Protéger les utilisateurs avec une sécurité toujours active ("Always-on")

Cet article explique comment configurer votre politique Toujours Activée dans le but d'augmenter la sécurité Internet pour les utilisateurs de votre compte.

Présentation

La politique Toujours Activée améliore la sécurité Internet en définissant des règles pour lorsque des utilisateurs ou des groupes d'utilisateurs se connectent toujours au Cloud Cato. Cela garantit que tout le trafic passe par un PoP, et les moteurs de sécurité Cato inspectent le trafic pour s'assurer qu'il est conforme à vos politiques de sécurité.

Cas d'usage : Personnaliser la politique Toujours Actif pour les employés et les sous-traitants.

Le réseau de la société ABC est utilisé par ses propres employés, qui ont accès aux ressources de l'entreprise, et par des sous-traitants tiers, qui ne peuvent pas accéder aux ressources de l'entreprise. Ils créent une règle pour activer Toujours Activé pour leurs employés tandis que les sous-traitants tiers peuvent accéder directement à Internet. Cela garantit que tout le trafic des employés de l'entreprise passe par le Cato Cloud et est protégé par des politiques de sécurité.

Cas d'usage : Activer la politique Toujours Active uniquement pour les appareils gérés.

L'entreprise ABC installe le Client Cato sur tous ses appareils gérés, et permet également à ses employés d'installer le Client sur leurs appareils personnels afin qu'ils puissent accéder aux ressources de l'entreprise si nécessaire. La politique de sécurité de l'entreprise exige que les appareils gérés soient toujours connectés au réseau.

L'équipe informatique crée un profil de posture de l'appareil qui utilise une vérification de l'appareil pour vérifier qu'un certificat de signature est installé sur l'appareil.

Ensuite, ils créent des règles dans la Politique Toujours Activée pour n'exiger Toujours Activée que pour les appareils qui correspondent au profil de Posture de l'appareil pour les certificats.

Travailler avec la politique Toujours Activée ordonnée

La politique Toujours Activée est une base de règles ordonnée. Les règles dans votre politique sont appliquées à un utilisateur ou un groupe comme suit :

Lorsqu'ils répondent à une règle, le Client suit la configuration définie dans la règle
S'ils ne répondent à aucune règle, ils peuvent se déconnecter du réseau

Prérequis de la politique Toujours Activée

"Toujours actif" n'est pas pris en charge pour les clients Linux

Toujours activé avec les Appareils gérés

Cette section décrit le flux de configuration pour appliquer la Politique Toujours Activée uniquement aux appareils gérés utilisant une Vérification d'appareil pour les certificats de signature.

Préparer les appareils à utiliser la Vérification d'appareil pour le certificat de signature.
- Distribuer le certificat aux appareils gérés. Consultez les articles dans la section Distribution et installation des certificats de périphériques.
- Télécharger le certificat de signature vers le CMA. Consultez Gestion des certificats de signature pour l'accès à distance.
Pour identifier les appareils gérés selon le certificat installé, configurez une Vérification d'appareil pour les certificats et attribuez-la à un Profil d'appareil. Consultez Création de profils de posture de l'appareil et vérifications de l'appareil.
Dans la Politique Toujours Activée, créez une nouvelle règle qui exige que les appareils gérés soient toujours connectés au réseau :
1. Utilisateurs/Groupes - Assignez des groupes d'utilisateurs ou des utilisateurs aux appareils gérés.
2. Profils de posture de l'appareil - Sélectionnez le Profil d'appareil que vous avez créé à l'étape 2.
3. Connecté - Sélectionnez Toujours Activé.
Dupliquez la règle de l'étape 3, et changez le paramètre Connecté en À la demande.
Publier la Politique Toujours Activée.

Fournir un accès Internet avec la politique Toujours Activée

Avec la Politique Toujours Activée activée, vous pouvez toujours offrir aux utilisateurs un accès direct à l'Internet en :

Utilisant une méthode de contournement temporaire
Créer une règle avec un statut connecté en Sur demande
Permettant l'accès à Internet en mode Récupération

Contournement temporaire de l'accès Internet sécurisé

Il peut y avoir certaines situations où les utilisateurs ont besoin de contourner temporairement le Cloud Cato et d'accéder directement à Internet. Par exemple, pour accéder temporairement à un site web interdit par une règle de Pare-feu Internet. Pour chaque règle, vous pouvez configurer la manière dont les utilisateurs contournent temporairement le Cloud Cato.

Sous Windows v5.9 et versions ultérieures, vous pouvez également configurer la durée pendant laquelle les utilisateurs peuvent contourner le Cloud Cato. Pendant cette période, le trafic Internet ne passe pas par le Cloud Cato et n'est pas sécurisé.

