Фильтрация https трафика контент фильтром икс

Настройка Яндекс DNS на Zyxel Keenetic

После перезагрузки роутера переходим в раздел «Безопасность» и открываем вкладку «Яндекс.DNS». Активируем функция флажком «Включить».

Здесь можно для каждого зарегистрированного в сети компьютера (о том, как их регистрировать, я писал в статье про блокировку сайтов — прочитайте) назначить свое правило фильтрации или задать одно единое для всех незарегистрированных устройств. Например, для того, за которым сидит ребенок, назначить семейный режим, а для собственного — базовый.

Теперь о том, что они означают:

• Без фильтрации
• Базовый интернет — без фильтрации трафика, но в качестве DNS-серверов будет использоваться надежный сервер от Яндекса
• Безопасный интернет — призван защитить вашу сеть от мошеннических сайтов, а также блокирует вирусы
• Семейный интернет — дополнительно ограждает пользователя от сайтов эротического содержания

В общем, как видите, настройки компонента Яндекс DNS на маршрутизаторах Zyxel Keenetic очень гибкие и их легко настроить, что важно при использовании роутера в качестве основного домашнего сетевого устройства. Кстати, здесь имеется также поддержка сервиса SkyDNS, о котором я напишу отдельно

Кстати, здесь имеется также поддержка сервиса SkyDNS, о котором я напишу отдельно.

Способы ограничения для конкретных случаев

При желании каждый владелец роутера может ограничить доступ к интернету не только незнакомым людям, но также и членам своей семьи. Главное, разобраться в алгоритме действий и уже через 10 минут человек будет полностью контролировать работу личной беспроводной сети.

Для конкретных устройств

При желании владелец Wi-Fi роутера может ограничить доступ к сети определенным устройствам.

Для этого необходимо выполнить ряд несложных действий:

• Получить MAC-адрес устройства. Зайти в меню роутера, открыть раздел «Настройки» и выбрать вкладку «DHCP-сервер». В новом окне отобразится информация об устройствах, подключенных к модему, а также их IP-адреса.
• Открыть вкладку «Резервация адресов». Здесь указывают IP для MAC-адреса, которые берут из раздела «DHCP-сервер».
• Перейти на вкладку «Пропускная способность». Она позволяет задавать правила пользования для каждого IP-адреса. В случае необходимости можно включать или выключать режим максимальной скорости для входящего и исходящего трафиков.

Представленная инструкция не включает сложных параметров, поэтому ограничивать доступ к интернету для других устройств сможет даже начинающий пользователей.

Родительский контроль для ребенка

Каждый родитель пристально следит за своим ребенком и тем, сколько времени он проводит в интернете. Отсутствие контроля может привести к нарушению психики, формированию неправильных жизненных приоритетов и другим серьезным проблемам.

Среди существующих способов решения задачи самым простым является родительский контроль, который можно задать в настройках роутера. Разработчики предусмотрели различные варианты управления доступом к интернету, среди которых отключение по расписанию.

Для этого следует открыть Google Chrome, Opera или любой другой браузер, ввести в адресной строке IP-адрес устройства, который нанесен на задней панели или указан в сопроводительной документации.

Затем осуществляется переход по пути «Настройки» – «DHCP сервер» – «Список клиентов» – «Название устройства». Чтобы открыть доступ ребенку к интернету на определенное время, нужно выполнить ряд действий: выбрать вкладку «Фильтрация адресов», а затем перейти в раздел «Защита».

Далее следует прописать определенные параметры: рабочее время, IP-адрес (маршрутизатора и планшета/ноутбука ребенка), выбрав действие «Разрешить». К примеру, 192.168.1.7 (адрес роутера) с 00.00 до 24.00 – разрешить и 192.168.1.8 (устройство ребенка) с 17.00 до 19.00 – разрешить. Таким образом, роутер будет работать круглосуточно, но подключиться к нему дети смогут только в установленное родителями время.

Пользователю необходимо войти в настройки роутера, выбрать вкладку «Родительский контроль» и установить переключатель в положение «Enabled». Затем определяется родительское устройство – для этого достаточно скопировать его MAC адрес из поля MAC Address of you PC в поле MAC Address of Parental PC.

Чтобы система работала правильно, достаточно просто нажать кнопку «Add new» и указать несколько дополнительных параметров, которые будут относиться непосредственно к возможностям ребенка:

• Mac address of Children PC – перенести из настроек DHPC сервера, выявив устройство по названию;
• Allowed Domain Name – ввести полное или частичное название сайта;
• Effective Time – задать интервал действия ограничений;
• Status – установить галочку напротив «Disabled».

