Konfigurera webbpolicyer och datagränser i Sophos Protected Browser

Webbpolicyer i Sophos Protected Browser styr vem som får åtkomst till vilka mål med vilken enhetsstatus och vad som får ske med nedladdningar, uppladdningar och data. Utvärderingsordningen är avgörande: webbläsaren kontrollerar aktiva policyer efter rang och använder den första policyn vars villkor matchar fullständigt. Därefter utvärderas inte återstående policyer.

Skapa först en snävt avgränsad pilotpolicy för en säker lansering, placera den före mer allmänna regler och testa åtkomst, filöverföring och datagränser var för sig. Baspolicyn innehåller de standardåtgärder som används när inga andra policyer finns.

Förutsättningar, licens och roller

Före konfigureringen måste nödvändiga Benutzergruppen redan finnas i Sophos Central och Gerätestatus, Anwendungsgruppen, Standortlisten samt Webkategorien måste redan finnas som policyobjekt. Endast användare och objekt som skapats i förväg visas senare under Bedingungen. En tilldelad användargrupp får inte heller vara tom utan måste innehålla minst en användare.

Produktkällorna som godkänts för den här proceduren anger ingen särskild licens eller administratörsroll. Dra därför ingen slutsats om behörighet utifrån detta. Kontrollera före en ändring att Meine Produkte > Protected Browser > Internetrichtlinie är synligt och redigerbart i din tenant. Om området saknas eller är skrivskyddat ska du inte chansa med en bredare roll, utan reda ut tenantens licens- och rolltilldelning.

Nödvändiga policyobjekt måste skapas i Sophos Central i förväg. Att skapa dem ingår inte i den här proceduren.

Förstå policylogiken före konfigureringen

En policy har Gesamtauswirkung Erlauben, Blockieren eller Warnen:

Erlauben ger valda användargrupper och enhetsstatusar åtkomst till valda mål.
Blockieren blockerar åtkomsten.
Warnen tillåter åtkomst, men visar först en varning.

Användargrupp och enhetsstatus länkas med UND: om båda anges i policyn måste båda matcha. Målkriterierna Anwendungsgruppe, Standortliste och Internet-Kategorie länkas däremot med ODER: det räcker att ett målkriterium matchar.

Det gör att breda måluppsättningar snabbt kan få effekt. En policy för användargruppen Finanzen-Pilot, enhetsstatusen Windows, en programgrupp och en webbplatslista matchar exempelvis om användaren och enhetsstatusen matchar och målet finns i antingen programgruppen eller webbplatslistan. Finanzen-Pilot är bara ett tydligt exempelnamn och måste ersättas med en befintlig, icke-tom grupp i din tenant.

Hantera baspolicyn medvetet

Basisrichtlinie innehåller en Webfilter-Profil och Standardaktionen für Downloads, Uploads und Datengrenzen. Dessa standardåtgärder gäller om ingen annan policy åsidosätter dem. Öppna Meine Produkte > Protected Browser > Internetrichtlinie och välj Basisrichtlinie för att redigera den.

Baspolicyn kan redigeras, men inte tas bort, klonas eller flyttas till en annan rang. Placera därför individuella krav i separata, mer avgränsade policyer. Då behålls baspolicyn som en förutsägbar reservväg, medan undantag kan styras med rang och status.

Aktivera Phishing Protection globalt och i policyer

Phishing Protection övervakar webbformulär för de angivna företagsadresserna eller e-postdomänerna. Skyddet ingriper när en övervakad adress anges eller skickas; det genomsöker inte e-postmeddelanden. Det är en separat kontroll och ska inte likställas med webbkategorifiltrering eller urklipps- eller filgränser.

Ange först vilka adresser som ska skyddas

Öppna My Products > Protected Browser > Settings och välj fliken Phishing Protection.
Aktivera Phishing Protection.
Ange nödvändiga företagsdomäner eller enskilda e-postadresser under Email domains to protect. example.com är ett fiktivt domänexempel för alla användare i domänen; pb-pilot@example.com står för en enskild testadress. Använd en uttryckligen godkänd testadress från den egna organisationen i klientorganisationen, inledningsvis inte hela produktionsdomänen.
Spara med Save. Först därefter kan skyddet aktiveras i baspolicyn eller en egen policy.

Den globala inställningen avgör vilka adresser som övervakas. Policyn avgör på vilka mål skyddet tillämpas och hur det reagerar. Den globala omkopplaren ensam ersätter därför inte policykonfigurationen.

Välj baspolicy och egen policy separat

Under My Products > Protected Browser > Web policy > Base policy aktiverar du Enable Phishing Protection och väljer Warn eller Block. I baspolicyn gäller kontrollen kända webbplatser med hög risk eller dåligt rykte. Warn visar en varning och låter användaren bestämma om hen ska fortsätta. Block förhindrar att den övervakade e-postadressen anges.

Aktivera även Enable Phishing Protection i en egen policy, välj Warn eller Block och spara med Save. Här gäller kontrollen för programmen och webbplatserna som omfattas av policyn oavsett deras risknivå. Begränsa därför medvetet användargrupp, enhetsstatus, målvillkor, status och rang. Nätfiskeåtgärden är inte policyns Gesamtauswirkung: ett program som är tillåtet övergripande kan fortfarande blockera inmatning av en övervakad adress. Använd ett åtkomligt, tillåtet testprogram i piloten, så att en allmän åtkomstblockering inte döljer formulärtestet.

Testa utan en riktig nätfiskewebbplats

Använd en godkänd, ofarlig formulärsida som du själv kontrollerar och en enskild godkänd testadress. Ange inga riktiga lösenord och besök inga misstänkta webbplatser.

