「GitHubへの社内からのアクセスをブロックする会社」記事へのコメント

元某大手メーカーや通信系やった底辺派遣スタッフより

[Anonymous Coward]

ありえるだろうな。

自分は当時底辺派遣なので社員はもしかしたら解禁されてるかもしれないが、自分が経験した８社からおいおいIT企業だろと思ったものをピックアップ。
今はスタートアップなんでまずブロッキングがない。

ほぼブロックされてたもの
・SlideShare　（うち２社は理由に社内スライドをアップロードした不届き者がいたためと理由あり）
・Twitter/YouTube/FacebookなどのSNS全般。YouTubeも意外と業務で必要だったりする。（埋め込みリンクがあると拒否されるし）

ほとんどの現場である程度解禁されたもの
・Github（SSHはもちろんダメ）
・SourceForge（広告が原因とありがたい説明をいただきました）
・ブログ系全般（はてなブログがみれないのできつかった。piyologさんみれないのつらすぎた）
・Qiita　

その他
・そもそもPOSTメソッドが禁止も結構多い。

ちなみに、ねとらぼが禁止されてたことはない。

Re:

[Anonymous Coward]

質問！質問！質問！

どうやったら（HTTPSで）POSTメソッドだけ、禁止に出来るのでしょうか？
（出ている奴、全部常時HTTPSですよね！）
URLより先、全部見えないです。
WAFを買えとかでしょうか？（現在はFortiGateのみ）

Re:

[Anonymous Coward]

親コメした者だけど、情シスさんかな？
実は派遣時代に情シスもやってたから分かる範囲で答える。個人的にはこの時代URLフィルタ自体がナンセンスだと思うけど働いてる側からすれば関係ないもんね。

大前提でTLS(HTTPS含む)はhttpsインスペクション機能がないとどうしようもない。尤もインスペクション導入したところで、それは結局MITMだからブラウザは認証局をしらないので「おめー誰だよ」といって警告画面はでる。

この辺はちゃんとやろうと思えば、LDAPやActiveDirectoryなどのディレクトリサービスを使うけども、「ブラウザの警告を無視してね」という周知をだす運用にす

Re:

[Ryo.F (3896)]

この辺はちゃんとやろうと思えば、LDAPやActiveDirectoryなどのディレクトリサービスを使うけども、「ブラウザの警告を無視してね」という周知をだす運用にすればいいんじゃね。

LDAPを使う、ってのはナゾだけど、
Active Directoryが前提条件なら、グループポリシーでTLSインスペクション機器の証明書を「信頼されたルート証明機関」として配るのが普通じゃないの?

Re:元某大手メーカーや通信系やった底辺派遣スタッフより

[nim (10479)]

大企業だと、端末キッティングのときに入れておくんだと思いますね。

Re:元某大手メーカーや通信系やった底辺派遣スタッフより

[Ryo.F (3896)]

キッティングでも悪くはありませんが、CA証明書を失効・更新することを考えると、グループポリシーで配る方が良い気がします。