×
ข้ามไปยังเนื้อหาหลัก

URL & App Control: ควบคุมการใช้ App เว็บไซต์ และการรับส่งไฟล์ตามผู้ใช้และแผนก

ปรับปรุงเมื่อ

URL & App Control ของ Secure Web Gateway (SWG) ใน Sangfor Athena SASE ใช้อนุญาตหรือปฏิเสธการใช้ App ฟีเจอร์ของ App เว็บไซต์ตาม URL Category และการรับส่งไฟล์ผ่านเว็บและอีเมล โดยกำหนดแยกตามผู้ใช้ แผนก ช่วงเวลา และเงื่อนไขอื่น Policy ชุดเดียวมีผลกับผู้ใช้ไม่ว่าจะอยู่ที่ใด ตราบที่ Login Omnipoint Secure Client อยู่ บทความนี้อธิบายหลักการ Match ของ Policy ขั้นตอนการสร้าง ตัวอย่าง Policy ตามแผนก การตรวจผล และการปรับแก้เมื่อบล็อกเกินจำเป็น

สิ่งที่ต้องเตรียม

  • Subscription Secure Web Gateway ที่ครอบคลุมผู้ใช้ และผู้ใช้/แผนกถูก Sync เข้ามาใน Console แล้ว
  • เครื่องผู้ใช้ติดตั้ง Omnipoint Secure Client และ Login อยู่ โดย Component SWG ทำงานปกติ
  • การควบคุมระดับฟีเจอร์ของ App ที่เป็น HTTPS ต้องให้ผู้ใช้อยู่ใน SSL Decryption Policy ส่วนการบล็อก HTTP และการบล็อกระดับ Domain ทำได้โดยไม่ต้องใช้ SSL Decryption
  • Object ที่จะใช้ใน Policy เตรียมไว้ที่ Platform Management › Objects เช่น Schedules (ช่วงเวลาทำงาน), URL Categories (หมวดเว็บของบริษัทเอง), File Type Groups และ App Signature Database ที่อัปเดตแล้ว

หลักการทำงานของ Policy

ไปที่ Core Features › Secure Web Gateway › Policies › URL & App Control ข้อความด้านบนของหน้ามีลิงก์ App/URL Access Blocking (ตั้งค่าหน้า Block Page) และ SSL Decryption (Policy บางแบบต้องใช้ SSL Decryption)

หน้า URL & App Control แสดงข้อความแนะนำพร้อมลิงก์ App/URL Access Blocking และ SSL Decryption ปุ่ม Add และ Advanced และแถว Default Policy
  • Policy เรียงตาม Priority และถูก Match จากบนลงล่าง Policy แรกที่ Match จะถูกใช้ Policy ที่สร้างใหม่จะขึ้นเป็น Priority 1 อยู่เหนือแถวเดิมโดยอัตโนมัติ และลากสลับลำดับได้ที่ไอคอนหน้าแถว
  • Policy จะ Match เมื่อผู้ใช้/แผนก หรือ Source IP ตรงอย่างน้อยหนึ่งข้อ และเงื่อนไขอื่นที่เพิ่มไว้ตรงทั้งหมด
  • Console อาจมีแถว Default Policy ที่อนุญาตทุก App (Allowed · App (All)) สำหรับผู้ใช้ทั้งหมด Traffic ที่ไม่ Match Policy อื่นจะผ่านแถวนี้ การบล็อกจึงต้องมาจาก Policy แบบ Reject ที่อยู่เหนือแถวที่อนุญาตแบบกว้าง และ Match ผู้ใช้นั้นจริง
  • URL & App Control ทำงานก่อน URL Filtering ของ Threat Protection หาก URL & App Control ตัดสินแล้ว ระบบจะใช้ผลนั้น
  • ปุ่ม Advanced ใช้ตั้งค่าที่มีผลกับทุก Policy ได้แก่ Trust the following internal DNS server addresses, Allow access to external domain name resources และ Advanced Firewall (บันทึก Log ตอนเริ่มและจบ Session ทำให้มี Traffic Log จำนวนมาก ควรเปิดเมื่อจำเป็น)
  • URL & App Control ควบคุมที่ระดับ App จึงมีผลกับทุก Account ที่ผู้ใช้ Login ใน App นั้น หากต้องการบล็อกการส่ง Sensitive Data ออกไม่ว่าจะใช้ Account ใด ให้ใช้ Data Loss Control ของ Data Loss Analysis

