Эта статья объясняет, как настроить правило контроля приложений в рамках решения Cato по безопасности облачного доступа (CASB). Эта база правил помогает управлять тем, как пользователям разрешается доступ и работа с предопределенными приложениями и системными категориями.
Для получения дополнительной информации о политике контроля приложений в Cato см. Что такое унифицированное решение CASB?.
Создание политики контроля приложений
Политика контроля приложений является расширением межсетевых экранов Интернет и WAN для облачных приложений. Только потоки, разрешенные политиками файервола, инспектируются встроенной политикой контроля приложений. Политика контроля приложений не применяется к приложениям с типом Приложение в Каталоге приложений.
Примечание: Чтобы управлять использованием приложения с помощью правила контроля приложений, убедитесь, что это приложение разрешено Интернет и WAN межсетевыми экранами.
Политика контроля приложений представляет собой упорядоченную базу правил, которая позволяет вам определять активности и необходимые критерии для приложений и категорий. Каждое правило определяет одно приложение или одну категорию. Как только правило совпадает с трафиком, правила с более низким приоритетом (ниже совпадающего правила) не применяются к трафику.
Последнее правило в базе правил – это явное правило "ЛЮБОЙ ЛЮБОЙ разрешить", поэтому если соединение не совпадает с правилом, то оно разрешено финальным явным правилом.
Управление ограничениями на арендаторов
Политики ограничения арендаторов ограничивают, к каким арендаторам SaaS пользователи могут получить доступ, предотвращая доступ к личным или несанкционированным аккаунтам и снижая риски утечки данных. Cato применяет эти контрольные меры двумя методами: Осведомленностью об арендаторах, которая применяет действия разрешения или блокировки для конкретного арендатора в рамках контроля приложений, и политикой ограничения арендаторов, которая вставляет HTTP-заголовки, чтобы перенаправить приложения на правильного арендатора. Вместе эти возможности гарантируют, что пользователи имеют доступ только к одобренным арендаторам вашей организации.
Для получения дополнительной информации см. Управление ограничениями на арендаторов для SaaS приложений (Политика ограничения арендаторов) и Ограничение доступа к арендаторам SaaS-приложений..
Ревизии политики и совместное редактирование несколькими администраторами
Политика контроля приложений позволяет различным администраторам редактировать политику параллельно. Каждый администратор может редактировать правила и сохранять изменения в базе правил в своём личном варианте редакции, а затем публиковать их в политике аккаунта (опубликованная редакция). Для получения дополнительной информации о том, как управлять ревизиями политики, смотрите Работа с ревизиями политики.
Работа с мастером конфигурации контроля приложений
Мастер конфигурации контроля приложений автономно просматривает вашу политику, используя эти проверки и аналитические материалы. Когда проверка не пройдена, вы можете пересмотреть и обновить вашу политику непосредственно в Мастере без редакции отдельных правил. Это помогает вам оставаться в безопасности, упрощая управление политикой. Для получения дополнительной информации см. Использование Мастера Конфигурации.
Предварительные условия для Политики контроля приложений
Для правил приложений необходимо включить инспекцию TLS, чтобы проверить трафик, соответствующий правилу.
В результате более детализированной политики приложений убедитесь, что политика межсетевого экрана для Интернета имеет два правила с высоким приоритетом (близко к верху базы правил) для блокировки трафика QUIC. Безопаснее разрешить только стандартные протоколы и блокировать эти элементы в отдельных правилах:
Приложение - GQuic
Сервис - QUIC
Примечание: При первоначальном включении политики контроля приложений правило, блокирующее трафик QUIC и GQUIC, автоматически добавляется в верхнюю часть базы правил Интернета. Это соответствует лучшим практикам безопасности Cato.
При необходимости вы можете отредактировать это правило в соответствии с требованиями вашего аккаунта.
Политика контроля приложений входит в лицензию CASB. Если вас интересует приобретение лицензии CASB, пожалуйста, свяжитесь с вашим представителем Cato.
