Заметка:
Пожалуйста, свяжитесь с feature-releases@catonetworks.com для получения дополнительной информации о включении и использовании этой функции.
Обзор
Современные корпоративные приложения все чаще полагаются на связь WebSocket (WS) вместо традиционных моделей HTTP-запросов/ответов. Платформы, такие как Slack, Microsoft Teams, Zoom, и сервисы с ИИ, такие как ChatGPT и Copilot используют WebSockets для обеспечения реального времени, двусторонней связи через одно постоянное соединение.
Этот сдвиг представляет собой критическую проблему в области видимости и безопасности: традиционные методы инспектирования, направленные на HTTP-трафик, не могут анализировать полезную нагрузку WebSocket после установления соединения.
Cato Cloud решает эту задачу с помощью глубокого инспектирования WebSocket, обеспечивая полную видимость и применение во всех случаях использования безопасности кассета CASB, DLP и ИИ.
Ключевые преимущества
Полная видимость уровня приложения в современных приложениях
Точное применение политики для SaaS и AI услуг
Расширенные возможности DLP для защиты данных в реальном времени
Улучшенная регулятивная готовность с полными журналами аудита
Устранение слепых зон WebSocket
Использование случаев
AI Security (AI Firewall)
Приложения с ИИ в значительной степени полагаются на потоковую передачу через WebSocket.
Без инспектирования:
Команды и ответы невидимы
Конфиденциальные данные (PII, исходный код) могут утечь незаметно
С инспектированием:
Полная видимость команд и ответов
Возможность обнаружения:
Утечка данных
Нарушения политики
Вредоносные или небезопасные выводы ИИ
Применение CASB
Современные SaaS платформы используют WebSockets для основных действий.
Без инспектирования:
Видимость только на уровне соединения (например, «подключено к Slack»)
Нет возможности различать действия пользователя
С инспектированием:
Гранулярное обнаружение активности:
Загрузка/Скачивание файлов
Публикация сообщений
Обмен данными
Применение политики по действиям (например, блокировка загрузки конфиденциальных данных)
Видимость, ведение журналов и соответствие требованиям
Без анализа WebSocket:
Отсутствие журналов на уровне приложения
Неполные данные SIEM
Сбой DLP и аудита
С анализом:
Полная реконструкция событий
Точные следы аудита
Журнал готовности к соответствию
Почему требуется инспектирование WebSocket
После начального рукопожатия обновления HTTP, соединения WebSocket доставляют данные приложения в виде непрерывного потока кадровых сообщений. Эти сообщения:
Не видны стандартным механизмам инспектирования HTTP
Могут содержать структурированные или неструктурированные данные (JSON, бинарные, проприетарные форматы)
Могут включать конфиденциальную информацию, такую как:
Пользовательский контент
Передача файлов
Запросы и ответы ИИ
Без корректного анализа, механизмы безопасности видят только метаданные (например, IP, порты, сессия TLS) и теряют весь контекст уровня приложения.
Сложности инспектирования WebSockets
Инспектирование WebSocket сложно из-за характеристик протокола:
Фрагментация кадров — сообщения могут быть разделены на несколько кадров
Маскирование — полезные нагрузки от клиента к серверу мутированы
Мультиплексирование — несколько логических сообщений могут использовать одно соединение
Вариативность протокола — полезные нагрузки могут использовать JSON, GraphQL, MessagePack или проприетарные форматы
Эффективное инспектирование требует полного разбора, пересборки и декодирования перед выполнением любого анализа безопасности.
Как Cato Cloud инспектирует WebSockets
Cato Cloud выполняет встроенное инспектирование WebSocket на скорости передачи данных с использованием многослойного подхода:
Анализ на уровне кадров
Не видны стандартным механизмам инспектирования HTTP
Могут содержать структурированные или неструктурированные данные (JSON, бинарные, проприетарные форматы)
Могут включать конфиденциальную информацию, такую как:
Пользовательский контент
Передача файлов
Запросы и ответы ИИ
Протокольно-осознанное декодирование
Определяет протоколы приложений (например, JSON, GraphQL)
Извлечение структурированных полей данных
Извлечение событий
Преобразует сообщения в значимые события безопасности, такие как:
Действия пользователей
Передачи данных
Интеракции ИИ
Интеграция движка
Отправляет анализированные данные:
Политики CASB
Инспектирование DLP
Анализ файервола ИИ