Feed der Domain-Allowlist

Einige Empfänger erhalten die Phishing-Simulations-E-Mails nie, oder die Landingpage wird blockiert, weil ihre Firewall den Traffic zu den Kampagnendomains prüft oder filtert. Stoïk veröffentlicht einen Domain-Allowlist-Feed, den Ihre Firewall automatisch abrufen kann, um diese Domains von der SSL-Inspektion und URL-Filterung auszunehmen.

Dieser Leitfaden behandelt nur FortiGate, Palo Alto, und Cato Networks. Wir haben bisher noch kein entsprechendes Setup für andere Firewall-Anbieter gefunden.

<allowlist_feed_username> und <allowlist_feed_password> sind die von Stoïk für Ihren Feed bereitgestellten Zugangsdaten. Wenden Sie sich an [e-mail] wenn Sie sie nicht haben.

FortiGate

FortiOS 7.4 / 7.6 / 8.0

Schritt 1: Erstellen Sie die externe Ressource

Erstellen Sie im FortiGate-CLI eine vom Typ category externe Ressource, die auf die Feed-URL verweist. Eine vom Typ domain Ressource kann nicht für die Ausnahme von der SSL-Inspektion verwendet werden.

config system external-resource
    edit "stoik-allowlist"
        set status enable
        set type category
        set category 192
        set resource "https://prod.phishing.cyber.stoik.io/public/v1/allowlist/domains.txt"
        set username "<allowlist_feed_username>"
        set password "<allowlist_feed_password>"
        set server-identity-check full
        set refresh-rate 5
    next
end

Hinweise zum Feld:

• set type category ist erforderlich (nicht vom Typ domain), damit die Ressource zur Ausnahmeliste für SSL/SSH-Inspektion hinzugefügt werden kann.

• set category 192 weist der Ressource einen benutzerdefinierten FortiGuard-Kategorie-Slot zu. Die Slots 192-221 sind verfügbar (insgesamt 30 pro Scope/VDOM). Wählen Sie einen freien Slot; die Nummer muss innerhalb des Scopes eindeutig sein.

• set username und set password aktiviert automatisch die HTTP-Basisauthentifizierung.

• set server-identity-check full validiert die vollständige TLS-Zertifikatskette und den Hostnamen. Der Standardwert ist keine; vollständig wird für HTTPS-Feeds empfohlen.

• set refresh-rate 5 fragt alle 5 Minuten ab (Einheit ist Minuten; Bereich 1-43200).

Schritt 2: Von der SSL-Inspektion ausnehmen

Fügen Sie die Kategorie zur Ausnahmeliste des SSL/SSH-Inspektionsprofils hinzu. Dies ist der Mechanismus, der die SSL-Deep-Inspection für passende Domains tatsächlich umgeht. Ohne diesen Schritt wird FortiGate die TLS-Verbindung weiterhin abfangen und neu verschlüsseln.

GUI-Pfad: Sicherheitsprofile > SSL/SSH-Inspektion > Ihr Deep-Inspection-Profil > Von der SSL-Inspektion ausnehmen > Webkategorien > fügen Sie die stoik-allowlist Kategorie hinzu.

Entsprechendes CLI-Beispiel:

config firewall ssl-ssh-profile
    edit "deep-inspection"
        config ssl
            set exempt-categories "stoik-allowlist"
        end
    next
end

Schritt 3: Prüfen Sie, ob die Firewall-Richtlinie das Inspektionsprofil verwendet

Bestätigen Sie, dass die Firewall-Richtlinie, die den ausgehenden Client-Traffic abdeckt, das ssl-ssh-profile referenziert, das Sie in Schritt 2 geändert haben.

Web Filter „Allow“ lässt keinen Traffic durch. Das Setzen der externen Ressourcenkategorie auf Zulassen im Web-Filter-Profil lässt den Traffic nicht zu. Laut der FortiOS-7.6-Dokumentation: „Die Auswahl der Aktion Allow für den FortiGuard Category Based Filter erlaubt die Kategorie nicht wirklich. Sie impliziert lediglich, dass kein Filter angewendet wurde.“

Wenn die grundlegende FortiGuard-Bewertung für eine Landing-Domain Phishing oder Malware, dann wird die Zulassen Aktion auf der benutzerdefinierten Kategorie dies nicht überschreiben. Verwenden Sie stattdessen die Ausnahmeliste für SSL/SSH-Inspektion (Schritt 2) oder einen Eintrag vom Typ Static URL Filter Exempt im Web-Filter-Profil.