สร้าง URL & App Control Policy

  1. ที่หน้า URL & App Control กด Add

  2. ส่วน Basics กรอก Name ที่บอกได้ทันทีว่า Policy ทำอะไร กรอก Description (ไม่บังคับ) เลือก Status และ Rank (ค่าที่เลือกได้ขึ้นกับ Rank ของผู้ดูแลที่ Login อยู่ ผู้ดูแลที่มีระดับ Rank เท่ากับหรือสูงกว่าค่านี้ (ค่า Rank ยิ่งน้อยระดับยิ่งสูง โดย 0 สูงสุด)เท่านั้นที่แก้ไข Policy ได้)

    ฟอร์ม Add ของ URL & App Control แสดง Basics, Settings ช่อง URL/App และ Applicable Scope ที่มี User/Department และ Excluded User

  3. ส่วน Settings คลิกช่อง URL/App หน้าต่าง URL/App มี 3 แบบให้ติ๊ก คือ Apps, Web File และ Emails ฟอร์มใหม่ยังไม่มีสิ่งใดถูกเลือกไว้ล่วงหน้า

  4. ติ๊ก Apps ฟอร์มจะตั้ง Action เป็น Reject และ Schedule เป็น All Day ไว้ให้ กด Select ที่ช่อง App

    หน้าต่าง URL/App ติ๊ก Apps แล้ว แสดงช่อง App, Action Allow หรือ Reject และ Schedule All Day

  5. ในหน้าต่าง Apps

    • ด้านซ้ายคือ App Category เช่น SaaS, Security Risk, High Bandwidth Consumption ใช้กรองรายการเท่านั้น การคลิกที่นี่ยังไม่ได้เลือก App ใด
    • ตรงกลางคือ App แยกตามหมวดภายใต้ All known applications เช่น Web Streaming Media (มี YouTube), Social Networking (มี Facebook), Remote Login (มี AnyDesk), Network storage (มี Google Drive) ส่วน URL Category ทั้งแบบสำเร็จรูปและแบบที่องค์กรสร้างเองอยู่ใต้โหนด Visit Web Site
    • ด้านขวาคือช่อง Selected แสดงสิ่งที่เลือกพร้อม Path

    การติ๊กโหนดหมวดจะบันทึกเป็นทั้งหมวด 1 รายการ ซึ่งรวม App ที่ Database เพิ่มเข้าหมวดนั้นภายหลังด้วย ให้ล้างการกรองก่อนติ๊กเสมอ เพราะการติ๊กขณะรายการถูกกรองอยู่จะเลือกเฉพาะรายการที่มองเห็นในขณะนั้น

    หน้าต่าง Apps ติ๊กหมวด Web Streaming Media ช่อง Selected แสดง 1 รายการพร้อม Path

  6. กด OK แล้วเลือก Action (Allow หรือ Reject) และ Schedule (All Day หรือ Schedule ที่สร้างไว้ใน Objects) แล้วกด OK

  7. ส่วน Applicable Scope ในฟอร์มใหม่ช่อง User/Department ตั้งไว้เป็น All ให้เปลี่ยนเป็นผู้ใช้หรือแผนกที่ต้องการทุกครั้ง และตัดบางคนออกได้ที่ Excluded User ปุ่ม + Add ใช้เพิ่ม User/Department, User Group หรือ Src IP และปุ่ม + Add Condition ใช้เพิ่มเงื่อนไข Endpoint, Destination IP หรือ Location

