Gestion des politiques de segmentation des applications privées

Les segments d'applications privées ne sont pas pilotés par défaut, ce qui signifie que les applications privées ne sont jamais accessibles aux utilisateurs finaux et qu'ils ne recevront pas non plus de notification à ce sujet. Le profil de pilotage de l'utilisateur final doit être mis à jour pour inclure les applications privées requises pour l'utilisateur (groupe/OU), et une politique en temps réel correspondante doit exister si aucune découverte n'est configurée pour l'utilisateur. Les stratégies sont nécessaires pour enregistrer les événements et permettre l'accès aux utilisateurs, aux groupes ou aux OU.

Utilisez les politiques de protection en temps réel pour

• Définir l'accès à un segment d'application privé en s'appuyant sur les critères de la politique des sources :
  • Access Method: Browser Access and/or Client (Optional)
  • Specific User(s), User Group(s) or Organization Unit(s) (Optional)
  • Source IP (Egress) (Optional)
  • User Confidence Index (UCI) (Optional; Beta, Client only)
  • Operating System (Optional)
  • Device Classification (Optional)
• Définissez l'accès à un segment d'application privé en utilisant les critères de la politique de destination :
  • Utilisation d'un segment d'application privé individuel
  • Ou tirer parti des balises de segments d'applications privées
  • Et éventuellement avec une activité de navigation lors de l'application d'un profil de prévention de la perte de données ou de protection contre les menaces :
    • Download, Upload or FormPost (Optional)
    • Contraintes sur les fichiers : Nom ou extension de fichier, type ou taille de fichier
• Définir les profils et les actions :
  • Actions standard pour les politiques basées sur le client
    • Allow
    • Block
    • Authentification périodique
  • Profils disponibles pour l'accès par le client et le navigateur
    • Profil DLP (Prévention des pertes de données)
  • Profils disponibles pour l'accès client
    • Profil de protection contre les menaces

Pour une application privée spécifique, vous pouvez avoir une politique qui accorde l'accès à un ensemble défini d'utilisateurs, puis utiliser une deuxième politique qui bloque et notifie les utilisateurs qui n'ont pas l'accès.

Avant de commencer

Avant de créer une politique :

• Activez Netskope Private Access pour votre locataire.
• Configurez un éditeur et les segments d'applications privées que vous souhaitez protéger.
• Rendez les utilisateurs, groupes ou unités organisationnelles requis disponibles dans le locataire.
• Configurez le routage du trafic et déployez le Netskope Client pour l'accès client. Pour Browser Access, configurez l'application privée et le fournisseur d'identité pour cette méthode d'accès.
• Examinez les exigences relatives à tout profil d’inspection facultatif ou à toute action d’authentification.

Documentation des politiques

Page	Contenu
Critères de politique source	Identité, méthode d'accès, adresse IP de sortie, pays, système d'exploitation, classification du périphérique et référence permanente User Confidence.
Configurer la confiance des utilisateurs	Prérequis pour la version bêta, configuration, exemples, validation et limitations.
Critères de politique de destination	Segments d'applications, étiquettes, activités, contraintes de fichiers et correspondance de destinations.
Profils et actions	Comportement d'accès par rapport à l'inspection et liens vers chaque page d'action/de profil.
Notifications destinées aux utilisateurs finaux	Complétez les champs de notification, l'identité visuelle, la localisation et les modèles d'authentification.

