Box: Configurando o Conector da API de Proteção de Dados

Este artigo explica como configurar o conector Box para a política de Proteção de API de Aplicativo & Dados da sua conta e criar regras que usam este conector na Política de Proteção de Dados ou Proteção contra Ameaças.

A Proteção de Aplicações & Dados API requer uma licença separada da Cato. Por favor, contate seu representante Cato ou revendedor oficial para mais informações.

Visão Geral do Conector Box

Crie o conector para o tenant do Box para a sua organização. Em seguida, defina regras na política de Proteção de Dados que incluam o conector Box e defina que arquivos sejam escaneados e inspecionados. Você pode criar um único conector Box para cada tenant.

Prerequisites

• Permissões de administrador ou co-administrador para o tenant do Box

• O conector monitora arquivos, outras ações serão suportadas em breve

Permissões Obrigatórias para os Conectores API do Box

Para habilitar a API de Proteção de Dados a escanear arquivos e pastas na sua conta Box, o conector dá à Cato as seguintes permissões e ações com o aplicativo Box:

• Conceda acesso ao aplicativo usando Oauth2

• Receba um token do aplicativo para estabelecer e manter uma conexão segura

• Conecte-se às APIs do Box e busque dados e escaneie arquivos de acordo com a política de Proteção de API de Aplicativo & Dados, incluindo:

  • Para ação de monitoramento - Leia todos os arquivos e pastas armazenados no Box

    • Para outras ações - Permissões de escrita para todos os arquivos e pastas armazenados no Box

  • Acesse dados do usuário na sua conta Box

  • O administrador Cato pode fazer chamadas em nome dos usuários Box

Limitação de Serviços Conhecidas

• Arquivos carregados para a pasta raiz podem levar até 24 horas para estarem disponíveis para o conector

  • Arquivos carregados para subpastas e diretórios estão disponíveis imediatamente

Trabalhando com Conectores Box

Esta seção explica como criar conectores API para Box e conectar o tenant do Box da sua organização à sua conta Cato.

Criando o Conector Box

Quando você cria o conector Box, o Aplicativo de Gerenciamento Cato gera o ID do Cliente para esse conector. Em seguida, faça login no Console de Administração da sua conta Box e crie um novo aplicativo de Autenticação de Usuário. Insira o ID do Cliente no aplicativo Cato Box e, em seguida, autorize o Cato a se conectar à sua conta Box. Por fim, salve o conector Box no Aplicativo de Gerenciamento Cato e o Cato está agora pronto para monitorar arquivos e pastas do Box.

Para criar o conector para Box:

1. No menu de navegação, selecione Recursos > Integrações e clique na guia Aplicativos Integrados.

2. Clique Novo. O painel de Novo Conector é aberto.

3. De Conector de Aplicativo drop down, selecione Box.

   Atualmente, apenas permissões e ações de Ler são suportadas para o aplicativo Box. No entanto, permissões e ações de Ler/Escrever serão suportadas em breve.

4. Na seção Capacidade, selecione Proteção de Dados e Ameaças.

5. Digite Nome do Conector.

6. Copie o ID do Cliente para a área de transferência do SO.

7. Crie o aplicativo Cato Box para este conector:

   1. Clique no link para abrir o console de administração do Box para sua conta.

      A tela do Box abre em uma nova aba do navegador.

   2. Faça login no seu locatário do Box.

   3. No menu de navegação do Box, selecione Console de Administração.

   4. Selecione Aplicativos > Gerenciador de Aplicativos da Plataforma > Aplicativos de Autenticação de Usuário.

      

   5. Clique no símbolo de mais.

   6. Na janela Adicionar Aplicativo, cole o ID do Cliente (do passo 5 acima).

      

   7. Clique em Próximo.

   8. Na janela Autorizar Aplicativo, clique em Autorizar para dar permissão ao Cato para acessar o aplicativo Box.

      

      O novo aplicativo é adicionado à sua conta do Box.

8. No Aplicativo de Gerenciamento Cato, clique em Autorizar e Salvar.

   Uma tela de permissões do Box abre em uma nova aba do navegador.

9. Dê permissões para sua conta Cato acessar o aplicativo Box.

   1. Clique em Conceder Acesso ao Box para permitir que o Cato acesse o aplicativo Box.

      

   2. A tela mostra que você aplicou com sucesso as permissões para o locatário.

      

      Você pode fechar a aba do navegador e retornar à Aplicação de Gerenciamento Cato. Pode levar alguns segundos para o Box processar a solicitação, então se você receber um erro, atualize o navegador.

      Enquanto o Box processa a solicitação, o Status para o conector é Consentimento do usuário pendente (veja abaixo Entendendo o Status do Conector).

