Защита пользователей с помощью всегда включенной безопасности

Эта статья обсуждает, как настроить вашу Политику Always-On для повышения безопасности Интернета для пользователей вашего аккаунта.

Обзор

Политика Always-On улучшает безопасность интернета, создавая правила, когда пользователи или группы пользователей всегда подключаются к Cato Cloud. Это обеспечивает прохождение всего трафика через PoP, а движки безопасности Cato инспектируют трафик, чтобы убедиться, что он соответствует вашим политикам безопасности.

Сценарий использования - Настройка политики "Всегда включено" для сотрудников и сторонних подрядчиков

Сеть компании ABC используется её собственными сотрудниками, которые имеют доступ к корпоративным ресурсам, и сторонними подрядчиками, которые не могут получить доступ к корпоративным ресурсам. Они создают правило для включения функции Всегда Включено для своих сотрудников, в то время как сторонние подрядчики имеют возможность напрямую подключаться к Интернету. Это обеспечивает прохождение всего трафика от сотрудников компании через Cato Cloud и защиту политиками безопасности.

Сценарий использования - Включение политики "Всегда включено" только для управляемых устройств

Компания ABC устанавливает клиент Cato на все управляемые устройства, а также позволяет сотрудникам устанавливать клиент на их личные устройства, чтобы они могли, при необходимости, получить доступ к ресурсам компании. Корпоративная политика безопасности требует, чтобы управляемые устройства всегда были подключены к сети.

IT-команда создает Профиль состояния устройства, который использует проверку устройства для проверки установки подписного сертификата на устройстве.

Затем они создают правила в политике Always-On, чтобы требовать Always-On только для устройств, которые соответствуют профилю Device Posture на наличие сертификатов.

Работа с упорядоченной политикой Всегда Включено

Политика Всегда включено - это упорядоченная база правил. Правила в вашей политике применяются к пользователю или группе следующим образом:

Когда правило выполняется, Клиент следует конфигурации, установленной в правиле.
Если они не соответствуют никаким правилам, у них есть возможность отключиться от сети.

Предварительные требования для политики Всегда Включено

Всегда включено не поддерживается для Клиентов Linux

Всегда Включено с управляемыми устройствами

В этом разделе описан процесс настройки применения политики Always-On только к управляемым устройствам, используя Проверку устройства для сертификатов подписи.

Подготовьте устройства для использования проверки устройства с сертификатом подписи.
- Распределите сертификат на управляемые устройства. Смотрите статьи в Распределение и установка сертификатов устройств.
- Загрузите сертификат подписи в CMA. Смотрите Управление сертификатами подписи для удалённого доступа.
Чтобы идентифицировать управляемые устройства на основе установленного сертификата, настройте Проверку устройства для сертификатов и назначьте ее профилю устройства. Смотрите Создание профилей состояния устройств и проверок устройств.
В политике Always-On создайте новое правило, требующее, чтобы управляемые устройства всегда были подключены к сети:
1. Пользователь/Группы - Назначьте группы пользователей или пользователей управляемым устройствам.
2. Профили состояния устройства - Выберите Профиль устройства, который вы создали на шаге 2.
3. Подключенные - Выберите Всегда включено.
Дублируйте правило из шага 3 и измените настройку Подключенные на По запросу.
Опубликовать политику Always-On.

Предоставление доступа к Интернету с политикой Всегда Включено

При включенной политике Always-On вы все равно можете предоставить пользователям прямой доступ к Интернету, осуществив:

Использование временного метода обхода
Создание правила с состоянием подключения По требованию
Разрешение доступа к Интернету в режиме восстановления

Временный обход защищённого доступа к Интернету

Могут возникнуть ситуации, когда пользователям нужно временно обойти Cato Cloud и напрямую получить доступ к Интернету. Например, для временного доступа к веб-сайту, заблокированному правилом Межсетевого экрана для Интернета. Для каждого правила можно настроить, как пользователи временно обходят Cato Cloud.

На Windows v5.9 и выше вы также можете настроить, на какое время пользователи могут обходить облако Cato. В течение этого периода интернет-трафик не проходит через Cato Cloud и не защищен.

