Интеграция глобального безопасного доступа с Расширенной защитой от угроз Netskope и предотвращением потери данных

В современном развивающемся ландшафте угроз организации сталкиваются с проблемами защиты конфиденциальных данных и систем от кибератак. Global Secure Access Advanced Threat Protection (ATP) объединяет Microsoft Security Service Edge (SSE) с расширенными возможностями обнаружения угроз Netskope и защиты от потери данных (DLP) для предоставления комплексного решения по обеспечению безопасности. Эта интеграция обеспечивает защиту от вредоносных программ, уязвимостей нулевого дня и утечки данных и упрощает управление с помощью единой платформы.

В этом руководстве приведены пошаговые инструкции по настройке политик ATP и защиты от потери данных для защиты организации. Следуя этим инструкциям, ИТ-администраторы могут применять возможности Microsoft SSE и Netskope для повышения уровня безопасности своей организации и упрощения управления угрозами.

Схема высокоуровневой архитектуры

Предпосылки

Чтобы выполнить следующие действия, убедитесь, что у вас есть следующие предварительные требования:

• Роль глобального администратора безопасного доступа в идентификаторе Microsoft Entra для настройки параметров глобального безопасного доступа.
• Клиент, настроенный с политикой проверки протокола TLS, как описано в разделе "Настройка проверки безопасности транспортного уровня".
• Устройства или виртуальные машины под управлением Windows 10 или Windows 11, присоединенные или гибридно присоединенные к Microsoft Entra ID.
• Устройства с установленным клиентом Глобального безопасного доступа. Сведения о требованиях и инструкциях по установке см. в клиенте Global Secure Access для Microsoft Windows .
• Роль администратора условного доступа для настройки политик условного доступа.
• Пробная версия лицензий Microsoft Entra Internet Access. Дополнительные сведения о лицензировании см. в обзоре глобального лицензирования безопасного доступа. Вы можете приобрести лицензии или получить пробные лицензии. Чтобы активировать пробную версию Internet Access, перейдите к aka.ms/InternetAccessTrial.

Включение профиля трафика для доступа к Интернету

1. Войдите в центр администрирования Microsoft Entra.

2. Перейдите к Global Secure Access>Connect>переадресации трафика и включите профиль доступа в интернет.

3. В разделе"Назначения пользователей> и групп доступа к Интернету" выберите "Вид", чтобы выбрать участвующих пользователей.

   Дополнительные сведения см. в разделе "Управление профилем пересылки трафика через Интернет".

   Это важно

   Прежде чем продолжить, убедитесь, что интернет-трафик клиента направляется через службу глобального безопасного доступа.

4. На тестовом устройстве щелкните правой кнопкой мыши значок глобального безопасного доступа в области системы и выберите "Расширенная диагностика".

5. На вкладке "Профиль пересылки " убедитесь, что правила доступа к Интернету представлены в разделе "Правила ". Эта конфигурация может занять до 15 минут, чтобы применить к клиентам после включения профиля трафика доступа к Интернету.

Включение проверки TLS

Большой процент интернет-трафика шифруется. Завершение TLS на границе позволяет глобальному безопасному доступу проверять и применять политики безопасности к расшифрованном трафику. Этот процесс обеспечивает обнаружение угроз, фильтрацию содержимого и детализированные элементы управления доступом.

Чтобы включить проверку TLS, выполните действия, описанные в разделе «Настройка проверки безопасности транспортного уровня».

Включение и проверка политик расширенной защиты от угроз (ATP) и защиты от потери данных (DLP)

Политики ATP и DLP, управляемые подсистемами Netskope, можно создавать непосредственно из Центра администрирования Microsoft Entra, выполнив следующие высокоуровневые действия. Подробные сведения о каждом шаге.

1. Активация предложения Netskope с помощью Глобальной платформы безопасного доступа
2. Создание политики ATP
3. Создание политики защиты от потери данных
4. Связывание политики проверки ATP, DLP или TLS с профилем безопасности
5. Создание политики условного доступа для применения политик проверки ATP, DLP и TLS
6. Тестирование политик ATP
7. Тестирование политик защиты от потери данных

Активация предложения Netskope с помощью Глобальной платформы безопасного доступа

Вы можете активировать бесплатную пробную версию или связаться с Netskope для частного предложения. Выберите вкладку, чтобы выполнить действия для выбранного варианта.

Создание политики ATP

1. Перейдите к Global Secure Access> Secure Threat Protection >политикам.

2. Нажмите кнопку + Создать политику.

3. На вкладке Основные сведения сделайте следующее.

