L'attività di elusione dei proxy da parte degli studenti è diventata silenziosamente la minaccia più comune nelle reti scolastiche. Non si tratta di malware o phishing, bensì di elusione dei proxy, e sta generando un numero di blocchi sette volte superiore rispetto ai malware nelle reti scolastiche.

Gli studenti sono pieni di risorse, motivati e utilizzano strumenti sempre più sofisticati. I metodi di elusione disponibili oggi (framework proxy, aggregatori di giochi, link di elusione condivisi, exploit del browser) non sono più le soluzioni temporanee del 2015 del tipo "basta cercare un proxy su Google". Sono in continua evoluzione, distribuiti e sempre più difficili da intercettare con i filtri convenzionali.

La maggior parte dei filtri non è stata progettata per bloccarli.

Perché i filtri tradizionali sono inadeguati

La maggior parte dei filtri per i contenuti funziona confrontando un URL o un dominio con una lista nera. Se l'indirizzo è presente nella lista, viene bloccato. In caso contrario, viene consentito il passaggio.

Questo approccio aveva senso quando i tentativi di aggirare le regole erano semplici. Non regge il confronto con i metodi che gli studenti usano oggi:

• Framework proxy come Ultraviolet, Scramjet e Rammerhead, che incapsulano il traffico direttamente nel browser dietro URL apparentemente puliti
• aggregatori di giochi che ospitano launcher incorporati dietro pagine dall'aspetto generico come Nebula e Interstellar
• Google Sites utilizzato per distribuire collegamenti di bypass nelle reti studentesche
• Sessioni di Chrome senza estensione aggirando completamente il filtro aprendo finestre del browser che non caricano mai l'estensione del filtro.

Nessuno di questi sembra un tentativo di aggirare le restrizioni a livello di nome host. Ecco il punto.

Le regole statiche individuano minacce statiche. Il bypass è un bersaglio in movimento, e si muove sempre più velocemente.

Rilevare ciò che l'URL non rivela Tell

Scansionare il testo della pagina non è sufficiente. Bloccare l'elusione a livello comportamentale richiede un approccio diverso: analizzare cosa viene effettivamente eseguito nel browser, non solo dove è diretta la richiesta.

Questo è ciò che Filtro Lightspeed nuovo Funzionalità Live Intelligence fa.

Quando uno studente carica una pagina, Lightspeed Filter™ la analizza in tempo reale, valutando segnali come:

• Struttura DOM e composizione della pagina
• Attività di rete avviata dalla pagina
• Esecuzione e comportamento di JavaScript
• Librerie proxy presenti nel codice, inclusi strumenti come Ultraviolet e Rammerhead

Questi segnali vengono valutati rispetto a schemi di elusione noti. Gli indicatori ad alta affidabilità attivano il blocco immediato. I segnali a bassa affidabilità si accumulano in un punteggio ponderato fino al raggiungimento di una soglia.

È fondamentale sottolineare che l'analisi non si ferma al caricamento della pagina. La sessione continua a essere monitorata per tutta la sua durata, individuando tentativi di elusione ritardati o dinamici, ovvero modifiche del comportamento successive al caricamento iniziale. Questo è importante perché alcuni strumenti di bypass intenzionalmente rimandano l'individuazione di comportamenti sospetti fino al superamento del controllo iniziale del filtro.

Il risultato è un rilevamento che funziona indipendentemente dalla corrispondenza del dominio o dell'URL.

Integrato in un modello di sicurezza a più livelli

L'aggiramento non si basa su una singola tecnica, bensì su un insieme di exploit in continua evoluzione e sempre più sofisticati, che non si limitano al contenuto delle pagine web, ma possono colpire il browser, il sistema operativo o persino la rete stessa.

Live Intelligence è uno strato dell'approccio multistrato di Lightspeed Filter, che funziona insieme a:

• Protezione dalle minacce zero-day per siti sconosciuti e appena registrati
• Categorizzazione granulare della sicurezza per il blocco dinamico basato su criteri
• App e dispositivo ChromeOS protezione per minacce che aggirano le estensioni
• Filtraggio a livello di dispositivo e di rete su tutti i principali dispositivi e sistemi operativi

Ogni strato colma le lacune che gli altri non coprono. È una scelta voluta.

Il rilevamento in tempo reale delle elusioni rafforza in particolare il livello Live Intelligence, aggiungendo l'identificazione basata sul comportamento dell'attività proxy durante la sua esecuzione, affrontando i metodi che storicamente sono riusciti a eludere i controlli.

La visibilità non richiede uno strumento smussato

Rilevamento e blocco sono due controlli distinti, ed è fondamentale mantenerli separati. Le scuole hanno bisogno di una visibilità completa su ciò che accade sulla loro rete, non solo per bloccare le attività, ma anche per monitorarle, identificare le minacce emergenti e comprendere i modelli prima che si trasformino in problemi.

I controlli di sensibilità di Lightspeed Filter consentono agli amministratori di regolare il rilevamento delle elusioni tramite policy ("Rilassata", "Normale" o "Rigorosa") per diversi gruppi di utenti, livelli scolastici o personale. Il blocco può essere regolato anche a livello di categoria, offrendo alle scuole un controllo preciso su come viene applicato il rilevamento per i diversi tipi di minaccia. Un distretto potrebbe scegliere di bloccare automaticamente i framework proxy a livello di distretto, disattivando il blocco degli aggregatori di giochi per un gruppo specifico, riducendo così le interruzioni dove è opportuno senza creare punti ciechi. Il rilevamento continua a essere eseguito su tutte le categorie in entrambi i casi, quindi nulla scompare dalla visualizzazione solo perché il blocco non viene applicato.

Questa flessibilità è importante nella pratica. L'obiettivo non è bloccare indiscriminatamente ogni dispositivotely. L'obiettivo è fornire ai team IT e di sicurezza le informazioni e il controllo necessari per prendere le decisioni più appropriate per il loro ambiente.

Cosa significa questo per la tua rete

Il bypass tramite proxy ha superato, in termini di volume, qualsiasi altra categoria di minaccia nelle reti scolastiche (dalle scuole primarie alle superiori). Gli strumenti utilizzati dagli studenti sono sofisticati, ampiamente diffusi e progettati specificamente per eludere i filtri convenzionali.

Per affrontare questo problema è necessario un rilevamento che operi a livello comportamentale, valutando cosa viene eseguito nel browser, non solo a quale indirizzo punta. Questo è ciò che Live Intelligence per il rilevamento e il blocco delle elusioni offre a Lightspeed Filter.

Se il tuo filtro attuale si basa principalmente sulla corrispondenza di URL o domini, presenta delle lacune. Ed è proprio in queste lacune che si annidano le attività di elusione. Scopri di più su come Lightspeed Filter™ affronta il rilevamento e il blocco delle attività di elusione sul nostro sito. pagina di prevenzione dell'aggiramento del filtro.