Lorsque le Client se déconnecte temporairement, des événements sont générés qui montrent les détails de l'utilisateur et la durée de la déconnexion du Client. Pour voir ces événements, sur la page Événements appliquez un filtre pour le sous-type VPN Ne se déconnecte jamais. La Méthode de contournement dans l'événement affiche la méthode utilisée pour contourner le Client. Pour plus d'informations sur les événements dans votre compte, consultez Analyser les événements de votre réseau.

Les utilisateurs peuvent temporairement contourner le Cloud Cato en utilisant soit :

Un contournement contrôlé par l'administrateur avec un code de contournement
Un contournement contrôlé par l'utilisateur

Contournement contrôlé par l'administrateur avec un code de contournement

Remarque :
Pris en charge sur Windows, Android, iOS Clients, et Client macOS v5.4 et supérieur

Utilisez cette option pour générer un mot de passe à usage unique (OTP) dans l'application de gestion Cato que vous pouvez donner à n'importe quel utilisateur et lui permettre de déconnecter temporairement le Client. Dans les versions de Client Windows inférieures à 5.9 et autres systèmes d'exploitation pris en charge, le Client est contourné jusqu'à 15 minutes à la fois. Chaque code peut être valable jusqu'à 15 minutes.

De plus, vous pouvez utiliser une application d'authentification (comme Google Authenticator) pour scanner le code QR dans cet écran. Vous pouvez ensuite toujours obtenir un OTP pour les utilisateurs via l'application d'authentification. L'application d'authentification rafraîchit le code toutes les 30 secondes, donc chaque code est valable uniquement pendant 30 secondes.

Vous pouvez utiliser le même code de contournement pour plusieurs utilisateurs, tant que le code est encore valable.

Contournement contrôlé par l'utilisateur

Remarque :
Supporté par :
Client Windows v5.9 et supérieur
Client macOS v5.5 et supérieur
Client iOS v5.6 et supérieur

Cette option permet aux utilisateurs de déconnecter temporairement le client sur demande. Dans le Client, l'utilisateur doit fournir une raison pour la déconnexion du Client dans un champ de texte libre. et peut alors immédiatement accéder directement à l'Internet. Cette raison est incluse dans l'événement.

Le Client est autorisé à se déconnecter pour la durée configurée dans la Durée de déconnexion.

Cas d'utilisation - Accès pré-approuvé à Internet pour des équipes spécifiques

L'équipe d'ingénierie d'une entreprise de vente au détail est responsable de garantir que leur site web a une disponibilité de 100 % pour recevoir les commandes en ligne. Cela signifie qu'ils ont toujours besoin d'accès à une application SaaS en ligne nécessaire pour résoudre les problèmes. L'accès à l'application est requis en dehors des heures de travail et lors de télétravail. La politique de sécurité de l'entreprise stipule que tout accès Internet doit être sécurisé.

Pour se conformer à la politique de sécurité, l'équipe informatique active Toujours Activé. Par précaution, pour éviter une situation où, en cas de panne éventuelle, le Client ne peut pas se connecter au Cloud Cato, l'équipe informatique fournit aux ingénieurs un moyen d'accéder immédiatement à Internet. L'équipe informatique a créé une règle dans leur politique Toujours Activée pour le groupe d'utilisateurs ingénieurs, où le mode de contournement est configuré pour permettre aux utilisateurs de se déconnecter temporairement sur demande.

Si un ingénieur doit résoudre des problèmes de site web au milieu de la nuit, l'équipe informatique peut être sûre qu'il peut accéder à l'application SaaS de dépannage même s'il y a un problème avec le Client. L'ingénieur n'a pas besoin d'attendre l'approbation de l'informatique pour contourner le Cloud Cato et commencer à résoudre les problèmes du site web.

Création d'une règle avec un statut de connexion À la demande

Si certains utilisateurs ont régulièrement besoin d'accéder directement à Internet, vous pouvez les ajouter à une règle avec le statut connecté Sur demande. Cette configuration permet aux utilisateurs de connecter ou déconnecter le Client selon besoin.

Mode Récupération du Client

Remarque :
Supporté par :
Client Windows v5.9 et supérieur
Client macOS v5.5 et supérieur
Client iOS v5.6 et supérieur

Vous pouvez également choisir le comportement du Client dans un scénario où une connexion au Cloud Cato ne peut pas être établie. Le client peut être configuré pour :

Autoriser l'accès à Internet (Configuration par défaut) : Les utilisateurs peuvent accéder à Internet et au LAN. Le trafic ne passe pas par le Cloud Cato et n'est pas sécurisé tant qu'une connexion au Cloud Cato n'est pas établie.
Restreindre l'accès à Internet : Les utilisateurs ne peuvent pas accéder à Internet tant qu'une connexion au Cloud Cato, et à Internet sécurisé, n'est pas établie.

