Was versteht man unter URL-Reputation?

Die URL-Reputation ist eine Risikoeinstufung – „vertrauenswürdig“, „geringes Risiko“, „mäßiges Risiko“, „verdächtig“ oder „hohes Risiko“ –, die Geräte mit dem Betriebssystem „ Versa “ (VOS) einer URL oder IP-Adresse auf der Grundlage von Bedrohungsinformationen zuweisen. Zusammen mit der URL-Kategorie bestimmt sie, welche sicherheitsrelevante Maßnahme – Zulassen, Blockieren, Warnung oder Weiterleitung zu einem Captive Portal – für eine Sitzung gilt.

Die wichtigsten Erkenntnisse

• Die URL-Reputation stuft das Risiko einer URL von „vertrauenswürdig“ bis „hohes Risiko“ ein.
• VOS kombiniert die Reputation mit der URL-Kategorie und wendet die strengere Regel an.
• Die vordefinierten Reputationswerte stammen aus der Cloud-Datenbank von Versa, die 2 Milliarden URLs umfasst.
• Administratoren können benutzerdefinierte Reputationswerte festlegen und vordefinierte Werte überschreiben.
• Bei der IP-Filterung kann auf die URL-Reputation zurückgegriffen werden, um die Sperrung sicherer Websites zu vermeiden.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · URL-Reputation & Versa · Häufig gestellte Fragen

Warum ist die URL-Reputation wichtig?

Kategorien allein sind ein ungenaues Instrument. Eine Website kann in einer legitimen Kategorie – Wirtschaft, Technologie, Nachrichten – eingestuft sein und dennoch kompromittiert sein, für eine Phishing-Kampagne neu registriert worden sein oder Malware hosten, lange bevor jemand dazu kommt, sie neu zu klassifizieren. Die URL-Reputation schließt diese Lücke: Sie bewertet das tatsächliche Risiko der URL, unabhängig davon, worum es sich angeblich handelt, und ermöglicht es einer Sicherheitsrichtlinie, auf Bedrohungsinformationen zu reagieren, anstatt sich auf eine statische Kennzeichnung zu stützen.

Diese Unterscheidung ist vor allem für jene URLs von Bedeutung, die eine kategorienbasierte Richtlinie andernfalls durchlassen würde. Eine kompromittierte Unternehmenswebsite oder eine frisch registrierte Lookalike-Domain, die zum Phishing von Anmeldedaten genutzt wird, kann zwar einer völlig harmlosen Kategorie zugeordnet sein, wird jedoch aufgrund ihrer Reputation als „verdächtig“ oder „hohes Risiko“ gekennzeichnet. Die gemeinsame Bewertung von Kategorie und Reputation – und die Anwendung der strengeren der beiden Regeln – ermöglicht es einem URL-Filterprofil, Bedrohungen zu erkennen, die bei einer reinen Kategorisierung nach Thema übersehen würden, ohne dabei ganze legitime Kategorien pauschal zu blockieren.

Was versteht man unter URL-Reputation?

Auf einem VOS-Gerät kann jede angeforderte URL neben ihrer Kategorie einen Reputationswert enthalten: „Vertrauenswürdig“, „Geringes Risiko“, „Mäßiges Risiko“, „Verdächtig“ oder „Hohes Risiko“, wobei „Undefiniert“ als Ausweichwert dient, wenn keine Daten vorliegen. VOS sucht diesen Wert in einer lokalen Datenbank mit bis zu 20 Millionen URLs oder – sofern die Cloud-Abfrage aktiviert ist – in der cloudbasierten Datenbank von Versamit mehr als 2 Milliarden kategorisierten URLs – die täglich oder in Echtzeit durch Updates des Sicherheitspakets (SPack) aktualisiert wird.

Reputation und Kategorie werden gemeinsam bewertet, nicht unabhängig voneinander. Wenn ein URL-Filterprofil separate Regeln für Kategorie und Reputation enthält und diese beiden Regeln voneinander abweichen – beispielsweise „Zulassen“ für die Kategorie, aber „Blockieren“ für die Reputation –, wendet VOS die strengere Maßnahme an. Sind für eine URL weder vordefinierte noch benutzerdefinierte Daten verfügbar, greift VOS auf die Standard-Reputation „Verdächtig“ zurück, anstatt die URL standardmäßig als sicher einzustufen.

Arten der URL-Reputation

VOS unterscheidet fünf abgestufte Reputationsstufen, geordnet von der sichersten zur risikoreichsten: „Vertrauenswürdig“, „Geringes Risiko“, „Mäßiges Risiko“, „Verdächtig“ und „Hohes Risiko“ – sowie „Undefiniert“ für URLs ohne Reputationsdaten. Jede Stufe kann in einer Reputations-Aktionszuordnung unabhängig zugeordnet werden, sodass eine Richtlinie beispielsweise Datenverkehr der Stufen „Vertrauenswürdig“ und „Geringes Risiko“ zulassen und Datenverkehr der Stufen „Verdächtig“ und „Hohes Risiko“ blockieren kann, ohne die Kategorien zu beeinflussen, zu denen diese URLs gehören.

