URL 필터링을 위한 다음 지침 및 제한 사항을 유념하십시오.

범주 및 평판을 기준으로 필터링

범주 및 평판을 사용한 URL 필터링 설정 방법의 지침을 따릅니다.

URL을 식별하기 전에 통과해야 하는 패킷을 검사하도록 정책 설정

시스템은 다음 작업을 수행한 후 URL을 필터링할 수 있습니다.

• 클라이언트와 서버 간 모니터링된 연결이 설정됩니다.

• 시스템은 세션에서 DNS, HTTP 또는 HTTPS 애플리케이션을 식별합니다.

• 시스템은 (암호화된 세션의 경우 암호화되지 않은 도메인 이름, ClientHello 메시지 또는 서버 인증서로부터) 요청된 도메인 또는 URL을 식별합니다.

이 식별은 3~5개 패킷 내에서 또는 트래픽이 암호화된 경우 TLS/SSL 핸드셰이크의 서버 인증서 교환 후에 이루어져야 합니다.

중요! 시스템이 통과할 이러한 초기 패킷을 검사하도록 하려면 트래픽이 식별되기 전에 통과하는 패킷 검사 및 하위 주제를 참조하십시오.

초기 트래픽이 기타 모든 규칙 조건과 일치하지만 식별이 불완전한 경우 시스템은 패킷 통과 및 연결 설정 (또는 TLS/SSL 핸드셰이크 완료)을 허용합니다. 시스템은 식별을 완료하면 나머지 세션 트래픽에 적절한 규칙 작업을 적용합니다.

위협 범주 차단

정책은 잘 알려진 악성 사이트를 식별하는 위협 카테고리를 해결해야 합니다. 평판이 불량한 사이트를 차단하는 것 외에 이 작업을 수행합니다.

예를 들어, 악의적인 사이트로부터 네트워크를 보호하려면 모든 위협 범주를 차단해야 합니다. 또한 Talos에서는 불량 범주의 사이트만 차단할 것을 권장합니다. 보안 상태가 적극적인 경우 의심스러운 평판을 차단할 수 있지만, 이로 인해 오탐이 더 많이 발생할 수 있습니다.

자세한 내용은 URL 카테고리 및 평판 설명의 URL의 위협 범주를 참조하십시오.

URL 조건 및 규칙 순서

• 적중해야 하는 다른 모든 규칙 뒤에 URL 규칙을 배치합니다.

• URL은 여러 카테고리에 속할 수 있습니다. 명시적으로 또는 기본 작업에 의존하여, 특정 웹사이트 범주는 허용하고 다른 범주는 차단할 수도 있습니다. 이 경우 블록 허용 또는 차단 중 무엇을 우선하는 가에 따라, 원하는 효과를 얻을 수 있도록 URL 규칙을 생성하고 순서를 지정해야 합니다.

규칙에 대한 자세한 지침은 액세스 제어 규칙 순서에 대한 모범 사례 주제를 참조하십시오.

미분류 또는 무평판 URL

URL 규칙을 만들 때 일치시키려는 카테고리를 먼저 선택합니다. Uncategorized(미분류) URL을 명시적으로 선택하면 평판에 따른 추가 제한이 불가능합니다.

신뢰할 수 없음 평판이 있는 미분류 URL은 악성 사이트 카테고리로 처리됩니다. (의심스러움 등의) 다른 평판 수준을 사용해 분류되지 않은 사이트를 차단하려는 경우에는 분류되지 않은 모든 사이트를 차단해야 합니다.

범주 및 평판 레벨을 선택한 후 필요에 따라 Apply to unknown reputation(알 수 없는 평판에 적용)을 선택할 수 있습니다. 예를 들어, 신뢰할 수 없음, 의심스러움, 알 수 없는 평판의 사이트에 적용되는 규칙을 생성할 수 있습니다.

URL에는 범주와 평판을 수동으로 할당할 수 없지만, 액세스 제어 및 QoS 정책에서는 특정 URL을 수동으로 차단할 수 있습니다. 수동 URL 필터링의 내용을 참조하십시오. URL 범주 및 평판도 참조하십시오.

