Обработка HTTP-трафика с неподдерживаемыми алгоритмами сжатия

Kaspersky NGFW анализирует директивы алгоритмов сжатия HTTP-трафика для версий протокола HTTP/1.1 и HTTP/2.

Обработка HTTP-заголовков с директивами алгоритмов сжатия

Kaspersky NGFW анализирует следующие HTTP-заголовки:

• Accept-Encoding – используется в запросах клиента к серверу для указания алгоритмов сжатия, поддерживаемых клиентом. Этот заголовок используется для согласования алгоритма сжатия HTTP-данных, поэтому Kaspersky NGFW анализирует его и может удалять из него директивы неподдерживаемых алгоритмов сжатия.
• Content-Encoding – используется в HTTP POST-запросах клиента к серверу и HTTP-ответах сервера клиенту для указания алгоритма сжатия передаваемых данных. Этот заголовок не используется для согласования алгоритма сжатия, поэтому Kaspersky NGFW анализирует его, но не изменяет указанные в нем директивы.

Kaspersky NGFW обрабатывает директивы алгоритмов сжатия в HTTP-заголовке Accept-Encoding, если HTTP-трафик соответствует одному из следующих условий:

• трафик подпадает под правило расшифровки;
• трафик подпадает под правило фильтрации с настроенным профилем Антивируса или Веб-Контроля;
• трафик подпадает под правило с неклассифицированной сессией.

Если HTTP-трафик подпадает под правило фильтрации с настроенным профилем Антивируса или Веб-Контроля, обработка HTTP-заголовка Accept-Encoding не зависит от того, включена ли проверка протокола HTTP в профиле Антивируса для Потокового антивируса или Объектного антивируса.

Поддерживаемые директивы алгоритмов сжатия

Kaspersky NGFW поддерживает следующие директивы алгоритмов сжатия:

• deflate;
• br;
• zstd;
• gzip;
• x-gzip;
• x-deflate;
• identity.

Если Kaspersky NGFW получает пустой HTTP-заголовок Accept-Encoding, заголовок удаляется и не передается дальше.

Управление удалением неподдерживаемых директив

По умолчанию Kaspersky NGFW удаляет из HTTP-заголовка Accept-Encoding директивы неподдерживаемых алгоритмов сжатия. Если заголовок содержит несколько директив, удаляются только неподдерживаемые директивы. Если в заголовке указана только одна неподдерживаемая директива, Kaspersky NGFW удаляет заголовок и не передает его дальше.

Вы можете выключить удаление директив неподдерживаемых алгоритмов сжатия из HTTP-заголовка Accept-Encoding. В этом случае Kaspersky NGFW не удаляет неподдерживаемые директивы из HTTP-заголовка Accept-Encoding. Если сервер выберет неподдерживаемый алгоритм сжатия, Kaspersky NGFW передаст HTTP-трафик без декодирования и без проверки механизмом безопасности Антивирус.

Параметр удаления директив неподдерживаемых алгоритмов сжатия применяется ко всему Kaspersky NGFW и не настраивается отдельно для VSS и профилей Антивируса. Для применения параметра требуется перезагрузка Kaspersky NGFW.

Вы можете включить или выключить удаление директив неподдерживаемых алгоритмов сжатия из HTTP-заголовка Accept-Encoding с помощью команды:

system unsupported-encoding-remove {enable|disable}

Чтобы просмотреть текущее значение параметра, используйте команду:

show system unsupported-encoding-remove

Описание семейств команд для настройки работы Kaspersky NGFW вы можете найти в документе Управление Kaspersky NGFW с помощью командной строки.

Примеры обработки HTTP-трафика

Пример 1. Удаление неподдерживаемой директивы из HTTP-заголовка Accept-Encoding bold

Условие: Удаление неподдерживаемых директив включено.

1. Клиент отправляет запрос с HTTP-заголовком Accept-Encoding, в котором указаны поддерживаемая директива gzip и неподдерживаемая директива compress:

   GET Accept-Encoding: gzip, compress

2. Kaspersky NGFW удаляет неподдерживаемую директиву и передает запрос серверу:

   GET Accept-Encoding: gzip

3. Сервер отправляет HTTP-ответ с поддерживаемым алгоритмом сжатия:

   OK Content-Encoding: gzip

4. Kaspersky NGFW декодирует HTTP-трафик, проверяет его в соответствии с конфигурацией и передает клиенту.

Пример 2. Получение HTTP-трафика с неподдерживаемым алгоритмом сжатия при включенном удалении неподдерживаемых директив

Условие: Удаление неподдерживаемых директив включено.

1. Клиент отправляет запрос с HTTP-заголовком Accept-Encoding, в котором указаны поддерживаемая директива gzip и неподдерживаемая директива compress.

   GET Accept-Encoding: gzip, compress

2. Kaspersky NGFW удаляет неподдерживаемую директиву и передает запрос серверу:

   GET Accept-Encoding: gzip

3. Если сервер отправит HTTP-ответ с неподдерживаемым алгоритмом сжатия, Kaspersky NGFW не изменит HTTP-заголовок Content-Encoding, не декодирует HTTP-трафик и не передаст его на проверку механизму безопасности Антивирус:

   OK Content-Encoding: compress

Пример 3. Передача HTTP POST-запроса с неподдерживаемым алгоритмом сжатия

1. Клиент отправляет HTTP POST-запрос с HTTP-заголовком Content-Encoding, в котором указана неподдерживаемая директива compress:.

   POST Content-Encoding: compress

2. Kaspersky NGFW не изменяет HTTP-заголовок Content-Encoding, не декодирует HTTP-трафик и не передает его на проверку механизму безопасности Антивирус.

   Если сервер отправит HTTP-ответ с HTTP-заголовком Content-Encoding: compress, Kaspersky NGFW также не изменит этот заголовок, не декодирует HTTP-трафик и не передаст его на проверку механизму безопасности Антивирус.

Пример 4. Выключение удаления неподдерживаемых директив и выбор сервером неподдерживаемого алгоритма сжатия

Условие: Удаление неподдерживаемых директив выключено.

1. Клиент отправляет запрос с HTTP-заголовком Accept-Encoding, в котором указаны поддерживаемая директива gzip и неподдерживаемая директива compress:

   GET Accept-Encoding: gzip, compress

2. Kaspersky NGFW передает запрос серверу без изменения HTTP-заголовка Accept-Encoding:

   GET Accept-Encoding: gzip, compress

3. Если сервер выбирает неподдерживаемый алгоритм сжатия и отправляет HTTP-ответ с заголовком Content-Encoding: compress, Kaspersky NGFW не декодирует HTTP-трафик и не передает его на проверку механизму безопасности Антивирус.

Пример 5. Отключение удаления неподдерживаемых директив и выбор сервером поддерживаемого алгоритма сжатия

Условие: Удаление неподдерживаемых директив отключено.

1. Клиент отправляет запрос с HTTP-заголовком Accept-Encoding, в котором указаны поддерживаемая директива gzip и неподдерживаемая директива compress:

   GET Accept-Encoding: gzip, compress

2. Kaspersky NGFW передает запрос серверу без изменения HTTP-заголовка Accept-Encoding:

   GET Accept-Encoding: gzip, compress

3. Если сервер выбирает поддерживаемый алгоритм сжатия и отправляет HTTP-ответ с заголовком Content-Encoding: gzip, Kaspersky NGFW декодирует HTTP-трафик и проверяет его в соответствии с конфигурацией.