Kebijakan dan aturan

Dokumen ini menjelaskan cara mengonfigurasi aturan untuk traffic web keluar Anda dengan Secure Web Proxy. Anda dapat mengontrol traffic mana yang diizinkan atau ditolak berdasarkan berbagai kriteria, sehingga hanya traffic yang sah yang keluar dari jaringan Anda. Secure Web Proxy menyediakan tiga mekanisme utama untuk menentukan kontrol ini: kebijakan otorisasi, kebijakan keamanan gateway, dan kebijakan pembatasan kapasitas layanan.

Menggunakan jenis kebijakan yang sesuai

Untuk mengontrol aliran traffic web keluar, Anda harus mengonfigurasi setiap gateway Secure Web Proxy dengan kebijakan otorisasi atau kebijakan keamanan gateway. Kedua jenis kebijakan ini saling eksklusif; Anda tidak dapat melampirkan kedua jenis kebijakan ke gateway yang sama.

Namun, Anda dapat melampirkan kebijakan pembatasan kapasitas layanan ke gateway, terlepas dari apakah gateway tersebut menggunakan kebijakan otorisasi atau kebijakan keamanan gateway.

Pilih antara dua jenis kebijakan keamanan utama berikut berdasarkan persyaratan Anda:

• Kebijakan otorisasi: gunakan jenis kebijakan ini untuk fitur seperti ekstensi otorisasi kustom menggunakan Service Extensions atau mTLS frontend. Kebijakan otorisasi menyediakan framework yang fleksibel untuk mengamankan traffic keluar Anda. Anda dapat menggunakan kebijakan ini untuk mengaktifkan kontrol terperinci, termasuk kebijakan berbasis identitas dan berbasis konten, serta mendukung delegasi ke mesin otorisasi eksternal menggunakan Ekstensi Layanan.

  Jika ingin menggunakan fitur ini untuk deployment yang ada, Anda harus memigrasikan aturan untuk traffic keluar dari kebijakan keamanan gateway ke kebijakan otorisasi.

  Perhatian: Sebelum memigrasikan aturan, Anda harus memverifikasi bahwa kebijakan otorisasi mendukung semua kriteria pencocokan yang diperlukan. Misalnya, kebijakan otorisasi tidak mendukung daftar URL.

• Kebijakan keamanan gateway: gunakan jenis kebijakan ini jika Anda memerlukan pemfilteran tingkat koneksi standar berdasarkan identitas sumber dan atribut tujuan atau daftar URL dalam kebijakan Anda. Kebijakan keamanan gateway adalah dasar untuk menentukan aturan keamanan di Secure Web Proxy. Aturan ini mengizinkan atau menolak permintaan berdasarkan identitas sumber—seperti akun layanan atau tag aman—dan atribut tujuan, seperti daftar URL. Kebijakan keamanan gateway tidak mendukung penggunaan fitur seperti ekstensi otorisasi kustom atau mTLS frontend.

Selain memilih kebijakan keamanan utama, Anda juga dapat mengonfigurasi jenis kebijakan berikut:

• Kebijakan pembatasan kapasitas layanan: gunakan jenis kebijakan ini untuk memprioritaskan traffic, melindungi tujuan eksternal dari kelebihan beban traffic, dan mengontrol biaya traffic web keluar dengan membatasi jumlah permintaan. Anda dapat melampirkan kebijakan pembatasan kapasitas layanan ke gateway, terlepas dari apakah gateway tersebut menggunakan kebijakan otorisasi atau kebijakan keamanan gateway.

Kebijakan otorisasi

Kebijakan otorisasi memungkinkan Anda membuat pemeriksaan kontrol akses berbasis identitas saat memproses permintaan keluar melalui Secure Web Proxy. Anda dapat mengonfigurasi kebijakan otorisasi (AuthzPolicy) untuk memvalidasi identitas workload atau agen sumber yang mengakses internet.

