La actividad de elusión de proxy por parte de los estudiantes se ha convertido silenciosamente en la amenaza más común en las redes de educación primaria y secundaria. No se trata de malware ni de phishing. Se trata de elusión de proxy, y está generando siete veces más actividad bloqueada que el malware en dichas redes.

Los estudiantes son ingeniosos, están motivados y trabajan con herramientas cada vez más sofisticadas. Los métodos de evasión disponibles hoy en día (proxy frameworks, agregadores de juegos, enlaces de evasión compartidos, exploits de navegador) no son las soluciones improvisadas de 2015 que se podían encontrar con un simple "busca un proxy en Google". Están evolucionando, se distribuyen y cada vez es más difícil detectarlos con los filtros convencionales.

La mayoría de los filtros no fueron diseñados para detenerlos.

Por qué el filtrado tradicional se queda corto

La mayoría de los sistemas de filtrado de contenido funcionan comprobando si una URL o dominio está en una lista negra. Si la dirección está en la lista, se bloquea. Si no lo está, se permite el acceso.

Ese enfoque tenía sentido cuando los intentos de eludirlo eran sencillos. No se sostiene frente a los métodos que utilizan los estudiantes hoy en día:

• Marcos de proxy como Ultraviolet, Scramjet y Rammerhead, que canalizan el tráfico directamente en el navegador detrás de URL aparentemente limpias.
• Agregadores de juegos que albergan lanzadores integrados detrás de páginas de aspecto genérico como Nebula e Interstellar
• Sitios de Google Se utiliza para distribuir enlaces de derivación a través de las redes de estudiantes.
• Sesiones de Chrome sin extensiones que evitan por completo el filtrado abriendo ventanas del navegador que nunca cargan la extensión del filtro

Ninguno de estos intentos parece ser un intento de eludir la norma a nivel de nombre de host. Ese es el punto.

Las reglas estáticas detectan amenazas estáticas. La evasión es un objetivo en constante cambio, y cada vez se mueve más rápido.

Detectando lo que la URL no dice Tell

Analizar el texto de la página no es suficiente. Detener la elusión a nivel de comportamiento requiere un enfoque diferente: analizar qué se ejecuta realmente en el navegador, no solo adónde se dirige la solicitud.

Eso es lo que Filtro Lightspeed nuevo Capacidad de vigilancia en vivo (TP3T) hace.

Cuando un estudiante carga una página, Lightspeed Filter™ la analiza en tiempo real, evaluando señales como:

• Estructura DOM y composición de la página
• Actividad de red iniciada por la página
• Ejecución y comportamiento de JavaScript
• Bibliotecas proxy presentes en el código, incluyendo herramientas como Ultraviolet y Rammerhead.

Estas señales se evalúan comparándolas con patrones de derivación conocidos. Los indicadores de alta confianza activan el bloqueo inmediato. Las señales de menor confianza se acumulan en una puntuación ponderada hasta alcanzar un umbral.

Es fundamental destacar que el análisis no se detiene al cargar la página. La sesión se monitoriza continuamente, detectando evasiones retardadas o dinámicas, donde el comportamiento cambia tras la carga inicial. Esto es importante porque algunas herramientas de evasión retrasan intencionadamente el comportamiento sospechoso hasta que superan la comprobación inicial del filtro.

El resultado es una detección que funciona independientemente de la coincidencia de dominio o URL.

Integrado en un modelo de seguridad por capas.

La elusión de medidas de seguridad no se realiza mediante una sola técnica, sino que se trata de un conjunto de vulnerabilidades en constante evolución y cambio, cada vez más sofisticadas y que no siempre se limitan al contenido de la página, sino que pueden atacar el navegador, el sistema operativo o incluso la propia red.

Live Intelligence es una capa del enfoque multicapa de Lightspeed Filter, que funciona junto con:

• Protección contra amenazas de día cero para sitios desconocidos y recién registrados
• Categorización de seguridad granular para el bloqueo dinámico basado en políticas
• Aplicación y dispositivo ChromeOS protección para amenazas que eluden las extensiones
• Filtrado a nivel de dispositivo y de red en todos los principales dispositivos y sistemas operativos.

Cada capa cierra los huecos que las demás no cubren. Eso es intencional.

La detección de elusión en tiempo real refuerza específicamente la capa Live Intelligence, añadiendo una identificación basada en el comportamiento de la actividad del proxy a medida que se ejecuta, abordando los métodos que históricamente han pasado desapercibidos.

La visibilidad no requiere un instrumento contundente.

La detección y el bloqueo son dos controles distintos, y precisamente la clave está en mantenerlos separados. Los centros educativos necesitan tener visibilidad completa de lo que ocurre en su red, no solo para bloquear la actividad, sino también para auditarla, identificar amenazas emergentes y comprender patrones antes de que se conviertan en problemas.

Los controles de sensibilidad de Lightspeed Filter permiten a los administradores ajustar la detección de evasión por política ("Relajada", "Normal" o "Estricta") para diferentes grupos de usuarios, niveles educativos o personal. El bloqueo también se puede ajustar a nivel de categoría, lo que brinda a las escuelas un control preciso sobre cómo se aplica la detección en diferentes tipos de amenazas. Un distrito podría optar por bloquear automáticamente los marcos de proxy en todo el distrito, mientras que deja desactivado el bloqueo de agregadores de juegos para un grupo específico, lo que reduce las interrupciones donde sea apropiado sin crear puntos ciegos. La detección continúa ejecutándose en todas las categorías en cualquier caso, por lo que nada desaparece de la vista solo porque no se aplique el bloqueo.

Esa flexibilidad importa en la práctica. El objetivo no es bloquear todos los dispositivos indiscriminadamentetely. El objetivo es proporcionar a los equipos de TI y seguridad la información y el control necesarios para tomar las decisiones correctas en función de su entorno.

Qué significa esto para su red

El acceso no autorizado a servidores proxy ha superado en volumen a todas las demás categorías de amenazas en las redes de educación primaria y secundaria. Las herramientas que utilizan los estudiantes son sofisticadas, se comparten ampliamente y están diseñadas específicamente para eludir los filtros convencionales.

Para solucionarlo, se requiere una detección que opere a nivel de comportamiento, evaluando qué se está ejecutando en el navegador, no solo a qué dirección apunta. Eso es lo que Live Intelligence, para la detección y el bloqueo de intentos de evasión, aporta a Lightspeed Filter.

Si su filtro actual se basa principalmente en la coincidencia de URL o dominio, tiene lagunas. Y esas lagunas son precisamente donde se encuentra la actividad de elusión. Obtenga más información sobre cómo Lightspeed Filter™ aborda la detección y el bloqueo de elusión en nuestra página. Página de prevención de omisión de filtro.