется особое ПО, обеспечивающее фильтрацию. Метод сохраняет быстроту интернет-доступа, обеспечивая широту настройки контроля. Для этого требуется штатный или внештатный специалист либо привлечение сторонней специализированной организации.
4. Уровень компьютера пользователя. ПО инсталлируется на ПК. Метод эффективен для домашнего использования, а также для применения на небольших предприятиях. Это доступное решение, хотя требует непосредственного участия пользователя.

Отсюда существуют системы:

1. Аппаратно-программные комплексы. В этом случае требуется монтаж специализированного оборудования (коммутаторов для распределения трафика).
2. Браузеры. Они способны обеспечить https-фильтрацию при использовании ПК детьми. Количество настроек ограничено, поэтому решение подходит для домашнего применения.
3. Программы, встроенные в ОС. Еще один вариант родительского контроля.
4. Специализированное ПО. Пример – Carbon Reductor DPI. ПО разработано и поддерживается нашей компанией. О нем стоит сказать отдельно, поскольку именно такое специализированное ПО актуально в текущих российских реалиях и федеральных законах.

Carbon Reductor DPI

ПО прошло тестирование, рекомендуется как эффективное средство фильтрации. Как свидетельствуют данные провайдеров, использующих эту систему, она показала свою эффективность на 100% в блокировке запрещенных интернет-ресурсов. Такой результат стал итогом более чем 7-летнего труда нашей компанией в области фильтрации и внедрения свыше 350 функций.

Выделим такие преимущества продукта:

• блокирует ресурсы, отнесенные к запрещенным (автоматическая актуализация списков Минюста и Роскомнадзора);
• выполняет ряд законов: ФЗ-436, ФЗ-398, ФЗ-187, ФЗ-149, ФЗ-139;
• действует по схеме «зеркалирования трафика», что не влияет на работоспособность сети и скорость доступа в интернет для Ваших абонентов;
• использует сразу 8 технологий фильтрации трафика, позволяет обрабатывать до 900 тысяч пакетов трафика в секунду;
• обладает полноценным веб-интерфейсом для просмотра статистики, формирования отчетов и т. д.

Отметим, что DPI (Deep Packet Inspection) является технологией фильтрации и классификации трафика по содержимому. Предполагает применение углубленного принципа, чем отличается от решений в виде брандмауэров, которые анализируют только пакеты. Большинство отечественных провайдеров используют именно такие системы. Они позволяют блокировать конкретные ссылки, находящиеся в реестре, исключая блокирование домена или IP-адреса.

DPI-системы способны определять и исключать работу вирусов, устранять ненужную информацию. Содержимое трафика анализируется на втором уровне модели OSI и выше. Используется статистическая информация.

Заключение

Сегодня на рынке присутствует множество инструментов разного уровня для эффективной фильтрации трафика. Учитывая важные факторы, DPI-системы считаются самыми уместными для этих целей. Используя подобные комплексы, провайдерам можно не просто обеспечить классификацию и фильтрацию сетевого трафика, но и повысить лояльность клиентов, прибыльность и другие бизнес-показатели, не выходя за рамки действующего законодательства.

Системы мониторинга и фильтрация контента

На пороге 21-го века, когда развитие «движения Интернет-пользователей» в России не носило эпидемического характера, а подключение к Интернету являлось прерогативой людей, по роду своей деятельности близких или вхожих в среду специалистов по ИТ, об автоматизированных системах поточной фильтрации Интернет-трафика, по большому счету, никто не задумывался. Шли годы, количество пользователей Глобальной сети росло в геометрической прогрессии, развивались технологии, изменялись форматы и характер ведения бизнеса, претерпевали модификацию технологические процессы, высокоскоростные коммуникации и надежная связь все активнее внедрялись в повседневную работу любой организации. В итоге Интернет, как международная сеть, объединяющая воедино информационные ресурсы, относящиеся к разным направлениям деятельности, стал одним из основных инструментов ведения успешного бизнеса.

