Защита трафика Copilot

Обзор

Для организаций, которым необходимо обеспечить безопасность только Microsoft Copilot с помощью Cato AI Security, вы можете использовать политику Раздельного Туннеля для настройки Клиентов Cato так, чтобы они маршрутизировали только трафик Copilot для проверки в системе Cato. Если весь трафик удаленных пользователей маршрутизируется в облако Cato, политики безопасности AI Security проверяют Copilot, и вам не нужна политика Раздельного Туннеля для него.

Microsoft распространяет Copilot через множество доменов, и несколько из них общие с другими службами Microsoft 365, поэтому выбор приложения Microsoft Copilot в политике раздельного туннеля не маршрутизирует весь трафик Copilot в систему Cato. В этой статье описано, какие домены добавить в правило Раздельного Туннеля, чтобы желаемый трафик Copilot достигал облака Cato, где политики безопасности AI Security могут его проверить.

Примечание: Инструкции для Copilot актуальны на сентябрь 2026 года. Смотрите документацию Microsoft для актуального списка доменов, связанных с трафиком Copilot.

Для получения дополнительной информации о политике Раздельного Туннеля см. Маршрутизация с помощью Cato Client (Политика Раздельного Туннеля) и Включение и исключение трафика для политики Раздельного Туннеля.

Вариант использования

Компания ABC обеспечивает интернет-безопасность своих удаленных пользователей с помощью стороннего решения и хочет, чтобы Cato AI Security проверял использование AI для Microsoft Copilot Enterprise. Администратор создает правило Раздельного Туннеля, которое маршрутизирует только трафик Copilot Enterprise в Cato для проверки политиками безопасности AI. Остальной трафик продолжает поступать через стороннее решение.

Предварительные условия

• DNS-передача включена

• Клиент для Windows v6.4 и выше установлен на устройстве

Как трафик Microsoft Copilot определяется

Microsoft не предоставляет Copilot собственный набор доменов. Copilot распространяется через множество доменов, и некоторые из них являются общими бэкэнд-сервисами, которые также несут трафик других приложений Microsoft 365. Домен, который обслуживает несколько приложений, идентифицирует их всех одинаково, поэтому общий домен не может определить Copilot конкретно.

Например, substrate.office.com поддерживает трафик Exchange и Copilot Enterprise в одном домене. Поскольку этот домен идентифицирует Exchange так же точно, как и Copilot, он не является частью приложения Microsoft Copilot. Добавление его в приложение классифицировало бы трафик Exchange как Copilot.

Влияние на политику Раздельного Туннеля заключается в том, что правило, где приложение Microsoft Copilot выбрано в качестве назначения, маршрутизирует трафик Copilot Free и Personal в Cato. Трафик Copilot Enterprise и трафик Copilot внутри Office-приложений обходят туннель и не подвергаются полной проверке. Чтобы защитить эти развертывания, добавьте общие домены в правило вместе с приложением.

Назначения для каждого развертывания Copilot

Идентифицируйте, какие развертывания Copilot использует ваша организация, и добавьте назначения для этих развертываний в правило. Развертывание, которое ваша организация не использует, не требует его доменов.

Включите приложение Microsoft Copilot в Назначения Включений правила в каждом случае. Cato поддерживает домены за приложением и обновляет их при изменении приложения, что снижает нагрузку по обслуживанию вашей базы правил. Домены, которые вы добавляете вручную, это только общие, которые приложение не может охватить.

Добавьте домены в раздел DNS Включения также, потому что трафик правильно маршрутизируется только тогда, когда домены разрешаются через Cato. Приложение не может быть выбрано в DNS Включения, поэтому введите каждый домен отдельно.

Настройка правила Раздельного Туннеля для Copilot

Настройте правило, которое будет маршрутизировать только назначения Copilot в Cato. Весь остальной трафик от пользователей в области действия правила идет напрямую в Интернет, включая трафик на сервисы Microsoft 365, которые Copilot не использует.

Чтобы настроить правило Раздельного Туннеля для Copilot:

1. В меню навигации нажмите Доступ > Политика Раздельного Туннеля.

2. Нажмите Новый > Новое правило и введите имя и описание для правила.

3. Настройте параметры для Пользователи/Группы, Исходная Сеть и Страны, чтобы определить, на каких пользователей применяются правила.

4. В разделе Платформы выберите Windows.

5. В разделе Конфигурация под Выбор режима соединения выберите Все порты & протоколы.

6. В разделе Выбор политики маршрутизации выберите Маршрутизировать только выбранные в Cato.

7. Введите Назначения Включений и DNS Включения, основываясь на вашем развертывании Copilot (см. выше Назначения для каждого развертывания Copilot).

8. Нажмите Сохранить, а затем опубликуйте ревизию политики. Соответствующий трафик Copilot маршрутизируется в облако Cato при следующем подключении Клиента.

Пример правил Раздельного Туннеля для Copilot

Следующая таблица показывает конфигурацию для каждого развертывания Copilot. Каждое правило использует Все Порты и Протоколы, политику маршрутизации Маршрутировать только выбранное в Cato, а платформой установлена Windows. Используйте строку, которая соответствует вашему развертыванию, или комбинируйте строки для развертываний, которые использует ваша организация.

Известные Ограничения услуг

• Перераспределение общего домена из другого приложения Microsoft в Microsoft Copilot не поддерживается. Общие домены должны быть добавлены к правилам вручную, пока Microsoft не отделит службы Copilot от других служб Microsoft 365.