Criando a Política de Controle de Dados

Este artigo discute como usar a página de Controle de Aplicativos para configurar a política de Controle de Dados de Prevenção de Perda de Dados (DLP) para sua conta.

Visão geral da Política de Controle de Dados

A política de Controle de Dados permite definir regras para inspecionar como os dados e conteúdos são transferidos e movidos dentro e fora da sua organização. A página de Controle de Aplicativos suporta três tipos de regras: Controle de Aplicativo CASB, Controle de Tipo de Arquivo e Controle de Dados DLP. As regras de Controle de Dados contêm Configurações adicionais para inspeção de conteúdo, incluindo:

• Atributos de Arquivo - Oferece suporte a mais de 40 tipos de arquivo diferentes em várias categorias, incluindo: Microsoft Office, executáveis e código-fonte. Além disso, você pode refinar a regra para corresponder apenas a um intervalo específico de tamanhos de arquivo ou configurar a regra para corresponder a arquivos criptografados.

• Perfis de Conteúdo DLP - Esses perfis podem definir inspeção de conteúdo baseada em mais de 350 tipos de dados em mais de 30 países e idiomas, incluindo: PII, dados financeiros e médicos

A política de Controle de Aplicativos é uma base de regras ordenada que permite definir atividades e critérios obrigatórios para aplicações e categorias. Cada regra define uma aplicação ou uma categoria. Assim que uma regra corresponde ao tráfego, as regras de prioridade inferior (abaixo da regra correspondente) não são aplicadas ao tráfego.

A última regra na base de regras é uma regra implícita de permitir QUALQUER QUALQUER, então se uma conexão não corresponder a uma regra, ela é permitida pela regra implícita final.

Proteção DLP para Arquivos Criptografados

O motor DLP tem a capacidade de identificar e bloquear arquivos criptografados com uma senha. Isso pode ajudar a proteger suas informações, impedindo que os usuários façam upload ou download de dados sensíveis ocultos em arquivos protegidos por senha. O motor DLP não escaneia o conteúdo do arquivo criptografado, mas o identifica como criptografado e aplica a Ação da Regra correspondente. Como o motor não escaneia o conteúdo do arquivo, a Ação da Regra é aplicada a todos os arquivos criptografados, independentemente de quaisquer Perfis de Conteúdo configurados na regra. Você pode definir regras para permitir ou bloquear arquivos criptografados, de acordo com as necessidades da sua organização.

Os arquivos criptografados detectados pelo motor DLP incluem arquivos protegidos por senha dos seguintes tipos: Word, Excel, PowerPoint, ZIP e PDF

Revisões de Política e Edição Simultânea por Vários Administradores

A Política de Controle de Dados permite que diferentes administradores editem a política em paralelo. Cada administrador pode editar regras e salvar as alterações na base de regras em sua própria revisão privada, e então publicá-las na política de contas (a revisão publicada). Para mais informações sobre como gerenciar revisões de políticas, veja Trabalhando com Revisões de Políticas.

Requisitos

• As Regras de Controle de Dados exigem que a Inspeção TLS esteja habilitada para inspecionar o conteúdo.

  • A política granular de Inspeção TLS da Cato permite que você crie regras que inspecionam apenas o tráfego relevante para uma Regra de Controle de Dados.

• A Política de Controle de Aplicativos está incluída na licença CASB. Ativar regras de Controle de Dados na Política de Controle de Aplicativos também requer a licença DLP.

  Para mais informações sobre a compra das licenças mencionadas acima, entre em contato com seu representante da Cato.

Limitação de Serviços Conhecidas

• Para informações sobre os requisitos de arquivo, veja O que é o Serviço DLP da Cato?

• O motor DLP ignora um arquivo se a inspeção demorar mais de 10 segundos.

• Ao usar o Microsoft Copilot, o DLP suporta apenas uploads de arquivos, e não prompts

• Estes aplicativos não são suportados para inspeção de conteúdo com regras de Controle de Dados:

  • Bitbucket

  • GitHub

  • WhatsApp

• Quando o atributo de arquivo é definido como Tamanho do Conteúdo, a ação de Bloquear não é suportada. Apenas ações não bloqueantes (como Permitir/Notificar) podem ser usadas com este atributo. Tentar configurar uma ação de Bloquear com Tamanho do Conteúdo resultará em um erro no Aplicativo de Gerenciamento Cato.
  

Entendendo o DLP na Base de Regras de Proteção Inline de Aplicativos e Dados

Use as regras de Controle de Dados na página de Controle de Aplicativo para implementar a Política de DLP de sua empresa e definir o conteúdo que é bloqueado pela pilha de segurança na Nuvem Cato. Esta seção descreve os campos e configurações que são específicos para as regras de Controle de Dados. Para mais informações sobre regras e configurações que também são relevantes para regras de Controle de Aplicativo, consulte Gerenciamento da Política de Controle de Aplicativo.