Риски для бизнеса

У любой медали — две стороны. Наряду с очевидной пользой для бизнеса всеобщая информатизация и повышение компьютерной грамотности привели к появлению принципиально новых, ранее не принимаемых во внимание рисков для бизнеса.

Не требуется разбираться в структуре php-кода или периодически компилировать новое ядро *nux операционных систем, чтобы купить необходимое для подключения к Интернету оборудование, установить на свой домашний компьютер дополнительное программное обеспечение и настроить доступ в Глобальную сеть в соответствии с прилагаемой инструкцией. А дальше новый член движения Интернет-пользователей получает реальную возможность для саморазвития и поиска интересующей его информации любыми доступными ему способами. Способов этих, как известно, очень и очень много.

Представим теперь, что тот же человек является сотрудником крупной организации, централизованно подключенной к сети Интернет. Сотрудники по отношению к организации могут занимать две позиции: либо лояльно относиться к своей работе, либо нелояльно. Говорить о нейтралитете нелогично. К сожалению, в настоящее время, даже будучи лояльно настроенным, сотрудник, используя ресурсы Глобальной сети на рабочем месте без должного контроля и защиты, рискует нанести существенный урон организации, сам того не желая.

Для иллюстрации данного факта можно обратиться к статистике 2008-2009 гг., подготовленной ведущими в области информационной безопасности аналитическими агентствами. Более 50% всех доказанных и опубликованных утечек информации непосредственно с рабочих мест сотрудников на территории организаций по всему миру в 2008 г. были осуществлены случайно, т.е. без умысла со стороны сотрудников. В большинстве случаев были зафиксированы следы работы программ с потенциально опасными последствиями, а также факты использования на рабочем месте несанкционированно установленного программного обеспечения с недокументированными возможностями.

Менталитет российских организаций таков, что руководство предпочитает публикациям молчание, поэтому получить точную статистику по России достаточно проблематично.

Что уж говорить о нелояльно настроенных сотрудниках, цель которых — получить максимальную выгоду от своей организации, используя для этого любые доступные способы и каналы выноса информации. В условиях, когда использование периферийных портов на служебных компьютерах сотрудников повсеместно контролируется, права пользователя в операционной системе ограничены, а внос-вынос носителей информации регламентирован, единственным доступным и возможным способом «увода» информации остается сеть общего пользования — Интернет.

Обладая минимальными техническими знаниями, сотрудник, допущенный по роду своей деятельности к информации ограниченного доступа, используя базовые инструменты и средства сети Интернет, потенциально обладает возможностью совершить попытку несанкционированного «увода» информации за пределы охраняемой зоны. Это риск, который неизбежен. Вероятность реализации такого риска совпадает с вероятностью реализации рискового события, связанного с поэтапным физическим запоминанием сотрудником доступной ему информации и выносом ее с территории. Защититься здесь практически невозможно.

Поэтому одной из основных задач, которые ставятся перед подразделением, ответственным за обеспечение информационной безопасности в организации, является минимизация до приемлемого уровня вероятности реализации рисков нарушения конфиденциальности информации ограниченного доступа, в том числе недопущение фактов компрометации информации инсайдерами.

Инсайдер, и/или потенциальный внутренний нарушитель информационной безопасности, — это лицо, обладающее служебными полномочиями в отношении информационных активов и/или знаниями особенностей организационно-технической среды и способное использовать их нежелательным для организации образом.

К инсайдерам относятся следующие лица:

• сотрудники организации, работающие по трудовому договору или договору подряда;
• сотрудники внешних организаций, которые согласно договору и/или предписанию выполняют работы на территории организации или используют доступ к автоматизированным системам;
• лица, не работающие по трудовому договору или договору подряда, выполняющие специальные поручения руководства и/или находящиеся с ним в родственных отношениях.

