Políticas e regras

Este documento explica como configurar regras para o tráfego da Web de saída com o Secure Web Proxy. É possível controlar qual tráfego é permitido ou negado com base em vários critérios, garantindo que apenas o tráfego autorizado saia da sua rede. O Secure Web Proxy oferece três mecanismos principais para definir esses controles: políticas de autorização, políticas de segurança de gateway, e políticas de limitação de taxa de serviço.

Usar o tipo de política adequado

Para controlar o fluxo de tráfego da web de saída, é necessário configurar cada gateway do Secure Web Proxy com uma política de autorização ou uma política de segurança de gateway. Esses dois tipos de política são mutuamente exclusivos. Não é possível anexar os dois tipos de políticas ao mesmo gateway.

No entanto, é possível anexar uma política de limitação de taxa de serviço a um gateway, independentemente de ele usar uma política de autorização ou uma política de segurança de gateway.

Escolha entre os dois tipos principais de política de segurança com base nos seus requisitos:

  • Política de autorização: use esse tipo de política para recursos como extensões de autorização personalizadas usando extensões de serviço ou mTLS de front-end. As políticas de autorização fornecem uma estrutura flexível para proteger o tráfego de saída. É possível usar essas políticas para ativar controles detalhados, incluindo políticas baseadas em identidade e conteúdo, e oferecer suporte à delegação para mecanismos de autorização externos usando extensões de serviço.

    Se você quiser adotar esses recursos para uma implantação atual, migre as regras de tráfego de saída da política de segurança do gateway para uma política de autorização.

  • Política de segurança do gateway: use esse tipo de política se precisar de filtragem padrão no nível da conexão com base na identidade de origem e nos atributos de destino ou listas de URLs na política. As políticas de segurança do gateway são a base para definir regras de segurança no Secure Web Proxy. Elas permitem ou negam solicitações com base na identidade de origem, como contas de serviço ou tags seguras—e nos atributos de destino, como listas de URLs. As políticas de segurança do gateway não oferecem suporte ao uso de recursos como extensões de autorização personalizadas ou mTLS de front-end.

Além de escolher a política de segurança principal, você pode configurar opcionalmente o seguinte tipo de política:

  • Política de limitação de taxa de serviço: use esse tipo de política para priorizar o tráfego, proteger destinos externos contra sobrecargas de tráfego e controlar os custos do tráfego da Web de saída, limitando as contagens de solicitações. É possível anexar uma política de limitação de taxa de serviço a um gateway, independentemente de ele usar uma política de autorização ou uma política de segurança de gateway.

Políticas de autorização

As políticas de autorização permitem estabelecer verificações de controle de acesso baseadas em identidade ao processar solicitações de saída pelo Secure Web Proxy. É possível configurar políticas de autorização (AuthzPolicy) para validar a identidade de uma carga de trabalho ou agente de origem que acessa a Internet.

Uma política de autorização permite especificar condições para permitir, negar ou delegar a autorização de solicitação com base na origem, no destino e em outros atributos de solicitação. As solicitações que passam nessas verificações são encaminhadas para o destino da Web. As solicitações com falha são rejeitadas com um erro 403 Forbidden.

Para o Secure Web Proxy, é possível anexar políticas de autorização ao recurso de gateway para definir o perímetro de segurança do tráfego de saída e avaliar as regras de política de autorização no Secure Web Proxy. Além disso, é possível configurar o Secure Web Proxy para delegar decisões de autorização a um mecanismo de autorização externo usando extensões de serviço (extensões de autorização).

Para mais informações sobre como configurar políticas de autorização, consulte Configurar políticas de autorização para o Secure Web Proxy.

As políticas de autorização oferecem os seguintes benefícios em relação às políticas de segurança de gateway padrão :

  • Superfície de política consistente: use a API AuthzPolicy unificada para gerenciar a autorização de tráfego para o Secure Web Proxy, além de outros serviços, como o Balanceador de Carga de Aplicativo e o Cloud Service Mesh (CSM).

