Configurer les politiques Web et les limites de données dans Sophos Protected Browser

Les politiques Web de Sophos Protected Browser déterminent qui peut accéder à quelles cibles avec quel état de l’appareil, ainsi que le traitement autorisé pour les téléchargements, les chargements et les données. L’ordre d’évaluation est essentiel : le navigateur contrôle les politiques actives selon leur rang et utilise la première dont toutes les conditions correspondent. Il n’évalue ensuite plus les autres.

Pour un déploiement sûr, créez d’abord une politique pilote au périmètre restreint, placez-la avant les règles plus générales et testez séparément les accès, les transferts de fichiers et les limites de données. La politique de base contient les actions par défaut utilisées en l’absence d’autres politiques.

Prérequis, licence et rôles

Avant la configuration, les Benutzergruppen requis doivent déjà exister dans Sophos Central et les Gerätestatus, Anwendungsgruppen, Standortlisten et Webkategorien doivent déjà exister comme objets de politique. Seuls les utilisateurs et objets créés au préalable apparaissent ensuite sous Bedingungen. Un groupe d’utilisateurs attribué ne doit pas être vide : il doit contenir au moins un utilisateur.

Les sources produit autorisées pour cette procédure ne mentionnent aucune licence ni aucun rôle d’administrateur précis. Il ne faut donc pas en déduire une autorisation. Avant toute modification, vérifiez que Meine Produkte > Protected Browser > Internetrichtlinie est visible et modifiable dans votre tenant. Si cette section est absente ou en lecture seule, ne poursuivez pas en supposant qu’un rôle plus étendu convient : faites clarifier l’attribution des licences et des rôles du tenant.

Les objets de politique nécessaires doivent être créés au préalable dans Sophos Central ; leur création ne fait pas partie de cette procédure.

Comprendre la logique des politiques avant la configuration

Une politique possède le Gesamtauswirkung Erlauben, Blockieren ou Warnen :

Erlauben accorde aux groupes d’utilisateurs et états d’appareil sélectionnés l’accès aux cibles choisies.
Blockieren bloque cet accès.
Warnen autorise l’accès, mais affiche d’abord un avertissement.

Le groupe d’utilisateurs et l’état de l’appareil sont associés par UND : si les deux figurent dans la politique, ils doivent tous deux correspondre. En revanche, les critères de cible Anwendungsgruppe, Standortliste et Internet-Kategorie sont associés par ODER : un seul critère de cible correspondant suffit.

De vastes ensembles de cibles peuvent ainsi s’appliquer rapidement. Par exemple, une politique portant sur le groupe d’utilisateurs Finanzen-Pilot, l’état d’appareil Windows, un groupe d’applications et une liste de sites correspond si l’utilisateur et l’état de l’appareil correspondent, et si la cible appartient au groupe d’applications ou à la liste de sites. Finanzen-Pilot n’est qu’un exemple de nom et doit être remplacé par un groupe existant et non vide de votre tenant.

Gérer délibérément la politique de base

La Basisrichtlinie contient un Webfilter-Profil et des Standardaktionen für Downloads, Uploads und Datengrenzen. Ces actions par défaut s’appliquent tant qu’une autre politique ne les remplace pas. Pour la modifier, ouvrez Meine Produkte > Protected Browser > Internetrichtlinie et sélectionnez Basisrichtlinie.

La politique de base peut être modifiée, mais pas supprimée, clonée ou déplacée dans le classement. Placez donc les exigences particulières dans des politiques distinctes au périmètre plus restreint. La politique de base reste ainsi une solution de repli prévisible et les exceptions peuvent être contrôlées par leur rang et leur statut.

Activer Phishing Protection globalement et dans les politiques

Phishing Protection surveille les formulaires des sites Web pour les adresses e-mail ou domaines d’entreprise définis. La protection intervient lors de la saisie ou de l’envoi d’une adresse surveillée ; elle n’analyse pas les messages électroniques. Il s’agit d’un contrôle distinct, à ne pas confondre avec le filtrage par catégorie Web ni avec les limites du presse-papiers ou des fichiers.

