Feed voor toegestane domeinen

Sommige ontvangers ontvangen de phishing-simulatie-e-mails nooit, of de landingspagina wordt geblokkeerd, omdat hun firewall het verkeer naar de campagnedomeinen inspecteert of filtert. Stoïk publiceert een feed met een domein-allowlist die uw firewall automatisch kan ophalen om deze domeinen vrij te stellen van SSL-inspectie en URL-filtering.

Deze handleiding behandelt alleen FortiGate, Palo Alto, en Cato Networks. We hebben voor andere firewallleveranciers nog geen gelijkwaardige configuratie gevonden.

<allowlist_feed_username> en <allowlist_feed_password> zijn de door Stoïk verstrekte inloggegevens voor uw feed. Neem contact op met [e-mail] als u die niet hebt.

FortiGate

FortiOS 7.4 / 7.6 / 8.0

Stap 1: Maak de externe resource aan

Maak in de FortiGate CLI een van het type categorie externe resource die naar de feed-URL verwijst. Een resource van het type domein kan niet worden gebruikt voor vrijstelling van SSL-inspectie.

config system external-resource
    edit "stoik-allowlist"
        set status enable
        set type category
        set category 192
        set resource "https://prod.phishing.cyber.stoik.io/public/v1/allowlist/domains.txt"
        set username "<allowlist_feed_username>"
        set password "<allowlist_feed_password>"
        set server-identity-check full
        set refresh-rate 5
    next
end

Opmerkingen:

• set type category is vereist (niet resource van het type domein) zodat de resource kan worden toegevoegd aan de vrijstellingslijst voor SSL/SSH-inspectie.

• set category 192 wijst de resource toe aan een aangepast FortiGuard-categorieslot. Slots 192-221 zijn beschikbaar (in totaal 30 per scope/VDOM). Kies een vrij slot; het nummer moet uniek zijn binnen de scope.

• set username en set password activeert HTTP Basic-authenticatie automatisch.

• set server-identity-check full controleert de volledige TLS-certificaatketen en hostnaam. De standaard is geen; volledig wordt aanbevolen voor HTTPS-feeds.

• set refresh-rate 5 bevraagt elke 5 minuten (eenheden zijn minuten; bereik 1-43200).

Stap 2: Vrijstellen van SSL-inspectie

Voeg de categorie toe aan de vrijstellingslijst van het SSL/SSH-inspectieprofiel. Dit is het mechanisme dat SSL-deep inspection daadwerkelijk omzeilt voor overeenkomende domeinen. Zonder deze stap zal FortiGate de TLS-verbinding nog steeds via MITM onderscheppen.

GUI-pad: Security Profiles > SSL/SSH Inspection > uw deep-inspectionprofiel > Vrijstellen van SSL-inspectie > Webcategorieën > voeg de stoik-allowlist categorie toe.

CLI-equivalent:

config firewall ssl-ssh-profile
    edit "deep-inspection"
        config ssl
            set exempt-categories "stoik-allowlist"
        end
    next
end

Stap 3: Controleer of het firewallbeleid het inspectieprofiel gebruikt

Controleer of het firewallbeleid dat het uitgaande verkeer van clients dekt, verwijst naar het ssl-ssh-profile dat u in stap 2 hebt gewijzigd.

Web Filter "Allow" laat verkeer niet door. Door de categorie van de externe resource in te stellen op Sta toe in het Web Filter-profiel laat het verkeer niet toe. Volgens de FortiOS 7.6-documentatie: "Als u de actie Allow selecteert voor de FortiGuard Category Based Filter, staat dat de categorie niet daadwerkelijk toe. Het betekent slechts dat er geen filter is toegepast."

Als de basisbeoordeling van FortiGuard voor een landingsdomein Phishing of Malware, dan zal de Sta toe actie op de aangepaste categorie dit niet overschrijven. Gebruik in plaats daarvan de vrijstellingslijst voor SSL/SSH-inspectie (stap 2) of een Static URL Filter Exempt-vermelding in het webfilterprofiel.

