Imporre l'uso di Sophos Protected Browser per le applicazioni SaaS

È possibile limitare l’accesso alle applicazioni SaaS critiche in modo che avvenga esclusivamente tramite Sophos Protected Browser. Entra ID o Okta autentica le richieste e, per le applicazioni selezionate, consente solo il traffico proveniente dagli indirizzi IP copiati da un’area del piano dati ZTNA. Di conseguenza, l’accesso da un altro browser viene bloccato.

La procedura sicura si articola in quattro fasi: preparare il provider di identità e le applicazioni, attivare in Sophos Fusion (in precedenza Sophos Central) l’obbligo di utilizzare Protected Browser, registrare presso il provider di identità gli indirizzi IP ZTNA copiati come posizione attendibile e attivare inizialmente la policy di accesso con un ambito limitato. Con Entra ID, limitare gli utenti a un piccolo gruppo pilota. La procedura documentata per Okta, invece, non prevede una selezione di gruppo equivalente: utilizzare un’applicazione pilota dedicata oppure verificare e documentare in anticipo gli utenti assegnati all’applicazione scelta. Scegliere Entra ID o Okta e non applicare entrambe le procedure alla stessa applicazione pilota.

Nella navigazione, Sophos indica questa attività come Global Settings > Protected Browser enforcement. Nell’interfaccia descritta, il percorso esatto è Global Settings > Products and Services > Protected Browser > Browser enforcement. La guida ufficiale di Entra ID include anche un video dedicato alla procedura, ma è possibile completare tutti i passaggi seguenti senza guardarlo.

Requisiti, licenze e responsabilità

Prima di apportare la modifica, stabilire chi amministra Sophos Central e chi gestisce il provider di identità. Le fonti approvate non specificano una licenza Sophos separata né un ruolo specifico di Sophos Central per questa procedura. Non desumere quindi autorizzazioni non documentate: l’account responsabile deve poter aprire Global Settings > Products and Services > Protected Browser > Browser enforcement e modificare le impostazioni. Se la voce di menu non è presente o non è modificabile, risolvere il problema di autorizzazione o di accesso al prodotto prima della distribuzione.

Per Entra ID si applicano i seguenti requisiti documentati:

Licenza Microsoft Entra ID P1.
Entra ID aggiunto come provider di identità federato in Sophos Fusion.
Applicazioni da proteggere aggiunte in Entra ID.
SAML configurato in Entra ID per l’autenticazione degli utenti.
Privilegi di amministratore per l’account che configura l’imposizione di Protected Browser in Entra ID.

Per Okta si applicano i seguenti requisiti:

Okta aggiunto come provider di identità federato in Sophos Fusion.
Applicazioni da proteggere aggiunte in Okta.
SAML configurato in Okta per l’autenticazione degli utenti.
Privilegi di amministratore per l’account che configura l’imposizione di Protected Browser in Okta.

Per entrambe le varianti è inoltre necessaria un’area selezionabile in Data plane region. Questa guida presuppone che l’area ZTNA sia già disponibile, ma non ne descrive la creazione né tratta la gestione generale di ZTNA, delle directory o dei ruoli.

Prima del progetto pilota, annotare: provider di identità selezionato, area ZTNA, elenco IP copiato e applicazione pilota. Per Entra ID, annotare anche gli utenti o il gruppo di test. Per Okta, documentare invece gli utenti assegnati all’applicazione pilota. I menu dei prodotti di terze parti possono cambiare indipendentemente da Sophos. Prima dell’attivazione in produzione, confrontare quindi i percorsi di Entra ID o Okta indicati in questa guida con la documentazione aggiornata del rispettivo produttore.

Configurare Entra ID per imporre l’uso di Protected Browser

Entra ID autentica le richieste indirizzate a login.microsoftonline.com e instrada il traffico consentito attraverso l’area ZTNA selezionata. Limitare il primo test a un’applicazione pilota e a un piccolo gruppo di utenti, in modo da contenere gli effetti di un’eventuale condizione errata.

Attivare Entra ID in Protected Browser

Aprire Global Settings > Products and Services > Protected Browser.
Fare clic su Browser enforcement.
Attivare Entra ID.
In Data plane region, selezionare l’area ZTNA da utilizzare per l’autenticazione.
Fare clic su Copy IPs list. Nel passaggio successivo, registrare questi indirizzi IP come posizione denominata.