Définir d’abord les adresses à protéger

Ouvrez My Products > Protected Browser > Settings et sélectionnez l’onglet Phishing Protection.
Activez Phishing Protection.
Sous Email domains to protect, saisissez les domaines d’entreprise ou les adresses e-mail individuelles nécessaires. example.com est un exemple de domaine fictif couvrant tous ses utilisateurs ; pb-pilot@example.com représente une adresse de test unique. Dans le tenant, utilisez une adresse de test de votre organisation explicitement autorisée, et non tout le domaine de production dans un premier temps.
Enregistrez avec Save. Ce n’est qu’ensuite que vous pouvez activer la protection dans la politique de base ou une politique personnalisée.

Le réglage global détermine les adresses surveillées. La politique détermine les destinations concernées et la réaction appliquée. Le commutateur global ne remplace donc pas la configuration d’une politique.

Choisir séparément la politique de base et la politique personnalisée

Sous My Products > Protected Browser > Web policy > Base policy, activez Enable Phishing Protection et choisissez Warn ou Block. Dans la politique de base, ce contrôle concerne les sites Web connus comme présentant un risque élevé ou une faible réputation. Warn affiche un avertissement et laisse l’utilisateur décider de continuer. Block empêche la saisie de l’adresse e-mail surveillée.

Dans une politique personnalisée, activez également Enable Phishing Protection, choisissez Warn ou Block et enregistrez avec Save. Le contrôle s’applique ici aux applications et sites Web couverts par la politique quel que soit leur niveau de risque. Limitez donc délibérément le groupe d’utilisateurs, l’état de l’appareil, les conditions de destination, le statut et le rang. L’action antiphishing n’est pas le Gesamtauswirkung de la politique : une application globalement autorisée peut toujours bloquer la saisie d’une adresse surveillée. Pour le pilote, utilisez une application de test accessible et autorisée afin qu’un blocage général de l’accès ne masque pas le test du formulaire.

Tester sans véritable site de phishing

Utilisez une page de formulaire autorisée et inoffensive sous votre contrôle et une seule adresse de test autorisée. Ne saisissez aucun véritable mot de passe et ne visitez aucun site suspect.

Consignez l’état global antérieur, la liste d’adresses et les paramètres antiphishing des politiques concernées. Limitez une politique pilote personnalisée au groupe de test et à la page du formulaire, puis placez-la avant les règles plus larges qui correspondent.
Ajoutez l’adresse de test au niveau global et choisissez Enable Phishing Protection > Warn dans la politique pilote. Saisissez l’adresse surveillée dans le formulaire ou tentez de l’envoyer. Un avertissement est attendu ; une poursuite autorisée teste la décision après avertissement, pas un blocage.
Modifiez uniquement l’action antiphishing en Block et répétez la tentative. La saisie ou l’envoi de l’adresse surveillée doit être empêché. Avec une adresse fictive non surveillée, vérifiez que ce contrôle ne bloque pas indistinctement toutes les adresses.
Notez l’heure du test, l’utilisateur, l’application, l’URL du formulaire et la décision observée. Vérifiez ensuite les événements à l’aide des rapports Phishing Protection. Le test sur la destination inoffensive démontre l’application de la politique personnalisée indépendamment de la réputation, pas la classification du risque ni le déclenchement de la politique de base.

Si le commutateur de la politique n’apparaît pas ou si la réaction attendue manque, vérifiez d’abord l’activation globale, l’adresse ou le domaine enregistré et la première politique active qui correspond. Un rapport vide ne prouve ni une protection réussie ni sa désactivation. Sans résultat clair, limitez le déploiement au pilote.

Pour revenir en arrière, rétablissez l’état antérieur documenté de la politique pilote ou désactivez-la avec Update, puis vérifiez quelle politique prend réellement le relais. Une protection antiphishing encore active dans la politique de base peut rester effective après la désactivation du pilote. Ne rétablissez la liste d’adresses et le commutateur globaux que si aucune autre politique n’a besoin de cette modification. La désactivation globale retire aussi le prérequis des autres politiques antiphishing ; ce n’est pas un retour arrière sans risque limité à une seule politique.

Choisir la protection des téléchargements et chargements

Les profils d’action ne sont pas des variantes d’un même niveau de sécurité. En particulier, ohne Scannen erlauben et erlauben, wenn nicht scannbar n’ont pas les mêmes conséquences sur le risque qu’un profil qui bloque un fichier impossible à analyser.

