Gestion de l’accès aux applications Web

Cette rubrique contient les sections suivantes :

Survol de la gestion de l’accès aux applications Web

Le moteur Application Visibility and Control (AVC) vous permet de créer des politiques pour contrôler l’activité des applications sur le réseau sans avoir à cerner parfaitement la technologie sous-jacente de chaque application. Vous pouvez configurer les paramètres de contrôle des applications dans les groupes de politiques d’accès. Vous pouvez bloquer ou autoriser les applications individuellement ou en fonction du type d’application. Vous pouvez également appliquer des contrôles à des types d’applications particuliers.

Les politiques d’accès vous permettent de :

  • Contrôler les comportements des applications.

  • Contrôler la quantité de bande passante utilisée pour des types d’applications particuliers

  • Informer les utilisateurs finaux lorsqu’ils sont bloqués

  • Affecter des contrôles aux applications de messagerie instantanée, de blogue et de réseaux sociaux

  • Indiquer les paramètres de demande de plage

Pour contrôler les applications à l’aide du moteur AVC , effectuez les tâches suivantes :

Tâche

Lien vers la tâche

Activer le moteur AVC

Activation du moteur AVC

Définir les contrôles dans un groupe de politiques d’accès

Configuration des paramètres de contrôle des applications dans un groupe de politiques d’accès

Limiter la bande passante utilisée par certains types d’applications pour contrôler la congestion

Contrôle de la bande passante

Autoriser le trafic de messagerie instantanée, mais interdire le partage de fichiers à l’aide de la messagerie instantanée

Contrôle du trafic de la messagerie instantanée

Activation du moteur AVC

Activez le moteur AVC lorsque vous activez les contrôles d’utilisation acceptable.


Note
Vous pouvez consulter l’activité d’analyse du moteur AVC dans le rapport de visibilité des applications sur la page Reporting > Application Visibility (Création de rapports > Visibilité des applications).

Procedure

Step 1

Choisissez Security Services > Acceptable Use Controls (Services de sécurité > Contrôles d’utilisation acceptable).

Step 2

Cliquez sur Enable (Activer) ou Edit Global Settings (Modifier les paramètres globaux), selon l’état actuel des contrôles d’utilisation acceptable.

Step 3

Assurez-vous que la case Enable Cisco Web Usage Controls (Activer Cisco Web Usage Controls) est cochée.

Step 4

Dans le volet Acceptable Use Controls Service (Service de contrôles d’utilisation acceptable), sélectionnez Cisco Web Usage Controls, puis sélectionnez Enable Application Visibility and Control (Activer Application Visibility and Control).

Step 5

Sélectionnez l’action par défaut pour le service inaccessible : Monitor (Superviser) ou Block (Bloquer).

Step 6

Envoyez et validez les modifications.

What to do next

Thèmes connexes

Mises à jour du moteur AVC et actions par défaut

AsyncOS interroge périodiquement les serveurs de mise à jour pour connaître de nouvelles mises à jour pour tous les composants des services de sécurité, y compris le moteur AVC. Les mises à jour du moteur AVC peuvent inclure la prise en charge de nouveaux types d’applications et d’applications, ainsi que la mise à jour de la prise en charge des applications existantes si le comportement des applications change. En mettant à jour le moteur AVC entre les mises à jour de version AsyncOS, Secure Web Appliance reste flexible sans nécessiter de mise à niveau du serveur.

AsyncOS pour le Web attribue les actions par défaut suivantes à la politique d’accès globale :

  • Par défaut, les nouveaux types d’applications sont Monitor (Superviser).

  • nouveaux comportements d’applications, comme le transfert de blocage de fichiers au sein d’une application particulière; la valeur par défaut est Moniteur.

  • Les nouvelles applications pour un type d’application existant par défaut au type d’application par défaut.


Note
Dans la politique d’accès globale, vous pouvez définir l’action par défaut pour chaque type d’application, de sorte que les nouvelles applications introduites dans une mise à jour de moteur AVC héritent automatiquement de l’action par défaut spécifiée. Consultez Configuration des paramètres de contrôle des applications dans un groupe de politiques d’accès.

Expérience de l’utilisateur lorsque les demandes sont bloquées par le moteur AVC

Lorsque le moteur AVC bloque une transaction, le proxy Web envoie une page de blocage à l’utilisateur final. Cependant, tous les sites Web n’affichent pas la page de blocage à l’utilisateur final; de nombreux sites Web affichent du contenu dynamique en utilisant JavaScript au lieu d’une page Web statique et il est peu probable qu’ils affichent la page de blocage. Les utilisateurs ne peuvent toujours pas télécharger correctement des données malveillantes, mais ils ne sont pas toujours informés par le site Web.


