Я параноик, или корпоративные брандмауэры цензурируют целые страны?

Question

Недавно, в последний год или около того, я заметил, что все более и более трудным становится доступ к определенным типам сайтов, особенно в таких непривилегированных странах, как Иран или Россия.

Например, только что я пытался зайти на сайт Министерства обороны России (http://eng.mil.ru/en/index.htm), сайт, на котором у меня есть законные деловые причины для посещения, и истекло время. Я попробовал тот же сайт через европейский прокси, и у меня не было проблем с подключением. Затем я попробовал tracert, и это было результатом:

Моя интерпретация этого заключается в том, что IP блокируется брандмауэром компании. Я спросил наш ИТ-отдел, какова политика блокировки IP для сети, и мне сказали, что политика определяется не нашей компанией, а поставщиком услуг брандмауэра и что она является "секретной и проприетарной" для поставщика и что они (то есть ИТ) не контролировал эту политику.

Какая история здесь? Являются ли поставщики брандмауэров всего лишь блокированием целых стран?

Просто для смеха я решил попробовать разные страны, чтобы увидеть, что произойдет:

Finland       ok
Poland        ok
Russia        blocked
Ukraine       blocked
Estonia       blocked
Turkey        blocked
Saudi Arabia  blocked
Afghanistan   ok
Iraq          blocked
Georgia       ok
Armenia       blocked
Uzbekistan    ok

Хорошо, я могу посещать сайты в Узбекистане и Грузии, но не в Армении или на Украине? Кто составляет эту логику?

Answer 1

Я видел множество поставщиков, выполняющих фильтрацию контента в зависимости от страны происхождения. В Китае и России обычно по умолчанию включена фильтрация или, по крайней мере, настроены какие-то оповещения. Это потому, что они часто являются источниками вредоносных атак. Я не покупаю линию, что ваш ИТ-отдел не контролирует ее. Любой достойный поставщик позволит вам изменить настройки по умолчанию для своих продуктов.

Answer 2

Вполне возможно использовать IP-местоположение для блокировки диапазонов IP-адресов, связанных с определенными странами. Существует много споров о том, насколько это эффективно, и я, конечно, не рекомендую вслепую включать его кому-либо, но дело за самим бизнесом, чтобы определить, имеет ли он законный бизнес с компаниями, происходящими из определенной области и, следовательно, риски блокирования диапазонов адресов, связанных с этой областью, и риски не блокирования этих адресов.

Хотя геоблокировка не остановит определенных злоумышленников, она увеличивает сложность атаки на вашу сеть из этого места (и имейте в виду, что это может означать, что участники ботнета находятся в этом месте), и это также может уменьшить количество "фонового шума" от случайные злоумышленники и сценаристы, позволяющие увидеть более решительные атаки.

Этот пример взят из статьи базы знаний Sonicwall о том, как настроить фильтры такого типа.

В любом случае, если у вас есть бизнес-необходимость подключиться к бизнесу в заблокированной стране, я не предлагаю пытаться проникнуть через брандмауэр, как предлагалось в других ответах, а скорее сделать это проблемой управления: поговорите с вашим менеджером попросите их поговорить с руководителем ИТ-отдела и дать понять, что для такого доступа существует бизнес-требование. Маловероятно, что нет никакого способа сконфигурировать эти типы блоков, и если нет вероятности того, что произошел какой-то инцидент безопасности, и ваши попытки обойти блоки, которые являются частью корпоративной ИТ-политики, обнаружены, вы очень скорее всего, останется виновным в нарушении безопасности.

Answer 3

Скорее всего, это делается не на уровне IDS/IPS, а на уровне брандмауэра (с помощью блокировки списка IP-адресов, в некотором роде менее эффективным) или на уровне маршрутизации с помощью метода, известного как выборочное черное удержание (Сильно эффективен и блокирует маршрут от даже заходя на роутер вообще).

Смысл этого неясен - возможно, потому что страны, которые вы перечислили, часто являются источниками атак, хотя на самом деле не больше, чем США, и решительные злоумышленники просто пойдут дальше и в любом случае обойдутся ... Может быть, если вы работаете в достаточно большой организации, которая - они параноики - каким-то образом сами об угрозах со стороны IP, исходящих оттуда. В любом случае, это своего рода временная мера безопасности для многих целей и целей, и вам нечего в себе знать. Туннель или прокси!