Comprender la URL de ruta completa para App Control vs Internet Firewall

Este artículo analiza cómo los diferentes motores de seguridad en Cato Cloud manejan datos para la URL de ruta completa dentro de un flujo de tráfico.

"Visión general"

Las solicitudes HTTP son manejadas de manera diferente por el motor de Firewall que se utiliza para la política de Internet Firewall y el motor de App Control que se usa para la política de Control de Aplicación. La plataforma Cato incluye múltiples motores de seguridad que analizan y procesan simultáneamente los flujos de tráfico, y puede ser difícil entender cómo se extraen y registran los datos, como la URL de ruta completa, de un flujo específico en un evento.

Para obtener más información sobre los motores de seguridad de Cato, consulte Understanding Packet Flow with Cato SPACE Architecture.

Analizando Solicitudes HTTP para Control de Aplicaciones vs Motor de Firewall

El URL es un atributo que a menudo cambia con cada solicitud HTTP dentro de un flujo de tráfico. Los motores de firewall están diseñados para equilibrar seguridad y rendimiento y no inspeccionan cada solicitud HTTP que ocurre dentro de un flujo. Esto significa que los datos de la URL de ruta completa para eventos de firewall de Internet pueden ser engañosos. El PoP hace su mejor esfuerzo para enriquecer los eventos con datos adicionales, y es posible que los eventos del Firewall de Internet contengan los datos de URL de ruta completa.

Por otro lado, el motor de App Control examina cada solicitud HTTP con una sesión y registra los datos de URL de ruta completa. Para los clientes que están usando el servicio CASB, los eventos de tráfico de App Security contendrán los datos de URL de ruta completa para las aplicaciones en la nube relevantes, porque el motor de App Control extrajo esos datos.

La principal diferencia entre el motor de App Control y el motor de Firewall es la frecuencia con la que se inspeccionan las solicitudes HTTP:

• Motor de App Control:

  • Para políticas de Control de Aplicación (CASB), inspecciona cada solicitud HTTP con un flujo de tráfico

  • Registra el campo URL de Ruta Completa para eventos

• Motor de Firewall:

  • Para políticas de Firewall de Internet, inspecciona la primera solicitud HTTP dentro de un flujo de tráfico

  • Comportamiento inconsistente para registrar el campo URL de Ruta Completa para eventos

Mejores prácticas: Si desea registrar consistentemente los datos de URL Completa en eventos, use la Política de Control de Aplicaciones para registrar eventos para el tráfico relevante con la siguiente configuración:

• • Para aplicaciones con actividades granulares:

    • Aplicación - Cualquier Aplicación en la Nube (o una aplicación específica)

    • Criterios - Cualquier Actividad Granular

  • Para aplicaciones sin actividades granulares: "Cualquier Actividad Granular" no coincidirá con ningún tráfico. Para registrar la URL de ruta completa de estas aplicaciones, cree una regla separada sin criterios definidos:

    • Aplicación - Cualquier Aplicación en la Nube (o una aplicación específica)

    • Criterios - (dejar en blanco)