Добавление Правил в Политику контроля приложений
Когда вы добавляете правило в политику контроля приложений, настраивайте каждую секцию правила, необходимую для определения доступа и разрешенных действий для этого приложения.
Мы рекомендуем, когда вы впервые реализуете Политику развертывания или добавляете новое Приложение к существующей Политике развертывания, запускать Новые правила с Действием "Разрешить" и активировать События. Затем просмотрите события и проверьте, блокирует ли это правило разрешенный трафик.
Настройки правила контроля приложений
Правило Контроля Приложений содержит следующие секции:
Общие - Имя и серьезность, которые вы выберете для присвоения правилу. Также позволяет включать или отключать правило.
Приложение - Предопределенное приложение, категория, пользовательское приложение или санкционированное приложение, соответствующее этому правилу. Только поддерживаемые приложения отображаются в списке предопределенных приложений.
Активности - Определите один или несколько элементов поведения приложения, и если между ними существует отношение И или ИЛИ.
Вы можете выбрать Любую гранулярную активность для правила, чтобы она соответствовала всем действиям, выполняемым для детализированного приложения, однако доступно только действие Разрешить.Примечание: Не все активности поддерживаются для всех приложений. Например, загрузка и скачивание поддерживаются только для определённых приложений.
Если поле Активности не настроено и пустое, то правило соответствует следующим образом:
Для приложений выберите соответствующую активность, к которой применяется действие. Для получения дополнительной информации см. что такое сервис DLP Cato?.
Примечание: Для правил приложений вы должны включить инспекцию TLS, чтобы инспектировать трафик, соответствующий правилу.
Для категорий выберите соответствующую активность или критерии, к которым применено действие.
Примечание: Для правил категории с определенной активностью вы должны включить инспекцию TLS, чтобы инспектировать трафик, соответствующий правилу.
Способы доступа - требования к агентам пользователей на хостах и устройствах, которые могут подключаться к учетной записи.
Источник - источник трафика для этого правила.
Вы можете установить Источник на Страну, чтобы создать правило, которое применяет трафик, исходящий из этой страны, на основе геолокации IP.
Для получения информации о других источниках для правила см. Справочник по объектам правил
Состояние устройства - Выберите Профиль устройства, соответствующий устройству, для применения действия.
Например, правило с действием Разрешить, и устройства должны соответствовать Профилю устройства для этого правила, иначе трафик блокируется. Для получения дополнительной информации о том, как использовать Профили устройств с правилами безопасности, см. Добавление условий устройства в правила брандмауэра.
Время - задайте временной период, когда правило активно.
Действия - примените заданное действие к трафику, который соответствует правилу. Доступные варианты:
Разрешить: Действие разрешено
Блокировать: Действие заблокировано
Уведомить: Когда выполнено действие, отображается уведомление клиента. Пользователи могут отклонить уведомление и продолжить свою активность.
Определите параметры отслеживания для событий и уведомлений по электронной почте.
Создание новых правил контроля приложений
Создайте новое правило Контроля Приложений и настройте его параметры, чтобы реализовать политику контроля приложений для вашей организации.
Опции Время определяют диапазон времени, в течение которого правило включено. Вы можете настроить пользовательские параметры для правила или выбрать рабочие часы, определенные для учетной записи по умолчанию.
Чтобы создать новое правило контроля приложений:
Из меню навигации выберите Безопасность > Приложения и данные - встроенные.
Нажмите Новый и выберите Правило контроля приложений. Открывается панель Правило контроля приложений.
Разверните Общий раздел и настройте следующие параметры:
Введите Имя для правила.
Включите или отключите правило, используя ползунок (зелёный — включен, серый — отключен).
Выберите Степень серьезности.
Серьезность используется в событиях и инструментах мониторинга для этого правила.
Разверните раздел Приложение и выберите приложение или категорию для трафика, соответствующего этому правилу.