Configurações de Regra de Controle de Dados

Uma Regra de Controle de Dados tem as seguintes seções:

• Geral - Nome e severidade que você escolhe atribuir à regra. Também permite que você ative ou desative a regra.

• Aplicação - Aplicação predefinida, categoria, aplicação personalizada ou Aplicativo Autorizado que corresponde a esta regra. Apenas aplicativos suportados aparecem na lista de aplicações predefinidas.

• Atividades - Para regras de Controle de Dados, as atividades são simplificadas para facilitar a implementação da Política de DLP. Selecione se a regra é para tráfego de upstream e/ou downstream.

  • Para aplicativos, selecione a atividade correspondente à qual a ação é aplicada. Para mais informações, veja O que é o Serviço DLP da Cato?.

    Nota:

    Para regras de aplicação, você deve ativar a Inspeção TLS para inspecionar o tráfego que corresponde à regra.

  • Para categorias, selecione a atividade correspondente ou o critério ao qual a ação é aplicada.

  Você deve definir uma atividade para cada regra.

• Atributos de Arquivo - Defina o tipo de conteúdo e tamanho do arquivo para os dados que correspondem a essa regra, e se há uma relação E ou OU entre os itens.

  • Tipo de Conteúdo - O menu suspenso mostra todos os Tipos de Conteúdo de arquivo suportados com extensões de arquivo e exemplos

  • Tamanho do Conteúdo - Para mais informações, consulte O que é o Serviço DLP da Cato?

  • Conteúdo Criptografado - A ação da regra é aplicada a todos os arquivos criptografados. O conteúdo de arquivos criptografados não pode ser escaneado pelo motor DLP.

• Perfis de DLP - O motor DLP pode identificar mais de 350 tipos de dados, veja Criando Perfis de Conteúdo DLP. Você pode configurar o perfil com uma relação E ou OU entre os tipos de dados.

• Métodos de Acesso - Requisitos para os agentes do usuário em hosts e dispositivos que podem se conectar à sua conta.

• Fonte - Fonte do tráfego para esta regra.

  • Você pode definir a Fonte para um País para criar uma regra que faça cumprir o tráfego originado naquele país, com base na geolocalização IP

  • Para mais informações sobre outros itens de Fonte para uma regra, consulte Reference for Rule Objects

• Tempo - Defina o período de tempo em que a regra está ativa.

• Ações - Aplique a ação especificada ao tráfego que corresponde à regra. As opções são:

  • Permitir: A ação está permitida.

  • Bloquear: A ação é bloqueada

  • Notificar: Quando a ação é tomada, uma notificação do Cliente é exibida. Os usuários podem dispensar a notificação e continuar sua atividade.

• Defina as opções de rastreamento para eventos e notificações por email.

Configurando Regras de Controle de Dados

Crie uma nova Regra de Controle de Dados e configure as configurações da regra para implementar a Política de Controle de Dados DLP para sua organização.

As opções de Tempo definem o intervalo de tempo que a regra está ativada. Você pode configurar opções personalizadas para uma regra ou escolher o horário de funcionamento padrão definido para a conta.

Para criar uma nova regra de Controle de Dados:

1. No menu de navegação, selecione Segurança > Aplicativo & Dados Inline.

2. Certifique-se de que o Controle de Dados esteja ativado (verde está ativado, cinza está desativado).

3. Clique em Novo > Regra de Controle de Dados.

   O painel Regra de Controle de Dados é aberto.

4. Expanda a seção Geral e configure estas configurações:

   1. Digite um Nome para a regra.

   2. Ative ou desative a regra usando o controle deslizante (verde está ativado, cinza é desativado).

   3. Selecione a Severidade.

      A Severidade é usada nos eventos e análises de monitoramento para esta regra.

5. Na seção Aplicação, selecione Qualquer Aplicação, ou você pode escolher limitar a inspeção de conteúdo para uma aplicação ou categoria específica.

   • Quando você seleciona Qualquer Aplicação para uma regra, ela é aplicada a todo o tráfego de aplicação HTTP/S, incluindo tanto tráfego da Internet quanto WAN.Quando você seleciona Qualquer Aplicação para uma regra, ela é aplicada tanto a aplicações em nuvem quanto a tráfego de aplicação na WAN.

6. Expanda a seção Atividades e configure essas configurações:

   1. Clique em Adicionar Atividade e selecione o item para a regra.

   2. Quando houver vários itens na seção Atividades, no menu suspenso Satisfazer, defina a relação entre os itens:

      • qualquer (OU) - Se qualquer um dos itens corresponder ao tráfego, a regra será aplicada

      • todos (E) - Se todos os itens corresponderem ao tráfego, a regra será aplicada

7. Na seção Atributos de Arquivo, você pode optar por inspecionar apenas o conteúdo para tipos específicos de arquivo e tamanhos de arquivo.