Importante se l’estensione viene installata in un secondo momento: se l’estensione Protected Browser viene installata dopo aver imposto l’uso di Protected Browser con Entra ID, disattivare Entra ID in questa impostazione e quindi riattivarlo.

Creare una posizione denominata in Entra ID

In Entra ID, aprire Enterprise applications > Conditional access.
Selezionare Named locations e fare clic su IP ranges location.
Assegnare un nome univoco, ad esempio Sophos-PB-ZTNA-Pilot. Il nome è libero, ma dovrebbe identificare l’area ZTNA associata e il relativo scopo.
Fare clic sul simbolo più e incollare gli indirizzi IP copiati in precedenza con Copy IPs list.
Fare clic su Create.

Confrontare i valori incollati con l’elenco IP annotato. Un elenco obsoleto o incompleto potrebbe bloccare il traffico legittimo di Protected Browser oppure escludere dal blocco una posizione errata.

Creare una policy di accesso condizionale

Rimanere in Enterprise applications > Conditional access, selezionare Policies e fare clic su New policy.
Assegnare un nome, ad esempio SaaS nur via Protected Browser - Pilot.
Aprire Users > Include > Select users and groups, fare clic su Users and groups e selezionare solo gli utenti pilota o il gruppo pilota.
Aprire Target resources > Include, fare clic su Select resources e selezionare inizialmente solo l’applicazione pilota.
Aprire Network e impostare Configure su Yes.
In Include, selezionare Any network or location.
In Exclude, selezionare Selected network and locations, quindi selezionare la posizione denominata creata in precedenza.
Aprire Grant, selezionare Block access e fare clic su Select. In questo modo vengono bloccati tutti gli accessi inclusi nella policy che provengono dall’esterno della posizione ZTNA denominata.
Impostare Enable policy su On e fare clic su Create.

Prima dell’ultimo passaggio, verificare nuovamente la combinazione di utenti di test, applicazione pilota e posizione ZTNA esclusa dal blocco. Una selezione troppo ampia può bloccare immediatamente l’accesso diretto alle applicazioni SaaS per molti utenti.

Configurare Okta per imporre l’uso di Protected Browser

Per Okta, specificare in Sophos Fusion il dominio che riceve le richieste di accesso all’applicazione. Okta autentica queste richieste e instrada il traffico consentito attraverso l’area ZTNA selezionata. A differenza della procedura descritta per Entra ID, la policy Okta non viene limitata a un gruppo pilota. Preparare quindi un’applicazione pilota dedicata. Se è invece necessario selezionare un’applicazione già in uso in produzione, verificarne e documentarne esplicitamente le assegnazioni prima di apportare la modifica.

Attivare Okta in Protected Browser

Aprire Global Settings > Products and Services > Protected Browser.
Fare clic su Browser enforcement.
Attivare Okta e inserire il dominio che riceve le richieste di accesso all’applicazione.
In Data plane region, selezionare l’area ZTNA prevista.
Fare clic su Copy IPs list. Utilizzare questi indirizzi per creare una zona IP in Okta.

Importante se l’estensione viene installata in un secondo momento: se l’estensione Protected Browser viene installata dopo aver imposto l’uso di Protected Browser con Okta, disattivare Okta e quindi riattivarlo.

Aggiungere una zona IP in Okta

In Okta, aprire Security > Networks.
Fare clic su Add zone e selezionare IP zone.
Assegnare un nome, ad esempio Sophos-PB-ZTNA-Pilot.
In Gateway IPs, incollare gli indirizzi IP dell’area ZTNA copiati da Sophos Fusion.
Fare clic su Save.

Creare una policy di accesso condizionale in Okta

Verificare l’impatto prima della modifica: la regola Catch-all si applica a tutti gli utenti assegnati all’applicazione selezionata. Impostandola su Denied per un’applicazione di produzione, si rischia di bloccare l’accesso dall’esterno della zona IP ZTNA consentita per tutti gli utenti assegnati. Procedere solo con un’applicazione pilota dedicata oppure con assegnazioni dell’applicazione verificate e documentate in anticipo.

Aprire Security > Authentication policies e fare clic su App sign-in.
Fare clic su Create policy, assegnare un nome, ad esempio SaaS nur via Protected Browser - Pilot, quindi fare nuovamente clic su Create policy.
In Rules, accanto a Catch-all rule, fare clic su Edit in Actions.
Impostare Then Access is su Denied e fare clic su Save.
Fare clic su Add rule e assegnare un nome univoco.
Impostare User’s IP is su In any of the following zones e selezionare la zona IP creata in precedenza.
Impostare Then Access is su Allowed after successful authentication e fare clic su Save.
In Applications, selezionare solo l’applicazione pilota dedicata oppure l’applicazione le cui assegnazioni sono state verificate in precedenza, quindi fare clic su Save.

