کنترل دسترسی کاربران به اینترنت فقط با باز و بسته کردن پورتها معنا ندارد. امروز بخش زیادی از ریسک امنیتی از طریق وب اتفاق میافتد؛ از بدافزارهایی که در قالب دانلود نرمافزار منتشر میشوند تا حملات فیشینگ و ارتباط با سرورهای Command & Control. در Cisco Secure Firewall که بر پایه Cisco Firepower Threat Defense کار میکند، قابلیت URL Filtering و Web Control این امکان را میدهد که ترافیک وب را نه فقط بر اساس IP، بلکه بر اساس دستهبندی، Reputation و حتی دامنه مشخص کنترل کنید.
در این مقاله، راهاندازی URL Filtering را از مرحله پیشنیاز تا اعمال Policy و مانیتورینگ عملی بررسی میکنیم.
برای اینکه URL Filtering را درست و مؤثر پیادهسازی کنید، باید بدانید این قابلیت دقیقاً در کجای مسیر پردازش ترافیک قرار میگیرد و چگونه با سایر ماژولهای امنیتی تعامل دارد. در Cisco Firepower Threat Defense که هسته اصلی Cisco Secure Firewall را تشکیل میدهد، URL Filtering بخشی از Access Control Policy است و به صورت مستقل از فایروال پایه عمل نمیکند.
وقتی یک کاربر داخلی درخواست HTTP یا HTTPS ارسال میکند، ابتدا مراحل معمول مانند Route Lookup و NAT انجام میشود. سپس Access Control Rule مرتبط با آن ترافیک بررسی میشود. اگر در آن Rule قابلیت URL Filtering فعال باشد، سیستم دامنه یا URL مقصد را استخراج میکند و آن را با پایگاه داده دستهبندی وب سیسکو مقایسه میکند. این پایگاه داده شامل میلیونها دامنه است که بر اساس نوع محتوا، ریسک امنیتی و کاربرد در دستههای مشخص قرار گرفتهاند.
در ترافیک HTTP، مسیر کامل URL به صورت واضح قابل مشاهده است. اما در HTTPS، به دلیل رمزنگاری، به صورت پیشفرض فقط نام دامنه از طریق SNI یا گواهی قابل شناسایی است. بنابراین اگر SSL Decryption فعال نباشد، تصمیمگیری معمولاً در سطح دامنه انجام میشود نه در سطح مسیر دقیق. اگر سازمان نیاز داشته باشد مسیرهای خاصی مانند example.com/download یا example.com/login را جداگانه کنترل کند، باید SSL Inspection در طراحی لحاظ شود.
از نظر پردازشی، URL Filtering بخشی از موتور تحلیل لایه Application است. یعنی فقط بررسی پورت انجام نمیشود، بلکه Context ترافیک تحلیل میشود. اگر یک سایت در دستهبندی Malware یا Phishing قرار داشته باشد، حتی اگر از پورت 443 استفاده کند، میتواند مسدود شود. این تفاوت اصلی بین Web Control و فیلترینگ سنتی مبتنی بر IP است.
نکته مهم دیگر این است که URL Filtering میتواند با سایر قابلیتها ترکیب شود. برای مثال در یک Rule میتوانید URL Filtering را فعال کنید و همزمان Intrusion Policy را نیز اعمال نمایید. در این حالت، ابتدا دستهبندی وب بررسی میشود و سپس ترافیک مجاز وارد مرحله تحلیل IPS میگردد. این ترکیب باعث ایجاد یک دفاع چندلایه میشود.
از منظر مدیریتی، تمام دستهبندیها، URL Objectها و گزارشها در Cisco Firepower Management Center مدیریت میشوند. FMC علاوه بر تعریف Policy، مسئول دریافت و بهروزرسانی پایگاه داده URL است. اگر این پایگاه داده بهروز نباشد، دقت تشخیص کاهش مییابد و برخی دامنههای جدید ممکن است در دسته اشتباه قرار گیرند یا اصلاً شناخته نشوند.