Configurer les politiques d'accès aux applications privées

1. Allez sur Policies > Real-time Protection.
2. Cliquez sur New policy et sélectionnez Private App Access.
3. Pour Source, vous pouvez configurer les options suivantes :
   • Spécifiez les utilisateurs, OU ou groupes pour lesquels la stratégie d'accès aux applications privées est appliquée. (Si elle n'est pas spécifiée, elle s'applique à tous les utilisateurs).
   • Specify whether the Access Method is Browser Access or Client (Threat Protection profiles are only available for Client Access)
   • Restreindre l'accès en fonction de l'IP source (Egress) qui permet aux administrateurs de restreindre l'accès aux segments d'applications privées en fonction de l'IP Egress des utilisateurs finaux.
   • Pour les tenants bêta éligibles, cliquez sur Add Criteria > User Confidence pour restreindre l'accès en fonction du score UCI de l'utilisateur. Select Client comme méthode d'accès. Consultez la section Configurer les politiques de confiance des utilisateurs pour connaître les exigences et la configuration.
   • Le système d'exploitation auquel s'applique la politique d'accès à l'application privée (client uniquement).
   • Le profil de classification du périphérique personnalisé qui doit être actif pour l'utilisateur pour que la règle s'applique (client uniquement ; l'accès par navigateur sera toujours marqué comme un périphérique non géré).
4. Pour la destination :
   • Select Private App Segment et ajoutez Private App Segments en dessous.
   • Pour une politique d'inspection, sélectionnez les activités prises en charge par le profil sélectionné et la méthode d'accès. La NPA DLP (Prévention des pertes de données) prend en charge l'accès par client et par navigateur dans le périmètre HTTP/HTTPS documenté.
5. Pour Action, sélectionnez Allow pour accorder l'accès. Pour refuser l'accès, sélectionnez Block, choisissez un modèle de notification de politique dans la liste déroulante ou créez-en un. Pour appliquer Periodic Authentication, assurez-vous que le critère du système d'exploitation source est défini sur Windows et/ou macOS et sélectionnez un modèle de notification pour l'utilisateur final client pour la règle.
6. Donnez un nom à la police, puis cliquez sur Save.
7. Dans la section Statut, confirmez que la politique est activée. Vous pouvez éventuellement cliquer sur + Policy Schedule pour restreindre la période pendant laquelle cette politique est active en fonction du jour, de la date et de l'heure. Pour obtenir tous les détails de configuration, consultez Politiques basées sur le temps.
8. Cliquez sur Apply Changes.
9. Si ce Private App Access Policy est destiné à une application avec un DLP or Threat Protection Policy, assurez-vous que le placement de la politique d’accès est after the DLP/Threat Protection Rule dans votre ordre de police, afin de garantir que vos profils DLP (Prévention des pertes de données) et Protection contre les menaces sont appliqués.

Vous pouvez sélectionner un groupe de politiques et, en option, ajouter une description de politique ou une notification par e-mail dans l'éditeur avant d'enregistrer.

Valider la politique

1. Connectez-vous en tant qu'utilisateur inclus dans la politique et accédez à une application privée sélectionnée. Vérifiez le résultat attendu d'autorisation, de blocage ou d'authentification.
2. Testez avec un utilisateur ou un périphérique qui ne répond pas aux critères de la politique. Vérifiez qu'une autre politique n'accorde pas d'accès non intentionnel.
3. Si la politique utilise une condition liée au réseau, au pays ou à la confiance des utilisateurs, testez une condition correspondante et une condition non correspondante.
4. Examinez les événements de réseau et les alertes applicables qui en résultent. Pour les politiques d'inspection, testez également le contenu et l'activité qui doivent déclencher le profil sélectionné.

Si le résultat diffère de la politique, vérifiez la méthode d'accès sélectionnée, l'identité de l'utilisateur, la définition de l'application, le statut de la politique, l'ordre des politiques et si les modifications ont été appliquées.

Configurer les politiques de confiance des utilisateurs

Utilisez User Confidence comme critère source pour contrôler l'accès aux applications privées en fonction du risque lié à l'utilisateur. Netskope Advanced UEBA fournit un score d'indice de confiance des utilisateurs (UCI) compris entre 0 et 1 000. Des scores plus bas indiquent un risque utilisateur plus élevé.

Par exemple, une politique d'autorisation peut exiger un score UCI supérieur à 650 avant qu'un utilisateur ne puisse accéder à une application privée sensible. L'utilisateur doit également satisfaire aux autres critères de source et de destination de la politique.

UCI Prerequisites

Avant de configurer la politique :

• • Disposez de Netskope Private Access et d'une licence Advanced UEBA active.

• • Utilisez une version de Netskope Client et un système d'exploitation approuvés pour la version bêta. Confirmez les versions prises en charge auprès de l'équipe de compte Netskope avant d'inclure des périphériques dans le projet pilote.

