IP adresini kullanarak Facebook ve Myspace'i engelleme

Bir Cisco ASA cihazının ofisimizde zaman alıcıları haline gelen belirli sosyal ağ sitelerini engellemesinde sorun yaşıyorum . Bu soru gerçekten iki bölümden oluşuyor:

1. Bu siteler için tüm IP adreslerini almanın güvenilir bir yolu var mı?
   • Görünüşe göre Facebook'un DNS sunucuları rastgele IP adresleriyle yanıt veriyor. A'nın digardından nslookupiki farklı IP adresi verimi gelir www.facebook.com.
2. Uyarlanabilir Güvenlik Aygıt Yöneticisi (ASDM) aracılığıyla Cisco ASA'ya ana bilgisayar adları eklememe izin vermenin bir hilesi var mı?
   • URL filtresini buldum, ancak bu siteleri engellemek için para alacağımdan şüphelendiğim üçüncü taraf bir yazılım parçası gerektiriyor.

Squid'i açıp çalışana kadar altı ay kadar sürebilen geçici bir çözüm arıyoruz (bir ağ yöneticisine ihtiyacımız var, kötü).

DNS sağlayıcınız olarak kimi kullanıyorsunuz? OpenDNS (ücretsiz) gibi birine geçebiliyorsanız , sosyal ağ sitelerinin, web postasının, yetişkinlere uygun içeriğin vb. Otomatik (ve çok yapılandırılabilir) engellenmesini sağlarlar.

DÜZENLEME: ISS'nizle de hiçbir şey değiştirmek zorunda değilsiniz.

Cisco asa'nızda aşağıdakileri yapabilirsiniz:

regex facebook1 "facebook\.com"

class-map type inspect http match-any block-url-class
  match request uri regex facebook1


policy-map type inspect http block-url-policy
  parameters
class block-url-class
  drop-connection log
policy-map global_policy
  class inspection_default
  inspect http block-url-policy

service-policy global_policy global

Cisco'nun web sitesindeki tüm ayrıntıları okumanızı şiddetle tavsiye ederim .

1. Kullanıcının web etkinliğinin günlüklerini toplayın.
2. Kullanıcının masasına gidin.
3. Onlara günlükleri gösterin ve şirket zamanında etrafta dolaşmayı bırakmazlarsa işten çıkarılacaklarını söyleyin.
4. Etkinliği günlüğe kaydedin.

Bunu devam ettirirseniz bile yönetime terfi edebilirsiniz. ;)

Bir müşterimde tam olarak bu problem vardı. Çözümü şu şekilde ele aldık:

1. Yerleşik Squid proxy'si olan bir IPCop kutusu ve ayrıca URLFilter eklentisini yükledim. Artık tüm trafik IPCop kutusundan akıyor.

2. Suçluları tanımayı daha kolay hale getirmek için herkesin IP adresini telefon uzantısına kodladı. Ayrıca, tüm DNS sunucusu ayarlarını OpenDNS'yi gösterecek şekilde değiştirdik . (OpenDNS ile daha fazla filtreleme seçeneği mümkündür, ancak sonuçta gerekli olmadıkları ortaya çıktı.)

3. Kaldırıldı (yasaklı) tüm kamu kullanımı IM vb vb Yahoo Messenger, MSN, AOL, ICQ, gibi müşteriler Bunun yerine bir yüklü güvenli şirket okunur XMPP denilen sunucu SecuredIM tüm IM trafiği olacağını, böylece açmış ve olur yalnızca şirketten şirkete iletişim olduğu garanti edilmelidir.

4. SecuredIM ayrıca her XX dakikada bir masaüstünün ekran görüntülerini çekme özelliğine sahiptir. Bir çalışanın (IPCop günlüklerine dayanarak) kaçtığından şüpheleniliyorsa, bir resim 1000 kelimeye bedeldi. Belirli ekran görüntüleri daha sonra incelenmek üzere (veya disiplin işlemi) arşivlenebilir ve e-postayla gönderilebilir.

5. IPCop kutusundaki URLFilter aracılığıyla Facebook, Myspace, Hulu ve diğer iki veya üç büyük kötüye kullanımı engelledik.

6. Yaklaşık bir hafta boyunca manuel inceleme (ve gerekirse daha fazla site engellendi).

7. Öğle yemeği saatinde (12:00 - 13:00) "serbest / engelsiz" sörfü açıldı.