L’ordine delle regole è essenziale per la sicurezza: la regola Catch-all nega l’accesso agli utenti assegnati all’applicazione, mentre la regola aggiuntiva lo consente solo dalla zona contenente gli indirizzi IP ZTNA copiati e dopo la corretta autenticazione.

Verificare il funzionamento con un progetto pilota limitato

Le fonti approvate non indicano un report specifico come prova dell’esito positivo. Verificare quindi l’effettivo comportamento dell’accesso utilizzando esattamente l’utente e l’applicazione inclusi nel progetto pilota:

Disconnettere completamente l’utente di test dall’applicazione pilota, affinché una sessione precedente non alteri il risultato. Con Entra ID, l’utente deve appartenere al gruppo pilota; con Okta, deve essere assegnato all’applicazione pilota dedicata o verificata in precedenza.
Aprire l’applicazione pilota in Protected Browser e autenticare l’utente di test. Dopo la corretta autenticazione, l’accesso deve essere consentito.
Aprire la stessa applicazione in un altro browser con lo stesso utente di test. Questo tentativo di accesso deve essere bloccato.
Verificare che l’ambito rimanga limitato in base al provider: con Entra ID, il comportamento di un utente esterno al gruppo pilota non deve cambiare involontariamente; con Okta, non deve cambiare il comportamento di un’altra applicazione non associata alla policy di autenticazione. Verificare inoltre che le assegnazioni dell’applicazione documentate corrispondano ancora al gruppo di utenti previsto per il progetto pilota.
Documentare l’area ZTNA selezionata e confrontare nuovamente l’elenco IP registrato presso il provider di identità con quello ottenuto tramite Copy IPs list.

Il token di autenticazione viene gestito dal provider di identità. Gli eventuali controlli di sessione per l’accesso condizionale configurati presso il provider hanno la precedenza. Ad esempio, se la frequenza di accesso è impostata su due giorni, la sessione termina dopo due giorni. Se il provider di identità non prevede alcun controllo di sessione, Sophos indica che Protected Browser applica una scadenza predefinita di sette giorni. Un token già esistente può quindi far apparire il risultato di un test diverso da quello ottenuto con un nuovo accesso.

Risoluzione dei problemi in base al sintomo

Un altro browser riesce ancora ad accedere

Verificare innanzitutto che l’utente di test e l’applicazione SaaS corretta siano effettivamente inclusi nella policy. Confrontare quindi la zona IP o la posizione denominata configurata presso il provider di identità con l’elenco IP corrente copiato da Sophos Fusion. In Entra ID, includere Any network or location, escludere la posizione ZTNA denominata e selezionare Block access per tutti gli altri accessi. In Okta, la regola Catch-all deve negare l’accesso e la regola di autorizzazione deve essere limitata alla zona IP creata.

Terminare le sessioni esistenti dell’applicazione ed eseguire il test con un nuovo accesso. Se l’accesso rimane possibile, non estendere il progetto pilota e verificare presso il provider di identità come viene valutata la policy. Le fonti non documentano ulteriori opzioni Sophos da utilizzare per aggirare una regola errata di terze parti.

Anche Protected Browser viene bloccato

Confrontare, carattere per carattere, gli indirizzi IP ottenuti tramite Copy IPs list con quelli della posizione denominata o di Gateway IPs. Verificare inoltre che in Sophos Fusion sia selezionata la stessa voce di Data plane region i cui indirizzi sono stati registrati presso il provider di identità. Controllare quindi SAML, l’applicazione selezionata e l’utente di test in base ai requisiti.

Se l’estensione Protected Browser è stata installata in un secondo momento, disattivare in Sophos Fusion il provider configurato e quindi riattivarlo. Questa operazione è espressamente richiesta sia per Entra ID sia per Okta. Non modificare contemporaneamente l’area ZTNA, l’elenco IP e la policy di accesso, altrimenti non sarà possibile isolare chiaramente la causa.

Le sessioni terminano prima o dopo il previsto

Verificare i controlli di sessione e la frequenza di accesso nel provider di identità. Questi valori hanno la precedenza sul comportamento delle sessioni di Protected Browser. La scadenza predefinita documentata di sette giorni si applica solo se non è configurato alcun controllo di sessione.

