Documentation Produit
ADC
14.1 - Current Release 13.1 13.0 12.1

Cas d’utilisation : rendre l’accès Internet d’entreprise conforme et sécurisé

March 17, 2024
Contributeur: 
C

Le directeur de la sécurité réseau d’une organisation financière souhaite protéger le réseau de l’entreprise contre toute menace externe provenant du Web sous forme de logiciels malveillants. Pour ce faire, le directeur doit gagner en visibilité sur le trafic chiffré autrement contourné et contrôler l’accès aux sites Web malveillants. Le directeur doit effectuer les opérations suivantes :

  • Interceptez et examinez tout le trafic, y compris SSL/TLS (trafic chiffré), entrant et sortant du réseau d’entreprise.
  • Contournez l’interception des demandes vers des sites Web contenant des informations sensibles, telles que des informations financières des utilisateurs ou des courriels.
  • Bloquez l’accès aux URL nuisibles identifiées comme diffusant du contenu nuisible ou réservé aux adultes.
  • Identifiez les utilisateurs finaux (employés) de l’entreprise qui accèdent à des sites Web malveillants et bloquez l’accès à Internet de ces utilisateurs ou bloquez les URL nuisibles.

Pour réaliser tout ce qui précède, le directeur peut configurer un serveur proxy. Le serveur proxy intercepte tout le trafic chiffré et non chiffré passant par le réseau de l’entreprise. Il demande l’authentification de l’utilisateur et associe le trafic à un utilisateur. Les catégories d’URL peuvent être spécifiées pour bloquer l’accès aux sites Web illégaux/nuisibles, adultes, logiciels malveillants et SPAM.

Configurez les entités suivantes :

  • Serveur de noms DNS pour résoudre les noms d’hôtes.
  • Adresse IP du sous-réseau (SNIP) pour établir une connexion avec les serveurs d’origine. L’adresse SNIP doit disposer d’un accès Internet.
  • Serveur proxy en mode explicite pour intercepter tout le trafic HTTP et HTTPS sortant.
  • Profil SSL pour définir les paramètres SSL, tels que les chiffrements et les paramètres, pour les connexions.
  • Paire de clés de certificat d’autorité de certification pour signer le certificat de serveur pour l’interception SSL.
  • Stratégie SSL pour définir les sites Web à intercepter et à contourner.
  • Serveur virtuel d’authentification, stratégie et action pour garantir que seuls les utilisateurs valides sont autorisés à y accéder.
  • Collecteur AppFlow pour envoyer des données à NetScaler Application Delivery Management (ADM).

Les procédures CLI et GUI sont répertoriées pour cet exemple de configuration. Les valeurs d’exemple suivantes sont utilisées. Remplacez-les par des données valides pour les adresses IP, le certificat et la clé SSL et les paramètres LDAP.

Nom Valeurs utilisées dans l’exemple de configuration
Adresse NSIP 192.0.2.5
Adresse IP du sous-réseau 198.51.100.5
Adresse IP du serveur virtuel LDAP 192.0.2.116
Adresse IP du serveur de noms DNS 203.0.113.2
Adresse IP du serveur proxy 192.0.2.100
Adresse IP MAS 192.0.2.41
Certificat d’autorité de certification pour l’interception SSL ns-swg-ca-certkey (certificat : ns_swg_ca.crt et clé : ns_swg_ca.key)
DN de base LDAP CN = utilisateurs, DC = CTXNSSFB, DC = COM
DN de liaison LDAP CN = administrateur, CN = utilisateurs, DC = CTXNSSFB, DC = COM
Mot de passe DN de liaison LDAP zzzzz

Utilisation de l’assistant proxy de transfert SSL pour configurer l’interception et l’examen du trafic vers et depuis le réseau d’entreprise

La création d’une configuration permettant d’intercepter et d’examiner le trafic chiffré en plus de l’autre trafic à destination et en provenance d’un réseau nécessite la configuration des paramètres proxy, d’interception SSL, d’authentification des utilisateurs et de filtrage d’URL. Les procédures suivantes incluent des exemples de valeurs saisies.

