Ограничение доступа к арендаторам SaaS приложений

В этой статье представлен обзор того, как устранить проблемы безопасности в приложениях SaaS с несколькими арендаторами, ограничив доступ к определенным арендаторам.

Обзор

Рост использования приложений SaaS для бизнеса и личных целей создает проблему неконтролируемого доступа множества арендаторов. Без видимости и контроля пользователи могут подключаться к несанкционированным арендаторам, что приводит к потенциальным угрозам безопасности, например:

Утечка данных: Как только загружаются чувствительные данные в неуправляемые среды, несанкционированные пользователи получают к ним доступ
Нарушения соответствия: Из-за хранения в неуполномоченных локациях нарушается Статус DNS-политики
Потеря контроля: Пользователи могут получить доступ к несанкционированным SaaS-приложениям

Ограничения арендаторов решают эти проблемы, определяя, каким арендаторам приложений SaaS пользователи могут или не могут получать доступ или управлять действиями в приложении. Их можно использовать, чтобы гарантировать, что только утвержденные пользователи могут получать доступ к корпоративным арендаторам SaaS, и блокировать доступ к неутвержденным пользователям или арендаторам, например, личным адресам электронной почты. Это может помочь вам соответствовать требованиям законодательства и снизить риск потери данных.

Cato предоставляет несколько методов обеспечения ограничений арендаторов:

Осведомленность о арендаторе: В рамках правил контроля приложений определите конкретные действия, которые разрешены или заблокированы для каждого арендатора и пользователя, чтобы централизованно управлять политикой, учитывающей арендатора, в вашей среде. Например, блокировка загрузки документов из Google Drive.
Политика ограничения арендатора: Управляет трафиком пользователей, направленным к SaaS-приложениям, изменяя поля заголовков в HTTP-запросах клиента. Например, блокировка доступа к личным арендаторам Google Drive.

Пример использования - предотвращение утечки данных

Компания использует Google Drive в качестве корпоративного облачного хранилища и понимает, что у ее сотрудников есть личные аккаунты.

Чтобы предотвратить случайные или преднамеренные загрузки конфиденциальных данных в личные аккаунты без нарушения законной деловой активности, компания хочет разрешить загрузку и выгрузку только в корпоративный арендатор Google Drive, блокируя эти действия в личных арендаторах.

IT-команда создает правила контроля приложений, которые позволяют действия загрузки и выгрузки в рамках их корпоративного арендатора и блокируют действия загрузки и выгрузки в других арендаторах.

Осведомленность об арендаторе

Вы можете детально контролировать активность пользователей в приложениях SaaS, определяя конкретные действия, арендаторов и пользователей в правиле контроля приложений. Предикат Контекст приложения позволяет определить, к каким конкретным арендаторам применимо правило. События создаются, когда пользователь совершает действие, которое соответствует правилу контроля приложений. Для получения дополнительной информации о просмотре событий, см. Анализ событий в вашей сети

Для получения дополнительной информации о создании правил контроля приложений, см. Управление политикой контроля приложений.

Поддерживаемые приложения

Чтобы определить поддерживаемые приложения и действия, в каталоге приложений, обратитесь в поисковое поле и ищите слово арендатор. Раскройте каждое приложение, чтобы определить поддерживаемые действия.

Контроль действий входа в систему

Используя активность Вход в правилах контроля приложений, вы можете определить пользователей, которые могут или не могут войти в определенное приложение. Например, вы можете определить пользователей, которые могут входить в Facebook, блокируя всех остальных пользователей.

Чтобы использовать этот метод для обеспечения ограничений арендаторов:

Создайте правило, которое разрешает действие входа в систему, когда имя пользователя соответствует определенным критериям.
Создайте правило более низкого приоритета, которое блокирует действие входа в систему для приложения, когда имя пользователя соответствует определенным критериям.

Пользователи, которые вошли в приложение до применения правила, не будут вынуждены выходить. Этот метод доступен для приложений, поддерживающих действие входа.

Политика ограничения арендаторов (на основе приложений)

Политика ограничения арендаторов позволяет создавать правила, ограничивающие, к каким арендаторам пользователи могут получать доступ для приложений, разрешенных в вашей сети. Это помогает защитить вашу сеть, предотвратив доступ к арендаторам, отличным от арендатора вашей организации. Например, вы можете запретить пользователям доступ к их личному аккаунту электронной почты или аккаунту для обмена файлами, чтобы предотвратить утечки конфиденциальных данных.

Для получения дополнительной информации см. Управление ограничениями арендатора для SaaS-приложений (Политика ограничения арендатора).