Я параноїк, чи корпоративний брандмауер цензуру цілих країн? [зачинено]

Останнім часом, за останній рік чи більше, я помітив, що здається, що все важче дістатись до певних видів сайтів, особливо тих, що не впадають у країни, як Іран чи Росія.

Наприклад, зараз я намагався зайти на веб-сайт Міністерства оборони Росії ( http://eng.mil.ru/en/index.htm ), на сайт, на якому я маю законні причини для відвідування, і це вичерпано. Я спробував той самий сайт через європейський проксі і не мав проблем з підключенням. Потім я спробував трасерт, і це був результат:

Моя інтерпретація цього полягає в тому, що IP захищається брандмауером компанії. Я запитав наш ІТ-відділ, що таке політика блокування IP для мережі, і мені відповіли, що політика визначається не нашою компанією, а постачальником брандмауера і що вона "секретна і захищена" для провайдера і що вони (мається на увазі IT) не мали контролю над цією політикою.

Про що тут розповідь? Чи постачальники продуктів брандмауера просто ковдру блокують цілі країни?

Тільки для хихикань я вирішив спробувати різні країни, щоб побачити, що буде:

Finland       ok
Poland        ok
Russia        blocked
Ukraine       blocked
Estonia       blocked
Turkey        blocked
Saudi Arabia  blocked
Afghanistan   ok
Iraq          blocked
Georgia       ok
Armenia       blocked
Uzbekistan    ok

Добре, тож я можу відвідувати веб-сайти в Узбекистані та Грузії, але не ті, що знаходяться у Вірменії чи Україні? Хто вигадує цю логіку?

Я бачив, як різноманітні постачальники фільтрують вміст залежно від країни походження. Китай і Росія, як правило, ті, у кого фільтр увімкнено за замовчуванням, або, принаймні, налаштовано якесь попередження. Це тому, що вони часто є джерелами атак зловмисних програм. Я не купую те, що ваш ІТ-відділ не має над цим контролю. Будь-який постачальник, який коштує його солі, дозволить вам змінити налаштування за замовчуванням на його продуктах.

Це, швидше за все, не робиться на рівні IDS / IPS, а скоріше на рівні брандмауера (через блокування списку IP, на зразок менш ефективного) або рівня маршрутизації методом, відомим як селективний чорнолінг (Сильно ефективний і блокує маршрут від навіть взагалі потрапляючи на ваш роутер).

Обґрунтування цього незрозуміле - ймовірно, тому, що перераховані вами країни часто є джерелами атак, хоча насправді не більше, ніж США, і рішучі зловмисники в цьому випадку просто йдуть вперед і обійдуться ... працюючи в достатньо великій організації, яка - вони параноїчні - якось самі по собі загрожують ІС, що надходять звідти. Так чи інакше, це своєрідний захід безпеки для зупинки для багатьох намірів і цілей, і ви нічого не маєте бути в курсі про себе. Тунель або проксі-сервер!

Цілком можливо використовувати геолокацію IP для блокування діапазонів IP-адрес, пов'язаних з певними країнами. Існує багато дискусій про те, наскільки це ефективно, і я, звичайно, не пропоную сліпо вмикати це комусь, але бізнес повинен сам визначити, чи має він законний бізнес з компаніями, що походять з певної сфери, і тому які ризики є блокуванням діапазонів адрес, пов'язаних із цією областю, порівняно з ризиками не блокування цих адрес.

Хоча геоблокування не зупинить визначених зловмисників, це збільшує складність атаки на вашу мережу з цього місця (і майте на увазі, це може означати членів ботнету з цього місця), і це також може зменшити кількість "фонового шуму" від випадкові зловмисники та сценарії дітлахів, що полегшує розгляд більш рішучих атак.

Цей приклад із статті бази знань Sonicwall про те, як налаштувати такі види фільтрів.

У будь-якому випадку, якщо у вас є необхідність підключитися до бізнесу в заблокованій країні, я не пропоную спробувати прокрастися навколо брандмауера, як пропонується в інших відповідях, а скоріше зробити це питання управління: поговоріть зі своїм менеджером , попросіть їх поговорити з менеджером відділу інформаційних технологій та уточнити, що для такого дозволу потрібна бізнес-вимога. Це малоймовірно, що немає способу налаштувати такі типи блоків, і, навряд чи, трапиться якийсь інцидент із безпекою і виявляються ваші спроби обійти блоки, які є частиною корпоративної політики ІТ, ви високо ймовірно, буде залишено провину за порушення безпеки.