Protection des téléchargements

Alle Downloads blockieren: bloque tous les téléchargements de fichiers.
Alle Downloads ohne Scannen erlauben: autorise tous les téléchargements sans analyser les fichiers ni vérifier la réputation de leurs URL.
Riskante Downloads scannen und blockieren, wenn nicht scannbar: analyse les fichiers texte, Microsoft Office et PDF, vérifie la réputation de l’URL et bloque les fichiers impossibles à analyser.
Riskante Downloads scannen und erlauben, wenn nicht scannbar: effectue les mêmes contrôles, mais autorise les fichiers impossibles à analyser.
Nur ausführbare Downloads scannen: analyse les fichiers binaires et exécutables, vérifie la réputation de l’URL et autorise les fichiers impossibles à analyser.

Protection des chargements

Alle Uploads blockieren: bloque tous les chargements de fichiers.
Alle Uploads ohne Scannen erlauben: autorise tous les chargements sans analyser les fichiers ni vérifier la réputation de leurs URL.
Riskante Datei-Uploads scannen und blockieren, wenn nicht scannbar: analyse les fichiers texte, Microsoft Office et PDF, vérifie la réputation de l’URL et bloque les fichiers impossibles à analyser.
Riskante Datei-Uploads scannen und erlauben, wenn nicht scannbar: effectue les mêmes contrôles, mais autorise les fichiers impossibles à analyser.
Dokument- und Text-Uploads blockieren, andere Dateitypen scannen: bloque les documents et fichiers texte, analyse les autres types de fichiers, y compris leur URL, et autorise les fichiers impossibles à analyser.

Protected Browser évalue la réputation des fichiers avec la Sophos Extensible List (SXL). Dans certains cas, Sophos Intellix analyse des fichiers précis. Avant le test pilote, clarifiez la classification des données et l’autorisation de l’analyse cloud. Les décisions de protection et de partage des données à l’échelle du tenant restent distinctes des profils de politique propres au produit décrits ici.

Choisir correctement les limites de données

Les limites de données contrôlent Bildschirmaufnahme, Teilen und Aufzeichnen, Drucken, Seite speichern et Ausschneiden, kopieren, einfügen. Les limites du presse-papiers ne s’appliquent explicitement pas à la barre d’adresse du navigateur. Un test concluant du presse-papiers dans le contenu d’une page ne prouve donc pas que la barre d’adresse est contrôlée.

Tout autoriser

Ce profil autorise les captures d’écran, le partage et l’enregistrement, l’impression, l’enregistrement de la page, ainsi que les opérations couper, copier et coller. Il n’impose aucune des limites de données décrites.

Autoriser la copie vers l’extérieur — bloquer le collage vers l’intérieur

Allow copy/paste outside the browser - block pasting inwards autorise la coupe et la copie depuis les applications sélectionnées, ainsi que le collage dans des ressources hors du navigateur. Le sens inverse est bloqué : le contenu de sources externes ne peut pas être collé dans les applications sélectionnées. Les captures d’écran, le partage et l’enregistrement, l’impression et Save page sont autorisés. Aucune option supplémentaire de contournement temporaire n’est indiquée pour ce profil ; les actions sur l’écran citées sont déjà autorisées.

Il s’agit d’une limite directionnelle des entrées, pas d’une protection contre la sortie de données. Par exemple, les résultats d’une application d’IA sélectionnée peuvent être copiés vers l’extérieur, tandis que le collage de contenu externe dans cette application reste bloqué. Les chargements de fichiers restent contrôlés séparément par la protection des chargements.

Conserver les données dans les cibles de cette politique

Les captures d’écran, le partage et l’enregistrement, l’impression et Seite speichern sont bloqués. Couper, copier et coller fonctionnent dans les cibles sélectionnées, mais le texte ne peut pas être collé en dehors de celles-ci. Le collage depuis des sources externes et le contournement temporaire de la protection contre les captures d’écran, le partage et l’enregistrement ne sont pas autorisés.

Ce profil convient lorsque les données peuvent circuler entre les applications couvertes par la même politique sans pouvoir quitter cet ensemble de cibles. Si Jira et Salesforce figurent, par exemple, dans le groupe d’applications sélectionné, le presse-papiers reste utilisable entre ces cibles.

