Este artículo explica cómo configurar los conectores de Microsoft 365 y Microsoft Exchange para la Protección de Aplicaciones y Datos API para tu cuenta.
La Política de Protección de API de Aplicaciones y Datos requiere una licencia separada de Cato. Por favor, contacte a su representante de Cato o revendedor oficial para obtener más información.
Nota:
Por favor, contacte a SaaSecAPI@catonetworks.com o a su revendedor oficial de Cato para más información sobre el uso de la Política de Implementación de Protección de API de Aplicaciones & Datos.
Resumen de los Conectores de Microsoft Exchange
El primer paso para la solución Protección de Datos API es crear los conectores para las aplicaciones SaaS de Microsoft, Microsoft 365 y Exchange. Para cuentas con múltiples inquilinos de Azure AD, puedes crear múltiples conectores de Microsoft 365. Además, puedes crear múltiples conectores de Exchange para cada conector principal de Microsoft 365.
Cada aplicación de Microsoft Exchange y cada inquilino de Azure (según la aplicación 365) están sujetos a la limitación de tasa de Microsoft. Para más información, consulte la documentación de Microsoft.
"Requisitos previos"
El conector de Microsoft 365 requiere un administrador con el rol de administrador global para otorgar permisos a la Protección de Datos API
El conector monitorea archivos, otras acciones serán soportadas pronto
Permisos requeridos para los conectores API para Microsoft Exchange
Para habilitar la Protección de Datos API para escanear activos y contenido de los correos electrónicos de Exchange, el conector le da a Cato los siguientes permisos y acciones con la aplicación de Exchange:
Otorgar Acceso a la aplicación usando OAuth2
Recibir un token de la aplicación para establecer y mantener una conexión segura
Conectar con las APIs de Microsoft y obtener datos y escanear correos electrónicos según la Protección de Aplicaciones y Datos API
Trabajando con Conectores de Microsoft Exchange
Para habilitar la Protección de Datos API para escanear activos y contenido para Microsoft Exchange, primero debes configurar el conector de Microsoft 365 como la aplicación principal para otorgar permisos de lectura para el conector de Exchange. La aplicación principal solo tiene permisos para gestionar los conectores de Microsoft. Puedes crear fácilmente la aplicación en la Aplicación de Gestión de Cato, no es necesario configurar ajustes en Microsoft Azure. Luego crea un conector de Microsoft 365 separado para cada inquilino de Azure.
Paso 1: Crear el Conector de Microsoft 365
Usa la Aplicación de Gestión de Cato para crear el conector de la aplicación SaaS de Microsoft 365 para el inquilino de Azure para la aplicación de Microsoft Exchange que estás escaneando con la Protección de Datos API. Debe tener las credenciales correctas para autenticar la Aplicación Microsoft Exchange para añadirla a su cuenta de Cato.
Antes de que puedas crear y configurar los ajustes del conector, primero necesitas habilitar la Protección de Datos API para tu cuenta.
Primero, configura la integración de MS Tenant como el conector principal. Este conector se puede usar para todas las integraciones de Microsoft. Si ya has creado el conector principal, ve al paso 2.
Para crear el conector principal de Microsoft 365:
Desde el menú de navegación, selecciona Recursos > Integraciones y haz clic en la pestaña APIs Integradas.
Haga clic en New. Se abre el panel Nuevo Conector.
En el panel de Nuevo Conector, selecciona la aplicación de Microsoft 365.
Haga clic en Autorizar y Guardar.
Se abre una nueva pestaña del navegador a la aplicación Microsoft 365.
En la nueva pestaña del navegador, autentica la aplicación Microsoft 365:
Selecciona la cuenta de Microsoft para la aplicación Microsoft 365.
De lo contrario, puede haber un error de autenticación de Microsoft.
Ingresa la contraseña de la aplicación y apruébala.
Aceptar los permisos para permitir que Cato acceda a la aplicación de Microsoft 365.
La pantalla muestra que has aplicado los permisos exitosamente para la aplicación.
Puede cerrar la pestaña del navegador y volver al CMA.
La aplicación SaaS de Microsoft 365 se añade a la pestaña APIs Integradas.
Paso 2: Crear el Conector de Microsoft Exchange
Después de que el conector de Microsoft 365 esté conectado a tu cuenta de Cato, puedes crear los conectores de Exchange requeridos. El conector de Exchange permite al motor de detección de API SaaS de Cato escanear correos electrónicos por el contenido que defines en la política de Protección de Datos. Se generan eventos para cualquier correo electrónico que coincida con una regla en la política.