Задачи контроля посещения сотрудниками в рабочее и нерабочее время сайтов, содержание (например, наличие на странице ActiveX-компонентов или исполняемых файлов JavaScript, при запуске которых на рабочую станцию через HTTP загружается, а затем и устанавливается часть полиморфного вируса) или сервисы (например, электронная конференция, форум или файловый сервер) которых потенциально могут привести к компрометации информации и/или нарушению работоспособности внутренней инфраструктуры, лежат в зоне ответственности подразделения, ответственного за обеспечение информационной безопасности. При этом отходит на второй план прикладное содержание страниц — социальные сети, Интернет-игры или сайты с содержанием, не относящимся напрямую к выполнению сотрудниками служебных обязанностей. С точки зрения применяемой технологии поточной фильтрации Интернет-трафика не имеет значения, какие сайты (URL-адреса сайтов) блокировать.

Основные угрозы ИБ

В общем случае при работе сотрудников организации в Интернете можно выделить следующие классы угроз информационной безопасности.

• Угроза нарушения конфиденциальности: утечка сведений ограниченного доступа (коммерческая, банковская, служебная тайна, персональные данные) через доступные для размещения информации ресурсы в Интернет (внешняя «freeware» электронная почта, форумы, конференции, файловые хранилища, сервисы общения в режиме реального времени, социальные сети, HTTPS-туннелирование и т.д.).
• Перехват, пассивное (sniffering) или активное (men-in-the-midle) подслушивание или выманивание информации ограниченного доступа у пользователей Глобальной сети с помощью методов социальной инженерии и технических инструментов (например, подмена адреса доверенного объекта доступа — phishing).
• Угроза нарушения доступности/целостности: несанкционированное распространение во внутренней локальной вычислительной сети полученных из Интернета программ с потенциально опасными последствиями.

Здесь можно вспомнить не только вредоносное программное обеспечение, но и «чистое ПО», не имеющее подтверждений наличия юридически должным образом оформленных отношений с разработчиком и/или правообладателем.

Также всегда нужно помнить и рассматривать репутацион-ные риски от использования сотрудниками ресурсов Интернета в личных целях и/или в ущерб интересам организации, в том числе для получения нелицензионных мультимедиа-файлов, а также файлов другого рода, доступных в Интернете и защищенных авторскими правами на территории Российской Федерации.

Требования к системам фильтрации

Вероятность реализации перечисленных выше угроз и рисков может быть снижена путем внедрения в организации программно-аппаратного комплекса защиты на базе системы поточной фильтрации содержимого проходящего Интернет-трафика (далее — СФ).

Общий принцип работы СФ подробно описывается в рекламной документации производителей и на сайтах компаний -системных интеграторов и по этой причине не является предметом рассмотрения данной статьи.

Однако хотелось бы более подробно остановиться на этапе проектирования и составления требований по информационной безопасности к такого рода системам. Наряду с требованиями к внедряемой автоматизированной системе подразделений, ответственных за информационное обеспечение организации, к СФ должны предъявляться комплексные требования по информационной безопасности, к которым в общем случае относятся:

1. Обеспечение комплексного подхода к организации подсистемы антивирусной защиты:

• проверка файлов на наличие вредоносного программного кода должна выполняться несколькими (более одного), работающими последовательно продуктами, представленными ведущими мировыми компаниями — производителями антивирусных решений;
• база вирусных сигнатур должна обладать возможностью ручного добавления (полуавтоматического импорта) объектов;
• обновление баз данных вирусных сигнатур должно производиться на регулярной основе не реже одного раза в 12 часов;
• весь текст HTML-страницы любого сайта должен проверяться на предмет наличия в нем вредоносного кода, в том числе динамически полиморфного кода, содержащего элементы высокоуровневого программирования;
• должна присутствовать возможность создания групп для проведения антивирусных проверок, а также должен быть реализован интерфейс для назначения и управления антивирусными проверками для групп пользователей.

