Issue:
Wenn ein Benutzer versucht, auf bestimmte Websites zuzugreifen, erhält der Administrator in der Policy Manager-Konsole eine Warnung, dass eine DNS-Abfrage für eine Domäne blockiert wurde
Wir erhalten vom Richtlinienmanager eine Fehlermeldung mit dem Inhalt „ 309 2020-03-22 21:57:47+01:00 SERVER0X SYSTEM F-Secure Network Filter 1.3.6.1.4.1.2213.11.1.12 Blockierte eine DNS-Abfrage für die folgende unsichere Domäne: www .t est.com
Resolution:
Hinweis: Die Benachrichtigungen, die Sie vom F-Secure Policy Manager Server bezüglich des DNS-Filters erhalten, sind keine Fehler. Hierbei handelt es sich um Warnungen/Benachrichtigungen, die von Clients gesendet werden. F-Secure Policy Manager generiert im Namen von Clients keine Fehler. Clients generieren Fehler lokal und senden nur Warnungen an Policy Manager.
Wenn die Alarmweiterleitung über den Richtlinienmanager aktiviert ist, wird der Administrator jedes Mal, wenn eine Abfrage blockiert wird, darüber benachrichtigt.
Dies ist ein erwartetes Verhalten. Um es besser zu verstehen, lesen Sie bitte die folgende Erklärung:
DNS-Abfragen basieren auf der ORSP-Bewertung, daher muss ORSP für alle Clients über die Policy Manager-Konsole aktiviert werden.
So aktivieren Sie Security Cloud mit der F-Secure Policy Manager-Konsole:
Melden Sie sich bei der WithSecure Policy Manager-Konsole an und navigieren Sie zur erweiterten Ansicht
Erweitern Sie die F-Secure Security Cloud-Client-Einstellungen und stellen Sie sicher, dass „Tieferanalysen zulassen“ und „Client ist aktiviert“ auf „Ja“ gesetzt sind, und verteilen Sie die Richtlinie.
ORSP steht für Object Reputation Service Protocol. Wenn auf einem Client ein neues Objekt wie eine Datei oder eine URL gefunden wird, kommuniziert das Produkt mit der Security Cloud über das stark verschlüsselte Object Reputation Service Protocol (ORSP), um die Reputationsdetails des Objekts abzufragen. Anonyme Metadaten über das Objekt, wie Dateigröße und anonymisierter Pfad, werden an die Security Cloud gesendet. Weitere Informationen zur Security Cloud finden Sie hier: Datenschutz
Der Botnet-Blocker arbeitet auf der Ebene der DNS-Auflösung und der IP-Adresse .
Wenn die DNS-Filterung aktiviert ist, erlauben wir keine Auflösung von DNS-Adressen, wenn wir wissen, dass diese DNS-Adressen nicht sicher sind.
Wenn die IP-Reputationsfilterung aktiviert ist, blockieren wir Verbindungen zu IP-Adressen, für die wir in ORSP eine Reputation haben.
Wenn Sie alle Abfragen zulassen, bedeutet dies, dass Sie den DNS-Filter deaktiviert haben. Dadurch deaktivieren Sie das DNS-Scannen auf NIF-Ebene (Network Interception Framework).
Wenn Sie zum Beispiel „Nur sichere Abfragen zulassen“ einstellen, blockiert es möglicherweise immer noch lokales DNS.
DNS-Eintragsinformationen werden normalerweise für einen bestimmten Zeitraum zwischengespeichert (auf Ihrem lokalen Browser, Computer oder Netzwerkweiterleiter gespeichert). 5 Minuten bis 8 Stunden sind normal.
Unsafe blockieren => unbekannt, susp, sicher wird durchgehen.
unsicher (bösartig) werden blockiert. Block unsicher, susp => unbekannt und sicher durchgehen.
unsicher (bösartig) und verdächtig werden blockiert. Nur sicher zulassen => nur als sicher eingestuftes Durchgehen. unbekannt, verdächtig, unsicher (bösartig) werden blockiert
Blockieren der Botnetz Kommunikation
Botnet Blocker ist eine Sicherheitsfunktion, die verhindern soll, dass Botnetz Agenten mit ihren Befehls- und Kontrollservern kommunizieren.
Die Funktion verwendet DNS-Reputationsdaten, um die Sicherheit von Abfragen bei der Übersetzung von DNS-Anfragen in IP-Adressen zu überprüfen.
So konfigurieren Sie den Botnet-Blocker in der Standardansicht :
Gehen Sie auf der Seite „Einstellungen > Web-Traffic-Scanning“ zu „Botnet-Blocker“.
Legen Sie die Filterung fest, die für DNS-Abfragen verwendet werden soll.
Standardmäßig ist dies auf „Unsichere Abfragen blockieren“ eingestellt .
Legen Sie die Warnstufe fest, die für Benachrichtigungen über blockierte DNS-Abfragen verwendet werden soll.
Verteilen Sie die Richtlinie:
Sie können auswählen, was für Sie am besten geeignet ist. In der Policy Manager-Konsole haben Sie verschiedene Optionen:
Notiz:
Wenn eine interne oder externe URL vom Netzwerkfilter blockiert wird, wie in diesem Beispiel: „F-Secure Network Filter 1.3.6.1.4.1.2213.11.1.12 hat eine DNS-Abfrage für die folgende unsichere Domäne blockiert: ...“
Die Domain wurde von unserem ORSP als „bösartig“ erkannt und daher blockiert.
Sie können dieses Problem lösen, indem Sie das ULR-Beispiel hier einreichen. Ein Beispiel einreichen | MitSecure™ und warten Sie, bis Sie eine Antwort erhalten, die Ihnen sagt, ob die Seite/URL als sauber markiert ist.
Oder
Sie können die URL als vertrauenswürdige Site in Ihrer Policy Manager-Konsole hinzufügen:
Für F-Secure Client Security 14.x und höher :
Melden Sie sich bei der F-Secure Policy Manager-Konsole an
Wählen Sie den Host oder die Domäne aus der Domänenstruktur aus
Gehen Sie zur Registerkarte „Einstellungen“ und wählen Sie „Standardansicht“.
Gehen Sie zur Seite zur Kontrolle von Webinhalten
Klicken Sie rechts in der Liste der vertrauenswürdigen Sites auf Hinzufügen
Geben Sie die Serveradresse in die Spalte Adresse ein
Verteilen Sie die Richtlinie (Strg+D)
In der Adresse ist kein Platzhalter erforderlich, zum Beispiel:
Fügen Sie eine Firewall-Regel hinzu, um die Verbindung zum nicht standardmäßigen DNS zuzulassen
In Verbindung stehende Artikel:
Das Scannen des Webverkehrs blockiert einen internen Server, eine URL oder Anwendungen
Article no: 000010712
The content of this article has been machine translated from the English source article.
While reasonable efforts have been made to provide accurate translations, there may still be translation errors.