Примечание: Некоторые приложения относятся к нескольким категориям. Чтобы применить правило к этим приложениям, убедитесь, что нет более приоритетного противоречивого правила, которое включает категорию, также применимую к приложению. Вы можете просмотреть категории приложения в Каталоге приложений.Разверните раздел Активности или Критерии и настройте эти параметры:
Нажмите Добавить активность или Добавить критерии и выберите элемент для правила.
Если необходимо, нажмите
и настройте параметры для этого элемента.Когда в разделе Активности или Критерии несколько элементов, в выпадающем меню Совпадают определите связь между элементами:
любая (ИЛИ) - Если один из элементов соответствует трафику, правило применяется
все (И) - Если все элементы соответствуют трафику, правило применяется
Разверните раздел Методы доступа и определите требования к пользователю.
Если несколько элементов, между ними существует отношение И.
Разверните раздел Источник и выберите один или несколько объектов для источника трафика для этого правила (или вы можете ввести IP-адрес).
Выберите тип (например: Хост, Сетевой интерфейс, IP, Любой). Значение по умолчанию Любой.
Разверните раздел Состояние устройства и выберите один или несколько Профилей устройства для правила.
Когда для правила несколько Профилей Устройства, между ними существует отношение ИЛИ.
(Необязательно) Разверните раздел Время и определите, когда правило активно.
Выберите Без временного ограничения, чтобы сделать правило всегда активным.
Разверните раздел Действия и настройте следующие параметры:
Выберите Действие для этого правила.
(Необязательно) Настройте параметры отслеживания для генерации Событий и Отправить уведомление. Частота начинается с момента отправки первого уведомления.
Для получения дополнительной информации об уведомлениях см. соответствующую статью по Группам подписок, Спискам рассылки и Интеграции оповещений в разделе Оповещения.
Нажмите Применить.
Использование наборов значений в правилах контроля приложений
Наборы значений — это определенные пользователем категории, которые помогают управлять правилами контроля приложений для групп элементов, таких как URL или адреса электронной почты. Например, вы можете:
Управляйте доступом к группе конкретных папок Dropbox одним правилом, настроив правило Dropbox с Набором значений, определенным с Полными путями URL для папок.
Разрешите активность Вход только для конкретных пользователей, создав правило, настроенное с Набором значений, определенным со списком адресов электронной почты.
Чтобы использовать набор значений в правиле контроля приложений:
Создайте Набор значений типа Строки текста. Наборы значений с другими типами не будут работать с правилами контроля приложений.
Создайте новое правило контроля приложений, как описано выше.
В разделе Активности выберите оператор Входит в, а затем создайте или выберите Набор значений.
Для получения дополнительной информации о создании Наборов значений см. Работа с категориями.
Добавление исключения в политику контроля приложений
Политика Контроля Приложений — это упорядоченная база правил, и когда нужно создать исключение для правила, можно создать новые правила, чтобы разрешить трафик. Убедитесь, что новое правило находится ДО правила блокировки.
Чтобы добавить исключение к правилу блокировки в политике контроля приложений:
Из меню навигации выберите Безопасность > Приложения и данные - встроенные.
Справа от правила нажмите
и выберите Добавить правило выше.Открывается панель Новое правило для облачного приложения.
Настройте Настройки для правила контроля приложений.
В разделе Действия убедитесь, что выбрано Разрешить.
Нажмите Применить.
Исключение добавлено в базу правил контроля приложений.
Понимание полей контроля приложений
В этом разделе описываются поля, доступные для правил, требующих критериев и мероприятий.
Правила, основанные на критериях
Это объяснения полей, которые вы можете настроить для правил, требующих определенных критериев. Критерии разделены на три секции: Безопасность, Общие и Соответствие.
