Feed de lista blanca de dominios

Algunos destinatarios nunca reciben los correos electrónicos de simulación de phishing, o la página de destino se bloquea, porque su firewall inspecciona o filtra el tráfico hacia los dominios de la campaña. Stoïk publica un feed de lista de permitidos de dominios que su firewall puede consultar automáticamente para eximir estos dominios de la inspección SSL y del filtrado de URL.

Esta guía solo cubre FortiGate, Palo Alto, y Cato Networks. Aún no hemos encontrado una configuración equivalente para otros proveedores de firewalls.

<allowlist_feed_username> y <allowlist_feed_password> son las credenciales proporcionadas por Stoïk para su feed. Póngase en contacto con [e-mail] si no las tiene.

FortiGate

FortiOS 7.4 / 7.6 / 8.0

Paso 1: Crear el recurso externo

En la CLI de FortiGate, cree un recurso de tipo categoría recurso externo que apunte a la URL del feed. Un recurso de tipo dominio no se puede usar para la exención de la inspección SSL.

config system external-resource
    edit "stoik-allowlist"
        set status enable
        set type category
        set category 192
        set resource "https://prod.phishing.cyber.stoik.io/public/v1/allowlist/domains.txt"
        set username "<allowlist_feed_username>"
        set password "<allowlist_feed_password>"
        set server-identity-check full
        set refresh-rate 5
    next
end

Notas de campo:

• set type category es obligatorio (no recurso de tipo dominio) para que el recurso pueda añadirse a la lista exenta de inspección SSL/SSH.

• set category 192 asigna el recurso a una ranura de categoría personalizada de FortiGuard. Las ranuras 192-221 están disponibles (30 en total por alcance/VDOM). Elija una ranura libre; el número debe ser único dentro del alcance.

• set username y set password activa automáticamente la autenticación HTTP Basic.

• set server-identity-check full valida la cadena completa del certificado TLS y el nombre de host. El valor predeterminado es ninguno; completo se recomienda para feeds HTTPS.

• set refresh-rate 5 consulta cada 5 minutos (las unidades son minutos; rango 1-43200).

Paso 2: Eximir de la inspección SSL

Añada la categoría a la lista de exención del perfil de inspección SSL/SSH. Este es el mecanismo que realmente omite la inspección profunda SSL para los dominios coincidentes. Sin este paso, FortiGate seguirá haciendo MITM de la conexión TLS.

Ruta de la GUI: Perfiles de seguridad > Inspección SSL/SSH > su perfil de inspección profunda > Exentos de la inspección SSL > Categorías web > añada la stoik-allowlist categoría.

Equivalente en CLI:

config firewall ssl-ssh-profile
    edit "deep-inspection"
        config ssl
            set exempt-categories "stoik-allowlist"
        end
    next
end

Paso 3: Verifique que la política del firewall use el perfil de inspección

Confirme que la política del firewall que cubre el tráfico saliente del cliente hace referencia al ssl-ssh-profile que modificó en el paso 2.

Web Filter "Allow" no deja pasar el tráfico. Establecer la categoría del recurso externo en Permitir en el perfil de Web Filter no permite el tráfico. Según la documentación de FortiOS 7.6: «Seleccionar la acción Allow para el filtro por categorías de FortiGuard no permite realmente la categoría. Simplemente implica que no se ha aplicado ningún filtro».

Si la valoración base de FortiGuard para un dominio de destino es Phishing o Malware, la Permitir acción sobre la categoría personalizada no la anulará. En su lugar, use la lista de exención de inspección SSL/SSH (paso 2) o una entrada Exempt del filtro URL estático en el perfil de filtro web.

Documentación oficial:

• FortiOS 7.6 - Feeds de amenazas

• FortiOS 7.6 - Feed de amenazas por categoría de FortiGuard

• FortiOS 7.6 - Feed de amenazas de nombres de dominio

• Referencia de CLI de FortiOS 7.6.3 - config system external-resource

Palo Alto

PAN-OS 11.1+

Paso 1: Cree una lista dinámica externa (tipo URL)

Use tipo URL, no tipo Domain. Un tipo Domain Una EDL es solo para sinkholing DNS y no puede usarse en perfiles de filtrado de URL ni en la política de descifrado.

Ruta de la GUI: Objetos > Listas dinámicas externas > Agregar

Configuración:

• Tipo: URL

• Origen: https://prod.phishing.cyber.stoik.io/public/v1/allowlist/domains.txt

• Autenticación de cliente: habilítela y luego introduzca el <allowlist_feed_username> y <allowlist_feed_password>

• Buscar actualizaciones: Cada cinco minutos

Notas:

• La autenticación de cliente solo está disponible cuando la URL de origen es HTTPS.

• Cada URL de origen única cuenta para el límite de 30 fuentes EDL por firewall.

Paso 2: Permitir el tráfico en un perfil de filtrado de URL

Ruta de la GUI: Objetos > Perfiles de seguridad > Filtrado de URL > agregar/editar perfil > Categorías pestaña

Busque la EDL en la lista de categorías y establezca su acción en Permitir. Adjunte este perfil de filtrado de URL a la regla de la política de seguridad que cubre el tráfico relevante.

Paso 3: Añadir una regla de política de descifrado No-Decrypt

Sin este paso, el firewall seguirá descifrando y volviendo a cifrar el tráfico hacia los dominios de destino, lo que puede interferir con la validación del certificado TLS por parte del objetivo de la campaña.

Ruta de la GUI: Políticas > Descifrado > Agregar

Configuración:

• Nombre: p. ej., No-Decrypt-Stoik-Allowlist

• Origen / Destino: Cualquiera

• Pestaña Servicio/Categoría de URL: añada la EDL

• pestaña Opciones > Acción: No descifrar

• (Opcional, pero recomendado) Aplique un perfil sin descifrado que bloquee certificados caducados o no confiables

Mueva la regla a la parte superior de la base de reglas de descifrado, por encima de cualquier regla "Decrypt all HTTPS" o regla de descifrado general. Las reglas de descifrado se evalúan de arriba abajo; la primera coincidencia prevalece.

Confirme los cambios después de guardar.

Cobertura de comodines: *.example.com coincide con todos los subdominios (login.example.com, docs.example.com) pero no coincide con el apex desnudo example.com. Ambas líneas están presentes en el feed. El tipo URL de PAN-OS omite silenciosamente las entradas mal formadas; las entradas de dominio desnudo (sin esquema) se tratan como example.com/ y coinciden con el apex.

Documentación oficial:

• Lista dinámica externa

• Configurar el firewall para acceder a una lista dinámica externa

• Usar una lista dinámica externa en un perfil de filtrado de URL

• Pautas para excepciones de categorías de URL

• Aplicar políticas sobre una lista dinámica externa

• Crear exclusiones de descifrado basadas en políticas

Cato Networks

En la aplicación de administración de Cato:

1. Ve a Recursos > Categorías > Contenedores.

2. Cree un contenedor de tipo FQDN.

3. Selecciona Sincronización de un archivo desde una URL como origen.

4. Seleccione el formato CSV/TXT e introduzca la URL del feed proporcionada por Stoïk (ya incluye su token de acceso).

5. Seleccione un intervalo de sincronización de una hora y luego haga clic en Probar contenedor antes de guardar.

Documentación oficial:

• Integrar listas IoC personalizadas con contenedores