Door Anoniem: Dus zul je op andere manier moeten filteren om te voorkomen dat de verbinding met het rogue IP-adres daadwerkelijk wordt gestart. En dan komt het aan op precieze kennis en op hoe vindingrijk men is, maar ik zie zo al 2 mogelijkheden. Naast een knap lastige oplossing die ik beschreef in https://www.security.nl/posting/626516/NCSC%3A+DoH+en+DoT+maken+dns-monitoring+moeilijker#posting626599, ken ik er zelfs nóg 3: 1) Blokkeer alle verkeer met internet en zeg dat medewerkers hun BYOD via 4G moeten gebruiken als ze willen internetten; 2) Installeer software op alle PC's die de gebruikte CSPRNG's beïnvloedt, waarna je het TLS verkeer eenvoudig kunt decrypten (meer info: https://www.bleepingcomputer.com/news/security/hackers-patch-web-browsers-to-track-encrypted-traffic/); 3) Of, zoals Anoniem van 19:48 hierboven al aangaf, zet poort 443 naar internet dicht en forceer zo het gebruik van een TLS MitM proxy, en installeer het bijbehorende rootcertificaat als trusted door Windows (Mozilla zag dit al ...