Для активации настроек достаточно нажать «Сохранить» и перезагрузить маршрутизатор. Если их нужно подкорректировать, то достаточно войти в меню и изменить нужный параметр.

Никогда не поздно навести порядок в настройках домашней сети: разрешить или запретить к ней доступ, задать функцию родительского контроля и многое другое. Подобная предусмотрительность позволит избежать серьезных проблем и подарит чувство защищенности, обеспечив еще более комфортное пользование сетью.

Сервера Yandex DNS без установки модуля

Однако есть возможность включить фильтрацию контента от Яндекс ДНС без установки специального модуля на роутер Zyxel Keenetic. Разница между двумя способами будет в том, что в первом мы имеем возможность детально настроить ограничения для отдельного компьютера или смартфона, а во втором — для всей сети. Так что лучше все-таки пользоваться встроенной функцией, но если это не получается, то заходим в настройки «Интернет» и кликаем по подключению «Broadband Connection»

Ваше мнение — WiFi вреден?
Да 22.83%

Нет 77.17%

Проголосовало: 39254

И здесь в пунктах DNS1 и DNS2 указываем адреса серверов Яндекса

Их можно взять из скриншота ниже.

После этого сохраняем изменения кнопкой «Применить»

В новых Keenetic также имеется возможность прописать вручную сервера DNS — эта настройка находится в том же самом разделе «Интернет-фильтры». Пролистываем страницу вниз и жмем на кнопку «Добавить сервер», после чего указываем в соответствующие поля его данные.

Результатом работы фильтра Яндекс DNS будет вот такое сообщение при заходе на опасный сайт при активированном «семейном» режиме

А вот так смотрится просто блокировка рекламы — на месте пустого серого окна на сайте на самом деле должен отображаться баннер

Вредоносный и нежелательный контент

Все чаще ИT-профессионалы и журналисты оперируют такими терминами, как «вредоносный контент» и «нежелательный контент». Прежде чем говорить о контент-фильтрации, давайте разберемся, что эти термины означают и чем они отличаются друг от друга.

 Вредоносный контент – это весь спектр цифрового контента (информации), нацеленного на совершение мошеннических действий против получателей такого контента, уничтожения их информации, либо препятствие нормальному функционированию цифрового оборудования.

Как правило, авторы вредоносного контента стремятся извлечь выгоду за счет пользователей, ставших жертвами такого контента. Примеры вредоносного контента:

Нежелательный контент – контент, не представляющий для пользователя или его цифрового устройства явного вреда, но тем не менее в зависимости от содержания информации способный отрицательно сказаться на комфорте пользователя или на производительности сотрудника. Примеры нежелательного контента:

• развлекательные материалы, нежелательные для просмотра в рабочее время;
• материалы непристойные либо содержащие элементы жестокости, нежелательные для лиц, не достигших определенного возраста;
• материалы, запрещенные законодательством РФ и других стран;
• навязчивая реклама (спам, всплывающие баннеры и т. д.).

Эти два вида контента, в случае отсутствия соответствующей защиты, могут вызвать как для бизнеса, так и для индивидуальных пользователей серьезные последствия, связанные с большими финансовыми потерями

Поэтому важно обеспечить пользователей адекватной защитой от вредоносного и нежелательного контента

Здесь в игру вступают так называемые контент-фильтры. Как правило, являясь частью более полного решения информационной безопасности, они способны предотвратить попадание вредоносного или нежелательного контента в сеть предприятия либо на устройства пользователей, решая тем самым задачу обеспечения первой линии защиты в борьбе с информационными угрозами.

Основные механизмы фильтрации контента

Существует несколько основных механизмов фильтрации контента, которые работают по схожему принципу в различных решениях информационной защиты. Рассмотрим их более подробно.

Блокировка веб-страниц по категориям

Это наиболее популярный и в то же время достаточно сложный метод фильтрации веб-контента. Поставщик решения информационной безопасности ведет базу данных веб-сайтов в Интернете либо сотрудничает с поставщиком такой базы данных, чтобы всегда поддерживать актуальной информацию о принадлежности той или иной веб-страницы к определенной тематической категории. Затем администратор сети или компьютера может указать, к каким категориям веб-сайтов доступ должен быть запрещен (либо, наоборот, разрешен, если все остальное запрещено). Также в базе данных содержатся сайты, отнесенные к категории вредоносных на основе системы репутации, доступ к которым тоже может блокироваться. Система репутации позволяет посетителям сайтов голосовать и присваивать сайтам рейтинг в зависимости от его подозрительности. Если определенный сайт набирает достаточное количество низких очков рейтинга, он попадает в специальную базу сайтов с низкой репутацией.