Offizielle Dokumentation:

• FortiOS 7.6 - Threat-Feeds

• FortiOS 7.6 - FortiGuard-Kategorie-Threat-Feed

• FortiOS 7.6 - Domainnamen-Threat-Feed

• FortiOS 7.6.3 CLI-Referenz - config system external-resource

Palo Alto

PAN-OS 11.1+

Schritt 1: Erstellen Sie eine External Dynamic List (Typ URL)

Verwenden Sie Typ URL, nicht Typ Domain. Eine Typ Domain EDL dient nur für DNS-Sinkholing und kann nicht in URL-Filterprofilen oder der Entschlüsselungsrichtlinie verwendet werden.

GUI-Pfad: Objekte > Externe dynamische Listen > Hinzufügen

Einstellungen:

• Typ: URL

• Quelle: https://prod.phishing.cyber.stoik.io/public/v1/allowlist/domains.txt

• Client-Authentifizierung: aktivieren Sie sie, dann geben Sie den <allowlist_feed_username> und <allowlist_feed_password>

• Nach Updates suchen: Alle fünf Minuten

Hinweise:

• Die Client-Authentifizierung ist nur verfügbar, wenn die Quell-URL HTTPS ist.

• Jede eindeutige Quell-URL wird auf das Limit von 30 EDL-Quellen pro Firewall angerechnet.

Schritt 2: Traffic in einem URL-Filterprofil erlauben

GUI-Pfad: Objekte > Sicherheitsprofile > URL-Filterung > Profil hinzufügen/bearbeiten > Kategorien Registerkarte

Suchen Sie die EDL in der Kategorienliste und setzen Sie ihre Aktion auf Zulassen. Hängen Sie dieses URL-Filterprofil an die Security-Policy-Regel an, die den betreffenden Traffic abdeckt.

Schritt 3: Eine No-Decrypt-Entschlüsselungsrichtlinie hinzufügen

Ohne diesen Schritt entschlüsselt und verschlüsselt die Firewall den Traffic zu den Landing-Domains weiterhin neu, was die TLS-Zertifikatsvalidierung durch das Ziel der Kampagne beeinträchtigen kann.

GUI-Pfad: Richtlinien > Entschlüsselung > Hinzufügen

Einstellungen:

• Name: z. B., No-Decrypt-Stoik-Allowlist

• Quelle / Ziel: Beliebig

• Registerkarte Dienst/URL-Kategorie: die EDL hinzufügen

• Registerkarte Optionen > Aktion: Nicht entschlüsseln

• (Optional, aber empfohlen) Wenden Sie ein No-Decrypt-Profil an, das abgelaufene oder nicht vertrauenswürdige Zertifikate blockiert

Verschieben Sie die Regel an den Anfang der Entschlüsselungs-Regelbasis, oberhalb aller „Decrypt all HTTPS“- oder Catch-all-Entschlüsselungsregeln. Entschlüsselungsregeln werden von oben nach unten ausgewertet; der erste Treffer gewinnt.

Committen Sie nach dem Speichern.

Abdeckung von Wildcards: *.example.com passt auf alle Subdomains (login.example.com, docs.example.com) aber nicht auf die nackte Apex-Domain example.com. Beide Zeilen sind im Feed vorhanden. Der PAN-OS-URL-Typ überspringt fehlerhafte Einträge stillschweigend; Domain-Einträge ohne Schema werden als example.com/ und stimmen mit der Apex-Domain überein.

Offizielle Dokumentation:

• External Dynamic List

• Firewall für den Zugriff auf eine External Dynamic List konfigurieren

• Eine External Dynamic List in einem URL-Filterprofil verwenden

• Richtlinien für URL-Kategorie-Ausnahmen

• Richtlinie für eine External Dynamic List durchsetzen

• Richtlinienbasierte Entschlüsselungsausschlüsse erstellen

Cato Networks

In der Cato Management Application:

1. Gehen Sie zu Ressourcen > Kategorien > Container.

2. Erstellen Sie einen Container vom Typ FQDN.

3. Wählen Sie Synchronisieren einer Datei von einer URL als Quelle.

4. Wählen Sie das CSV/TXT-Format und geben Sie die von Stoïk bereitgestellte Feed-URL ein (Ihr Zugriffstoken ist bereits enthalten).

5. Wählen Sie ein stündliches Synchronisierungsintervall und klicken Sie dann auf Container testen vor dem Speichern.

Offizielle Dokumentation:

• Integration benutzerdefinierter IoC-Listen mit Containern