• • Configurez les segments d'applications privées, Publisher, les identités des utilisateurs et le pilotage du trafic requis pour l'accès des clients.

• • Vérifiez que les informations UCI sont disponibles dans Advanced UEBA pour les identités utilisées dans le projet pilote.

• • Confirmez l’éligibilité auprès de votre équipe de compte si le projet pilote utilise Local Broker, la connectivité avec la Chine ou l’infrastructure en Arabie saoudite.

Select un seuil UCI

Le contrôle User Confidence fournit les comparaisons et les seuils suivants :

Comparison	Threshold	Correspondance des scores UCI
Inférieur à	351 (Note médiocre)	0–350
Inférieur à	651 (note Médiocre et Modérée)	0–650
Plus de	350 (évaluation bonne et modérée)	351–1000
Plus de	650 (bonne évaluation)	651–1000

La comparaison détermine si la politique correspond. L'action de la politique détermine si l'accès correspondant est autorisé ou bloqué.

Configurer une politique d'accès UCI

1. Allez sur Policies > Real-time Protection. 
2. Cliquez sur New Policy > Private App Segment Access. Certaines versions étiquettent cette option sous le nom de Private App Access. 
3. Pour Source, sélectionnez les utilisateurs pilotes ou le groupe d’utilisateurs et définissez Access Method sur Client. 
4. Cliquez sur Add Criteria > User Confidence. 
5. Select Less Than ou More Than, puis sélectionnez un seuil. Pour cet exemple, sélectionnez More Than et 650 (Good rating). 
6. Ajoutez d'autres conditions sources requises, telles que le système d'exploitation ou la classification du périphérique. 
7. Pour Destination, sélectionnez les segments d'applications privées à protéger. 
8. Pour Profile & Action, sélectionnez Allow pour cet exemple. 
9. Entrez un nom de politique, tel que Finance App – UCI Above 650, sélectionnez un groupe de politiques, vérifiez que la politique est activée et cliquez sur Save. 
10. Examinez les autres politiques susceptibles d'accorder à ces mêmes utilisateurs l'accès à ces applications. Une politique d'autorisation plus générale ne doit pas contourner la restriction UCI prévue. 
11. Cliquez sur Apply Changes.

1.  

Dans cet exemple, un score de 800 correspond à la condition UCI, tandis qu'un score de 650 ou de 300 n'y correspond pas. L'accès est autorisé uniquement lorsque les critères restants correspondent. Une condition UCI non correspondante ne bloque pas en soi l'accès si une autre politique applicable autorise la connexion.

Si User Confidence est désactivé dans l'éditeur, vérifiez que Client est la seule méthode d'accès sélectionnée et demandez à votre équipe Netskope chargée de votre compte de vérifier les droits d'accès et l'activation de la version bêta.

Valider la politique UCI

• Enregistrez l’identité de l’utilisateur test et son score UCI actuel dans Advanced UEBA.

• Accédez à l'application privée sélectionnée via Netskope Client et vérifiez le résultat attendu.

• Coordonnez-vous avec l'équipe chargée de votre compte pour tester les utilisateurs des deux côtés du seuil, y compris la valeur limite. Vérifiez que les autres politiques n'accordent pas d'accès non intentionnel.

• Prévoyez du temps pour la propagation des scores et l'actualisation des politiques avant de retester un score modifié. Enregistrez le score, le résultat de l'accès et l'heure du test.

• Testez la récupération du score et vérifiez l’accès attendu après l’évaluation du score mis à jour.

• Examinez les événements et alertes réseau applicables. Utilisez Advanced UEBA pour vérifier le score ; cette version bêta n'ajoute pas de nouveau champ UCI aux événements réseau NPA.

Comportement et limitations de la version bêta d'UCI

• Un changement de score UCI seul ne déclenche pas l'actualisation immédiate d'une politique. Permettez la propagation des scores et l'actualisation périodique des politiques lors de l'évaluation des modifications d'accès.

