Application Control
צ'ק פוינט
חלק 1

תמלול ההרצאה: Application Control צ'ק פוינט חלק 1

הטקסט המלא של הדקות הראשונות בהרצאה «Application Control צ'ק פוינט חלק 1» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   המהות של זה שאני רוצה לדעת לאן ולאיזה אתרים גולשים. זה לא רק ב-HTTP וב-HTTPs אבל היישום הכי פופולרי זה ב-HTTP וב-HTTPs.

2. 00:16

   פתחתי HTTP, פתחתי HTTPS זה עולם רחב זה כל האינטרנט ואני רוצה לדעת לאן באינטרנט אני מוכן לאפשר גלישה ולאן לא. כל הפיירוולים היום מקטלגים את האינטרנט לקטגוריות.

3. 00:33

   לדוגמה, אתרים של מיילים, אתרים של עיתונות, אתרים של משחקים, אתרים של וואטאבר, יש פה רשימה עצומה של קטגוריות ואפשר גם לרדת לרזולוציה ממש קטנה.

4. 00:46

   אני רוצה לאפשר ל-URL הספציפי הזה ול-URL אחר לא לאפשר. אז תכף נראה את הקטגוריות ואת ה-URLים ותכף נראה מה אפשר לעשות וזהו תנאי מקדים ל-Application Control, זה HTTPS Inspection, כמעט כל האינטרנט היום הוא HTTPS, היה לנו שיעור על HTTPS אינספקצ'ן.

5. 01:06

   ללא HTTPS אינספקצ'ן למעשה אנחנו לא רואים את הטראפיק מה עובר בפנים, יש משהו שנקרא HTTPS קטגוריזיישן, זאת אומרת אנחנו לא בודקים, לא מפענחים את ה-HTTPS, אנחנו רק מסתכלים על ה-URL, ה-URL הוא עדיין לא HTTPSי.

6. 01:26

   אנחנו רואים למעלה HTTPS ynet.co.il או gmail.com, אבל המיילל הספציפי של ה-URL לא מוצפן, הוא עדיין גלוי, הפיירוול יודע לעשות את זה, זה נפוץ בפיירוולים הקטנים, בדרך כלל ברשתות הקטנות לא מקפידים על HTTPS אינספקשן, וחבל, פשוט מתעצלים, לא מפיצים את החותמת או את התעודה הדיגיטלית של הפיירוול,

7. 01:52

   ופשוט לא עוקבים אחרי התעבורה. האינספקשן הוא לא רק לאפליקיישן, גם לבליידים המתקדמים יותר בשיעורים הבאים נראה אותם של הטראט פריבנצ'ן. אז בוא נתקדם שאני רואה את החוק הזה, זה החוק הראשי שלי לגלישה באינטרנט.

8. 02:10

   במקום שהוא יהיה פה באקספט אני הופך אותו לחוק שהוא עם אפליקציות. חוק עם אפליקיישן קונטרול. אני אוהב להשתמש בשיטה הזאת, זה נקרא אינליין לייר, זאת אומרת יש חוק ראשי ומתחתיו חוקים מדויקים יותר.

9. 02:27

   זה חוק כאילו רחב כמו שאתם רואים בחוק הזה כל האינטרנט פתוח פה ל-HTTP ו-HTTPs אני יכול לצמצם אותו לקטגוריות האופציה הנוספת שתראו בשטח זה שפה ליד הפוליסי יש עוד טאפ קטן אפ קונטרול או אפליקיישן קונטרול אנחנו יכולים לבחור מה לרשום ההבדל ביניהם שהאפליקיישן קונטרול שמופיע פה מצד שמאל הוא רוחבי על כל הפוליסי והאפליקיישן קונטרול שיופיע לנו פה הוא רק

10. 02:58

    לחוק הזה, זאת אומרת למנג'מנט, ל-TLV, ל-VM ול-SRV זה החוק של האפליקיישן קונטרול. יכולים להיות עוד חוקים לאובייקטים אחרים, נגיד רשתות שונות ואז מנהלים הרבה אפליקיישן קונטרולים וזה קצת מעמיס.

