Pasarela de contenido web (WCG)

Web Content Gateway (WCG) es una función de seguridad dentro del agent de Moftgate que se sitúa entre el navegador del usuario e internet. Inspecciona el tráfico web (incluido el HTTPS cifrado) y aplica las políticas web y de prevención de pérdida de datos (DLP) de su organización sobre el contenido real que se envía y recibe, no solo sobre las URLs.

Como WCG puede ver el interior del tráfico cifrado, puede hacer cosas que el filtrado de URL por sí solo no puede: detectar datos sensibles que se cargan a través de un navegador, bloquear servicios de almacenamiento en la nube no aprobados, limitar el acceso SaaS a tenants aprobados, limitar sitios de alto ancho de banda y orientar a los usuarios con advertencias en la página. Es la capa de aplicación web de su estrategia DLP.

Cerrar imagen

WCG se activa por cada profile del agent. Cuando lo activa, cada endpoint asignado a ese profile inicia automáticamente el proxy local en su siguiente heartbeat; no se necesita configuración manual en el propio endpoint.

1. 1
   Confirme que su licencia DLP esté activa

   WCG forma parte del módulo DLP. Asegúrese de que su organización tenga una licencia DLP activa en el endpoint que debe recibir la protección WCG.

2. 2
   Abra el profile del agent

   En el panel de Moftgate, navegue al profile del agent asignado al endpoint (o grupo de endpoints) que desea proteger.

3. 3
   Active Web Content Gateway

   Habilite el interruptor WCG dentro del profile. Esto le indica al agent que inicie el proxy local, instale el certificado de confianza y enrute el tráfico del navegador a través de él.

4. 4
   Guarde y espere al siguiente heartbeat

   Guarde el profile. En el siguiente heartbeat del agent, el endpoint recibe el profile actualizado, inicia el proxy y comienza a aplicar sus políticas web y DLP automáticamente, sin necesidad de reinicio ni acción del usuario.

WCG proporciona un conjunto de funciones basadas en políticas que trabajan juntas para controlar lo que sale del endpoint a través del navegador. Cada función se configura desde el panel de Moftgate y la aplica el agent; el proxy es el punto de aplicación, el panel es el plano de control.

Cómo WCG protege contra la exfiltración de datos

La exfiltración de datos a través del canal web ocurre cuando información sensible sale del endpoint mediante cargas del navegador, envíos de formularios o servicios en la nube no aprobados. WCG cierra estos canales inspeccionando el contenido real del tráfico web:

• Bloquea las cargas a sitios de almacenamiento en la nube y de uso consumer no aprobados (Shadow IT Control).
• Detecta datos sensibles en envíos de formularios web y cargas antes de que salgan del endpoint (Web DLP).
• Restringe el acceso SaaS a tenants aprobados para que los datos no se trasladen a workspaces no administrados (Tenant Restriction).
• Bloquea el acceso a apps y sitios web no permitidos con una página de bloqueo de política clara (App/Web Block).
• Toda la inspección se realiza sobre el contenido descifrado, de modo que las políticas ven el payload real, no solo la URL.

WCG funciona como un proxy man-in-the-middle (MITM) local en el endpoint. Descifra el tráfico HTTPS, inspecciona el contenido, aplica la política y vuelve a cifrarlo antes de enviarlo al destino. Este es el flujo general:

1. 1
   Se instala un certificado de confianza

   Cuando WCG se inicia, el agent genera un certificado root local y lo instala en el almacén de confianza del sistema operativo. Firefox también se configura para confiar en los certificados del sistema. Esto ocurre automáticamente, no se necesita importación manual.

2. 2
   El tráfico del navegador se enruta a través del proxy

   El agent establece el proxy del sistema para que todo el tráfico del navegador fluya a través del proxy WCG local. En Windows cubre la configuración por usuario; en macOS cubre todos los servicios de red; en Linux cubre tanto el entorno de escritorio como la configuración del sistema.

3. 3
   Se inspecciona el tráfico HTTPS

   Como el navegador confía en el certificado instalado, WCG puede descifrar el tráfico HTTPS al vuelo, inspeccionar el contenido en texto plano y volver a cifrarlo antes de enviarlo al destino.

4. 4
   Se aplican las políticas sobre el contenido

   WCG aplica sus políticas web y DLP al contenido descifrado: bloqueando, limitando, advirtiendo o registrando según lo configurado. Las políticas se obtienen del panel y se aplican en vivo, sin reiniciar el proxy.

5. 5
   Se bloquea QUIC para mantener el tráfico inspeccionable

   QUIC (HTTP/3) funciona sobre UDP y omite el proxy. WCG bloquea el UDP saliente en los puertos 443 y 80 para que los navegadores recurran a HTTPS basado en TCP, que el proxy puede inspeccionar.

Instalación del certificado de confianza

Para que el navegador acepte el tráfico descifrado sin advertencias, WCG instala un certificado root de confianza en el almacén de confianza del sistema operativo. Esto se hace automáticamente cuando WCG se inicia y se aplica por usuario, de modo que varios usuarios en el mismo dispositivo quedan aislados.

Configuración del proxy del sistema

Una vez instalado el certificado, WCG redirige el tráfico del navegador a través del proxy local estableciendo el proxy del sistema. La configuración se gestiona automáticamente según el sistema operativo y se restaura a la configuración original cuando el proxy se detiene.