Die Umgehung von Proxys durch Schüler hat sich still und leise zur häufigsten Bedrohung in Schulnetzwerken entwickelt. Nicht Malware. Nicht Phishing. Es ist die Umgehung von Proxys – und sie verursacht siebenmal mehr blockierte Aktivitäten als Malware in Schulnetzwerken.

Studierende sind einfallsreich, motiviert und arbeiten mit immer ausgefeilteren Werkzeugen. Die heute verfügbaren Umgehungsmethoden (Proxy-Frameworks, Spiele-Aggregatoren, geteilte Umgehungslinks, Browser-Exploits) sind nicht mehr die einfachen Lösungen von 2015, bei denen man einfach nach einem Proxy googelte. Sie entwickeln sich ständig weiter, sind dezentralisiert und mit herkömmlichen Filtern immer schwerer zu erkennen.

Die meisten Filter wurden nicht dafür entwickelt, sie aufzuhalten.

Warum herkömmliche Filterverfahren nicht ausreichen

Die meisten Inhaltsfilter funktionieren, indem sie eine URL oder Domain mit einer Sperrliste abgleichen. Befindet sich die Adresse auf der Liste, wird sie blockiert. Andernfalls wird sie zugelassen.

Dieser Ansatz war sinnvoll, als Umgehungsversuche einfach waren. Er hält den Methoden, die Studierende heute anwenden, nicht mehr stand:

• Proxy-Frameworks wie Ultraviolet, Scramjet und Rammerhead, die den Datenverkehr direkt im Browser hinter scheinbar sauberen URLs tunneln.
• Spieleaggregatoren die eingebettete Launcher hinter generisch aussehenden Seiten wie Nebula und Interstellar hosten.
• Google Sites Dient zur Verteilung von Umgehungsverbindungen in Studentennetzwerken
• Chrome-Sitzungen ohne Erweiterungen die Filterung vollständig umgehen, indem Browserfenster geöffnet werden, die die Filtererweiterung niemals laden

Keiner dieser Versuche scheint auf Hostnamensebene durchgeführt worden zu sein. Genau darum geht es.

Statische Regeln erfassen statische Bedrohungen. Umgehungsmechanismen hingegen sind dynamisch und entwickeln sich immer schneller weiter.

Erkennen, was die URL nicht verrät Tell Sie

Das Scannen des Textes auf der Seite reicht nicht aus. Um die Umgehung auf Verhaltensebene zu unterbinden, ist ein anderer Ansatz erforderlich: Es muss analysiert werden, was tatsächlich im Browser ausgeführt wird, und nicht nur, wohin die Anfrage gesendet wird.

Das ist es. Lightspeed Filter neu Live Intelligence-Fähigkeit tut.

Wenn ein Student eine Seite lädt, analysiert Lightspeed Filter™ diese in Echtzeit und wertet dabei Signale wie die folgenden aus:

• DOM-Struktur und Seitenkomposition
• Netzwerkaktivität, die von der Seite initiiert wurde
• JavaScript-Ausführung und -Verhalten
• Im Code sind Proxy-Bibliotheken vorhanden, darunter Tools wie Ultraviolet und Rammerhead.

Diese Signale werden anhand bekannter Umgehungsmuster ausgewertet. Indikatoren mit hoher Zuverlässigkeit führen zu einer sofortigen Blockierung. Signale mit geringerer Zuverlässigkeit werden zu einem gewichteten Wert addiert, bis ein Schwellenwert erreicht ist.

Entscheidend ist, dass die Analyse nicht mit dem Laden der Seite endet. Die Sitzung wird kontinuierlich überwacht, um verzögerte oder dynamische Umgehungsversuche aufzudecken, bei denen sich das Verhalten nach dem ersten Laden ändert. Dies ist wichtig, da einige Bypass-Tools verdächtiges Verhalten absichtlich erst dann erkennen, wenn die erste Filterprüfung erfolgreich war.

Das Ergebnis ist eine Erkennung, die unabhängig von Domain- oder URL-Übereinstimmung funktioniert.

