Эта статья объясняет, как настроить службу изоляции удаленного браузера (RBI) для защиты от угроз в веб-пространстве.
РБИ защищает устройства от угроз, нацеленных на веб, и вредоносного контента, который может быть встроен на интернет-сайтах и в услугах. РБИ работает как изолированная служба Cato, которая эмулирует активность просмотра для пользователей, а затем передаёт эмулированный трафик на устройство пользователя. Это защищает Устройство от Угроз вредоносного ПО, гарантируя, что весь Код в браузере выполняется удаленно и Никогда на Устройстве.
В ситуациях, когда служба РБИ не может эмулировать трафик, вы можете настроить Действие при отказе, которое определяет, как будет обрабатываться трафик. Например, если вы временно отключите службу РБИ или если служба будет временно недоступна.
Для получения дополнительной информации о службе RBI, смотрите Защита сеансов просмотра с помощью RBI.
Примечание: функциональность РБИ недоступна для PoP Cato, расположенных в Китае. Эти PoP всегда будут применять Действие при отказе для соответствующего трафика.
Вы можете настроить параметры безопасности для сеансов RBI с помощью детализированных профилей, что позволит настроить различные параметры изоляции просмотра. Они определяют действия, которые пользователь может выполнить на сайте. Например, вы можете блокировать пользователей от ввода или вставки текста в веб-формы и предотвращать утечку учетных данных и других конфиденциальных данных.
Каждый профиль RBI содержит:
Для каждого профиля вы можете определить детализированные действия, которые можно разрешить или заблокировать:
-
Загрузка - Загрузка любого файла (Использование функции перетаскивания не поддерживается)
-
Загрузка - Загрузка любого файла
-
Печать - Печать веб-контента
-
Копирование/Вставка - Копирование данных с сайта или вставка данных на сайт
-
Ввод - Ввод текста на сайте
Примечание: ограничения RBI применяются только в рамках изолированного сеанса браузера. Действия, инициированные вне контейнера RBI (например, через меню хоста браузера или ярлыки уровня ОС), обходят средства контроля RBI. Чтобы полностью обеспечить контроль, примените политики уровня браузера или конечной точки (например, Chrome GPO, DLP) вместе с конфигурациями RBI.
В сеансе RBI для конечного пользователя отображается баннер, информирующий его о том, что он находится в сеансе RBI. Фирменный стиль этого баннера можно определить глобально для всех аккаунтов. Для получения дополнительной информации смотрите Настройка пользовательского опыта.
В каждом профиле RBI вы можете перезаписать текст баннера и создать пользовательский текст для профиля.
Чтобы повысить безопасность просмотра и улучшить пользовательский опыт, вы можете настроить профиль, позволяющий пользователям продолжать просмотр на нескольких направлениях в рамках одного сеанса RBI. Это гарантирует, что назначенные вами направления не будут открыты в не изолированном сеансе или в другом сеансе RBI. Вот примеры использования непрерывных сеансов РБИ:
-
Предотвращение не изолированного просмотра к рискованным доменам - Создайте обширный список доменов с использованием подстановочных знаков, чтобы гарантировать, что весь сеанс просмотра пользователя проходит в изолированной среде, даже если пользователь перемещается из некатегоризированных или неопределенных доменов
-
Аутентификация на сайте - настройте список доменов, включая все поддомены приложения для обмена файлами, чтобы позволить пользователям войти, когда они перенаправляются на другой домен для аутентификации.
Сеансы RBI реализуются через Интернет-файервол с использованием действия RBI в правиле. Когда трафик соответствует правилу, сеанс RBI начинается автоматически. По умолчанию применяется профиль RBI по умолчанию. Вы можете назначить другой профиль RBI для соответствия вашим требованиям безопасности и доступа.
Только правила для категорий приложений Некатегоризированные или Не определено или Пользовательская категория могут быть настроены для удаленного просмотра. Весь другой трафик защищён широким диапазоном дополнительных служб безопасности Cato.
Примечание: Это поддерживаемые типы контента RBI. Пользовательская категория, содержащая другие типы контента, не поддерживаются:
-
Для включения службы RBI требуется лицензия RBI. Для получения дополнительной информации о приобретении лицензии RBI, пожалуйста, свяжитесь с вашим представителем Cato.