   1. Установите Поставщик безопасности на Netskope.
   2. Введите имя политики.
   3. Выберите политику Position.
      • Позиция задает приоритет политики, когда Netskope обрабатывает несколько политик ATP и DLP.
      • Политики ATP и защиты от потери данных Netskope используют общий список упорядочивания. Указанная позиция применяется как к политикам ATP, так и к политикам защиты от потери данных в Netskope. Например, Netskope_ATP_Policy_1 может иметь позицию 1, а затем Netskope_DLP_Policy_1 с позицией 2 и Netskope_ATP_Policy_2 с позицией 3.
      • Если вы назначите позицию, которую уже использует другая политика NETskope ATP или DLP, позиции более низких политик автоматически сдвигаются вниз на один.
   4. Задайте для состояниязначение "Включено".
   5. Нажмите кнопку Далее.

4. На вкладке "Политика":

   1. Выберите ссылку "Выбрать назначение".

   2. Для типа назначения выберите категорию или приложение.

   3. Найдите и выберите нужные категории или приложения. Чтобы определить, какая веб-категория Netskope нужно выбрать, перейдите к поиску классификации URL-адресов Netskope.

   4. Нажмите кнопку "Применить".

   5. Выберите тип действия, который активирует политику: отправка (передача данных от пользователя в Интернет), скачивание (поток данных из Интернета пользователю) или загрузка.

   6. Для действия выберите ссылку "Выбрать действие " и задайте действие для низких, средних и высоких уровней серьезности угроз. Эти параметры определяют, какое действие должен предпринять модуль защиты от угроз для каждой степени серьезности угроз.

   7. Нажмите кнопку "Применить".

   8. Дополнительные параметры позволяют выбрать параметр "Пациент ноль", который сигнализирует подсистеме угроз выполнять дополнительную диагностику по угрозе и блокирует отправку или скачивание пользователя до тех пор, пока подсистема угроз не достигнет вердикта. Эта диагностика может занять до 15 минут.

      Примечание.

      Не устанавливайте флажок "Пациент ноль", если вы не понимаете и не хотите включать функцию. Если включена функция "Пациент ноль," политика применяется только к двоичным и исполняемым типам файлов. Последствия для нулевого пациента:

      • Если тип файла является двоичным и исполняемым, а подсистема угроз Netskope имеет вердикт, подсистема угроз выполняет действие, соответствующее политике.
      • Если тип файла является двоичным и исполняемым, а подсистема угроз Netskope не имеет вердикта, подсистема угроз блокирует действие.
      • Если тип файла не является двоичным и исполняемым, файл не соответствует политике.

   Рекомендации по политике ATP из Netskope см. в разделе часто задаваемых вопросов в этом документе.

5. Нажмите кнопку Далее.

6. Просмотрите сведения и нажмите кнопку "Отправить".

Создание политики предотвращения потери данных

1. Перейдите кполитикам защиты от потери данных>>.
2. Выберите и создайте политики>Netskope.
3. На вкладке "Основные сведения" :
   1. Введите имя и описание (необязательно) для политики.
   2. Выберите политику Position. Позиция задает приоритет политики, когда Netskope обрабатывает несколько политик ATP и DLP.
   3. Установите состояние на Включено.
   4. Нажмите кнопку Далее.
4. На вкладке "Политика":
   1. Выберите ссылку "Выбрать назначения ".
   2. Для типа назначения выберите категории или приложения.
   3. Найдите и выберите нужные категории или приложения.
   4. Нажмите кнопку "Применить".
   5. Выберите тип действия , который должен быть подвержен этой политике. Выберите " Отправить " и "Скачать". Доступные действия зависят от категорий и приложений, которые вы выбираете. Помимо отправки и скачивания Netskope предоставляет подробную поддержку для различных действий для различных приложений и категорий приложений. Эти категории позволяют применять комплексные политики защиты от потери данных для защиты данных в критически важных для бизнеса приложениях и категориях приложений.
   6. Чтобы выбрать и настроить профили защиты от потери данных, выберите ссылку "Выбор профилей ". Вы можете выбрать профили защиты от потери данных, охватывающие предопределенные идентификаторы данных и личные идентификаторы, такие как финансовые данные, медицинские данные, биоданные, неуместные термины и отраслевые ориентированные сведения.
   7. Выберите профили защиты от потери данных, соответствующие требуемым типам данных, и выберите действие для каждого из них. (В целях первоначального тестирования выберите DLP-PCI и DLP-PII.)
   8. Нажмите кнопку "Применить".
   9. При необходимости выберите ссылку "Выбор дополнительных параметров" и выберите "Продолжить оценку политики". Параметр оценки политики "Продолжить" гарантирует, что оценка политики защиты от потери данных не останавливается после сопоставления политики защиты от потери данных. Каждое совпадение DLP вызывает оповещение, и анализ политики продолжается для каждой оставшейся DLP политики. Кроме того, если вы предпочитаете остановить оценку политики после первого соответствия DLP и не продолжать работу с остальными политиками DLP, не выбирайте параметр Продолжить оценку политики.
   10. Нажмите кнопку "Применить".
   11. Нажмите кнопку Далее.
5. Просмотрите сведения и нажмите кнопку "Отправить".

