חסימת אתרים לפי שם משתמש ב-AD

תמלול ההרצאה: חסימת אתרים לפי שם משתמש ב-AD

הטקסט המלא של הדקות הראשונות בהרצאה «חסימת אתרים לפי שם משתמש ב-AD» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:03

   שלום לכולם. בסרט הזה אנחנו הולכים להגביל משתמשים מתוך Active Directory מלהגיע לאתרים מסוימים. ממש לזהות את היוזרים של Active Directory בתוך Fortigate ולהגביל אותם מגישה לאתרים מסוימים.

2. 00:22

   בואו נעשה ב-Active Directory שלנו שתי קבוצות, נניח Sales ויש פה דייויד, ונגביל אותו מלגשת לאתרים כמו פייסבוק. ונעשה עוד קבוצה שנקרא לה Managers וב-Managers, Managers.

3. 00:48

   ב-Managers אנחנו לא נגביל אותם ונכניס לפה את דן. יש לנו את דן ב-Managers וב-Sales יש לנו דייויד. דייויד Sales ודן ב-Managers.

4. 01:03

   יפה מאוד. אה, אנחנו רוצים עכשיו להגביל את Sales מגישה לאתרים כמו פייסבוק ולא יודע מה וכל מיני אתרים דומים, אבל לאפשר להם יוטיוב כי הם צריכים יוטיוב אבל אסור להם פייסבוק ול-Managers לא להגביל אותם בכלום ולזהות מי נכנס כי לכל אחד יש IP Deny.

5. 01:29

   יפה מאוד. אז בואו נתחיל מזה שנזהה אותם או שלהגביל אותם בקבוצות זה לא משנה. בואו נתחיל מקבוצות. אז אנחנו עושים דבר כזה.

6. 01:41

   אנחנו מגיעים ל-Security Profiles ויש לנו Web Filter שהוא עושה עבודה דומה אבל הוא יותר חלש מ-Application Control. Application Control זה כלי הרבה יותר חזק. אז יהיה לנו, אה, default שלנו זה לעשות Monitor על All, לעשות על הכל Monitor כולל SSLים.

7. 02:06

   אני פותח גם את ה-SSLים. יופי. זה ה-default שלי. default policy. בואו נעשה policy חדשה שאומרת, אה, שאומרת Sales Internet, Internet.

8. 02:24

   חוקים של Internet למחלקת Sales. מה אנחנו רוצים? אנחנו רו-רוצים לחסוך-- לחסום להם את כל המשחקים, לחסוך-- לחסום להם proxy שלא יוכלו לעקוף את ההגנות, כן?

9. 02:36

   שלא יוכלו דרך אתר proxy לעקוף אותי. מה זה proxy? זה אומר שאתה נכנס לאתר כמו hidemyass.com ודרכו נכנס לאתר אחר, שאתה נכנס לאתר שאסור לך דרך אתר אחר.

10. 02:50

    אה, הלאה. מה עוד נ-- עוד מה-- במה עוד נחסום אותם? Monitor זה אומר לאפשר לעבור. Video, Video ואודיו, כל מיני אתרי בידור כאלו.

11. 03:03

    עכשיו, אם אתם לא יודעים מה זה אומר, נניח אתם לא יודעים מה זה אומר, אתם יכולים לראות פה View Signature. זה למעשה signature של בקשה. הוא מזהה מה ביקשת ולפי זה חוסם אותך.

12. 03:16

    אז מה זה הקבוצה הזאת? אז בואו תראו מה זה הקבוצה הזאת. זה כל מיני אתרים כמו Amazon Video, אתם רואים? AOL Radio כל מיני כאלו תחנות רדיו, תחנות, תחנות video, CNN Live.

13. 03:33

    אני לא רוצה שהם בעבודה יוכלו להסתכל video ואודיו כי זה לא חלק מהעבודה שלהם ואני-- וקיבלתי הוראה לחסום אותם. יופי. אבל מה?

14. 03:46

    יש לי בעיה, כי חלק מ-video הזה זה גם יוטיוב. יוטיוב הוא גם פה. תסתכלו. אבל אני-- אבל הם צריכים יוטיוב לעבודה.

15. 03:57

    אני רוצה לחסום את כל הקבוצה חוץ מיוטיוב, אוקיי? יופי. טוב. אתם רואים גם יוטיוב פה בקבוצה הזאת.

16. 04:05

    signature של יוטיוב פה ואני לא יכול לשנות את הקבוצה אז אני חוסם את כל הקבוצה ויש פה Override. Override זה לשנות את כל ההגדרה הכללית של קטגוריה של הקבוצה.

