Configuration de la plateforme cloud de sécurité

Netskope Secure Web Gateway propose les différents paramètres de configuration globale ci-dessous.

Classification des URL dynamiques

La classification dynamique des URL complète le processus de catégorisation des URL pour les URL non catégorisés, c'est-à-dire les URL non trouvés dans la base de données en ligne (NSProxy). Lorsque cette option est activée, le service vérifie un cache spécifique au POP pour les URL non classées. Si une URL n'est pas trouvée dans ce cache, le service renvoie immédiatement "Non classé" pour la première demande tout en lançant une recherche asynchrone dans la seconde base de données de Netskope, plus vaste, afin de trouver la catégorie correcte. Une fois la catégorie trouvée, Netskope ajoute cette catégorisation au cache pendant 12 heures, ce qui permet aux demandes ultérieures via le POP de recevoir la catégorisation.

Netskope utilise un algorithme de popularité pour optimiser la résidence des URL dans sa base de données en ligne afin de maximiser les performances pour les requêtes à plus fort trafic. Par conséquent, une URL peut sortir progressivement de cette base de données et nécessiter une classification dynamique pour être classée.

Pour activer la classification dynamique des URL de manière globale :

1. Allez sur Settings > Security Cloud Platform > Configuration.
2. Sous Dynamic URL Classification, cliquez Edit.

   

3. Dans le site Edit Dynamic URL Classification, cliquez sur le bouton pour activer ou désactiver la fonction. Si cette option est activée et que les utilisateurs naviguent sur une URL non classée, Netskope la classe dynamiquement dans une catégorie prédéfinie.

   

4. Cliquez sur Save.
5. Allez sur Policies > Web > URL Lookup pour rechercher des catégories prédéfinies et personnalisées ou signaler une erreur de catégorie.

   

Correspondance entre l'URL et la sensibilité à la casse

Les listes d'URL vous permettent de compiler des listes d'URL à inclure ou à exclure dans les analyses de politiques. Pour permettre à vos listes d'URL d'être traitées comme insensibles à la casse :

1. Allez sur Settings > Security Cloud Platform > Configuration.
2. Sous URL Case Insensitivity Match, cliquez Edit.

   

3. Dans la fenêtre Edit URL Case Insensitivity Match, cliquez sur le bouton pour activer ou désactiver la fonction. Si cette option est activée, tous les URL inclus dans vos listes d'URL sont pris en compte sans tenir compte des majuscules et des minuscules.

   

4. Cliquez sur Save.

Recherche sécurisée

Pour bloquer les contenus pornographiques et autres contenus explicites sous forme d'images qui enfreignent la politique de votre entreprise, utilisez la fonction Recherche sécurisée. Les moteurs de recherche pris en charge sont Bing, DuckDuckGo, Google et Yahoo.

Pour activer la recherche sécurisée au niveau mondial :

1. Allez sur Settings > Security Cloud Platform > Configuration.
2. Sous Safe Search, cliquez Edit.

   

3. Dans le site Edit Safe Search, cliquez sur le bouton pour activer ou désactiver la fonction. Si cette option est activée, Netskope bloque la session lorsque les utilisateurs naviguent sur des URL inappropriées.

   

4. Cliquez sur Save.

Magasin de confiance dynamique

Pour activer globalement les certificats de la liste de confiance :

1. Allez sur Settings > Security Cloud Platform > Configuration.
2. Sous Dynamic Trusted Store, cliquez Edit.

   

3. Dans le site Edit Dynamic Trusted Store, cliquez sur le bouton pour activer ou désactiver la fonction. Si cette option est activée, Netskope bloque la session lorsque les utilisateurs naviguent sur des URL inappropriées.

   

4. Cliquez sur Save.

En-tête X-Forwarded-For

Un en-tête X-Forwarded-For (XFF) est utilisé pour identifier l'adresse IP d'origine d'un utilisateur se connectant à un serveur web par l'intermédiaire d'un proxy HTTP. Sans l'en-tête XFF, le serveur proxy sera identifié comme l'adresse IP d'origine. Utilisez cette fonction pour faire confiance aux adresses IP contenues dans l'en-tête XFF.

Pour faire confiance aux en-têtes XFF de manière globale :

1. Allez sur Settings > Security Cloud Platform > Configuration.
2. Sous X-Forwarded-For Header, cliquez Edit.

   

3. Dans la fenêtre Edit X-Forwarded-For Header , cliquez sur la bascule pour activer ou désactiver. Si activé globalement, Netskope fait confiance aux en-têtes XFF pour tout le trafic de votre organisation et prend le dessus sur vos configurations XFF pour vos tunnels IPSec , tunnels GRE et Explicit Proxy over Tunnel. Si désactivé, vous pouvez faire confiance aux en-têtes XFF pour le trafic passant par des tunnels spécifiques.

