Sie können eine Liste von Tor-Knoten (Uplink) verwenden, diese zur ausgehenden Firewall hinzufügen, eine Aufgabe einrichten, um diese einmal täglich zu aktualisieren, und Sie werden gut. Tor kann aber auch über einen HTTP (S) -Proxy verwendet werden, sodass Sie auch Proxys erkennen müssen.

Ich bin nicht sicher, ob dies Ihnen dabei helfen wird, etwas zu sichern. Solange eine Verbindung zum Internet besteht, könnten solche Sicherheitsmaßnahmen umgangen werden. Sie könnten endlose Zeit und Energie aufwenden, um alle Arten von Proxys, VPNs, SSL-Tunneln und dergleichen zu verbieten. Der Rat ist, nur sicherzustellen, dass sie keinen Schaden anrichten können, indem Sie das schützen, was für Ihr Unternehmen wichtig ist, und die Benutzer verlassen. Trennen Sie beispielsweise das Netzwerk in Kompartimente, verwenden Sie Subnetze, VLANs und DMZs und benötigen Sie eine Authentifizierung und Autorisierung in privaten Netzwerken. Bewahren Sie die wichtigen Dinge in einer Zone auf, während Sie das Netzwerk ohne Einschränkungen für eine andere Zone zulassen. Und so weiter ...

Ich glaube, Ihr Hauptanliegen sollte sein, dass:

die Verwendung eines anonymen Proxys im Netzwerk

eine schlechte Annahme ist . Ich würde sofort fragen:

In welchem ​​Netzwerk?

Yorick hat diesen Punkt bereits angesprochen, aber ich werde offensichtlicher sein .

Bei HIPAA geht es hauptsächlich um den Schutz der Daten in Ihrem Produktionssystem und damit in dem Netzwerk, das für die Verbindung mit dem Produktionssystem verwendet wird. Sie sollten die Kontrolle darüber haben, was alle Computer, die eine Verbindung zu diesem Netzwerk herstellen, tun können. Mit anderen Worten, dies sollten vom Unternehmen verwaltete Unternehmensmaschinen sein und die Software bereitstellen, die für den Umgang mit dem Produktionssystem erforderlich ist. Keine anderen Maschinen sollten eine Verbindung zu diesem Netzwerk herstellen. Dies schließt VPN mit dem Produktionsnetzwerk ein (was nach Möglichkeit am besten vermieden werden sollte).

Ein Netzwerk für Ihre Mitarbeiter, die keine Verbindung zum Produktionssystem herstellen, z. Ein Entwicklungsnetzwerk oder Office-WLAN muss vom Produktionsnetzwerk getrennt sein. Sie müssen nur explizit nachweisen, dass die Netzwerke getrennt sind (vorzugsweise mit separater Hardware sind 802.1Q-VLANs bei schlechter Konfiguration einigen Angriffen ausgesetzt). Die Maschinen in diesen Netzwerken sind für das Produktionssystem nicht von Belang, solange sie sich nie mit ihm verbinden (sollten sie nicht!). Um etwas in die Produktion zu bringen, muss ohnehin ein QA / QC-Verfahren vorhanden sein, bei dem die Sicherheit des Codes / der Konfiguration / einer anderen Änderung bewertet wird.

Es ist anzumerken, dass das Entwicklungsnetzwerk, das die Entwicklungsmaschinen enthält, niemals eines sehen wird Produktionsdaten. Wenn Ihre Produktionsdaten geschützt werden sollen (z. B. zum Schutz der Privatsphäre von Patienten wie in HIPAA), müssen Sie alle Daten in Entwicklungs- / Test-Setups anonymisieren. Eine gesicherte Produktionsumgebung zu haben und dann Produktionsdaten in ein ungesichertes Netzwerk zu kopieren, wäre einfach albern.

Sie können nur relativ sicher sein, dass Tor nicht im Netzwerk verwendet wird, indem Sie jedes Gerät im Netzwerk überprüfen und sicherstellen, dass Tor auf keinem dieser Geräte installiert ist oder ausgeführt wird. Dies könnte so viele Arbeitsstunden erfordern, dass es genauso gut unmöglich sein könnte. Und Sie könnten es trotzdem verpassen.