17. 04:16

    אז אני עושה פה Add Signature ואומר, אי, החיפוש נשאר על המסך כי התכוונתי לרשום פה יוטיוב ואני רואה שהחיפוש נשאר על המסך. אני אומר ביוטיוב אני מרשה להם הכל. אוקיי, ביוטיוב אני מרשה להם הכל.

18. 04:31

    מה זה YouTube Proxy Free? לא יודע מה זה אומר. הוא אומר פה שזה מאוד מסוכן אז בואו לא נאפשר את הזאתי. מה?

19. 04:40

    ואת כל החתימות האלו אני אומר שכל מי שעם החתימה הזאת הוא Allow. יופי. עכשיו נשאר לנו רק לזהות את היוזרים מ-Active Directory ולחבר את הכל לחוק אחד גדול.

20. 04:56

    כן. דרך אגב, אני לא מצאתי דרך יותר יעילה לעשות את זה. ב-UI User Interface זה מה שמצאתי.

21. 05:07

    Deep Inspection אומר לבדוק את ה-- את כל הפאקטים שעוברים כולל SSLים, כן? יופי, בואו נראה. יש לנו עכשיו policy. רואים, יש לנו פה כל מיני policy-ות.

22. 05:22

    למי שאין את האפשרות הזאת בצד זה אומר שב-Features ב-System Features הוא לא הדליק, כן? Multiply Policies. ב-Feature ב-Systems צריך להדליק אותם, כן?

23. 05:34

    Config Features פה. להדליק Multiply Policies. זה Application Control קודם כל צריך להדליק. מה שאנחנו עושים זה Application Control ויש פה Multiply Policies שתוכלו לעשות יותר מ-policy אחת.

24. 05:50

    Multiply Security Policies. הנה זה. זה זה. לאפשר כמה policy-ות. יופי.

25. 05:56

    אז הדלקתי את זה ואת ה-Application Control וזהו. אז עשינו, עשינו policy-ות, נכון? Application Control יש לנו פוליסה מוכנה של Sales Internet.

26. 06:09

    זה יפה מאוד. נשאר לנו רק לחסום את כל אלו. אתם יכולים גם לחסום יותר פחות, תלוי בכם. דוגמה Remote Access שהם לא יוכלו להשתלט על הבית שלהם מפה.

27. 06:20

    Peer to Peer זה כל מיני תוכנות כמו Torrent. כן, כל אחד מדיניות שלו ואתם לא קובעים את המדיניות. ההנהלה קובעת את המדיניות, אתם מבצעים ואז אין מריבות.

28. 06:34

    אף אחד לא כועס עליכם כי אתם ביצעתם הוראה שקיבלתם וזהו. יופי, בואו נלך עכשיו לח-לחלק הכי מעניין איך מזהים User. יופי, אז יש לנו פה User ו-Devices ואנחנו קודם כל רוצים להתחבר ב-LDAP ל-Active Directory.

29. 06:53

    אני הקמתי פה כבר שרת LDAP עם שם שלו IP. שימו לב CN לא לכתוב פה כלום. אה, איזה OU אני רוצה לקחת את זה. איך אני יודע את השם הזה של OU?

30. 07:07

    אני בא ל-OU Office לוחץ View Advanced. איפה Office View Advanced עושה Properties ומוצא Distinguished Name. אוקיי Distinguished Name וזה השם הייחודי שלו בתקן של LDAP של Active Directory.

31. 07:30

    כן, כל הניהול תיקיות הזה, ה-שיחה מולו כלי ניהול שלו מדברים איתו בשפת ה-LDAP שזה התקן של, אה, אה ניהול ספרייה מרכזית ליוזרים ומחשבים ועוד כל מיני דברים.

32. 07:48

    יש גם LDAP Linux כמו Active Directory. בואו נעשה טסט, נראה שזה עובד יפה. זה עובד. כתבתי פה את האדמיניסטרטור וה-Password.

33. 07:59

    עכשיו מגיעים לחלק המעניין. יש לנו חיבור ל-Active Directory. זה פשוט. זה נקרא Single Sign On. Single Sign On זה למעשה להתחבר ל-Active Directory ולשלוף ממנו מידע.

34. 08:12

    להתחבר ל-Active Directory ולשלוף ממנו מידע לגבי מי עשה Login כדי ש-Fortigate ידע לזהות יוזרים וזה נקרא Single Sign On. עכשיו Single Sign On פעם היית צריך להתקין דברים כמו Agent.