2. Наличие подсистемы фильтрации, в которой должны быть реализованы перечисленные ниже потенциальные возможности:

• поддержка и обработка следующих протоколов: HTTP, HTTPS, FTP, ICQ, SMTP/POP3;
• категорирование сайтов — динамическая (в автоматическом и полуавтоматическом режимах с использование встроенных инструментов, средств) категоризация сайтов, а также фильтрация ресурсов по различным признакам, в том числе по категориям URL, спискам доменных имен, адресов и т.д.;
• интерактивность — разграничение доступа по категориям сайтов на уровне пользователей Интернета и вывод предупреждающих сообщений на экран пользователю о нарушении им политики информационной безопасности в организации;
• групповые политики — разграничение доступа на уровне групп пользователей, создание типовых профилей, а также назначение политик доступа отдельным объектам: пользователю, группе, типу протокола, IP-адресу и др.;
• тонкая настройка — создание собственных, отличных от типовых, категорий сайтов, схем категоризации, последовательностей анализа и т.д.

3. Гибкая политики лицензирования:

• при истечении срока лицензии проходящий через системы фильтрации поток трафика не должен блокироваться;
• политика лицензирования программно-аппаратного решения, включающего антивирусную подсистему и URL-фильтрацию, должна базироваться на принципе учета одновременно работающих с системой пользователей.

4. Наличие подсистемы журналирования событий и интерфейсов формирования отчетности. Количество событий и глубина протоколирования определяются спецификой работы организации.

5. Наличие реализованных интерфейсов для интеграции СФ со следующими классами систем, используемых в организации:

• межсетевые экраны;
• служба каталогов;
• система обнаружения вторжений;
• антивирусные решения;
• SNMP-управление и мониторинг состояния;
• системы SMTP/SNMP/SMS-оповещения.

Комплексный подход

Необходимо понимать, что даже с учетом выполнения разработчиками всех перечисленных выше требований к функциональности и уровню обеспечения информационной безопасности СФ не гарантирует стопроцентную защиту и снижение рисков до минимально возможного значения. Для любого средства защиты рано или поздно будут найдены обходные пути, которые позволят, пренебрегая требованиями политики информационной безопасности, несанкционированно выполнять действия в Интернете.

Таким образом, необходимо, чтобы подходы к обеспечению безопасности при работе сотрудников в сети Интернет были комплексными. Недостаточно просто фильтровать трафик, анализируя контент на предмет наличия в нем шаблонных (сигнатурных) элементов или проверять URL-адреса по черным спискам, пусть даже динамически обновляемым. Существуют ошибки первого и второго рода, которые не позволят с уверенностью говорить о корректной работе системы фильтрации.
На основе имеющегося опыта можно предложить развертывание комплексного решения по предоставлению доступа в Интернет для сотрудников крупной организации, состоящего из следующих основных частей (см. рис.):

1) комплекс межсетевого экранирования;

2) система терминального доступа (клиент — сервер);

3) файловые серверы для получения, промежуточного хранения, проверки на наличие вредоносного кода и односторонней передачи полученной информации;

4) система поточной фильтрации в кластерном исполнении:

• proxy-сервер прикладного уровня;
• сервер URL-фильтрации;
• потоковое антивирусное средство.

Предложенное решение призвано обеспечить приемлемый уровень защищенности информации, хранимой и обрабатываемой во внутренней сети организации.

Опубликовано: Журнал «Information Security/ Информационная безопасность» #2, 2009

Что такое фильтрация трафика. Объясняем простыми словами

Фильтрация трафика — ограничение доступа пользователей к нежелательным сайтам.

Наряду с полезной информации в интернете соседствует и вредоносная. Программное обеспечение, которое анализирует трафик, вычисляет и блокирует опасную информацию, позволяя избежать заражения вирусом или утечки данных.

Кроме того, некоторые компании контролируют деятельность своих сотрудников в Сети, блокируя соцсети и развлекательные сайты, чтобы повысить эффективность работы.

Сюда же относится родительский контроль — блокировка сайтов, нежелательных для посещения детьми.