Блокировка веб-страниц по черному/белому списку

В случае когда фильтра по категориям недостаточно либо если сайт ошибочно отнесен к неверной категории, администратор может составить черный и белый списки сайтов, которые всегда должны быть запрещены или всегда разрешены.

Антиспам

Наиболее распространенный модуль контент-фильтра. Вот уже много лет, пытаясь бороться со спамом, производители решений информационной безопасности изобретают все более сложные и совершенные технологии. Вдаваться в их подробности мы не будем, но вкратце работу антиспамового модуля можно описать следующим образом: специальный алгоритм оценивает электронное сообщение сразу по нескольким параметрам, на основании чего делает вывод, является письмо «полезным» для пользователя или спамом.

Блокировка электронных сообщений или веб-страниц по словам или словосочетаниям, содержащимся в их заголовках, в теле письма либо на самой странице

Используя данный механизм, администратор может указать «запрещенные» слова или фразы. Если приходит письмо, содержащее такое слово, то по отношению к нему система предпримет соответствующие действия (заблокирует доставку, удалит письмо и т. д.). Аналогично система отреагирует и в том случае, если пользователь пытается открыть веб-сайт, содержащий такое слово, – этот сайт будет немедленно заблокирован.

Блокировка файлов, вложенных в письмо или скачиваемых с веб-страницы, по названию либо расширению

Администратор может указать часть имени файла или его расширение, по которым будет производиться блокировка. К примеру, большинство контент-фильтров блокируют исполняемые расширения .com и .exe в почтовых вложениях, так как это популярный метод заражения ПК вирусами.

Блокировка писем, веб-сайтов или файлов, не соответствующих определенному формату

Многие решения предоставляют список определенных форматов, которые часто не соблюдаются злоумышленниками при рассылке вредоносного контента либо являются вероятным его признаком. Например, двойные расширения файлов, некорректный тип MIME, зашифрованные архивы и т. д.

Схема. Организация контент-фильтрации на периметре сети

Отключаем всю рекламу в интернете на всех устройствах

Мы уже давно пользуемся блокировщиками рекламы, но при этом терпим некоторые неудобства, самое основное из которых — не блокируется реклама в играх на смартфонах. Кроме этого, модуль Adblock, устанавливаемый в Chrome, сильно тормозит загрузку сайтов, а Яндекс Директ и вовсе не блокирует. Недавно Adguard, второй крупнейший сервис по блокировке интернет-рекламы, предложил лёгкое решение от назойливых баннеров — антирекламные DNS серверы.

Суть этой технологии в следующем: реклама вырезается не в момент загрузки web-страниц, проходя через прокси, а в момент обработки DNS-запросов, то есть когда браузер пытается достучаться до сервера с именем вроде an.yandex.ru. Образно говоря, когда интернет-браузер пытается вызвать адрес рекламного блока, сервер Adguard говорит: «вот он я», и выдаёт нули вместо баннеров. Конечно, сама технология намного сложнее, она учитывает дизайн рекламы, чтобы не рушить разметку веб-страниц, но смысл тот же: в отличии от Adblock, антирекламные DNS-серверы Adguard не тратят ресурсы клиентского устройства и работают значительно быстрее.

Преимущества Adguard DNS:

• Блокировка работает для всех устройств в домашней сети: для смартфонов, ноутбуков, компьютеров.
• Блокирует рекламу в играх
• Не определяется скриптами на сайтах (вы не увидите просьбу владельцев сайта отключить блокировку рекламы)
• Не потребляет ресурсов компьютера/смартфона
• Можно заблокировать «сайты для взрослых»
• Поддерживается шифрование запросов DNS для более высокой приватности
• Это бесплатно!

Недостатки Adguard DNS:

• Не блокирует рекламу в роликах на Youtube
• Чтобы включить/отключить блокировку, нужно менять сетевые настройки
• Иногда на месте рекламных баннеров возникают пустые вставки с ошибкой «не удаётся отобразить страницу».
• Модель бизнеса Adblock понятна — они продают рекламным сетям «исключения» из бан-списков. На чём зарабатывает Adguard DNS, не понятно.

