Samouczek: włączanie inspekcji protokołu TLS

Inspekcja protokołu Transport Layer Security (TLS) w Microsoft Entra Internet Access umożliwia odszyfrowywanie i inspekcję zaszyfrowanego ruchu w lokalizacjach brzegowych usługi. Ta funkcja umożliwia globalnego bezpiecznego dostępu (GSA) stosowanie zaawansowanych mechanizmów zabezpieczeń, takich jak wykrywanie zagrożeń, bardziej szczegółowe filtrowanie zawartości internetowej i inne mechanizmy kontroli zawartości. Inspekcja protokołu TLS umożliwia również GSA udostępnianie niestandardowego, przyjaznego dla użytkownika komunikatu o błędzie, takiego jak zablokowanie użytkownika z powodu filtrowania zawartości internetowej.

W tym poradniku nauczysz się, jak:

  • Utwórz certyfikat zakończenia protokołu TLS na potrzeby inspekcji protokołu TLS.
  • Tworzenie i konfigurowanie zasad inspekcji protokołu TLS.
  • Połącz zasady inspekcji protokołu TLS z profilem zabezpieczeń.
  • Przypisz profil zabezpieczeń za pośrednictwem Microsoft Entra Conditional Access.
  • Sprawdź kontrolę protokołu TLS na kliencie.

Kluczowe pojęcia

Dlaczego konieczna jest inspekcja protokołu TLS?

Obecnie ponad 95% ruchu internetowego jest szyfrowane przy użyciu protokołu HTTPS/TLS. Bez inspekcji protokołu TLS narzędzia zabezpieczeń mogą zobaczyć tylko następujące elementy:

  • Docelowy adres IP.
  • Wskazanie nazwy serwera (SNI), czyli w pełni kwalifikowanej nazwy domeny (FQDN) z uzgadniania protokołu TLS.

Po włączeniu inspekcji protokołu TLS narzędzia zabezpieczeń mogą zobaczyć następujące elementy:

  • Pełne ścieżki adresu URL (na przykład /images i /downloads/malware.exe).
  • Żądanie i zawartość odpowiedzi.
  • Przesyłanie i pobieranie plików.
  • Zawartość strony sieci Web na potrzeby kategoryzacji.

Jak działa inspekcja protokołu TLS?

Oto przepływ ruchu:

  1. Klient ustanawia połączenie TLS z usługą zabezpieczeń Edge (SSE).
  2. Usługa SSE ustanawia oddzielne połączenie TLS z miejscem docelowym.
  3. Usługa SSE odszyfrowuje, sprawdza i ponownie szyfruje ruch.
  4. Klient widzi certyfikat podpisany przez urząd certyfikacji przedsiębiorstwa.
  5. Jeśli polityki na to pozwalają, usługa SSE przekazuje ruch do oryginalnego serwera docelowego.
User → GSA Client → SSE Proxy → Destination Server
                         │
                   [TLS Terminated]
                   [Content Inspected]
                   [Re-encrypted with Enterprise CA cert]
                   [Forwarded to destination]

Objective

W tym samouczku utworzysz i włączysz zasady inspekcji protokołu TLS. Systemowo generowane reguły obejścia pozostają na ich wartościach domyślnych. Następnie upewnij się, że inspekcja protokołu TLS przebiega zgodnie z oczekiwaniami.

Przykładowe filmy instruktażowe

W poniższym filmie wideo pokazano, jak skonfigurować inspekcję protokołu TLS.

W poniższym filmie wideo pokazano więcej konfiguracji inspekcji protokołu TLS.

W poniższym filmie wideo pokazano, jak zweryfikować inspekcję protokołu TLS.

Krok 1. Utwórz certyfikat CA do zakończenia TLS

Utworzenie certyfikatu CA terminacji TLS obejmuje wygenerowanie żądania podpisania certyfikatu (CSR), podpisanie go i przesłanie podpisanego certyfikatu. Certyfikat końcowy CA dla TLS służy do wystawiania krótkoterminowych certyfikatów podrzędnych dla witryny internetowej, do której uzyskuje się dostęp.

Krok 1.1. Generowanie csr

Aby utworzyć csr i przekazać podpisany certyfikat na potrzeby zakończenia protokołu TLS:

  1. Zaloguj się do Centrum administracyjnego Microsoft Entra jako administrator globalnego bezpiecznego dostępu.

  2. Przejdź do Global Secure Access>Secure>zasady inspekcji TLS.

  3. Przejdź do karty Ustawienia inspekcji protokołu TLS .

  4. Wybierz + Utwórz certyfikat. Ten krok rozpoczyna się od wygenerowania csr.

  5. W okienku Tworzenie certyfikatu wypełnij następujące pola:

    • Nazwa certyfikatu: nazwa certyfikatu jest wyświetlana w hierarchii certyfikatów podczas wyświetlania jej w przeglądarce. Musi być unikatowa, nie zawiera spacji i nie może zawierać więcej niż 12 znaków. Nie można ponownie używać poprzednich nazw.
    • Nazwa pospolita: nazwa pospolita, na przykład , Contoso TLS ICAktóra identyfikuje certyfikat pośredni.
    • Nazwa organizacji: nazwa organizacji, na przykład Contoso IT.