Трафик может быть заблокирован на различных уровнях:

• Интернет-провайдером (по решению суда).
• Интернет-шлюзом (частные компании, образовательные организации).
• Пользователем ПК (программы родительского контроля).

Пример употребления на «Секрете»

«Технические средства противодействия угрозам использует РКН для фильтрации трафика и ограничения доступа к запрещённым ресурсам. С помощью этого оборудования власти в марте 2021 года замедлили работу Twitter из-за отказа удалять запрещённый контент».

(Из материала о новых правилах регистрации в мессенджерах в России.)

Нюансы

В числе востребованных средств фильтрации опрошенные «Секретом» эксперты называют: брандмауэры, сетевые экраны, DLP-системы, интернет-роутеры, прокси-серверы, VPN и другие.

Все средства фильтрации трафика работают по примерно одинаковому принципу, рассказывает руководитель отдела продвижения продуктов компании «Код Безопасности» Павел Коростелев:

«Можно представить поступающий трафик в видео различных «слов». Средства фильтрации имеют «словарь» «слов», которые не следует пропускать. Как только они видят «слово» из «словаря», то просто блокируют его. Для обхода ограничения фильтрации могут использоваться «синонимы». Продвинутые средства фильтрации трафика используют не просто «словари», а механизмы, которые способны анализировать контекст «слов» и выявлять даже «синонимы»».

Тенденции

Грубые ограничения и фильтры (например, по конкретным адресам — как доменным, так и IP, порталов в интернет), оставаясь наиболее надёжно работающими средствами и не выходя из применения полностью, уступают значимые доли рынка решениям, в которых применяется класс технологий DPI (deep packet inspection). Об этом рассказал заместитель управляющего директора по технологиям кибербезопасности Positive Technologies Павел Кузнецов.

По его словам, DPI позволяет реализовать более умный подход к фильтрации, основанный на автоматизированном анализе буквально каждого передаваемого пакета информации в рамках конкретных сетевых протоколов (например, HTTP для привычного всем web-сёрфинга в браузерах).

На принципах DPI основаны большинство современных защитных решений классов NGFW (next-generation firewall, брандмауэры следующего поколения) и NTA (network traffic analysis).

«С их помощью можно эффективно решать не только стандартные задачи разграничения сетевых потоков, но и более «интеллектуальные»: выявление аномалий в поведении пользователей в сети и взаимодействии различных её узлов, чёткое детектирование определённых типов компьютерных атак и их блокирование, анализ массива передаваемых данных в режиме реального времени и в исторической перспективе после их накопления, профилирование действий пользователей и автоматизированных систем, что в конечном итоге может послужить, при желании, даже для оптимизации некоторых бизнес-процессов», — объяснил эксперт.

Фильтрация HTTPS трафика

Шлюз веб-безопасности (SWG). Гибко разграничивает доступ к веб-ресурсам, приложениям и файлам, защищает от зараженных и фишинговых сайтов, блокирует утечки через веб-канал.

Получить консультацию по продукту Solar webProxy

В наше время, когда высокоскоростной интернет становится все более доступным, практически весь интернет-трафик подлежит шифрованию. Шифрование данных является критическим элементом стандартов кибербезопасности. Это делает перехваченный злоумышленниками трафик бесполезным, обеспечивая защиту конфиденциальной информации от доступа третьих лиц. Однако это также создает проблемы для средств защиты, поскольку вредоносное программное обеспечение может проникнуть в ИТ-инфраструктуру компании через зашифрованный трафик и остаться незамеченным, что в конечном итоге может привести к утечке информации. Подробно рассмотрим, что такое HTTPS, почему он предпочтительнее HTTP, а также как фильтрация трафика помогает защитить конфиденциальную информацию от киберпреступников.

Что такое HTTPS?

Информация в интернете передается посредством различных протоколов, таких как HTTP, FTP, POP3, SSH. Эти протоколы передачи данных обеспечивают условия для идентификации и обмена информацией между различными приложениями на логическом уровне. Протокол HTTP долгое время был стандартом для передачи данных с веб-сайтов. Однако, с развитием интернет-технологий и появлением новых киберугроз, возникла необходимость усовершенствовать и улучшить этот протокол. Так появилась более безопасная версия — HTTPS, которая поддерживает шифрование данных.