Entra ID e Okta sono prodotti di terze parti. Se un menu o un controllo non è identificabile con certezza, non salvare una regola soltanto perché sembra equivalente. Confrontare la procedura con la documentazione aggiornata del rispettivo provider oppure rivolgersi all’amministrazione o al supporto del provider. La misura temporanea più sicura consiste nel non estendere la distribuzione in produzione oltre l’ambito pilota già testato con successo: il gruppo pilota per Entra ID oppure le assegnazioni dell’applicazione dedicata o verificata in precedenza per Okta.

Rollback e disattivazione sicuri

Le fonti pubblicate non documentano una procedura completa di eliminazione, disattivazione o rollback. Non eliminare quindi per primi la posizione, la zona IP o la connessione SAML: la regola di blocco potrebbe rimanere attiva senza l’eccezione necessaria.

Per ogni rollback, attenersi al seguente quadro di sicurezza:

Interrompere qualsiasi estensione della distribuzione e registrare l’utente pilota, l’applicazione pilota, il provider di identità, l’area ZTNA e l’elenco IP. Per Entra ID, registrare anche il gruppo pilota; per Okta, le assegnazioni correnti dell’applicazione.
Consultare la documentazione aggiornata di Entra ID o Okta per individuare il metodo supportato con cui disattivare in modo controllato la policy di accesso specifica.
Disattivare esclusivamente la policy pilota, utilizzando il metodo confermato. Disconnettere completamente l’utente pilota dall’applicazione e autenticarlo di nuovo. L’applicazione pilota dovrebbe tornare accessibile sia in Protected Browser sia in un altro browser, a meno che un’altra policy di accesso non lo impedisca. Con Entra ID, l’accesso di un utente esterno al gruppo pilota deve rimanere invariato; con Okta, deve rimanere invariato l’accesso a un’altra applicazione non associata alla policy pilota.
Confrontare i risultati effettivi con quelli attesi. Se anche un solo risultato è diverso, interrompere il rollback e non eliminare altre policy, posizioni, zone IP o assegnazioni delle applicazioni. Verificare invece la valutazione corrente delle policy e rivolgersi all’amministrazione responsabile o al supporto del provider.
Rimuovere la posizione denominata o la zona IP solo dopo aver ottenuto il risultato previsto e aver verificato che nessuna policy attiva vi faccia ancora riferimento.
Disattivare l’imposizione del browser in Sophos Fusion o rimuovere i componenti relativi all’identità federata, a SAML o a ZTNA solo attenendosi alle rispettive procedure operative approvate.

Se non è possibile confermare con certezza il metodo di disattivazione supportato dal provider di identità, interrompere la procedura e richiedere assistenza. Per una policy che blocca l’accesso alle applicazioni SaaS, procedere per tentativi non costituisce un rollback sicuro.

Gestione operativa e ciclo di vita

Considerare l’imposizione di Protected Browser come una modifica coordinata di Sophos Fusion, del piano dati ZTNA e del provider di identità. Dopo una modifica dell’area ZTNA o dei relativi indirizzi IP, confrontare nuovamente l’elenco registrato presso il provider di identità ed eseguire un test con un utente dell’ambito limitato. Ripetere la verifica anche dopo modifiche a SAML, alle applicazioni protette, alle assegnazioni di utenti o gruppi e ai controlli di sessione.

Includere questa verifica anche nella revisione periodica delle policy di Entra ID o Okta. Accertarsi che il responsabile, le applicazioni selezionate, gli utenti interessati, la posizione di riferimento e l’elenco IP documentato siano ancora coerenti tra loro. Se viene installata l’estensione Protected Browser, trattare la riattivazione del relativo provider di identità come una modifica separata, seguita da un test positivo e da uno negativo.

Le fonti non specificano una durata generale, una data di migrazione o un comportamento di fine vita per questa configurazione. Basare quindi tali decisioni sulla documentazione aggiornata del prodotto e del produttore, non su presupposti storici.

Guide correlate

Gli oggetti delle policy, la configurazione generale di ZTNA, la gestione dei ruoli, la sincronizzazione delle directory e l’installazione o la rimozione dell’estensione Protected Browser sono attività operative distinte. Questa guida non ne ripete intenzionalmente le procedure. Utilizzare il relativo articolo di riferimento non appena sarà disponibile nella versione corrente della knowledge base.