Catatan: Jika Anda sudah memiliki kebijakan keamanan gateway dengan aturan keamanan yang ada, Anda tidak perlu menghapusnya. Secure Web Proxy mengabaikan aturan ini saat Anda menerapkan kebijakan otorisasi ke instance.

Kebijakan otorisasi memungkinkan Anda menentukan kondisi untuk mengizinkan, menolak, atau mendelegasikan otorisasi permintaan berdasarkan sumber, tujuan, dan atribut permintaan lainnya. Permintaan yang lulus pemeriksaan ini akan diteruskan ke tujuan web. Permintaan yang gagal akan ditolak dengan error 403 Forbidden.

Untuk Secure Web Proxy, Anda dapat melampirkan kebijakan otorisasi ke resource gateway untuk menentukan perimeter keamanan bagi traffic keluar dan mengevaluasi aturan kebijakan otorisasi di Secure Web Proxy. Selain itu, Anda dapat mengonfigurasi Secure Web Proxy untuk mendelegasikan keputusan otorisasi ke mesin otorisasi eksternal menggunakan Service Extensions (ekstensi otorisasi).

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi kebijakan otorisasi, lihat Menyiapkan kebijakan otorisasi untuk Secure Web Proxy.

Kebijakan otorisasi memberikan manfaat berikut dibandingkan dengan kebijakan keamanan gateway standar:

• Permukaan kebijakan yang konsisten: gunakan API AuthzPolicy terpadu untuk mengelola otorisasi traffic untuk Secure Web Proxy bersama dengan layanan lain seperti Load Balancer Aplikasi dan Cloud Service Mesh (CSM).

• Dukungan Service Extensions: gunakan Service Extensions untuk mendelegasikan keputusan otorisasi ke logika kustom Anda. Anda dapat menggunakan ekstensi otorisasi untuk melakukan otorisasi tingkat permintaan (berdasarkan header, identitas, dan lainnya) dan pembersihan konten (seperti perlindungan data sensitif atau deteksi ancaman).

• Keamanan yang berfokus pada identitas: meskipun masih mendukung aturan berbasis IP, kebijakan otorisasi memberikan postur keamanan yang lebih kuat dengan memungkinkan Anda menerapkan kontrol berdasarkan identitas. Anda dapat menentukan perimeter keamanan menggunakan akun layanan, tag, atau mutual TLS frontend. Anda juga dapat menggunakan Service Extensions untuk mendelegasikan keputusan otorisasi ke layanan berbasis identitas seperti Identity-Aware Proxy.

Aturan dan kebijakan keamanan gateway

Kebijakan keamanan gateway adalah item keamanan inti yang menentukan kontrol akses untuk semua traffic web keluar.

Kebijakan keamanan gateway mencakup fitur utama berikut:

• Kontrol kebijakan: kebijakan berisi aturan keamanan gateway yang digunakan proxy untuk mengizinkan atau menolak permintaan web. Anda dapat membuat satu kebijakan dan menggunakannya kembali di beberapa instance Secure Web Proxy untuk menjaga aturan keamanan Anda tetap konsisten dan efisien.

• Aman secara default: kebijakan keamanan gateway deny-all secara default. Proxy memblokir setiap permintaan HTTP dan HTTPS hingga Anda membuat aturan khusus untuk mengizinkannya. Hal ini menerapkan arsitektur zero-trust sejak awal.

• Logika kebijakan: setiap kebijakan dibangun berdasarkan dua pemeriksaan inti: menentukan sumber traffic dan memverifikasi tujuan yang diizinkan.

Catatan: Untuk mengetahui informasi tentang kuota dan batas sistem yang berlaku untuk kebijakan Secure Web Proxy, lihat Kuota dan batas.

Aturan keamanan gateway adalah petunjuk dalam kebijakan keamanan gateway yang mencocokkan dan menentukan tindakan akhir: izinkan atau tolak.

