이 문서에서는 웹 기반 위협으로부터 보호하기 위해 원격 브라우저 격리(RBI) 서비스를 구성하는 방법을 설명합니다.
RBI는 웹 타겟 위협과 인터넷 사이트 및 서비스에 삽입될 수 있는 악성 콘텐츠로부터 장치를 보호합니다． RBI는 사용자를 위한 브라우징 활동을 에뮬레이트하고 에뮬레이션된 트래픽을 사용자 장치로 스트리밍하는 격리된 Cato 서비스로 실행됩니다． 이렇게 하면 모든 인브라우저 코드를 원격으로 실행하여 악성 소프트웨어 위협으로부터 장치를 보호할 수 있습니다．
RBI 서비스가 트래픽을 에뮬레이트할 수 없는 상황에서는 트래픽 처리를 결정하는 대체 작업을 구성할 수 있습니다． 예를 들어, RBI 서비스를 일시적으로 비활성화하거나 서비스에 일시적으로 접근할 수 없는 경우입니다．
원격 브라우저 격리(RBI) 서비스에 대한 더 많은 정보는 원격 브라우저 격리를 통해 탐색 세션 보안을 참조하세요.
참고: 중국에 위치한 Cato PoP에서는 RBI 기능을 사용할 수 없습니다． 이 PoP들은 항상 관련 트래픽에 대해 대체 작업을 적용합니다．
RBI 세션의 보안 설정을 세분화된 프로필을 사용하여 사용자 정의할 수 있으며, 이는 다양한 브라우저 격리 설정 구성을 가능하게 합니다. 사용자가 사이트에서 수행할 수 있는 작업을 정의합니다. 예를 들어, 사용자가 웹 양식에 텍스트를 입력하거나 붙여넣는 것을 차단하고, 자격 증명 및 기타 민감한 데이터가 유출되는 것을 방지할 수 있습니다.
각 RBI 프로필에는 다음이 포함됩니다:
각 프로필에 대해 허용하거나 차단할 세분화된 작업을 정의할 수 있습니다:
-
업로드 - 모든 파일 업로드 (드래그 및 드롭 기능을 사용한 업로드는 지원되지 않습니다)
-
다운로드 - 모든 파일 다운로드
-
인쇄 - 웹 콘텐츠 인쇄
-
복사/붙여넣기 - 사이트에서 데이터 복사 또는 사이트에 데이터 붙여넣기
-
타이핑 - 사이트에 텍스트 타이핑
참고: RBI 제한은 격리된 브라우저 세션 내에서만 적용됩니다. RBI 컨테이너 외부에서 시작된 작업(예: 호스트 브라우저 메뉴 또는 OS 수준 바로 가기를 통해)은 RBI 제어를 우회합니다. 이러한 제어를 완벽하게 적용하려면, 브라우저 또는 엔드포인트 수준 정책(예: Chrome GPO, 데이터 유출 방지(DLP) 도구)을 RBI 구성과 함께 적용하십시오.
RBI 세션 내에서 사용자가 RBI 세션에 있는지 정보를 제공하기 위해 사용자에게 배너가 표시됩니다. 이 배너의 브랜딩은 계정 전반에서 정의할 수 있습니다. 자세한 내용은 사용자 경험 맞춤 설정을 참조하세요.
각 RBI 프로필에서 배너의 텍스트를 덮어쓰고 프로필용 사용자 정의 텍스트를 생성할 수 있습니다.
브라우징 보안을 강화하고 최종 사용자의 경험을 개선하기 위해, 동일한 RBI 세션 내에서 사용자가 여러 목적지로 계속 브라우징할 수 있도록 프로필을 구성할 수 있습니다. 이렇게 하면 정의된 목적지가 비격리 세션 또는 다른 RBI 세션에서 열리지 않도록 보장합니다. 다음은 연속 RBI 세션의 예시 사용 사례입니다：
-
비격리 탐색 방지를 위해 위험한 도메인으로 이동 - 전체 탐색 세션이 격리된 환경에서 이루어지도록 와일드카드를 사용하여 광범위한 도메인 목록을 생성합니다. 사용자가 미분류 또는 정의되지 않은 도메인으로 이동하더라도.
-
사이트 인증 - 파일 공유 앱의 모든 서브도메인을 포함한 도메인 목록을 구성하여 사용자가 인증을 위해 다른 도메인으로 리디렉션될 때 로그인할 수 있도록 합니다.
RBI 세션은 인터넷 방화벽의 규칙에서 RBI 작업을 사용하여 적용됩니다. 트래픽이 규칙과 일치하면, RBI 세션이 자동으로 시작됩니다. 기본적으로, 기본 RBI 프로필이 적용됩니다. 보안 및 엑세스 요구사항을 충족하기 위해 다른 RBI 프로필을 할당할 수 있습니다.
