Możesz użyć listy węzłów Tora (uplink), dodać to do wychodzącej zapory ogniowej, skonfigurować zadanie aktualizowania tego raz dziennie i wszystko będzie dobrze. Ale Tor może być również używany przez proxy HTTP (S), więc będziesz musiał również wykrywać serwery proxy.

Nie jestem pewien, czy to pomoże ci cokolwiek zabezpieczyć. Dopóki istnieje połączenie z Internetem, byłoby możliwe ominięcie tego rodzaju środków bezpieczeństwa. Możesz spędzić nieskończoną ilość czasu i energii, aby zabronić wszelkiego rodzaju serwerów proxy, VPN, tuneli SSL i tym podobnych. Radzimy po prostu upewnić się, że nie wyrządzą żadnej szkody, chroniąc to, co jest ważne dla Twojej firmy, i pozostawić użytkowników. Na przykład podziel sieć na przedziały, użyj podsieci, sieci VLAN, stref DMZ i wymagaj uwierzytelniania i autoryzacji w sieciach prywatnych. Trzymaj ważne rzeczy w jednej strefie, pozwalając jednocześnie na tworzenie sieci bez ograniczeń w innej. I tak dalej ...

Uważam, że głównym problemem powinno być to, że:

używanie anonimowego serwera proxy w sieci

To złe założenie . Od razu bym zapytał:

W której sieci?

Yorick już poruszył ten punkt, ale będę bardziej rażący .

HIPAA dotyczy głównie prywatności danych w Twoim systemie produkcyjnym , a zatem w sieci używanej do łączenia się z systemem produkcyjnym. Powinieneś mieć kontrolę nad tym, co mogą robić wszystkie komputery łączące się z tą siecią. Innymi słowy, powinny to być maszyny firmowe zarządzane przez firmę i dostarczające oprogramowanie potrzebne do obsługi systemu produkcyjnego. Żadne inne maszyny nie powinny łączyć się z tą siecią, w tym VPN z siecią produkcyjną (czego najlepiej unikać, jeśli to możliwe).

Sieć dla Twoich pracowników, która nie łączy się z systemem produkcyjnym, np. sieć deweloperska lub biurowa sieć Wi-Fi muszą być oddzielone od sieci produkcyjnej. Wystarczy wyraźnie pokazać, że sieci są oddzielne (najlepiej z oddzielnym sprzętem, sieci VLAN 802.1Q są narażone na kilka ataków, jeśli są źle skonfigurowane). Maszyny w tych sieciach nie mają znaczenia dla systemu produkcyjnego, o ile nigdy się z nim nie łączą (nie powinny!). Przeniesienie czegokolwiek do produkcji i tak powinno mieć procedurę QA / QC, w której ocenia się bezpieczeństwo kodu / konfiguracji / innej zmiany.

Warto zauważyć, że sieć programistyczna zawierająca maszyny programistyczne nigdy nie zobaczy żadnych Dane produkcyjne. Jeśli Twoje dane produkcyjne mają być chronione (np. W celu ochrony prywatności pacjentów, jak w HIPAA), musisz anonimizować wszystkie dane w konfiguracjach programistycznych / testowych. Posiadanie zabezpieczonego środowiska produkcyjnego, a następnie zrzucanie danych produkcyjnych do niezabezpieczonej sieci byłoby po prostu głupie.

Jedynym sposobem, aby mieć względną pewność, że Tor nie jest używany w sieci, jest sprawdzenie każdego urządzenia w sieci i upewnienie się, że Tor nie jest zainstalowany ani uruchomiony na żadnym z nich. Może to wymagać tak wielu roboczogodzin, że równie dobrze może być niemożliwe. I tak możesz to przeoczyć.

Możesz spróbować wykryć użycie Tora, obserwując ruch do któregokolwiek z zakodowanych na stałe urzędów katalogowych, aby z którym wszyscy klienci Tora będą się zawsze łączyć (z wyjątkiem, patrz poniżej). Zwykle jest ich mniej niż tuzin.

Możesz także spróbować wykryć ruch do dowolnego z tysięcy węzłów strażniczych, ale może to bardzo obciążyć IDS. Wykrywanie ruchu w centrach katalogowych wymaga obserwowania tylko kilku adresów IP i będzie ruch do tych władz nawet dla bezczynnych klientów.

Dużym wyjątkiem jest sytuacja, gdy Tor został skonfigurowany do używania mostu. Są one wyraźnie zaprojektowane tak, aby Tor nie komunikował się bezpośrednio z żadnym ze zwykłych węzłów Tora ani z urzędami katalogowymi. Zamiast tego komunikują się z niepublikowanym adresem mostka. Państwa narodowe mają trudności z wykryciem tych powiązań; jeśli któryś jest używany w Twojej sieci, nie masz prawie żadnych szans.

Zamiast tego powinieneś zrobić dokładniej kontrolować dostęp do iz sieci w generał. Tylko ruch, który jest rzeczywiście potrzebny, powinien być dozwolony do i z dowolnego urządzenia, na którym można uzyskać dostęp lub przechowywać PHI. Oznacza to, że musisz domyślnie odmawiać w obu kierunkach, przychodzącej i wychodzącej, oddzielając również sieci, w których występuje PHI od innych sieci. Wygląda na to, że Twoja obecna polityka wychodzenia zapory ogniowej jest domyślnie zezwalana, a blokowanie rzeczy w konfiguracji domyślnego zezwolenia jest jak dziurkowanie w niebie.

