Richtlinien und Regeln

In diesem Dokument wird erläutert, wie Sie mit Secure Web Proxy Regeln für Ihren ausgehenden Webtraffic konfigurieren. Sie können anhand verschiedener Kriterien steuern, welcher Traffic zugelassen oder abgelehnt wird, und so sicherstellen, dass nur autorisierter Traffic Ihr Netzwerk verlässt. Secure Web Proxy bietet drei primäre Mechanismen zum Definieren dieser Kontrollen: Autorisierungsrichtlinien, Gateway-Sicherheitsrichtlinien und Richtlinien zur Ratenbegrenzung für Dienste.

Den richtigen Richtlinientyp verwenden

Um den Fluss des ausgehenden Webtraffics zu steuern, müssen Sie jedes Secure Web Proxy-Gateway entweder mit einer Autorisierungsrichtlinie oder einer Gateway-Sicherheitsrichtlinie konfigurieren. Diese beiden Richtlinientypen schließen sich gegenseitig aus. Sie können nicht beide Richtlinientypen an dasselbe Gateway anhängen.

Sie können jedoch eine Richtlinie zur Ratenbegrenzung für Dienstean ein Gateway anhängen, unabhängig davon, ob es eine Autorisierungsrichtlinie oder eine Gateway-Sicherheitsrichtlinie verwendet.

Wählen Sie je nach Ihren Anforderungen zwischen den folgenden beiden primären Sicherheitsrichtlinientypen aus:

  • Autorisierungsrichtlinie: Verwenden Sie diesen Richtlinientyp für Funktionen wie benutzerdefinierte Autorisierungserweiterungen mit Diensterweiterungen oder Frontend-mTLS. Autorisierungsrichtlinien bieten einen flexiblen Rahmen zum Sichern Ihres ausgehenden Traffics. Mit diesen Richtlinien können Sie detaillierte Kontrollen aktivieren, einschließlich identitätsbasierter und inhaltsbasierter Richtlinien, und die Delegierung an externe Autorisierungs-Engines mithilfe von Diensterweiterungen unterstützen.

    Wenn Sie diese Funktionen für eine vorhandene Bereitstellung übernehmen möchten, müssen Sie Ihre Regeln für ausgehenden Traffic aus Ihrer Gateway Sicherheitsrichtlinie in eine Autorisierungsrichtlinie migrieren.

  • Gateway-Sicherheitsrichtlinie: Verwenden Sie diesen Richtlinientyp, wenn Sie entweder eine standardmäßige Filterung auf Verbindungsebene basierend auf der Quellidentität und den Ziel attributen oder URL-Listen in Ihrer Richtlinie benötigen. Gateway-Sicherheitsrichtlinien sind die Grundlage für die Definition von Sicherheitsregeln in Secure Web Proxy. Sie lassen Anfragen basierend auf der Quellidentität, z. B. Dienstkonten oder sicheren Tags, und Zielattributen wie URL-Listen zu oder lehnen sie ab. Gateway-Sicherheitsrichtlinien unterstützen keine Funktionen wie benutzerdefinierte Autorisierungserweiterungen oder Frontend-mTLS.

Zusätzlich zur Auswahl Ihrer primären Sicherheitsrichtlinie können Sie optional den folgenden Richtlinientyp konfigurieren:

  • Richtlinie zur Ratenbegrenzung für Dienste: Verwenden Sie diesen Richtlinientyp, um Traffic zu priorisieren, externe Ziele vor Trafficüberlastungen zu schützen und die Kosten für ausgehenden Webtraffic zu steuern, indem Sie die Anzahl der Anfragen begrenzen. Sie können eine Richtlinie zur Ratenbegrenzung für Dienste an ein Gateway anhängen, unabhängig davon, ob es eine Autorisierungsrichtlinie oder eine Gateway-Sicherheitsrichtlinie verwendet.

