Flux de liste d’autorisation de domaine

Certains destinataires ne reçoivent jamais les e-mails de simulation de phishing, ou la page de destination est bloquée, parce que leur pare-feu inspecte ou filtre le trafic vers les domaines de la campagne. Stoïk publie un flux de liste d'autorisation de domaines que votre pare-feu peut interroger automatiquement pour exempter ces domaines de l'inspection SSL et du filtrage d'URL.

Ce guide ne couvre que FortiGate, Palo Alto, et Cato Networks. Nous n'avons pas encore trouvé de configuration équivalente pour d'autres fournisseurs de pare-feu.

<allowlist_feed_username> et <allowlist_feed_password> sont les identifiants fournis par Stoïk pour votre flux. Contactez [e-mail] si vous ne les avez pas.

FortiGate

FortiOS 7.4 / 7.6 / 8.0

Étape 1 : Créez la ressource externe

Dans l'interface CLI de FortiGate, créez une de type catégorie ressource externe pointant vers l'URL du flux. Une de type domaine ressource ne peut pas être utilisée pour l'exemption de l'inspection SSL.

config system external-resource
    edit "stoik-allowlist"
        set status enable
        set type category
        set category 192
        set resource "https://prod.phishing.cyber.stoik.io/public/v1/allowlist/domains.txt"
        set username "<allowlist_feed_username>"
        set password "<allowlist_feed_password>"
        set server-identity-check full
        set refresh-rate 5
    next
end

Notes de champ :

• set type category est requis (et non de type domaine) afin que la ressource puisse être ajoutée à la liste d'exemption de l'inspection SSL/SSH.

• set category 192 attribue la ressource à un emplacement de catégorie FortiGuard personnalisé. Les emplacements 192 à 221 sont disponibles (30 au total par périmètre/VDOM). Choisissez un emplacement libre ; le numéro doit être unique dans le périmètre.

• set username et set password active automatiquement l'authentification HTTP Basic.

• set server-identity-check full valide l'intégralité de la chaîne de certificats TLS et le nom d'hôte. La valeur par défaut est aucun; complet est recommandé pour les flux HTTPS.

• set refresh-rate 5 interroge toutes les 5 minutes (l'unité est la minute ; plage 1-43200).

Étape 2 : Exempter de l'inspection SSL

Ajoutez la catégorie à la liste d'exemption du profil d'inspection SSL/SSH. C'est le mécanisme qui contourne réellement l'inspection SSL approfondie pour les domaines correspondants. Sans cette étape, FortiGate interceptera encore la connexion TLS en homme du milieu (MITM).

Chemin dans l'interface graphique : Profils de sécurité > Inspection SSL/SSH > votre profil d'inspection approfondie > Exempté de l'inspection SSL > Catégories Web > ajoutez la stoik-allowlist catégorie.

Équivalent en CLI :

config firewall ssl-ssh-profile
    edit "deep-inspection"
        config ssl
            set exempt-categories "stoik-allowlist"
        end
    next
end

Étape 3 : Vérifiez que la règle de pare-feu utilise le profil d'inspection

Vérifiez que la politique de pare-feu couvrant le trafic sortant des clients référence le ssl-ssh-profile que vous avez modifié à l'étape 2.

Le « Allow » du filtre Web ne laisse pas passer le trafic. Définir la catégorie de la ressource externe sur Autoriser dans le profil Filtre Web n'autorise pas le trafic. Selon la documentation FortiOS 7.6 : « Sélectionner l'action Allow pour le filtre basé sur les catégories FortiGuard n'autorise pas réellement la catégorie. Cela implique simplement qu'aucun filtre n'a été appliqué. »

Si la note FortiGuard de base pour un domaine de destination est Hameçonnage ou Logiciel malveillant, la Autoriser action de la catégorie personnalisée ne la remplacera pas. Utilisez plutôt la liste d'exemption de l'inspection SSL/SSH (étape 2) ou une entrée Exempt du filtre d'URL statique dans le profil de filtre Web.