Sie können versuchen , die Verwendung von Tor zu erkennen, indem Sie auf Datenverkehr zu einer der fest codierten Verzeichnisbehörden achten, um welche alle Tor-Clients immer verbinden (mit Ausnahme, siehe unten). In der Regel gibt es weniger als ein Dutzend davon.

Sie können auch versuchen, Datenverkehr zu einem der Tausenden von Schutzknoten zu erkennen. Dies kann jedoch Ihr IDS stark belasten. Das Erkennen des Verzeichnisberechtigungsverkehrs erfordert das Überwachen nur einiger IP-Adressen, und es wird auch für ansonsten inaktive Clients Datenverkehr zu diesen Berechtigungen stattfinden.

Die große Ausnahme ist, wenn Tor für die Verwendung einer Bridge konfiguriert wurde. Diese sind explizit so konzipiert, dass Tor nicht direkt mit einem der normalen Tor-Knoten oder Verzeichnisberechtigungen kommuniziert. Stattdessen kommunizieren sie mit einer unveröffentlichten Bridge-Adresse. Nationalstaaten haben Schwierigkeiten, diese Zusammenhänge zu erkennen. Wenn eines in Ihrem Netzwerk verwendet wird, haben Sie so gut wie keine Chance.

Stattdessen sollten Sie den Zugriff auf und vom Netzwerk in genauer kontrollieren Allgemeines. Nur Datenverkehr, der tatsächlich benötigt wird, sollte zu und von einem Gerät zugelassen werden, auf das PHI zugegriffen oder gespeichert werden kann. Dies bedeutet, dass Sie standardmäßig in beide Richtungen (eingehend und ausgehend) verweigern und Netzwerke, in denen PHI vorhanden ist, von anderen Netzwerken trennen müssen. Es hört sich so an, als ob Ihre aktuelle Firewall-Austrittsrichtlinie standardmäßig zulässig ist. Das Blockieren von Elementen in einer standardmäßig zulässigen Konfiguration ist wie das Stanzen von Löchern in den Himmel.

Es reicht aus, den Benutzer daran zu hindern, Software zu installieren / zu verwenden, die nicht vom Unternehmen genehmigt wurde, indem Softwarerichtlinien auf dem Computer des Mitarbeiters durchgesetzt werden, kombiniert mit der Netzwerkauthentifizierung, sodass nur die richtlinienkonformen Computer auf das Netzwerk zugreifen können. Dies macht die Workstation fast zu einer einfachen Kiosk -Maschine. In der Finanz- und Gesundheitsbranche sollte es nicht als unangemessen angesehen werden, den operativen Mitarbeitern einen Kioskmodus aufzuzwingen.

Die Unfähigkeit, eine Software auszuführen, die möglicherweise eine Verbindung zu Tor herstellt, ist der Schlüssel, um zu verhindern, dass Benutzer Tor verwenden, wenn Browser (zB onion.to Proxying) ist nicht Teil der Bedrohung. Normalerweise verfügen Sie jedoch über eine Whitelist-Liste von Websites, die in geschützten Umgebungen verfügbar sind.

In der realen Welt kollidiert dies häufig mit den Anforderungen von IT-Mitarbeitern. In den meisten Unternehmen ist die Fähigkeit der IT, die nicht unbedingt Softwareentwickler / -ingenieure sind, erforderlich, Software auszuführen oder benutzerdefinierte Skripte zu schreiben. Nehmen wir zur Diskussion an, dass dies der Fall ist.

Natürlich können Sie Ihren Systemadministrator nicht daran hindern, Tor auszuführen, und Sie können seinen Computer auch nicht für genau diese "Bedrohung" an einen Kiosk sperren Sie verhindern außergewöhnliche außerbetriebliche Aktivitäten wie das Beheben von Problemen mit Maschinen oder im Netzwerk. In diesem Fall würde ich empfehlen, eine Richtlinie zu verwenden, z. B. dass die Sysadmin-Computer mit privilegierter Softwarekonfiguration normalerweise mit einem nicht sensiblen Netzwerk und eventuell mit dem Internet verbunden sind. Wenn ein Systemadministrator auf das vertrauliche Netzwerk zugreifen muss, in dem geschützte Informationen gespeichert sind, muss er seinen Laptop physisch an einen anderen Stecker anschließen und das Ereignis in einem Prüfpfad aufzeichnen. Eine solche Prüfung kann auch durch einen Kommentar zu einem Support-Ticket "Ich erhalte Zugriff auf Maschine 10.100.200.10 , um die Aufgabe abzuschließen" durchgeführt werden.

