This discussion has been locked.

You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Blocked Site gvt1.com erscheint im Log und täglichen Report

Hallo,

ich habe hier ein seltsames Problem. Da die Seite gvt1.com in den täglichen Berichten erschien wollte mein Chef diese Seite geblockt haben.

Komischerweise lies sich diese Seite nicht wie die anderen geblockten Seiten über einen Eintrag in die Gruppe INET-BLOCK und der zugehörigen Firewallregel welche den Verkehr für diese Gruppe blockt einrichten.

Über einen Eintrag in dem verwendeten Standardprofil lies sie sich dann blocken, was der Richtlinientest besagte:

Auch über eine die Eingabeaufforderung lässt sich die Adresse nicht mehr anpingen:

Nur jetzt fiel diese Domain wieder auf, da sie in den täglichen Berichten, welche von Sophos verschickt werden wieder bei den 10 häufigsten Domains auftauchte. Wenn ich in den Protokolen unter Web Protection nachsehe taucht diese Adresse auch wieder auf:

Was mache ich falsch oder geht hier schief? Und ist diese Site bedenklich? Wo finden diese Aufrufe statt?

Vielen Grüße

Eva Wacker

This thread was automatically locked due to age.

Parents

0 CS over 8 years ago

Hallo Eva,

Es könnte ein Redirektor sein, über den aber auch schädlicher Content verteilt werden könnte.

Verwendest Du den Proxy, dann gilt die Firewall-Regel nicht für den Http/Https Verkehr.

Wenn nun aber die Kommunikation via Https verschlüsselt erfolgt und der Proxy nicht für das Aufbrechen des Verkehrs konfiguriert ist (Vorsicht, hier muss einiges beachtet werden), dann kriegt er gar nicht mit, welche URL tatsächsich angefragt wird und kann auch nicht blocken. Das funktioniert nur, wenn Client und Server mitspielen.

Siehe: http://de.wikipedia.org/wiki/Server_Name_Indication

Das könnte der Grund für dieses Verhalten sein.

Bekomme lieber heraus, von welchem PC und wann die Aufrufe erfolgen, um die Ursache zu finden.

Viel Glück

CS
Cancel
Vote Up 0 Vote Down

Cancel
0 Eva Wacker over 8 years ago in reply to CS

Hallo CS,

vielen Dank für Deine schnelle Antwort. Sie hat mich auch auf die Lösung des Problems geführt.

Als ich die Logs genauer betrachtet habe, um unter anderem die aufrufenden PCs und die Uhrzeit herauszufinden fielen mir Adressen wie folgende auf:

redirector.gvt1.com/.../60.0.3112.90_59.0.3071.115_chrome_updater.exe
http://r5---sn-4g5edne6.gvt1.com/edgedl/release2/AJUkn8fMmtvn_60.0.3112.90/60.0.3112.90_59.0.3071.115_chrome_updater.exe?cms_redirect=yes&expire=1502272604&ip=87.139.139.244&ipbits=0&mm=28&mn=sn-4g5edne6&ms=nvh&mt=1502258114&mv=m&pl=26&shardbypass=yes&sparams=expire,ip,ipbits,mm,mn,ms,mv,pl,shardbypass&signature=5883E753F578D8088B41E1A2F4A359E63C907693.0126C22621FF0E32711AB8DA24937C7F9AF1AAA5&key=cms1

Ein Eintrag im verwendeten Standardfilter bei blockierten Websites mit regulären Expressions wie folgender:

^https?://([A-Za-z0-9.-]*\.)?gvt1\.com/[A-Za-z0-9.-]*

hat dann gegriffen und so eine 'verbackene URL' wie https://redirector.gvt1.com im Log als geblockt angezeigt. ;-)

Super, vielen Dank nochmal

und viele Grüße

Eva
Cancel
Vote Up 0 Vote Down

Cancel
0 Jelle over 6 years ago in reply to Eva Wacker

Die Domain wird u.a. bei Updates von Android-Systemen gerufen.

Ich denke durch das blocken werden Google Updates (Android, Chrome etc.) blockiert.

Wenn das so gewünscht ist wird es richtig sein.
Cancel
Vote Up 0 Vote Down

Cancel

Reply

0 Jelle over 6 years ago in reply to Eva Wacker

Die Domain wird u.a. bei Updates von Android-Systemen gerufen.

Ich denke durch das blocken werden Google Updates (Android, Chrome etc.) blockiert.

Wenn das so gewünscht ist wird es richtig sein.
Cancel
Vote Up 0 Vote Down

Cancel

Children

No Data