Newsgroup: it.comp.reti.cisco
Titolo: Bloccare SSL

Salve a tutti,
possiedo un cisco 2610 con la flash e le dram espanse e con firmware 
enterprise, credo sia quello con il maggior numero di protocolli e 
comandi supportati nella sua fascia...
Ho la necessità di bloccare il traffico SSL nella mia lan aziendale, 
qualcuno sa darmi qualche consiglio su come fare? E'possibile 
innanzitutto bloccarlo?
Ho letto in giro che qualcuno sostiene sia impossibile da bloccare, ma 
francamente stento a crederci.
Grazie!
Aspidus


In che senso vuoi bloccare SSL ? non potresti dare qualche info in più ?
Ciao
Don
------------------------
http://www.ciscoshop.it

don ha scritto:

Beh voglio che venga permesso solo il traffico HTTP e nient'altro perchè 
ho visto che molti utenti si collegano tramite SSL verso IP non 
risolvibili appartenenti alle reti piu' disparate (Korea, Taiwan, etc).
La cosa non mi convince e non mi piace per nulla sicchè voglio proprio 
impedire l'utilizzo di connessioni con SSL nella rete.
Saluti, Aspidus.


per bloccare il traffico verso la porta 443 puoi ricorrere alle access list, 
come ad esempio:
Router(config)#ip access-list extended block
Router(config-ext-nacl)#deny tcp any any eq 443
Router(config-ext-nacl)#permit ip any any
e poi abilitare tale access-list sulla porta ethernet del router con un 
access-group.
Ovviamente tale access-list ha il solo scopo di bloccare il traffico dalla 
rete interna verso la porta 443.
Tieni conto che le ACL le puoi impostare non solo sul router, ma anche sul 
firewall e anche negli switch su ogni singola porta.
Con le ACL puoi anche controllare il traffico instant messenger (AOL instant 
messenger, ICQ, MSN messenger, yahoo messenger) e l'uso di applicazioni 
peer-to-peer ( napster, kazaa, morpheus, gnutella, Imesh, WinMX, 
AudioGalaxy, eDonkey,..)
Nel tuo caso perň ricorrererei a qualcosa di piů evoluto (ad esempio 
websense o N2H2) in modo da controllare in modo piů efficace il traffico 
consentito e quello da bloccare.


 
http://www.ciscoshop.it
Esattamente! Grazie intanto per la risposta.
Il problema principale è che io posso bloccare il traffico diretto verso 
la porta 443 con le Access List come ha detto giustamente Don, ma non so 
come fare in caso il traffico SSL venga fatto passare attraverso la 80 o 
cmq in caso di porte non convenzionali, allora potrei pensare di 
impedire TUTTO il traffico diretto verso porte diverse dalla 80.Così 
ridurrò il numero di porte da monitorare, ma poi se qualcuno nella lan 
trova (come so che è possibile fare con linux + delle librerie apposite) 
il modo di far passare tutto tramite la porta 80 e compreso SSL, come 
faccio? Nel caso di SSL è ancora + difficile sapere cosa sta passando 
perchè è tutto criptato.
Se non sbaglio il mio 2610 dovrebbe avere un firewall integrato full 
inspecting, spero di poter fare qualcosa di là...
Altrimenti chi sa dirmi se con un Pix potrei riuscire nel mio intento?
Grazie ancora. Aspidus.


A parte ciò che ha detto Don, se già hai una statistica di IP, intanto
blocca sul firewall i range appartenenti a nazioni con cui non avete
scambi (se blocchi la Korea, hai anche il vantaggio di fermare una gran
parte di spam in entrata, ad esempio).
Se però dovete comprare dei servizi in internet, se blocchi
semplicemente la 443, poi come fai? Anche solo per guardare un legittimo
server bancario...
Perciò mi sa che devi usare una soluzione più complessa ed adattabile
che non fermare *tutto* il traffico verso la 443 o tutto il traffico criptato.
Gabriele


La prima cosa che mi viene in mente è quella di usare un IPS ( o un ASA con 
modulo IPS) e definire delle signature custom. Ci devi lavorare un po (non 
mi pare che esistano già delle signature per il traffico SSL, ma potrei 
sbagliarmi) ma potresti ottenere ciò che ti serve.
In pratica l'IPS potrebbe identificare l'esistenza di un particolare tipo di 
attacco (traffico SSL) al quale dovrà reagire bloccando la connessione.
Potrebbe essere una strada da percorrere... ma probabilmente esistono metodi 
di più semplici...o no ?...