Cas d'utilisation - Connexion Internet lors de voyages

La société ABC a Toujours Activé pour tous les utilisateurs. Leurs cadres exécutifs voyagent souvent et se connectent à Internet depuis les aéroports et les hôtels. Occasionnellement, le Client ne détecte pas le portail captif et ne parvient pas à établir un tunnel chiffré. Pour s'assurer que les cadres exécutifs peuvent continuer à travailler lorsqu'ils voyagent, l'équipe informatique configure le Mode Récupération dans la règle Toujours Activée pour le groupe C-suite pour permettre l'accès à Internet.

Si le Client ne détecte pas de portail captif, les utilisateurs de la direction peuvent continuer à travailler, car le Client autorise l'accès à Internet conformément à la politique Always-On. Dès que le Client rétablit un tunnel, le trafic passe par le Cato Cloud comme prévu.

Préparation pour mettre en œuvre la politique Always-On

Avant d'activer votre politique Always-On, considérez comment Always-On interagit avec d'autres fonctionnalités et versions de Client dans votre environnement. Cette section fournit des recommandations sur l'utilisation de l'authentification unique, de la connectivité client, de l'authentification des appareils et du Client Windows avec votre politique Always-On.

Travailler avec Toujours Actif et SSO

Pour les comptes qui utilisent l'authentification Single Sign-On pour les utilisateurs, vous pouvez également configurer les clients pris en charge pour rester toujours connectés au Cloud Cato (Toujours Actif). Cette configuration offre aux utilisateurs la simplicité du SSO et la sécurité Toujours Actif. Le client peut accéder au fournisseur IdP et l'accès à d'autres ressources se fait conformément à votre politique de sécurité.

Remarque :
Remarque : Pour aider les utilisateurs qui ne peuvent pas s'authentifier sur le Client, nous recommandons d'activer une méthode de contournement du Cato Cloud et de passer en revue les événements de contournement. Sinon, l'appareil non authentifié ne peut pas se connecter à Internet ou au Cloud Cato.

Mise en œuvre d'Always-On et de l'authentification unique

Cette section contient les meilleures pratiques et recommandations pour mettre en œuvre Always-On avec l'authentification unique dans votre compte.

Commencez par activer Always-On et l'authentification unique pour un petit nombre d'utilisateurs afin de minimiser l'impact sur votre compte
Examinez les événements de contournement pour surveiller l'utilisation des codes de contournement dans votre organisation
Étant donné que les utilisateurs non authentifiés n'ont pas de connectivité Internet, assurez-vous que les utilisateurs peuvent se connecter à l'appareil sans dépendre d'Internet
Assurez-vous que tous les Clients sont mis à jour vers la version minimale prise en charge pour le système d'exploitation concerné. Si un Client d'une version non prise en charge est utilisé, le Client ne peut pas se ré-authentifier et le trafic vers Internet est bloqué.
Pour les déploiements qui utilisent un proxy tiers, seule l'Authentification par navigateur dans le client est prise en charge pour Toujours Actif et SSO (pour en savoir plus sur l'Authentification par navigateur, voir Configurer la politique d'authentification pour les clients Cato)

Utilisation de la politique de connectivité client et de l'authentification des appareils avec Always-On

Votre Politique de connectivité Client et les paramètres d'authentification de l'appareil appliquent des postures et vérifications d'appareils effectuées sur les appareils des utilisateurs. Si l'appareil ne respecte pas la politique qui a été définie pour le profil, alors l'utilisateur ne peut pas se connecter au Cato Cloud. Votre politique de connectivité client et les paramètres d'authentification des appareils ont la priorité sur votre politique Always-On.

Installation de Clients Windows et Always-On

Pour les équipes informatiques, livrant ou expédiant des appareils neufs aux utilisateurs du monde entier, nous pouvons fournir la sécurité Always-on prête à l'emploi.

À partir de la version 5.6 du Client Windows, vous pouvez améliorer la sécurité Internet avant même qu'un utilisateur ne s'authentifie à Cato. La politique Always-On est disponible prête à l'emploi, et l'accès à Internet n'est permis qu'après que l'utilisateur s'est authentifié sur votre compte Cato.

Pour activer cette fonctionnalité, il suffit d'ajouter une clé de registre à l'appareil Windows pour activer Always-On. Une fois que l'utilisateur est ajouté au Client, les paramètres Always-On définis dans l'Application de gestion Cato sont appliqués à cet utilisateur.