Note

Lorsque le proxy HTTPS est désactivé et Webroot est :

  • Activé : le moteur AVC peut être lancé ou non et renvoyer le verdict. La transaction sera traitée selon le verdict de l’analyseur.

  • Désactivé : le moteur AVC sera lancé et renverra le verdict. La transaction sera traitée conformément au verdict de Cisco AVC.

Paramètres de contrôle d’application des politiques

Le contrôle des applications nécessite la configuration des éléments suivants :

Option

Description

Types d’applications

Catégorie qui contient une ou plusieurs applications.

Applications

Applications particulières dans un Type d’application.

Comportements des applications

Actions ou comportements particuliers que les utilisateurs peuvent effectuer dans une application et que les administrateurs peuvent contrôler. Toutes les applications n’incluent pas des comportements que vous pouvez configurer.

Vous pouvez configurer les paramètres de contrôle des applications dans les groupes de politiques d’accès. Dans la page Web Security Manager > Access Policies (Web Security Manager > Politiques d’accès), cliquez sur le lien Applications du groupe de politiques que vous souhaitez configurer. Lors de la configuration des applications, vous pouvez choisir les actions suivantes :

Option

Description

Block (Bloquer)

Cette action est une action finale. Les utilisateurs ne peuvent pas afficher une page Web et une page de notification de l’utilisateur final s’affiche à la place

Monitor (Surperviser)

Cette action est une action intermédiaire. Le proxy Web continue de comparer la transaction aux autres paramètres de contrôle pour déterminer l’action finale à appliquer

Restrict (Limiter)

Cette action indique qu’un comportement d’application est bloqué. Par exemple, lorsque vous bloquez les transferts de fichiers pour une application de messagerie instantanée particulière, l’action pour cette application est Restreindre.

Bandwidth Limit (Limite de bande passante)

Pour certaines applications, comme Media et Facebook, vous pouvez limiter la bande passante disponible pour le trafic Web. Vous pouvez limiter la bande passante pour l’application elle-même et pour ses utilisateurs.

Thèmes connexes

Paramètres des demandes de plages

Lorsque les demandes de plage HTTP sont désactivées et qu’un fichier volumineux est téléchargé sur plusieurs flux, le package consolidé est analysé. Cela annule les avantages en termes de performance des utilitaires et des applications de gestion des téléchargements utilisés pour télécharger les objets volumineux.

Par ailleurs, lorsque l’option Range Request Forwarding (Transfert des demandes de plage) est activée (voir Configuration des paramètres du proxy Web), vous pouvez contrôler la façon dont les demandes de plage entrantes sont traitées pour chaque politique. Ce processus, appelé « service d’octets », permet d’optimiser la bande passante en cas de demandes de fichiers volumineux.

Cependant, l’activation du transfert des demandes de plage peut interférer avec l’efficacité du moteur Application Visibility and Control (AVC) selon les politiques et peut compromettre la sécurité. Veuillez faire preuve de prudence et activer le transfert des demandes de plage HTTP uniquement si les avantages l’emportent sur les conséquences pour la sécurité.


Note
Les paramètres de demande de plage ne sont disponibles que lorsque le transfert des demandes de plage est activé et qu’au moins une application est réglée sur Block (Bloquer), Restrict (Restreindre) ou Throttle (Limiter).

Paramètres des demandes de plages pour la politique

Paramètres des demandes de plages

  • Do not forward range requests (Ne pas transférer les demandes de plage) : le client envoie une demande pour une plage particulière. Mais le Secure Web Appliance supprime l’en-tête de plage de la demande avant de l’envoyer au serveur cible. Le Secure Web Appliance analyse ensuite le fichier entier et envoie la plage d’octets au client.

    Note

     
    La première fois que le client envoie la demande de plage, Secure Web Appliance, attendant les demandes de plage ultérieures du client, envoie le fichier entier. Pour toute demande successive du même client ou d’un autre client, Secure Web Appliance ne fournit qu’une partie du contenu au client.