Когда Клиент временно отключается, создаются события, показывающие детали пользователя и временную протяжённость, на которую Клиент был отключён. Чтобы просмотреть эти события, на странице События примените фильтр по подтипу VPN Never-Off Bypass. Метод обхода, показанный в событии, отображает метод, использованный для обхода Клиента. Для получения дополнительной информации о событиях в вашем аккаунте, см.Анализ событий в вашей сети.

Пользователи могут временно обходить Cato Cloud, используя:

Контролируемый администратором обход с кодом обхода
Управляемый пользователем обход

Контролируемый администратором обход с кодом обхода

Примечание: Поддерживается на клиентах Windows, Android, iOS и macOS.

Используйте эту опцию для генерации одноразового пароля (OTP) в Приложении управления Cato, который вы можете дать любому пользователю, позволив ему временно отключить Клиент. В версиях клиента Windows ниже 5.9 и в других поддерживаемых операционных системах Клиент может быть обойдён до 15 минут за раз.

Кроме того, можно использовать приложение для аутентификации (например, Google Authenticator) для сканирования QR-кода на этом экране. Таким образом, вы всегда можете получить OTP для пользователей из приложения для аутентификации. Приложение аутентификации обновляет код каждые 30 секунд, так что каждый код действителен только 30 секунд.

Вы можете использовать один и тот же код обхода для нескольких пользователей, пока код остается действительным.

Управляемый пользователем обход

Примечание: Поддерживается на клиентах Windows, macOS и iOS версии 5.6 и выше.

Эта опция позволяет пользователям временно отключать Клиент по запросу. В клиенте пользователь должен указать причину отключения клиента в поле свободного текста. а затем можно немедленно получить доступ к Интернету. Эта причина включена в событие.

Клиентам разрешено отключаться на продолжительность, установленную в Продолжительность отключения.

Сценарий использования - Предварительно одобренный доступ в Интернет для определённых команд

Команда инженеров розничной компании отвечает за обеспечение 100% доступности их веб-сайта для приема онлайн-заказов. Это означает, что им всегда необходим доступ к онлайн SaaS-приложению, необходимому для устранения проблем. Доступ к приложению требуется вне рабочего времени и при удаленной работе. Политика безопасности компании гласит, что весь доступ к Интернету должен быть безопасным.

Чтобы соответствовать политике безопасности, IT включает Always-On. В качестве меры предосторожности, чтобы избежать ситуации, когда при возможном сбое клиент не может подключиться к Cato Cloud, IT команда предоставляет инженерам возможность немедленного доступа к Интернету. IT команда создала правило в своей политике Always-On для группы пользователей-инженеров, где режим обхода настроен для временного отключения пользователей по запросу.

Если инженеру необходимо устранить проблемы с веб-сайтом в середине ночи, команда ИТ может быть уверена, что он сможет получить доступ к SaaS-приложению для устранения проблем, даже если с клиентом возникла проблема. Инженеру не нужно ждать одобрения ИТ, чтобы обойти Cato Cloud и начать устранять проблемы с веб-сайтом.

Создание правила с состоянием подключения По требованию

Если есть пользователи, которым регулярно требуется прямой доступ к Интернету, вы можете добавить их в правило со статусом подключения По требованию. Эта конфигурация позволяет пользователям подключать или отключать Клиент по мере необходимости.

Режим восстановления клиента

Примечание: Поддерживается на клиентах Windows, macOS и iOS версии 5.6 и выше.

Вы также можете выбрать поведение клиента в случае, если подключение к Cato Cloud не может быть установлено. Клиент может быть настроен следующим образом:

Разрешить доступ к Интернету (Конфигурация по умолчанию): Пользователи могут получить доступ к Интернету и ЛВС. Трафик не проходит через Cato Cloud и не защищен до тех пор, пока не будет установлено подключение к Cato Cloud
Ограничение доступа к Интернету: Пользователи не могут получить доступ к Интернету до установления подключения к Cato Cloud и защищенному Интернету.

Сценарий использования - Подключение к Интернету во время путешествий

Компания ABC включает функцию Всегда Включено для всех пользователей. Их руководители часто путешествуют и подключаются к Интернету из аэропортов и гостиниц. Иногда клиент не обнаруживает портал авторизации и не может установить зашифрованный туннель. Чтобы обеспечить возможность работы руководителей во время их путешествий, команда ИТ настраивает Режим восстановления в правиле Всегда Включено для группы пользователей руководителей, чтобы разрешить доступ к Интернету.

