Configuration des politiques basées sur les en-têtes HTTP

This topic provides a comprehensive overview of how administrators can leverage the Skope IT application to monitor Model Context Protocol (MCP) communications in real-time. You will learn how to gain granular visibility into the entire interaction lifecycle—ranging from initial handshakes and protocol versioning to specific tool invocations and resource requests—while ensuring organizational compliance and threat detection. By the end of this guide, you will understand how to analyze detailed event logs to verify successful executions and how to protect sensitive data within your network’s MCP ecosystem.

Contactez votre équipe Netskope pour activer Agentic Broker dans votre compte. Une licence supplémentaire est requise pour Agentic Broker et DLP (Prévention des pertes de données). Remarque : pour créer une politique DLP (Prévention des pertes de données), la licence complémentaire DLP (Prévention des pertes de données) est nécessaire si la fonction DLP (Prévention des pertes de données) n'est pas activée dans votre compte.

Netskope permet l'application de politiques basées sur les attributs trouvés dans les en-têtes HTTP des communications MCP.

Supported Attributes

MCP Session ID: Un identifiant pour l'ensemble des événements entre un client et un serveur.
MCP Protocol Version: Un système de versionnement basé sur la date (par exemple, 25-11-2025) utilisé pour suivre les changements de protocole.

Step-by-Step Configuration

Create a Header Profile:
- Pour Session IDs, utilisez des caractères génériques (par exemple, *) pour récupérer toutes les sessions.
- Pour Protocol Versions, spécifiez des versions exactes (par exemple, 2025-06-18) pour cibler des itérations plus anciennes ou instables.
Create a Policy:
- Category: Select "Serveur MCP".
- Criteria: Choisissez "En-tête HTTP".
- Action: Select "Bloquer" pour empêcher le trafic correspondant au profil.

Le protocole MCP (Model Context Protocol) permet l'inclusion de certains champs ou attributs dans l'en-tête HTTP lors de la communication entre le client MCP et le serveur MCP. Netskope a introduit la possibilité de configurer des politiques basées sur les en-têtes HTTP afin de bloquer ou d'alerter lorsqu'une certaine valeur apparaît dans ces attributs. Le protocole de contexte de modèle prend en charge deux champs dans les en-têtes HTTP : l’identifiant de session MCP et la version du protocole MCP. L'identifiant de session MCP est un identifiant pour un ensemble complet d'événements entre le client et le serveur, depuis l'initialisation de la session jusqu'à la fermeture de la connexion. La plupart des sessions MCP possèdent un identifiant de session. Le protocole de contexte de modèle utilise un système de versionnage basé sur la date pour suivre les modifications, plusieurs versions étant actuellement disponibles. La dernière version stable est la version 2025-11-25 qui comporte de nombreuses améliorations en matière de sécurité. Les organisations pourraient souhaiter alerter lorsqu'une ancienne version du protocole MCP est utilisée, voire bloquer l'utilisation des versions antérieures.

Selon la spécification du protocole de contexte modèle 2025-11-25, l’identifiant de session MCP est optionnel et présent uniquement lorsqu’un serveur établit une session, tandis que l’en-tête de version du protocole MCP est requis pour toutes les requêtes HTTP ultérieures après l’initialisation, mais pas nécessairement pour chaque message HTTP.

Pour créer une politique basée sur les en-têtes HTTP, nous créons un profil d'en-tête. Par exemple, vous pouvez créer un profil d'en-tête basé sur le champ d'identification de la session MCP. Pour bloquer toutes les sessions, indiquez un caractère de remplacement dans la valeur à prendre en compte.

Http Header Profile: Créez un profil d'en-tête HTTP en utilisant le champ mcp-session-id et en fournissant un caractère générique pour que la politique puisse être appliquée à tout le trafic MCP.

Créez maintenant une politique New. Select la catégorie et choisissez "Serveur MCP" pour la catégorie. Select tous les types d'activités du GPE applicables. Choisissez un en-tête HTTP pour l'identifiant de session. Donnez un nom de politique approprié, puis choisissez le profil et l'action - "Bloquer".

Policy Configuration Interface: L'écran "Créer une politique". Le menu déroulant "Category" est réglé sur "MCP Server", toutes les activités sont sélectionnées et le champ "Profile & Action" est réglé sur Block pour un profil d'en-tête HTTP personnalisé "mcp-session-id" afin de bloquer tout le trafic MCP.

Pour tester cela, lancez le serveur MCP et consultez les événements SkopeIT. Nous verrons que tout événement MCP pour ce serveur MCP est maintenant bloqué parce que nous avons donné un caractère générique pour attraper tous les identifiants de session.

Application Events page and Details pane: Tous les événements MCP sont bloqués en raison de cette politique.

Vous pouvez créer un autre profil d'en-tête. Cette fois-ci, il s'agit d'une version du protocole indiquant précisément la version « 2025-06-18 », qui est antérieure à la dernière version stable.

Http Header Profile: Créer un profil d’en-tête HTTP en utilisant le champ mcp-protocol-version et fournir une version telle que « 2025-06-18 » afin que la politique puisse être appliquée au trafic MCP utilisant cette version.

Créez une politique pour la version du protocole.

Exécutez le serveur MCP qui utilise cette version particulière du protocole. Examinez les événements dans la page Événements de l'application de SkopeIT. Vous verrez que les événements du serveur MCP qui utilise l'ancienne version du protocole sont bloqués car cette politique les bloque.

Application Events page and Details pane: Chaque événement MCP utilisant cette version du protocole est bloqué en raison de cette politique.