Instance Secure Web Proxy Anda mengevaluasi aturan berdasarkan prioritas, dengan angka terendah diperiksa terlebih dahulu. Proxy akan berhenti dan bertindak berdasarkan aturan pertama yang cocok dengan permintaan.

• Session Matcher: memeriksa informasi dasar tentang koneksi jaringan saat koneksi tersebut disiapkan. Pencocok Sesi mencakup item berikut:

  • Identitas sumber (akun layanan atau tag aman)
  • Nama host tujuan (nama domain)
  • Port tujuan

• Pencocok Aplikasi (Application Matcher): memeriksa konten permintaan web sebenarnya. Biasanya, ini digunakan untuk memastikan kontrol terperinci dan memerlukan pemeriksaan TLS untuk memeriksa traffic terenkripsi. Pencocok Aplikasi mencakup item berikut:

  • Jalur URL lengkap
  • Metode permintaan—misalnya, memblokir semua tindakan DELETE
  • Header HTTP tertentu

Catatan: Untuk menganalisis atribut permintaan seperti metode atau header HTTP, aktifkan pemeriksaan TLS. Jika inspeksi TLS aktif, gunakan kebijakan otorisasi, bukan aturan gateway standar, untuk mendapatkan kontrol yang lebih baik atas kontrol identitas dan konten untuk traffic yang didekripsi.

Kebijakan pembatasan kapasitas layanan

Pratinjau

Produk atau fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum di Persyaratan Khusus Layanan. Produk dan fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Kebijakan pembatasan kapasitas layanan membantu menjaga gateway traffic web keluar Anda tetap tangguh. Meskipun mekanisme pengelolaan traffic lainnya memprioritaskan penskalaan resource, pembatasan kapasitas akan membatasi klien yang menggunakan banyak resource di sumbernya untuk memaksimalkan ketersediaan gateway.

Secure Web Proxy menerapkan pembatasan kapasitas layanan di akhir jalur pemrosesan permintaan, setelah semua aturan keamanan gateway, pemeriksaan otorisasi, dan Service Extensions berhasil diselesaikan. Hal ini membantu memastikan hanya traffic yang sah dan tepercaya yang menggunakan anggaran pembatasan kapasitas Anda.

Catatan: Pembatasan frekuensi layanan hanya berlaku untuk traffic Layer 7 yang cocok dengan aturan Secure Web Proxy dengan atribut aplikasi (ApplicationMatcher). Traffic web keluar yang cocok dengan aturan yang hanya memiliki atribut sesi (SessionMatcher) tidak tunduk pada pembatasan frekuensi.

Untuk mengetahui informasi selengkapnya tentang cara menyiapkan kebijakan pembatasan kapasitas, lihat Ringkasan pembatasan kapasitas layanan dan Mengonfigurasi kebijakan pembatasan kapasitas layanan.

Batasan

Saat Anda mengonfigurasi kebijakan di Secure Web Proxy, batasan berikut berlaku:

• Kebijakan keamanan gateway: kebijakan ini tidak mendukung ekstensi otorisasi. Kemampuan lanjutan seperti menggunakan logika kustom atau mendelegasikan keputusan otorisasi ke layanan eksternal hanya tersedia melalui kebijakan otorisasi.

• Kebijakan otorisasi: kebijakan ini tidak mendukung daftar URL atau pencocokan ekspresi reguler (regex) untuk string URL.

• Kebijakan pembatasan kapasitas layanan: pembatasan kapasitas hanya berlaku untuk traffic Layer 7 yang cocok dengan aturan dengan atribut aplikasi (ApplicationMatcher). Untuk traffic web keluar yang cocok dengan aturan yang hanya memiliki atribut sesi (SessionMatcher), pembatasan kapasitas tidak diterapkan.

Langkah berikutnya

• Menyiapkan kebijakan otorisasi untuk Secure Web Proxy
• Mengonfigurasi kebijakan pembatasan kapasitas layanan
• Kebijakan keamanan gateway
• Aturan keamanan gateway