Die Reputationswerte unterscheiden sich zudem je nach Quelle. Vordefinierte Reputationswerte stammen aus der ständig aktualisierten URL-Datenbank von Versa, die durch SPack-Updates auf den neuesten Stand gebracht wird. Mit benutzerdefinierten Reputationswerten können Administratoren bestimmten URLs einen Reputationswert zuweisen oder diesen überschreiben – anhand einer exakten Zeichenfolge oder eines regulären Ausdrucks, die einzeln eingegeben oder als CSV-Datei hochgeladen werden. Wenn für dieselbe URL beide Werte vorliegen, wendet VOS den Wert mit dem höheren Risiko an.

URL-Reputation & Versa

Bei der URL-Filterung kommt die URL-Reputation zum Tragen: Über die Reputations-Aktionszuordnung eines URL-Filterprofils können Administratoren für jede Reputationsstufe eine Aktion festlegen (Zulassen, Blockieren, Warnung, Verwerfen oder Captive Portal), die zusammen mit der Kategorie-Aktionszuordnung des Profils ausgewertet wird, wobei die strengere Regel Vorrang hat. Das gleiche Reputationsmodell kommt auch in den URL-Filterprofilen der NGFW zum Einsatz, und Administratoren können die aktuelle Kategorie und Reputation einer beliebigen URL direkt in Director mithilfe des integrierten Tools „URL nachschlagen“ abrufen.

Die Reputation spielt auch bei der IP-basierten Durchsetzung eine Rolle. In den Sicherheitsrichtlinien für Cloud-Firewalls kann ein Profil für die IP-Filterung anhand der geografischen Lage so konfiguriert werden, dass die URL-Reputation Vorrang vor der IP-Reputation hat – sodass eine legitime Website, die auf einer IP-Adresse mit schlechter Reputation gehostet wird, nicht sofort blockiert wird, vorausgesetzt, ihre URL-Reputation erfüllt einen vom Administrator festgelegten Schwellenwert, der von „vertrauenswürdig“ bis hin zu „hohes Risiko“ reicht.

Häufig gestellte Fragen

Welche Rufstufen gibt es bei „ Versa “?

VOS ordnet URLs fünf abgestuften Stufen zu – „Vertrauenswürdig“, „Geringes Risiko“, „Mäßiges Risiko“, „Verdächtig“ und „Hohes Risiko“ – von der sichersten bis zur risikoreichsten Stufe, sowie „Undefiniert“, wenn keine Reputationsdaten vorliegen. Richtlinien können einer oder mehreren Stufen in einer Reputations-Aktionszuordnung zugeordnet werden, um den Datenverkehr entsprechend zuzulassen, eine Warnung auszugeben, ihn zu blockieren oder umzuleiten.

Was passiert, wenn die Maßnahmen zur URL-Kategorie und zur URL-Reputation voneinander abweichen?

VOS wertet die Kategorie-Aktionskarte und die Reputations-Aktionskarte gleichzeitig aus und wendet die strengere der beiden Maßnahmen an. Wenn beispielsweise die entsprechende Kategorieregel eine URL zulässt, die Reputationsregel sie jedoch blockiert, blockiert VOS die Sitzung, anstatt der weniger strengen Regel den Vorrang zu geben.

Welche Reputation erhält eine unbekannte URL standardmäßig?

Wenn für eine URL keine vordefinierte Kategorisierung und keine benutzerdefinierte Reputation konfiguriert ist, weist VOS ihr die Standard-Reputation „Verdächtig“ zu, anstatt sie als sicher einzustufen. Diese vorsichtige Standardvorgehensweise gilt immer dann, wenn die Cloud-Abfrage deaktiviert ist und die URL noch nicht in der lokalen SPack-Datenbank vorhanden ist.

Können Administratoren eine vordefinierte URL-Reputation außer Kraft setzen?

Ja. Administratoren können benutzerdefinierte URL-Reputationsobjekte erstellen, die URLs anhand eines exakten Zeichenfolgen- oder Regex-Musters abgleichen, das entweder einzeln eingegeben oder als CSV-Datei hochgeladen wird. Diese benutzerdefinierten Werte können die vordefinierte Reputation überschreiben, die VOS andernfalls aus seiner lokalen oder cloudbasierten Datenbank zuweisen würde.

Inwiefern wirkt sich die URL-Reputation auf die IP-Adressfilterung aus?

Ein IP-Filterprofil mit Geolokalisierung kann der URL-Reputation Vorrang vor der IP-Reputation einräumen: Wenn die URL-Reputation einen vom Administrator festgelegten Schwellenwert erreicht, wird der Datenverkehr anhand der URL-Filterung bewertet, anstatt aufgrund einer schlechten IP-Reputation sofort blockiert zu werden. Dadurch wird verhindert, dass legitime Websites auf markierten IP-Adressen unnötigerweise blockiert werden.

Mehr zum Thema URL-Reputation

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit dem Thema „URL-Reputation“ beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.