Documentation officielle :

• FortiOS 7.6 - Flux de menaces

• FortiOS 7.6 - Flux de menaces de catégories FortiGuard

• FortiOS 7.6 - Flux de menaces de noms de domaine

• Référence CLI FortiOS 7.6.3 - config system external-resource

Palo Alto

PAN-OS 11.1+

Étape 1 : Créez une External Dynamic List (type URL)

Utilisez de type URL, pas de type domaine. Un de type domaine Une EDL est destinée uniquement au sinkholing DNS et ne peut pas être utilisée dans les profils de filtrage d'URL ni dans la politique de déchiffrement.

Chemin dans l'interface graphique : Objets > Listes dynamiques externes > Ajouter

Paramètres :

• Type : URL

• Source : https://prod.phishing.cyber.stoik.io/public/v1/allowlist/domains.txt

• Authentification du client : activez-la, puis saisissez le <allowlist_feed_username> et <allowlist_feed_password>

• Vérifier les mises à jour : Toutes les cinq minutes

Notes :

• L'authentification du client n'est disponible que lorsque l'URL source est en HTTPS.

• Chaque URL source unique compte dans la limite de 30 EDL sources par pare-feu.

Étape 2 : Autoriser le trafic dans un profil de filtrage d'URL

Chemin dans l'interface graphique : Objets > Profils de sécurité > Filtrage d'URL > ajouter/modifier le profil > Catégories onglet

Recherchez l'EDL dans la liste des catégories et définissez son action sur Autoriser. Associez ce profil de filtrage d'URL à la règle de politique de sécurité couvrant le trafic concerné.

Étape 3 : Ajoutez une règle de politique de déchiffrement No-Decrypt

Sans cette étape, le pare-feu déchiffrera et rechiffrera toujours le trafic vers les domaines de destination, ce qui peut interférer avec la validation du certificat TLS par la cible de la campagne.

Chemin dans l'interface graphique : Politiques > Déchiffrement > Ajouter

Paramètres :

• Nom : p. ex., No-Decrypt-Stoik-Allowlist

• Source / Destination : N'importe lequel

• Onglet Service/Catégorie d'URL : ajoutez l'EDL

• onglet Options > Action : Ne pas déchiffrer

• (Facultatif mais recommandé) Appliquez un profil de non-déchiffrement qui bloque les certificats expirés ou non fiables

Déplacez la règle en haut tout en haut de la base de règles de déchiffrement, au-dessus de toute règle « Decrypt all HTTPS » ou règle de déchiffrement globale. Les règles de déchiffrement sont évaluées de haut en bas ; la première correspondance l'emporte.

Validez après avoir enregistré.

Couverture des jokers : *.example.com correspond à tous les sous-domaines (login.example.com, docs.example.com) mais ne correspond pas à l'apex nu example.com. Les deux lignes sont présentes dans le flux. Le type URL de PAN-OS ignore silencieusement les entrées mal formées ; les entrées de domaine nu (sans schéma) sont traitées comme example.com/ et correspondent à l'apex.

Documentation officielle :

• Liste dynamique externe

• Configurer le pare-feu pour accéder à une liste dynamique externe

• Utiliser une liste dynamique externe dans un profil de filtrage d'URL

• Directives pour les exceptions de catégorie d'URL

• Appliquer une politique sur une liste dynamique externe

• Créer des exclusions de déchiffrement basées sur des politiques

Cato Networks

Dans l'application de gestion Cato :

1. Accédez à Ressources > Catégories > Conteneurs.

2. Créez un conteneur de type FQDN.

3. Sélectionnez Synchronisation d'un fichier depuis une URL comme source.

4. Sélectionnez le format CSV/TXT et saisissez l'URL du flux fournie par Stoïk (elle inclut déjà votre jeton d'accès).

5. Sélectionnez un intervalle de synchronisation horaire, puis cliquez sur Tester le conteneur avant d'enregistrer.

Documentation officielle :

• Intégration de listes IoC personnalisées avec des conteneurs