Conserver les données dans les cibles — autoriser et journaliser le contournement

Le presse-papiers reste limité aux cibles sélectionnées et le collage depuis des sources externes est interdit. Les opérations couper, copier et coller sont journalisées. Les captures d’écran, le partage et l’enregistrement sont normalement bloqués, mais les utilisateurs finaux peuvent contourner temporairement cette protection. Drucken et Seite speichern sont autorisés après un avertissement.

Ce profil est moins strict que la variante sans contournement. Utilisez-le uniquement si un besoin d’exception légitime justifie le contournement et les autorisations après avertissement.

Conserver les données dans les cibles — autoriser le collage depuis l’extérieur

Les captures d’écran, le partage et l’enregistrement, l’impression et Seite speichern sont bloqués. Couper et copier sont également bloqués, mais coller est autorisé. Des données externes peuvent ainsi entrer dans les cibles protégées sans que leur contenu puisse en être copié. Aucun contournement temporaire de la protection contre les captures d’écran, le partage et l’enregistrement n’est prévu.

Pour Keep data within this policy’s destinations - allow pasting from outside, la description et la correspondance explicite des paramètres se contredisent : la description mentionne le collage dans les deux sens, mais la correspondance bloque couper et copier et autorise coller. Pour la planification, conservez la correspondance restrictive ci-dessus. Il ne s’agit pas d’une autorisation confirmée de copier vers l’extérieur. Avant l’utilisation en production, testez les deux sens avec du contenu inoffensif ; en cas d’écart, arrêtez le déploiement et faites clarifier le comportement par Sophos Support.

Conserver les données dans les destinations — autoriser le partage d’écran et l’enregistrement

Keep data within this policy’s destinations - allow screenshare and recording autorise les captures d’écran, le partage et l’enregistrement pour les destinations sélectionnées. Printing et Save page restent bloqués. Couper, copier et coller sont autorisés entre les destinations de la politique ; le collage de ce contenu hors de ces destinations et le collage depuis des sources externes sont interdits. La correspondance des paramètres indique également que le contournement temporaire par l’utilisateur de la protection contre les captures d’écran, le partage et l’enregistrement est autorisé. Les actions sur l’écran étant déjà autorisées, ce n’est pas une garantie de protection supplémentaire.

La limite du presse-papiers n’empêche pas ici de transmettre le contenu visible par partage d’écran ou enregistrement. Ne choisissez ce profil que si cette transmission est autorisée pour les applications concernées.

Conserver les données dans Protected Browser

Les captures d’écran, le partage et l’enregistrement, l’impression et Seite speichern sont bloqués. Couper, copier et coller ne sont possibles qu’au sein de Protected Browser ; le texte externe peut être collé dans le navigateur. Aucun contournement temporaire de la protection contre les captures d’écran, le partage et l’enregistrement n’est prévu.

La différence avec une limite fondée sur les cibles est importante : ce profil établit une limite autour de l’ensemble de Protected Browser, et pas uniquement autour des cibles de la même politique.

Tester les sens de transfert et les autres voies dans le pilote

Testez les sept profils selon les correspondances ci-dessus, pas uniquement selon leur nom. Utilisez un texte de repérage inoffensif dans le contenu d’une page, deux destinations de la même politique, une destination non couverte et une application externe. La barre d’adresse est volontairement exclue des tests des limites du presse-papiers.

Vers l’intérieur : Collez le texte de repérage depuis l’application externe dans une destination couverte. Cela doit échouer pour le profil bloquant le collage vers l’intérieur et les profils liés aux destinations sans autorisation de collage externe ; Tout autoriser, Autoriser le collage depuis l’extérieur et la limite autour de tout Protected Browser l’autorisent.
Vers l’extérieur et entre destinations : Testez séparément couper et copier dans la destination couverte, coller dans la seconde destination couverte, puis dans la destination non couverte ou l’application externe. Tout autoriser et Autoriser la copie vers l’extérieur autorisent la sortie. Les profils liés aux destinations la limitent à leurs destinations ; avec le profil au descriptif contradictoire autorisant le collage, couper et copier doivent déjà échouer selon la correspondance restrictive. La limite du navigateur autorise seulement les transferts au sein de Protected Browser.
Autres sorties : Testez individuellement les captures d’écran, le partage, l’enregistrement, l’impression et Save page. Pour la variante avec contournement journalisé, testez aussi le contournement temporaire autorisé de la protection d’écran et les avertissements avant impression ou enregistrement de la page. Pour la variante autorisant le partage d’écran, les actions sur l’écran doivent fonctionner tandis que l’impression et l’enregistrement de la page restent bloqués.