-
Инспекция TLS должна быть включена для трафика, настроенного для RBI.
-
Чтобы служба RBI функционировала правильно, межсетевой экран Интернета должен разрешать доступ к этим URL. Если в вашем межсетевом экране Интернета внизу есть правило блокировки ANY-ANY, добавьте явное правило с более высоким приоритетом, разрешающее трафик к этим URL:
-
http://securebrowsing.catonetworks.com/
-
https://authentic8.com/
-
-
Если вы не используете Cato в качестве своего DNS сервера, добавьте запись в ваш локальный DNS сервер для http://rbi.catonetworks.com/, чтобы разрешить к 10.254.254.161.
Этот раздел объясняет, как настроить сервис RBI для обеспечения безопасного веб-серфинга конечных пользователей.
Это пример рабочего процесса для реализации РБИ:
-
Включите службу RBI
-
Создайте профиль RBI
-
Настройте правило межсетевого экрана Интернета с действием Удаленный просмотр
Когда вы включаете сервис РБИ, действие Удаленный просмотр для межсетевого экрана Интернета становится доступным, и тогда вы можете создать правила для направления трафика в сервис. По умолчанию, РБИ отключен.
Используйте правила межсетевого экрана Интернета для определения времени, когда Cato направляет трафик на сервис RBI. Правила должны быть настроены с Категорией приложения, установленной как Без категории, Неопределено или Пользовательская категория без других приложений или категорий. Более подробную информацию о настройке правил межсетевого экрана Интернета смотрите в статье Управление политикой межсетевого экрана Интернета.
Чтобы создать правило межсетевого экрана Интернета для удаленного просмотра:
-
В меню навигации выберите Безопасность > Межсетевой экран Интернета.
-
Нажмите Новый.
-
Введите Имя для правила.
-
Включите или отключите правило, используя ползунок (зеленый - включено, серый - отключено).
-
Настройте Порядок правил для этого правила.
Новые правила добавляются внизу базы правил. Вы можете изменить порядок применения этого правила.
-
Раскройте Источник и выберите тип источника.
-
Выберите тип (например: Хост, Сетевой интерфейс, IP, Пользователь, Пользовательская группа, Любой). Значение по умолчанию - Любое.
-
При необходимости выберите конкретный объект из выпадающего списка для этого типа.
-
-
Раскройте раздел Приложение/Категория и выберите Категория приложения.
Выберите одну или несколько из Без категории, Неопределено, или Пользовательская категория из выпадающего списка Категории приложений. Когда в правиле более одного объекта Приложение/Категория, между ними существует логическая операция ИЛИ.
-
Установите Действие для этого правила как Удаленный просмотр (RBI) и выберите необходимый профиль.
-
(Опционально) Настройте параметры отслеживания для генерации Событий и Отправить уведомление. Частота начинается после отправки первого уведомления.
Для получения дополнительной информации о уведомлениях смотрите соответствующую статью о Группы подписок, Списки рассылки и Интеграции оповещений в разделе Оповещения.
-
Нажмите Применить. Новое правило добавлено в базу правил.
-
Нажмите Сохранить.
Правило сохранено.
Мы рекомендуем постепенно внедрять вашу политику RBI с конкретными областями, чтобы избежать потенциальных ошибок конфигурации политик, которые могут привести к использованию RBI для трафика, который должен иметь прямой доступ к пунктам назначения. Это примеры рекомендованных лучших практик для внедрения RBI.
Лучшие практики для внедрения RBI для некатегоризированных и неопределенных пунктов назначения:
-
Если уже существует правило Интернет-фаервола, настроенное для категорий приложений Без категории и Неопределено:
-
Начните отслеживать события для настроенного правила, чтобы определить специфические Без категории или Неопределено назначения, которые важны для ваших пользователей.
-
Добавьте правило с более высоким приоритетом с действием Удаленное Обозревание, определенное для конкретной области важных Без категории и Неопределено сайтов.
-
-
Если нет правила, настроенного для категорий Без категории и Неопределено:
-
Добавьте правило, охватывающее Без категории и Неопределено назначения с действием Разрешить или Запрос, и настройте для отслеживания События.
