在网络边缘拦截恶意软件和钓鱼攻击

您好，欢迎观看本次 Purple 技术简报。我是您的主持人，今天我们将深入探讨场馆运营商的一项关键架构决策：在网络边缘拦截恶意软件和钓鱼网站。我们的交流对象是负责管理酒店、零售连锁店、体育场馆和公共场所网络的 IT 经理、网络架构师、CTO 以及运营总监。如果您负责管理宾客 WiFi 或大型公共网络，您一定深知无法管理这些设备所带来的头疼问题。您无法在宾客的智能手机上安装端点代理，更无法控制他们点击哪些链接。 那么，解决方案是什么？网络边缘保护。通过将安全执行点移至网关，您可以在威胁到达设备之前将其拦截。让我们从 DNS 过滤开始，剖析一下技术架构。 当设备连接到您的网络并尝试访问恶意域名（例如隐藏在短信中的钓鱼链接）时，DNS 查询会首先到达您的边缘网关。边缘网关不会解析该 IP 地址并放行流量，而是会根据实时威胁情报源检查该域名。如果该域名被标记为恶意域名，DNS 请求就会被汇沉（sinkhole）拦截。在下载任何恶意软件之前，连接就已经被切断。这是主动防御，而非被动响应。 让我们来看一个实际的应用场景。假设一家大型零售连锁店提供免费的宾客 WiFi。在节假日期间，客流量激增，每天有数千台未管理的设备进行连接。此时，针对该地区的一场模仿热门快递服务的定向钓鱼活动爆发了。如果没有边缘保护，宾客点击了链接，其设备在您的网络上被攻破，突然间您的 IP 信誉就会一落千丈，甚至更糟，攻击者会尝试针对您的 POS VLAN 进行横向移动。 有了网络边缘保护，在宾客点击恶意链接的那一刻，DNS 查询就会被拦截。边缘网关会发现该域名是三小时前注册的，并已被威胁情报标记。该连接会被阻止，宾客会看到一个安全的拦截页面，而您的网络依然安全无虞。无需任何端点代理。 这种架构还简化了合规性工作。无论您在零售业中需要应对 PCI-DSS，在欧洲需要应对 GDPR，还是在英国公共 WiFi 网络中需要应对 IWF 合规，边缘过滤都能提供审计所需的集中式日志记录和执行功能。您将拥有完整的 DNS 查询和已拦截威胁的审计跟踪记录。 现在，我们来讨论一下部署。最常见的误区是过度拦截，这会产生服务台工单并让宾客感到沮丧。关键在于细粒度的策略执行。如果您的营销团队经常快速搭建临时的活动网站，您肯定不希望对所有新注册的域名进行一刀切的拦截。 您需要采用分层方法。第 1 层是上游威胁情报 - 阻断已知的恶意攻击者、僵尸网络命令与控制服务器以及恶意软件分发点。第 2 层是基于类别的内容过滤，确保符合当地法规。第 3 层是访问控制，根据用户角色应用不同的策略。访客获得限制性策略，而企业 SSID 上的场馆员工则获得不同的策略。 加密 DNS 如何处理？如果不正确处理，诸如 DNS over HTTPS (DoH) 和 DNS over TLS (DoT) 等协议可以绕过传统的边缘过滤。您的边缘架构必须考虑到这一点，方法是阻断已知的公共 DoH 解析器以强制回退到您的安全 DNS，或者对托管设备实施 SSL 检查，尽管后者对访客网络不可行。对于访客 WiFi，强制流量通过您的安全 DNS 并阻断替代端口是标准方法。 让我们进入基于常见客户问题的快速问答环节。 问题 1：边缘过滤会增加延迟吗？ 回答：微乎其微。强大的边缘网关会缓存 DNS 响应，并使用任播路由到最近的威胁情报节点。增加的延迟通常在个位数毫秒级，用户根本察觉不到。 问题 2：这如何影响 ROI？ 回答：ROI 是通过减少安全事件和简化管理来衡量的。您消除了 BYOD 设备端点安全的单设备许可成本。您还大幅减少了 IT 服务台在调查受损设备或处理被列入黑名单的 IP 地址上所花费的时间。 问题 3：这能保护 IoT 设备吗？ 回答：是的。这是一个巨大的优势。酒店客房内的智能电视、零售店内的数字标牌或 POS 终端通常无法运行端点代理。边缘保护会自动覆盖它们，因为它们的所有流量都必须通过网关。 总结一下，仅靠端点保护对于现代场馆网络而言是远远不够的。您需要一个针对所有流量的单一执行点。网络边缘保护是主动的、具有成本效益的，并且覆盖了每一台托管或未托管的设备。它是安全访客 WiFi 和场馆网络的架构标准。 感谢您收听本次技术简报。请务必查看完整的参考指南，以获取详细的架构图、实施步骤以及关于 WiFi 分析和特定行业部署的进一步阅读。保持安全。