Инструкции по созданию настраиваемых профилей защиты от потери данных см. в разделе "Создание пользовательского профиля защиты от потери данных".

Связывание политики проверки ATP, DLP или TLS с профилем безопасности

Используйте профили безопасности и условный доступ для назначения политик ATP и защиты от потери данных пользователям.

1. Перейдите к Глобальному безопасному доступу>Безопасные>профили безопасности.
2. Выберите профиль безопасности, который требуется изменить.
3. Перейдите в представление политик ссылок .
4. Связывание политики ATP:
   1. Выберите + Связать с политикой>существующей политики защиты от угроз.
   2. В меню "Имя политики" выберите созданную политику защиты от угроз.
   3. Оставьте положение и состояние по умолчанию.
   4. Нажмите кнопку "Добавить".
5. Связывание политики защиты от потери данных:
   1. Выберите + Связать политику>существующую политику Netskope DLP.
   2. В меню "Имя политики" выберите созданную политику защиты от потери данных.
   3. Оставьте положение и состояние по умолчанию.
   4. Нажмите кнопку "Добавить".
6. Привязать политику проверки TLS:
   1. Выберите и добавьте ссылку на политику>существующей политики проверки TLS.
   2. В меню "Имя политики" выберите созданную политику проверки TLS.
   3. Оставьте приоритет и состояние по умолчанию.
   4. Нажмите кнопку "Добавить".
7. Закройте профиль безопасности.

Чтобы предотвратить путаницу между политиками Microsoft и Netskope, политики Netskope включают NS в их список приоритетов. Платформа сначала оценивает политики безопасности Майкрософт. Затем трафик переходит в Netskope, который применяет политики ATP и DLP перед отправкой трафика в место назначения.

Создание политики условного доступа для применения политик проверки ATP, DLP и TLS

Чтобы применить профиль безопасности глобального безопасного доступа и политику проверки TLS, создайте политику условного доступа со следующими сведениями. Дополнительные сведения см. в статье "Создание и связывание политики условного доступа".

Проверка конфигурации

Из-за срока действия токена клиента Global Secure Access изменения в политике профиля безопасности или политике ATP могут занять до одного часа.

Чтобы убедиться, что проверка TLS работает должным образом, отключите поддержку протокола QUIC для браузеров. Чтобы отключить QUIC, см. раздел QUIC не поддерживается для доступа в Интернет. Для получения более подробной информации см. раздел по устранению неполадок Инспекция TLS работает только на некоторых сайтах.

Чтобы проверить параметры конфигурации, выполните следующие действия.

1. Убедитесь, что на клиентском устройстве установлен клиент Глобального безопасного доступа.
2. Убедитесь, что соответствующий профиль безопасности с помощью условного доступа применяется.
3. Перейдите к netskope.com/url-lookup.

Успех: Если вы видите поле поиска и кнопку «Поиск», это значит, что Netskope анализирует ваш трафик и политики действуют.

Сбой. Если появится сообщение, "Поиск URL-адресов доступен только для клиентов Netskope. Используйте метод управления Netskope для доступа к этой службе." Тест завершился сбоем. Ознакомьтесь с разделом "Устранение неполадок ".

Тестирование политик ATP

Чтобы протестировать политики ATP, используйте файл тестового теста для защиты от вредоносных программ в Европейском институте компьютерных антивирусов (EICAR). Для более расширенного тестирования обратитесь к вашим командам безопасности или красным командам. Для теста EICAR:

1. Войдите на тестовое устройство, используя тестового пользователя, указанного в созданной вами политике условного доступа.
2. Скачайте тестовый файл EICAR. Если SmartScreen в Microsoft Defender блокирует скачивание, выберите "Дополнительные действия", а затем нажмите кнопку "Сохранить".
3. Отключите поддержку протокола QUIC для браузеров. Чтобы отключить QUIC, см. раздел QUIC не поддерживается для доступа в Интернет.