همچنین باید بدانید که URL Filtering بر اساس اولین تطبیق Rule در Access Control اجرا میشود. بنابراین ترتیب Ruleها اهمیت زیادی دارد. اگر یک Rule کلی در بالای Policy قرار گیرد و Allow بدون بررسی URL باشد، Ruleهای پایینتر هرگز اجرا نخواهند شد. طراحی صحیح ترتیب Ruleها بخش مهمی از معماری Web Control است.
قبل از اینکه URL Filtering را در محیط عملیاتی فعال کنید، باید چند پیشنیاز فنی را بهصورت دقیق بررسی کنید. فعالسازی Web Control بدون آمادهسازی زیرساخت، معمولاً یا منجر به عدم کارایی Policy میشود یا باعث ایجاد اختلال در دسترسی کاربران خواهد شد. این Feature وابسته به لایسنس، دیتابیس بهروز، طراحی صحیح Policy و در برخی موارد SSL Decryption است.
اولین پیشنیاز، فعال بودن URL Filtering License روی دستگاه Cisco Firepower Threat Defense است. بدون این لایسنس، دستهبندیهای وب در Access Control Policy در دسترس نخواهند بود. علاوه بر فعال بودن لایسنس، باید Subscription معتبر باشد تا پایگاه داده دستهبندیها بهروز بماند. اگر دیتابیس قدیمی باشد، برخی دامنههای جدید یا سایتهای تازه ایجادشده ممکن است بهدرستی شناسایی نشوند.
دومین موضوع، بررسی ارتباط FMC با سرورهای بهروزرسانی سیسکو است. در صورتی که Cisco Firepower Management Center به اینترنت دسترسی نداشته باشد، باید مکانیزم Update از طریق Proxy یا روش Offline طراحی شود. بسیاری از مشکلات دقت پایین در Web Control به دلیل بهروزرسانی نشدن URL Database است.
سومین پیشنیاز، طراحی صحیح Access Control Policy است. باید مشخص شود کدام شبکهها و Zoneها تحت Web Control قرار میگیرند. معمولاً ترافیک inside به outside هدف اصلی است. اگر Ruleهای عمومی Allow در ابتدای Policy قرار گرفته باشند، ممکن است URL Filtering هرگز اجرا نشود. بنابراین ترتیب Ruleها باید از ابتدا بررسی شود.
چهارمین نکته، تصمیمگیری درباره SSL Decryption است. بخش عمده ترافیک وب امروز رمزنگاریشده است. اگر SSL Inspection فعال نباشد، فایروال فقط میتواند دامنه مقصد را بررسی کند، نه مسیر دقیق URL. اگر سازمان نیاز به کنترل دقیقتر مانند مسدودسازی صفحات خاص یا بررسی فایلهای دانلودی دارد، باید زیرساخت SSL Decryption شامل Certificate معتبر و توزیع آن روی کلاینتها از قبل آماده باشد. فعالسازی Decryption بدون برنامهریزی میتواند باعث خطای گواهی در مرورگر کاربران شود.
پنجمین موضوع، بررسی ظرفیت سختافزاری است. هرچند URL Filtering نسبت به IPS فشار کمتری به دستگاه وارد میکند، اما در شبکههای پرترافیک یا در صورت فعال بودن SSL Decryption، مصرف CPU افزایش مییابد. بهتر است قبل از بهرهبرداری گسترده، مصرف منابع بررسی شود تا از ایجاد Latency جلوگیری شود.
ششمین پیشنیاز، تعریف سیاست سازمانی روشن است. قبل از فعالسازی Web Control باید مشخص شود چه دستهبندیهایی باید Block شوند، کدامها Monitor شوند و آیا استثناهایی وجود دارد یا خیر. بدون سیاست مشخص، Policy بهصورت پراکنده و غیرقابل مدیریت طراحی خواهد شد.
هفتمین نکته، آمادهسازی زیرساخت مانیتورینگ و لاگگیری است. پس از فعالسازی URL Filtering، حجم URL Eventها افزایش مییابد. باید اطمینان حاصل شود که FMC از نظر ذخیرهسازی و پردازش Eventها آماده است و در صورت نیاز، لاگها به SIEM ارسال شوند.