  • Forward range Requests (Transférer les demandes de plage) : le client envoie une demande pour une plage particulière. Le Secure Web Appliance envoie la même demande au serveur cible et reçoit un contenu partiel qui est ensuite renvoyé au client. Le Secure Web Appliance analyse uniquement le contenu partiel pour lequel les résultats de l’analyse pourraient ne pas être exacts.

Liste des exceptions

Vous pouvez spécifier des destinations de trafic qui sont dispensées de la sélection de transfert actuelle. En d’autres termes, si l’option Do not forward range requests (Ne pas transférer les demandes) est sélectionnée, vous pouvez spécifier les destinations pour lesquelles les demandes sont transférées. De même, lorsque l’option Forward range requests (Transférer les demandes de plage) est sélectionnée, vous pouvez spécifier les destinations pour lesquelles les demandes ne sont pas transférées.

Règles et directives pour la configuration du contrôle des applications

Tenez compte des règles et des instructions suivantes lors de la configuration des paramètres de contrôle des applications :

  • Les types d’applications pris en charge, les applications et les comportements des applications peuvent changer entre les mises à niveau d’AsyncOS pour le Web ou après les mises à jour du moteur AVC .

  • Si vous activez la recherche sécurisée ou l’évaluation du contenu du site, le moteur AVC est chargé d’identifier les applications pour une navigation sécurisée. Parmi les critères, le moteur AVC analysera le corps de la réponse pour détecter une application de recherche. Par conséquent, l’appliance ne transférera pas les en-têtes de plage.

  • Dans les listes des types d’application, le résumé de chaque type d’application répertorie les actions finales pour ses applications, mais n’indique pas si ces actions sont héritées de la politique globale ou configurées dans la politique d’accès actuelle. Pour en savoir plus sur l’action pour une application particulière, développez le type d’application.

  • Dans la politique d’accès globale, vous pouvez définir l’action par défaut pour chaque type d’application, de sorte que les nouvelles applications introduites dans une mise à jour du moteur AVC héritent automatiquement de l’action par défaut.

  • Vous pouvez configurer rapidement la même action pour toutes les applications d’un type d’application en cliquant sur le lien « edit all » (modifier tout) correspondant au type d’application dans la vue Browse (Parcourir). Cependant, vous pouvez uniquement configurer l’action de l’application, pas les actions de comportement de l’application. Pour configurer les comportements des applications, vous devez modifier chaque application individuellement.

  • Dans la vue de recherche, lorsque vous triez le tableau en fonction de la colonne d’actions, l’ordre de tri est défini par l’action finale. Par exemple, « Use Global (Block) » [Utiliser global (Bloquer)] vient après « Block » (Bloquer) dans l’ordre de tri.

  • Le déchiffrement peut faire échouer certaines applications, sauf si le certificat racine de signature est installé sur le client.

Thèmes connexes

Configuration des paramètres de contrôle des applications dans un groupe de politiques d’accès

Procedure

Step 1

Choisissez Web Security Manager > Access Policies (Web Security Manager > Politiques d’accès).

Step 2

Cliquez sur le lien dans le tableau Policies (Politiques), sous la colonne Applications du groupe de politiques que vous souhaitez modifier.

Step 3

Lors de la configuration de la politique d’accès globale :

  1. Définissez l’action par défaut pour chaque type d’application dans la section Default Actions for Application Types (Actions par défaut pour les types d’application).

  2. Vous pouvez modifier les actions par défaut pour les membres individuels de chaque type d’application, en tant que groupe ou individuellement, dans la section Edit Applications Settings (Modifier les paramètres des applications) de la page. La modification de l’action par défaut pour les applications individuelles est décrite dans les étapes suivantes.

Step 4

Lors de la configuration d’une politique d’accès définie par l’utilisateur, choisissez Define Applications Custom Settings (Définir les paramètres personnalisés des applications) dans la section Edit Applications Settings (Modifier les paramètres des applications).

Step 5

Dans la zone Application Settings (Paramètres des applications), choisissez Browse view (Vue Parcourir) ou Search view (Vue Rechercher) dans le menu déroulant :

  • Browse view (Vue Parcourir). Vous pouvez parcourir les types d’application. Vous pouvez utiliser la fonction Browse view (Vue Parcourir) pour configurer simultanément toutes les applications d’un type particulier. Lorsqu’un type d’application est réduit dans la vue Browse (Parcourir), le résumé des types d’application répertorie les actions finales pour ses applications; cependant, il n’indique pas si les actions sont héritées de la politique globale ou configurées dans la politique d’accès actuelle.
  • Search view (Vue Rechercher). Vous pouvez rechercher des applications par leur nom. Vous pouvez utiliser le mode Search (Rechercher) lorsque la liste totale des applications est longue et que vous devez trouver et configurer rapidement une application particulière.

