Come configurare il filtro dei contenuti web di Global Secure Access

Informazioni generali

Il filtro dei contenuti Web consente di implementare controlli di accesso a Internet granulari per l'organizzazione in base alla categorizzazione dei siti Web.

Le prime funzionalità di gateway Web sicuro (SWG) di Accesso a Internet Microsoft Entra includono il filtro dei contenuti Web in base ai nomi di dominio. Microsoft integra criteri di filtro granulari con Microsoft Entra ID e Accesso condizionale di Microsoft Entra, il che comporta criteri di filtro che supportano l'utente, con riconoscimento del contesto e facili da gestire.

La funzionalità di filtro web supporta attualmente il filtro delle categorie web consapevole dell'utente e del contesto basato su URL (Uniform Resource Locator), il filtro URL e il filtro FQDN.

Il filtro dei contenuti Web supporta anche due condizioni delle regole opzionali che consentono l'applicazione dei criteri basata sul traffico:

• Filtro del tipo di traffico di origine (anteprima): regole di ambito per tipi di traffico specifici, agente o utente.
• Filtro delle richieste di metodi HTTP (anteprima): blocca o consenti metodi HTTP specifici, ad esempio GET, POST, PUT, PATCH e DELETE.

Prerequisiti

• Gli amministratori che interagiscono con le funzionalità di accesso sicuro globale devono avere una o più delle assegnazioni di ruolo seguenti a seconda delle attività eseguite.

  • Ruolo Amministratore accesso sicuro globale per gestire le funzionalità di accesso sicuro globale.
  • Amministratore dell'accesso condizionale per creare e interagire con i criteri di accesso condizionale.

• Completare la Guida introduttiva all'accesso sicuro globale .

• Installare il client Accesso sicuro globale nei dispositivi degli utenti finali.

• Per eseguire il tunneling del traffico di rete, è necessario disabilitare il Domain Name System (DNS) su HTTPS (Secure DNS). Utilizzare le regole dei nomi di dominio completi (FQDN) nel profilo di inoltro del traffico. Per altre informazioni, vedere Configurare il client DNS per supportare DoH.

• Disabilitare il client DNS predefinito in Chrome e Microsoft Edge.

• Il traffico IPv6 non viene acquisito dal client e viene quindi trasferito direttamente alla rete. Per consentire il tunneling di tutto il traffico pertinente, impostare le proprietà della scheda di rete su IPv4 preferite.

• Il traffico UDP (User Datagram Protocol), ovvero QUIC, non è supportato nell'anteprima corrente di Accesso a Internet. La maggior parte dei siti web supporta il ripiego sul Transmission Control Protocol (TCP) quando non è possibile stabilire una connessione QUIC. Per un'esperienza utente migliorata, è possibile distribuire una regola firewall Windows che blocca UDP 443 in uscita: New-NetFirewallRule -DisplayName "Block QUIC" -Direction Outbound -Action Block -Protocol UDP -RemotePort 443.

• Per far rispettare il tipo di traffico sorgente e le regole sulle richieste basate sul metodo HTTP per il traffico HTTPS, abilitare l'ispezione TLS. Senza ispezione TLS, si applicano solo le regole di filtro del contenuto Web basate su SNI (Server Name Indication).

• Il filtro dei tipi di traffico di origine richiede connessioni di accesso sicuro globale basate su client. Le reti remote non supportano le regole del tipo di traffico di origine.

• Esaminare i concetti relativi al filtro del contenuto Web. Per altre informazioni, vedere Filtro del contenuto Web.

Passaggi di livello elevato

Esistono diversi passaggi per configurare il filtro del contenuto Web. Prendere nota di dove è necessario configurare un criterio di Accesso condizionale.

1. Abilitare l'inoltro del traffico Internet.
2. Creare un criterio di filtro del contenuto Web.
3. Creare un profilo di sicurezza.
4. Collegare il profilo di sicurezza a un criterio di accesso condizionale.
5. Assegna utenti o gruppi al profilo di instradamento del traffico.