• La confiance des utilisateurs est un critère de politique. Il ne configure pas l'authentification multifacteur (MFA) déclenchée par le risque ou la réauthentification. Pour l'authentification basée sur des intervalles, consultez la section Configurer les politiques d'authentification périodique par application.

• Examinez les conditions de politique restantes avant de supprimer les critères UCI ou de désactiver la version bêta. La suppression d'une condition peut élargir l'accès accordé par la politique.

Configurer les politiques d'authentification périodique par application

Periodic Per-App Authentication introduit une couche supplémentaire de sécurité en demandant aux utilisateurs de s'authentifier périodiquement lorsqu'ils accèdent à des segments d'applications privées spécifiques. Cette fonction n'est disponible que pour le périphérique de bureau (Windows et macOS).

Conditions préalables

• SAML Forward Proxy doit être configuré et déployé pour permettre l'inscription du client et l'identification de l'utilisateur.

• Les utilisateurs doivent utiliser la même identité (courriel) que lors de l'inscription du client pour que l'authentification réussisse.

• Source OS Les critères doivent être définis sur Windows and/or MacOS afin de sélectionner l'action New authentification périodique.

• Netskope Client doit être à la version R133 ou supérieure.

Configurer une politique d'authentification périodique en temps réel

Pour appliquer l'authentification périodique :

1. Allez sur Policies > Real-Time Protection Policies.
2. Cliquer sur New Policy > Private App Access. 
3. For Source Criteria, include Operating System = Windows and/or macOS. 
4. Select Client for the Access Method. 
5. Select the Private App Segment(s) for the Destination. 
6. Select Periodic Authentication pour l'action, et définissez l'intervalle d'authentification (par exemple toutes les 30 minutes). 
7. Select un modèle de notification à l'utilisateur. 
8. Lorsque vous avez terminé, cliquez sur Save.

 

Après l'expiration de l'authentification d'un utilisateur, les sessions existantes restent valides. Cependant, les sessions New nécessiteront une authentification après l'expiration de l'intervalle.

Fonctionnement de la minuterie d'authentification

La logique de temporisation du système est simple mais puissante. Il repose sur un horodatage unique qui marque la dernière authentification réussie de l'utilisateur pour toute application privée.

Considérez-le comme un laissez-passer universel qui reçoit un horodatage New chaque fois qu'il vous est demandé de vous réauthentifier. Lorsque vous essayez d'accéder à une application, le système vérifie simplement si le temps écoulé depuis votre dernier horodatage est supérieur à l'intervalle d'authentification spécifique requis pour cette application.

Exemple de cas d'utilisation

Voici un scénario concret pour vous montrer comment cela fonctionne dans la pratique.

Imaginez que deux politiques soient configurées pour un utilisateur, Alice :

• App A (GitLab): L'authentification est requise toutes les 90 minutes.

• App B (Jira): L'authentification est requise toutes les 60 minutes.

Voici une chronologie de l'activité d'Alice :

• 9:00 AM: Alice accède à GitLab (App A) pour la première fois.
• Action: Elle est invitée à s'authentifier. En cas de succès, l'accès est accordé.

• Result: L'heure de dernière authentification du système pour Alice est maintenant fixée à 9h00. ⏰

• 9:50 AM: Alice ouvre Jira (App B).
• Check: Le système calcule le temps écoulé depuis sa dernière authentification : 9:50 AM - 9:00 AM = 50 minutes.

• Action: Comme 50 minutes est inférieur à l'intervalle de 60 minutes de Jira, aucune authentification New n'est nécessaire. L'accès est accordé de manière transparente.

• Result: L'heure de la dernière authentification reste fixée à 9h00.

• 10:10 AM: Alice essaie à nouveau d'accéder à Jira (App B).
• Check: Le système calcule le temps écoulé : 10:10 AM - 9:00 AM = 70 minutes.

• Action: Comme 70 minutes est supérieur à l'intervalle de 60 minutes de Jira, Alice est invitée à se réauthentifier.

• Result: En cas de succès, l'heure de la dernière authentification est mise à jour à 10:10 AM. 🔄

• 10:30 AM: Alice retourne sur GitLab (App A).
• Check: The system uses the newest timestamp: 10:30 AM - 10:10 AM = 20 minutes.