  8. กด OK แล้ว Policy ใหม่จะขึ้นเป็นลำดับบนสุดของรายการ

ตัวเลือก Web File และ Emails

แบบ ใช้ทำอะไร และตัวเลือกที่สำคัญ
Web File ควบคุมการอัปโหลดและดาวน์โหลดไฟล์ตามนามสกุล
  • Protocol: HTTP/HTTPS (ติ๊กไว้เสมอ) และ FTP
  • Exclusions: ยกเว้นเว็บตาม URL Category (มีผลกับการรับส่งไฟล์ผ่าน HTTP/HTTPS)
  • File Extensions: All หรือ Custom โดยเลือกจาก File Type Groups เช่น Application Program (exe, com, cmd, bat), Microsoft Office, Compressed File
  • Transfer Type: Upload และ/หรือ Download, Action และ Schedule
Emails ควบคุมอีเมลของ Email Client ที่ใช้ SMTP มาตรฐาน
  • Outgoing email / Incoming email: อนุญาตหรือบล็อกตามที่อยู่อีเมลหรือ Domain ของผู้ส่ง/ผู้รับ (บรรทัดละหนึ่งรายการ)
  • Keyword options: บล็อกอีเมลขาออกที่มีคำที่กำหนดใน Subject หรือ Body
  • Attachment options: บล็อกอีเมลขาออกที่มีไฟล์แนบตามนามสกุลที่กำหนด
  • Quota control: บล็อกอีเมลขาออกที่ขนาด (KB) หรือจำนวนไฟล์แนบถึงเกณฑ์
หน้าต่าง URL/App แบบ Web File แสดง Protocol, Exclusions, File Extensions แบบ Custom, Transfer Type, Action และ Schedule

Web File ควบคุมตามนามสกุลไฟล์ ส่วนการตรวจว่าเนื้อหาในไฟล์มี Sensitive Data หรือไม่ ให้ใช้ Data Loss Control

ตัวอย่าง Policy ตามแผนก

ตัวอย่างต่อไปนี้แสดงการกำหนด Policy ตามความต้องการของธุรกิจ แต่ละ Policy ที่สร้างใหม่จะขึ้นเหนือแถวที่อนุญาตแบบกว้างเองโดยไม่ต้องลาก

ความต้องการ URL/App Action / Schedule Applicable Scope
ฝ่ายขายไม่ดู Streaming ระหว่างทำงาน Apps › หมวด Web Streaming Media Reject / All Day แผนก Sales
ฝ่ายขายไม่ใช้ Social Media ในเวลางาน Apps › หมวด Social Networking Reject / Schedule เวลาทำงานที่สร้างใน Objects แผนก Sales
ทุกแผนกไม่ใช้โปรแกรม Remote Control ที่ไม่ได้อนุมัติ เช่น AnyDesk Apps › หมวด Remote Login Reject / All Day ทุกแผนกที่เกี่ยวข้อง
ฝ่ายขายไม่ดาวน์โหลดไฟล์โปรแกรม Web File › File Extensions Custom › Application Program › Download Reject / All Day แผนก Sales
รายการ URL & App Control หลังสร้าง 4 Policy ซึ่งอยู่ลำดับ 1 ถึง 4 เหนือแถว Default Policy ที่อนุญาตทุก App

ผลที่ผู้ใช้เห็นเมื่อถูกบล็อก

  • เว็บที่ถูก Reject (เช่น YouTube หรือหน้า Facebook ในเวลางาน) และการดาวน์โหลดไฟล์ .exe จะแสดง Block Page ตามที่ตั้งไว้ที่ Platform Management › System › General Settings › Page Redirection แท็บ App/URL Access Blocking
  • โปรแกรมบนเครื่องที่ถูก Reject เช่น AnyDesk จะเชื่อมต่อออกไปไม่ได้ (AnyDesk แสดงข้อความ Disconnected from the AnyDesk network)
  • ผู้ใช้ที่อยู่นอก Scope เช่น แผนก IT ยังเปิด YouTube ได้ตามปกติ
ตัวอย่าง Block Page ที่ผู้ใช้เห็นเมื่อถูกปฏิเสธการเข้าถึง หัวข้อ App access is denied.

ปรับหัวข้อ ข้อความ และข้อมูลที่แสดงบน Block Page (เช่น Username, Apps, Category, URL และช่องทางติดต่อทีม IT) ได้ที่ Page Redirection Block Page ที่บอกเหตุผลและช่องทางติดต่อช่วยลดการสอบถามมายัง Helpdesk ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร

ตรวจสอบผล

  1. ที่เครื่องผู้ใช้ที่อยู่ใน Scope ทดสอบเปิด App หรือเว็บที่กำหนด ใช้หน้าต่าง InPrivate/Incognito เพื่อให้เห็นผลทันทีโดยไม่ติดหน้าที่ Browser จำไว้ (Cache)

  2. ที่ Logs › Critical Feature Logs › SWG Logs แท็บ Secure Web Gateway รายการนั้นควรมี Status เป็น Blocked