   

4. Cliquez sur Save.

Paramètres de détection pour AI Guardrails

Avec AI Guardrails, vous pouvez :

• permettre une détection basée sur le GPU en se connectant au cloud public LLM de Netskope pour une détection plus efficace des garde-fous IA.

• stocker le contenu de l'invite et de la réponse dans Netskope

Pour activer ces paramètres de détection pour AI Guardrails:

1. Allez sur Settings > Security Cloud Platform > Configuration.

2. Sous Detection Settings for AI Guardrails, cliquez sur Edit pour :

   • Détection basée sur le GPU

   • Invitation et réponse appariées

     

3. Dans la fenêtre GPU-based Detection et Matched Prompt and Response, cliquez sur le bouton pour activer ou désactiver la fonction.

   

   

4. Cliquez sur Save.

Empreinte IP de sortie dédiée

Plusieurs services liés à l'authentification peuvent nécessiter une configuration afin d'autoriser les IP du nuage Netskope en tant qu'adresse source pour ces services.

Par exemple, avec l'authentification active sur le proxy O365, le serveur ADFS local peut restreindre l'authentification à partir de certaines IP sources. Un autre cas de figure est celui où vous souhaitez que les fournisseurs d'IdP restreignent les demandes d'authentification provenant de certaines IP sources, ou qu'ils restreignent de la même manière l'accès à une application spécifique. Dans ce cas, vous pouvez utiliser les IP de Netskope Cloud pour ces configurations.

Les applications Web et cloud qui s'appuient sur les adresses IP source comme forme d'identification et de sécurité peuvent utiliser la fonctionnalité Netskope Dedicated Egress IP Footprint pour faciliter la transition des contrôles de sécurité sur site vers une architecture Security Service Edge (SSE). Les administrateurs disposent ainsi d'une option supplémentaire pour permettre l'accès à ces applications et minimiser les perturbations pour les utilisateurs.

La fonction Dedicated Egress IP Footprint de Netskope alloue un minimum de deux adresses IP à partir de plages IP appartenant à Netskope par plan de données correspondant à la zone/région de gestion du trafic de vos comptes NewEdge. Les plages d'adresses IP dédiées sont totalement distinctes des plages d'adresses IP partagées. L'épuisement des ports est surveillé par la plateforme Netskope.

Tout le trafic utilisera ces adresses IP et est disponible pour toutes les méthodes de pilotage et le trafic, à l'exception du trafic Netskope Private Access (NPA).

Vous pouvez consulter la liste des IP attribuées à votre compte en allant sur Settings > Security Cloud Platform > Enforcement > Netskope IP Ranges. L'onglet Plages d'IP dédiées répertorie les IP dédiées attribuées. Vous pouvez copier les plages d'adresses IP à utiliser pour les politiques d'accès conditionnel du côté SaaS.

Tout le trafic IP de sortie dédiée

Pour activer des adresses IP de sortie dédiées pour le trafic utilisateur accédant aux applications SaaS via le proxy :

1. Allez sur Settings > Security Cloud Platform > Configuration.
2. Sous Dedicated egress IP Footprint, cliquez Edit.

   

3. Dans le site Edit Dedicated egress IP Footprint, cliquez sur le bouton pour activer ou désactiver la fonction.

   

4. Cliquez sur Save.

Après avoir enregistré cette configuration, Netskope envoie tout le trafic via l'IP de sortie dédiée.

IP de sortie dédiée conditionnelle

(Facultatif) Vous pouvez spécifier des critères de source et de destination pour acheminer le trafic correspondant via l'IP de sortie dédiée. Si aucun critère n'est spécifié, l'IP de sortie dédiée s'applique à tout le trafic.

Pour activer des IP de sortie dédiées pour un sous-ensemble du trafic atteignant les applications SaaS via le proxy :

1. Allez sur Settings > Security Cloud Platform > Configuration.
2. Sous Dedicated Egress IP Footprint, cliquez Edit.
3. Configurez les spécifications Source et Destination.