در FMC وارد بخش Policies و سپس Access Control شوید. Policy موردنظر را باز کنید یا یک Policy جدید ایجاد کنید.
یک Rule جدید برای ترافیک کاربران داخلی به اینترنت بسازید. Source Zone را inside و Destination Zone را outside قرار دهید.
در قسمت URL Category یا URL Filtering، دستهبندیهایی که میخواهید کنترل شوند انتخاب کنید. برای مثال میتوانید Category مربوط به Gambling را Block و Category مربوط به Social Media را Monitor کنید.
Action Rule میتواند Allow، Block یا Interactive Block باشد. Interactive Block صفحه هشدار به کاربر نمایش میدهد.
علاوه بر دستهبندی، میتوانید URL Object تعریف کنید. برای مثال اگر نیاز دارید فقط یک دامنه خاص مانند example.com مسدود شود، بدون توجه به دستهبندی، میتوانید یک URL Object ایجاد کرده و آن را در Rule استفاده کنید.
این روش برای سناریوهایی که سیاست سازمانی روی سایت خاصی متمرکز است کاربرد دارد.
پس از تعریف Rule، Logging را فعال کنید تا رویدادهای مرتبط ثبت شوند. سپس Deploy انجام دهید.
در بخش Analysis و سپس URL Events در FMC میتوانید ببینید کدام کاربران به چه دستهبندیهایی دسترسی داشتهاند، چه سایتهایی Block شدهاند و کدام Rule Trigger شده است.
در پروژههای واقعی، این دادهها برای تحلیل رفتار کاربران و بهبود Policy بسیار ارزشمند هستند.
برای درک واقعی نحوه پیادهسازی URL Filtering، بهتر است یک سناریوی عملی را بررسی کنیم. فرض کنید یک سازمان متوسط با حدود 250 کاربر دارید که اینترنت از طریق یک دستگاه Cisco Firepower Threat Defense تأمین میشود و مدیریت آن از طریق Cisco Firepower Management Center انجام میگیرد. سازمان سیاست مشخصی برای استفاده از اینترنت دارد، اما تاکنون کنترل دقیقی روی دستهبندی وبسایتها اعمال نشده است.
مدیریت سازمان سه هدف اصلی دارد. اول، مسدودسازی سایتهای پرریسک مانند Malware، Phishing و Command & Control. دوم، محدود کردن دسترسی به سایتهای غیرکاری مانند Gambling و Adult Content. سوم، کنترل استفاده از شبکههای اجتماعی در ساعات اداری بدون قطع کامل دسترسی.
در این سناریو، اولین قدم تحلیل ترافیک فعلی است. توصیه نمیشود بلافاصله دستهبندیها را Block کنید. بهتر است یک Rule در Access Control Policy تعریف شود که URL Filtering را در حالت Monitor فعال کند. برای مثال، Categoryهای Social Media، Streaming Media و Gambling در حالت Allow با Logging فعال شوند. این کار به تیم IT امکان میدهد رفتار واقعی کاربران را در چند هفته اول مشاهده کند.
پس از جمعآوری دادهها، میتوان تصمیم دقیقتری گرفت. فرض کنید مشخص میشود حجم زیادی از ترافیک در ساعات کاری مربوط به Streaming Media است که باعث مصرف بالای پهنای باند میشود. در این مرحله میتوان Rule جدیدی تعریف کرد که Category مربوط به Streaming Media را در ساعات 8 صبح تا 16 Block کند و خارج از این بازه Allow باشد. این کار از طریق Time-Based Rule در Access Control قابل پیادهسازی است.
در مورد شبکههای اجتماعی، ممکن است سازمان تصمیم بگیرد دسترسی کامل مسدود نشود، اما فعالیت آن مانیتور شود. در این حالت Category Social Media در حالت Allow باقی میماند اما Logging کامل فعال میشود. گزارش URL Eventها میتواند نشان دهد کدام واحد سازمان بیشترین مصرف را دارد و آیا نیاز به سیاست سختگیرانهتر وجود دارد یا خیر.