Step 6

Configurez l’action pour chaque application et le comportement de l’application.

Step 7

Configurez les contrôles de bande passante pour chaque application applicable.

Step 8

Envoyez et validez les modifications.

What to do next

Thèmes connexes

Contrôle de la bande passante

Lorsque la limite globale et la limite d’utilisateurs s’appliquent à une transaction, l’option la plus restrictive s’applique. Vous pouvez définir les limites de bande passante pour des catégories d’URL particulières en définissant un groupe d’identité pour une catégorie d’URL et en l’utilisant dans une politique d’accès qui restreint la bande passante.

Vous pouvez définir les limites de bande passante suivantes :

Limite de bande passante

Description

Lien vers la tâche

Overall (Globale)

Définissez une limite globale pour tous les utilisateurs du réseau pour les types d’applications pris en charge. La limite de bande passante globale affecte le trafic entre les serveurs de Secure Web Appliance et d’applications. Elle ne limite pas le trafic diffusé à partir du cache Web.

Configuration des limites globales de bande passante

User (Utilisateur)

Définissez une limite pour le nombre d’utilisateurs particuliers sur le réseau par type d’application. La bande passante utilisateur limite le trafic provenant des serveurs Web ainsi que le trafic desservi à partir du cache Web.

Configuration des limites de bande passante pour les utilisateurs


Note
La définition des limites de bande passante ne limite que les données envoyées aux utilisateurs. Elle ne bloque pas les données en fonction de l’atteinte d’un quota. Le proxy Web introduit une latence dans chaque transaction d’application pour imiter une liaison plus lente avec le serveur.

Configuration des limites globales de bande passante

Procedure

Step 1

Choisissez Web Security Manager > Overall Bandwidth Limits (Web Security Manager > Limites de bande passante globales).

Step 2

Cliquez sur Edit Settings (Modifier les paramètres).

Step 3

Sélectionnez l’option Limit to (Limiter à).

Step 4

Saisissez la quantité de trafic à limiter en mégabits par seconde (Mbit/s) ou en kilobits par seconde (kbit/s).

Step 5

Envoyez et validez les modifications.

Configuration des limites de bande passante pour les utilisateurs

Vous pouvez définir les limites de bande passante utilisateur en configurant les paramètres de contrôle de bande passante dans la page Applications Visibility and Control (Visibilité et contrôle des applications) des politiques d’accès. Vous pouvez définir les types suivants de contrôle de bande passante pour les utilisateurs dans les politiques d’accès :

Option

Description

Lien vers la tâche

Default bandwidth limit for an application type (Limite de bande passante par défaut pour un type d’application)

Dans la politique d’accès globale, vous pouvez définir la limite de bande passante par défaut pour toutes les applications d’un type particulier.

Configuration de la limite de bande passante par défaut pour un type d’application

Bandwidth limit for an application type (Limite de bande passante pour un type d’application)

Dans une politique d’accès définie par l’utilisateur, vous pouvez remplacer la limite de bande passante par défaut pour le type d’application défini dans la politique d’accès globale.

Remplacement de la limite de bande passante par défaut pour un type d’application

Bandwidth limit for an application (Limite de bande passante pour une application)

Dans une politique d’accès définie ou globale, vous pouvez choisir d’appliquer la limite de bande passante du type d’application ou aucune limite (dispensé de limite selon le type d’application).

Configuration des contrôles de bande passante pour une application

Configuration de la limite de bande passante par défaut pour un type d’application

Procedure

Step 1

Choisissez Web Security Manager > Access Policies (Web Security Manager > Politiques d’accès).

Step 2

Cliquez sur le lien dans le tableau des politiques, sous la colonne Applications pour la politique d’accès globale.

Step 3

Dans la section Default Actions for Application Types (Actions par défaut pour les types d’applications), cliquez sur le lien à côté de « Bandwidth Limit » (Limites de bande passante) pour le type d’application que vous souhaitez modifier.

Step 4

Sélectionnez Set Bandwidth Limit (Définir la limite de bande passante) et saisissez la quantité de trafic à limiter en mégabits par seconde (Mbit/s) ou en kilobits par seconde (kbit/s).

Step 5

Cliquez sur Apply (Appliquer).