암호화된 웹 트래픽에 대한 URL 필터링

암호화된 웹 트래픽에 대해 URL 필터링을 수행할 때 시스템은 다음 작업을 수행합니다.

• (DNS 필터링이 활성화된 경우) 시스템이 이전에 원래 도메인을 파악했는지 또는 도메인이 로컬 평판 데이터베이스에 있는지 확인하고, 있는 경우 도메인의 평판 및 범주를 기반으로 조치를 취합니다. 그렇지 않으면 시스템은 액세스 제어 정책의 고급 설정에서 Retry URL cache miss lookup(URL 캐시 누락 조회 다시 시도)가 활성화된 경우에도 암호화된 트래픽에 대한 설정에 따라 트래픽을 처리합니다.

• 암호화 프로토콜을 무시합니다. 규칙에 URL 조건은 있지만 프로토콜을 지정하는 애플리케이션 조건이 없는 경우 해당 규칙은 HTTPS 및 HTTP 트래픽 두 가지 모두와 일치합니다.

• URL 목록을 사용하지 않습니다. 그 대신 URL 개체 및 그룹을 사용해야 합니다.

• 트래픽을 암호화하는 데 사용되는 공개 키 인증서의 주체 공통 이름을 기반으로 HTTPS 트래픽과 일치시키며, 암호 해독 후 HTTP URL을 포함하여 트랜잭션 중에 언제든지 표시되는 다른 URL의 평판도 평가합니다.

• 주체 공통 이름 내의 서브도메인을 무시합니다.

• 액세스 제어 규칙이나 기타 컨피그레이션에서 차단한 암호화된 연결에 대해 HTTP 응답 페이지를 표시하지 않습니다(HTTP 대응 페이지의 제한 참조).

URL 필터링 및 TLS 서버 ID 검색

RFC 8446에서 정의한 TLS(Transport Layer Security) 프로토콜 1.3의 최신 버전은 보안 통신을 제공하기 위해 많은 웹 서버에서 선호하는 프로토콜입니다. TLS 1.3 프로토콜은 추가 보안을 위해 서버의 인증서를 암호화하며, 액세스 제어 규칙의 애플리케이션 및 URL 필터링 기준과 일치하는 데 인증서가 필요하므로 Firepower System은 전체 패킷의 암호를 해독하지 않고 서버 인증서를 추출하는 방법을 제공합니다.

액세스 제어 정책 고급 설정은 TLS 서버 ID 검색을 위한 Early application detection and URL categorization(초기 애플리케이션 탐지 및 URL 분류) 옵션을 제공합니다.

애플리케이션 또는 URL 기준에서 일치시키려는 트래픽에 대해 특히 트래픽을 심층 검사하려는 경우, 이를 활성화하는 것이 좋습니다. SSL 정책에는 서버 인증서를 추출하는 과정에서 트래픽이 암호 해독되지 않으므로 SSL 정책이 필요하지 않습니다.

참고

인증서의 암호가 해독되었기 때문에 TLS 서버 ID 검색은 하드웨어 플랫폼에 따라 성능을 저하시킬 수 있습니다. TLS 서버 ID 검색은 인라인 탭 모드 또는 패시브 모드 구축에서 지원되지 않습니다. TLS 서버 ID 검색 활성화는 AWS에 구축된 Secure Firewall Threat Defense Virtual에서 지원되지 않습니다. Secure Firewall Management Center에서 관리하는 그러한 매니지드 디바이스가 있는 경우, 디바이스가 서버 인증서 추출을 시도할 때마다 연결 이벤트 PROBE_FLOW_DROP_BYPASS_PROXY 가 증가합니다.

자세한 내용은 액세스 제어 정책 고급 설정를 참고하십시오.

HTTP/2

시스템은 TLS 인증서에서 HTTP/2 URL을 추출할 수 있지만 페이로드에서는 추출할 수 없습니다.