Configurer les paramètres du proxy

  1. Accédez à Sécurité > Proxy de transfert SSL> Assistant de transfert de proxySSL.

  2. Cliquez sur Commencer, puis cliquez sur Continuer.

  3. Dans la boîte de dialogue Paramètres du proxy, saisissez un nom pour le serveur proxy explicite.

  4. Pour le mode Capture, sélectionnez Explicite.

  5. Entrez une adresse IP et un numéro de port.

    Proxy explicite

  6. Cliquez sur Continuer.

Configurez les paramètres d’interception SSL

  1. Sélectionnez Activer l’interception SSL.

    Interception SSL

  2. Dans Profil SSL, cliquez sur « + » pour ajouter un nouveau profil SSL frontal et activer l’ interception des sessions SSL dans ce profil.

    Profil SSL

  3. Cliquez sur OK, puis sur Terminé.

  4. Dans Select SSL interception CA Certificate-Key Pair, cliquez sur « + » pour installer une paire de clés de certificat CA pour l’interception SSL.

    Paire de clés de certificat d'interception SSL

  5. Cliquez sur Installer, puis sur Fermer.

  6. Ajoutez une stratégie pour intercepter tout le trafic. Cliquez sur Liaison, puis cliquez sur Ajouter.

    Ajouter une stratégie SSL

  7. Entrez le nom de la stratégie et sélectionnez Avancé. Dans l’éditeur d’expressions, saisissez true.

  8. Pour Action, sélectionnez INTERCEPTER.

    Stratégie SSL true

  9. Cliquez sur Créer, puis sur Ajouter pour ajouter une autre stratégie afin de contourner les informations sensibles.

  10. Entrez le nom de la stratégie et, dans Catégories d’URL, cliquez sur Ajouter.

  11. Sélectionnez les catégories Finance et Email et déplacez-les vers la liste Configuré.

  12. Pour Action, sélectionnez CONTOURNER.

    Contournement de la stratégie d'interception SSL

  13. Cliquez sur Créer.

  14. Sélectionnez les deux stratégies créées précédemment, puis cliquez sur Insérer.

    Stratégies SSL

  15. Cliquez sur Continuer.

    Stratégies SSL

Configurez les paramètres d’authentification des utilisateurs

  1. Sélectionnez Activer l’authentification des utilisateurs. Dans le champ Type d’authentification, sélectionnez LDAP.

    Authentification utilisateur

  2. Ajoutez des détails sur le serveur LDAP.

    Détails du serveur LDAP

  3. Cliquez sur Créer.

  4. Cliquez sur Continuer.

Configuration des paramètres de filtrage d’URL

  1. Sélectionnez Activer la catégorisation des URL, puis cliquez sur Liaison.

    Catégorisation des URL

  2. Cliquez sur Ajouter.

    Ajouter une stratégie de catégorisation des URL

  3. Entrez un nom pour la stratégie. Pour Action, sélectionnez Refuser. Pour Catégories d’URL, sélectionnez Illegal/Harmful, Adulteet Malware et SPAM, puis déplacez-les vers la liste Configuré.

    Stratégie de catégorisation des URL

  4. Cliquez sur Créer.

  5. Sélectionnez la stratégie, puis cliquez sur Insérer.

    Stratégie de catégorisation d'URL d'insertion

  6. Cliquez sur Continuer.

    Catégorisation des URL

  7. Cliquez sur Continuer.

  8. Cliquez sur Activer Analytics.

  9. Entrez l’adresse IP de la console NetScaler et, pourPort, spécifiez 5557.

    Activer l'analyse

  10. Cliquez sur Continuer.

  11. Cliquez sur Terminé.

    Écran final de l'assistant

Utilisez la console NetScaler pour afficher les indicateurs clés pour les utilisateurs et déterminer les éléments suivants :

  • Le comportement de navigation des utilisateurs de votre entreprise.
  • Catégories d’URL auxquelles les utilisateurs de votre entreprise accèdent.
  • Navigateurs utilisés pour accéder aux URL ou aux domaines.

Utilisez ces informations pour déterminer si le système de l’utilisateur est infecté par un logiciel malveillant ou pour comprendre le modèle de consommation de bande passante de l’utilisateur. Vous pouvez affiner les stratégies de votre appliance Citrix SWG pour restreindre ces utilisateurs ou bloquer d’autres sites Web. Pour plus d’informations sur l’affichage des mesures sur MAS, consultez le cas d’utilisation « Inspection des points de terminaison » dans les cas d’utilisation ADM.

