Bloqueando o Facebook e o Myspace pelo endereço IP

Estou com problemas para fazer com que um dispositivo Cisco ASA bloqueie determinados sites de redes sociais que se tornaram um tempo em nosso escritório. Esta questão é realmente em duas partes:

1. Existe uma maneira confiável de recuperar todos os endereços IP desses sites?
   • Parece que os servidores DNS do Facebook respondem com endereços IP aleatórios. A digseguido de nslookupdois endereços IP diferentes para www.facebook.com.
2. Existe um truque para me permitir adicionar nomes de host ao Cisco ASA por meio do Adaptive Security Device Manager (ASDM).
   • Encontrei o filtro de URL, mas isso requer um software de terceiros que duvido que receba financiamento apenas para bloquear esses sites.

Estamos procurando uma solução temporária até que eu possa colocar o Squid em funcionamento, o que pode levar até seis meses (precisamos de um administrador de rede).

Quem você usa como seu provedor de DNS? Se você pode mudar para alguém como o OpenDNS (é gratuito), eles fornecem bloqueio automático (e muito configurável) de sites de redes sociais, webmail, conteúdo adulto etc.

EDIT: Você não precisa alterar nada com seu ISP também.

No seu Cisco asa, você pode fazer o seguinte:

regex facebook1 "facebook\.com"

class-map type inspect http match-any block-url-class
  match request uri regex facebook1


policy-map type inspect http block-url-policy
  parameters
class block-url-class
  drop-connection log
policy-map global_policy
  class inspection_default
  inspect http block-url-policy

service-policy global_policy global

Eu sugiro que você leia todos os detalhes no site da Cisco .

1. Reúna logs da atividade da web do usuário.
2. Vá para a mesa do usuário.
3. Mostre-lhes os logs e diga-lhes que, se não pararem de brincar na hora da empresa, serão demitidos.
4. Registre o evento.

Você pode até ser promovido à gerência se continuar assim. ;)

Um cliente meu teve esse problema exato. Veja como lidamos com a solução:

1. Instalou uma caixa IPCop com um proxy Squid embutido e também instalou o complemento URLFilter. Todo o tráfego agora flui através da caixa IPCop.

2. Codificou o endereço IP de todos em seu ramal telefônico pelo simples fato de facilitar a identificação dos infratores. Também alteramos todas as configurações do servidor DNS para apontar para OpenDNS . (Outras opções de filtragem são possíveis com o OpenDNS, mas, afinal, elas não eram necessárias.)

3. Removido (e banido) o uso de todos os clientes públicos de mensagens instantâneas , como Yahoo Messenger, MSN, AOL, ICQ, etc. etc. Em vez disso, instalamos um servidor XMPP seguro , exclusivo da empresa, chamado SecuredIM, para que todo o tráfego de mensagens instantâneas fosse registrado e seja garantido que sejam apenas comunicações empresa a empresa.

4. O SecuredIM também possui a capacidade exclusiva de capturar capturas de tela dos desktops a cada XX minutos. Se um funcionário era suspeito de brincadeira (com base nos registros do IPCop), uma imagem valia 1.000 palavras. Algumas capturas de tela podem ser arquivadas e enviadas por e-mail para revisão posterior (ou ação disciplinar).

5. Bloqueamos o Facebook, o Myspace, o Hulu e outros dois ou três grandes abusos por meio do URLFilter na caixa do IPCop.

6. Revisão manual (e mais sites bloqueados, se necessário) por cerca de uma semana.

7. Abriu a navegação "livre / desbloqueado" durante a hora do almoço (12:00 - 13:00).

No final da semana, a empresa passou por uma transformação total. A produtividade aumentou dramaticamente e ninguém se queixou.

Como em qualquer empresa, sempre há 1-2 rebeldes por aí que acham que é um "jogo".

Quando nytimes.comfoi bloqueado, eles foram para outro site de notícias. Quando isso foi bloqueado, eles escolheram outro. Outros pararam de surfar e adotaram hobbies como Solitaire e Minesweeper , mas as capturas de tela do SecuredIM perceberam isso (o IPCop não podia obviamente).

Dentro de duas semanas (e algumas discussões entre empregadores e funcionários, incluindo ações disciplinares para indivíduos teimosos), tudo estava indo bem e funcionando bem por quase dois anos.

URLS:

http://www.ipcop.com

http://www.securedim.com

http://www.opendns.org

NOTA:

Como uma história lateral engraçada. Cerca de um ano depois, um problema elétrico no prédio fez com que a fonte de alimentação na caixa do IPCop se apagasse e levou 2-3 dias para que uma nova caixa do IPCop pudesse ser instalada.

Descobrimos que levou menos de 48 horas para que os funcionários voltassem aos seus hábitos antigos / originais de surf e diminuíssem a produtividade.

Foi um experimento social. :-)

A solução DNS parece a melhor resposta para mim, mas lembre-se de que é provável que eles ainda possam acessar os sites via endereço IP (você provavelmente está ciente do nível da sua pergunta, mas de outras pessoas que o encontrarem no Google pode não ser).

Em segundo lugar, observe a resposta de Evan para restringir discretamente os usuários de executar determinados programas nos computadores Windows sobre impedir que eles executem determinados programas. Eu acho que você está tentando resolver um problema de gerenciamento com a TI. Na verdade, eles provavelmente deveriam estar contratando pessoas responsáveis ​​o suficiente para obedecer a quaisquer regras que estejam claras, e provavelmente deveriam se preocupar com a realização de suas tarefas com pontualidade e pontualidade, em vez dos sites que eles visitam no período de inatividade. Bloquear esse material provavelmente vai espalhar ressentimento por toda a empresa. É claro que você precisa fazer o que for necessário, e provavelmente nem depende de você - mas acho que isso sempre deve ser considerado antes de dar esse tipo de passo, se já não era.

Adotei uma abordagem diferente para resolver esse problema.

Em vez de ter o tráfego de decifração ASA, criei uma zona de pesquisa direta no servidor DNS local para "facebook.com" e deixei todas as entradas DNS em branco. Se desejar, sempre é possível apontar o site para uma página da Web interna informando ao usuário que ele está tentando acessar um site proibido pela política da empresa.

Eu espero que isso ajude.

Se você não tiver tempo ou equipe para criar sua própria solução, considere um produto chave na mão.

Usamos o Threatwall da eSoft, que faz um ótimo trabalho de controle de acesso (via IP ou URL). Muito fácil de configurar com caixas de seleção para todos os tipos comuns de sites, além da capacidade de adicionar o seu próprio e ter uma lista de permissões. Eles têm pacotes diferentes disponíveis (o nosso também filtra spam, por exemplo).

Não afiliado à eSoft, exceto como cliente, Dave

Talvez, em vez de bloquear os endereços IP, você possa direcionar os nomes de host para o host local, ou seja, editar o arquivo do host para que ele se pareça com:

www.facebook.com     127.0.0.1

Isso impediria que o verdadeiro endereço IP do Facebook, etc. fosse procurado.