미분류 또는 정의되지 않음, 또는 사용자 정의 범주 응용 프로그램 카테고리의 규칙만 원격 브라우징으로 구성할 수 있습니다． 모든 다른 트래픽은 Cato의 다양한 추가 보안 서비스에 의해 보호됩니다．
참고: 이러한 콘텐츠 유형은 RBI에 의해 지원됩니다. 기타 콘텐츠 유형을 포함하는 사용자 정의 범주: 지원되지 않습니다.
-
RBI 서비스를 활성화하려면 RBI 라이선스가 필요합니다. RBI 라이선스를 구매에 대한 추가 정보는 귀하의 Cato 담당자에게 문의하십시오.
-
RBI로 구성된 트래픽에 대해 TLS 검사가 활성화되어야 합니다.
-
RBI 서비스가 올바르게 작동하려면 인터넷 방화벽이 이 URL들에 대한 액세스를 허용해야 합니다. 인터넷 방화벽 하단에 ANY-ANY 차단 규칙이 있는 경우 이 URL들에 대한 트래픽을 허용하는 높은 우선순위의 명시적 규칙을 추가하십시오:
-
http://securebrowsing.catonetworks.com/
-
https://authentic8.com/
-
-
Cato를 DNS 서버로 사용하지 않으면, http://rbi.catonetworks.com/을 10.254.254.161로 해석하도록 로컬 DNS 서버에 레코드를 추가하십시오.
이 섹션에서는 최종 사용자에게 안전한 웹 탐색을 제공하기 위해 RBI 서비스를 구성하는 방법을 설명합니다．
다음은 RBI 구현에 대한 예시 워크플로우입니다：
-
RBI 서비스 활성화하기
-
RBI 프로필 생성하기
-
원격 브라우징 작업을 사용하여 인터넷 방화벽 규칙 구성
인터넷 방화벽 규칙을 사용하여 Cato가 트래픽을 RBI 서비스로 전송할 시점을 정의합니다. 규칙은 다른 애플리케이션이나 카테고리가 구성되지 않은 상태에서 애플리케이션 범주가 미분류, 정의되지 않음 또는 사용자 정의 범주로 설정되도록 구성해야 합니다． 인터넷 방화벽 규칙 구성에 대한 자세한 내용은 인터넷 방화벽 정책 관리를 참조하십시오．
원격 브라우징을 위한 인터넷 방화벽 규칙을 만들려면：
-
탐색 메뉴에서 보안 > 인터넷 방화벽을 선택합니다.
-
새로운을 클릭.
-
규칙의 이름을 입력합니다.
-
슬라이더를 사용하여 규칙을 활성화하거나 비활성화합니다 (초록색은 활성화, 회색은 비활성화).
-
이 규칙의 규칙 순서를 구성합니다.
새 규칙은 규칙 기반의 하단에 추가됩니다. 이 규칙의 적용 순서를 변경할 수 있습니다.
-
소스를 확장하고 소스 유형을 선택합니다.
-
유형을 선택합니다 (예: 호스트, 네트워크 인터페이스, IP, 사용자, 사용자 그룹, 모든 항목). 기본값은 모든입니다．
-
필요한 경우 드롭다운 목록에서 해당 유형의 특정 객체를 선택하세요．
-
-
앱/카테고리 섹션을 확장하고 응용 프로그램 카테고리를 선택하세요．
애플리케이션 카테고리 드롭다운 목록에서 미분류, 정의되지 않음 또는 사용자 정의 범주를 하나 이상 선택하세요． 규칙에 여러 개의 앱/카테고리 객체가 있을 때, 그들 사이에는 OR 관계가 있습니다．
-
이 규칙의 작업을 원격 브라우징 (RBI)으로 설정하고 필요한 프로필을 선택합니다.
-
(선택 사항) 이벤트를 생성하고 알림 보내기를 구성할 추적 옵션을 설정하세요． 알림이 처음 발송된 후 빈도는 카운트하기 시작합니다.
알림에 대한 추가 정보는 알림 섹션의 구독 그룹, 메일링 리스트 및 경고 통합에 관한 관련 기사를 참조하십시오.
-
적용을 클릭하세요． 새 규칙이 규칙베이스에 추가됩니다．
-
저장을 클릭하십시오.