Remarque

Définissez les paramètres suivants à l’aide de l’interface de ligne de commande.

set syslogparams -sslInterception ENABLED

set cacheparameter -memLimit 100

set appflow param -AAAUserName ENABLED
<!--NeedCopy-->

Exemple CLI

L’exemple suivant inclut toutes les commandes utilisées pour configurer l’interception et l’examen du trafic à destination et en provenance du réseau d’entreprise.

Configuration générale :

    add ns ip 192.0.2.5 255.255.255.0

    add ns ip 198.51.100.5 255.255.255.0 -type SNIP

    add dns nameServer 203.0.113.2

    add ssl certKey ns-swg-ca-certkey -cert ns_swg_ca.crt -key ns_swg_ca.key

    set syslogparams -sslInterception ENABLED

    set cacheparameter -memLimit 100

    set appflow param -AAAUserName ENABLED
<!--NeedCopy-->

Configuration de l’authentification :

add authentication vserver explicit-auth-vs SSL

bind ssl vserver explicit-auth-vs -certkeyName ns-swg-ca-certkey

add authentication ldapAction swg-auth-action-explicit -serverIP 192.0.2.116 -ldapBase "CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDn "CN=Administrator,CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDnPassword zzzzzz -ldapLoginName sAMAccountName

add authenticationpolicy swg-auth-policy -rule true -action swg-auth-action-explicit

bind authentication vserver explicit-auth-vs -policy swg-auth-policy -priority 1
<!--NeedCopy-->

Configuration du serveur proxy et de l’interception SSL :

add cs vserver explicitswg PROXY 192.0.2.100 80 –Authn401 ENABLED –authnVsName explicit-auth-vs

set ssl parameter -defaultProfile ENABLED

add ssl profile swg_profile -sslInterception ENABLED

bind ssl profile swg_profile -ssliCACertkey ns-swg-ca-certkey

set ssl vserver explicitswg -sslProfile swg_profile

add ssl policy ssli-pol_ssli -rule true -action INTERCEPT

bind ssl vserver explicitswg -policyName ssli-pol_ssli -priority 100 -type INTERCEPT_REQ
<!--NeedCopy-->

Configuration des catégories d’URL :

add ssl policy cat_pol1_ssli -rule "client.ssl.client_hello.SNI.URL_CATEGORIZE(0,0).GROUP.EQ("Finance") || client.ssl.client_hello.SNI.URL_CATEGORIZE(0,0).GROUP.EQ("Email")" -action BYPASS

bind ssl vserver explicitswg -policyName cat_pol1_ssli -priority 10 -type INTERCEPT_REQ

add ssl policy cat_pol2_ssli -rule "client.ssl.client_hello.sni.url_categorize(0,0).GROUP.EQ("Adult") || client.ssl.client_hello.sni.url_categorize(0,0).GROUP.EQ("Malware and SPAM") || client.ssl.client_hello.SNI.URL_CATEGORIZE(0,0).GROUP.EQ("Illegal/Harmful")" -action RESET

bind ssl vserver explicitswg -policyName cat_pol2_ssli -priority 20 -type INTERCEPT_REQ
<!--NeedCopy-->

Configuration AppFlow pour extraire des données dans la console NetScaler:

add appflow collector _swg_testswg_apfw_cl -IPAddress 192.0.2.41 -port 5557 -Transport logstream

set appflow param -templateRefresh 60 -httpUrl ENABLED -AAAUserName ENABLED -httpCookie ENABLED -httpReferer ENABLED -httpMethod ENABLED -httpHost ENABLED -httpUserAgent ENABLED -httpContentType ENABLED -httpVia ENABLED -httpLocation ENABLED -httpDomain ENABLED -cacheInsight ENABLED -urlCategory ENABLED

add appflow action _swg_testswg_apfw_act -collectors _swg_testswg_apfw_cl -distributionAlgorithm ENABLED

add appflow policy _swg_testswg_apfw_pol true _swg_testswg_apfw_act

bind cs vserver explicitswg -policyName _swg_testswg_apfw_pol -priority 1
<!--NeedCopy-->
Cas d’utilisation : rendre l’accès Internet d’entreprise conforme et sécurisé
March 17, 2024
Contributeur: 
C
March 17, 2024
Contributeur: 
C

Dans cet article

Commentaires sur le site | Your privacy choices footer linkVos préférences de confidentialité | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.