Если клиент не обнаруживает портал авторизации, пользователи с уровнем доступа C-suite могут продолжать работу, так как клиент разрешает доступ в Интернет в соответствии с политикой Always-On. Как только Клиент восстанавливает туннель, трафик проходит через Cato Cloud, как и ожидалось.

Подготовка к реализации политики Always-On

Прежде чем включить политику Always-On, рассмотрите, как она взаимодействует с другими функциями и версиями Клиента в вашей среде. В этом разделе представлены рекомендации по использованию SSO, Client Connectivity, аутентификации устройства и Клиента для Windows с вашей политикой Always-On.

Работа с Always-On и SSO

Для учетных записей, использующих аутентификацию единого входа для пользователей, вы также можете настроить поддерживаемых клиентов для постоянного подключения к Cato Cloud (Всегда включено). Эта конфигурация предоставляет пользователям удобство SSO и безопасность Always-On. Клиент может получить доступ к провайдеру IdP, а доступ к другим ресурсам осуществляется согласно вашей политике безопасности.

Примечание: Чтобы помочь пользователям, которые не могут пройти аутентификацию на клиенте, рекомендуем включить метод обхода Cato Cloud и просмотреть события обхода. В противном случае неаутентифицированное устройство не может подключиться к Интернету или Cato Cloud.

Реализация Always-On и SSO

В этом разделе приведены лучшие практики и рекомендации по внедрению Always-On с SSO в вашем аккаунте.

Начните с включения Always-On и SSO для небольшого числа пользователей, чтобы минимизировать воздействие на ваш аккаунт.
Просматривайте события обхода, чтобы мониторить использование кодов обхода в вашей организации.
Поскольку неаутентифицированные пользователи не имеют подключения к Интернету, убедитесь, что пользователи могут войти на устройство без зависимости от Интернета
Убедитесь, что все клиенты обновлены до минимально поддерживаемой версии для соответствующей операционной системы. Если используется клиент неподдерживаемой версии, Клиент не сможет повторно аутентифицировать и трафик в Интернет будет заблокирован.
Для развертываний с использованием стороннего прокси поддерживается только внутренняя аутентификация браузера для Always-On и SSO (подробнее о аутентификации браузера см. Настройка политики аутентификации для клиентов Cato

Использование Client Connectivity Policy и аутентификации устройства с Always-On

Ваша Политика доступа клиента и Аутентификация устройств учитывают состояния и проверки устройств, выполненные на устройствах для пользователей. Если устройство не соответствует политике, установленной для профиля, то пользователь не сможет подключиться к Cato Cloud. Ваша Политика подключения клиента и настройки аутентификации устройства имеют приоритет над вашей политикой Always-On.

Установка Клиентов для Windows и Always-On

Для IT-команд, которые доставляют или отправляют новые устройства пользователям по всему миру, мы можем предоставить Always-On Защиту «из коробки».

Начиная с Клиента для Windows версии v5.6, вы можете усилить безопасность Интернета еще до того, как пользователь пройдет аутентификацию в Cato. Политика Always-On доступна «из коробки», и доступ в Интернет разрешен только после того, как пользователь проходит аутентификацию в вашем аккаунте Cato.

Чтобы включить эту функцию, просто добавьте ключ в реестр Windows для активации Always-On. Как только пользователь добавляется в Клиент, настройки Always-On, определенные в Приложении управления Cato, применяются к этому пользователю.

Для аккаунтов, использующих предвходную функцию, устройству разрешено только доступ к Разрешённым назначениям до того, как пользователь будет добавлен в клиент. Все другие доступы к интернету заблокированы.

Также рекомендуем добавить ключ реестра, который запускает клиент при старте. Для получения дополнительной информации см. Установка клиента Cato.

Это также можно настроить в качестве параметра установки при развертывании клиента с использованием MDM. Для получения дополнительной информации см. Развертывание клиента Cato с помощью Intune (Windows).

Примечание: Прежде чем добавлять пользователей в клиент, обойти Cato Cloud невозможно.

