Web İçerik Ağ Geçidi (WCG)

Web Content Gateway (WCG), Moftgate ajanı içindeki, kullanıcının tarayıcısı ile internet arasına giren bir güvenlik özelliğidir. Web trafiğini - şifreli HTTPS dahil - inceler ve kurumunuzun web ve veri sızıntımı önleme (DLP) politikalarını yalnızca URL'lerde değil, gönderilen ve alınan gerçek içerik üzerinde uygular.

WCG şifreli trafiğin içini görebildiği için yalnızca URL filtrelemeyle yapılamayan şeyleri yapabilir: tarayıcıdan yüklenen hassas veriyi tespit etmek, onaylanmamış bulut depolama servislerini engellemek, SaaS erişimini onaylı tenantlarla sınırlamak, bant genişliği yüksek siteleri yavaşlatmak ve kullanıcıyı sayfa içi uyarılarla eğitmek. DLP stratejinizin web uygulama katmanıdır.

Görseli kapat

WCG ajan profili başına etkinleştirilir. Açtığınızda, o profile atanan her endpoint bir sonraki heartbeat’inde yerel proxy’yi otomatik başlatır - endpoint üzerinde elle kurulum gerekmez.

1. 1
   DLP lisansınızın aktif olduğunu doğrulayın

   WCG, DLP modülünün bir parçasıdır. WCG koruması alacak endpoint’te kurumunuzun aktif bir DLP lisansı olduğundan emin olun.

2. 2
   Ajan profilini açın

   Moftgate panelinde, korumak istediğiniz endpoint’e (veya endpoint grubuna) atanmış ajan profilini açın.

3. 3
   Web Content Gateway’i açın

   Profil içindeki WCG anahtarını etkinleştirin. Bu, ajana yerel proxy’yi başlatmasını, güvenilir sertifikayı kurmasını ve tarayıcı trafiğini proxy üzerinden yönlendirmesini söyler.

4. 4
   Kaydedin ve bir sonraki heartbeat’i bekleyin

   Profili kaydedin. Bir sonraki ajan heartbeat’inde endpoint güncellenmiş profili alır, proxy’yi başlatır ve web/DLP politikalarınızı otomatik olarak uygulamaya başlar - yeniden başlatma veya kullanıcı müdahalesi gerekmez.

WCG, endpoint’ten tarayıcı yoluyla çıkanları kontrol eden, politika odaklı bir dizi özellik sağlar. Her özellik Moftgate panelinden yapılandırılır, ajan uygular. Proxy uygulama noktası, panel ise kontrol düzlemidir.

WCG veri sızdırmaya karşı nasıl korur

Web kanalı üzerinden veri sızdırma, hassas bilginin endpoint’ten tarayıcı yüklemeleri, form gönderimleri veya onaylanmamış bulut servisleri yoluyla çıkmasıyla olur. WCG, web trafiğinin gerçek içeriğini inceleyerek bu kanalları kapatır:

• Onaylanmamış bulut depolama ve dosya paylaşım sitelerine yüklemeleri engeller (Shadow IT Control).
• Hassas veriyi endpoint’ten çıkmadan önce web form gönderimlerinde ve yüklemelerde tespit eder (Web DLP).
• SaaS erişimini onaylı tenant’larla sınırlar; veri yönetimsiz workspacelere taşınamaz (Tenant Restriction).
• İzin verilmeyen app ve web sitelerine erişimi net bir politika engelleme sayfasıyla engeller (App/Web Block).
• Tüm inceleme decrypt edilmiş içerikte yapılır; böylece politikalar gerçek payload’u görür - yalnızca URL’yi değil.

WCG, endpoint üzerinde yerel bir man-in-the-middle (MITM) proxy olarak çalışır. HTTPS trafiğini decrypt eder, içeriği inceler, politikayı uygular ve hedefe göndermeden önce yeniden şifreler. Üst düzey akış şöyledir:

1. 1
   Güvenilir sertifika kurulur

   WCG başladığında ajan yerel bir root sertifika üretir ve işletim sisteminin güven deposuna kurar. Firefox da sistem sertifikalarına güvenecek şekilde yapılandırılır. Bu otomatik olur - manuel içe aktarım gerekmez.

2. 2
   Tarayıcı trafiği proxy üzerinden yönlendirilir

   Ajan sistem proxy’sini ayarlar; böylece tüm tarayıcı trafiği yerel WCG proxy’sinden geçer. Windows’ta kullanıcı başına, macOS’ta tüm ağ servisleri, Linux’ta hem masaüstü ortamı hem sistem geneli ayarları kapsar.

3. 3
   HTTPS trafiği incelenir

   Tarayıcı kurulu sertifikaya güvendiği için WCG, HTTPS trafiğinin şifresini anlık olarak çözer, açık metin içeriği inceler ve hedefe göndermeden önce yeniden şifreler.

4. 4
   Politikalar içeriğe uygulanır

   WCG web ve DLP politikalarınızı decrypt edilmiş içeriğe uygular - yapılandırdığınız şekilde engeller, yavaşlatır, uyarır veya loglar. Politikalar panelden çekilir ve proxy yeniden başlatılmadan canlı uygulanır.

5. 5
   Trafiğin incelenebilir kalması için QUIC engellenir

   QUIC (HTTP/3) UDP üzerinden çalışır ve proxy’yi atlatır. WCG, outbound UDP 443 ve 80 portlarını engelleyerek tarayıcıların TCP tabanlı HTTPS’ye geri düşmesini sağlar; proxy bunu inceleyebilir.

Güvenilir sertifika kurulumu

Tarayıcı decrypt edilmiş trafiği uyarı olmadan kabul etsin diye WCG, işletim sistemi güven deposuna güvenilir bir root sertifika kurar. Bu, WCG başladığında otomatik yapılır ve kullanıcı başına uygulanır; böylece aynı cihazdaki birden fazla kullanıcı izole edilir.

Sistem proxy yapılandırması

Sertifika kurulduktan sonra WCG, sistem proxy’sini ayarlayarak tarayıcı trafiğini yerel proxy üzerinden yönlendirir. Yapılandırma işletim sistemine göre otomatik yapılır ve proxy durduğunda özgün ayarlara geri döndürülür.