Note
Vous devez disposer de la licence Netskope Secure Web Gateway pour créer des listes d'URL.
Les listes d'URL sont un élément des catégories personnalisées, qui offrent la possibilité de remplacer le mappage prédéfini des catégories d'URL Netskope pour une URL donnée. Pour créer une liste d'URL, sélectionnez le format et saisissez les URL souhaitées. Une fois la liste d'URL enregistrée, ajoutez-la à une catégorie personnalisée en tant qu'inclusion ou exclusion. Pour en savoir plus, consultez la section Catégorie personnalisée.
Avant de commencer, dressez une liste des URL à inclure dans une analyse de politique de sécurité et, si nécessaire, créez une autre liste des URL à exclure de cette analyse. Vous pouvez saisir les URL individuellement dans l'interface utilisateur, créer un fichier CSV contenant toutes les URL ou utiliser l' API REST V2. Une fois cette étape terminée, vous devez créer des catégories personnalisées pour les listes d'URL à appliquer dans une politique.
Important
Les améliorations apportées à la liste des URL sont applicables aux politiques de protection en temps réel, aux politiques de décryptage SSL, aux exceptions de pilotage et à l'API REST V2. Contactez l'assistance pour activer ces améliorations dans votre compte.
Configuration des listes d'URL
Pour créer une liste d'URL :
- Va sur Policies > Profiles > URL Lists.
- Cliquez sur New URL List.
- Dans la fenêtre New URL List, saisissez un nom pour votre liste d'URL.
- Pour URL Type, sélectionnez le format de la liste des URL (Exact ou Regex). Le comportement par défaut est la correspondance exacte.
- Pour URL & IP Address, vous pouvez saisir manuellement les URL ou les adresses IP. Si vous avez choisi Regex comme URL Type, vous pouvez saisir une expression rationnelle pour la correspondance des URL.
- Vous pouvez également télécharger un fichier CSV (8 Mo maximum).
Note
Pour plus d’informations sur la création de listes d’URL, consultez les meilleures pratiques pour les listes d’URL.
Lors de l'ajout d'URL, vous pouvez saisir des URL pour une correspondance exacte ou saisir des URL génériques. Vous pouvez également définir des numéros de port pour les URL. Lorsque vous ajoutez des URL, veillez à respecter les règles de formatage.
| URL Format | URL correspondants |
|---|---|
| www.example.com/path/to/resource | www.example.com/path/to/resource/a www.example.com/path/to/resource/a/b |
| example.com | example.com/ example.com/path/a |
| www.example.com | www.example.com www.example.com/path/a www.example.com/some/path www.example.com/query?a=b http://www.example.com https://www.example.com http://www.example.com:80 https://www.example.com:443 |
| *.example.com | example.com www.example.com www.us.example.com www.uk.example.com |
| www.example.com:8080 | http://www.example.com:8080 https://www.example.com:8080 |
| www.example.com:80 | http://www.example.com https://www.example.com:80 http://www.example.com:80 |
| www.example.com:443 | https://www.example.com https://www.example.com:443 http://www.example.com:443 |
| www.example.com/path/*/ | Non pris en charge |
| www.example.com/* www.example.com/path/* | Non pris en charge |
Domaines génériques (par exemple, *.example.com) incluent le domaine racine et tous les sous-domaines. Gardez à l'esprit que si votre liste d'URL contient au moins deux entrées génériques, sous-domaines et chemins, le service Netskope utilise l'entrée la plus longue pour la catégorisation.
Lors de l'ajout d'adresses IP, vous pouvez ajouter des plages d'adresses IP et des adresses IP avec la notation CIDR. Lorsque vous ajoutez des ports non standard, vous devez définir le numéro de port pour une correspondance.
Conseil
Lorsque vous créez une liste d'URL pour les adresses IP de destination, tenez compte des éléments suivants :
- Lorsque vous créez une politique de protection en temps réel pour les adresses IP de destination, vous pouvez également créer une politique SSL « Ne pas déchiffrer ». Toutefois, si l'action de la politique de protection en temps réel est « Bloquer », l'activité sera bloquée sans interception SSL. Autrement dit, la page de blocage n'apparaîtra pas aux utilisateurs lorsqu'ils accéderont aux adresses IP de destination.
