Dateiprüfung mit Eicar

Einleitung

In diesem Dokument wird beschrieben, wie die Dateiprüfung mit Eicar getestet wird.

Überblick

Derzeit sehen Sie beim Testen, ob die Dateiinspektion-Funktion mithilfe der Testdateien von eicar.org aktiviert ist, ein anderes Verhalten, wenn "SSL-Entschlüsselung" aktiviert oder deaktiviert ist. Umbrella File Inspection scannt nur Downloads unter eicar.org, wenn die SSL-Entschlüsselung aktiviert ist.  

Der Erkennungsprozess für EICAR

Um die Blockierung von eicar.org zu aktivieren, aktivieren Sie die SSL-Verschlüsselung.

Anmerkung: Die SSL-Entschlüsselung ist auch beim Besuch der Website über HTTP erforderlich. Wenn die SSL-Verschlüsselung nicht aktiviert ist, umgeht der Proxy Domänen, die den HTTPS-Datenverkehr verarbeiten.

• Der Umbrella Intelligent Proxy entscheidet, ob eine Domäne an den Proxy auf der DNS-Ebene gesendet werden soll.  
• Die DNS-Anforderung erfolgt vor der HTTP-/HTTPS-Verbindung, d. h., wenn eine Domäne dem Proxy unterliegt, wird sowohl HTTP- als auch HTTPS-Datenverkehr immer als Proxy weitergeleitet.
• Wenn der HTTP/HTTPS-Verkehr unseren Intelligent Proxy erreicht, ist der erste Schritt eine Umleitung zur Identifizierung des Benutzers. 

Diese Umleitung ist ohne SSL-Verschlüsselung nicht möglich, d. h. wir können Benutzer in einigen Szenarien (z. B. Roaming-Benutzer) möglicherweise nicht richtig identifizieren.

Um zu verhindern, dass diese Benutzer HTTPS-Anfragen blockieren, verwendet Umbrella keine Proxy-Domänen (wie eicar.org), die sowohl HTTP- als auch HTTPS-Datenverkehr bereitstellen, es sei denn, die SSL-Entschlüsselung ist aktiviert.

Zusammenfassung ...

Um eine maximale Sicherheit und Effizienz dieser Funktion zu gewährleisten, empfehlen wir dringend, die Cisco Root CA zu installieren und die SSL-Verschlüsselung zu aktivieren. Dies ermöglicht das Sperren von eicar.org-Testdateien und erhöht die Anzahl der Domänen, die über unseren Intelligent Proxy der Dateiprüfung unterzogen werden.

Im Folgenden finden Sie eine Zusammenfassung des erwarteten Verhaltens: 

• SSL-Entschlüsselung AUS
  • Eicar.org Websites werden NICHT unter https://www.eicar.org/download/eicar.com blockiert. Die Domäne wird einfach überhaupt nicht als Proxy weitergeleitet, da die SSL-Entschlüsselung deaktiviert ist.
  • Unsere eigene Testseite, die eicar hostet, ist gesperrt: http://proxy.opendnstest.com/download/eicar.com
• SSL-Entschlüsselung EIN
  • Ohrhörer durch AV-Scanning blockiert unter http://www.eicar.org/download/eicar.com und https://www.eicar.org/download/eicar.com