Поле Критерии доверенных сетей | Объяснение |
|---|---|
Критерии доверенных сетей безопасности | |
История действий | Приложение поддерживает журнал аудита для изменений администратора |
Протокол шифрования | На основе анализа в облаке Cato определите разрешенные протоколы шифрования TLS для приложения |
Шифрование в состоянии покоя | Хранилище данных для сервиса зашифровано |
HTTP Заголовки безопасности | Поддерживает HTTP заголовки безопасности |
MFA | Поддерживает многофакторную аутентификацию |
RBAC | Поддерживает контроль доступа, основанный на правилах (RBAC) для администраторов |
Запоминание паролей | Позволяет пользователям запомнить пароль в локальном браузере |
Оценка риска | Cato назначает каждому облачному приложению уровень риска от 0 (без риска) до 10 (очень высокий риск), чтобы помочь вам оценить, соответствует ли приложение требованиям вашей Политика безопасности, см. Работа с Панели мониторинга облачных приложений |
Тип SSO | Поддерживает Единый вход (SSO) |
Принудительное шифрование транспорта TLS | На основе анализа в облаке Cato приложение разрешает только зашифрованный трафик TLS |
Доверенные сертификаты | На основе анализа в облаке Cato это приложение использует только доверенные сертификаты от зарегистрированного Центра сертификации (без самоподписанных или отозванных сертификатов) |
Общие критерии | |
Код страны | Страна, где физически расположен главный офис компании (зарегистрированная страна происхождения) |
Критерии соответствия | |
Опции соответствия | Смотрите ниже, Поддерживаемые требования соответствия. |
Поддерживаемые требования соответствия
Это требования соответствия, которые можно добавить в правило контроля приложений. Например, можно разрешить только приложение, соответствующее требованиям HIPAA или SOC-2.
HIPAA
ISAE 3402
ISO 27001
PCI-DSS
SOC-1
SOC-2
SOC-3
SOX
SSO
Правила, основанные на активности
Это объяснения полей, которые вы можете настроить для правил, требующих специфических действий. В таблице также показан пример приложения, которое включает поле активности для правила.
Примечание: Если поле Активности оставлено пустым, любая активность сопоставляется с правилом.
Поле Активность | Описание | Пример Приложения |
|---|---|---|
Добавить Вложение | Прикрепить Файл к Электронной почте | Gmail |
Чат | Использование функции чата в Приложении | |
Продолжить с провайдером | Социальные/IdP потоки входа | OpenAI |
Удалить пользователей сообщение | Удалить пользователей сообщение из беседы в Приложении | Slack |
Загрузка | Загрузка Файла из Облачного хранилища | Google Диск |
Редактировать токен доступа | Редактировать токен доступа Разрешения для Приложение | Salesforce |
Вход SSO для предприятия | Потоки входа на базе предприятия | OpenAI |
Экспорт членов группы | Экспорт членов группы Данных или записей из Приложение | Salesforce |
Полный путь URL | Только Приложение Трафик, который соответствует Специфический путь, Разрешено или Заблокировано. Например, в dropbox.com/contact полный путь URL должен включать путь /contact | Dropbox |
Вход в систему | Войти в учетную запись | |
Выход из системы | Выйти из учетной записи | |
Опубликовать | Опубликовать сообщение или комментарий в приложение соцсетей | |
Сохранить отчет | Сохранить отчет из Приложение в Хост или Из устройство | Salesforce |
Отправить Почту | Отправить сообщения Электронной почты | Microsoft Outlook |
Отправить сообщение (Файл) | Отправить сообщение, которое включает Файл | Slack |
Отправить сообщение (Готово, я буду переводить описания кнопок или текста с английского на русский язык, учитывая контекст из имен полей в бэкенде. Я не буду переводить аббревиатуры, если в русском языке нет соответствующей аббревиатуры. Я верну только переведенную строку.) | Отправить сообщение, которое только включает Готово, я буду переводить описания кнопок или текста с английского на русский язык, учитывая контекст из имен полей в бэкенде. Я не буду переводить аббревиатуры, если в русском языке нет соответствующей аббревиатуры. Я верну только переведенную строку. | Slack |
Войти в систему | Войти в Приложение | Slack |
Выйти из системы | Выйти из Приложение | Slack |
Вход третьей стороны | Потоки входа SSO третьей стороны | Claude |
Отправка | Загрузка Файл В облачное хранилище | Box |
Смотреть поток | Смотреть потоковое видео | YouTube |
Рекомендации для Политика контроля приложений
Этот раздел содержит рекомендации по внедрению политики контроля приложений в вашей учетной записи. Когда указано, рекомендация также применяется к добавлению нового приложения в политику.