Pour les comptes qui utilisent la fonctionnalité de pré-connexion, l'appareil est uniquement autorisé à accéder aux Destinations autorisées avant que l'utilisateur ne soit ajouté au client. Tout autre accès Internet est bloqué.

Nous recommandons également d'ajouter la clé de registre qui lance le Client au démarrage. Pour plus d'informations, voir Installation du client Cato.

Cela peut également être configuré comme un paramètre d'installation lors du déploiement du Client avec un MDM. Pour plus d'informations, voir Déployez le Client Cato avec Intune (Windows).

Remarque :
Remarque : Avant que les utilisateurs ne soient ajoutés au client, il n'est pas possible de contourner le cloud Cato.

Pour configurer le registre Windows afin de faire appliquer Always-On :

Accédez à la clé de registre : HKEY_LOCAL_MACHINE\SOFTWARE\CatoNetworksVPN
Définir cette clé :
- InitialAlwaysOn=1 (DWORD)

Configuration de la politique Always-On

Cette section explique comment créer la politique Always-On.

Création de la politique Always-On

La politique Always-On vous permet de définir les utilisateurs ou les groupes d'utilisateurs pour les Clients qui doivent toujours se connecter au réseau.

Pour créer la politique Always-On :

Dans le menu de navigation, cliquez sur Accès > Politique Toujours Actif.
Cliquez sur Nouveau.
Le panneau Nouvelle Règle s'ouvre.
Entrez un Nom et définissez l'Ordre des Règles.
Définissez les Utilisateurs & Groupes, les Plateformes.
Définissez le statut Connecté et le Mode de contournement pour Toujours Actif.
Pour le SDP Anti-altération, déterminez quelle action entreprendre lorsqu'un utilisateur tente de faire des modifications. Par défaut, les modifications sont autorisées. Pour empêcher les utilisateurs de faire des modifications, sélectionnez Activer.
Pour plus d'informations, consultez Travailler avec l'Anti-Tampering pour le Client Cato.
Déterminez combien de temps Always-On et Anti-Sabotage sont désactivés dans la Durée de Déconnexion & Tampering Duration
Le chronomètre pour chaque contournement commence lorsqu'un code est saisi. Par exemple, la Durée est réglée sur 60 minutes. Si le code de contournement pour l'Anti-altération est saisi à 12h30, le chronomètre démarre et l'Anti-altération sera de nouveau activé à 13h30. Un code de contournement pour Toujours Actif est saisi à 13h00, et expirera à 14h00.
Configurez le fonctionnement du Client en Mode récupération.
Cliquez sur Appliquer.
Répétez les étapes 2-5 pour chaque règle de la politique Always-On.
Activez la Politique Toujours Activé puis cliquez sur Sauvegarder.
Le curseur est vert lorsque la règle est activée, et gris lorsqu'elle est désactivée.

Configuration des paramètres par défaut

Remarque :
Supporté par :
Tous les clients Windows
Client Linux v5.2 et au-delà

Vous pouvez offrir aux utilisateurs un état de connexion À la demande avec une sécurité supplémentaire en configurant le Client pour qu'il se connecte automatiquement pendant la phase de démarrage. Une fois connecté, les utilisateurs peuvent choisir de déconnecter et reconnecter le Client chaque fois qu'ils en ont besoin. Pour les utilisateurs avec un statut de connexion Always-On, le Client se connecte automatiquement, sans cette configuration.

Si les options Connecter au démarrage ou Démarrer minimisé sont sélectionnées dans l'Application de gestion Cato :
- Cela est appliqué à tous les Clients de votre environnement
- Les utilisateurs ne peuvent pas désactiver ce paramètre à partir du Client

Si les options Connecter au démarrage ou Démarrer minimisé sont décochées dans l'Application de gestion Cato :
- Les utilisateurs peuvent choisir d'activer ces fonctionnalités dans l'onglet Paramètres du Client

Remarque : Avec Connexion au démarrage activée, si un utilisateur se déconnecte de sa session Windows, le Client se connecte au Cato Cloud. Ceci permet d'accéder à un contrôleur de domaine pour permettre à l'utilisateur de se reconnecter.

Pour configurer les paramètres par défaut des clients :

Dans le menu de navigation, cliquez sur Accès > Politique Toujours Actif.
Ouvrez l'onglet Paramètres.
Dans la section Connecter au démarrage, définissez les paramètres par défaut pour les clients Windows.
Cliquez sur Sauvegarder.

