تكوين سياسة فحص TLS للحساب

تتناول هذه المقالة كيفية تكوين وتخصيص سياسة فحص TLS لتلبية الاحتياجات المحددة لشبكتك.

نظرة عامة على سياسة فحص TLS الخاصة بـ Cato

اليوم، معظم حركة مرور الشبكة مشفرة (TLS, HTTPS)، مما يقلل غالبًا من الاستفادة عند فحص الحركة باستخدام IPS، جدار الحماية الإلكتروني، سياسة التحكم بالتطبيقات، وحركة المرور لمكافحة البرمجيات الضارة. إذا كانت الحركة تحتوي على محتوى ضار، فإنها تكون مشفرة أيضًا ولا يمكن لمحركات الأمان Cato فحصها أو فحصها.

عندما تقوم بتمكين فحص TLS لحسابك، يفك تشفير حركة المرور بفعالية عند مرورها عبر PoP وتفحص محركات الأمان Cato الحركة بحثًا عن البرمجيات الضارة وتفحص الملفات المحملة. إذا تأكد أن محتوى الحركة آمن، يعيد تشفير Cato الحركة ويحولها إلى الوجهة المطلوبة. ومع ذلك، إذا كان المحتوى يحتوي على برمجيات ضارة أو مشتبه بها، فإن محركات الأمان Cato تحظر الحركة.

يمكنك اختيار استخدام سياسة Cato الافتراضية التي تفحص كل الحركة. يمكنك أيضًا إنشاء قواعد فحص TLS محددة تُحدد أي حركة تُفحص وأي حركة تتجاوز فحص TLS.

تنويه:

افتراضيًا، يتم تجاوز فحص TLS لأنظمة التشغيل التالية:

• أندرويد (بسبب مشاكل تتعلق بتثبيت الشهادات)

• لِينُكس

• أنظمة التشغيل غير المعروفة

قواعد التخطي الافتراضية للتطبيقات الخاصة بـ Cato

تتضمن Cato عدة تطبيقات في قاعدة تجاوز دائم يتم استبعادها تلقائيًا من فحص TLS. لقائمة هذه التطبيقات، انظر أدناه قواعد تجاوز الافتراضية.

زمن الانتظار لفحص TLS

من المتوقع حدوث بعض التأخير الأولي عند الاتصال بسبب عمليات المصافحة TCP وTLS التي تحدث قبل تدفق البيانات إلى الشبكة المناسبة أو محرك الأمان في PoP. يبلغ هذا التأخير حتى 10 ميلي ثانية لكل حزمة.

العمل مع قاعدة قواعد فحص TLS المرتبة

يقوم محرك فحص TLS بفحص الاتصالات بشكل تسلسلي، ويتحقق مما إذا كانت الاتصال تطابق قاعدة. القاعدة النهائية في قاعدة القواعد هي قاعدة افتراضية ض隐 - ض隐 فحص - لذلك إذا لم تطابق الاتصال قاعدة، يتم فحصه تلقائيًا.

يمكنك مراجعة إعدادات القاعدة الافتراضية في قسم القواعد الافتراضية بنهاية قاعدة القواعد. لا يمكن تعديل إعدادات القواعد إلا بإستثناء إجراء شهادة الخادم غير الموثوق بها. لمزيد من المعلومات حول إجراء شهادة الخادم غير الموثوق بها، انظر أدناه إضافة قواعد لتخصيص سياسة فحص TLS.

القواعد التي تكون في الجزء العلوي من قاعدة القواعد لها أولوية أعلى لأنها تُطبق على الاتصالات قبل القواعد الأقل في قاعدة القواعد. على سبيل المثال، إذا تطابقت الاتصال مع القاعدة #2، يتم تطبيق الإجراء لهذه القاعدة على الاتصال وتوقف محرك فحص TLS عن تطبيق السياسة على الاتصال. وهذا يعني أن القواعد #3 وما أدناها لا تُطبق على الاتصال.

مراجعات السياسة والتحرير المتزامن من قبل عدة إداريين

تسمح سياسة فحص TLS لمختلف المسؤولين بتعديل السياسة بالتوازي. يمكن لكل مسؤول تعديل القواعد وحفظ التغييرات في قاعدة القواعد في المراجعة الخاصة به، ثم نشرها على سياسة الحساب (المراجعة المنشورة). للحصول على مزيد من المعلومات حول كيفية إدارة مراجعات السياسة، انظر العمل مع مراجعات السياسة.

RBAC لإدارة السياسات

سياسة التفتيش TLS تدعم تكوين السياسات الفرعية التي تتيح لك تعيين RBAC لمجموعة من القواعد لمنح المسؤولين استقلالية حول المجالات التي يتحملون مسؤوليتها، مع الحفاظ على التحكم المركزي وحدود الأمن. لمزيد من المعلومات، يُرجى الرجوع إلى تكوين RBAC لإدارة السياسات.

