Implementando Isolamento de Navegador para Zero Trust

Quando Usar

• Ao implantar o isolamento de navegador remoto como parte de uma arquitetura de segurança Zero Trust
• Ao proteger usuários contra exploits de navegador de dia zero e downloads drive-by
• Ao implementar desarmamento e reconstrução de conteúdo para downloads de arquivos
• Ao impor políticas de prevenção contra perda de dados para sessões de navegação na web
• Ao proteger o acesso a sites não confiáveis ou não categorizados
• Ao integrar o isolamento de navegador com a infraestrutura SWG e ZTNA existente
• Ao proteger contra phishing e roubo de credenciais por meio de renderização isolada

Pré-requisitos

• Familiaridade com os princípios da arquitetura Zero Trust e segurança de rede
• Compreensão dos modelos de implantação de Secure Web Gateway (SWG) e proxy
• Acesso a um ambiente de teste ou laboratório para validação de políticas
• Python 3.8+ com as dependências necessárias instaladas
• Infraestrutura de DNS e proxy para roteamento de tráfego

Instruções

Fase 1: Categorização de URL e Classificação de Risco

Crie um mecanismo de categorização de URL que classifica sites por nível de risco para determinar a política de isolamento. As URLs são pontuadas com base em feeds de inteligência de ameaças, reputação de domínio, categoria de conteúdo e indicadores de risco históricos.

from agent import BrowserIsolationPolicyEngine

engine = BrowserIsolationPolicyEngine(
    organization="Acme Corp",
    default_isolation_mode="isolate_risky",
)

# Classify a URL and determine isolation action
result = engine.classify_url("https://docs.google.com/spreadsheets/d/abc123")
print(f"Category: {result['category']}")
print(f"Risk Level: {result['risk_level']}")
print(f"Isolation Action: {result['action']}")
# Output: Category: cloud_productivity
#         Risk Level: low
#         Action: allow_direct

result = engine.classify_url("https://unknown-sketchy-domain.xyz/download.html")
print(f"Category: {result['category']}")
print(f"Risk Level: {result['risk_level']}")
print(f"Isolation Action: {result['action']}")
# Output: Category: uncategorized
#         Risk Level: high
#         Action: full_isolation

Fase 2: Configuração da Política de Isolamento

Defina políticas de isolamento que mapeiam categorias de URL e níveis de risco para modos de isolamento específicos e restrições de DLP. As políticas suportam controles granulares, incluindo restrições de área de transferência, download de arquivos, upload e impressão.

# Configurar políticas de isolamento
engine.add_isolation_policy(
    name="Bloquear Sites Não Categorizados",
    description="Isolar completamente todos os domínios não categorizados ou recém-registrados",
    match_criteria={
        "url_categories": ["uncategorized", "newly_registered"],
        "risk_levels": ["high", "critical"],
    },
    isolation_mode="full_isolation",
    dlp_controls={
        "disable_copy_paste": True,
        "disable_download": True,
        "disable_upload": True,
        "disable_printing": True,
        "disable_keyboard_input": False,
        "watermark_session": True,
    },
)

engine.add_isolation_policy(
    name="Isolar Webmail com DLP",
    description="Isolar webmail pessoal com restrições de download",
    match_criteria={
        "url_categories": ["webmail"],
        "domains": ["mail.google.com", "outlook.live.com", "mail.yahoo.com"],
    },
    isolation_mode="read_only_isolation",
    dlp_controls={
        "disable_copy_paste": True,
        "disable_download": True,
        "disable_upload": True,
        "disable_printing": True,
        "disable_keyboard_input": False,
        "watermark_session": False,
    },
)

engine.add_isolation_policy(
    name="CDR para Downloads de Arquivos",
    description="Aplicar desarmamento e reconstrução de conteúdo a todos os downloads de arquivos",
    match_criteria={
        "url_categories": ["*"],
        "file_types": ["pdf", "docx", "xlsx", "pptx", "zip", "exe", "msi"],
    },
    isolation_mode="cdr_passthrough",
    cdr_config={
        "strip_macros": True,
        "strip_embedded_objects": True,
        "strip_javascript": True,
        "strip_active_content": True,
        "flatten_pdf": True,
        "reconstruct_to_safe_format": True,
        "max_file_size_mb": 50,
        "allowed_file_types": ["pdf", "docx", "xlsx", "pptx", "png", "jpg"],
    },
)

engine.add_isolation_policy(
    name="Permitir SaaS Confiável Diretamente",
    description="Permitir acesso direto a aplicativos SaaS sancionados",
    match_criteria={
        "url_categories": ["cloud_productivity", "business_saas"],
        "domains": [
            "*.office365.com", "*.office.com", "*.microsoft.com",

…