HTTPS отличается от своего предшественника, HTTP, поддержкой механизмов транспорта SSL и TLS. Обе версии протокола работают на прикладном уровне модели OSI (L7). HTTPS помогает защититься от кибератак, основанных на прослушивании соединения (например, «sniffing» или «man in the middle»). Для обеспечения защиты необходимо использовать средства шифрования и убедиться, что сертификат сервера прошел проверку и находится в списке доверенных.

Идентификация сервера в протоколе HTTPS основана на первоначальной отправке сертификата сервером клиенту. Сертификат включает URI сервера, и идентификация осуществляется на основе стандарта Х.509 (RFC 2459). Если имя сервера не совпадает с информацией, указанной в сертификате, пользователю отправляется уведомление (например, в браузере). После этого пользователь самостоятельно принимает решение о дальнейшем использовании незащищенного соединения или его прерывании.

Как работает HTTPS-фильтрация трафика?

Процесс фильтрации сетевого трафика представляет собой сложную последовательность действий, которая включает в себя следующие этапы:

1. Расшифровка трафика. Этот процесс может быть как законным, так и незаконным, в зависимости от того, кто и с какой целью его выполняет. В обоих случаях происходит подмена сертификата. Если действует злоумышленник, он заменяет сертификат сервера на свой в первом ответе сервера. Если расшифровкой трафика занимается команда специалистов по кибербезопасности компании, подмена сертификата происходит с использованием специализированных прокси-серверов, через которые проходит весь трафик из ИТ-инфраструктуры организации и обратно.
2. Проверка трафика. Расшифрованный трафик от прокси-сервера направляется к специальным системам анализа и защиты. Это могут быть, например, системы IPS, DPI, антивирусы, механизмы контентной фильтрации, песочницы, DLP и другие, включая интегрированные системы типа NGFW. После анализа трафика эти системы принимают решение о дальнейшем пропуске трафика или его блокировке в рамках политики информационной безопасности организации.

Как работает Solar webProxy?

Решение класса Secure Web Gateway (SWG) — Solar webProxy — способно расшифровывать HTTPS-трафик и снижать нагрузку на сетевые каналы благодаря URL-фильтрации. Главная задача программных продуктов этого класса — управление доступом пользователей в интернет и обеспечение защиты от киберугроз. Таким образом, расшифрованный трафик обрабатывается антивирусным модулем и модулем контентной фильтрации, а также используется для контроля над приложениями и журналирования действий пользователей в сети.

Solar webProxy устанавливается в качестве промежуточного звена в сетевой инфраструктуре, позволяя контролировать все данные, перемещающиеся между сотрудниками компании, внутренними ресурсами организации и внешними веб-ресурсами. В процессе маршрутизации и фильтрации трафика происходит проверка формата, кодировки, содержимого и заголовков пакетов данных. При необходимости к проверке данных подключаются встроенные в Solar webProxy антивирусные инструменты и защитные механизмы, использующие протокол ICAP. Таким образом, Solar webProxy расшифровывает HTTPS-трафик, определяет с какого ресурса он пришел, анализирует его на наличие вредоносного программного обеспечения и конфиденциальных данных, контролирует доступ удаленного персонала к внутренним ресурсам организации и передает трафик дальше по цепочке защитных мер для более детального анализа.

Для полноценной инспекции веб-трафика используются устройства класса Next-Generation Firewall (NGFW), способные анализировать расшифрованный трафик ещё и с помощью механизмов IPS, DPI и других. Примером такого продукта является Solar NGFW. Для оптимизации производительности возможна интеграция двух продуктов, при которой вычислительные мощности Solar webProxy расшифровывают HTTPS-трафик и передают его на анализ вычислительным мощностям Solar NGFW.