Uniemożliwienie użytkownikowi instalowania / używania oprogramowania, które nie zostało zatwierdzone przez firmę, poprzez egzekwowanie zasad oprogramowania na komputerze pracowników, w połączeniu z uwierzytelnianiem sieciowym, takim jak tylko te maszyny zgodne z zasadami mogą uzyskać dostęp do sieci. To sprawia, że ​​stacja robocza jest prawie prostą maszyną kiosk . W branży finansowej i medycznej nie należy uważać za niewłaściwe narzucanie trybu kiosku pracownikom operacyjnym.

Brak możliwości uruchomienia oprogramowania, które może łączyć się z Torem, jest kluczem do uniemożliwienia użytkownikom korzystania z Tora, jeśli przeglądarka (np. cebula.to proxy) nie jest częścią zagrożenia. Ale normalnie miałbyś białą listę witryn dostępnych w chronionych środowiskach.

W prawdziwym świecie często koliduje to z potrzebami personelu IT. W większości firm wymagana jest zdolność IT, który niekoniecznie jest programistą / inżynierem oprogramowania , do uruchamiania dowolnego oprogramowania lub pisania niestandardowych skryptów. Dla dyskusji, załóżmy, że tak jest.

Oczywiście nie możesz uniemożliwić administratorowi systemu uruchamiania Tora, a także nie możesz zablokować jego maszyny w kiosku tylko dla tego „zagrożenia”, w przeciwnym razie zapobiegniesz nadzwyczajnym działaniom poza procesem, takim jak naprawianie problemów z maszynami lub siecią. W takim przypadku zalecałbym zastosowanie takiej zasady, że komputery z systemem administracyjnym z uprzywilejowaną konfiguracją oprogramowania są zwykle podłączone do niewrażliwej sieci, a ostatecznie do Internetu. Jeśli administrator potrzebuje dostępu do poufnej sieci, w której przechowywane są chronione informacje, powinien fizycznie podłączyć swój laptop do innej wtyczki i zarejestrować zdarzenie w ścieżce audytu. Taki audyt może być również zakończony komentarzem do zgłoszenia do pomocy technicznej „Uzyskuję dostęp do maszyny 10.100.200.10 w celu wykonania zadania”.

Krótko mówiąc, uniemożliwienie komukolwiek używania Tora jest surowym wymogiem, który jest trudny do wyegzekwowania, jednak rozsądna reinterpretacja wymagania powinna zadowalać każdy regulator, przyjmując zasadę bezpieczeństwa, że ​​ użytkownicy musi być w stanie uruchomić tylko najmniejszy zestaw programów, aby wypełniać swoje obowiązki (odmiana zasady najmniejszych minimalnych uprawnień).

A poza tym Tor sam w sobie nie stanowi zagrożenia, jest medium, które może być nadużywane przez osoby korzystające z informacji poufnych lub innych niewiernych pracowników lub stanowić zagrożenie dla istniejących nieprzeszkolonych pracowników.

Tor jest z założenia trudny do zablokowania. Dzięki środkom Yoricka uczciwi pracownicy będą uczciwi. Poszedłbym tą drogą, chyba że HIPAA wymaga więcej * Dodanie wykrywania do środków blokujących oznacza, że ​​możesz zidentyfikować użytkowników Tora i przejść przez zarządzanie, aby ich zdyscyplinować. IMHO, zakaz tego rodzaju zachowań powinien znajdować się w corocznej certyfikacji pracownika w zakresie polityki biznesowej oraz w programie szkolenia w zakresie bezpieczeństwa.

Jeśli musisz rządzić żelazną ręką, blokuj wszystko Domyślnie i instalowanie serwera proxy przechwytywania jest powszechną metodą. Oznacza to, że będziesz przechwytywać, odszyfrowywać, sprawdzać, kategoryzować i ponownie szyfrować cały ruch klienta TLS. Jest to powszechne w bankach i bezpiecznych instytucjach ... wraz ze wszystkimi konsekwencjami dla prywatności, złożonością wdrażania i problemami z wydajnością.

* (Nie wiem ... Nie zrobiłem HIPAA)

Ponieważ tytuł odnosi się do wykrywania takiej aktywności, skonfigurowałbym regułę zapory sieciowej tak, aby rejestrowała, ale nie blokowała połączeń do znanych usług / serwerów anonimizacyjnych różnych typów. Oczywiście oznacza to, że ktoś monitoruje dzienniki zapory sieciowej lub jakiś system oznaczania.

Istnieje niewielkie ryzyko, że dane mogą się wydostać, ale jeśli ktoś napotka blok, prawdopodobnie znajdzie inne metody / usługi (do którego możesz nie logować się), aby pobrać dane z systemu.

Zezwolenie na ograniczoną ilość danych wyjściowych zapewnia cele w Twojej sieci, które umożliwiają sprawdzić dostęp do ich systemów i dowiedzieć się, co faktycznie robią - na przykład próbując uzyskać dostęp do materiałów, które wykraczają poza ich zakres pracy.

To również omija wszelkie problemy z BYOD w środowiskach, które pozwalają im uzyskać do wrażliwych danych, nadal będą potrzebować uwierzytelnienia (loginy itp.), abyś mógł zobaczyć, co może być zagrożone.

Wadą tego podejścia jest to, że ryzyko jest proporcjonalne do tego, jak blisko są zapory monitorowane i wszystkie flagi, na które zadziałano, więc to naprawdę zależy od dostępnych zasobów.