   Se você não configurar nenhuma configuração de Atributo de Arquivo, então todos os tipos e tamanhos de arquivo suportados são inspecionados.

   1. Clique em Adicionar Atributo de Arquivo e selecione Tipo de Conteúdo, Tamanho do Conteúdo ou Conteúdo Criptografado.

   2. Defina as configurações para o item Atributo de Arquivo.

   3. Para itens múltiplos, defina a relação entre os itens (veja acima 6b).

8. Na seção Perfis de DLP, você pode adicionar perfis de Inspeção de Conteúdo existentes e definir os tipos de dados que correspondem a esta regra.

   Se houver vários Perfis de DLP para uma regra, há uma relação E entre eles.

9. Expanda a seção Métodos de Acesso e defina os requisitos de agente de usuário.

   Se houver múltiplos itens, existe uma relação E entre eles.

10. Expanda a seção Fonte e selecione um ou mais objetos para a fonte de tráfego desta regra (ou você pode inserir um endereço IP).

    Selecione o tipo (por exemplo: Host, Interface de Rede, IP, Any). O valor padrão é Any.

11. (Opcional) Expanda a seção Tempo e defina quando a regra está ativa.

    Selecione Sem restrição de tempo para definir a regra como sempre ativa.

12. Expanda a seção Ações, e configure estas configurações:

    1. Selecione a Ação para esta regra. As opções são Permitir e Bloquear.

    2. (Opcional) Configure opções de rastreamento para gerar Eventos e Enviar Notificação. A frequência começa a contar após o primeiro envio de notificação.

       Para mais informações sobre notificações, consulte o artigo relevante para Grupos de Assinatura, Listas de Email e Integrações de Alertas na seção de Alertas

13. Clique em Apply.

Definindo o Modo de Falha do DLP

Habilitar ou desabilitar a configuração DLP Fail Close. Quando ativado, a política de Controle de Dados aplica uma ação padrão de Bloquear quando uma verificação de arquivo atinge o tempo limite ou não pode ser concluída devido a outros problemas. Por padrão, a configuração DLP Fail Close está desativada. Para mais sobre o modo de Falha do DLP, veja O que é o Serviço DLP da Cato?.

Para definir o modo de Falha do DLP:

1. Do menu de navegação, selecione Segurança > Tipos de Dados & Perfis e na aba Configurações selecione Geral.

2. Clique em para ativar (verde) a configuração DLP Fail Close para a conta.

3. Clique Salvar. A configuração DLP Fail Close é aplicada à conta.

Analisando Eventos de Controle de Dados

A página de Eventos mostra todos os eventos de Controle de Dados para a sua conta. Estes Eventos de Segurança são o Tipo, Segurança de Aplicativos.

Você pode saber mais sobre o uso da página de Eventos aqui.

Estes são os campos que estão unicamente relacionados ao Controle de Aplicativos:

Notificações aos Usuários

Se uma Notificação de ação for configurada ou uma Atividade for bloqueada por uma Regra de Controle de Dados, você pode Configurar uma Notificação para ser exibida ao Usuário, explicando qual Aplicativo foi Bloqueado e por quê. Você pode personalizar o conteúdo e a marca de uma notificação para atender aos requisitos da sua organização.

Assim é como a notificação padrão aparece em um dispositivo Windows:

Assim é como a notificação padrão aparece em um dispositivo iOS:

Pré-requisitos para Notificações aos Usuários

• Suportado de:

  • Cliente Windows v5.10 ou superior

  • Cliente macOS v5.7 e superior

  • Cliente iOS v5.4 e superior

• O usuário deve estar conectado remotamente

• Notificações devem estar ativadas (se as notificações forem suprimidas no dispositivo, por exemplo, em um Modo de Foco ou Não Perturbe, as notificações não poderão ser exibidas)

Ativando Notificações para Usuários

Você pode ativar usuários para receber Notificações do Sistema se uma Atividade corresponder a uma Regra de Notificação ou for Bloqueada por uma Regra de Controle de Dados.

Para ativar notificações para usuários:

1. No menu de navegação, selecione Acesso > Acesso do Cliente VPN > Notificações de Política de Segurança.

2. Selecione a caixa de seleção Habilitar Notificações de Política de Segurança para o Usuário.

3. Clique Salvar.

Personalizando Notificações para Usuários

Para orientar os Usuários sobre por que a Notificação foi exibida ou uma Ação foi Bloqueada, você pode criar e atribuir múltiplos Modelos de Notificação e atribuí-los a uma Regra de Política. Isso permite que você forneça notificações contextuais adaptadas para casos de uso específicos no ponto de aplicação. Para mais informações, veja Criando Modelos de Notificação de Usuário.