A prática de bypass de proxy por estudantes tornou-se, discretamente, a ameaça mais comum nas redes de escolas de ensino fundamental e médio. Não se trata de malware, nem de phishing. Trata-se de bypass de proxy — e está gerando sete vezes mais bloqueios do que malware nessas redes.

Os estudantes são engenhosos, motivados e trabalham com ferramentas cada vez mais sofisticadas. Os métodos de bypass disponíveis hoje (frameworks de proxy, agregadores de jogos, links de bypass compartilhados, exploits de navegador) não são as soluções alternativas de 2015 do tipo "basta pesquisar um proxy no Google". Eles estão evoluindo, são distribuídos e cada vez mais difíceis de detectar com filtros convencionais.

A maioria dos filtros não foi projetada para impedi-los.

Por que a filtragem tradicional não é suficiente?

A maioria dos filtros de conteúdo funciona verificando um URL ou domínio em uma lista de bloqueio. Se o endereço estiver na lista, ele é bloqueado. Caso contrário, é permitido o acesso.

Essa abordagem fazia sentido quando as tentativas de burlar o sistema eram simples. Ela não se sustenta diante dos métodos que os alunos usam hoje em dia:

• Estruturas de proxy Assim como Ultraviolet, Scramjet e Rammerhead, que encaminham o tráfego diretamente no navegador por trás de URLs aparentemente limpas.
• Agregadores de jogos que hospedam lançadores embutidos por trás de páginas de aparência genérica como Nebula e Interstellar
• Sites do Google usado para distribuir links alternativos em redes de estudantes
• Sessões do Chrome sem extensões que contornam completamente a filtragem abrindo janelas do navegador que nunca carregam a extensão de filtro.

Nenhuma dessas tentativas parece ser uma tentativa de contornar o ataque no nível do nome do host. Essa é a questão.

Regras estáticas detectam ameaças estáticas. A evasão é um alvo móvel, e está se movendo cada vez mais rápido.

Detectando o que a URL não mostra Tell Você

Analisar o texto na página não é suficiente. Impedir a evasão no nível comportamental exige uma abordagem diferente: analisar o que está sendo executado de fato no navegador, e não apenas para onde a requisição está sendo enviada.

É isso que Filtro Lightspeed novo Capacidade Live Intelligence faz.

Quando um aluno carrega uma página, o Lightspeed Filter™ a analisa em tempo real, avaliando sinais como:

• Estrutura DOM e composição da página
• Atividade de rede iniciada pela página
• Execução e comportamento do JavaScript
• Bibliotecas proxy presentes no código, incluindo ferramentas como Ultraviolet e Rammerhead.

Esses sinais são avaliados em relação a padrões de desvio conhecidos. Indicadores de alta confiança acionam o bloqueio imediato. Sinais de baixa confiança se acumulam em uma pontuação ponderada até que um limite seja atingido.

Fundamentalmente, a análise não termina com o carregamento da página. A sessão continua sendo monitorada durante todo o processo, detectando evasões tardias ou dinâmicas, em que o comportamento muda após o carregamento inicial. Isso é importante porque algumas ferramentas de bypass adiam intencionalmente comportamentos suspeitos até que a verificação inicial do filtro seja concluída.

O resultado é uma detecção que funciona independentemente da correspondência de domínio ou URL.

Integrado a um modelo de segurança em camadas

A burla não é feita usando uma única técnica; trata-se de um conjunto de explorações em constante evolução e transformação, que estão se tornando muito mais sofisticadas e nem sempre se limitam ao conteúdo da página, podendo ter como alvo o navegador, o sistema operacional ou até mesmo a própria rede.

Live Intelligence é uma camada na abordagem multicamadas do Lightspeed Filter, funcionando em conjunto com:

• Proteção contra ameaças de dia zero para sites desconhecidos e recém-registrados
• Categorização granular de segurança para bloqueio dinâmico baseado em políticas
• Aplicativo e dispositivo ChromeOS proteção para ameaças que ignoram extensões
• Filtragem no dispositivo e no nível da rede em todos os principais dispositivos e sistemas operacionais

Cada camada preenche as lacunas que as outras não cobrem. Isso é intencional.

A detecção de bypass em tempo real fortalece especificamente a camada Live Intelligence, adicionando a identificação comportamental da atividade do proxy à medida que ela é executada, abordando os métodos que historicamente passaram despercebidos.

Visibilidade não exige um instrumento contundente.

Detecção e bloqueio são dois controles distintos, e mantê-los separados é justamente o objetivo. As escolas precisam de visibilidade completa do que está acontecendo em sua rede — não apenas para bloquear atividades, mas também para auditá-las, identificar ameaças emergentes e compreender padrões antes que se tornem problemas.

Os controles de sensibilidade do Lightspeed Filter permitem que os administradores ajustem a detecção de bypass por política ("Relaxada", "Normal" ou "Rigorosa") para diferentes grupos de usuários, níveis escolares ou funcionários. O bloqueio também pode ser ajustado no nível da categoria, dando às escolas controle preciso sobre como a detecção é aplicada em diferentes tipos de ameaças. Um distrito pode optar por bloquear automaticamente frameworks de proxy em todo o distrito, enquanto mantém o bloqueio de agregadores de jogos desativado para um grupo específico — reduzindo interrupções onde fizer sentido, sem criar pontos cegos. A detecção continua em execução em todas as categorias, de qualquer forma, portanto, nada desaparece da visualização apenas porque o bloqueio não está aplicado.

Essa flexibilidade é importante na prática. O objetivo não é bloquear todos os dispositivos indiscriminadamente. O objetivo é fornecer às equipes de TI e segurança as informações e o controle necessários para que tomem a decisão correta para o seu ambiente.

O que isso significa para a sua rede?

A evasão de proxies ultrapassou todas as outras categorias de ameaças em redes de escolas de ensino fundamental e médio em termos de volume. As ferramentas que os alunos estão usando são sofisticadas, amplamente compartilhadas e projetadas especificamente para burlar a filtragem convencional.

Para solucionar esse problema, é necessário um sistema de detecção que opere no nível comportamental — avaliando o que está sendo executado no navegador, e não apenas para qual endereço ele está apontando. É isso que o Live Intelligence para detecção e bloqueio de bypass traz para o Lightspeed Filter.

Se o seu filtro atual depende principalmente da correspondência de URLs ou domínios, ele apresenta falhas. E é exatamente nessas falhas que ocorrem as atividades de bypass. Saiba mais sobre como o Lightspeed Filter™ resolve o problema de detecção e bloqueio de bypass em nosso site. Página de prevenção de bypass do filtro.