Abilitare l'inoltro del traffico Internet

Il primo passaggio consiste nell'abilitare il profilo di inoltro del traffico di Accesso Internet. Per altre informazioni sul profilo e su come abilitarlo, vedere Come gestire il profilo di inoltro del traffico di Accesso Internet.

Creare un criterio di filtro contenuto Web

1. Passare a Global Secure Access>protezione>criteri di filtro dei contenuti web.
2. Selezionare Crea politica.
3. Immettere un nome e una descrizione per il criterio e selezionare Avanti.
4. Selezionare Aggiungi regola.
5. Immettere un nome, selezionare una categoria Web, un URL valido o un nome di dominio completo valido e quindi selezionare Aggiungi.
   • Gli URL e i nomi di dominio completi validi in questa funzionalità possono includere anche caratteri jolly usando il simbolo asterisco, *e possono essere elenchi delimitati da virgole.
   • Quando si immettono FQDN (nomi di dominio completamente qualificati), usare solo il nome di dominio. Non includere protocolli (ad esempio https://), numeri di porta o percorsi URL. Ad esempio, immettere contoso.com anziché https://contoso.com:443/path.
   • Per trovare la corrispondenza con tutti i sottodomini di un dominio, usare il formato carattere jolly *.domain.com. Si noti che il carattere jolly *.domain.com corrisponde a sottodomini come www.domain.com, ma non corrisponde al dominio radice domain.com stesso. Per coprire sia il dominio che tutti i relativi sottodomini, includere entrambe le voci come elenco delimitato da virgole (ad esempio, *.contoso.com,contoso.com).
   • Quando si immettono più FQDN in un elenco delimitato da virgole, non includere spazi tra le voci , ad esempio contoso.com,fabrikam.com,*.example.com.
   • Si noti che l'anteprima dei filtri URL supporta un massimo di 1.000 URL per ogni tenant.
6. (Facoltativo) Configurare la condizione Tipo di origine (anteprima). Per altre informazioni, vedere Configurare il filtro dei tipi di traffico di origine (anteprima).
7. (Facoltativo) Configurare la condizione della richiesta del metodo HTTP (anteprima). Per altre informazioni, vedere Configurare il filtro delle richieste di metodi HTTP (anteprima).
8. Selezionare Avanti per esaminare i criteri e quindi selezionare Crea criterio.

Configurare il filtro dei tipi di traffico di origine (anteprima)

Il filtro dei tipi di traffico di origine consente di definire l'ambito delle regole di filtro del contenuto Web a tipi specifici di traffico di rete. È possibile applicare criteri differenziati in base al fatto che il traffico provenga da un agente di intelligenza artificiale o da un utente.

Tipi di traffico di origine supportati

Configurare la condizione del tipo di traffico di origine

1. Nella configurazione della regola di filtro del contenuto Web individuare il campo Tipo di origine .
2. Abilitare il campo Tipo di origine per includerlo nella regola.
3. Selezionare i tipi di traffico di origine da includere nella regola.

Esempio: Impedire agli agenti di intelligenza artificiale di accedere ai siti di social networking

Per impedire agli agenti di intelligenza artificiale di accedere ai siti Web di social networking consentendo al contempo il traffico degli utenti:

1. Creare una regola dei criteri di filtro del contenuto Web.
2. Seleziona la categoria web SocialNetworking.
3. Abilitare Tipo di origine e selezionare Agente.
4. Impostare l'azione del criterio su Blocca.

Questa configurazione blocca il traffico dell'agente di intelligenza artificiale verso i siti di social networking consentendo al traffico degli utenti di accedere agli stessi siti.

Configurare il filtro delle richieste dei metodi HTTP (anteprima)

Il filtro delle richieste in base al metodo HTTP consente di bloccare o consentire specifici metodi HTTP per il traffico corrispondente. È possibile applicare l'accesso con privilegi minimi limitando le operazioni di scrittura consentendo l'accesso in sola lettura.

Metodi HTTP supportati

Configurare la condizione della richiesta del metodo HTTP

1. Nella configurazione della regola di filtro del contenuto Web individuare il campo richiesta del metodo HTTP .
2. Abilitare il campo della richiesta del metodo HTTP per includerlo nella regola.
3. Selezionare i metodi HTTP da includere nella regola.