Тестирование политик DLP

Чтобы проверить политику DLP:

1. Проверьте профили DLP-PCI и DLP-PII DLP, как показано в разделе "Создание политики защиты от потери данных ".
2. Откройте тестовый файл, содержащий данные PCI и PII, например dlptest.com/sample-data.pdf.
3. Если политика настроена правильно, действие блокируется следующим сообщением:

"Несоответствующее действие. Текущая операция заблокирована ИТ-администратором.

Мониторинг и ведение журнала

Проверьте оповещения, перейдя наГлобальный безопасный доступ>Панель управления.

Оповещения об угрозах

Чтобы просмотреть оповещения об угрозах, перейдите коповещениям>.

Дополнительные отчеты могут быть доступны в зависимости от типа угрозы, например обнаруженных вредоносных программ или предотвращения потери данных. Выберите описание оповещения, чтобы проверить тип оповещения и просмотреть дополнительные сведения.

1. Разверните раздел «Сущности».
2. Перейдите на вкладку хэша файлов .
3. Чтобы скачать отчет STIX о структурированной информации об угрозах, выберите "Скачать отчет об угрозах STIX".
4. Чтобы скачать образы детонации, если они доступны, выберите "Скачать дополнительные сведения о вредоносных программах".
   
5. Чтобы просмотреть URL-адрес угрозы, перейдите на вкладку URL-адреса .

Журналы трафика

Чтобы просмотреть журналы трафика, перейдите в Global Secure Access>Monitor>журналы трафика.

Чтобы показать весь трафик, подлежащий проверке Netskope:

1. Перейдите на вкладку "Транзакции ".
2. Выберите " Добавить фильтр".
3. Найдите фильтр имен поставщиков или прокрутите его.
4. Введите Netskope в поле, чтобы показывать только трафик Netskope.
5. Нажмите кнопку "Применить".
   

В этом примере показано событие, активированное политикой ATP с заблокированным содержимым. Проверьте фильтрациюProfileName и policyName , чтобы определить политики, ответственные за примененное действие.

{
    "action": "Block",
    "agentVersion": "1.7.669",
    "connectionId": "0000000000000000.0.0",
    "createdDateTime": "07/25/2024, 05:00 PM",
    "destinationFQDN": "secure.eicar.org",
    "destinationIp": "172.16.0.0",
    "destinationPort": "0000",
    "destinationWebCategory/displayName": "General,IllegalSoftware",
    "deviceCategory": "Client",
    "deviceId": "00001111-aaaa-2222-bbbb-3333cccc4444",
    "deviceOperatingSystem": "Windows 10 Pro",
    "deviceOperatingSystemVersion": "10.0.19045",
    "filteringProfileId": "11112222-bbbb-3333-cccc-4444dddd5555",
    "filteringProfileName": "ATP Profile",
    "headers/origin": "secure.eicar.org",
    "headers/referrer": "secure.eicar.org/text.html",
    "headers/xForwardedFor": "10.0.0.0",
    "initiatingProcessName": "chrome.exe",
    "networkProtocol": "IPv4",
    "policyId": "22223333-cccc-4444-dddd-5555eeee6666",
    "policyName": "Block Malware",
    "policyRuleId": "33334444-dddd-5555-eeee-6666ffff7777",
    "policyRuleName": "*",
    "receivedBytes": "14.78 KB",
    "resourceTenantId": "",
    "sentBytes": "0 bytes",
    "sessionId": "",
    "sourceIp": "clipped",
    "sourcePort": "00000",
    "tenantId": "44445555-eeee-6666-ffff-7777aaaa8888",
    "trafficType": "Internet",
    "transactionId": "55556666-ffff-7777-aaaa-8888bbbb9999",
    "transportProtocol": "TCP",
    "userId": "66667777-aaaa-8888-bbbb-9999cccc0000",
    "userPrincipalName": "user@contoso.com",
    "vendorNames": "Netskope"
}

Устранение неполадок

Если возникают проблемы с настройкой или использованием интеграции Глобального Безопасного Доступа, Advanced Threat Protection (ATP) и защиты от потери данных (DLP) с Netskope, воспользуйтесь следующими рекомендациями.

Не удается создать политику NETskope ATP или DLP

Проверьте, есть ли у вас активное предложение Netskope.

Я не могу приобрести предложение Netskope, или состояние отображается как неудачное

Чтобы включить проверку TLS, выполните действия, описанные в разделе «Настройка проверки безопасности транспортного уровня».

Я настроил проверку TLS и теперь получаю ошибки при просмотре интернета.

