Aktivitet som kringgår elever har i tysthet blivit det vanligaste hotet på nätverk för grundskolan och gymnasiet. Inte skadlig kod. Inte nätfiske. Proxy-kringgång – och det genererar 7 gånger mer blockerad aktivitet än skadlig kod i nätverk för grundskolan och gymnasiet.

Studenter är påhittiga, motiverade och arbetar med alltmer sofistikerade verktyg. De kringgåningsmetoder som finns tillgängliga idag (proxy-ramverk, spelaggregatorer, delade kringgåningslänkar, webbläsarattacker) är inte dina "bara googla en proxy"-lösningar från 2015. De utvecklas, distribueras och blir allt svårare att upptäcka med konventionell filtrering.

De flesta filter var inte utformade för att stoppa dem.

Varför traditionell filtrering inte fungerar

De flesta innehållsfiltreringar fungerar genom att kontrollera en URL eller domän mot en blockeringslista. Om adressen finns med på listan, blockera den. Om den inte finns med på listan, släpp igenom den.

Den metoden var vettig när förbikopplingsförsök var enkla. Den håller inte jämfört med de metoder som studenter använder idag:

• Proxy-ramverk som Ultraviolet, Scramjet och Rammerhead, som tunnlar trafik direkt i webbläsaren bakom till synes rena webbadresser
• Spelaggregatorer som har inbäddade startprogram bakom generiska sidor som Nebula och Interstellar
• Google Webbplatser används för att distribuera förbikopplingslänkar över studentnätverk
• Chrome-sessioner utan tillägg som helt kringgår filtrering genom att öppna webbläsarfönster som aldrig laddar filtertillägget

Inget av dessa ser ut som förbigångsförsök på värdnamnsnivå. Det är poängen.

Statiska regler fångar upp statiska hot. Bypass är ett rörligt mål, och det rör sig snabbare.

Upptäcka vad URL:en inte visar dig

Att skanna texten på sidan räcker inte. Att stoppa kringgåningen på beteendenivå kräver en annan metod: att analysera vad som faktiskt körs i webbläsaren, inte bara vart begäran är på väg.

Det är vad Lightspeed-filtret ny Live Intelligence-kapacitet gör.

When a student loads a page, Lightspeed Filter™ analyzes it in real time, evaluating signals like:

• DOM-struktur och sidkomposition
• Nätverksaktivitet initierad av sidan
• JavaScript-körning och beteende
• Proxybibliotek som finns i koden, inklusive verktyg som Ultraviolet och Rammerhead

Dessa signaler utvärderas mot kända förbikopplingsmönster. Indikatorer med hög konfidens utlöser omedelbar blockering. Signaler med lägre konfidens ackumuleras till en viktad poäng tills ett tröskelvärde uppnås.

Det avgörande är att analysen inte slutar vid sidans laddning. Sessionen fortsätter att övervakas hela tiden, vilket upptäcker fördröjda eller dynamiska undvikanden där beteendet förändras efter den första laddningen. Det är viktigt eftersom vissa kringgåningsverktyg avsiktligt skjuter upp misstänkt beteende tills de har klarat den första filterkontrollen.

Resultatet är en detektering som fungerar oberoende av domän- eller URL-matchning.

Inbyggd i en säkerhetsmodell i flera lager

Bypass görs inte med en enda teknik, det är en föränderlig och skiftande uppsättning exploits som blir mycket mer sofistikerade och inte alltid är begränsade till sidinnehåll, utan kan rikta in sig på webbläsaren, operativsystemet eller till och med själva nätverket.

Live Intelligence är ett lager i Lightspeed Filters flerskiktsstrategi och fungerar tillsammans med:

• Skydd mot hot mot nolldagar för okända och nyregistrerade webbplatser
• Detaljerad säkerhetskategorisering för dynamisk, policybaserad blockering
• ChromeOS-app och enhet skydd för hot som kringgår tillägg
• Filtrering på enhetsnivå och nätverksnivå på alla större enheter och operativsystem

Varje lager täcker luckor som de andra inte täcker. Det är avsiktligt.

Realtidsförbikopplingsdetektering stärker specifikt Live Intelligence-lagret – det lägger till beteendebaserad identifiering av proxyaktivitet när den körs, vilket åtgärdar de metoder som historiskt sett har glidit igenom.

Sikt kräver inte ett trubbigt instrument

Detektering och blockering är två separata kontroller, och poängen är att hålla dem åtskilda. Skolor behöver fullständig insyn i vad som händer i deras nätverk – inte bara för att blockera aktivitet, utan för att granska den, identifiera nya hot och förstå mönster innan de blir problem.

Med Lightspeed Filters känslighetskontroller kan administratörer justera förbikopplingsdetektering efter policy ("Avslappnad", "Normal" eller "Strikt") för olika användargrupper, årskurser eller personal. Blockering kan också justeras på kategorinivå, vilket ger skolor exakt kontroll över hur detektering tillämpas för olika hottyper. Ett distrikt kan välja att automatiskt blockera proxy-ramverk i hela distriktet samtidigt som blockering av spelaggregatorer lämnas avstängd för en specifik grupp – vilket minskar störningar där det är meningsfullt utan att skapa blinda fläckar. Detektering fortsätter att köras över alla kategorier oavsett hur, så ingenting försvinner ur sikte bara för att blockering inte tillämpas.

Den flexibiliteten är viktig i praktiken. Målet är inte att låsa alla enheter urskillningslöst. Det är för att ge IT- och säkerhetsteam informationen och kontrollen för att fatta rätt beslut för sin miljö.

Vad detta innebär för ditt nätverk

Proxybypass har volymmässigt överträffat alla andra hotkategorier i K–12-nätverk. Verktygen som eleverna använder är sofistikerade, delade i stor utsträckning och utformade specifikt för att kringgå konventionell filtrering.

Att åtgärda det kräver detektering som verkar på beteendenivå – utvärdering av vad som körs i webbläsaren, inte bara vilken adress den pekar på. Det är vad Live Intelligence för kringgåningsdetektering och blockering tillför Lightspeed Filter.

If your current filter relies primarily on URL or domain matching, it has gaps. And those gaps are exactly where bypass activity lives. Learn more about how Lightspeed Filter™ addresses bypass detection and blocking on our sidan för att förhindra filterförbikoppling.