-
Начните отслеживать события, чтобы определить специфические Без категории или Неопределено назначения, которые важны для ваших пользователей.
-
Создайте правило с более высоким приоритетом с действием Разрешить или Запрос и постепенно добавляйте идентифицированные важные назначения до тех пор, пока не добавите все важные назначения.
-
Настройте правило с более высоким приоритетом для действия Удаленное Обозревание.
-
-
Поскольку Конфигурация изоляции удаленного браузера поддерживается только для браузеров, если вас беспокоит небраузерный трафик к Без категории и Неопределено доменам, мы рекомендуем создать правило Блокировать для Межсетевой экран Интернета для Без категории и Неопределено трафика. Расположите это правило ниже по приоритету, чем правило RBI для этих доменов.
Это обеспечивает безопасность трафика к этим подозрительным доменам, исходящим от небраузерных клиентов (например, cURL скрипты).
В изолированной сессии RBI пользователю отображается баннер. Чтобы соответствовать требованиям вашего брендинга, вы можете настроить дизайн, изменив глобальный цвет фона, текст и цвет текста.
Настроить пользовательский опыт:
-
Из меню навигации нажмите Аккаунт > Брендинг RBI.
-
Для изменения цвета фона нажмите Цвет полоски и выберите цвет.
-
Для изменения цвета текста нажмите Цвет текста и выберите цвет.
-
Чтобы изменить текст, нажмите Настроить текст оповещения и обновите текст.
-
Нажмите Сохранить.
Вы можете просмотреть события безопасности в Домашняя > События и найти журналы, связанные с сеансами эмуляции RBI, проведенными для соединения, соответствующего правилу файервола с действием Удаленное Обозревание. Эти события помечены подтипом Интернет Фаервол и действием RBI.
Когда сеанс RBI не может быть выполнен и вызывается Действие при отказе, соответствующие события имеют действие Блокировать или Запрос в зависимости от вашей конфигурации.
Это пример фильтра, который вы можете создать для просмотра событий, связанных с RBI:
Это пример события, связанного с сеансом RBI:
Вы можете использовать Симулятор RBI для администратора, чтобы помочь диагностировать проблемы, с которыми сталкиваются конечные пользователи при попытке перехода на назначения, настроенные для эмуляции РБИ. Утилита может помочь изолировать причину проблемы и помочь вам предоставить полезную информацию для поддержки для поиска решения.
Примечание: Через 5 минут бездействия сеанс растворяющейся облачной инфраструктуры (RBI) автоматически завершится, и вкладка браузера закроется. Чтобы продолжить просмотр, пользователь должен заново открыть сайт в своём браузере.
Если пользователь сталкивается с проблемой при просмоте определенного URL, вы можете сгенерировать тестовую сессию эмуляции RBI для URL с помощью Симулятор RBI для администратора. Введите действительный HTTP или HTTPS URL, затем перейдите по полученной ссылке, чтобы посмотреть сайт в сессии RBI. Инструмент отправляет этот трафик непосредственно в сервис RBI без прохода через Облако Cato. Это поможет определить, связано ли проблема пользователя с самим сервисом RBI, или вызвана другими проблемами, такими как настройка учетной записи или подключение инфраструктуры Cato. Например, подключенный к Cato пользователь не может перейти на сайт Без категории, настроенный для RBI, но администратор может попасть на сайт, используя инструмент. Это может указывать на то, что сервис RBI функционирует нормально и проблема связана с подключением между PoP и сервисом.
Симулятор RBI для администратора применяет контроли безопасности RBI, определенные в Настройки конфигурации аккаунта RBI.
После запуска сессии РБИ из утилиты вы можете сообщить результаты Поддержке, чтобы помочь им в решении проблемы.
Для устранения неполадок с Симулятором RBI для администратора:
-
В меню навигации выберите Безопасность > RBI.
-
В разделе Симулятор RBI для администратора введите допустимый HTTP или HTTPS URL. Например: https://maps.google.com
-
Выберите Профиль для симуляции.
-
Нажмите Сгенерировать. Создан URL для сессии РБИ.
-
Кликните по ссылке рядом с URL. Сессия РБИ открывается в вашем браузере по умолчанию.
0 комментариев
Статья закрыта для комментариев.