Elevomgåelse er stille og roligt blevet den mest almindelige trussel på netværk i grundskolen og ungdomsuddannelsen. Ikke malware. Ikke phishing. Proxyomgåelse – og det genererer 7 gange mere blokeret aktivitet end malware på tværs af netværk i grundskolen og ungdomsuddannelsen.

Studerende er ressourcefulde, motiverede og arbejder med stadigt mere sofistikerede værktøjer. De bypass-metoder, der er tilgængelige i dag (proxy-frameworks, spilaggregatorer, delte bypass-links, browser-exploits), er ikke dine "bare Google en proxy"-løsninger fra 2015. De udvikler sig, er distribuerede og stadigt sværere at fange med konventionel filtrering.

De fleste filtre var ikke designet til at stoppe dem.

Hvorfor traditionel filtrering ikke virker

Det meste indholdsfiltrering fungerer ved at kontrollere en URL eller et domæne mod en blokeringsliste. Hvis adressen er på listen, skal du blokere den. Hvis den ikke er det, skal du lade den passere.

Den fremgangsmåde gav mening, da bypass-forsøg var simple. Den kan ikke sammenlignes med de metoder, studerende bruger i dag:

• Proxy-rammer som Ultraviolet, Scramjet og Rammerhead, der tunnelerer trafik direkte i browseren bag tilsyneladende rene URL'er
• Spilaggregatorer der er vært for indlejrede launchere bag generisk udseende sider som Nebula og Interstellar
• Google Sites bruges til at distribuere bypass-links på tværs af studenternetværk
• Chrome-sessioner uden udvidelser der omgår filtrering helt ved at åbne browservinduer, der aldrig indlæser filterudvidelsen

Ingen af disse ligner omgåelsesforsøg på værtsnavnsniveau. Det er pointen.

Statiske regler fanger statiske trusler. Bypass er et bevægeligt mål, og det bevæger sig hurtigere.

Registrering af hvad URL'en ikke fortæller dig

Det er ikke nok at scanne teksten på siden. At stoppe bypass på adfærdsniveau kræver en anden tilgang: at analysere, hvad der rent faktisk udføres i browseren, ikke kun hvor anmodningen går hen.

Det er hvad Lightspeed-filtre ny Live Intelligence-kapacitet gør.

When a student loads a page, Lightspeed Filter™ analyzes it in real time, evaluating signals like:

• DOM-struktur og sidekomposition
• Netværksaktivitet initieret af siden
• JavaScript-udførelse og -adfærd
• Proxy-biblioteker, der findes i koden, inklusive værktøjer som Ultraviolet og Rammerhead

Disse signaler evalueres i forhold til kendte bypass-mønstre. Indikatorer med høj konfidens udløser øjeblikkelig blokering. Signaler med lavere konfidens akkumuleres til en vægtet score, indtil en tærskel er nået.

Det er afgørende, at analysen ikke stopper ved sideindlæsning. Sessionen fortsætter med at blive overvåget under hele processen, hvilket registrerer forsinket eller dynamisk undvigelse, hvor adfærd ændrer sig efter den første indlæsning. Det er vigtigt, fordi nogle bypass-værktøjer bevidst udsætter mistænkelig adfærd, indtil de har bestået den første filterkontrol.

Resultatet er en detektion, der fungerer uafhængigt af domæne- eller URL-matchning.

Indbygget i en lagdelt sikkerhedsmodel

Bypass udføres ikke ved hjælp af en enkelt teknik, det er et udviklende og skiftende sæt af angreb, der bliver meget mere sofistikerede og ikke altid er begrænset til sideindhold, men kan målrette browseren, operativsystemet eller endda selve netværket.

Live Intelligence er ét lag i Lightspeed Filters flerlagstilgang, der fungerer sideløbende med:

• Beskyttelse mod nul-dages trusler for ukendte og nyregistrerede websteder
• Granulær sikkerhedskategorisering til dynamisk, politikbaseret blokering
• ChromeOS-app og -enhed beskyttelse for trusler, der omgår udvidelser
• Filtrering på enhed og netværksniveau på tværs af alle større enheder og operativsystemer

Hvert lag lukker huller, som de andre ikke dækker. Det er bevidst.

Realtidsbypass-detektion styrker specifikt Live Intelligence-laget — tilføjer adfærdsbaseret identifikation af proxy-aktivitet, mens den udføres, hvilket adresserer de metoder, der historisk set er sluppet igennem.

Synlighed kræver ikke et stumpt instrument

Detektion og blokering er to forskellige kontroller, og pointen er at holde dem adskilte. Skoler har brug for fuldt indblik i, hvad der sker på deres netværk – ikke kun for at blokere aktivitet, men også for at revidere den, identificere nye trusler og forstå mønstre, før de bliver til problemer.

Lightspeed Filters følsomhedskontroller giver administratorer mulighed for at justere bypass-detektion efter politik ("Afslappet", "Normal" eller "Streng") for forskellige brugergrupper, klassetrin eller personale. Blokering kan også justeres på kategoriniveau, hvilket giver skolerne præcis kontrol over, hvordan detektion håndhæves på tværs af forskellige trusselstyper. Et distrikt kan vælge automatisk at blokere proxy-frameworks i hele distriktet, mens blokering af spilaggregatorer forbliver deaktiveret for en bestemt gruppe - hvilket reducerer forstyrrelser, hvor det giver mening, uden at skabe blinde vinkler. Detektionen fortsætter med at køre på tværs af alle kategorier under alle omstændigheder, så intet forsvinder ud af syne, bare fordi blokering ikke anvendes.

Den fleksibilitet er vigtig i praksis. Målet er ikke at låse alle enheder vilkårligt. Det er for at give IT- og sikkerhedsteams de oplysninger og den kontrol, der skal til for at træffe den rigtige beslutning for deres miljø.

Hvad dette betyder for dit netværk

Proxy-omgåelse har overhalet alle andre trusselskategorier i K-12-netværk målt på volumen. De værktøjer, eleverne bruger, er sofistikerede, bredt delte og designet specifikt til at omgå konventionel filtrering.

At håndtere det kræver detektion, der opererer på adfærdsniveau – evaluering af, hvad der udføres i browseren, ikke kun hvilken adresse den peger på. Det er, hvad Live Intelligence til bypass-detektion og -blokering bringer til Lightspeed Filter.

If your current filter relies primarily on URL or domain matching, it has gaps. And those gaps are exactly where bypass activity lives. Learn more about how Lightspeed Filter™ addresses bypass detection and blocking on our side om forebyggelse af filteromgåelse.