Использование Сенсора для защиты шифрованного трафика
Решение предполагает подачу на Сенсор KDP копии трафика по SPAN и логов web-сервера в режиме реального времени.
Механизм защиты HTTPS-трафика без передачи секретного ключа
Использование Сенсора Kaspersky DDoS Protection позволяет очищать шифрованный трафик Клиента на уровне нешифрованного, то есть с максимально возможным качеством, без передачи SSL-сертификата за пределы инфраструктуры Клиента. Чтобы получать всю необходимую информацию о шифрованном трафике, веб-серверы Клиента в режиме реального времени передают на Сенсор журнал запросов в формате UDP Syslog.
Строка записи журнала обязательно должна содержать следующие поля:
- server_addr:server_port - IP-адрес и порт сервера, принимающего запрос (IP-адрес Защищаемого ресурса);
- remote_addr:remote_port - IP-адрес и порт клиента, устанавливающего соединение с Защищаемым ресурсом;
- remote_port - порт клиента;
- time_local - время запроса;
- scheme - протокол прикладного уровня (HTTP или HTTPS);
- request - запрос;
- status - код ответа сервера;
- http_host - значение заголовка Host в HTTP-запросе;
- http_referer - значение заголовка Referer в HTTP-запросе;
- http_user_agent - значение заголовка User-Agent в HTTP-запросе;
- http_accept - значение заголовка Accept в HTTP-запросе.
Крайне желательно, чтобы строка записи журнала содержала следующие поля:
- ssl_session_id - идентификатор SSL-сессии;
- ssl_session_reused - 1, если SSL-сессия используется повторно;
Поля должны быть разделены двумя символами решетки “##”. Строка должна начинаться с двойного разделителя “####” и (желательно) заканчиваться разделителем ##.
Пример корректного лога:
####10.1.10.113:443##111.11.111.11:3000##02/Jun/2022:16:36:29 +0300##https##GET /api/v1/news?_sort=beginShowDate-&_sort=dateTime- HTTP/1.1##304##online.site.ru##http://localhost/##Mozilla/5.0 (Linux; Android 12; RMX3363 Build/RKQ1.210503.001; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/101.0.4951.61 Mobile Safari/537.36##
Дополнительно по запросу Клиента предоставляется документ с примерами настройки для различных веб-серверов.
Применение данного механизма не требует передачи сертификата или расшифрованной копии шифрованного трафика на Сенсор Kaspersky DDoS Protection. Таким образом, обеспечивается полное соответствие требованиям различных регуляторов.
В начало