• Action: Comme 20 minutes est inférieur à l'intervalle de 90 minutes de GitLab, aucune authentification n'est requise.

• Result: L'heure de la dernière authentification reste 10:10 AM.

Cet horodatage unique et continu garantit que l'authentification est basée sur la politique de l'application à laquelle on accède, par rapport au dernier événement d'authentification de l'utilisateur à l'échelle du système.

Configurer les politiques de protection contre les menaces

Netskope Private Access (NPA) permet aux entreprises d'appliquer la protection contre les menaces au trafic web (ports 80 et 443) pour les applications privées, garantissant ainsi que les fichiers sont analysés en temps réel pour détecter les logiciels malveillants. Lorsque vous utilisez la protection contre les menaces avec NPA, notez que cette fonction :

• Requiert le client comme méthode d'accès.

• Analyse l'ensemble du trafic web sur HTTP (80) et HTTPS (443).

• L'analyse en temps réel protège l'accès aux applications privées contre les logiciels malveillants et autres menaces avancées.

Netskope Private Access prend désormais également en charge les protections IPS client-serveur basées sur HTTP (80) et HTTPS (443). Vous trouverez plus d'informations ici : À propos des paramètres IPS.

Create a File Hash List

• Définissez les valeurs de hachage (MD5/SHA-256) des fichiers à détecter.

• Use these lists to allowlist (safe) or blocklist (malicious) known file hashes.

Configurer la protection contre les menaces pour les politiques d'accès aux applications privées en temps réel

1. Allez à Policies > Real-time Protection. 
2. Cliquez sur New Policy puis sur Private App Access. 
3. Sur la page des politiques de protection en temps réel, saisissez d'abord les paramètres pour Source (Utilisateurs, méthode d'accès et autres critères de source) et Destination (Application privée / Étiquette d'application privée). 
4. Dans la section Profil & Action, sélectionnez Add Profile et choisissez Threat Protection Profile. Netskope recommande de sélectionner Default Malware Scan (predefined), car il analyse automatiquement tous les moteurs de protection contre les menaces pour lesquels votre plateforme possède une licence. 
5. Select l'action pour chaque niveau de gravité. L'action recommandée pour chaque niveau de gravité est le blocage. Cela garantit la meilleure protection possible pour les utilisateurs. Pour appliquer un profil de remédiation à chaque niveau de gravité, sélectionnez un profil de remédiation dans la liste déroulante. 
6. Si vous avez sélectionné des contraintes de type de fichier et choisi une action de blocage pour un niveau de gravité, vous pouvez également consulter l'option d'analyse dynamique des menaces « Bloquer jusqu'à ce que le verdict soit bénin » . Select pour empêcher les utilisateurs de télécharger ou de téléverser un fichier jusqu'à ce que l'analyse dynamique des menaces Netskope rende un verdict bénin. L’analyse peut durer jusqu’à 10 minutes. Pour plus de détails, consultez la section Création d’une politique de protection contre les menaces pour le patient zéro. 
7. Saisissez un nom pour la politique et cliquez sur Save.

Cette Threat Protection Policy n’inspecte que la circulation ; Il n’accorde pas l’accès à l’application privée. Créez a separate Private App Access Policy avec une action Allow pour la même application et les mêmes utilisateurs, et placez-la après cette règle de Protection contre les Menaces dans votre ordre de police afin que le Profil de Protection contre les Menaces soit appliqué. (À partir de R142, cet ordre n’est plus important.)

Configurer les politiques de prévention des pertes de données

Netskope Private Access prend en charge l'application de la DLP (Prévention des pertes de données) aux applications privées à l'aide de politiques en temps réel d'accès aux applications privées. Utilisez cette configuration pour inspecter et protéger les données sensibles pour l'accès Browser Access et Client aux applications privées. Pour l'accès au navigateur, vous pouvez également étendre la politique à des activités de navigateur spécifiques. Pour plus d'informations sur la création de profils, de règles et d'identificateurs DLP, consultez Prévention des pertes de données (DLP).

