Oppilaiden ohitustoiminnasta on hiljaisesti tullut yleisin uhka K-12-verkoissa. Se ei ole haittaohjelma. Ei tietojenkalastelu. Välityspalvelimen ohitus – ja se tuottaa 7 kertaa enemmän estettyä toimintaa kuin haittaohjelmat K-12-verkoissa.
Opiskelijat ovat kekseliäitä, motivoituneita ja työskentelevät yhä kehittyneempien työkalujen kanssa. Nykyään saatavilla olevat ohitusmenetelmät (välityspalvelinkehykset, peliaggregaattorit, jaetut ohituslinkit, selainhyökkäykset) eivät ole vuoden 2015 "Google vain välityspalvelin" -kiertoteitä. Ne kehittyvät, hajautuvat ja niitä on yhä vaikeampi havaita perinteisillä suodattimilla.
Useimpia suodattimia ei ole suunniteltu pysäyttämään niitä.
Miksi perinteinen suodatus ei riitä
Useimmat sisällönsuodatusmenetelmät toimivat tarkistamalla URL-osoitteen tai verkkotunnuksen estolistaa vasten. Jos osoite on listalla, estä se. Jos ei, päästä se läpi.
Tuo lähestymistapa oli järkevä, kun ohitusyritykset olivat yksinkertaisia. Se ei kuitenkaan kestä opiskelijoiden nykyään käyttämiä menetelmiä:
- Välityspalvelinkehykset kuten Ultraviolet, Scramjet ja Rammerhead, jotka ohjaavat liikennettä suoraan selaimessa näennäisesti siistien URL-osoitteiden taakse
- Pelien yhdistäjät jotka isännöivät upotettuja käynnistysohjelmia geneerisen näköisten sivujen, kuten Nebulan ja Interstellarin, takana
- Google-sivustot käytetään ohituslinkkien jakamiseen opiskelijaverkkojen kesken
- Laajennuksettomat Chrome-istunnot joka ohittaa suodatuksen kokonaan avaamalla selainikkunoita, jotka eivät koskaan lataa suodatinlaajennusta
Mikään näistä ei näytä ohitusyrityksiltä isäntänimen tasolla. Siinäpä se pointti onkin.
Staattiset säännöt nappaavat staattiset uhat. Ohitus on liikkuva kohde, ja se liikkuu nopeammin.
URL-osoitteen sisällöstä puuttuvien asioiden havaitseminen Tell You
Sivun tekstin lukeminen ei riitä. Ohituksen pysäyttäminen käyttäytymistasolla vaatii erilaisen lähestymistavan: selaimen toiminnan analysointia, ei vain pyynnön suunnan analysointia.
Se on mitä Lightspeed-suodattimet uusi Live Intelligence-ominaisuus tekee.
Kun opiskelija lataa sivun, Lightspeed Filter™ analysoi sen reaaliajassa ja arvioi signaaleja, kuten:
- DOM-rakenne ja sivun koostumus
- Sivun aloittama verkkotoiminta
- JavaScriptin suorittaminen ja käyttäytyminen
- Koodiin sisältyvät välityspalvelinkirjastot, mukaan lukien työkalut, kuten Ultraviolet ja Rammerhead
Näitä signaaleja arvioidaan tunnettuja ohitusmalleja vasten. Korkean luotettavuuden indikaattorit laukaisevat välittömän eston. Alhaisemman luotettavuuden signaalit kertyvät painotetuksi pisteytykseksi, kunnes kynnysarvo saavutetaan.
Olennaista on, että analyysi ei pysähdy sivun latautumiseen. Istuntoa seurataan koko ajan, ja viivästyneet tai dynaamiset väistötapahtumat havaitaan, jos toiminta muuttuu alkuperäisen latauksen jälkeen. Tällä on merkitystä, koska jotkin ohitustyökalut lykkäävät epäilyttävää toimintaa tarkoituksella, kunnes ne ovat läpäisseet alkuperäisen suodatintarkistuksen.
Tuloksena on tunnistus, joka toimii riippumatta verkkotunnus- tai URL-osoitteiden yhteensovittamisesta.