Если вы видите такие ошибки, как "Подключение не закрыто" или другие ошибки сертификата, убедитесь, что

• Вы импортировали сертификат центра сертификации, используемый для подписывания сертификата проверки TLS на устройство.
• Вы разместили сертификат центра сертификации в правильное хранилище сертификатов, доверенные корневые центры сертификации.

Убедитесь, что проверка TLS работает правильно

Чтобы проверить правильность работы проверки TLS, перейдите на веб-сайт, который вы хотите проверить, выберите значок "Просмотр сведений о сайте ", а затем выберите "Подключение безопасно". Щелкните значок "Показать сертификат " и проверьте издателя сертификата — Microsoft Global Secure Access Intermediate. Наличие этого издателя сертификата указывает, что корпорация Майкрософт перехватила сеанс TLS.

Если вы правильно настроили проверку TLS, подождите не менее 10 минут после настройки и по-прежнему не видите сеансы TLS, выданные Microsoft Global Secure Access Intermediate, проверьте конфигурацию файла узла.

Проверка TLS работает только на некоторых сайтах

Клиент Глобального безопасного доступа в настоящее время не перехватывает запросы, использующие протокол QUIC. Клиент Глобального безопасного доступа имеет проверку состояния QUIC в расширенной диагностике>проверке работоспособности. Чтобы отключить QUIC в браузере, см. статью QUIC, не поддерживаемую для Доступа к Интернету.

Проверьте, к какой веб-категории Netskope сопоставляется URL-адрес

Чтобы политики Netskope были заданы для правильных категорий веб-сайтов или приложений, обратитесь к поиску классификации URL-адресов Netskope: www.netskope.com/url-lookup. Чтобы успешно получить доступ к инструменту поиска, запрос должен пройти через прокси-серверы Netskope, для этого необходимо настроить как минимум одну политику Netskope и связать ее с используемым профилем безопасности. Примечание. По умолчанию веб-категории образования, правительства, финансов и здравоохранения и медицины не проверяются.

Проверьте, анализирует ли netskope ATP трафик

Чтобы проверить, анализирует ли подсистема ATP Netskope трафик, проверьте исходящий IP-адрес тестовой машины, перейдя в iplocation.net. Проверьте поле поставщика услуг, чтобы проверить, направляется ли трафик через подсистему ATP Netskope.

Известные ограничения

Известные ограничения расширенной защиты от угроз включают:

• Базовый профиль безопасности не поддерживает применение политик ATP или DLP в этой предварительной версии. Используйте профили безопасности и условный доступ для назначения политик защиты от угроз пользователям.
• Firefox не поддерживается.

Часто задаваемые вопросы (FAQ)

Насколько эффективно Netskope ATP противодействует угрозам?

Netskope ATP предоставляет параметры быстрого сканирования и глубокого сканирования.

• Быстрая проверка — это параметр по умолчанию. Он обеспечивает сканирование в режиме реального времени (T+0) с помощью стандартной защиты от угроз Netskope.
• Функция глубокого сканирования позволяет выполнять более тщательное сканирование на уровне T+1 часа благодаря расширенной защите от угроз Netskope.

Существуют ли какие-либо рекомендуемые политики защиты от угроз?

Да, Netskope рекомендует создавать две политики на основе категорий для защиты от угроз:

Каковы цены на продукты Майкрософт и функциональные возможности Netskope?

Вы можете активировать бесплатную пробную версию или связаться с Netskope для частного предложения. Дополнительные сведения см. в статье "Активация предложения Netskope через Глобальную платформу безопасного доступа".

Какие виды деятельности поддерживают механизмы угроз Netskope?

Подсистемы угроз Netskope поддерживают три действия: отправка, скачивание и обзор.

По умолчанию Netskope сканирует трафик, классифицированный как "Обзор", поэтому вам не нужно настраивать политику. Вы можете настроить "Отправить" и "Скачать" с помощью политик, которые соответствуют вашим требованиям. Дополнительные сведения о веб-действиях и использовании политик Netskope см. в документации Netskope по политикам защиты в режиме реального времени.

Как настроить или изменить профили защиты от потери данных в соответствии с политиками организации?

Инструкции по созданию настраиваемых профилей защиты от потери данных см. в разделе "Создание пользовательского профиля защиты от потери данных".

Дополнительные сведения о Netskope Threat Protection см. в следующих статьях:

• Обзор Защиты от угроз Netskope
• Документация по Netskope Threat Protection
• Защита от потери данных Netskope

Связанный контент

• Сведения о сосуществовании службы безопасности (SSE) с Корпорацией Майкрософт и Netskope
• Настройка проверки безопасности транспортного уровня
• Создание пользовательского профиля защиты от потери данных