Для каждого из домашних устройств вы можете выбрать свой уровень фильтрации, например чтобы на детских планшетах отключить баннеры и взрослый контент, на рабочем компьютере достаточно будет отключить только рекламу, а на разных NAS-ах и вовсе ничего блокировать не надо.

Самое главное — Adguard DNS можно использовать вместе с Adblock по принципу двойной обороны. Друг другу эти две технологии не мешают, а скорее даже дополняют, ведь на момент подготовки статьи, Adguard DNS даже умел блокировать Яндекс Директ. Давайте посмотрим, как меняется интернет при использовании блокировщиков рекламы.

А теперь давайте посмотрим, как Adblock потребляет память компьютера, для чего в Microsoft Edge откроем следующие вкладки:

• market.yandex.ru
• rbc.ru
• mail.ru
• lenta.ru
• zen.yandex.ru
• auto.ru
• avito.ru

По затратам памяти блокировщик Adblock потребляет больше, чем весит сама реклама, и это — основное ограничение, которое заставляет отказываться от данного плагина в пользу других решений.

Со смартфона блокировка работает через пень колоду: реклама то блокируется, то нет, причём это относится как к браузеру, так и к играм и прочим приложениям. Ситуацию можно выправить, если поставить рекомендуемые разработчиками сервисов Adguard браузеры — Яндекс.браузер и Samsung Internet, оба можно считать достойной заменой поднадоевшему Chrome, так что выбирайте любой. А вот с играми никакого надежного способа отключить рекламу не нашлось, но иногда она всё же пропадает, и в такие моменты телефон не хочется выпускать из рук.

Для чего и кого ограничивать доступ на маршрутизаторе

Сегодня Wi-Fi-роутер можно встретить практически в каждой квартире, поскольку раздача трафика по воздуху без проводов – это одно из лучших решений современности. Но недальновидные люди мало задумываются над тем, что к их домашней сети может подключиться посторонний человек, вроде соседа, который не любить тратить лишние деньги.

Именно поэтому так важно ограничивать доступ к домашней сети не только для посторонних людей, но также и для друзей и коллег. Для них можно создать отдельный канал или открыть главный на определенный период времени

Излишняя осторожность в подобных вопросах не помешает, поскольку практика показывает, что в случае ее отсутствия можно получить серьезные неприятности.  

AdGuard DNS для роутеров Zyxel Keenetic

AdGuard DNS — еще один сервис фильтрации интернет-трафика, который при том что является также бесплатным, предоставляет схожий с Яндексом функционал от одного из ведущих производителей антивирусного ПО. AdGuard имеет собственную постоянно обновляемую базу доменных имён, используемых в рекламных или мошеннических целях.

Поддержка данного сервиса встроена в последних модификациях прошивки роутеров Keenetic.

Здесь присутствуют две настройки:

• Без рекламы — базовый режим, который применяет DNS-серверы для блокировки рекламы, трекинга и фишинга.
• Семейный — расширенный, в котором кроме мошеннических ресурсов блокируются сайты для взрослых, а также используется безопасный поиск.

Включить фильтр AdGuard можно еще на этапе первичного подключения роутера Keenetic. Для этого после прохождения всех начальных шагов и установки связи с интернетом, на странице выбора фильтра трафика нужно выбрать «AdGuard»

Для выбора же нужного режима необходимо уже в полноценной панели админа зайти в «Интернет-фильтр» и установить «Без рекламы», или «Семейный»

Также присутствует возможность применить отдельное правило для одного конкретного устройства, зарегистрированного в роутере Keenetic.

Если зайти после активации фильтра на какой-то запрещенный сайт, то на экране появится вот такая картинка

Цена вопроса

Безусловно, при выборе решения для контент-фильтрации необходимо учитывать не только функциональные возможности того или иного решения, но и целый набор организационных, технических и экономических вопросов, которые в конечном итоге формируют полную стоимость владения данным решением. При этом, конечно, следует исходить из здравого смысла: чем выше могут быть потери от неэффективной контент-фильтрации (или ее отсутствия!), тем выше допустимое значение полной стоимости владения.

Если оценивать полную стоимость владения, то при выборе решения необходимо в первую очередь принимать во внимание следующие факторы:

• стоимость решения для контент-фильтрации (устройство/лицензии);
• стоимость вспомогательных решений, которые необходимы для полноценной и эффективной работы выбранного решения контент-фильтрации (дополнительные устройства, лицензии на операционные системы и дополнительное ПО, СУБД и т. д.);
• стоимость обслуживания всего комплекса решений (человеко-часы на выполнение обновлений, апгрейдов, техобслуживания оборудования и пр.; выделение места для оборудования, расходы на электроэнергию, кондиционирование серверных помещений и пр.);
• расходы на обучение персонала;
• степень интеграции выбранного решения для контент-фильтрации с корпоративным окружением.