10. O aplicativo SaaS Box é adicionado à aba APIs Integradas.

Entendendo o Status do Conector

A coluna Status na tela Configurações dos Conectores mostra o status da conexão entre o aplicativo Box e sua conta Cato. Essas são as explicações dos status:

• Conectado - Sua conta está conectada ao aplicativo e funcionando corretamente

• Aviso de conexão - Alguns dos usuários no locatário Box não estão configurados corretamente para suportar a API de Segurança SaaS. Por favor, abra um chamado com Suporte.

• Erro de conexão - Problema de conectividade ou permissões com o conector Box. Por favor, abra um chamado com Suporte.

  Box suporta apenas criar um conector por locatário.

• Consentimento do usuário pendente - O conector Box é criado na tela Configurações de Conexão, no entanto, você não concluiu o processo para autorizar a Cato a conectar-se à sua conta Box.

Adicionando Regras Box à Política de Proteção de Dados

Esta seção explica como usar a política de Proteção de Dados para monitorar e gerenciar os arquivos e pastas que seus usuários enviam e baixam com o Box.

Compreendendo as Ações do Box

Quando você cria uma regra de Proteção de Dados, pode definir diferentes ações para monitorar ou remediar as violações de política quando a regra é correspondida. Cada ação gera automaticamente um evento, e você também pode optar por receber uma notificação por email. Para mais informações sobre eventos do Data Protection API, veja abaixo Analisando Eventos do Data Protection API.

Estas são as ações que você pode definir para o mecanismo Proteção de Dados realizar quando uma regra é correspondida:

• Monitorar - Gera um Evento para permitir que você monitore o Tráfego que corresponde à Regra.

• Remover Compartilhamentos - Quando um usuário tenta compartilhar um arquivo, o motor Proteção de Dados API remove a permissão de compartilhamento não autorizada, e o usuário que receber um link para o arquivo compartilhado não terá permissões para acessar o arquivo.

Nota:

Os novos arquivos adicionados à pasta raiz podem levar até 24 horas antes de serem escaneados e antes das ações das regras serem aplicadas a eles. Os arquivos em subpastas são escaneados imediatamente após serem enviados.

Configurando Regras Box

Use a página Proteção de Dados para adicionar regras de aplicação SaaS na sua política de Proteção de Dados.

Crie uma regra de Proteção de Dados para definir o tráfego que é escaneado pela API de Proteção de Dados. Crie regras separadas para cada conector de aplicativo SaaS, e então defina os critérios que determinam qual tráfego é inspecionado.

Para mais informações sobre as configurações de regras do Box, veja abaixo Compreendendo as Regras do Box.

Para criar uma nova regra de Proteção de Dados para o aplicativo Box:

1. De painéis de navegação, selecione Segurança > Proteção de API de Aplicativo & Dados e selecione ou expanda Proteção de Dados.

2. Clique em Novo. O painel de Nova Regra abre.

3. Em Conector de Aplicação, selecione o aplicativo Box.

4. Na seção Geral, entre as configurações para a regra.

5. Em Proprietário, selecione um ou mais usuários Box que você está monitorando (o valor padrão é Qualquer).

   Quando você seleciona múltiplos usuários, há uma relação OU entre eles.

6. Em Opções de Compartilhamento, selecione o nível de permissão para arquivos e pastas que são escaneados (valor padrão é Qualquer).

   Quando você seleciona várias opções, existe uma relação OU entre elas.

7. Em Atributos de Arquivo, defina os critérios para especificar os arquivos que serão escaneados (a configuração padrão é escanear todos os arquivos).

8. Em Perfil de Conteúdo, selecione o DLP Perfil de Conteúdo para esta regra.

   Para mais informações sobre Perfis de Conteúdo de DLP, consulte Criando Perfis de Conteúdo de DLP.

9. Selecione uma Ação.

10. (Opcional) Defina as opções de rastreamento para as regras gerarem notificações por e-mail.

    Para mais informações sobre eventos e notificações por e-mail, veja Alertas de Nível de Conta e Notificações do Sistema.

11. Clique Salvar. A regra é adicionada à política Proteção de Dados.

Compreendendo as Regras do Box

Esta seção explica como definir as configurações para as regras de Proteção de Dados para escanear corretamente o tráfego do Box. Cada regra pode ser definida de acordo com os seguintes critérios:

• Proprietário - Usuários Box no seu espaço de trabalho (o valor padrão é Qualquer)

  • Interno - Proprietário é qualquer usuário da sua empresa

  • Usuário Box - Proprietário é um usuário específico

• Opções de Compartilhamento - Selecione os tipos de permissões de compartilhamento de arquivos e pastas que correspondem a esta regra (valor padrão é Qualquer)

  • Privado - Apenas o usuário tem acesso

  • Link público - Acessível publicamente para qualquer pessoa com o link (não é necessário fazer login no Box)

  • Pessoas da empresa - Qualquer usuário na sua empresa com o link

  • Somente pessoas convidadas da empresa - Qualquer usuário na sua empresa com o link

  • Somente pessoas públicas convidadas - Usuários externos que receberam um convite com o link

• Atributos de Arquivo - Critérios para anexos que são escaneados (o valor padrão é todos os anexos)