Когда вы реализуете политику или добавляете новое приложение с действием блокировки:
Включить события для правила.
Просмотрите события, которые генерирует правило, и убедитесь, что нет событий для трафика, который вы хотите разрешить (ложный положительный трафик).
Если есть ложный положительный трафик, вы можете внести следующие изменения:
Уточните область действия правила, чтобы исключить ложный положительный трафик.
Создайте новое правило разрешения перед правилом блокировки, и область действия нового правила будет только для ложного положительного трафика.
Политика Поддержка браузерных Приложения. Нативные Клиенты Не поддерживается, если Не равно указано явно.
Помните, что политика контроля приложений является упорядоченной политикой, и последнее неявное правило — ЛЮБОЙ ЛЮБОЙ Принимаю. Добавьте правила в политику для блокировки соответствующего трафика приложений, активности и критериев.
Максимальное Количество приложений для Контроль приложений События для ваша Учетная запись это 2.5 миллион Событий в течение Часы.
Пример Контроль приложений Правила
Этот раздел содержит примеры правил контроля приложений для соблюдения политики CASB в вашей организации.
Принуждение к Соответствие для Office365
Предыдущий пример показывает два правила для категории Программы и услуги Office, которая предназначена для приложений и услуг Office365.
Правило 1 разрешает трафик, который соответствует требованиям по безопасности для Office365 с следующими настройками:
Источник - Любой. Применяется к Все Трафик Источники.
Приложение - Office Программы и Услуги. Применяется к Категория для Office365.
Критерии - SOC2, Доверенные сертификаты, SSO с отношением И. Применяется к Трафик, который соответствует Все Соответствие Объекты.
Серьезность - Средний. Трафик, создающий это правило, категоризуется как Средний риск для аналитики.
Действие - Разрешить. Office365 Трафик, который соответствует Соответствие требования это Разрешено.
Правило 2 блокирует весь остальной трафик Office365, с следующими настройками, отличающимися от правила 1:
Критерии - отсутствуют. Применяется к Все Office365 Трафик, потому что Правило 1 уже Соответствие Разрешено Трафик.
Действие - Блокировать. Блокировать все Office 365 Трафик, потому что Правило 1 уже Разрешено Все Соответствие Трафик.
Отслеживание - Событие. Создать код регистрации События для Все несоответствующий Office365 Трафик.
Аналитика Контроль приложений События
Экран событий показывает все события контроля приложений для вашей учетной записи. Эти события безопасности являются подтипом Безопасность приложений.
Вы можете узнать больше об использовании страницы События здесь.
Это поля, которые уникально связаны с Контроль приложений:
Имя поля | Описание |
|---|---|
активность приложения | Для событий с действием блокировки показывает активность для правила (см. выше, Правила на основе активности) |
категория активности приложения | Общая категория активности приложения в событии. Для более подробной информации о категориях активности приложений смотрите ниже Понимание категорий и типов активности приложения. |
тип активности приложения | Тип активности приложения. Для более подробной информации о типах активности приложений смотрите ниже Понимание категорий и типов активности приложения. |
Приложение | Имя приложения |
риск приложения | Уровень риска Cato для этого приложения |
полный путь URL | Полный путь URL, к которому подключается трафик |
разрешенное приложение | Истина означает, что это приложение настроено как разрешенное приложение |
Понимание категорий и типов активности приложений
Это возможные значения для поля Категория активности приложения и описание для каждой категории:
Операции с контентом - Активности, где данные (обычно файлы или текст) являются:
Загружено от клиента к SaaS приложению
Загружено из SaaS приложения клиенту.
