ブロックする方法ASCII互換性のあるエンコーディング (Punycode) PAN-OS
6960
Created On 04/28/21 22:21 PM - Last Modified 07/18/24 21:09 PM
Objective
この記事では、ブロックする方法を紹介しますASCII互換性のあるエンコーディング (Punycode) でのアンチスパイウェア署名PAN-OS.
バックグラウンド
攻撃者は、Punycode/を使用してフィッシング Web サイトをクローキングする可能性があります。ASCIIユーザーをだましてそれらにアクセスさせるための互換性のあるエンコーディング。 この手法には、国際エンコーディングを使用してドメイン名を作成することが含まれます。 このエンコーディング下の文字は、Web ブラウザーによってオンザフライで変換され、視覚的に同等のものを使用してユーザーに表示されます。ASCIIこれは、信頼できる Web サイトの元のドメイン名と区別がつきません。
例：
Punycode: xn--e1awd7f.com通常に翻訳するとASCIIあれは。。。になる： epic.com .
したがって、ユーザーがアクセスした場合xn--e1awd7f.comブラウザのアドレスバーに実際に表示されるのは「 epic.com '
Environment
- PAN-OS 7.1以上
- カスタム スパイウェア シグネチャ
- ASCII 互換性のあるエンコーディング (Punycode)
Procedure
- に行くオブジェクトタブ >カスタム オブジェクト>スパイウェア> (追加) 下部に
- の中に構成タブ：
- 脅威を割り当てる (TID 15000 ～ 18000 の範囲)
- 名前: Punycode エンコーディング
- 重大度: (1 つ選択)
- 方向: client2server
- デフォルトのアクション: (1 つ選択)
- の中に署名タブ：
- 署名標準ラジオ ボタン: (選択済み)
- クリック （追加）。
- の中に標準窓：
- 標準 (名前): Punycode エンコード URL
- トランザクション ラジオ ボタン: (選択済み)
- 注文条件一致: (チェックあり)
- クリック （追加または条件付け)
- の中に '新品および状態 - または状態' 窓：
- 演算子: (プルダウン) 等しい
- 値: 1
- コンテキスト: (プルダウン) http-req-ascii-compatible-encoding-prefix-found
- （クリックOK) > (クリックOK) > (クリックOK）、アンチスパイウェア プロファイルがセキュリティを処理していることを確認します。Policyルールは、このカスタム シグニチャの重大度と一致して、目的のブロック アクションを実行します。 ルールがブロック アクションを実行するように設定されていない場合は、構成済みのアンチスパイウェア例外を構成します。TIDそれに対するブロック アクションを設定します。 (つまり、クライアントのリセット)。
- 専念構成
| 注1：SSLのような暗号化されたサイトhttps://xn-- 、検出は読み取り能力に依存しますHTTPリクエストメッセージSSLでの復号化firewall必要です。 |
| 注 2: これがカスタム脆弱性保護シグネチャではなく、カスタム アンチスパイウェア シグネチャとして推奨される理由は、スパイウェア シグネチャを使用することで、ユーザにアンチスパイウェアの「快適な」ブロック ページを表示できるからです。 |
Additional Information
この記事に添付されているカスタム署名のサンプル
ショートカットとして、添付の punycode_15400.xml ファイルをカスタム スパイウェア シグネチャにインポートできます。
ことを確認してくださいTID15400 は、構成内の他のカスタム スパイウェア シグネチャに対して定義されていません。
補足情報を含む参照 Web サイト
https://www.wordfence.com/blog/2017/04/chrome-firefox-unicode-phishing/
http://fortune.com/2017/04/18/google-chrome-phishing-scam/
https://en.wikipedia.org/wiki/Internationalized_domain_name
Aシンプルな Puny <> 通常のテキスト エンコーダー/デコーダー:
https://www.punycoder.com/