35. 08:31

    אתם רואים, יש פה Agent. פעם היה צריך להתקין Agent וה-Agent היה שולף את ה, אה, את הרשימה של יוזרים שעשו Login ו-אה Fortigate מפה מהגדרות פה של ה-IP ו-Password היה מתחבר ל-Agent ומדבר איתו.

36. 08:49

    הבנתם? הייתם צריכים להביא ממש תוכנה שמותקנת על השרת DC ושולפת ממנו רשימה של יוזרים שעברו אותנטיקציה ומעבירה את זה ל-Fortigate לפה לאובייקט הזה שכרגע אנחנו עושים או שרת Radius.

37. 09:07

    כן, אנחנו כבר לא צריכים את זה. Fortigate עצמו כקופסה יודע להתחבר ל-Active Directory ולבד לשלוף רשימת היוזרים שעשו Login. הוא יודע לעשות הכל לבד.

38. 09:22

    אז בואו תראו. זה נקרא Pull למשוך Active Directory Server למשוך את כל הנתונים בלי להתקין שום דבר על DC שזה החידוש. כן, מגרסה חמש.

39. 09:34

    אה יפה מאוד. אז מאיזה Server אנחנו שולפים למעשה אני מקונפיג הכל מתוך DC. כן, אני נמצא DC אז ה-IP שלי IP Config מאה תשעים ושתיים מאה שישים ושמונה אחד שלוש זה ה-IP שלי.

40. 09:49

    יופי, עם איזה Username אפשר להתחבר ולי-לקרוא יומן אירועים אדמיניסטרטור אוקיי ו-Password Password זה שם והסיסמה איתם אני אתחבר ואני אנסה למשוך את רשימת היוזרים שעשו Login והוא אומר מאיזה שרת אתה רוצה להתחבר.

41. 10:12

    כן, לא יודע. ומאיזה OU ואילו קבוצות אתה רוצה, אה לקבל ברשימות פה.

42. 10:25

    בואו נשלוף את ה-Sales ונשלוף את ה-Managers וזהו. אנחנו צריכים רק Sales ו-Managers. יופי. קיבלנו.

43. 10:38

    בואו נראה מה קיבלנו. קיבלנו פה. קיבלנו פה. אוה אתם רואים איזה יפה הם עשו את זה User Sales ו-Managers שנשלפו לנו ולוקל FSSO Agent.

44. 10:52

    למעשה Agent שרץ של זה נקרא Single Sign On פעם אחת Single פעם אחת עשית Login Single Sign On Sign On זה כמו לעשות Login Single פעם אחת. לא צריך להכניס כל פעם שם וסיסמה.

45. 11:07

    אז יש לו Agent לוקאלי שעובד אצלו ב-Fortigate ולא צריך להיות מותקן על DC ו-Single Sign On וזה מאוד מאוד יפה שהוא עובד. אין לו איזה טסט פה Enabled טסט משהו.

46. 11:26

    אין פה טסט. עצם העובדה שהוא שלף את זה זה כבר אומר לי שהכל עובד. יופי, אז יש לנו חיבור ל-LDAP. יש לנו פה אובייקט שיודע לשלוף מי עשה Login ומי לא עשה Login.

47. 11:39

    אה ו-אה רוצים לראות שהוא באמת יודע. יש לנו פקודה שאנחנו יכולים לבדוק שהוא באמת יודע, אבל אה אני לא רוצה להריץ אותה עכשיו. אחרי זה אנחנו נריץ אותה.

48. 11:56

    או שאתם יודעים מה? בואו עכשיו נריץ אותה. פשוט אני צריך לעשות Log Off Logon. הנה Status. בואו נעשה פה.

49. 12:07

    אולי זה יעבוד. אני מנסה פה טריק טריק טריק טריק. בואו נעשה Log off Log on אתם יודעים מה בלי טריקים Sign out ו-Sign in אני עושה Sign out יוצא ועושה Sign in כאילו אני דיוויד.

50. 12:28

    וזהו אני נכנס פנימה. יופי. יופי יופי לא נשמע HTTPS. מאה תשעים ושתיים, מאה שישים ושמונה, אחד תשעים ותשע, פורט ארבע ארבע שלוש שלוש.

51. 12:44

    שיניתי את הפורט. יפה מאוד. יש פה תעודה דיגיטלית לא תקינה. יש פה אדמיניסטרטור בלי סיסמה. אתם כמובן אל תעשו דברים כאלו.

52. 12:56

    עכשיו עשינו Login בואו נראה שהוא מצליח לשלוף שהקופסה של Forti קייד יודעת לשלוף Diagnostic