  • Tipo de Arquivo

  • Nome do Arquivo

  • Tamanho do Arquivo (o tamanho máximo do arquivo é 20 MB)

• Perfil de Conteúdo - DLP Perfil de Conteúdo que define a inspeção de conteúdo DLP

  Você pode criar ou editar Perfis de Conteúdo em Segurança > Perfis de Prevenção contra Perda de Dados (DLP) > Perfis de DLP > Perfil de Conteúdo

• Ações - Selecione se deseja gerar um evento ou notificação por E-mail quando a regra for correspondida

Definindo arquivos ou anexos para uma regra

Você pode definir arquivos específicos (ou anexos) para uma regra e limitar o motor de API SaaS para apenas escanear os arquivos especificados para ver se eles correspondem ao Perfil de Conteúdo DLP.

Quando você adiciona múltiplos arquivos a uma Regra, selecione a relação entre eles:

• Satisfazer qualquer (OU) - Correspondência com apenas um dos Tipos de Arquivo na regra

• Satisfazer todos (E) - Corresponder a todos os Tipos de Arquivo na regra (caso contrário, a regra é ignorada)

Você pode usar a configuração Nome do Arquivo em uma regra para definir o nome exato do arquivo ou usar curingas para definir palavras-chave. Por exemplo, você pode definir o Nome do Arquivo como Interno para corresponder a todos os nomes de arquivos que contêm a palavra Interno.

Trabalhando com Regras de Proteção de Dados Ordenadas

O motor Proteção de Dados API inspeciona os dados sequencialmente e verifica se há correspondência com uma regra. Se os dados não corresponderem a uma regra, então eles não são inspecionados. Regras que estão no topo da base de regras têm uma prioridade mais alta e são aplicadas antes das regras mais abaixo na base de regras. Cada Tipo de Aplicação ou Conector é aplicado aos dados apenas uma vez.

Melhores práticas - Para maximizar a eficiência da sua base de regras, recomendamos que para cada tipo de conector, regras para usuários específicos tenham uma prioridade mais alta do que regras que se aplicam a Qualquer usuário.

Por exemplo, se os dados corresponderem a um conector na regra #2, os dados serão inspecionados pelo motor API de Proteção de Dados. O motor não continua a aplicar as regras #3 e abaixo para o mesmo conector. No entanto, os dados podem corresponder a uma regra de prioridade mais baixa com um conector diferente.

Adicionando proteção contra ameaças ao conector

Você pode criar Regras de Proteção contra Ameaças para o conector para escanear arquivos e anexos em busca de malware e vírus usando os motores Anti-Malware e NG Anti-Malware que estão habilitados para sua conta. O motor Proteção de Dados API escaneia o tráfego do conector e aplica a ação e as opções de rastreamento que você configura para a regra.

Estas são as ações que você pode configurar para o motor de Proteção contra Ameaças executar quando uma regra for correspondente:

• Monitorar - Gera um evento para permitir que você monitore o tráfego que coincide com a regra.

• Remover Compartilhamentos - Quando um usuário tenta compartilhar um arquivo, o motor Proteção de Dados API remove a permissão de compartilhamento não autorizada, e o usuário que receber um link para o arquivo compartilhado não terá permissões para acessar o arquivo.

Cada ação gera automaticamente um evento, e você também pode optar por receber uma notificação por email. Para mais informações sobre eventos do Data Protection API, veja abaixo Analisando Eventos do Data Protection API.

Quando você cria uma regra Proteção de Aplicativo & Dados API, os motores Anti-Malware que estão habilitados para sua conta (Segurança > Anti-Malware) realizam varreduras de malware nos arquivos enviados para essa aplicação de conector.

A captura de tela a seguir mostra uma regra de Proteção contra Ameaças para o conector OneDrive que escaneia os arquivos enviados por usuários internos ou convidados:

Criando uma exceção para um arquivo

Às vezes há um arquivo bloqueado pelos mecanismos da API de Proteção de Dados da Cato que você sabe que é seguro e precisa permitir na rede. Exceções de Anti-Malware na política de Hash do Arquivo também se aplicam à Proteção da API de Aplicativo & Dados. Para mais informações sobre como adicionar arquivos à Política de Hash de Arquivos, veja Managing Anti-Malware Exceptions.

Analisando Eventos da API Proteção de Dados

A página Inicial > Eventos mostra todos os eventos da API Proteção de Dados para sua conta. As poderosas ferramentas de busca permitem explorar e identificar os poucos eventos que contêm os dados relevantes de que você precisa.

Os eventos da API Proteção de Dados podem ser identificados pelos seguintes campos:

• Tipo de Evento - Segurança

• Subtipo - Proteção de Dados de API de Segurança SaaS e Proteção Anti-Malware da API de Segurança SaaS

Você pode saber mais sobre o uso da página de Eventos aqui.

Explicando os Campos dos Eventos da API Proteção de Dados