수동 URL 필터링

• 사용자 지정 보안 인텔리전스 목록 또는 피드 개체를 사용하여 URL을 지정합니다. URL 개체를 사용하거나 규칙에 URL을 직접 입력하지 마십시오. 자세한 내용은 수동 URL 필터링 옵션 섹션을 참조해 주십시오.

• URL 개체를 사용하거나 규칙에 URL을 직접 입력하여 특정 URL을 수동으로 필터링하는 경우, 영향을 받을 수 있는 다른 트래픽을 신중하게 고려하십시오. URL 조건이 네트워크 트래픽과 일치하는지 확인하기 위해 시스템은 간단한 부분 문자열 일치를 실행합니다. 요청한 URL은 문자열의 일부분과 일치하는 경우 일치 항목으로 간주됩니다.

• 수동 URL 필터링을 사용하여 다른 규칙에 대한 예외를 생성하는 경우, 예외를 생성하지 않으면 적용될 일반 규칙 위에 예외가 있는 특정 규칙을 배치합니다.

URL 내 검색 쿼리 매개변수

시스템은 URL 조건과 일치하도록 URL에서 검색 쿼리 매개변수를 사용하지 않습니다. 예를 들어, 모든 쇼핑 트래픽을 차단하는 시나리오를 생각해 보십시오. 이 경우, amazon.com을 검색하기 위해 웹 검색을 사용하는 것은 차단되지 않지만 amazon.com 브라우징은 차단됩니다.

고가용성 배포의 URL 필터링

고가용성에 Firepower Management Center를 사용하여 URL을 필터링하는 경우의 지침은 Cisco Secure Firewall Management Center 관리 가이드 의 URL 필터링 및 보안 인텔리전스를 참조하십시오.

선택한 디바이스 모델의 메모리 제한

• 메모리가 적은 디바이스 모델은 적은 URL 데이터를 로컬로 저장하며, 따라서 시스템은 클라우드를 더 자주 확인해 로컬 데이터베이스에 없는 사이트의 카테고리와 평판을 확인합니다.

  하위 메모리 디바이스는 다음과 같습니다.

  • Firepower 1010

  • Threat Defense Virtual, 8GB RAM

위협 방어에서 TLS 세션 재개에 대한 URL 일치

다음 조건에서 Snort 2와 URL 일치를 사용합니다.

• TLS 세션 재개가 없고 SSL 정책이 활성화되어 있거나 클라이언트 Hello 메시지에 SNI(Server Name Indication) 확장이 포함된 경우.

• TLS 세션 재개가 있고 SSL 정책이 활성화되지 않았거나 클라이언트 Hello 메시지에 SNI 확장이 포함되지 않은 경우.

Threat Defense 라이선스

• 범주 및 평판 필터링 -URL 필터링

• 수동 필터링 - 추가 라이선스가 없습니다.

기본 라이선스

• 범주 및 평판 필터링 -URL 필터링

• 수동 필터링 - 추가 라이선스가 없습니다.

Threat Defense 디바이스의 URL 필터링 라이선스

Cisco Secure Firewall Management Center 관리 가이드의 라이선스 장에서 URL 라이선스를 참조하십시오.

모델 지원

Any(모든)

지원되는 도메인

모든

사용자 역할

• 관리자

• 액세스 관리자

• 네트워크 관리자

다음 상태 정책은 URL 카테고리 및 평판 데이터를 가져오거나 업데이트하는 데 문제가 발생하는 경우 알려줍니다.

• URL 필터링 모니터

• 디바이스에서 위협 데이터 업데이트

이러한 모듈이 원하는 방식으로 구성되었는지 확인하려면 Cisco Secure Firewall Management Center 관리 가이드의 상태 모듈 및 상태 모니터링 구성을 참조하십시오.

예상 URL 범주가 범주 목록에 없습니다.

URL 필터링 기능은 보안 인텔리전스 기능과 다른 범주 집합을 사용합니다. 표시되는 범주는 보안 인텔리전스 범주일 수 있습니다. 이러한 범주를 보려면 액세스 제어 정책에서 Security Intelligence(보안 인텔리전스) 탭의 URL 탭을 확인하십시오.