Autorisierungsrichtlinien

Autorisierungsrichtlinien ermöglichen Ihnen, identitätsbasierte Zugriffssteuerungsprüfungen einzurichten, wenn ausgehende Anfragen über Secure Web Proxy verarbeitet werden. Sie können Autorisierungsrichtlinien (AuthzPolicy) konfigurieren, um die Identität einer Quellarbeitslast oder eines Agents zu validieren, der auf das Internet zugreift.

Mit einer Autorisierungsrichtlinie können Sie Bedingungen angeben, um die Autorisierung von Anfragen basierend auf Quelle, Ziel und anderen Anfrageattributen zuzulassen, abzulehnen oder zu delegieren. Anfragen, die diese Prüfungen bestehen, werden an das Webziel weitergeleitet. Anfragen, die nicht bestehen, werden mit dem Fehler 403 Forbidden abgelehnt.

Für Secure Web Proxy können Sie Autorisierungsrichtlinien an Ihre Gateway-Ressource anhängen, um den Sicherheitsbereich für Ihren ausgehenden Traffic zu definieren und Autorisierungsrichtlinienregeln in Secure Web Proxy auszuwerten. Außerdem können Sie Secure Web Proxy so konfigurieren, dass Autorisierungsentscheidungen mithilfe von Diensterweiterungen (Autorisierungserweiterungen) an eine externe Autorisierungs-Engine delegiert werden.

Weitere Informationen zum Konfigurieren von Autorisierungsrichtlinien finden Sie unter Autorisierungsrichtlinien für Secure Web Proxy einrichten.

Autorisierungsrichtlinien bieten gegenüber standardmäßigen Gateway-Sicherheitsrichtlinien die folgenden Vorteile:

  • Einheitliche Richtlinienoberfläche: Verwenden Sie die einheitliche AuthzPolicy API, um die Trafficautorisierung für Secure Web Proxy zusammen mit anderen Diensten wie Application Load Balancer und Cloud Service Mesh (CSM) zu verwalten.

  • Unterstützung für Diensterweiterungen: Delegieren Sie Autorisierungsentscheidungen mithilfe von Diensterweiterungen an Ihre benutzerdefinierte Logik. Sie können Autorisierungserweiterungen verwenden, um die Autorisierung auf Anfrageebene (basierend auf Headern, Identität usw.) und die Bereinigung von Inhalten (z. B. Schutz sensibler Daten oder Bedrohungserkennung) durchzuführen.

  • Identitätsorientierte Sicherheit: Autorisierungsrichtlinien unterstützen zwar weiterhin IP-basierte Regeln, bieten aber einen robusteren Sicherheitsstatus, da Sie Kontrollen basierend auf der Identität erzwingen können. Sie können Ihren Sicherheitsbereich mit den Dienstkonten , Tags oder gegenseitigem Frontend- TLS definieren. Sie können Autorisierungsentscheidungen auch mithilfe von Diensterweiterungen an identitätsbasierte Dienste wie Identity-Aware Proxy delegieren.

Gateway-Sicherheitsrichtlinien und -regeln

Eine Gateway-Sicherheits richtlinie ist das wichtigste Sicherheitselement, das die Zugriffssteuerung für den gesamten ausgehenden Webtraffic definiert.

Gateway-Sicherheitsrichtlinien umfassen die folgenden Hauptfunktionen:

  • Richtliniensteuerung: Eine Richtlinie enthält die Gateway-Sicherheitsregeln, mit denen der Proxy eine Webanfrage zulässt oder ablehnt. Sie können eine einzelne Richtlinie erstellen und sie in mehreren Secure Web Proxy-Instanzen wiederverwenden, um Ihre Sicherheitsregeln konsistent und effizient zu halten.

  • Standardmäßig sicher: Gateway-Sicherheitsrichtlinien sind deny-all standardmäßig. Der Proxy blockiert jede HTTP- und HTTPS-Anfrage, bis Sie eine bestimmte Regel erstellen, um sie zuzulassen. So wird von Anfang an eine Zero-Trust-Architektur erzwungen.

