расшифровка TLS IronPort WebProxy

Reply to расшифровка TLS IronPort WebProxy on Fri, 27 Feb 2026 23:42:56 GMT

adamgibs7 — Fri, 27 Feb 2026 23:42:56 GMT

Уважаемый Баладжи Организация осуществляет расшифровку SSL для большей части трафика, поэтому поставщики SSL заявляют, что вредоносный трафик скрывается в SSL-туннеле. Так как же обстоят дела на самом деле? Спасибо

Reply to расшифровка TLS IronPort WebProxy on Fri, 27 Feb 2026 23:42:55 GMT

balaji.bandi — Fri, 27 Feb 2026 23:42:55 GMT

1 - ваше понимание верно. 2. Шифрование и дешифрование происходят на 2 уровнях Пользователь к WAS также шифруется, WSA к публичному сайту также шифруется. Где происходит атака «человек посередине»? До тех пор, пока это не поддельный DNS внутри сети (который необходимо адресовать на уровне DNS?) BB
=====Preenayamo Vasudevam=====
***** Оценить все полезные ответы *****
Как обратиться за помощью к сообществу Cisco

Reply to расшифровка TLS IronPort WebProxy on Fri, 27 Feb 2026 23:42:54 GMT

adamgibs7 — Fri, 27 Feb 2026 23:42:54 GMT

Дорогие спасибо за ответы. Поправьте меня, если я ошибаюсь. Если пользовательский трафик расшифровывается на WSA и в нем обнаруживается вредоносный файл, WSA проводит проверку файла. Если файл известен, он удаляется, если неизвестен, он отправляется в песочницу, если таковая имеется.
Если URL-адрес является хорошо известным и проходит через WSA при обратном трафике, а злоумышленник совершил атаку «человек посередине», то WSA обнаружит этот тип соединения. Спасибо.

Reply to расшифровка TLS IronPort WebProxy on Fri, 27 Feb 2026 23:42:53 GMT

Ken Stieers — Fri, 27 Feb 2026 23:42:53 GMT

Смысл дешифрования заключается в том, чтобы УВИДЕТЬ «вредоносный трафик» и затем принять соответствующие меры. Без дешифрования WSA может принимать решения на основе доменной части URL-адреса... входит ли
«www.whaterversite.com»
в категорию, которую мы разрешаем посещать нашим пользователям? С помощью дешифрования вы можете увидеть полный URL-адрес и файлы, которые загружают пользователи. Теперь вы можете контролировать определенные действия на веб-сайтах (загрузка, но не выгрузка, публикация комментариев, но не фотографий и т. д.) и сканировать файлы на наличие вредоносных программ.

Reply to расшифровка TLS IronPort WebProxy on Fri, 27 Feb 2026 23:42:52 GMT

balaji.bandi — Fri, 27 Feb 2026 23:42:52 GMT

В настоящее время большинство сайтов зашифрованы, поэтому, если вы хотите просматривать трафик https, вам необходимо его расшифровать и проверить. В этом случае поможет расшифровка https. Это происходит из публичной сети во внутреннюю сеть. if any malicious traffic is inside the connection how we can prevent it to reach to end user. если устройство уже является вредоносным внутри локальной сети, это должно быть обнаружено конечным устройством, верно? BB
=====Preenayamo Vasudevam=====
***** Оцените все полезные ответы *****
Как обратиться за помощью к сообществу Cisco

Reply to расшифровка TLS IronPort WebProxy on Fri, 27 Feb 2026 23:42:51 GMT

amojarra — Fri, 27 Feb 2026 23:42:51 GMT

Здравствуйте позвольте мне описать здесь несколько моментов. [1] Во-первых, предположим, что вы пытаетесь загрузить вирус через HTTPS-соединение. Если WSA не знает, что находится внутри, он не будет его блокировать.
[2] WSA имеет несколько сканирующих движков, таких как Sophos, Mcafee, Webroot, которые сканируют файлы на наличие вредоносных программ
. [3] WSA также интегрирован с AMP (в облаке или на постоянной основе) и отправляет хэш файла на сервер AMP. Если результат проверки — «Чистый» или «Вредоносный», мы знаем, что делать: заблокировать или разрешить. Если результат — «Неизвестно» и файл соответствует критериям для отправки на сервер анализа файлов (ранее ThreatGrid), файл будет отправлен в песочницу для дальнейшей проверки. ![amojarra_0-1668513395239.png] Пожалуйста, проверьте эту ссылку:
Руководство пользователя по AsyncOS 14.5 для Cisco Secure Web Appliance — GD (общее развертывание) — Фильтрация по репутации файлов и анализ файлов [Cisco Secure Web Appliance] — Cisco [4] Кроме того, WSA имела некоторую систему предотвращения, работающую на базе Talos, с оценкой репутации веб-сайтов и категоризацией URL-адресов, с помощью которой можно предотвратить доступ к некоторым ВРЕДОНОСНЫМ веб-сайтам Поэтому, отвечая на ваши вопросы: поэтому поставщики SSL говорят, что вредоносный трафик скрыт в SSL-туннеле, так как это возможно? SSL/TLS или, в общем, HTTPS-трафик шифруется между клиентом и сервером. В прокси-среде, если мы включаем проверку SSL или дешифрование HTTPS, веб-клиентом является WSA, поэтому все данные поступают в WSA в зашифрованном виде, а WSA дешифрует их и имеет полный доступ к ним. пока это не поддельный DNS внутри сети (который необходимо адресовать на уровне DNS?) В явном режиме прокси-сервер отвечает за разрешение DNS, а в прозрачном режиме — клиент. Когда мы включили L4TM, мы можем отслеживать активность DNS. Кроме того, оснастив сеть CISCO Umbrella, мы получим безопасность на уровне DNS и снова с WBRS (оценка репутации веб-сайтов), если разрешенный IP-адрес для FQDN указывает на какой-либо известный вредоносный IP-адрес, и Talos знает об этом, он заблокирует его до установления сеанса Если URL-адрес является хорошо известным хорошим URL-адресом и он проходит через WSA на обратном трафике, злоумышленник совершил атаку «человек посередине», и этот тип соединения будет обнаружен WSA. Если злоумышленник хочет стать «посредником» в HTTPS-трафике, ему/ей необходимо иметь сертификат, который WSA проверит на действительность, когда HTTPS-прокси включен Также вы можете проверить сетевой поток и уровни защиты WSA до, во время и после атаки. ![amojarra_1-1668513977249.png] Надеюсь, эта информация будет вам полезна. С уважением, Амирхоссейн Моджаррад +++++++++++++++++++++++++++++++++++++++++++++++++++ ++++ Если этот ответ оказался полезным, пожалуйста, оцените его ++++ +++++++++++++++++++++++++++++++++++++++++++++++++++ С уважением,
Амирхоссейн Моджаррад
+++++++++++++++++++++++++++++++++++++++++++++++++++
++++ Если этот ответ оказался вам полезным, пожалуйста, оцените его ++++
+++++++++++++++++++++++++++++++++++++++++++++++++++