Pour chaque test, notez le profil, la source, la destination, le résultat attendu et le résultat observé. Un succès avec le presse-papiers ne prouve ni le blocage des chargements ni celui du partage d’écran. Ne contournez pas des écarts inexpliqués en passant à Tout autoriser.

Configurer une politique pilote

Ouvrez Meine Produkte > Protected Browser > Internetrichtlinie et, sous Richtlinien, sélectionnez Richtlinie hinzufügen.
Saisissez un Namen unique, par exemple PB-Finanzen-Pilot, et une Beschreibung indiquant l’objectif et la personne responsable. Le nom d’exemple peut être choisi librement ; il ne remplace pas un groupe d’utilisateurs existant.
Sous Gesamtauswirkung, sélectionnez Erlauben, Blockieren ou Warnen. Une politique qui comporte des actions sur les fichiers et les limites de données doit utiliser Erlauben ou Warnen.
Sous Bedingungen > Benutzergruppe, sélectionnez Bearbeiten. Sous Benutzergruppen bearbeiten > Verfügbar, choisissez le groupe pilote existant et déplacez-le vers Zugewiesen. Vérifiez qu’il contient au moins un utilisateur, puis confirmez avec Speichern.
Sélectionnez une ou plusieurs valeurs Gerätestatus. Choisissez ensuite les cibles requises via Anwendungsgruppe, Standortliste et/ou Internet-Kategorie. Ne sélectionnez Beliebig que si la condition ne doit délibérément pas être limitée à un groupe d’utilisateurs ou à un objet de politique précis.
Sous Aktionen, choisissez les profils Download-Schutz, Upload-Schutz et Datengrenzen. Cette section concerne les effets globaux Erlauben et Warnen.
Si les ressources doivent s’ouvrir exclusivement dans la version complète de Protected Browser, activez Nutzung des vollständigen Browsers erzwingen. À l’accès, les sites Web ou ressources concernés s’ouvrent alors automatiquement dans la version complète de Protected Browser.
Sélectionnez Speichern.
Dans le tableau des politiques, ouvrez Auf Position # verschieben dans le menu à trois points, déplacez la politique pilote à la position voulue avec la flèche, puis sélectionnez Anwenden. Un numéro de rang inférieur est évalué plus tôt ; le rang 1 est le premier.

Une politique restreinte doit précéder une politique plus générale qui remplit déjà entièrement les mêmes conditions d’utilisateur et de cible. Dans le cas contraire, la politique générale s’applique d’abord et la politique pilote n’est pas évaluée.

Validation et résultat attendu

Pour la recette, utilisez un utilisateur de test appartenant précisément au groupe pilote attribué et non vide, un état d’appareil correspondant et une cible clairement attribuée. Utilisez des fichiers et contenus non sensibles.

Dans le tableau des politiques, vérifiez Rang, Name, Zugriff et Status. La politique pilote doit être Aktiv et précéder toute politique plus large qui correspond également.
Testez une cible qui remplit les conditions. L’accès doit être possible avec Erlauben, possible après l’avertissement avec Warnen et impossible avec Blockieren.
Testez un scénario de téléchargement et de chargement autorisé par le profil choisi, ainsi qu’un scénario bloqué. Pour un profil qui bloque si l’analyse est impossible, cette décision fait partie du critère de réussite ; pour un profil qui autorise si l’analyse est impossible, le résultat inverse est attendu.
Testez séparément chaque aspect de la limite de données choisie : capture d’écran ou partage, impression, Seite speichern, copie entre deux cibles couvertes, copie vers l’extérieur et collage depuis l’extérieur. Le résultat attendu est exactement la combinaison définie par le profil choisi.
Si Nutzung des vollständigen Browsers erzwingen est actif, accédez à une ressource couverte et vérifiez qu’elle s’ouvre dans la version complète de Protected Browser.
Effectuez un test où un seul critère de cible correspond et un autre où le groupe d’utilisateurs ou l’état de l’appareil ne correspond pas. Vous contrôlez ainsi séparément la relation OR entre les cibles et la relation AND entre les conditions d’utilisateur et d’appareil.

