Wat is SNI en waarom is het belangrijk voor monitoring?
Server Name Indication (SNI) is een veld in de TLSTLS: Transport Layer Security. De versleuteling die het meeste internetverkeer beschermt, zoals HTTPS.-ClientHello waarin de client de gewenste site noemt, zoals login.example.com, omdat veel sites één IP-adres delen en de server moet weten welk certificaat hij moet tonen. Het wordt verstuurd voordat de versleuteling begint, dus iedereen op de route kan het lezen. Voor monitoring is het een van de nuttigste velden in versleuteld verkeer: het noemt de dienst achter een IP-adres, wat helpt om een AI-assistent, een site voor bestandsdeling of een bekende bedrijfsapplicatie te onderscheiden van een onbekende server, zonder inhoud te lezen. De meeste webfilters en veel firewalls steunen er ook op. Twee dingen verminderen de waarde: verbindingen rechtstreeks naar een IP-adres dragen geen zinvolle naam, en Encrypted Client Hello (ECH) verbergt de echte naam achter een publieke voornaam. Dan worden DNS-antwoorden en de geschiedenis van elke bestemming belangrijker. NetSenX leest de servernaam uit de handshake waar zijn agent pakketten vastlegt, op Linux of als SPANSPAN: switch port analyser (spiegelpoort). Een switchinstelling die een kopie van het verkeer naar één poort stuurt, waar een sensor het kan bekijken./TAPTAP: test access point. Een klein apparaat dat het verkeer op een netwerkkabel kopieert voor een sensor.-sensor.
Lees verder
Gerelateerde vragen
Begrippen op deze pagina
- TLS (Transport Layer Security)
- De versleuteling die het meeste internetverkeer beschermt, zoals HTTPS.
- SPAN (switch port analyser (spiegelpoort))
- Een switchinstelling die een kopie van het verkeer naar één poort stuurt, waar een sensor het kan bekijken.
- TAP (test access point)
- Een klein apparaat dat het verkeer op een netwerkkabel kopieert voor een sensor.
← Alle 40 vragen over Versleuteling en versleuteld verkeerAlle onderwerpen