Инспектирование TLS

Kaspersky NGFW может проверять как незашифрованный, так и зашифрованный трафик. Незашифрованный трафик проверяется с помощью стандартных правил обработки трафика. Зашифрованный трафик по умолчанию не проверяется. Чтобы обрабатывать зашифрованный трафик, требуется настроить расшифровку TLS/SSL-соединений. Если расшифровка не включена, Веб-Контроль, Антивирус и IDPS не смогут проверять сетевой трафик, передаваемый по защищенным соединениям. При этом Веб-Контроль и Контроль приложений смогут выполнять проверку URL и прикладных сервисов на основе домена, указанного в открытом виде в поле SNI (Server Name Indication, англ. указание имени сервера) в TLS-пакетах Client Hello.

Проверка зашифрованного трафика производится с помощью механизма MITM (man-in-the-middle), то есть с помощью подмены сертификата. Для этого Kaspersky NGFW использует загруженный доверенный сертификат, с помощью которого проверяет сертификат сервера и расшифровывает сетевой трафик до его передачи клиенту. После этого Kaspersky NGFW зашифровывает трафик с помощью своего сертификата и передает клиенту. Клиент должен доверять сертификату Kaspersky NGFW, для этого сертификат нужно добавить в доверенные на компьютерах пользователей.

При установлении TLS-соединения с клиентом выписывается новый сертификат, который подписывается загруженным доверенным или недоверенным сертификатом. Если сертификат сервера недействителен или не прошел проверку доверенности, вы также можете разрешить трафик от этого сервера. Для этого вам нужно загрузить недоверенный сертификат, которым будет подписываться сертификат для передачи клиенту.

Не весь трафик можно расшифровать. Для некоторых сайтов проверка защищенных соединений не проводится даже после установки доверенных сертификатов. В основном это сайты, относящиеся к медицинской информации, финансовой сфере, а также домены "Лаборатории Касперского". Список таких сайтов составляется экспертами "Лаборатории Касперского".

Расшифровка сетевого трафика сильно снижает скорость работы Kaspersky NGFW при анализе.

Расшифровываются только TCP-соединения. Если соединение установлено не по протоколу TCP, правила расшифровки не применяются и соединение не расшифровывается. Признак расшифровки у сессии будет отсутствовать. В менеджере сессий и в событии безопасности сетевого экрана название правила расшифровки будет пустым.

Поддерживается расшифровка следующих версий протоколов SSL и TLS:

• SSl 3.0
• TLS 1.0
• TLS 1.1
• TLS 1.2
• TLS 1.3

Чтобы к зашифрованным соединениям применялось инспектирование TLS, должны быть выполнены следующие условия:

1. Создан профиль TLS.
2. В профиль TLS загружен доверенный сертификат с закрытым ключом и, при необходимости пропуска трафика с недоверенными сертификатами, недоверенный сертификат с закрытым ключом.
3. Включена проверка зашифрованных соединений.
4. В политику добавлен профиль TLS.
5. Созданы и настроены правила расшифровки, и трафик попадает под какое-либо правило.
6. Сертификат добавлен на компьютеры пользователей.