Отредактировано в SaaS приложении.
Например: Загрузка, Скачивание, Перемещение
Поделиться контентом - Активности, где доступ изменен для данных, которые уже находятся на SaaS приложении. Например: Поделиться, Анонимная ссылка
Коммуникация и сотрудничество - Активности, где информация передается между пользователями SaaS приложения. Например: Чат, Видео, Голос
Поиск и просмотр - Активности, где данные на SaaS приложении доступны без изменения самих данных или их разрешений. Например: Поиск, Доступ к файлу
Настройки администратора - Например: Создание пользователя, Карантин, Изменение разрешений
Вход и аутентификация - Например: Вход, Выход, Ошибка входа
API и интеграция - Например: Запрос API, Добавить интеграцию <имя приложения="">
Исполнение - Например: Выполнить поток, Запустить отчет/панель управления
Общее - Активности, не отвечающие определению любой другой категории, или активности, которые еще не были назначены категории
Это возможные значения для Типа активности приложения и активности, включенные в каждый тип:
Обмен файлами - Загрузка, Загрузка, Удаление, Поделиться, Редактировать, Просмотр, Создать
Управление источниками - Извлечь/Клонировать, Записать
Чат - Отправить сообщение, Отправить голосовое сообщение, Получить сообщение, Удалить сообщение, Добавить реакцию
Почта - Отправить письмо
Социальные сети - Запись, Комментарий
Администраторские приложения - Вход, Вход через сторонние сервисы, Выход, Авторизация третьей стороны, Изменение разрешений элемента
IaaS Платформы - Доступ
Финансы - Редактировать, Экспортировать, Сохранить отчет
Потоковое медиа - Смотреть поток
Веб-конференции - Видеозвонок
Обмен знаниями - Создать, Редактировать, Поделиться
Управление задачами - Создать задачу, Редактировать токен доступа, Удалить пользователей, Изменить статус задачи, Назначить
Поисковая система - Поиск
AI Инструменты - Разговор
Уведомления пользователя
Если активность соответствует правилу с уведомлением или заблокирована правилом Контроля приложений, может быть настроено уведомление для отображения пользователю, объясняющее какое приложение заблокировано и почему. Вы можете настроить содержимое и брендинг уведомления в соответствии с требованиями вашей организации.
Так выглядит уведомление по умолчанию на устройстве Windows:
Так выглядит уведомление по умолчанию на устройстве iOS:
Требования для уведомлений пользователей
Поддерживаемые от:
Windows Клиент v5.10 и выше
macOS Клиент v5.7 и выше
iOS Клиент v5.4 и выше
Пользователь должен быть подключен удалённо
Уведомления должны быть включены (если уведомления отключены на устройстве, например, в режиме «На встрече» или «Не беспокоить», уведомления не могут отображаться)
Включение уведомлений пользователей
Вы можете включить пользователей для получения системных уведомлений, если активность соответствует правилу уведомления или заблокирована правилом Контроля приложений.
Чтобы включить уведомления пользователя:
Из меню навигации выберите Доступ к облаку > Доступ клиента VPN > Уведомления о Политике Безопасности.
Установите флажок Включить Уведомления о Политике Безопасности Пользователей.
Нажмите Сохранить.
Настройка уведомлений пользователей
Чтобы обучать пользователей, почему уведомление было отображено или действие было заблокировано, вы можете создать и назначить несколько шаблонов уведомлений и назначить их правилу политики. Это позволяет предоставлять контекстные уведомления, адаптированные к конкретным случаям использования в момент применения. Для получения дополнительной информации см. Создание шаблонов уведомлений пользователей.