Firewall angesehene Website auflisten

[k0ntr]

Hallo zusammen

Ich habe zum testen eine sonicwall tz400 und wollte wissen, ob man hier live sehen kann welche Webseiten momentan von welchem Benutzer besucht werden.

Unter Live Monitor sehe ich nur die Protokolle. Habt ihr mir einen Tipp?

 

[Kyze]

Ist die Firewall auch DNS/Proxy ? Sonst eher nicht, warum sollte die zugelassene Verbindungen loggen ? Dann würde der Log nur unübersichtlich.

 

[k0ntr]

Ist auch DNS

Möchte nur sicherstellen, falls man auf eine Seite geht oder Outlook Link öffnet das einen Virus einfängt, dass ich dem nachgehen kann wer das war.

 

[Lawnmower]

Das sagt Dir dann der Antivirus wer es war. In einer Firma wäre der idealerweise mit zentralem Management. In einem zentralen Firewall Log würdest nur zig Tausende Anfragen sehen, das kannst Du ja dann nicht sinnvoll eingrenzen

 

[Autokiller677]

Zumal man mit so einer anlasslosen Überwachung vorsichtig sein muss, bzw. das den MA entsprechend mitteilen muss (wie genau sollte man sich vom Anwalt sagen lassen).

 

[elefant]

Ja man kann unter den Log-Einstellungen die Live-Protokolierung für Websites aktivieren.
Google mal oder schau ins Handbuch, komm gerade nicht an ein Webinterface dran.

 

[Kyze]

Ist auch DNS

Möchte nur sicherstellen, falls man auf eine Seite geht oder Outlook Link öffnet das einen Virus einfängt, dass ich dem nachgehen kann wer das war.

Das setzt aber voraus das der Virus auch DNS nutzt und keine hardcoded IPs dann ist dein Masterplan wieder im Eimer...

 

[Helge01]

Anhand der IP-Adresse kann man nicht erkennen welche Webseite aufgerufen wurde. Unter einer IP-Adresse befinden sich meist viele Webseiten.

Betreibt man einen eigenen DNS-Resolver und der User nutzt kein DoH / DoT, dann wäre das möglich.

 

[up.whatever]

Spätestens mit TLS 1.3 und encrypted SNI hast du keine Chance mehr, einzelne Domains in HTTPS Verbindungen erkennen zu können. Wenn du solche Dinge überwachen oder abfangen möchtest, solltest du einen Proxy Server benutzen und den Internetzugriff ohne Proxy blockieren.

 

[Helge01]

Wenn man einen eigenen DNS-Resolver betreibt und nur diesen im eigenen Netz zulässt, wäre das weiterhin mnöglich. Man muss nur DoH / DoT blockieren.

 

[Autokiller677]

Kann man DoH überhaupt einfach blockieren? Ist ja Teil der Idee, dass das sich einfach im normalen HTTPS-Traffic versteckt und nicht mal eben isoliert werden kann.

 

[up.whatever]

Man muss nur DoH / DoT blockieren.

Und wie genau willst du DoH blockieren?

 

[Bob.Dig]

Mit Filterlisten, zumindest mit den öffentlichen und bekannten Servern sollte das gehen.

 

[Helge01]

Und wie genau willst du DoH blockieren?

Es gibt Anbieter, die ständig aktualisierte Filterlisten mit den IP-Adressen und Domains der DoH Anbieter erstellen. Diese kann man dann einfach blockieren.

 

[snaxilian]

Eine Möglichkeit ist die schon genannte Blockade bekannter DoH Server, eine Weitere Möglichkeit ist bei ausgehendem Traffic auf tcp/443 in die Header zu gucken. Bei DoH sollte dort bei RFC-konformer Umsetzung erkennbar sein, dass es sich um DoH Anfragen handelt ohne das man als Admin sieht Welche Anfrage es beinhaltet. Anhand dessen kann man die Pakete dann ebenfalls blockieren.

 

[up.whatever]

eine Weitere Möglichkeit ist bei ausgehendem Traffic auf tcp/443 in die Header zu gucken. Bei DoH sollte dort bei RFC-konformer Umsetzung erkennbar sein, dass es sich um DoH Anfragen handelt

Welchen Header meinst du genau und woran willst du DoH erkennen?

Irgendwelche festen IP Listen werden immer unvollständig sein. Wenn dieses Prinzip zielführend wäre, hätten wir schon lange keinen Spam mehr.

 

[snaxilian]

https://developers.cloudflare.com/1.1.1.1/dns-over-https/request-structure oder https://developers.google.com/speed/public-dns/docs/doh erklären es.
Bei HTTP Anfragemethoden, egal ob GET oder POST, ist erkennbar, dass die Verbindung eine DNS bzw. DoH Anfrage erhält. Aber auch wenn die Anfrage an die API geht und JSON zum Einsatz kommt schaut man auf den MIME-Type und sieht, dass die Anfrage DoH ist bzw. sein sollte.

 

[up.whatever]

@snaxilian: Nein, daran ist das ist nicht erkennbar. Die Http Header werden genau so wie die Nutztdaten alle innerhalb der TLS Verbindung verschlüsselt übertragen, das ist doch der Sinn der Sache.
Alles was eine Firewall davon sehen kann ist eine TLS Verbindung zu Port 443. Ob dort eine Webseite oder DoH übertragen wird ist am Inhalt ohne Kenntnis des Schlüssels nicht zu erkennen.

 

[snaxilian]

Da ich zu faul bin das mit Wireshark mit näher anzusehen glaube ich dir das mal^^

Aber jut, in einem Firmennetzwerk hat man im besten Fall eine ne eigene PKI und macht am Proxy TLS-Terminierung, dann sollte man die Header sehen können. Also zumindest solange bis irgendwann alle Server und Clients ausschließlich nur noch TLS1.3 sprechen wobei es da afaik für diesen Ansatz ja eine Schwächung von TLS1.3 gibt oder angedacht war von den Herstellern solcher Kisten.
In allen anderen Situationen geht es den neugierigen Admin halt auch nix an wer wann und auf welchen Seiten surft.