Kurz gesagt, zu verhindern, dass jemand Tor verwendet, ist eine strenge Anforderung, die schwer durchzusetzen ist. Eine vernünftige Neuinterpretation der Anforderung sollte jedoch jeden Regulierer befriedigen, indem das Sicherheitsprinzip übernommen wird, das Benutzer verwenden muss in der Lage sein, nur die geringste Anzahl von Softwareprogrammen auszuführen, um ihre Aufgaben zu erfüllen (eine Variation des Prinzips der geringsten Mindestberechtigungen).

Und Tor selbst ist sowieso keine Bedrohung, es ist Ein Medium, das entweder von Insiderhändlern oder anderen untreuen Mitarbeitern missbraucht werden kann oder ein Risiko für bestehende ungeschulte Mitarbeiter darstellt.

Tor ist von Natur aus schwer zu blockieren. Yoricks Maßnahmen werden die ehrlichen Mitarbeiter ehrlich halten. Ich würde diesen Weg gehen, wenn die HIPAA nicht mehr verlangt. * Wenn Sie den Blockierungsmaßnahmen eine Erkennung hinzufügen, können Sie Tor-Benutzer identifizieren und das Management durchlaufen, um sie zu disziplinieren. Meiner Meinung nach sollte das Verbot dieser Art von Verhalten in der jährlichen Zertifizierung der Geschäftsrichtlinien durch den Mitarbeiter und Teil Ihres Sicherheitsschulungsprogramms enthalten sein.

Wenn Sie mit eiserner Faust regieren müssen, blockieren Sie alles Standardmäßig ist die Installation eines Interception-Proxys eine gängige Methode. Dies bedeutet, dass Sie den gesamten Client-TLS-Verkehr abfangen, entschlüsseln, untersuchen, kategorisieren und neu verschlüsseln. Dies ist bei Banken und sicheren Instituten üblich ... zusammen mit allen Auswirkungen auf den Datenschutz, der Komplexität der Bereitstellung und Leistungsproblemen.

* (Ich weiß nicht ... ich habe keine HIPAA durchgeführt)

Da sich der Titel auf das Erkennen solcher Aktivitäten bezieht, würde ich eine Firewall-Regel so konfigurieren, dass Verbindungen zu bekannten Anonymisierungsdiensten / -servern verschiedener Typen protokolliert, aber nicht blockiert werden. Dies bedeutet natürlich, dass jemand die Firewall-Protokolle oder ein Flagging-System überwacht.

Es besteht ein geringes Risiko, dass Daten herauskommen, aber wenn jemand auf einen Block stößt, findet er wahrscheinlich andere Methoden / Dienste (für die Sie möglicherweise nicht angemeldet sind), um Daten aus Ihrem System abzurufen.

Wenn Sie eine begrenzte Datenmenge zulassen, erhalten Sie Ziele in Ihrem Netzwerk, die dies ermöglichen Überprüfen Sie den Systemzugriff und finden Sie heraus, was sie tatsächlich tun - beispielsweise den Versuch, auf Material zuzugreifen, das außerhalb ihres Aufgabenbereichs liegt.

Auf diese Weise können Sie auch alle BYOD-Probleme in Umgebungen umgehen, die es ihnen ermöglichen, Informationen zu erhalten Für die vertraulichen Daten benötigen sie weiterhin ihre Authentifizierung (Anmeldungen usw.), damit Sie sehen können, was gefährdet sein könnte.

Der Nachteil dieses Ansatzes besteht darin, dass die Risiken proportional zur Nähe der Firewalls sind überwacht und alle Flags behandelt, so dass es wirklich von den verfügbaren Ressourcen abhängt.