Wie kann man Nicht-http / s-Verkehr gezielt filtern oder blockieren?

1051
Harry

Ich weiß, dass es möglich ist, Webinhalte beispielsweise mit Squid + ICAP Server zu filtern .

Aber ist es konzeptionell sowie praktisch möglich, willkürlichen (ausgehenden + eingehenden) Datenverkehr, der die Router Ihres Unternehmens durchquert, zu überwachen, zu filtern und programmatisch umzuwandeln ?

Zum Beispiel, wenn ein Programmierer in Ihrer Organisation beschließt, ein Client-Server-Programm einzusetzen, das dazu bestimmt ist, vertrauliche Daten aus der Organisation zu senden (wobei sein Server an einem Standard-http / s-Port oder einem anderen bekannten / beliebigen Port im Internet abgehört). und mit welchen Techniken und Software kann dieser böswillige Versuch überwacht und kontrolliert werden?

Ich bin daran interessiert, ein paar Hinweise zu den jeweiligen Konzepten / Techniken sowie zu einigen Linux-basierten FOSS-Vorschlägen zu erhalten, die ich weiter untersuchen könnte. Beachten Sie, dass DLP-Produkte wie MyDLP nur über Webinhalte sprechen und nicht über das oben genannte Szenario, nämlich den Datendiebstahl über ein spezielles Programm, das Standard- oder Nicht-Standard-Datenübertragungsprotokolle verwendet.

1

1 Antwort auf die Frage

2
ckhan

Kann man beliebigen Verkehr überwachen, filtern / transformieren?

Ja. Das ist durchaus konzeptionell möglich. Bevor Router schnell und kostengünstig verfügbar waren, war es üblich, einen billigen alten Computer zu finden, Linux zu installieren und die Netzwerkverbindung gemeinsam zu nutzen (IP-Masquerading usw.). Man könnte alles nur mit ansehen tcpdump, wenn nichts anderes. Und das ist alles - Sie sehen jeden SYN-ACK-Handshake, jede SSL-Zertifikatsanforderung, jede DNS-Suche usw.

Welche Techniken können zur Überwachung / Kontrolle beitragen?

Es liegt auf der Hand, darauf zu achten, welche Hosts Sie auch verbinden . Viele Tools, die dabei helfen, dieselben Dinge, die Kinder von Websites für Erwachsene und Mitarbeiter von Facebook fernhalten. Siehe diese unix.se- Frage, insbesondere ntop .

Durch die Einschränkung von Ports wird der Speicherplatz auf jeden Fall reduziert. Ein Port ist nur eine willkürliche Nummer, aber ich habe mich bei paranoiden Organisationen beraten, die alles außer Port 80 ausgesperrt haben. Das zwang uns dazu, Dinge wie tunnel ssh über https oder kompliziertere Schemata (zweiköpfige ssh-Tunnel) auszuführen, wenn wir es wollten hol Zeug von zu Hause aus.

Das hinterlässt jedoch immer noch einen furchterregenden Upload-Unternehmensgeheimnis-Tunnel, der einfach wie HTTPS aussieht. Ich habe in letzter Zeit viel mit Fiddler gespielt . Wenn Sie wirklich alles drauf haben wollen, würden Sie einen https-Protokollierungs-Proxy in der Mitte platzieren und erklären, dass jeder in Ihrem Shop Ihr ​​Zertifikat akzeptieren muss, was bedeutet, dass Sie alles beobachten. So viel zum Schutz der Privatsphäre - Sie werden sehen, wie die Passwörter in Klartext gmailing werden (wirklich! Versuchen Sie es und sehen Sie!).

Nützliches Gedankenexperiment trotzdem.

* "... achte darauf, mit welchen Hosts du dich verbindest." * Aber wie mache ich das? Welche Tools? Harry vor 12 Jahren 0
Hinweis zu ntop hinzugefügt; auch ein Vorschlag - spielen Sie mit tcpdump, Sie bekommen ein großartiges Gefühl dafür, was wirklich vor sich geht. ckhan vor 12 Jahren 1

Verwandte Probleme