Per i proxy HTTP standard è sufficiente guardare i primi byte di ogni connessione TCP, il che significa che può essere già rilevato senza fare un'analisi troppo approfondita. Un proxy HTTP richiede un aspetto diverso da una normale richiesta HTTP, cioè
non-proxy: GET / HTTP/1.1
proxy: GET http://example.com/ HTTP/1.1
Esistono differenze simili per HTTPS, dove una connessione non proxy inizia con ClientHello dall'handshake TLS mentre una connessione proxy HTTP inizia con l'uso di un metodo CONNECT. È possibile rilevare i proxy SOCKS allo stesso modo quando si guardano i primi pochi byte dal client.
Per altri tipi di protocolli proxy speciali (non standard) o per soluzioni VPN probabilmente rilevano e bloccano l'accesso a specifici IP e porte di destinazione, vedi Come rilevare e bloccare il traffico del programma UltraSurf e Come rilevare e bloccare il traffico del programma Hotspot Shield ( applicazione openvpn) .
Sono abbastanza sicuro che sarai in grado di aggirare questi rilevamenti utilizzando i tuoi tunnel, ovvero il tunneling attraverso SSH o l'utilizzo di strumenti come link . Tuttavia, i primi tentativi di elusione da parte della maggior parte degli utenti verranno probabilmente rilevati e se punirai le violazioni delle policy abbastanza duramente la maggior parte degli utenti non tenterà di nuovo con una tecnologia di elusione diversa.
... they are potential avenues for delivering advanced threats such as viruses, botnets and malware
Ciò significa che, consentendo connessioni arbitrarie a Internet, si aumenta la possibilità di essere infettati da malversisement o siti Web compromessi o altrimenti dannosi. Questo è assolutamente vero.
E una volta che il malware è all'interno della maggior parte dei prodotti, probabilmente non sarà di grande aiuto rilevare la comunicazione CnC del malware perché il malware utilizza i propri protocolli o ha costruito la propria comunicazione CnC basata su siti pubblici. Per citare il un report di FireEye 2013 "Malware Callbacks" :
To evade detection, CnC servers are leveraging social networking sites like Facebook and Twitter for communicating with infected machines. Also, to mask exfiltrated content, attackers embed information inside common files, such as JPGs, to give network scanning tools the impression of normal traffic.