Résoudre les problèmes selon le symptôme

La politique ne s’applique pas

Vérifiez d’abord Status et Rang. Une politique Nicht aktive n’est pas évaluée. Si une politique active de rang supérieur correspond déjà entièrement, l’évaluation s’y arrête. Placez la politique restreinte avant la règle plus large avec Auf Position # verschieben > Anwenden, puis recommencez le test.

Contrôlez ensuite la logique des conditions : groupe d’utilisateurs et état de l’appareil doivent correspondre ensemble ; pour le groupe d’applications, la liste de sites et la catégorie Web, une seule cible correspondante suffit. Si une valeur n’est pas proposée, l’utilisateur ou l’objet de politique n’a peut-être pas encore été créé.

Un groupe d’utilisateurs ne peut pas être attribué correctement

Vérifiez que le groupe contient au moins un utilisateur. Un groupe d’utilisateurs attribué vide n’est pas autorisé. Ajoutez d’abord les utilisateurs au groupe, enregistrez à nouveau la politique et répétez le test avec un membre de ce groupe.

Les actions sur les fichiers ou les limites de données semblent ignorées

Vérifiez le Gesamtauswirkung. Avec Blockieren, les actions supplémentaires de protection des téléchargements, des chargements et des limites de données ne s’appliquent pas. Avec Erlauben ou Warnen, vérifiez ensuite si une politique de priorité supérieure a correspondu en premier et quel profil d’action y est réellement sélectionné.

N’utilisez pas la barre d’adresse comme surface de test du presse-papiers : les limites documentées ne s’y appliquent pas. Si le résultat dans le contenu de la page diffère toujours de la matrice du profil sélectionné, ne généralisez pas le changement. Documentez le cas de test, le rang, les conditions et le profil, puis transmettez le dossier au support Sophos.

Retour arrière et retrait sécurisés

Avant toute modification, consignez le Rang, le Status, les conditions et les profils d’action de la politique concernée. Pour un retour arrière réversible, désactivez la nouvelle politique pilote, puis sélectionnez Aktualisieren. Une politique inactive n’est pas évaluée ; le nouveau test doit donc montrer que la politique correspondante suivante ou la politique de base s’applique à nouveau.

N’envisagez une suppression qu’après confirmation de ce retour arrière. Les politiques propres peuvent être supprimées avec Löschen dans le menu à trois points ou servir de point de départ à une nouvelle variante avec Klonen. La politique de base ne peut être ni supprimée, ni clonée, ni déplacée dans le classement. Ne supprimez donc pas une politique tant que ses conditions, son rang ou l’effet de remplacement souhaité restent incertains.

Lors du retrait d’un groupe d’utilisateurs ou d’un objet de politique, examinez d’abord toutes les politiques qui l’utilisent comme condition. Adaptez ensuite l’attribution, confirmez l’effet par un test limité, puis seulement après traitez l’objet devenu inutile dans la section prévue à cet effet.

Exploitation et contrôle régulier

Examinez les politiques à chaque modification des groupes d’utilisateurs, états d’appareil ou objets cibles, et contrôlez régulièrement leurs Rang, Status, Zugriff et profils d’action attribués. Surveillez particulièrement les règles avec Beliebig, les profils qui autorisent les fichiers impossibles à analyser, Alle Downloads/Uploads ohne Scannen erlauben et les limites de données avec contournement temporaire.

Commencez par cloner une modification ou par la créer sous forme de nouvelle politique pilote destinée à un petit groupe cible. Élargissez délibérément son périmètre après une recette réussie. Indépendamment de ces contrôles, vérifiez les échéances de migration et les dates de retrait ou de fin de vie du produit dans les communications officielles.

Guide connexe

Contrôler la protection et le partage des données dans Sophos Fusion présente le contexte du partage de fichiers avec les services Sophos et des décisions de protection des données à l’échelle du tenant.