Probleemoplossing met URL-filtering op een FireSIGHT-systeem

Inleiding

Dit document beschrijft veel voorkomende problemen met URL-filtering. De URL-filterfunctie in FireSIGHT Management Center categoriseert het verkeer van gemonitorde hosts en stelt u in staat een voorwaarde te schrijven in een toegangscontroleregel die op reputatie is gebaseerd.

URL-filterproces

Om het URL-lookup-proces te versnellen, biedt het URL-filtering een dataset die lokaal op een Firepower System is geïnstalleerd. Afhankelijk van de hoeveelheid geheugen (RAM) die op een apparaat beschikbaar is, zijn er twee gegevenssets:

Cloudconnectiviteitsproblemen

Stap 1: Controleer de licenties

Is de licentie geïnstalleerd?

U kunt op klasse en reputatie gebaseerde URL voorwaarden aan toegangscontroleregels toevoegen zonder een URL Filtering licentie, maar u kunt het toegangscontrolbeleid niet toepassen totdat u eerst een URL Filtering licentie aan het FireSIGHT Management Center toevoegt en het vervolgens inschakelen op de apparaten die door het beleid worden bedoeld.

Is de licentie verlopen?

Als een URL-filtering verlopen is, maken toegangscontroleregels met categorie- en reputatiegebaseerde URL-voorwaarden een einde aan het filteren van URL's en neemt het FireSIGHT Management Center niet langer contact op met de cloudservice.

Tip: Lees URL-filtering op een FireSIGHT System Configuration om te leren hoe u URL Filtering-functie op een FireSIGHT System kunt inschakelen en gebruik URL-filtering op een beheerd apparaat.

Stap 2: Waarschuwingen controleren

De URL Filtering van de monitor module van de monitor volgt communicatie tussen het FireSIGHT Management Center en de Cisco cloud, waar het systeem zijn URL-filtering (categorie en reputatie) gegevens voor algemeen bezochte URL's verkrijgt. De URL Filtering van de monitor module van de monitor volgt ook communicatie tussen een FireSIGHT Management Center en om het even welke beheerde apparaten waar u URL filtering hebt ingeschakeld.

Kies de URL-filtermonitor om de module voor URL-filtering van monitor in te schakelen op de pagina Health Policy Configuration. Klik op de radioknop Aan voor de Ingeschakelde optie om gebruik van de module voor het testen van de gezondheidsstatus mogelijk te maken. U moet het gezondheidsbeleid op het FireSIGHT Management Center toepassen als u wilt dat uw instellingen effect sorteren.

• Kritische waarschuwing: Als het FireSIGHT Management Center er niet in slaagt met de cloud te communiceren of een update uit de cloud te herstellen verandert de status classificatie voor die module in Criticaal.
• Waarschuwing: Als het FireSIGHT Management Center met succes met de cloud communiceert, verandert de modulestatus in Waarschuwing als het Management Center geen nieuwe URL-filtergegevens naar de beheerde apparaten kan duwen.

Stap 3: DNS-instellingen controleren

Een FireSIGHT Management Center communiceert met deze servers tijdens de cloud:

database.brightcloud.com
service.brightcloud.com 

Nadat u ervoor hebt gezorgd dat beide servers zijn toegestaan in de firewall, voert u deze opdrachten uit op het FireSIGHT Management Center en controleert u of het Management Center de namen kan oplossen:

admin@FireSIGHT:~$ sudo nslookup database.brightcloud.com

admin@FireSIGHT:~$ sudo nslookup service.brightcloud.com

Stap 4: Controleer de Connectiviteit met de vereiste poorten

FireSIGHT Systems gebruikt poorten 443/HTTPS en 80/HTTP om met de cloudservice te communiceren.

Zodra u hebt bevestigd dat het Management Center in staat is om een succesvolle nslookup uit te voeren, controleert u de connectiviteit met poort 80 en poort 443 met telnet. De URL-database wordt gedownload met database.heldercloud.com in poort 443, terwijl de onbekende URL-vragen worden gedaan op service.heldercloud.com in poort 80.

telnet database.brightcloud.com 443
telnet service.brightcloud.com 80

Deze output is een voorbeeld van een succesvolle telnet verbinding met database.heldercloud.com.

Connected to database.brightcloud.com.
Escape character is '^]'.

Problemen met toegangscontrole en verkeerde categorisering

Probleem 1: URL met niet-geselecteerd herstellingsniveau is toegestaan / geblokkeerd

Als u opmerkt dat een URL is toegestaan of geblokkeerd, maar u hebt het reputatieniveau van die URL in uw Regel van de Toegangscontrole niet geselecteerd, lees deze sectie om te begrijpen hoe een URL filterregel werkt.

Handeling op regel staat toe

Wanneer u een regel maakt om verkeer toe te staan op basis van een reputatieniveau, selecteert de selectie van een reputatieniveau ook alle reputatieniveaus die minder veilig zijn dan het niveau dat u oorspronkelijk geselecteerd had. Bijvoorbeeld, als u een regel vormt om Benigne plaatsen met veiligheidsrisico's toe te staan (niveau 3), dan staat het ook automatisch Benigne plaatsen (niveau 4) en Goed gekende (niveau 5) toe.

Handeling op regels is blokkeren

Wanneer u een regel maakt om verkeer te blokkeren op basis van een reputatieniveau, selecteert de selectie van een reputatieniveau ook alle reputatieniveaus ernstiger dan het niveau dat u oorspronkelijk geselecteerd hebt. Bijvoorbeeld, als u een regel vormt om BenigNE plekken met veiligheidsrisico's te blokkeren (niveau 3), blokkeert deze ook automatisch Verdachte sites (niveau 2) en Hoge risico (niveau 1). 

URL-selectietype

Probleem 2: Wildcard werkt niet onder de toegangscontroleregel

FireSIGHT System ondersteunt geen specificatie van een jokerteken in een URL-toestand. Deze conditie kan niet alert zijn op cisco.com.


*cisco*.com

Daarnaast kan een onvolledige URL overeenkomen met ander verkeer dat een onnodig resultaat veroorzaakt. Wanneer u individuele URLs in URL voorwaarden specificeert, moet u zorgvuldig ander verkeer overwegen dat zou kunnen worden beïnvloed. Neem bijvoorbeeld een scenario in overweging waar u cisco.com expliciet wilt blokkeren. Substring matching betekent echter dat het blokkeren van cisco.com ook sanfrancisco.com blokkeert, wat misschien niet uw bedoeling is.


http://cisco.com
http://cisco.com/newcisco
http://www.cisco.com