Esempio: Bloccare le operazioni di scrittura dell'agente di intelligenza artificiale

Per impedire agli agenti di intelligenza artificiale di eseguire operazioni di scrittura (PUT, PATCH e DELETE) nelle risorse aziendali:

1. Creare una regola dei criteri di filtro del contenuto Web.
2. Selezionare gli URL di destinazione, i nomi di dominio completi o le categorie Web da proteggere.
3. Abilitare Tipo di origine e selezionare Agente.
4. Abilitare la richiesta di metodo HTTP e selezionare PUT, PATCH e DELETE.
5. Impostare l'azione del criterio su Blocca.

Questa configurazione impedisce al traffico dell'agente di intelligenza artificiale di eseguire operazioni di scrittura nelle destinazioni specificate, consentendo allo stesso tempo GET e altri metodi di sola lettura.

Combinare il tipo di traffico di origine e le condizioni del metodo HTTP

È possibile usare il tipo di traffico di origine e le condizioni di richiesta del metodo HTTP in modo indipendente o insieme in una singola regola:

• Solo tipo di origine: applicare una regola a tutto il traffico da un tipo di origine specifico indipendentemente dal metodo HTTP.
• Solo richiesta di metodo HTTP: applicare una regola a metodi HTTP specifici indipendentemente dall'origine del traffico.
• Entrambe le condizioni: applicare una regola solo quando il tipo di traffico di origine e il metodo HTTP corrispondono.

Quando si configurano entrambe le condizioni in una regola, una richiesta deve corrispondere sia al tipo di traffico di origine specificato che al metodo HTTP specificato per applicare la regola. Le condizioni vengono valutate usando la logica AND tra gli attributi.

Valutazione e ordine di precedenza dei criteri

La valutazione dei criteri segue le regole esistenti per l'ordinamento e la precedenza dei criteri di filtro dei contenuti Web esistenti:

• All'interno dello stesso attributo: logica OR. La corrispondenza di qualsiasi valore selezionato attiva la condizione.
• Tra attributi: LOGICA AND. Tutte le condizioni configurate devono corrispondere.
• Azioni in conflitto: quando più criteri corrispondono alle azioni in conflitto, l'azione più restrittiva prevale (blocco su consenti).

Creare un profilo di sicurezza

I profili di sicurezza sono un raggruppamento dei criteri di filtro. È possibile assegnare o collegare profili di sicurezza con criteri di Accesso condizionale di Microsoft Entra. Un profilo di sicurezza può contenere molteplici criteri di filtro. Inoltre, è possibile associare un profilo di sicurezza a più criteri di Accesso condizionale.

In questo passaggio viene creato un profilo di sicurezza per raggruppare i criteri di filtro. Quindi si assegnano o si collegano i profili di sicurezza con un criterio di Accesso condizionale in modo che tengano conto dell'utente o del contesto.

1. Passare a Global Secure Access>Secure>Security profiles (Profili di sicurezza).
2. Selezionare Crea profilo.
3. Immettere un nome e una descrizione per il criterio e selezionare Avanti.
4. Selezionare Collega un criterio e quindi selezionare Criteri esistenti.
5. Selezionare i criteri di filtro del contenuto Web già creati e selezionare Aggiungi.
6. Selezionare Avanti per esaminare il profilo di sicurezza e i criteri associati.
7. Selezionare Crea un profilo.
8. Selezionare Aggiorna per aggiornare la pagina dei profili e visualizzare il nuovo profilo.

Creare e collegare una Politica di Accesso Condizionale

Creare criteri di accesso condizionale per utenti o gruppi e fornire il profilo di sicurezza tramite i controlli della sessione di accesso condizionale. L'Accesso condizionale è il meccanismo che permette di utilizzare criteri di Accesso a Internet che tengano conto dell’utente e del contesto. Per altre informazioni sui controlli sessione, vedere Accesso condizionale: Sessione.