  6. Wybierz pozycję Utwórz CSR. Ten krok tworzy plik .csr i zapisuje go w domyślnym folderze pobierania.

    Zrzut ekranu przedstawiający tworzenie certyfikatu.

Krok 1.2. Podpisywanie csr

Podpisz CSR przy użyciu samopodpisanego certyfikatu lub usługi infrastruktury kluczy prywatnych (PKI).

Jeśli tworzysz własny certyfikat bez użycia podanych przykładów, upewnij się, że uwierzytelnianie serwera znajduje się w rozszerzonym użyciu kluczy i certificate authority (CA)=true, keyCertSign, cRLSigni basicConstraints=critical,CA:TRUE znajdują się w rozszerzeniu podstawowym. Zapisz podpisany certyfikat w .pem formacie.

Krok 1.3. Przekazywanie podpisanego certyfikatu na potrzeby kończenia żądań protokołu TLS

Po otrzymaniu certyfikatu i plików łańcucha .pem przekaż podpisany certyfikat do zakończenia obsługi TLS.

  1. Wybierz + Prześlij certyfikat.

  2. Na formularzu Prześlij certyfikat przekaż pliki signedcertificate.pem oraz rootCAchain.pem.

  3. Wybierz pozycję Przekaż podpisany certyfikat.

    Zrzut ekranu przedstawiający przekazywanie certyfikatu.

  4. Obok certyfikatu wybierz wielokropek (trzy kropki) w kolumnie Akcje , a następnie wybierz pozycję Włącz.

    Zrzut ekranu przedstawiający akcję włączania certyfikatu.

  5. Po włączeniu certyfikatu stan zmieni się z Rejestrowanie na Aktywne. Ten krok może potrwać kilka minut.

    Zrzut ekranu przedstawiający certyfikat ze stanem Aktywny.

Krok 2. Tworzenie zasad inspekcji protokołu TLS

Aby utworzyć zasady inspekcji protokołu TLS:

  1. W Microsoft Entra admin center przejdź do Secure>TLS inspection policies.

  2. Wybierz Utwórz politykę.

  3. Wprowadź nazwę i opis (opcjonalnie), a następnie ustaw opcję Akcja na Inspekcja.

  4. Wybierz Dalej.

    Ustawiając domyślną akcję na Inspektuj, cały ruch jest inspekcjonowany za pomocą TLS, chyba że pasuje do reguły obejścia wygenerowanej przez Ciebie lub system. Podczas tworzenia zasad inspekcji protokołu TLS system automatycznie generuje dwie reguły. Pierwsza reguła to reguła systemowa, która automatycznie pomija miejsca docelowe, które Microsoft wiedzą, są niezgodne z inspekcją protokołu TLS. Druga reguła to zalecana lista obejścia, która pomija inspekcję protokołu TLS dla określonych kategorii, które użytkownicy mogą traktować jako poufne lub prywatne. Tę regułę można edytować później.

    Reguły generowane przez system można wyświetlić po utworzeniu zasad inspekcji protokołu TLS, wybierając pozycję Edytuj w zasadach.

    Zrzut ekranu przedstawiający reguły zasad inspekcji protokołu TLS.

  5. Wybierz Dalej.

  6. Wybierz Prześlij.

  1. Przejdź do Global Secure Access>Bezpieczeństwo>Profile zabezpieczeń.
  2. Wybierz pozycję Utwórz profil.
  3. Wprowadź nazwę i opis zasad, a następnie wybierz pozycję Dalej.
  4. Wybierz pozycję Połącz zasady , a następnie wybierz pozycję Istniejące zasady inspekcji protokołu TLS.
  5. Wybierz utworzone zasady inspekcji protokołu TLS i wybierz pozycję Dodaj.
  6. Wybierz Dalej.
  7. Wybierz pozycję Utwórz profil.

Krok 4. Przypisywanie profilu zabezpieczeń za pośrednictwem dostępu warunkowego

  1. Przejdź do Entra ID>Dostęp warunkowy.
  2. Wybierz pozycję Utwórz nowe zasady.
  3. Wprowadź nazwę i przypisz użytkownika lub grupę.
  4. Wybierz pozycję Docelowe zasoby, a następnie wybierz pozycję Wszystkie zasoby internetowe z globalnym bezpiecznym dostępem.
  5. Wybierz Sesja>Użyj globalnego profilu zabezpieczeń dostępu i wybierz profil zabezpieczeń, który utworzyłeś w kroku 3.
  6. Wybierz Wybierz.
  7. W sekcji Włącz politykę upewnij się, że wybrano opcję Włączone.
  8. Wybierz Utwórz.

Zastosowanie profilu zabezpieczeń po przypisaniu dostępu warunkowego może potrwać do godziny.