11. 03:17

    יש שיטות להתנהל ככה, יש שיטות להתנהל ככה. זו השיטה שאני מעדיף, אנחנו נתמקד בה. אפשר להוסיף גם אחרי זה עוד מספח איך עושים את זה ברמת האפליקציה בכל מקרה צריך לבחור או זה או זה אי אפשר שניהם אם הגעתם לפיירוול שכבר יש פה את אפליקיישן קונטרול אז אתם חייבים לזרום עם זה ואם יש חוקים שהם אינליין אתם חייבים לזרום עם זה אז בוא נראה איך עושים

12. 03:43

    את זה ככה נעשה אחרי זה לפי השיטה השנייה אני יעשה לי פה רוויז'ן קונטרול אני בא פה לסשן כדי שאני אוכל לחזור ברגע שעשיתי אינליין ואני רוצה לעשות לפי רוחבי אז אני צריך למחוק את האינליין ולעשות רוחבי אז אני פשוט יוצר פה רוויז'ן קונטרול בגרסאות הקודמות היה אפשר לעשות קריאייט

13. 04:08

    אני רואה שפה בגרסה הזאת אי אפשר אז מה שאני עושה אני עושה איזשהו שינוי קל נגיד פה cp internet access אני מוסיף without app אני יכול להעתיק את זה ברגע שאני עושה פה פאבליש אני יוצא רוויז'ן שאני יודע לחזור אליה תכף נראה את זה איפה שהיינו לפני שנייה אני רוצה שינוי קוסמטי והוא הרוויז'ן שלי cp internet access עכשיו אני יכול לעשות מיליון שינויים ברגע

14. 04:44

    שאני רוצה לחזור אחורה אני עושה פה ריוורט עשיתי ריוורט כל השינויים מעכשיו ועל הנמחקים אז בוא נתחיל אני בא לפה במקום Accept אני עושה Inline Layer New Layer אני קורא לו App Control כמובן שאמרנו אם זו רשת גדולה ויהיו הרבה חוקים אז אני צריך לרשום App Control for Servers, App Control for Users וכו' וכו'

15. 05:08

    Application Control באדוונס יש שיטה שמאפשרת ואז חוסמת הכל ויש שיטה שחוסמת ואז מאפשרת את כל השאר. כמובן שאפשר לשלב את השיטות.

16. 05:27

    אם יש ארגונים שהמדיניות שלהם היא לחסום אינטרנט, אז זה drop, אני מאפשר רק משהו נקודתי. יש ארגונים שהמדיניות שלהם, תשמע, אני פותח אינטרנט, אבל אני חוסם מה שאני לא רוצה.

17. 05:42

    אי אפשר להתווכח מה עדיף ומה לא, אנחנו יכולים רק להגיד שברגע שהכל חסום ואני פותח, זו עבודה יותר קשה. עוד פעם, זה עניין של מדיניות, בכל מקום מה בוחרים.

18. 05:55

    אז בואו נלך על הבחירה הקשה יותר, שזה הדרופ. שימו לב, נהיה לנו פה צ'ופצ'יק שאפשר לפתוח. כרגע, אם אני עושה אינסטול, אין אינטרנט. למה?

19. 06:04

    זה פותח הכל, אבל זה חוסם הכל. הקלינאפ הזה הוא ספציפית לחוק הזה, וזה קלינאפ ראשי. אם החוק לא מתאים לפה, לא מתאים לפה, לא מתאים וכו' וכו', לא מתאים גם לפה, אז אנחנו נראה אותו פה.

20. 06:19

    וזה Cleanup שמתאים רק ל-App Control, אז אני אוסיף פה App Control Cleanup Rule, כי בלוגים רואים את זה, וכמובן אני אשים פה לוג, אני אוהב לשים Extended Log, אפשר גם Detail Log, תלוי כמה לוגים יש, אנחנו רוצים יותר פירוט או פחות פירוט, ברגע שיש יותר פירוט זה תופס יותר מקום בדיסק,

21. 06:45

    היותר פירוט עוזר בעיקר כשמשהו נחסם ורוצים לפתוח ואז רואים בלוג על מה נחסם עכשיו אני פשוט יוצר פה new rule below כרגע לא לזה התכוונתי סליחה delete אני אעשה פה new rule above מה זה אומר פה אני חוסם הכל עכשיו בוא נראה מה אני פותח קודם כל אני משנה ל-accept אני גם שם פה extended log ועכשיו אני קובע מה אני רוצה