1. Accedere al Interfaccia di amministrazione di Microsoft Entra almeno come Amministratore di accesso condizionale.
2. Passare a Entra ID>Accesso condizionale>Criteri.
3. Selezionare Nuovi criteri.
4. Dai un nome alla tua politica. Le organizzazioni devono creare uno standard significativo per i nomi dei criteri.
5. In Assegnazioni selezionare Utenti o identità del carico di lavoro.
   1. In Includi, selezionare Tutti gli utenti
6. Selezionare Risorse di destinazione e Tutte le risorse Internet con Accesso sicuro globale.
7. Selezionare Session>Usa il profilo di sicurezza di Accesso Sicuro Globale e scegliere un profilo di sicurezza.
8. Seleziona.
9. Nella sezione Enable policy (Abilita criterio ) verificare che l'opzione Sì sia selezionata.
10. Selezionare Crea.

Abilitare il filtro contenuto Web per il traffico di rete remoto

La connettività di rete remota consente di connettere succursali e altre posizioni remote ad Accesso sicuro globale senza installare il client in singoli dispositivi. Per altre informazioni sulla connettività di rete remota, vedere Connettività di rete remota di Accesso sicuro globale.

È possibile usare il profilo di sicurezza di base per applicare criteri di filtro del contenuto Web a livello di tenant a tutto il traffico di rete remoto. Il profilo di base applica i criteri alla priorità più bassa nello stack di criteri e si applica a tutto il traffico di Accesso Internet instradato attraverso il servizio, rendendolo ideale per la protezione dei percorsi di rete remoti.

Per altre informazioni sull'applicazione di criteri di sicurezza alle reti remote, vedere Applicare criteri di sicurezza al traffico di rete remoto.

Diagramma di flusso di Accesso a Internet

Questo esempio illustra il flusso del traffico Accesso a Internet Microsoft Entra quando si applicano criteri di filtro del contenuto Web.

Il diagramma di flusso seguente illustra i criteri di filtro dei contenuti Web che bloccano o consentono l'accesso alle risorse Internet.

Assegnazioni di utenti e gruppi

È possibile definire l'ambito del profilo di Accesso a Internet a utenti e gruppi specifici. Per altre informazioni sull'assegnazione di utenti e gruppi, vedere Come assegnare e gestire utenti e gruppi con profili di inoltro del traffico.

Verificare l'applicazione dei criteri dell'utente finale

Quando il traffico raggiunge Microsoft Secure Service Edge, Accesso a Internet Microsoft Entra esegue i controlli di sicurezza in due modi. Per il traffico HTTP non crittografato, usa l'URL (Uniform Resource Locator). Per il traffico HTTPS crittografato con Transport Layer Security (TLS), usa l'indicazione del nome del server (SNI).

Usare un dispositivo Windows con il client Accesso sicuro globale installato. Accedere come utente a cui è assegnato il profilo di acquisizione del traffico Internet. Verificare che il passaggio ai siti Web sia consentito o limitato come previsto.

1. Fare clic con il pulsante destro del mouse sull'icona del client Accesso sicuro globale nell'area di notifica e aprire Diagnostica avanzata>profilo di inoltro. Assicurarsi che siano presenti le regole di acquisizione dell'accesso a Internet. Controllare inoltre se l'acquisizione del nome host e i flussi di traffico Internet degli utenti vengono acquisiti durante la navigazione.

2. Passare a siti consentiti e bloccati e verificare se si comportano correttamente. Passare a Global Secure Access>Monitor>Log del traffico per verificare che il traffico sia bloccato o consentito in modo appropriato.

3. Per verificare il tipo di traffico di origine e le regole di richiesta del metodo HTTP, generare traffico da tipi di origine diversi. Ad esempio, usare un agente di intelligenza artificiale per inviare una richiesta PATCH a una risorsa protetta e verificare che la regola venga applicata correttamente nei log del traffico.

L'esperienza di blocco corrente per tutti i browser include un errore del browser in testo non crittografato per il traffico HTTP e un errore del browser "Reimpostazione collegamento" per il traffico HTTPS.

Contenuti correlati

• Creare criteri di contenuto per il filtro del contenuto di rete
• Informazioni sul dashboard del traffico
• Limitazioni note per l'Accesso sicuro globale