Officiële documentatie:

• FortiOS 7.6 - Dreigingsfeeds

• FortiOS 7.6 - FortiGuard-categoriedreigingsfeed

• FortiOS 7.6 - Dreigingsfeed voor domeinnamen

• FortiOS 7.6.3 CLI-verwijzing - config system external-resource

Palo Alto

PAN-OS 11.1+

Stap 1: Maak een External Dynamic List aan (type URL)

Gebruik type URL, niet type Domain. Een type Domain EDL is alleen bedoeld voor DNS-sinkholing en kan niet worden gebruikt in URL Filtering-profielen of het ontsleutelingsbeleid.

GUI-pad: Objecten > Externe dynamische lijsten > Toevoegen

Instellingen:

• Type: URL

• Bron: https://prod.phishing.cyber.stoik.io/public/v1/allowlist/domains.txt

• Client Authentication: inschakelen en voer vervolgens de <allowlist_feed_username> en <allowlist_feed_password>

• Controleren op updates: Elke vijf minuten

Opmerkingen:

• Client Authentication is alleen beschikbaar wanneer de bron-URL HTTPS is.

• Elke unieke bron-URL telt mee voor de limiet van 30 EDL-bronnen per firewall.

Stap 2: Sta verkeer toe in een URL Filtering-profiel

GUI-pad: Objecten > Security Profiles > URL-filtering > profiel toevoegen/bewerken > Categorieën tabblad

Zoek de EDL in de categorielijst en stel de actie in op Sta toe. Koppel dit URL Filtering-profiel aan de Security policy-regel die het relevante verkeer dekt.

Stap 3: Voeg een Decryption policy-regel No-Decrypt toe

Zonder deze stap zal de firewall het verkeer naar de landingsdomeinen nog steeds ontsleutelen en opnieuw versleutelen, wat de TLS-certificaatvalidatie door het beoogde doel van de campagne kan verstoren.

GUI-pad: Beleid > Ontsleuteling > Toevoegen

Instellingen:

• Naam: bijv., No-Decrypt-Stoik-Allowlist

• Bron / bestemming: Alle

• Tabblad Service/URL-categorie: voeg de EDL toe

• Opties-tabblad > Actie: Niet ontsleutelen

• (Optioneel maar aanbevolen) Pas een profiel zonder ontsleuteling toe dat verlopen of niet-vertrouwde certificaten blokkeert

Verplaats de regel naar de bovenaan van de ontsleutelingsregelset, boven eventuele regels voor "Decrypt all HTTPS" of algemene decryptieregels. Ontsleutelingsregels worden van boven naar beneden geëvalueerd; de eerste match wint.

Voer een commit uit na het opslaan.

Wildcarddekking: *.example.com komt overeen met alle subdomeinen (login.example.com, docs.example.com) maar komt niet overeen met de kale apex example.com. Beide regels staan in de feed. PAN-OS URL type slaat ongeldige vermeldingen stilzwijgend over; vermeldingen van kale domeinen (zonder schema) worden behandeld als example.com/ en komen overeen met de apex.

Officiële documentatie:

• Externe dynamische lijst

• Configureer de firewall om toegang te krijgen tot een externe dynamische lijst

• Gebruik een externe dynamische lijst in een URL-filteringprofiel

• Richtlijnen voor URL-categorie-uitzonderingen

• Beleid afdwingen op een externe dynamische lijst

• Op beleid gebaseerde decryptie-uitzonderingen maken

Cato Networks

In de Cato Management Application:

1. Ga naar Resources > Categorieën > Containers.

2. Maak een container aan van het type FQDN.

3. Selecteer Een bestand synchroniseren vanaf een URL als bron.

4. Selecteer het CSV/TXT-formaat en voer de feed-URL in die door Stoïk is verstrekt (deze bevat al uw toegangstoken).

5. Selecteer een synchronisatie-interval van een uur en klik vervolgens op Container testen voordat u opslaat.

Officiële documentatie:

• Custom IoC-lijsten integreren met containers