Sisäänrakennettu kerrostettuun suojausmalliin
Ohitusta ei tehdä yhdellä tekniikalla, vaan se on kehittyvä ja muuttuva joukko hyökkäyshaitoja, jotka kehittyvät paljon hienostuneemmiksi eivätkä aina rajoitu sivun sisältöön, vaan ne voivat kohdistua selaimeen, käyttöjärjestelmään tai jopa itse verkkoon.
Live Intelligence on yksi kerros Lightspeed Filterin monikerroksisessa lähestymistavassa, joka toimii rinnakkain seuraavien kanssa:
- Nollapäiväuhkien suojaus tuntemattomille ja vastarekisteröidyille sivustoille
- Yksityiskohtainen suojausluokittelu dynaamista, käytäntöihin perustuvaa estoa varten
- ChromeOS-sovellus ja -laite suojaus uhille, jotka ohittavat laajennukset
- Laitekohtainen ja verkkotason suodatus kaikissa tärkeimmissä laitteissa ja käyttöjärjestelmissä
Jokainen kerros sulkee aukkoja, joita muut eivät peitä. Se on tarkoituksellista.
Reaaliaikainen ohituksen tunnistus vahvistaa erityisesti Live Intelligence -kerrosta — lisäämällä käyttäytymiseen perustuvan välityspalvelimen toiminnan tunnistuksen sen suorituksen aikana, mikä puuttuu menetelmiin, jotka ovat aiemmin livahtaneet läpi.
Näkyvyys ei vaadi tylppä instrumentti
Havaitseminen ja estäminen ovat kaksi erillistä hallintakeinoa, ja niiden erillään pitäminen onkin tarkoituksenmukaista. Koulujen on saatava täysi näkyvyys verkossaan tapahtuviin asioihin – ei vain toiminnan estämiseksi, vaan myös sen tarkastamiseksi, uusien uhkien tunnistamiseksi ja mallien ymmärtämiseksi ennen kuin niistä tulee ongelmia.
Lightspeed Filterin herkkyyssäädöt antavat järjestelmänvalvojille mahdollisuuden säätää ohituksen tunnistusta käytännöillä ("Rento", "Normaali" tai "Tiukka") eri käyttäjäryhmille, luokka-asteille tai henkilökunnalle. Estoa voidaan säätää myös luokkatasolla, mikä antaa kouluille tarkan hallinnan siitä, miten tunnistusta valvotaan eri uhkatyyppien kohdalla. Piirikunta voi halutessaan estää välityspalvelinkehykset automaattisesti koko piirikunnassa, mutta jättää pelien yhdistäjien eston pois päältä tietylle ryhmälle – tämä vähentää häiriöitä siellä missä se on järkevää ilman, että syntyy katvealueita. Tunnistus jatkuu kaikissa luokissa joka tapauksessa, joten mikään ei katoa näkyvistä vain siksi, että estoa ei käytetä.
Tuo joustavuus on käytännössä tärkeää. Tavoitteena ei ole lukita kaikkia laitteita summittaisestitely. Sen tarkoituksena on antaa IT- ja turvallisuustiimeille tietoa ja hallintaa, jotta he voivat tehdä oikeat päätökset ympäristössään.
Mitä tämä tarkoittaa verkostollesi
Välityspalvelimen ohitus on ohittanut kaikki muut uhkaluokat K-12-verkoissa määrällä mitattuna. Oppilaiden käyttämät työkalut ovat kehittyneitä, laajalti jaettuja ja suunniteltu erityisesti kiertämään perinteistä suodatusta.
Sen ratkaiseminen edellyttää käyttäytymistasolla toimivaa havaitsemista – selaimessa suoritettavien toimintojen arviointia, ei vain sitä, mihin osoitteeseen selaimessa osoitetaan. Tätä Live Intelligence tuo Lightspeed Filterille ohitusten havaitsemiseen ja estämiseen.
Jos nykyinen suodattimesi perustuu ensisijaisesti URL-osoitteiden tai verkkotunnusten vastaavuuksiin, siinä on aukkoja, ja juuri näissä aukoissa ohitustoiminta piilee. Lue lisää siitä, miten Lightspeed Filter™ käsittelee ohituksen havaitsemista ja estämistä sivustollamme. suodattimen ohituksen estosivu.