  • Suporte a extensões de serviço: use extensões de serviço para delegar decisões de autorização à sua lógica personalizada. É possível usar extensões de autorização para realizar a autorização no nível da solicitação (com base em cabeçalhos, identidade e muito mais) e a higienização de conteúdo (como proteção de dados sensíveis ou detecção de ameaças).

  • Segurança centrada na identidade: embora ainda ofereçam suporte a regras baseadas em IP, as políticas de autorização proporcionam uma postura de segurança mais robusta, permitindo que você aplique controles com base na identidade. É possível definir o perímetro de segurança usando contas deserviço, tags ou TLS mútuo de front-end. Também é possível usar extensões de serviço para delegar decisões de autorização a serviços baseados em identidade, como o Identity-Aware Proxy.

Políticas e regras de segurança do gateway

Uma política de segurança de gateway é o item de segurança principal que define os controles de acesso para todo o tráfego da web de saída.

As políticas de segurança do gateway incluem os seguintes recursos principais:

  • Controle de políticas: uma política contém as regras de segurança do gateway que o proxy usa para permitir ou negar uma solicitação da Web. É possível criar uma única política e reutilizá-la em várias instâncias do Secure Web Proxy para manter as regras de segurança consistentes e eficientes.

  • Segurança por padrão: as políticas de segurança do gateway são deny-all por padrão. O proxy bloqueia todas as solicitações HTTP e HTTPS até que você crie uma regra específica para permiti-las. Isso impõe uma arquitetura de confiança zero desde o início.

  • Lógica de política: cada política é criada em duas verificações principais: determinar a origem do tráfego e verificar o destino permitido.

Uma regra de segurança de gateway é uma instrução em uma política de segurança de gateway que corresponde e define a ação final: permitir ou negar.

A instância do Secure Web Proxy avalia as regras com base na prioridade, com o menor número verificado primeiro. O proxy para e age na primeira regra que corresponde à solicitação.

  • Session Matcher: verifica informações básicas sobre a conexão de rede à medida que ela é configurada. O Session Matcher inclui os seguintes itens:

    • Identidade de origem (conta de serviço ou tag segura)
    • Nome do host de destino (o nome de domínio)
    • Porta de destino

  • Application Matcher: inspeciona o conteúdo da solicitação da Web real. Geralmente, ele é usado para garantir o controle granular e exige inspeção de TLS para verificar o tráfego criptografado. O Application Matcher inclui os seguintes itens:

    • Caminho completo do URL
    • Método de solicitação, por exemplo, bloquear todas as ações DELETE
    • Cabeçalhos HTTP específicos

Políticas de limitação de taxa de serviço

As políticas de limitação de taxa de serviço ajudam a manter a resiliência dos gateways de tráfego da web de saída. Embora outros mecanismos de gerenciamento de tráfego priorizem o escalonamento de recursos, a limitação de taxa restringe os clientes com uso intensivo de recursos na origem para maximizar a disponibilidade do gateway.

O Secure Web Proxy aplica a limitação de taxa de serviço no final do caminho de processamento de solicitações, depois que todas as regras de segurança do gateway, verificações de autorização e extensões de serviço são concluídas. Isso garante que apenas o tráfego autorizado e confiável consuma o orçamento de limite de taxa.

Para mais informações sobre como configurar políticas de limitação de taxa, consulte Visão geral da limitação de taxa de serviço e Configurar políticas de limitação de taxa de serviço.

Limitações

Ao configurar políticas no Secure Web Proxy, as seguintes limitações se aplicam:

  • Políticas de segurança do gateway: essas políticas não oferecem suporte a extensões de autorização. Recursos avançados, como o uso de lógica personalizada ou a delegação de decisões de autorização a serviços externos, estão disponíveis apenas por políticas de autorização.

  • Políticas de autorização: essas políticas não oferecem suporte a listas de URLs ou correspondência de expressões regulares (regex) para strings de URL.

  • Políticas de limitação de taxa de serviço: a limitação de taxa se aplica apenas ao tráfego da camada 7 que corresponde a uma regra com um atributo de aplicativo (ApplicationMatcher). Para o tráfego da Web de saída que corresponde a uma regra com apenas um atributo de sessão (SessionMatcher), a limitação de taxa não é aplicada.

A seguir