Le contournement des serveurs proxy par les élèves est devenu, discrètement, la menace la plus courante sur les réseaux scolaires. Il ne s'agit ni de logiciels malveillants, ni d'hameçonnage, mais bien de contournement de proxy. Cette pratique génère sept fois plus d'activités bloquées que les logiciels malveillants sur ces réseaux.
Les étudiants sont débrouillards, motivés et utilisent des outils de plus en plus sophistiqués. Les méthodes de contournement actuelles (frameworks proxy, agrégateurs de jeux, liens de contournement partagés, failles de sécurité des navigateurs) ne sont plus les solutions de contournement de 2015 du type “ il suffit de chercher un proxy sur Google ”. Elles évoluent, se répandent et sont de plus en plus difficiles à détecter avec les systèmes de filtrage classiques.
La plupart des filtres n'étaient pas conçus pour les arrêter.
Pourquoi le filtrage traditionnel est insuffisant
La plupart des systèmes de filtrage de contenu fonctionnent en comparant une URL ou un domaine à une liste noire. Si l'adresse figure sur la liste, elle est bloquée ; sinon, elle est autorisée.
Cette approche était pertinente lorsque les tentatives de contournement étaient simples. Elle ne résiste plus aux méthodes utilisées par les étudiants aujourd'hui :
- Cadres de proxy comme Ultraviolet, Scramjet et Rammerhead, qui font transiter le trafic directement dans le navigateur derrière des URL apparemment propres.
- Agrégateurs de jeux qui hébergent des lanceurs intégrés derrière des pages d'apparence générique comme Nebula et Interstellar
- Sites Google utilisé pour distribuer des liens de contournement à travers les réseaux étudiants
- Sessions Chrome sans extension contourner complètement le filtrage en ouvrant des fenêtres de navigateur qui ne chargent jamais l'extension de filtre
Aucune de ces tentatives ne semble correspondre à une tentative de contournement au niveau du nom d'hôte. C'est bien là le problème.
Les règles statiques permettent de contrer les menaces statiques. Le contournement, lui, est une cible mouvante, et il évolue de plus en plus vite.
Détecter ce que l'URL ne vous dit pas Tell
L'analyse du texte de la page ne suffit pas. Pour bloquer le contournement au niveau comportemental, il faut une approche différente : analyser ce qui s'exécute réellement dans le navigateur, et pas seulement la destination de la requête.
C'est ce que Filtre Lightspeed nouveau Capacité Live Intelligence fait.
Lorsqu'un étudiant charge une page, Lightspeed Filter™ l'analyse en temps réel, en évaluant des signaux tels que :
- Structure DOM et composition de la page
- Activité réseau initiée par la page
- Exécution et comportement de JavaScript
- Des bibliothèques proxy sont présentes dans le code, notamment des outils comme Ultraviolet et Rammerhead.
Ces signaux sont évalués par rapport à des schémas de contournement connus. Les indicateurs à forte fiabilité déclenchent un blocage immédiat. Les signaux à faible fiabilité s'accumulent pour former un score pondéré jusqu'à ce qu'un seuil soit atteint.
Point crucial, l'analyse ne s'arrête pas au chargement de la page. La session est surveillée en continu, permettant de détecter les tentatives d'évasion différées ou dynamiques, c'est-à-dire les changements de comportement après le chargement initial. Ceci est important car certains outils de contournement retardent intentionnellement la détection des comportements suspects jusqu'à ce que le filtre initial soit validé.
Le résultat est une détection qui fonctionne indépendamment de la correspondance de domaine ou d'URL.
Intégré dans un modèle de sécurité multicouche
Le contournement ne se fait pas à l'aide d'une seule technique ; il s'agit d'un ensemble d'exploits évolutifs et changeants qui deviennent beaucoup plus sophistiqués et ne se limitent pas toujours au contenu de la page, mais peuvent cibler le navigateur, le système d'exploitation, voire le réseau lui-même.
Live Intelligence est une couche de l'approche multicouche de Lightspeed Filter, fonctionnant aux côtés de :
- Protection contre les menaces zero-day pour les sites inconnus et nouvellement enregistrés
- catégorisation granulaire de la sécurité pour un blocage dynamique et basé sur des politiques
- Application et appareil ChromeOS protection pour les menaces qui contournent les extensions
- Filtrage au niveau de l'appareil et du réseau sur tous les principaux appareils et systèmes d'exploitation
Chaque couche comble les lacunes des autres. C'est voulu.
La détection de contournement en temps réel renforce spécifiquement la couche Live Intelligence — en ajoutant une identification comportementale de l'activité du proxy lors de son exécution, s'attaquant aux méthodes qui, historiquement, ont réussi à passer entre les mailles du filet.
La visibilité ne nécessite pas un instrument émoussé.
La détection et le blocage sont deux mesures de contrôle distinctes, et il est essentiel de les maintenir séparées. Les établissements scolaires ont besoin d'une visibilité complète sur l'activité de leur réseau, non seulement pour bloquer les activités suspectes, mais aussi pour les auditer, identifier les menaces émergentes et comprendre les tendances avant qu'elles ne posent problème.
Les paramètres de sensibilité de Lightspeed Filter permettent aux administrateurs d'ajuster la détection des contournements par politique (“ Souple ”, “ Normal ” ou “ Strict ”) pour différents groupes d'utilisateurs, niveaux scolaires ou membres du personnel. Le blocage peut également être ajusté par catégorie, offrant ainsi aux établissements scolaires un contrôle précis sur l'application de la détection face à différents types de menaces. Un district peut choisir de bloquer automatiquement les frameworks proxy à l'échelle du district tout en désactivant le blocage des agrégateurs de jeux pour un groupe spécifique, réduisant ainsi les perturbations là où c'est pertinent sans créer de zones d'ombre. La détection reste active pour toutes les catégories dans tous les cas, de sorte qu'aucune menace ne disparaît simplement parce que le blocage n'est pas appliqué.
Cette flexibilité est importante en pratique. L'objectif n'est pas de verrouiller tous les appareils sans distinction. Il s'agit de donner aux équipes informatiques et de sécurité les informations et le contrôle nécessaires pour prendre la bonne décision pour leur environnement.
Ce que cela signifie pour votre réseau
Le contournement des serveurs proxy a dépassé en volume toutes les autres catégories de menaces sur les réseaux scolaires (de la maternelle à la terminale). Les outils utilisés par les élèves sont sophistiqués, largement partagés et conçus spécifiquement pour contourner les systèmes de filtrage classiques.
Pour résoudre ce problème, il faut une détection comportementale qui évalue ce qui s'exécute dans le navigateur, et pas seulement l'adresse IP pointée. C'est précisément ce qu'apporte Live Intelligence à Lightspeed Filter pour la détection et le blocage des contournements.
Si votre filtre actuel repose principalement sur la correspondance d'URL ou de domaines, il présente des failles. Et c'est précisément dans ces failles que se produisent les activités de contournement. Apprenez-en davantage sur la façon dont Lightspeed Filter™ détecte et bloque les contournements sur notre site web. Page de prévention du contournement du filtre.