Application de l'authentification derrière un site Cato

Remarque :
Supporté par :
Client Windows v5.8 et ultérieur
Client Linux v5.2 et au-delà

Lorsqu'un utilisateur se connecte derrière un site Cato Socket ou IPsec, le Client se connecte automatiquement à ce site en mode Bureau. Pour plus d'informations sur le mode Office, consultez Configuration du mode Office.

Vous pouvez configurer si les utilisateurs avec l'option always-on activée doivent s'authentifier sur Cato lorsque le Client est connecté en mode Bureau. Cette configuration n'a aucun impact sur les politiques de sécurité.

Quand cette option est activée :

Le client établit un tunnel de contrôle SDP vers le PoP connecté pour l'authentification, le maintien de la connexion et d'autres communications de contrôle.
Le trafic de données utilisateur ne traverse pas le tunnel SDP. À la place, il continue de sortir par l'interface réseau (NIC) de l'appareil et est transféré par le site local de Cato.

Pour appliquer l'authentification sur un site Cato

Dans le menu de navigation, cliquez sur Accès > Politique Toujours Actif.
Ouvrez l'onglet Paramètres.
Dans la section Appliquer Always-On au bureau, sélectionnez Exiger l'authentification au bureau.
Cliquez sur Sauvegarder.

Générer un code de contournement

Un code de contournement est un code de 6 chiffres qui est saisi dans le Client pour permettre aux utilisateurs de se déconnecter temporairement du Cato Cloud.

Pour générer un code de contournement :

Dans le menu de navigation, cliquez sur Accès > Politique Toujours Actif.
Ouvrez l'onglet Paramètres.
Développez la section Afficher le code de contournement ou Afficher le code QR pour l'application d'authentification.
Déterminez combien de temps avant que le code de contournement expire.
Remarque : Prise en charge des versions Client Windows 5.18 et macOS Client 5.10.6
Vous pouvez maintenant envoyer le code de contournement ou le code QR à un utilisateur.

Comprendre l'expérience utilisateur

Génération d'un code de contournement Anti-altération

Un code de contournement Anti-altération est un code à 6 chiffres qui est saisi dans le client pour permettre aux utilisateurs de modifier temporairement le client Cato ou sa capacité à fonctionner, par exemple en modifiant les entrées de registre pertinentes.

Pour générer un code de contournement :

Dans le menu de navigation, cliquez sur Accès > Politique Toujours Actif.
Ouvrez l'onglet Paramètres.
Développez la section Afficher le code de contournement anti-altération ou Afficher le code QR anti-altération pour l'application d'authentification. Chaque code est valable jusqu'à 15 minutes.
Copiez le code de contournement Anti-altération ou le code QR et envoyez-le à l'utilisateur.

Selon le Mode de contournement configuré dans l'Application de gestion Cato, les utilisateurs peuvent déconnecter temporairement le Client en utilisant soit un code de contournement soit en entrant une raison pour contourner.

Entrer un code de contournement

Le code de contournement est généré par les administrateurs et envoyé à un utilisateur pour être saisi dans le Client. Après qu'un code valide est saisi, le Client contourne temporairement le tunnel chiffré et l'utilisateur peut accéder à Internet. Les Clients Windows en dessous de la version 5.9, macOS, iOS, et Android peuvent être temporairement déconnectés pour un maximum de 15 minutes. Les Clients Windows v5.9 et ultérieurs peuvent être déconnectés pendant la durée configurée dans la Durée de déconnexion

Les utilisateurs s'authentifiant avec l'authentification unique ou MFA doivent se ré-authentifier sur le Client Cato lors de la reconnexion.

Remarque :
Remarque : Contourner la configuration Toujours Actif n'affecte pas la protection Anti-altération.

Pour entrer un code de contournement :

Dans le Client Windows, les utilisateurs peuvent faire un clic droit sur l'icône du Client dans la barre d'état système et sélectionner Contournement Temporaire
Dans le Client macOS, les utilisateurs peuvent faire un clic droit sur l'icône du Client dans la barre d'état système et sélectionner Déconnexion Temporaire
Dans le Client iOS, sur l'écran d'accueil du Client, sélectionnez Désactiver toujours activé
Dans le Client Android, à partir du menu latéral, sélectionnez Contournement Temporaire

Entrer une raison pour le contournement

Remarque :
Supporté par :
Client Windows v5.9 et supérieur
Client macOS v5.5 et supérieur

Les utilisateurs peuvent déconnecter temporairement le Client après avoir fourni une raison. Après que l'utilisateur a entré la raison, le Client contourne temporairement le Cloud Cato et l'utilisateur peut accéder à Internet. Le Client est déconnecté pour la durée configurée dans l'Application de gestion Cato.