Nota:
Cuando crea un conector API para una aplicación de Microsoft 365, el conector crea un certificado de autenticación que es válido por 3 meses y renueva el certificado 7 días antes del vencimiento.
Para crear el conector para Microsoft Exchange:
Desde el menú de navegación, selecciona Recursos > Integraciones y haz clic en la pestaña APIs Integradas.
Haga clic en New. Se abre el panel Nuevo Conector.
Crea una nueva Aplicación SaaS Exchange, para el Conector Principal que creaste en el paso anterior.
Actualmente, solo se soportan permisos y acciones de Lectura para la aplicación de Exchange. Sin embargo, los permisos y acciones de Lectura/Escritura serán soportados pronto.
Haga clic en Autorizar y Guardar.
En una nueva pestaña del navegador, autentícate en la aplicación de Exchange.
Selecciona la cuenta de Microsoft para la aplicación de Exchange e inicia sesión.
Ingresa la contraseña de la aplicación y apruébala.
Aceptar los permisos para que Cato acceda a la aplicación de Exchange.
La pantalla muestra que has aplicado los permisos exitosamente para la aplicación.
Puedes cerrar la pestaña del navegador y regresar a la Aplicación de Gestión de Cato.
Puede tomar varios segundos para que Microsoft Azure procese la solicitud, así que si recibes un error, actualiza el navegador.
La aplicación SaaS de Exchange se añade a la pestaña APIs Integradas.
Añadiendo Reglas de Exchange a la Política de Protección de Datos
Esta sección explica cómo usar la política de Protección de Datos para monitorear y gestionar los mensajes y archivos adjuntos que tus usuarios envían con Microsoft Exchange.
Configuración de Reglas de Exchange
Utilice la página de Protección de Datos para agregar las reglas de la aplicación SaaS a su política de Protección de Datos.
Para más información sobre la configuración de reglas de Exchange, consulte a continuación Comprendiendo las Reglas de Exchange.
Para crear una nueva regla de Protección de Datos para la aplicación de Exchange:
Desde el panel de navegación, seleccione Seguridad > Protección de API de Aplicaciones & Datos y seleccione o expanda Protección de Datos.
Haga clic en New. Se abre el panel de Nueva Regla.
En Conector de Aplicación, selecciona la aplicación de Exchange.
En la sección Configuración general, ingrese la configuración para la regla.
En Remitente, defina los usuarios de Azure AD que envían el correo (la configuración predeterminada es Cualquiera).
En Destinatarios, defina los usuarios de Azure AD que reciben el correo (la configuración predeterminada es Cualquiera).
En Archivos adjuntos, defina los criterios para especificar los archivos adjuntos del correo electrónico que se escanean (la configuración predeterminada es escanear todos los archivos adjuntos).
En Perfil de contenido, selecciona el Perfil de Contenido DLP para esta regla.
Puede ingresar palabras clave en el Asunto del correo electrónico, para limitar los escaneos solo a los correos electrónicos que contengan esas palabras clave.
Para más información sobre los Perfiles de Contenido DLP, consulte Creación de Perfiles de Contenido DLP.
En Acciones, seleccione Monitorear.
(Opcional) Configure opciones de seguimiento para generar Eventos y Enviar Notificaciones.
Para obtener más información sobre notificaciones, consulte el artículo relevante sobre Grupos de Suscripción, Listas de Correo e Integraciones de Alertas en la sección de Alertas.
Hacer clic en Guardar. La regla se agrega a la política de Protección de Datos.
Entendiendo las Reglas de Exchange
Esta sección explica cómo definir la configuración para las reglas de Protección de Datos para escanear el tráfico correcto de Exchange.
Remitente - usuarios individuales, o tipos de usuarios de Azure que envían el correo electrónico (el valor predeterminado es Cualquiera)
Destinatarios - usuarios individuales, tipos de usuarios de Azure, o dominios de correo electrónico que reciben el correo electrónico (el valor predeterminado es Cualquiera)
Archivos adjuntos - Criterios para archivos adjuntos que se escanean (el valor predeterminado es Todos los archivos)
Tipo de archivo
Nombre de archivo
Tamaño del archivo (el tamaño máximo de archivo es 100 MB)
Perfil de contenido - Perfil de Contenido DLP que define la inspección de contenido DLP (Seguridad > Perfiles DLP > Perfiles DLP > Perfil de Contenido)
Trabajando con Remitentes y Destinatarios
Puede definir Remitentes y Destinatarios específicos para cada regla en la política de Protección de Datos. La Aplicación de Gestión de Cato se conecta al Azure AD para el inquilino definido en el Conector de Office 365. Los usuarios individuales que se muestran para una regla se basan en este Azure AD, y NO están relacionados con los usuarios definidos para su cuenta de Cato.