- Pour bloquer l'activité avec l'interception SSL, vous devez créer une politique de protection en temps réel uniquement sans politique SSL.
- Lorsque vous créez une liste d’URL pour les adresses IP de destination, l’option de réglage Sans erreur SNI n’est pas disponible. Cela s’explique par le fait que lorsqu’un utilisateur accède à une adresse IP de destination, il n’y a pas de SNI.
Blocage du trafic vers une seule adresse IP de destination sans SNI
Lorsqu’une requête va directement à une adresse IP (par exemple, https://1.2.3.4) au lieu d’un nom de domaine, la poignée de main TLS n’inclut pas d’indication de nom serveur (SNI). Sans SNI, Netskope n’a pas de nom d’hôte à catégoriser, donc par défaut ce trafic contourne complètement le déchiffrement et l’application des politiques — même si cette adresse IP apparaît dans l’une de vos listes d’URL.
Netskope propose un paramètre au niveau du locataire qui modifie ce principe par défaut. Le tableau ci-dessous montre comment son activation modifie ce qui arrive à ce trafic.
| Paramètres désactivés (par défaut) | Paramètres activés | |
|---|---|---|
| Traffic to a destination IP with no SNI | Contourne le déchiffrement et l’application des politiques. Les entrées de liste d’URL pour cette IP ne sont pas appliquées. | Évalué selon vos listes d’URL. Les politiques de protection en temps réel et de déchiffrement SSL correspondantes s’appliquent — bloquer, autoriser, déchiffrer ou ne pas déchiffrer — de la même manière que le trafic avec un SNI. |
| “No SNI” option in Manage Error Settings | Disponible, puisque ce trafic est contourné par défaut. | Supprimé. Le trafic n’est plus automatiquement contourné, donc cette option ne s’applique plus. |
Avant d’activer ce paramètre, examinez vos listes d’URL existantes pour toutes les adresses IP de destination. Une fois activées, ces entrées sont appliquées sur le trafic précédemment contourné, alors vérifiez que vos politiques de Protection en Temps Réel et de Déchiffrement SSL produisent le résultat attendu pour ce trafic.
Points d'extrémité de l'API
Les points d'extrémité suivants sont disponibles avec l'API REST V2 pour les listes d'URL :
Note
L'API REST V2 fait partie des améliorations de la liste d'URL. Contactez l'assistance pour activer cette fonctionnalité dans votre compte.
| Endpoint | Description |
|---|---|
| GET /api/v2/policy/urllist | Obtention de toutes les listes d'URL appliquées et en attente |
| POST /api/v2/policy/urllist | Création d'une liste d'URL New |
| POST /api/v2/policy/urllist/file | Téléchargement de plusieurs configurations via un fichier JSON |
| GET /api/v2/policy/urllist/{id} | Obtention de la liste des URL par ID |
| PUT /api/v2/policy/urllist/{id} | Remplace une configuration de liste d'URL |
| DELETE /api/v2/policy/urllist/{id} | Supprime une liste d'URL |
| PATCH /api/v2/policy/urllist/{id}/{action} | Modifie une liste d'URL |
| POST /api/v2/policy/urllist/deploy | Applique une liste de changements d'URL en attente |
Example:
Vous pouvez interroger la liste d'URL suivie d'un champ d'une liste d'URL spécifique. Pour interroger des champs spécifiques, utilisez la requête suivante :
GET http://<tenant-URL>/api/v2/policy/urllist?field=id,name
Les paramètres disponibles pour les champs et les requêtes sont les suivants
- Id
- name
- data
- pending
- modify_time
- modify_type
- modify_by
Note
L’API REST peut être utilisée pour ajouter à une liste d’URL existante, mais pas pour créer une liste d’URL New . Pour plus d’informations, consultez la section Mettre à jour une liste d’URL.