Palo Alto Networks PA-4060 - Exclusive Networks

PA – 4060 – Documentación para la preventaPágina 24 de 100caso del descifrado del tráfico entrante (por ejemplo contra los servidores web),el equipo no actúa activamente en la negociación SSL, y por tanto inspecciona eltráfico de modo transparente (necesita solamente tener una copia del certificadoy clave privada utilizados). Si se detecta un ataque o tráfico maligno, realiza unreset de la sesión. Por otra parte, y para la inspección del tráfico SSL de salida(por ejemplo la navegación web de los usuarios internos), el equipo estableceuna sesión SSL con el cliente y otra con el destino real; se comporta por tanto demodo activo. En este caso, una vez que la aplicación se identifica y es aceptadapor la política de seguridad, se aplican los perfiles de protección frente aamenazas configurados y el tráfico es posteriormente reencriptado y enviado asu destino original. Application Protocol Decoding: Si se necesita, los decodificadores deprotocolo se emplean para averiguar si la aplicación está utilizando el protocolocomo su transporte natural (por ejemplo HTTP como transporte de la navegaciónweb), o si por el contrario solamente se utiliza como una técnica de ofuscación,para ocultar la aplicación real (por ejemplo Yahoo! Instant Messenger sobreHTTP). Los decodificadores de protocolo ayudan asimismo a afinar el rangoposible de aplicaciones, proporcionando información valiosa sobre el contexto alas firmas así como a la identificación de ficheros u otros contenidos sensibles,que deben ser analizados por otros módulos (por ejemplo IPS o DLP). Heuristics. En ciertos casos (aproximadamente el 1% de todas las aplicacionesreconocidas), las tácticas evasivas que se emplean no pueden ser identificadas,a pesar del análisis avanzado de firmas y protocolos descrito anteriormente. Enestas situaciones, se necesita utilizar técnicas heurísticas adicionales, o análisisdel comportamiento, para identificar ciertas aplicaciones que utilizanmecanismos de cifrado propietarios (por ejemplo aplicaciones peer-to-peer, deVoIP –como Skype- o de proxies personales –como Ultrasurf). Las técnicasheurísticas se emplean, junto con el resto de técnicas revisadas en App-ID, paraofrecer visibilidad y control sobre aplicaciones que podrían de otro modo eludir laidentificación positiva.Ejemplo del modo de trabajo de App-ID: Identificación de WebExCuando un usuario inicia una session WebEx, la conexión inicial tiene lugar bajo SSL.App-ID ve el tráfico y las firmas determinan que se está empleando cifrado SSL. El