초기 패킷이 검사되지 않고 통과됨

트래픽이 식별되기 전에 통과하는 패킷 검사 및 하위 항목을 참조하십시오.

DNS 필터링: DNS 조회 중 URL 평판 및 범주 식별도 참조하십시오.

상태 알림: 'URL Filtering registration failue(URL 필터링 등록 실패)'

management center와 프록시가 Cisco Cloud에 연결할 수 있는지 확인합니다. Cisco Secure Firewall Management Center 관리 가이드의 주제 인터넷 액세스 요구 사항 및 통신 포트 요구 사항에 있는 URL 필터링 및 URL 범주 관련 정보가 필요할 수 있습니다.

특정 URL의 카테고리와 평판을 어떻게 찾을 수 있습니까?

수동 조회를 수행합니다. Cisco Secure Firewall Management Center 관리 가이드에서 URL 범주 및 평판 찾기를 참조하십시오.

수동 조회를 시도하는 동안 오류: 'Cloud Lookup Failure for <URL>(<URL>에 대한 클라우드 조회 실패)'

기능이 올바르게 활성화되어 있는지 확인합니다. Cisco Secure Firewall Management Center 관리 가이드에서 URL 범주 및 평판 찾기의 사전 요건을 참조하십시오.

URL이 URL 카테고리 및 평판에 따라 잘못 처리되는 것 같습니다

문제:시스템이 올바르게는 URL 카테고리 및 평판에 따라 URL을 올바로 처리하지 않습니다.

솔루션:

• URL에 연결된 URL 카테고리 및 평판이 사용자가 생각하는 카테고리 및 평판인지 확인하십시오. Cisco Secure Firewall Management Center 관리 가이드에서 URL 범주 및 평판 찾기를 참조하십시오.

• 다음 문제는 범주 및 평판을 사용한 URL 필터링 활성화을(를) 사용하여 액세스할 수 있는 URL 필터링 옵션에 설명된 설정으로 해결할 수 있습니다.

  • URL 캐시에 오래된 정보가 있을 수 있습니다. URL 필터링 옵션에서 Cached URLs Expire(캐시된 URL 만료) 설정 관련 정보를 참조하십시오.

  • 로컬 데이터 집합이 클라우드의 최신 정보로 업데이트되지 않았을 수 있습니다. URL 필터링 옵션에서 Enable Automatic Updates(자동 업데이트 활성화) 설정에 대한 정보를 참조하십시오.

  • 클라우드에서 최신 데이터를 확인하지 않도록 시스템이 구성되었을 수 있습니다. URL 필터링 옵션에서 Query Cisco cloud for unknown URLs(Cisco Cloud에서 알 수 없는 URL 쿼리) 설정에 대한 정보를 참조하십시오.

• 클라우드를 확인하지 않고 URL로 트래픽을 전달하도록 액세스 제어 정책이 구성되었을 수 있습니다. 액세스 제어 정책 고급 설정에서 Retry URL cache miss lookup(URL 캐시 누락 조회 재시도) 설정에 대한 정보를 참조하십시오.

• URL 필터링 모범 사례도 참조하십시오.

• SSL 규칙을 사용하여 URL이 처리되는 경우, TLS/SSL 규칙 지침 및 제한 사항 및 SSL 규칙 순서의 내용을 참조하십시오.

• 사용자가 생각하는 액세스 제어 규칙을 사용하여 URL이 처리되고 있고 사용자가 생각하는 작업을 규칙이 수행하는지 확인하십시오. 규칙 순서를 고려해야 합니다.

• management center의 로컬 URL 카테고리 및 평판 데이터베이스가 클라우드에서 성공적으로 업데이트되고 매니지드 디바이스가 management center에서 성공적으로 업데이트되는지 확인하십시오.