برای سایتهای پرریسک مانند Malware و Phishing، بهتر است از ابتدا Action روی Block قرار گیرد. این دستهبندیها معمولاً توجیه عملیاتی برای Allow شدن ندارند. همچنین میتوان این Rule را با Intrusion Policy ترکیب کرد تا اگر کاربری به دامنه مشکوک متصل شد، علاوه بر Block شدن، رویداد امنیتی نیز ثبت شود.
اگر سازمان دارای واحدی خاص مانند تیم بازاریابی باشد که نیاز به دسترسی به شبکههای اجتماعی یا برخی سایتهای خاص دارد، میتوان با استفاده از Network Object یا User Identity Rule استثنا تعریف کرد. این کار باعث میشود Policy کلی سازمان حفظ شود اما نیاز عملیاتی برخی واحدها نیز برآورده گردد.
در ادامه، تیم IT باید به صورت دورهای URL Eventها را بررسی کند. اگر سایت خاصی اشتباهاً در دستهبندی پرریسک قرار گرفته باشد، میتوان از URL Object برای ایجاد استثنا استفاده کرد. این فرآیند Tuning بخشی طبیعی از پیادهسازی Web Control است.
در محیطهای پرترافیک، بهتر است Web Control فقط روی ترافیک کاربران اعمال شود و نه روی ترافیک سرورها یا لینکهای داخلی. همچنین استفاده بیش از حد از SSL Decryption بدون تحلیل ظرفیت سختافزار میتواند باعث افزایش Latency شود.
Policy باید ساده و لایهبندیشده باشد. Ruleهای عمومی در بالا و Ruleهای خاص در پایین قرار گیرند. از ایجاد Ruleهای متعدد و پراکنده خودداری کنید، چون عیبیابی را دشوار میکند.
بهروزرسانی منظم پایگاه داده URL و بررسی دورهای URL Eventها به شما کمک میکند Policy را متناسب با رفتار واقعی کاربران تنظیم کنید.
URL Filtering و Web Control در Cisco Secure Firewall ابزاری قدرتمند برای کنترل دسترسی کاربران به اینترنت و کاهش ریسکهای مبتنی بر وب است. این قابلیت در چارچوب Access Control Policy اجرا میشود و با ترکیب دستهبندی وب، URL Object و Logging میتواند دید دقیقی از رفتار کاربران ارائه دهد.
اگر این Feature بهدرستی طراحی و مانیتور شود، نهتنها امنیت سازمان افزایش مییابد، بلکه مدیریت استفاده از اینترنت نیز هدفمند و قابل تحلیل خواهد بود.
پیادهسازی مؤثر URL Filtering فقط انتخاب چند Category برای Block کردن نیست. طراحی صحیح Policy، تصمیمگیری درباره SSL Decryption، تحلیل URL Eventها و بهینهسازی عملکرد دستگاه نیازمند تجربه عملی در پروژههای واقعی است.
وینو سرور به عنوان یک مرجع تخصصی در حوزه Cisco Secure Firewall و پیادهسازی قابلیتهای پیشرفته مانند URL Filtering و NGFW، با رویکرد مهندسی و مبتنی بر تجربه پروژههای سازمانی، به شما کمک میکند Web Control را به شکلی پایدار، قابل مدیریت و متناسب با نیاز کسبوکار پیادهسازی کنید. اگر هدف شما کنترل دقیق، امن و قابل تحلیل ترافیک وب در سازمان است، وینو سرور میتواند نقطه اتکای تخصصی شما در این مسیر باشد.
وینو سرور، اولین استارتاپ ارائه تجهیزات و سیستم های سخت افزاری، به صورت مستقیم از تولید کننده به مصرف کننده است. همواره تلاش مجموعه بر این اصل استوار بوده است تا مشتریان بتوانند بهترین سیستم را برای پروژه خود انتخاب کرده و با مناسبترین قیمت، آن را تهیه کنند. تیم وینو سرور، همواره سعی میکند تا جامعترین خدمات را به مشتریان ارائه دهد تا خرید را برای شما به کاری لذتبخش و آسان تبدیل کند.
مطلع شدن از پست های جدید
میخواهم اولین نفری باشم که از مقالههایی که در وینو سرور منتشر میشود، آگاه شوم.