Krok 5. Weryfikowanie inspekcji protokołu TLS na kliencie

Aby sprawdzić, czy inspekcja protokołu TLS odbywa się prawidłowo:

  1. Upewnij się, że plik rootCAchain.pem jest zainstalowany na urządzeniu użytkownika w folderze Zaufane główne urzędy certyfikacji.

    • W Windows 11 otwórz Zarządzaj certyfikatami użytkowników.
    • Wybierz Zaufane główne urzędy certyfikacji, a następnie kliknij prawym przyciskiem myszy Certyfikaty.
    • Wybierz pozycję Importuj (może znajdować się w obszarze Wszystkie zadania).
    • Postępuj zgodnie z instrukcjami kreatora importu, aby wybrać i zaimportować plik rootCAchain.pem.

  2. Otwórz przeglądarkę na urządzeniu klienckim i przetestuj różne witryny internetowe, takie jak www.google.com. Sprawdź informacje o certyfikacie i potwierdź certyfikat GSA.

    Uwaga / Notatka

    Ruch Microsoftu omija tunel dostępu internetowego, co oznacza, że inspekcja TLS nie jest stosowana do większości aplikacji Microsoft. Przed sprawdzeniem, czy inspekcja protokołu TLS została prawidłowo skonfigurowana, przejdź do witryny internetowej innej niż Microsoft.

Aby sprawdzić certyfikat w przeglądarce Microsoft Edge:

  1. Wybierz ikonę blokady obok internetowego adresu URL.

    Zrzut ekranu przedstawiający ikonę blokady obok adresu URL.

  2. Wybierz pozycję Połączenie jest bezpieczne.

  3. Wybierz ikonę certyfikatu.

    Zrzut ekranu pokazujący informację

  4. Sprawdź, czy nazwa pospolita to Microsoft Global Secure Access Intermediate.

    Zrzut ekranu przedstawiający weryfikację certyfikatu.

Czego się nauczyłeś

W tym ćwiczeniu wykonano następujące zadania:

  • Utworzono hierarchię certyfikatów: Wygenerowano CSR, podpisano go przy użyciu urzędu certyfikacji nadrzędnego i przekazano oba certyfikaty do GSA. Ustalono łańcuch zaufania, który jest potrzebny do inspekcji protokołu TLS.
  • Zrozumiałe reguły obejścia: Wiesz już, że niektóre miejsca docelowe są niezgodne z inspekcją protokołu TLS, taką jak przypinanie certyfikatów lub wzajemne protokoły TLS lub są wrażliwe na prywatność, takie jak bankowość lub opieka zdrowotna. System automatycznie pomija niektóre miejsca docelowe domyślnie.
  • Utworzono profil zabezpieczeń z dostępem warunkowym: Wiesz już, że w przeciwieństwie do profilu punktu odniesienia (który dotyczy wszystkich) ten profil zabezpieczeń używa dostępu warunkowego do określania celu określonych użytkowników w celu umożliwienia wprowadzania etapowego.
  • Dystrybucja certyfikatu nadrzędnego urzędu certyfikacji: Dowiedziałeś się, że aby klienci ufali ponownie szyfrowanemu ruchowi, potrzebują certyfikatu nadrzędnego urzędu certyfikacji w swoim zaufanym magazynie certyfikatów.

Szczegółowe omówienie: łańcuch certyfikatów

 ┌─────────────────────────────┐
 │     Your root CA            │  ← Deployed to client trusted store
 │   (rootCAchain.pem)         │
 └─────────────┬───────────────┘
               │
               ▼ Signs
 ┌─────────────────────────────┐
 │  GSA intermediate CA        │  ← Uploaded to GSA (signed certificate)
 │  (signedcertificate.pem)    │
 └─────────────┬───────────────┘
               │
               ▼ Signs (dynamically)
 ┌─────────────────────────────┐
 │   Leaf certificates         │  ← Generated on-the-fly for each site
 │   (www.google.com, etc.)    │
 └─────────────────────────────┘

Zagadnienia dotyczące zabezpieczeń

  • Chroń klucz prywatny głównego urzędu certyfikacji, ponieważ osoby atakujące mogą wydać fałszywe certyfikaty, jeśli zostanie przejęty.
  • Rozważ użycie dedykowanego urzędu certyfikacji do inspekcji protokołu TLS, a nie produkcyjnej infrastruktury kluczy publicznych (typowe wskazówki branżowe).
  • Regularnie przeprowadzaj inspekcję reguł obejścia, aby zapewnić ochronę poufnych witryn.

Co dalej?

Po włączeniu inspekcji protokołu TLS można teraz tworzyć reguły filtrowania oparte na adresach URL (nie tylko w pełni kwalifikowane nazwy domen). Możesz również udostępnić użytkownikom niestandardowe komunikaty blokowe.

Następne kroki

Samouczek: konfigurowanie filtrowania adresów URL

  • Ostatnia aktualizacja o