don ha scritto:

Di nuovo salve a tutti, ringrazio Don per la gentilezza nel cercare di 
aiutarmi. Sono al corrente del fatto che bloccare nella mia lan 
aziendale qualsiasi utilizzo del protocollo SSL sia un provvedimento un 
po' drastico, però come molti di voi sapranno anche SSL è sfruttabile 
per attacchi ai pc della LAN i quali sono davvero difficili da 
prevenire, dal momento che tutto il traffico passa in maniera criptata.
So anche che qui si parla di Cisco e dintorni, ma io spero ugualmente di 
fare cosa gradita nell'esporre l'efficace quanto mai semplice soluzione 
(anche se poco ha a che fare con Cisco) trovata al problema.
Mi è bastato far navigare i PC della LAN attraverso un proxy SQUID su 
LinuxBox ed inserire queste 3 semplici regolette nel file .conf:
  acl All_ports port 1-65535
  http_access deny CONNECT All_ports
1)La prima crea similmente ad un Cisco un'access-list che agisce su 
tutte le porte dalla 1 alla 65535 e che è chiamata All_ports.
2)La seconda è quella che dice a SQUID di negare il metodo CONNECT 
(usato per le connessioni SSL) sull'access-list All_ports ovvero su 
tutte le porte.
Ora la riflessione è questa:
anche se in effetti il metodo suggerito da Don potrebbe essere una 
strada percorribile, ho sniffato più e più volte intere connessioni SSL 
alla ricerca di particolari signatures nei pacchetti senza alcun 
risultato confortante, è evidente che il metodo potrebbe risultare più 
complesso del previsto se non inapplicabile.
Dunque è mai possibile che SQUID, programma gratuito ed open source, sia 
in grado di rilevare e quindi tenere sotto controllo su tutto il range 
utile di porte, l'utilizzo del metodo CONNECT tipico di SSL ed invece 
costose apparecchiature Cisco non ne siano in grado?
Ho cercato ovunque nel mio router sperando di trovare qualche comando 
che facesse al caso mio e tutti i tentativi si sono rivelati vani, 
perciò pur avendo risolto in altro modo (sono un tipo che non demorde si 
nota?) se alla luce di questi nuovi fatti qualcuno di voi avesse altre 
idee su come risolvere dal mio 2610 o dal firewall Pix, sarò felice di 
riconfigurare la LAN bloccando SSL non da software ma da hardware poichè 
è la soluzione che preferisco.
Certo di aver dato soddisfazione a chi come me si era incuriosito 
sull'argomento, ed anche di aver dato a tutti un'utile spiegazione su un 
argomento su cui esiste pochissima letteratura saluto tutto il NG che 
seguo con interesse da tempo.
Aspidus

 costose apparecchiature Cisco non ne siano in grado?
Be non è detto che non esista una semplice soluzione Cisco, il problema è 
conoscerla.
Spesse volte mi è capitato di perdere un sacco di tempo per risolvere un 
problema la cui soluzione si è poi rivelata alquanto semplice.
Anche se lavoro da tempo con i prodotti Cisco (anche se non solo con 
quelli), la mia ignoranza è sempre alta....
Sicuramente mayehm, sardone, la gentil donzella, e altri utenti del newgroup 
(che ne sanno molto, molto più di me) avranno una soluzione.
Per quanto riguarda poi "costose apparecchiature Cisco non ne siano in 
grado" bisogna vedere se gli altri sistemi sono in grado di fornire tutte le 
altre funzionalità di cui dispongono i prodotti Cisco, ma qui il discorso si 
farebbe lungo.
Rimango comunque dell'idea che per un'efficace protezione della tua rete le 
azioni da intraprendere devono estese a tutti i componenti della rete. Non 
solo occorre configurare correttamente il router, ma è opportuno avere un 
ottimo firewall, implementare IPS dove possibile (router, firewall, 
sensori,..), configurare correttamente lo switch (molti lo acquistano, lo 
collegano e non perdono 1 secondo per la configurazione), e monitorare 
costantemente tutto il sistema. Se poi hai molti utenti che si connettono ad 
internet, è quasi d'obbligo l'uso di sistemi stile websense o N2H2 o simili.
Ovviamente la sicurezza ha un costo, ma se ciò che hai da proteggere ha un 
elevato valore....
Ciao.
Don
------------------------
http://www.ciscoshop.it