Conditions préalables

• Assurez-vous qu'un éditeur est déjà configuré.

• Pour l'accès par navigateur, confirmez qu'un proxy inverse SAML IdP pour les applications privées est configuré.

• Pour l'accès au navigateur, vérifiez que l'application privée est configurée pour l'accès au navigateur.

• Créez le profil DLP (Prévention des pertes de données) que vous souhaitez appliquer avant de créer la politique.

Configurer une politique DLP (Prévention des pertes de données) pour les applications privées

1. Allez sur Policies > Real-time Protection et créez ou modifiez une politique Private App Access. Le cadre plus large des politiques en temps réel prend en charge la prévention des pertes de données (DLP) et la protection contre les menaces, et inclut Private App Segment Access comme type de politique. 
2. Pour Source, sélectionnez les utilisateurs ou les groupes auxquels la politique s'applique et définissez Access Method sur Browser Access, Client, ou les deux, en fonction du cas d'utilisation. 
3. Pour la destination, sélectionnez le(s) segment(s) de l'application privée. Assurez-vous que les activités spécifiques sont configurées pour pouvoir définir un profil de prévention de la perte de données. 
4. Pour Profile & Action, sélectionnez Add Profile et choisissez le(s) profil(s) DLP (Prévention des pertes de données) requis. 
5. Choisissez l’action d’exécution, nommez la politique, puis cliquez sur Save.

Cette DLP Policy n’inspecte que la circulation ; Il n’accorde pas l’accès à l’application privée. Créez a separate Private App Access Policy avec une action Allow pour la même application et les mêmes utilisateurs, puis placez-la après cette règle DLP (Prévention des pertes de données) dans votre ordre de politique afin que le profil DLP (Prévention des pertes de données) soit appliqué. (À partir de R142, cet ordre n’est plus important.)

 

Notes complémentaires

• Pour NPA Browser Access DLP, seules les applications privées HTTP and HTTPS sont prises en charge. AnyApp Browser Access Les applications telles que RDP/SSH ne sont pas prises en charge pour la prévention des pertes de données (DLP).

• Pour NPA Client Access DLP, seuls HTTP and HTTPS et port 80 and 443 sont pris en charge.

• Transaction events are not generated pour le trafic DLP , même lorsque les événements de transaction sont activés pour le trafic Web.

• Consultez la page Types de fichiers pris en charge pour l'inspection du contenu pour connaître la couverture des formats de fichier.

• OCR est une capacité Advanced DLP dans Netskope en général, mais OCR est not supported pour NPA.

Validation

Après avoir sauvegardé la politique, testez l'accès à l'application privée avec un contenu représentatif qui devrait déclencher le profil DLP (Prévention des pertes de données) sélectionné. Confirmez le résultat attendu de l'application et examinez les alertes ou incidents DLP (Prévention des pertes de données) qui en résultent.

Liens connexes

• Appliquer la DLP (Prévention des pertes de données) pour les applications privées avec accès par navigateur NPA pour connaître les conditions préalables spécifiques à l'accès par navigateur et le contexte hérité.

• Prévention des pertes de données / À propos de la DLP (Prévention des pertes de données) pour les profils, les règles, les identificateurs et les incidents.

• Types de fichiers pris en charge pour l'inspection du contenu pour la couverture des formats de fichiers.

Configuration des notifications aux utilisateurs

Cette fonctionnalité utilise un type de notification utilisateur New pour alerter les utilisateurs lorsque l'authentification est requise. Procédez comme suit :

1. Allez sur Policies > User Notification (Template Section).
2. Cliquez sur Add Template > Private App Segments. 
3. Personnalisez la notification en tenant compte des éléments suivants :
   • Réglez le site Action sur Periodic Authentication 
   • Fournissez un contexte clair dans le message, comme l'exemple ci-dessous, ou quelque chose de plus spécifique, comme Une authentification est requise pour continuer à utiliser [App Name]. Veuillez recharger la page après avoir terminé l'authentification.)
     

     

4. Lorsque vous avez terminé, cliquez sur Save.