Eingebaut in ein mehrschichtiges Sicherheitsmodell

Die Umgehung erfolgt nicht mit einer einzigen Technik, sondern mit einer sich ständig weiterentwickelnden und verändernden Reihe von Exploits, die immer ausgefeilter werden und sich nicht immer nur auf den Seiteninhalt beschränken, sondern auch den Browser, das Betriebssystem oder sogar das Netzwerk selbst angreifen können.

Live Intelligence ist eine Ebene im mehrschichtigen Ansatz von Lightspeed Filter und arbeitet mit Folgendem zusammen:

• Schutz vor Zero-Day-Bedrohungen für unbekannte und neu registrierte Websites
• Granulare Sicherheitskategorisierung für dynamische, richtlinienbasierte Blockierung
• ChromeOS-App und -Gerät Schutz für Bedrohungen, die Erweiterungen umgehen
• Filterung auf Geräte- und Netzwerkebene auf allen wichtigen Geräten und Betriebssystemen

Jede Schicht schließt Lücken, die die anderen nicht abdecken. Das ist beabsichtigt.

Die Echtzeit-Umgehungserkennung stärkt insbesondere die Live Intelligence-Schicht – indem sie die verhaltensbasierte Identifizierung von Proxy-Aktivitäten während ihrer Ausführung hinzufügt und so die Methoden adressiert, die in der Vergangenheit durchgerutscht sind.

Sichtbarkeit erfordert kein stumpfes Instrument

Erkennung und Blockierung sind zwei unterschiedliche Kontrollmechanismen, und genau darum geht es: sie zu trennen. Schulen benötigen vollständige Transparenz über die Vorgänge in ihrem Netzwerk – nicht nur, um Aktivitäten zu blockieren, sondern auch, um diese zu überprüfen, aufkommende Bedrohungen zu erkennen und Muster zu verstehen, bevor sie zu Problemen werden.

Die Empfindlichkeitseinstellungen des Lightspeed-Filters ermöglichen es Administratoren, die Umgehungserkennung anhand von Richtlinien (“Entspannt”, “Normal” oder “Streng”) für verschiedene Benutzergruppen, Klassenstufen oder Mitarbeiter anzupassen. Die Blockierung kann auch auf Kategorieebene angepasst werden, sodass Schulen die Durchsetzung der Erkennung für verschiedene Bedrohungsarten präzise steuern können. Ein Schulbezirk könnte beispielsweise Proxy-Frameworks bezirksweit automatisch blockieren, während die Blockierung von Spieleaggregatoren für eine bestimmte Gruppe deaktiviert bleibt – so werden Störungen dort reduziert, wo sie sinnvoll sind, ohne blinde Flecken zu erzeugen. Die Erkennung läuft in jedem Fall weiterhin für alle Kategorien, sodass nichts aus dem Blickfeld verschwindet, nur weil die Blockierung nicht angewendet wird.

Diese Flexibilität ist in der Praxis wichtig. Ziel ist es nicht, jedes Gerät wahllos abzusperren. Es soll IT- und Sicherheitsteams die Informationen und die Kontrolle geben, um die richtige Entscheidung für ihre Umgebung zu treffen.

Was dies für Ihr Netzwerk bedeutet

Proxy-Bypass-Angriffe haben in Schulnetzwerken alle anderen Bedrohungskategorien hinsichtlich des Umfangs übertroffen. Die von Schülern verwendeten Tools sind ausgefeilt, weit verbreitet und speziell darauf ausgelegt, herkömmliche Filter zu umgehen.

Um dem entgegenzuwirken, ist eine Erkennung auf Verhaltensebene erforderlich – es wird analysiert, was im Browser ausgeführt wird, und nicht nur, auf welche Adresse er verweist. Genau das leistet Live Intelligence für die Erkennung und Blockierung von Umgehungsmechanismen im Lightspeed Filter.

Wenn Ihr aktueller Filter hauptsächlich auf URL- oder Domain-Abgleich basiert, weist er Lücken auf. Und genau in diesen Lücken findet Umgehungsaktivität statt. Erfahren Sie mehr darüber, wie Lightspeed Filter™ Umgehungserkennung und -blockierung behebt, auf unserer Website. Seite zur Verhinderung der Filterumgehung.