Step 6

Envoyez et validez les modifications.

Remplacement de la limite de bande passante par défaut pour un type d’application

Vous pouvez remplacer la limite de bande passante par défaut définie au niveau du groupe de politiques d’accès globales dans les politiques d’accès définies par l’utilisateur. Vous ne pouvez faire cela que dans la vue Browse (Parcourir).

Procedure

Step 1

Choisissez Web Security Manager > Access Policies (Web Security Manager > Politiques d’accès).

Step 2

Dans le tableau des politiques, sous la colonne Applications, cliquez sur le lien correspondant au groupe de politiques défini par l’utilisateur que vous souhaitez modifier.

Step 3

Choisissez Define Applications Custom Settings (Définir les paramètres personnalisés des applications) dans la section Edit Applications Settings (Modifier les paramètres des applications).

Step 4

Cliquez sur le lien à côté de « Bandwidth Limit » (Limites de bande passante) pour le type d’application que vous souhaitez modifier.

Step 5

Pour choisir une valeur de limite de bande passante différente, sélectionnez Set Bandwidth Limit (Définir la limite de bande passante) et saisissez la quantité de trafic à limiter en mégabits par seconde (Mbit/s) ou en kilobits par seconde (kbit/s). Pour n’indiquer aucune limite de bande passante, sélectionnez No Bandwidth Limit for Application Type (Aucune limite de bande passante pour le type d’application).

Step 6

Cliquez sur Apply (Appliquer).

Step 7

Envoyez et validez les modifications.

Configuration des contrôles de bande passante pour une application

Procedure

Step 1

Choisissez Web Security Manager > Access Policies (Web Security Manager > Politiques d’accès).

Step 2

Cliquez sur le lien dans le tableau des politiques, sous la colonne Applications, pour le groupe de politiques que vous souhaitez modifier.

Step 3

Développez le champ du type d’application qui contient l’application à définir.

Step 4

Cliquez sur le lien de l’application que vous souhaitez configurer.

Step 5

Sélectionnez Monitor (Superviser), puis choisissez d’utiliser la limite de bande passante définie pour le type d’application ou aucune limite.

Note

 

Le paramètre de limite de bande passante n’est pas applicable lorsque l’application est bloquée ou lorsqu’aucune limite de bande passante n’est définie pour le type d’application.

Step 6

Cliquez sur Done (Terminé).

Step 7

Envoyez et validez les modifications.

Contrôle du trafic de la messagerie instantanée

Vous pouvez bloquer ou surveiller le trafic de messagerie instantanée et selon le service de messagerie instantanée utilisé, vous pouvez bloquer des activités particulières (également appelées comportements d’application) dans une session de messagerie instantanée.

Procedure

Step 1

Choisissez Web Security Manager > Access Policies (Web Security Manager > Politiques d’accès).

Step 2

Cliquez sur le lien dans le tableau des politiques, sous la colonne Applications, pour le groupe de politiques que vous souhaitez modifier.

Step 3

Cliquez sur Define Applications Custom Setting (Définir les paramètres personnalisés des applications).

Step 4

Développez le type d’application de messagerie instantanée.

Step 5

Cliquez sur le lien à côté de l’application de messagerie instantanée que vous souhaitez configurer.

Step 6

Pour bloquer tout le trafic pour cette application de messagerie instantanée, sélectionnez Block (Bloquer).

Step 7

Pour surperviser l’application de messagerie instantanée, mais bloquer des activités particulières au sein de l’application, sélectionnez Monitor (Superviser), puis sélectionnez Block (Bloquer) pour le comportement de l’application.

Step 8

Cliquez sur Done (Terminé).

Step 9

Envoyez et validez les modifications.

Affichage de l’activité AVC

La page Reporting > Application Visibility (Rapports > Visibilité des applications) affiche des informations sur les principales applications et les types d’applications utilisés. Elle affiche également les principales applications et les types d’applications bloquées.

Informations AVC dans le fichier journal d’accès

Le fichier journal des accès enregistre les informations renvoyées par le moteur AVC pour chaque transaction. La section des informations sur le verdict d’analyse dans les journaux d’accès comprend les champs ci-dessous :

Description

Champ personnalisé dans les journaux d’accès

Champ personnalisé dans les journaux W3C

Nom de l’application

%XO

x-avc-app

Type d’application

%Xu

x-avc-type

Comportement des applications

%Xb

x-avc-behavior