Уверен, что к перечисленным аспектам можно добавить еще несколько, которые в той или иной ситуации могут повлиять на полную стоимость владения.

Принимая во внимание все факторы, можно предположить, что для крупных предприятий подойдут специализированные решения, а для малых и средних – более универсальные

2015: SkyDNS.Бизнес

30 октября 2015 года компания SkyDNS анонсировала запуск тарифного плана специально для бизнес-пользователей и системных администраторов — «SkyDNS.Бизнес».

• Инструмент управления доступом сотрудников предприятия в интернет.

• Средство обеспечения безопасной работы пользователей в онлайне. Надежная защита от фишинга и вирусных сайтов.

Дополнительные возможности, рассчитанные на использование совместно с корпоративными ИТ-системами, например, таких как прозрачная поддержка ресурсов Active Directory.

Возможности тарифа «SkyDNS.Бизнес»

• Защита нескольких сетей.

• Поддержка сервисов динамических DNS.

• Фирменная страница блокировки.

• Самостоятельное управление настройками контент-фильтрации.

• Режим «белого списка» и расписание.

• Фильтрация графических баннеров, видеорекламы, всплывающих окон и контекстной рекламы.

• Детальная статистика

• Удобное управление

• Удобство покупки

2016: SkyDNS запускает систему обнаружения вредоносных интернет-ресурсов

SkyDNS анонсировала летом 2016 года систему обнаружения вредоносных интернет-ресурсов. С этой системой компания выявляет и блокирует до 100% таких ресурсов, что значительно повышает уровень онлайн-безопасности пользователей сервиса фильтрации SkyDNS

Система обнаружения вредоносных интернет-ресурсов SkyDNS основана на непрерывном машинном обучении и анализе поведения пользователей и является логичным шагом в процессе перехода от статичных списков категорированных ресурсов к динамически составляемым базам данных. Исследовательская группа SkyDNS разработала технологию, позволяющую детектировать вредоносные ресурсы с точностью 98%.

Такие высокие результаты достигаются обработкой и анализом данных сервиса интернет-фильтрации SkyDNS с выявлением признаков вредоносности интернет-ресурсов, зависящих от группового поведения пользователей сервиса.

Помимо оценки коллективного поведения пользователей сервиса фильтрации оценивается ранжирование вредоносности и легитимности интернет-ресурсов. Эти ранги непрерывно рассчитываются для всех интернет-ресурсов, запрашиваемых пользователями сервиса.

Объединение разнородных признаков и методов в единую модель машинного обучения позволяет новой системе SkyDNS достичь точности 98% в детектировании всех видов вредоносных ресурсов в реальных условиях.

После интеграции системы в сервис контент-фильтрации SkyDNS, база вредоносных ресурсов сервиса увеличилась на 66% и ежедневно пополняется новыми вредоносными ресурсами, обеспечивая высокий уровень защиты пользователей сервиса от существующих и новых интернет-угроз.

Заключение

На своей презентации для прессы 6 декабря 2018 г. компания Keenetic демонстрировала обновленную версию компонента бесшовного роуминга и интерфейс модульной сети. В реальном времени к одной сети было подключено более 20 смартфонов гостей, которые перемещались по большому зданию и могли посмотреть на скорость переключения между точками доступа. Типичное время составляло 280 мс, что значительно меньше, чем в нашем тестировании, но всё же достаточно много. Для домашнего использования уже сейчас имеющийся функционал — это огромнейший плюс, который поможет навести порядок в Wi-Fi инфраструктуре.

Что касается бизнес-применения, то конечно надо дождаться компонента «Модульная сеть» и оценить его работу вместе с сегментацией, фильтрацией доступа, политиками безопасности и прочим. Будет возможность — сделаем, оставайтесь с нами!

Касательно блокировки рекламы, то с первых дней, как появились подобные решения, позиция HWP была неизменной: блокируйте её всеми удобными средствами! Если вы до сих пор этого не сделали, то самое время попробовать нанести по ней централизованный удар, заблокировав доступ баннерам сразу ко всем устройствам в вашем доме.

Михаил Дегтярёв (aka LIKE OFF)

13/12.2018