Important

Lors de la configuration d'une politique d'IP de sortie dédiée conditionnelle, gardez les points suivants à l'esprit :

• Tout trafic correspondant aux critères de la politique utilise l'IP de sortie dédiée pour sortir. Le reste du trafic utilise une IP publique de Netskope pour sortir.
• Toutes les conditions de source et de destination sont des conditions OU. En d'autres termes, si l'une des conditions est remplie, le trafic sort par l'IP de sortie dédiée.
• En raison de la logique OU de la politique, si la politique exclut les utilisateurs et inclut les domaines, Netskope envoie le trafic de domaine correspondant des utilisateurs exclus vers l'IP de sortie dédiée.
• Netskope ne permet pas d'utiliser le même profil de réseau comme critère de correspondance pour l'IP source et l'IP de destination.
• Pour ajouter une application appartenant à une suite d'applications en nuage comme condition de correspondance, vous devez sélectionner sa suite d'applications en nuage dans la liste déroulante Suite d'applications en nuage. Les applications individuelles appartenant à des suites d'applications en nuage ne peuvent pas être sélectionnées dans la liste déroulante Application. Par exemple, Box n'est pas disponible pour la sélection, mais vous pouvez sélectionner sa suite d'applications en nuage, Box App.
• Lorsqu'une politique d'IP de sortie dédiée conditionnelle est activée, les conditions ne s'appliquent pas au trafic contourné (c'est-à-dire le trafic correspondant à une politique SSL Do Not Decrypt). Tout le trafic contourné utilise une adresse IP de sortie dédiée.



4. Cliquez sur Save.

Zones de localisation

Les zones de localisation étendent encore la couverture mondiale de NewEdge en offrant la même expérience que le direct-to-net avec la prise en charge de la langue maternelle et du contenu localisé pour tous les sites web, même lorsqu'il n'y a pas de données Plane (DP) dans le pays. Cette fonction concerne également certains sites web ou applications SaaS qui exigent que les utilisateurs soient locaux (géo-blocage ou géo-fencing). En outre, les zones de localisation permettent aux utilisateurs de conserver leur expérience en cas de basculement ou de maintenance, même lorsqu'ils utilisent un PDD en dehors du pays. Les zones de localisation ne changent pas et ne modifient pas le chemin du trafic, tel que le backhauling du trafic qui ajoute de la latence.

Par exemple, lorsque cette fonction est activée, un utilisateur en Grèce reçoit des résultats de recherche et des sites web pertinents pour la Grèce et en langue grecque, bien qu'il se connecte via le DP de NewEdge à Vienne, en Autriche. De même, dans une situation de basculement pour un utilisateur au Mexique (où il n'y a qu'un seul PDD), l'utilisateur peut se connecter via le PDD de Dallas et continuer à recevoir le contenu localisé en espagnol. Dans le cas du Mexique, les zones de localisation étendent la résilience de NewEdge par le biais de six PDD afin de garantir que la couverture de sécurité et l'expérience numérique restent intactes à tout moment. Ces PDD comprennent Atlanta, Dallas, Miami, Phoenix et deux à Los Angeles.

Le tableau suivant répertorie les pays actuellement pris en charge par cette fonctionnalité :

Pour activer les zones de localisation :

1. Allez sur Settings > Security Cloud Platform > Configuration.
2. Sous Localization Zones, cliquez Edit.

   

3. Dans la fenêtre Edit Localization Zones, cliquez sur le bouton pour activer ou désactiver la fonction. Si cette option est activée, vos utilisateurs recevront du contenu en fonction de leur situation géographique.

   

4. Cliquez sur Save.

Identifier le trafic HTTP sur un port non standard

Par défaut, Cloud Firewall (CFW) inspecte tout le trafic sur les ports standard et non standard, mais les politiques web ne sont appliquées que sur les ports web standard. La fonction "Identifier le trafic HTTP sur les ports non standard" vous permet d'inspecter l'ensemble du trafic web sur les ports standard et non standard. Lorsqu'il est activé, le service Netskope applique des politiques web à l'ensemble du trafic web, même sur les ports non standard, sans qu'il soit nécessaire de configurer des ports personnalisés.

Pour permettre l'identification du trafic HTTP(s) sur des ports non standard :

1. Allez sur Settings > Security Cloud Platform > Configuration.
2. Sous Identity HTTP Traffic on Non-Standard Port, cliquez Edit.

   

3. Dans la fenêtre Edit Identify HTTP Traffic on Non-Standard Port, cliquez sur le bouton pour activer ou désactiver la fonction. Si cette option est activée, le service Netskope applique les règles de protection en temps réel configurées pour les applications en nuage, l'accès au web et les règles de pare-feu à tout le trafic HTTP identifié sur les ports non standard. En d'autres termes, la politique qui s'applique au trafic HTTP sur les ports standard s'applique également au trafic sur les ports non standard. Block traffic identified on non-standard ports peut également être activée.
4. Cliquez sur Save.