22. 07:15

    לפתוח, אני יכול לעבוד לפי קטגוריות ואני יכול לעבוד לפי, אמרנו קטגוריות, אמרנו אפליקציות ואמרנו ממש url ספציפי שאני רוצה לפתוח. בתור התחלה אני פותח קטגוריות ונראה מה הכוונה לקטגוריות, אם אני יודע שהארגון שלי עובד 365 אז אני פותח לו, כי הארגון עובד 365. אין לי טעם עכשיו לדייק ב-URLים ובאפליקציות

23. 07:45

    שירותי ענן של מייקרוסופט. לצערי אין לנו את שירותי הענן של גוגל, כי יש שילוב של גוגל דרייב לקבצים ו-365 למיילים, אז אין לי פה קטגוריה לגוגל, וחבל.

24. 08:03

    אבל לגוגל אני יכול לפתוח את האפליקציה, ואז אני צריך לסמן פה גם אפליקציה. בוא נחפש גוגל יש פה מיליון אפליקציות לגוגל אז אני צריך לדייק איתו אז הנה יש לנו גוגל דרייב בוא נראה אותך לא פשוט מה עוד אני מעדיף לפתוח לכולם נגיד עיתונות אני רוצה search נגיד גוגל כל מיני מנועי חיפוש למיניהם בוא נגיד שנסתפק בשביל הלאב הזה כרגע אני אני יכול להגיד גם מה אני בטוח רוצה לחסום.

25. 08:42

    אז פה מה שנהוג לשים זה Any, אבל אפשר לדייק את זה. כרגע אני עושה Any, יש פה אובייקט ספציפי באפליקיישן קונטרול שנקרא אינטרנט, ואני רוצה לפתוח לכולם Basic Access, נקרא לזה 365 & Drive Kid.

26. 09:02

    אפשר גם להוסיף, אבל רואים פה מצד ימין מה פתוח, אבל זה איזשהו הינט. עכשיו אני רוצה לחסום מה שבטוח בטוח אני חוסם גם אם הוא נופל תחת גוגל דרייב או 365 באיזושהי צורה או בסרצ'יינג'ים אני עושה לי פה רשימה של קטגוריות שאני חוסם בכל מקרה לא חסר קטגוריות כאלה תכף נראה אותן אז נגיד אנונימייזר אני

27. 09:28

    חוסם אני לא רוצה שיגיעו לאתרים אם עומדים על זה אז יש פה פירוט אבל בקצרה יש שירותים אתרים שנותנים לנו גישה אנונימית לאינטרנט כאילו אני גולש דרכם ואז לא יודעים גם איזה IP אני גולש.

28. 09:45

    אני פה עובר בקצרה אני לא רוצה את הקטגוריות האלה ויהי מה קריטיקל ריסק. אינקריפט אני לא יכול לחסום כי כל התעבורה של ה-365 מוצפנת. פייל סטורג' גם אני לא יכול לחסום כי אני רוצה את הגוגל דרייב אבל הימורים אני יכול לחסום משחקים אני יכול לחסום האקרים שנאה לא לא יודע בדיוק למה המציאו כל כך הרבה קטגוריות,

29. 10:10

    כנראה שהיו דברים בגו, ודרך אתרים כאלה ואחרים נכנסים כל מיני נוסקות. נגיד שמים, אנחנו לא רוצים, יש מקומות שחוסמים גם את המסג'ינג, כי אם קיבלנו הודעה ויש בה סוג של וירוס, אז אכלנו אותה.

30. 10:28

    לדוגמה וואטסאפ. יש הרבה גם שעוקפים את ה-HTPS אינספקשן מסיבות של פרטיות, אז הסיכון עולה בקיצור.

31. 10:37

    מדיה שיירינג, יכול להיות שכדאי לחסום. P2P זה מביא אותנו, אבל תכף נגיע אליו. ככל שאנחנו מצמצמים את הגישה, אנחנו חשופים פחות. אז עדיף לחסום.

32. 10:51

    מתי מתחילות הבעיות, כשאנשים מתלוננים, תפתח לי פה, תפתח לי שם, ואז יש הרבה עבודה. אז השיקול פה הוא בין יעילות לאבטחה, בין תפעול נוח ושוטף לבין אבטחה.