Чтобы настроить реестр Windows для принудительного включения Always-On:

Перейдите к ключу реестра: HKEY_LOCAL_MACHINE\SOFTWARE\CatoNetworksVPN
Определите этот ключ:
- InitialAlwaysOn=1 (DWORD)

Настройка политики Always-On

В этом разделе объясняется, как создать политику Всегда включено.

Создание политики Always-On

Политика Always-On позволяет определить пользователей или группы пользователей для клиентов, которые должны всегда подключаться к сети.

Для создания политики Всегда включено:

В меню навигации нажмите Доступ > Политика Always-On.
Нажмите Новый.
Откроется панель Новое правило.
Введите Имя и установите Порядок правил.
Определите Пользователи & Группы и Платформы.
Определите статус Подключено и Режим обхода для Always-On.
Для SDP Защиты от вмешательства определите, какое действие предпринять, если пользователь попытается внести изменения. По умолчанию изменения разрешены. Чтобы предотвратить изменения пользователями, выберите Включить.
Для получения дополнительной информации смотрите Работа с защитой от подделки для клиента Cato (EA)
Определите, как долго отключается Always-On и Защита от вмешательства в Продолжительность отключения & вмешательства.
Таймер для каждого обхода начинается с момента ввода кода. Например, длительность установлена на 60 минут. Если код обхода для защиты от вмешательства введён в 12:30, таймер начнёт отсчёт, и защита будет вновь включена в 13:30. Код обхода для Always-On введен в 13:00, и он утратит силу в 14:00.
Настройте, как клиент работает в Режиме восстановления.
Нажмите Применить.
Повторите шаги 2–5 для каждого правила в политике Всегда включено.
Включите Политику всегда включено, а затем нажмите Сохранить.
Слайдер зеленый, когда правило включено, и серый, когда правило отключено.

Настройка параметров по умолчанию

Примечание: Поддерживается для клиентов Windows и Linux.

Вы можете предоставить пользователям По требованию подключенный статус с дополнительной защитой, настроив Клиент для автоматического подключения в процессе загрузки. После подключения пользователи могут выбирать отключение и повторное подключение Клиента, когда потребуется. Для пользователей с включенным статусом Всегда включено клиент автоматически подключается без этой конфигурации.

Если опции Подключаться при загрузке или Запускать свернутым выбраны в Приложении управления Cato:
- Это применяется ко всем Клиентам в вашей среде
- Пользователи не могут отключить данную настройку из Клиента

Если опции Подключаться при загрузке или Запускать свернутым очищены в CMA:
- Пользователи могут выбрать, активировать ли эти функции во вкладке Настройки в Клиенте

Примечание: С включенной функцией Подключаться при загрузке если пользователь выходит из своей сессии Windows, Клиент подключается к Cato Cloud. Это обеспечивает доступ к контроллерам домена, чтобы пользователь мог снова войти в систему.

Чтобы настроить параметры по умолчанию для Клиентов:

В меню навигации нажмите Доступ > Политика Always-On.
Откройте вкладку Настройки.
В разделе Подключаться при загрузке определите параметры по умолчанию для Клиентов для Windows.
Нажмите Сохранить.

Принудительная аутентификация за Сайт Cato

Примечание: Поддерживается для клиентов Windows и Linux.

Когда пользователь подключается за Socket Cato или площадке IPsec, Клиент автоматически подключается к этой площадке в Офисном режиме. Для получения дополнительной информации об Офисном режиме см. Настройка офисного режима.

Можно настроить, требуется ли пользователям с включенным Always-On аутентифицироваться в Cato, когда клиент подключен в Офисном режиме. Эта настройка не влияет на политики безопасности.

Когда эта опция включена:

Клиент устанавливает контрольный туннель SDP с подключенным PoP для аутентификации, поддержания соединения и других управляющих коммуникаций.
Трафик пользовательских данных не проходит через туннель SDP. Он продолжает выходить через сетевой интерфейс устройства (NIC), и далее передается местным сайтом Cato.

Чтобы принудительно включить аутентификацию на площадке Cato

В меню навигации нажмите Доступ > Политика Always-On.
Откройте вкладку Настройки.
В разделе Принудительное использование Always-On в офисе выберите Требовать аутентификацию в офисе.
Нажмите Сохранить.

Генерация кода обхода

Код обхода — это шестизначный код, который вводится в Клиент, чтобы пользователи могли временно отключиться от Cato Cloud.