Si no ve al usuario requerido, asegúrese de que el usuario esté correctamente definido en el inquilino de Azure AD, y luego configure la regla de Protección de Datos.
Azure AD define estos tipos de usuarios:
Interno
Externo
Usuario
Para los Destinatarios de una regla, también puede definir dominios de direcciones de correo electrónico.
Definiendo archivos o adjuntos para una regla
Puedes definir archivos específicos (o archivos adjuntos) para una regla y limitar el motor API SaaS para solo escanear los archivos especificados para ver si coinciden con el perfil de contenido DLP.
Cuando agregas varios archivos a una regla, selecciona la relación entre ellos:
Satisfacer cualquiera (O) - Coincide con solo uno de los Tipos de Archivo en la regla
Satisfacer todos (Y) - Coincidir con todos los Tipos de Archivo en la regla (de lo contrario, se ignora la regla)
Puedes usar la configuración del Nombre del archivo en una regla para definir el nombre del archivo exacto o usar comodines para definir palabras clave. Por ejemplo, puedes definir el Nombre del archivo como interno para que coincida con todos los nombres de archivos que contengan la palabra interno.
Trabajando con reglas de protección de datos ordenadas
El motor de API de Protección de Datos inspecciona los datos secuencialmente y verifica si coincide con una regla. Si los datos no coinciden con una regla, entonces no son inspeccionados. Las reglas que están en la parte superior de la base de reglas tienen una mayor prioridad y se aplican antes que las reglas más bajas en la base de reglas. Cada tipo de aplicación o conector se aplica solo una vez a los datos.
Mejores prácticas - Para maximizar la eficiencia de su base de reglas, recomendamos que para cada tipo de conector, las reglas para usuarios específicos tengan una prioridad más alta que las reglas que se aplican a Todos los usuarios.
Por ejemplo, si los datos coinciden con un conector en la regla #2, los datos son inspeccionados por el motor API de Protección de Datos. El motor no continúa aplicando las reglas n°3 y siguientes para el mismo conector. Sin embargo, los datos podrían coincidir con una regla de prioridad más baja con un conector diferente.
Agregando protección contra amenazas al conector
Puedes crear Reglas de Protección contra Amenazas para el conector para Escanear archivos y Archivos adjuntos en busca de Malware y virus utilizando los Motores de terceros Anti-Malware y Motores de terceros NG Anti-Malware que están Habilitados para tu Cuenta. El motor API de Protección de Datos escanea el tráfico del conector y aplica las opciones de acción y seguimiento que configures para la regla:
Monitorear el tráfico (pronto se soportará bloqueo)
Genera eventos
Enviar notificaciones por email
Cuando creas una regla App & Data API Protection, los motores Anti-Malware que están habilitados para tu cuenta (Seguridad > Anti-Malware) realizan escaneos de malware en los archivos que se envían para esa aplicación de conector.
La siguiente captura de pantalla muestra una regla de Protección contra Amenazas para el conector de OneDrive que escanea los archivos enviados por los usuarios internos o los invitados:
Creando una excepción para un archivo
A veces hay un archivo bloqueado por los motores de API de Protección de Datos de Cato que sabe que es seguro y necesita permitirlo en la red. Las excepciones de Anti-Malware en la política de Hash del archivo también se aplican a la Protección de API de Aplicaciones y Datos. Para más información sobre cómo agregar archivos a la Política de Hash del archivo, consulte Gestión de Excepciones de Anti-Malware.
Analizando Eventos de la API de Protección de Datos
La página Inicio > Eventos muestra todos los eventos de la API de Protección de Datos para su cuenta. Las herramientas de búsqueda poderosas permiten profundizar e identificar los pocos eventos que contienen los datos relevantes que necesita.
Los eventos de la API de Protección de Datos pueden ser identificados por los siguientes campos:
Tipo de evento - Seguridad
Sub-Tipo - Protección de datos de API de seguridad SaaS y Anti Malware de API de seguridad SaaS
Puede aprender más sobre el uso de la página de Eventos aquí.