Блокировка анонимайзеров

Комплексное UTM-решение Ideco ICS обладает широкими возможностями для контентной фильтрации сайтов по категориям. А в расширенном варианте контент-фильтра доступны более 140 категорий сайтов, включающие миллионы URL.

Зачастую настройки контентной фильтрации можно достаточно легко обойти различными способами. В данной статье мы расскажем о возможностях Ideco ICS по блокировке самых распространённых способов обхода контентной фильтрации.

Веб-прокси

Веб-прокси — это прокси-сервер, представляющий собой особое веб-приложение, выступающее в роли посредника для загрузки веб-сайтов.

Использование подобных ресурсов для доступа к веб-сайтам, требующим авторизации, небезопасно, поскольку владельциы веб-прокси могут использовать эти учетные данные в собственных целях.

Запрет категории «Анонимайзеры» с помощью контент-фильтра Ideco ICS позволит заблокировать все известные веб-прокси (часть из них работает по протоколу HTTPS, поэтому потребуется настройка HTTPS-фильтрации).

VPN

Технология подключения к виртуальным частным сетям также часто используется для обхода систем фильтрации и туннелирования всего трафика через предоставляющие такие услуги серверы. Несанкционированные подключения к таким сервисам ставят под угрозу безопасность корпоративной сети и могут быть ограничены как политиками безопасности локального домена, так и на интернет-шлюзе.

Для запрета доступа к VPN в Ideco ICS необходимо с помощью межсетевого экрана (пользовательского или системного) заблокировать протокол GRE (используется при подключении по PPTP) и UDP-порты 500 и 4500 (используется в IPsec).

Турбо-режимы браузеров

Один из популярных способов обхода фильтрации — турбо-режимы браузеров. Для оптимизации использования веб-трафика браузеры (Opera и Яндекс.браузер, например) используют сжимающие трафик прокси-серверы таким образом, что через шлюз информация проходит в зашифрованном и сжатом виде, что исключает ее обработку системой контентной фильтрации.

Традиционными средствами — правилами межсетевого экрана — данные режимы довольно сложно заблокировать, т.к. они используют различные порты и распределенную систему прокси-серверов.

В новой версии Ideco ICS 6.8, специально для удобства администраторов правила по блокировке данных режимов в Opera и Яндекс.браузере интегрированы в систему предотвращения вторжений. Администратору достаточно включить эти правила и данным способом обхода контентной фильтрации нельзя будет воспользоваться.

Расширения (плагины) анонимайзеры

Широкое распространение получили различные расширения для браузеров Chrome и Firefox, позволяющие обходить контент-фильтрацию и анонимизирующие пользователя. Среди них наиболее популярны: friGate, Anonymox, Browsec.

В новой версии Ideco ICS 6.8 их также легко заблокировать с помощью системы предотвращения вторжений, заблокировав категорию «Анонимайзеры». В дальнейшем мы планируем увеличить количество блокируемых расширений, добавив в эту группу соотвествующие правила. На серверах Ideco ICS правила обновляются автоматически, без необходимости обновлять версию Ideco ICS и каких-либо действий администратора.