العمل مع معالج تكوين فحص TLS

يقوم المعالج تكوين فحص TLS بمراجعة سياستك بشكل مستقل باستخدام هذه الفحوصات والرؤى. عند فشل الفحص، يمكنك مراجعة وتحديث سياستك مباشرة في الدليل دون تعديل القواعد الفردية. يساعدك ذلك على البقاء آمنًا أثناء تبسيط إدارة السياسة. لمزيد من المعلومات، انظر استخدام دليل التكوين.

فهم سياسة تفتيش TLS

استخدم صفحة سياسة فحص TLS لتكوين سياسة فحص TLS لجميع الحركة المرورية في حسابك.

التعامل مع عناصر متعددة

عندما يكون هناك عناصر متعددة في حقل المصدر، أو حقل ما، مثل مجموعتين أو فئتين، فهناك علاقة OR بين هذه العناصر.

تثبيت شهادة الجذر لـ Cato على أجهزة المستخدم النهائي

يجب تثبيت شهادة جذر Cato كشهادة موثوقة على كل جهاز وحاسوب يتصل بـ Cato Cloud. للمزيد من المعلومات حول تثبيت شهادة Cato، انظر تثبيت شهادة الجذر لفحص TLS.

• لا يمكن تثبيت شهادة Cato على معظم أنظمة التشغيل المضمنة (OS)، لذلك تفقد العديد من الأجهزة التي تستخدم أنظمة تشغيل مضمنة الاتصال عند تمكين فحص TLS. لمزيد من المعلومات حول نظام التشغيل الذي يدعمه Cato لفحص TLS، انظر أفضل الممارسات لفحص TLS.

فرض إصدارات TLS ومجموعات التشفير

بشكل افتراضي، يتم السماح بجميع إصدارات TLS وأطقم التشفير. لحجب إصدارات TLS القديمة وغير الآمنة أو لمنع استخدام أطقم التشفير الضعيفة في الحركة المشفرة، يمكن لسياسة فحص TLS فرض الحد الأدنى لإصدارات بروتوكول TLS وقوة أطقم التشفير لحركة الحساب.

يتم تقسيم خيارات تكوين أطقم التشفير إلى ثلاثة مستويات، بناءً على إعدادات Mozilla الموصى بها. بعض إصدارات TLS غير متوافقة مع مستويات معينة. للمزيد من المعلومات وقائمة مجموعات الشفرات في كل مستوى، انظر توثیق Mozilla.

حجب حركة مرور QUIC وGQUIC لفحص TLS

QUIC و GQUIC هما بروتوكولات نقل طورتها Google ولا تعمل عبر الاتصالات TCP، ولا يمكن فحص الحركة باستخدام هذه البروتوكولات بواسطة خدمة فحص TLS. لذلك نوصي بأن تقوم الحسابات التي تقوم بتمكين فحص TLS بحظر حركة QUIC و GQUIC باستخدام قواعد جدار الحماية الإنترنت. القواعد التي تحظر هذه الحركة تجبر التدفقات على الاتصال فقط باستخدام بروتوكولات يمكن فحصها بواسطة خدمة فحص TLS. إذا سمحت بحركة المرور باستخدام بروتوكولات QUIC و GQUIC، فلن يتم فحص التدفقات وسيتم حظرها بلا داعي.

في المرة الأولى لتمكين سياسة فحص TLS، يتم إضافة قواعد لحظر حركة QUIC و GQUIC تلقائيًا إلى سياسة جدار الحماية الإنترنت. إذا كانت سياسة جدار الحماية الإنترنت تحظر بالفعل حركة QUIC بحيث يمكن فحصها بشكل صحيح، فلن يتم إضافة قواعد جديدة.

للمزيد من المعلومات حول حركة المرور QUIC وGQUIC، انظر سياسات الجدار الناري للإنترنت وWAN - أفضل الممارسات.

تكوين سياسة تفتيش TLS

عند تكوين سياسة فحص TLS، يمكنك تمكين سياسة فحص Cato TLS الافتراضية أو تخصيص السياسة بإضافة قواعدك الخاصة.

قواعد التجاوز الافتراضية

تدير Cato قواعد تفتيش TLS الافتراضية التي تتجاوز تطبيقات وأنظمة تشغيل وعملاء محددة قد تسبب مشاكل. تتموضع هذه القواعد في الجزء العلوي من القاعدة ولا يمكن تحريرها. لمساعدتك في التخطيط واتخاذ القرارات بشأن سياسة تفتيش TLS، يمكنك عرض الإعدادات لهذه القواعد في قسم قواعد التجاوز الافتراضية.

عندما تكون هناك عناصر متعددة في حقل ما، مثل تطبيق و FQDN، هناك علاقة AND بين هذه العناصر.

موارد متعلقة

• أفضل ممارسات لفحص TLS

• أجنحة سايبر TLS المدعومة لفحص Cato