  이러한 프로세스의 상태는 URL Filtering Monitor(URL 필터링 모니터) 모듈과 Threat Data Updates on Devices(디바이스에서 위협 데이터 업데이트) 모듈의 Health Monitor(상태 모니터)에서 보고됩니다. 자세한 내용은 Cisco Secure Firewall Management Center 관리 가이드 의 상태를 참조하십시오.

로컬 URL 카테고리 및 평판 데이터베이스를 즉시 업데이트하려면 Integration(통합) > Other Integrations(기타 통합)로 가서 클라우드 서비스을 클릭한 다음 Update Now(지금 업데이트)를 클릭합니다. 자세한 내용은 URL 필터링 옵션를 참고하십시오.

URL 범주 또는 평판이 올바르지 않습니다

액세스 제어 또는 QoS 규칙의 경우: 수동 필터링을 사용하며, 규칙 순서를 주의해야 합니다. 수동 URL 필터링 및 URL 조건 설정를 참조하십시오.

SSL 규칙의 경우: 수동 필터링은 지원되지 않습니다. 대신 고유 이름 조건을 사용합니다.

URL 범주 및 평판 섹션도 참조하십시오.

웹 페이지가 느리게 로드됩니다

보안 및 성능은 상충 관계에 있습니다. 몇 가지 옵션:

• Cached URLs Expire(캐시된 URL 만료) 설정을 수정해 보십시오. Integration(통합) > Other Integrations(기타 통합)을 클릭한 다음 클라우드 서비스를 선택합니다. 자세한 내용은 URL 필터링 옵션를 참조하십시오.

• 액세스 제어 정책 고급 설정에서 Retry URL cache miss lookup(URL 캐시 누락 조회 재시도) 설정의 선택을 취소해 보십시오.

이벤트는 URL 카테고리 및 평판은 포함하지 않습니다.

• 액세스 제어 정책에 적용 가능한 URL 규칙을 포함했는지, 규칙이 활성 상태인지, 정책이 관련 디바이스에 구축되었는지를 확인하십시오.

• URL 범주 및 평판은 URL 규칙과 매칭되기 전에 연결이 처리되면 이벤트에 표시되지 않습니다.

• URL 범주 및 평판에 대해 연결을 처리하는 규칙을 구성해야 합니다.

• SSL 규칙의 Categories(범주) 탭에서 URL 범주를 구성한 경우에도 액세스 제어 정책의 규칙에서 URL 탭을 구성해야 합니다.

DNS 필터링이 작동하지 않습니다.

도메인 조회 중 URL을 식별하도록 DNS 필터링 활성화에서 모든 사전 요건과 단계를 완료했는지 확인합니다.

최종 사용자가 차단된 URL에 액세스하려고 시도하고 페이지가 회전 및 시간 초과됨

DNS 필터링이 활성화되어 있고 최종 사용자가 차단된 URL에 액세스하면 페이지가 회전하지만 로드되지는 않습니다. 최종 사용자에게 페이지가 차단되었다는 알림이 표시되지 않습니다. 이는 현재 DNS 필터링이 활성화된 경우의 제한 사항입니다.

DNS 필터링 제한의 내용을 참조하십시오.

이벤트에 URL 범주 및 평판이 포함되어 있지만 URL 필드가 비어 있음

DNS Query(DNS 쿼리) 필드가 채워져 있고 URL 필드가 비어있는 경우, 이는 DNS 필터링 기능이 활성화될 때 나타납니다.

DNS 필터링 및 이벤트의 내용을 참조하십시오.

단일 트랜잭션에 대해 여러 이벤트가 생성됨

단일 웹 트랜잭션에서 두 개의 연결 이벤트를 생성하는 경우가 있습니다. 하나는 DNS 필터링이고 다른 하나는 URL 필터링입니다. 이는 DNS 필터링이 활성화되고 다음과 같은 경우에 발생합니다.

• 트래픽에 대한 액세스 제어 규칙 작업이 Allow(허용) 또는 Trust(신뢰)인 경우

• 시스템에서 처음으로 URL을 발견하는 경우

DNS 필터링 및 이벤트의 내용을 참조하십시오.