규칙이 저장되었습니다．
대상에 직접 접근해야 하는 트래픽에 대해 RBI를 사용하게 되는 정책 규칙의 잘못된 구성을 피하기 위해 특정 범위로 RBI 정책을 점진적으로 구현하는 것을 권장합니다． 다음은 RBI를 구현하기 위한 권장 모범 사례의 예입니다．
미분류 및 정의되지 않은 목적지를 위한 RBI 구현을 위한 모범 사례：
-
애플리케이션 카테고리 미분류와 정의되지 않음에 대한 인터넷 방화벽 규칙이 이미 구성된 경우：
-
구성된 규칙에 대한 이벤트를 추적하여 사용자에게 중요한 특정 미분류 또는 정의되지 않음 목적지를 식별하기 시작합니다．
-
필수적인 미분류 및 정의되지 않음 사이트의 특정 범위에 대해 원격 브라우징 작업을 정의한 높은 우선순위 규칙을 추가합니다．
-
-
미분류와 정의되지 않음 카테고리에 대해 구성된 규칙이 없는 경우：
-
허용 또는 프롬프트 작업으로 미분류 및 정의되지 않음 목적지를 커버하는 규칙을 추가하고 이를 이벤트 추적으로 설정하세요．
-
사용자에게 중요한 특정 미분류 또는 정의되지 않음 목적지를 식별하기 위해 이벤트를 추적하기 시작합니다.
-
허용 또는 프롬프트 작업을 사용하여 높은 우선순위 규칙을 생성하고 모든 필수 목적지가 추가될 때까지 식별한 특정 필수 목적지를 점진적으로 추가합니다.
-
높은 우선순위 규칙을 원격 브라우징 작업으로 설정하세요.
-
-
RBI는 브라우저에서만 지원되므로, 미분류 및 정의되지 않음 도메인으로의 비브라우저 트래픽이 걱정되는 경우, 미분류 및 정의되지 않음 트래픽에 대해 인터넷 방화벽 차단 규칙을 생성하는 것을 권장합니다． 이 규칙을 이러한 도메인에 대한 RBI 규칙보다 낮은 우선순위로 설정하십시오．
이는 비브라우저 클라이언트(예: cURL 스크립트)에서 발생하는 이러한 의심스러운 도메인으로의 트래픽을 보호합니다．
격리된 RBI 세션에서는 사용자에게 배너가 표시됩니다. 브랜딩 요구 사항을 충족하기 위해 전역 배경 색상, 텍스트 및 텍스트 색상을 변경하여 디자인을 사용자 정의할 수 있습니다.
홈페이지 > 이벤트에서 보안 이벤트를 검토할 수 있으며, 원격 브라우징 작업이 있는 방화벽 규칙과 일치하는 연결에 대해 수행된 RBI 에뮬레이션 세션과 관련된 로그를 찾을 수 있습니다． 이러한 이벤트는 하위 유형 인터넷 방화벽 및 작업 RBI로 레이블이 지정됩니다．
RBI 세션을 실행할 수 없고 대체 작업이 호출될 때, 관련 이벤트는 설정에 따라 작업이 차단 또는 프롬프트로 표시됩니다．
다음은 RBI와 관련된 이벤트를 보기 위해 생성할 수 있는 필터 예시입니다：
다음은 RBI 세션과 관련된 이벤트 예시입니다：
관리자 RBI 시뮬레이터를 사용하면 사용자가 RBI 에뮬레이션을 위해 구성된 목적지를 탐색할 때 겪는 문제를 진단할 수 있습니다． 유틸리티를 통해 문제의 원인을 격리할 수 있으며, 해결책을 찾기 위해 지원팀에 유용한 정보를 제공할 수 있습니다．
참고: 5분 동안 활동이 없으면 RBI 세션이 자동으로 종료되고 브라우저 탭이 닫힙니다. 탐색을 계속하려면 사용자가 브라우저에서 사이트를 다시 열어야 합니다．
사용자가 특정 URL을 탐색하는 동안 문제를 겪는 경우 관리자 RBI 시뮬레이터를 사용하여 URL에 대한 테스트 RBI 에뮬레이션 세션을 생성할 수 있습니다． 유효한 HTTP 또는 HTTPS URL을 입력한 다음 결과 링크를 따라 RBI 세션에서 사이트를 확인하십시오． 이 유틸리티는 Cato Cloud를 통과하지 않고 이 트래픽을 직접 RBI 서비스로 전송합니다． 이는 사용자의 문제가 RBI 서비스 자체와 관련이 있는지, 아니면 계정 구성이나 Cato 인프라 연결성과 같은 기타 문제로 인한 것인지 판단하는 데 도움이 될 수 있습니다． 예를 들어, Cato에 연결된 사용자가 RBI 설정된 미분류 웹사이트를 탐색할 수 없는 경우, 관리자는 유틸리티를 사용하여 사이트에 도달할 수 있습니다． 이는 RBI 서비스가 정상적으로 작동하고 있으며, 문제는 PoP와 서비스 간의 연결성과 관련이 있음을 나타낼 수 있습니다．
관리자 RBI 시뮬레이터는 RBI 계정 설정에서 정의된 RBI 보안 제어를 적용합니다．
유틸리티에서 RBI 세션을 실행한 후 지원팀에 결과를 보고하여 문제 해결을 돕습니다．
댓글 0개
이 문서에는 댓글을 달 수 없습니다.