  3. ที่ Core Features › Secure Web Gateway › Analytics › Blocked Activities คอลัมน์ Policy Hit บอกชื่อ Policy ที่บล็อก คลิกชื่อเพื่อเปิดรายละเอียดของ Policy นั้น

  4. หากต้องการดูว่าแต่ละ Session ถูก Policy ใดตัดสิน ให้ใช้ Traffic Log Capture ที่ Platform Management › System › Troubleshooting › Service Troubleshooting ซึ่งบันทึกเป็นเวลา 5 นาทีแล้วปิดเอง ดูวิธีใช้ใน Service Troubleshooting

เมื่อ Policy ไม่ทำงาน หรือบล็อกเว็บที่ธุรกิจต้องใช้

Policy ไม่มีผล ไล่ตรวจตามลำดับนี้

  1. ผู้ใช้อยู่ใน Applicable Scope และ Policy อยู่เหนือแถวที่อนุญาตแบบกว้าง

  2. กรณีที่ต้องควบคุมระดับฟีเจอร์ เว็บ HTTPS ต้องผ่าน SSL Decryption (ผู้ใช้อยู่ใน SSL Decryption Policy) และไม่อยู่ใน Decryption Whitelist

  3. Traffic ถูกส่งไปยัง Athena SASE ตาม Traffic Forwarding Policy (ตรวจได้ด้วยเครื่องมือ Diagnostics ของ Client)

  4. Client Login อยู่ และหน้า https://127.0.0.1:30001 บนเครื่องแสดงสถานะ Connected

  5. หารายการนั้นใน SWG Logs หากตรวจครบแล้วยังไม่ได้ผล ให้รวบรวมข้อมูลส่ง Sangfor Support

เว็บที่ธุรกิจต้องใช้ถูกกฎแบบกว้างบล็อก เช่น เพจ Facebook ของบริษัทถูกบล็อกโดย Policy ที่ปฏิเสธ Social Networking ในเวลางาน ให้อนุญาตเฉพาะเว็บนั้นแทนการปิด Policy เดิม

  1. หารายการใน Blocked Activities เพื่อดูผู้ใช้ App และ Policy ที่บล็อก

  2. ที่ Platform Management › Objects › URL Categories สร้างหรือแก้ไขหมวดแบบ Custom ของบริษัท แล้วกรอก Domain ของเว็บในช่อง URLs บรรทัดละหนึ่งรายการ (ไม่ต้องขึ้นต้นด้วย http และใช้ Wildcard ได้ เช่น *.example.com) ควรกรอกระดับ Domain เพราะหน้าเว็บหนึ่งหน้าโหลดหลาย URL

  3. ที่ URL & App Control สร้าง Policy ใหม่ เลือก Apps › Visit Web Site › หมวดที่สร้าง ตั้ง Action เป็น Allow และ Scope เฉพาะแผนกที่ต้องใช้ Policy ใหม่จะอยู่เหนือ Policy ที่บล็อกโดยอัตโนมัติ

  4. ทดสอบอีกครั้ง หากหน้าเว็บยังโหลดไม่ครบ เปิด Details ของรายการที่ยัง Blocked ใน SWG Logs เพื่อดู Domain Name ที่หน้าเว็บเรียกเพิ่ม (เช่น Domain ที่ใช้ส่งรูปภาพ อย่าง *.fbcdn.net ของ Facebook) แล้วเพิ่มในหมวดเดียวกัน

  5. เมื่อหน้าเว็บเปิดได้ครบ SWG Logs จะแสดงรายการเป็น Logged ภายใต้หมวดของบริษัท ส่วนเว็บอื่นในหมวดเดิมยังถูกบล็อกตามปกติ

หากเว็บเปิดไม่ขึ้นเฉพาะเมื่อผ่าน SSL Decryption ให้เพิ่มเว็บนั้นใน Decryption Whitelist และหากต้องการแยกว่าปัญหาเกิดจาก SWG หรือไม่ ผู้ใช้สามารถใช้ Temporary Logout ที่หน้า https://127.0.0.1:30001 ชั่วคราว ดูรายละเอียดใน เครื่องมือช่วยแก้ปัญหาบน Client

บทความที่เกี่ยวข้อง

ข้อคิดเห็น

0 ข้อคิดเห็น

โปรด ลงชื่อเข้าใช้ เพื่อแสดงข้อคิดเห็น