Чтобы сгенерировать код обхода:

В меню навигации нажмите Доступ > Политика Always-On.
Откройте вкладку Настройки.
Разверните Показать код обхода или Показать QR-код для приложения аутентификации раздел.
Определите, как долго будет действовать код обхода.
Примечание: Поддерживается в клиенте Windows начиная с версии 5.18 и в macOS версии 5.10.6
Теперь вы можете отправить код обхода или QR-код пользователю.

Понимание Пользовательского Опыта

Генерация кода обхода защиты от вмешательства

Код обхода защиты от вмешательства — это 6-значный код, который вводится в клиент, чтобы позволить пользователям временно вносить изменения в клиент Cato или его способность работать, например, изменение соответствующих записей реестра.

Чтобы сгенерировать код обхода:

В меню навигации нажмите Доступ > Политика Always-On.
Откройте вкладку Настройки.
Развернуть раздел Показать код обхода защиты от вмешательства или Показать QR-код защиты от вмешательства для приложения аутентификации. Каждый код действителен в течение 15 минут.
Скопируйте код обхода или QR-код и отправьте его пользователю.

В зависимости от Режима обхода, настроенного в Приложении управления Cato, пользователи могут временно отключить Клиент, используя либо код обхода, либо введя причину для обхода.

Введение кода обхода

Код обхода генерируется администраторами и отправляется пользователю для ввода в Клиент. После ввода действительного кода клиент временно обходит зашифрованный туннель, и пользователь может получить доступ в Интернет. Клиенты для Windows версии ниже v5.9, macOS, iOS и Android могут быть временно отключены на максимальное время 15 минут. Клиенты для Windows версии v5.9 и выше могут быть отключены на время, указанное в Продолжительность отключения.

Пользователи, которые аутентифицируются с помощью SSO или MFA, должны повторно аутентифицироваться в Клиенте Cato при повторном подключении.

Примечание: Обход Always-On конфигурации не влияет на защиту от вмешательства.

Чтобы ввести код обхода:

В Клиенте для Windows пользователи могут щелкнуть правой кнопкой мыши на значке Клиента в системном трее и выбрать Временный обход
В Клиенте macOS пользователи могут щелкнуть правой кнопкой мыши на значке Клиента в системном трее и выбрать Временное отключение
В Клиенте iOS на главном экране Клиента выберите Обход всегда включено
В Клиенте Android в боковом меню выберите Временный обход

Введение Причины обхода

Пользователи могут временно отключить Клиент после предоставления причины. После того, как пользователь вводит причину, Клиент временно обходит Cato Cloud, и пользователь может получить доступ к Интернету. Клиент отключен на время, установленное в Приложении Управления Cato.

Чтобы ввести причину обхода:

В клиенте Windows пользователи могут щёлкнуть правой кнопкой мыши по значку клиента в системном трее и выбрать Временный обход.
Укажите причину временного отключения Клиента.
Нажмите Готово.
Клиент отключен.

Введите код обхода защиты от вмешательства

Примечание:

Поддерживается с версии Windows Client v5.14 и выше
Примечание: Обход Always-On конфигурации не влияет на защиту от вмешательства

Пользователи могут временно отключить защиту от вмешательства для клиента после получения кода от администратора.

Чтобы отключить защиту от вмешательства:

В клиенте нажмите Настройки.
По умолчанию раздел Обход скрыт от пользователей. Чтобы отобразить поле, используйте сочетание клавиш CTRL + SHIFT + O
Свяжитесь с администратором и введите полученный код в поле Освобождение от вмешательства SDP.
Кликните Отправить.
Защита от вмешательства отключена на время, настроенное администратором.

Настройка Всегда включено для конкретных пользователей

Вы можете настроить Политику всегда включено для отдельного пользователя.

Чтобы настроить Политику всегда включено для конкретного пользователя:

В меню навигации нажмите Доступ > Политика Always-On.
Нажмите Новый.
Откроется панель Новое правило.
Введите Имя и установите Порядок правил.
В разделе Пользователи & Группы выберите Пользователь SDP.
Выберите конкретного пользователя.
Определите Платформы и статус Подключено.
Нажмите Применить.
Включите Политику всегда включено, а затем нажмите Сохранить.
Ползунок зеленый, когда правило включено, и серый, когда правило отключено.