URL Kategorisierung in SSL und Policy Lookup Work-Flow
40670
Created On 09/26/18 13:54 PM - Last Modified 06/06/24 18:52 PM
Symptom
PAN-OS führt URL die Kategoriesuche für URLs aus, die in HTTP Headern und SSL Handshake-Nutzlastengefunden wurden, solange eine gültige URL Filterlizenz installiert ist. Die Verwendung URL von Kategorie bei der Auswertung und Anwendung der policy URL- Filterprofilaktion unterliegt einigen Bedingungen, wie unten hervorgehoben.
HTTP Verbindung - Klartextverkehr:
Sobald das URL in einem Header gefunden HTTP PAN-OS wird, wird die Kategorie abgeleitet und die URL Kategorie verwendet, um die relevante Sicherheit URL policy (zusammen mit allen bereits verfügbaren Informationen einschließlich der app -id) nachzuschlagen. Wenn dem ausgewählten Sicherheitsprofil policy ein URL Filterprofil zugeordnet URL ist, wird die im Filterprofil definierte URL Kategorieaktion ausgeführt.In den folgenden Abschnitten liegt der Fokus auf SSL Verbindungen. Der Arbeitsablauf hängt davon ab, ob die SSL Verbindung mit der SSL Forward-Proxy-Funktion entschlüsselt wird.
Anmerkung-1:Ab PAN-OS 8.1 kann die URL Kategorie als Übereinstimmungsbedingung in Sicherheitsrichtlinien, QoS-Richtlinien, Entschlüsselungsrichtlinien und Authentifizierungsrichtlinien hinzugefügt werden. Der Schwerpunkt liegt in diesem Artikel auf Entschlüsselungsrichtlinien und Sicherheitsrichtlinien.
Anmerkung-2: Obwohl sich der Artikel auf SSL bezieht, ist der korrekte Begriff in der Tat TLS .
Environment
- PAN-OS 8.1 und höher.
- Palo Alto Firewall .
Resolution
SSL Die Entschlüsselung ist aktiviert und anwendbar:
- Sobald SSL Client Hello von verarbeitet PAN-OS wird, wird die app -id auf SSL gesetzt.
- PAN-OS führt eine policy Sicherheits-Neubewertung mit den zusätzlichen Informationen von app -id = durch SSL
- Falls der Client Hello SNI vorhanden ist, leitet sich PAN-OS die Kategorie URL ab, die im Falle www.example.com "Computer-und-Internet-Info" ist.
- An diesem Punkt wird die URL Kategorie von PAN-OS verwendet, um Entschlüsselungsrichtlinien allein zu suchen. Mit diesem PAN-OS SSL Forward Proxy wird die Funktionalität aktiviert.
- Es ist wichtig zu beachten, dass PAN-OS die Kategorie nicht verwendet URL wird, um Sicherheitsrichtlinien neu zu bewerten. Sie wendet auch nicht die URL kategorie aktion an, die im entsprechenden Filterprofil definiert URL ist. und die Begründung ist:
a) Die Kategorie wird mit der URL vom Client FQDN (Web-Browser) dargestellten abgeleitet; PAN-OS trifft eine informierte Entscheidung, dass die Anwendung, die die Verbindung verwendet, SSL wahrscheinlich den vollständigen (einschließlich des Dateispeicherorts - www.example.com/images/amsterdam.png) enthält, der nach der URL URL Entschlüsselung sichtbar sein wird und einer benutzerdefinierten Kategorie entsprechen URL kann.
b) URL Kategorisierungund Filteraktion gilt streng für den basierten Datenverkehr und während des HTTP SSL Handshakes ist nicht garantiert, dass HTTP der Datenverkehr durch den Kanal SSL fließt.
c) Wenn die URL Kategorie-Aktion erfordert, PAN-OS dem Endbenutzer eine Antwortseite HTTP zu präsentieren, muss sie warten, bis der SSL Handshake abgeschlossen ist. - Wenn eine entschlüsselte SSL Verbindung ordnungsgemäß beendet wird, ohne Anwendungsdaten zu senden, oder wenn die Verbindung keine SSL Daten HTTP sendet, werden in den Datenverkehrsprotokollen falsche Sicherheitsrichtlinien als Regeln angezeigt, wenn URL- Kategorieübereinstimmungsbedingungen konfiguriert sind, da sie vom Entwurf ignoriert werden.
Hinweis: Die obige Begründung ist möglicherweise nicht narrensicher, aber wie beschrieben ist die Änderung des Arbeitsablaufs der aktuelle Entwurf.