  • Richtlinienlogik: Jede Richtlinie basiert auf zwei Hauptprüfungen: Ermitteln der Trafficquelle und Überprüfen des zulässigen Ziels.

Eine Gateway-Sicherheitsregel ist eine Anweisung in einer Gateway-Sicherheitsrichtlinie, die die endgültige Aktion abgleicht und definiert: zulassen oder ablehnen.

Ihre Secure Web Proxy-Instanz wertet Regeln nach Priorität aus, wobei die niedrigste Zahl zuerst geprüft wird. Der Proxy hält an und führt die erste Regel aus, die mit der Anfrage übereinstimmt.

  • Sitzungsabgleich: Prüft grundlegende Informationen zur Netzwerkverbindung, während sie eingerichtet wird. Der Sitzungsabgleich umfasst die folgenden Elemente:

    • Quellidentität (Dienstkonto oder sicheres Tag)
    • Zielhostname (der Domainname)
    • Zielport

  • Anwendungsabgleich: Prüft den Inhalt der tatsächlichen Webanfrage. Er wird in der Regel verwendet, um eine detaillierte Steuerung zu gewährleisten, und erfordert eine TLS-Prüfung, um verschlüsselten Traffic zu prüfen. Der Anwendungsabgleich umfasst die folgenden Elemente:

    • Vollständiger URL-Pfad
    • Anfragemethode, z. B. alle DELETE-Aktionen blockieren
    • Bestimmte HTTP-Header

Richtlinien zur Ratenbegrenzung für Dienste

Richtlinien zur Ratenbegrenzung für Dienste tragen dazu bei, die Resilienz Ihrer Gateways für ausgehenden Webtraffic zu gewährleisten. Während andere Mechanismen zur Trafficverwaltung die Skalierung von Ressourcen priorisieren, wird die Ratenbegrenzung für ressourcenintensive Clients an der Quelle gedrosselt, um die Gateway-Verfügbarkeit zu maximieren.

Secure Web Proxy erzwingt die Ratenbegrenzung für Dienste am Ende des Pfads zur Anfragenverarbeitung, nachdem alle Gateway-Sicherheitsregeln, Autorisierungsprüfungen und Diensterweiterungen erfolgreich abgeschlossen wurden. So wird sichergestellt, dass nur autorisierter und vertrauenswürdiger Traffic Ihr Budget für die Ratenbegrenzung verbraucht.

Weitere Informationen zum Einrichten von Richtlinien zur Ratenbegrenzung finden Sie unter Übersicht zur Ratenbegrenzung für Dienste und Richtlinien zur Ratenbegrenzung für Dienste konfigurieren.

Beschränkungen

Wenn Sie Richtlinien in Secure Web Proxy konfigurieren, gelten die folgenden Einschränkungen:

  • Gateway-Sicherheitsrichtlinien: Diese Richtlinien unterstützen keine Autorisierungserweiterungen. Erweiterte Funktionen wie die Verwendung benutzerdefinierter Logik oder die Delegierung von Autorisierungsentscheidungen an externe Dienste sind nur über Autorisierungsrichtlinien verfügbar.

  • Autorisierungsrichtlinien: Diese Richtlinien unterstützen keine URL-Listen oder den Abgleich regulärer Ausdrücke (Regex) für URL-Strings.

  • Richtlinien zur Ratenbegrenzung für Dienste: Die Ratenbegrenzung gilt nur für Layer 7 Traffic, der mit einer Regel mit einem Anwendungsattribut (ApplicationMatcher) übereinstimmt. Für ausgehenden Webtraffic, der mit einer Regel mit nur einem Sitzungsattribut (SessionMatcher) übereinstimmt, wird keine Ratenbegrenzung angewendet.

Nächste Schritte