Hafta sonunda şirket tam bir dönüşüm oldu. Verimlilik dramatik bir şekilde arttı ve hiç kimse şikayet ettiği kadar fazla değildi.

Herhangi bir şirkette olduğu gibi, her zaman bir "oyun" olduğunu düşünen 1-2 isyancı var.

Ne zaman nytimes.comengellendi onlar başka haber sitesine gitti. Bu engellendiğinde bir tane daha seçtiler. Diğerleri sörf yapmayı bıraktı ve Solitaire ve Mayın Tarlası gibi hobileri aldı , ancak SecuredIM ekran görüntüleri bunu yakaladı (IPCop açıkça yapamadı).

İki hafta içinde (ve inatçı bireyler için disiplin cezası da dahil olmak üzere birkaç işveren / çalışan tartışması), her şey sorunsuz bir şekilde ilerliyordu ve neredeyse iki yıldır sorunsuz bir şekilde ilerliyor.

URL'LER:

http://www.ipcop.com

http://www.securedim.com

http://www.opendns.org

KENAR NOTU:

Komik bir yan hikaye olarak. Yaklaşık bir yıl sonra, binadaki bir elektrik sorunu IPCop kutusundaki güç kaynağının sönmesine neden oldu ve yeni bir IPCop kutusunun yerleştirilmesinden 2-3 gün önceydi.

Çalışanların eski / orijinal sörf alışkanlıklarına ve üretkenliklerinin düşmesine 48 saatten az bir süre kaldığını tespit ettik.

Oldukça sosyal bir deneydi. :-)

DNS çözümü bana en iyi cevap gibi geliyor, ancak elbette sitelere IP adresi üzerinden erişebileceklerinin farkında olabilirsiniz (muhtemelen sorunuzun seviyesinden haberdarsınız, ancak bunu Google'da bulan diğerleri) olmayabilir).

İkinci olarak, Evan'ın Kullanıcıların belirli bilgisayarları çalıştırmasını durdurmak konusunda Windows bilgisayarlarında belirli programları çalıştırmasını Discretely olarak kısıtlama konusundaki yanıtına bakın . Sanırım BT ile ilgili bir yönetim sorununu çözmeye çalışıyorsunuz. Gerçekten de, açıkça belirtilmiş olan kurallara uymakla yeteri kadar sorumlu kişileri işe almalılar ve muhtemelen görevlerini kesinti süreleri içinde ziyaret ettikleri web siteleri yerine iyi ve zamanında yapmalarından endişe etmelidirler. Bu tür şeyleri engellemek muhtemelen tüm şirkete kızgınlığı yayacaktır. Elbette yapıyorsun, ne yapman gerekiyorsa yapmalısın, ve muhtemelen sana bağlı değil - ama bence bu henüz bir adım atmadan önce her zaman düşünülmeli.

Bu sorunu çözmek için farklı bir yaklaşım izledim.

ASA deşifre trafiğine sahip olmak yerine, yerel facebook sunucumda "facebook.com" için ileriye doğru arama bölgesi oluşturdum ve tüm DNS girişlerini boş bıraktım. İsterseniz, siteyi her zaman kullanıcıya şirket politikası tarafından yasaklanmış bir siteye erişmeye çalıştıklarını bildiren dahili bir web sayfasına yönlendirebilirsiniz.

Umarım bu yardımcı olur.

Kendi çözümünüzü oluşturmak için zamanınız veya personeliniz yoksa, anahtar teslim bir ürün düşünebilirsiniz.

Erişimi kontrol etmek için harika bir iş çıkaran (IP veya URL üzerinden) eSoft'un Tehdit Duvarı'nı kullanıyoruz. Tüm yaygın site türleri için onay kutuları ile yapılandırmak oldukça kolaydır, ayrıca kendi sitenizi ekleme ve bir beyaz listeye sahip olma yeteneği. Farklı paketleri var (bizimki de spam'ı filtreler).

Müşteri dışında eSoft ile ilişkisi olmayan Dave

IP adreslerini engellemek yerine, ana makine adlarını localhost'a yönlendirebilir, yani ana makine dosyanızı aşağıdaki gibi görünecek şekilde düzenleyebilirsiniz:

www.facebook.com     127.0.0.1

Bu, Facebook'un vb. Gerçek IP adresini aramayı durduracaktır.