33. 11:06

    כל היום נצטרך לשבת מול הפיירוול ולפתוח זה גם חיסרון. לא נתמקד בדברים האמיתיים כי לא רק אפליקיישן קונטרול הוא הסכנה שלנו, יש הרבה סכנות. יש מיילים, יש USB דיווייס, יש מלא עבודה.

34. 11:21

    אז צריך למצוא איזשהו איזון בין התפעול לבין האבטחה. נראה לי שמיצינו, אני רק רוצה לראות, הנה unknown, את זה בדיוק חיפשתי. אנון טראפיק את זה מאוד חשוב לזכור לחסום כי אתרים של האקרים בדרך כלל הם לא מתויגים בשום מקום אף אחד לא מכיר אותם אין להם קטגוריה אז אם זה טראפיק לא ידוע חייבים לחסום אותו למרות שזה כאב ראש

35. 11:50

    לדוגמה אתר כזה או אחר עדיין לא מתויג אף אחד לא סרק אותו עוד לא שמו אותו בקניות או בעיתונות או לא יודע מה הוא נחשב אנון הוא נחסום אבל זה, תרצה ידועה, מלא מקומות נופלים על זה, ואנחנו לא ניפול בהם.

36. 12:08

    אזכירו את הטיפ הזה, הוא קריטי. אז פה אמרנו, לא משנה מי, ולא משנה לאן, אם הוא אחד מהקטגוריות האלה, אנחנו חוסמים. אנחנו גם פה נשים לוג. פה אנחנו יכולים גם להוסיף איזושהי הודעה בלוק מסאג'.

37. 12:26

    ואנחנו יכולים לערוך את הבלוק מסאג'. אנחנו יכולים לשים פה גם לוגו. אם נעד לוגו, שמים את הלוגו של הארגון, יכולים לשים אימייל של ה-help desk, פה ליוזר יש אפשרות להודיע שזה לא נכון והוא צריך את האתר הזה.

38. 12:42

    יש לנו עוד אופציה שתכף נראה אותה, רגע, לא עשינו שום שינוי, אז אני עושה ביטול, אבל אפשר לערוך ואפשר להוסיף, רצוי. יש לנו עוד אופציה לשאול את היוזר, אנחנו לא נעשה על הקטגוריות המסוכנות האלה, אבל אנחנו יכולים לשאול את היוזר אם הוא חושב שהוא צריך את האתר הזה, הוא יכול לעקוף את המדיניות תכף נראה דברים

39. 13:04

    שכן אנחנו רוצים שיוזר תהיה לו שליטה עליהם עדיף לשים את כל הקבוצה קטגורית הזאת ב-unwanted apps ברגע שמזהים קטגוריה פשוט מוסיפים אותה לקבוצה השיטה הנוספת היא אם יש לנו הרבה פוליסים פה אני יכול להוסיף עוד פוליסי לפיירוולים אחרים אני לא צריך להמציא את הגלגל שוב פעם פשוט בוחר ב-unwanted חוסם אותה, נגמר סיפור.

40. 13:33

    משהו ששכחתי בהתחלה, בהתחלה של השיעור, ששום דבר ממה שאמרתי לא יעבוד אם לא נוסיף פה Application Control ו-URL פילטרים. Application Control זה לקטגוריות ו-URL פילטרים זה ל-URL ספציפי.

41. 13:50

    זה תנאי הכרחי, קודם כל מתחילים מזה ואפשר להמשיך. עכשיו בוא נחליט שאנחנו רוצים לאפשר ליוזר מסוים את ה-YouTube וליוזר אחר לא ואנחנו רוצים גם לאפשר לאייפי מסוים יוטיוב ולאייפי אחר לא.

42. 14:09

    אז הלא כבר מופיע לנו פה אז אנחנו לא צריכים לו אנחנו צריכים להגיד למי כן אז אני אעשה new rule below שימו לב יש לנו כבר הרבה הרבה שינויים אז עדיף עדיף לעשות publish אבל אני לא רוצה לעשות publish שיש לנו חוק שהוא בסיסי בלי שום דבר extended log אז בואו ניקח את היוטיוב לדוגמה אנחנו רואים פה את כל

43. 14:35

    האפליקציות פשוט רושמים יוטיוב פה אנחנו יכולים לגרור את האינטרנט כי אין לנו יוטיוב במשרד זה באינטרנט יש לי