Dokumentera tidigare globalt läge, adresslistan och nätfiskeinställningarna för berörda policyer. Begränsa en egen pilotpolicy till testgruppen och formulärsidan och placera den före bredare matchande regler.
Lägg till testadressen globalt och välj Enable Phishing Protection > Warn i pilotpolicyn. Ange den övervakade adressen på formulärsidan eller försök skicka den. En varning förväntas; ett godkänt fortsatt försök testar varningsbeslutet, inte en blockering.
Ändra endast nätfiskeåtgärden till Block och upprepa försöket. Den övervakade adressen ska inte kunna anges eller skickas. Kontrollera med en fiktiv, icke-övervakad adress att nätfiskekontrollen inte blockerar alla adresser urskillningslöst.
Anteckna testtid, användare, program, formulär-URL och observerat beslut. Kontrollera sedan händelserna med Phishing Protection-rapporterna. Testet på det ofarliga målet visar den egna policyns funktion oberoende av ryktet, inte riskklassificeringen eller utlösaren för baspolicyn.

Om policyomkopplaren saknas eller den förväntade reaktionen uteblir, kontrollera först global aktivering, sparad adress eller domän och den första matchande aktiva policyn. Ett tomt rapportresultat bevisar varken fungerande skydd eller att skyddet är avaktiverat. Begränsa lanseringen till piloten om resultatet inte är entydigt.

Återställ pilotpolicyn till dess dokumenterade tidigare läge eller inaktivera den med Update för att backa ändringen, och kontrollera vilken policy som faktiskt tar över. Ett nätfiskeskydd som fortfarande är aktivt i baspolicyn kan fortsätta att verka efter att piloten har inaktiverats. Återställ den globala adresslistan och omkopplaren endast om inga andra policyer behöver ändringen. Global avaktivering tar även bort förutsättningen för andra nätfiskepolicyer och är ingen riskfri återställning av en enskild policy.

Välj skydd för nedladdning och uppladdning

Åtgärdsprofilerna är inte varianter av samma säkerhetsnivå. Framför allt innebär ohne Scannen erlauben och erlauben, wenn nicht scannbar en annan risk än en profil som blockerar en fil som inte kan genomsökas.

Nedladdningsskydd

Alle Downloads blockieren: blockerar alla filnedladdningar.
Alle Downloads ohne Scannen erlauben: tillåter alla nedladdningar utan att genomsöka filer eller kontrollera deras URL-rykte.
Riskante Downloads scannen und blockieren, wenn nicht scannbar: genomsöker text-, Microsoft Office- och PDF-filer, kontrollerar URL-rykte och blockerar filer som inte kan genomsökas.
Riskante Downloads scannen und erlauben, wenn nicht scannbar: utför samma kontroller, men tillåter filer som inte kan genomsökas.
Nur ausführbare Downloads scannen: genomsöker binära och körbara filer, kontrollerar URL-rykte och tillåter filer som inte kan genomsökas.

Uppladdningsskydd

Alle Uploads blockieren: blockerar alla filuppladdningar.
Alle Uploads ohne Scannen erlauben: tillåter alla uppladdningar utan att genomsöka filer eller kontrollera deras URL-rykte.
Riskante Datei-Uploads scannen und blockieren, wenn nicht scannbar: genomsöker text-, Microsoft Office- och PDF-filer, kontrollerar URL-rykte och blockerar filer som inte kan genomsökas.
Riskante Datei-Uploads scannen und erlauben, wenn nicht scannbar: utför samma kontroller, men tillåter filer som inte kan genomsökas.
Dokument- und Text-Uploads blockieren, andere Dateitypen scannen: blockerar dokument- och textfiler, genomsöker andra filtyper inklusive URL-kontroll och tillåter filer som inte kan genomsökas.

Protected Browser bedömer filers rykte med Sophos Extensible List (SXL). I vissa fall genomsöker och analyserar Sophos Intellix specifika filer. Klargör dataklassificering och om molnanalys är tillåten före pilottestet. Tenantövergripande beslut om integritet och datadelning hålls åtskilda från de produktspecifika policyprofiler som beskrivs här.

Välj rätt datagränser

Datagränser styr Bildschirmaufnahme, Teilen und Aufzeichnen, Drucken, Seite speichern samt Ausschneiden, kopieren, einfügen. Urklippsgränserna gäller uttryckligen inte för webbläsarens adressfält. Ett lyckat urklippstest i sidinnehållet bevisar därför inte att adressfältet styrs.

Tillåt allt

Den här profilen tillåter skärmdump, delning och inspelning, utskrift, att spara sidan samt att klippa ut, kopiera och klistra in. Den tillämpar inga av de beskrivna datagränserna.

Tillåt kopiering utåt — blockera inklistring inåt

Allow copy/paste outside the browser - block pasting inwards tillåter att klippa ut och kopiera från valda program samt klistra in i resurser utanför webbläsaren. Motsatt riktning blockeras: innehåll från externa källor får inte klistras in i valda program. Skärmdump, delning och inspelning, utskrift samt Save page är tillåtna. Ingen ytterligare möjlighet till tillfälligt kringgående anges för profilen; de nämnda skärmåtgärderna är redan tillåtna.

Detta är en riktad inmatningsgräns, inte ett skydd mot att data lämnar området. Resultat från ett valt AI-program får exempelvis kopieras ut, medan inklistring av externt innehåll i programmet förblir blockerad. Filuppladdningar styrs fortfarande separat genom uppladdningsskyddet.

Behåll data inom målen för den här policyn

Skärmdump, delning och inspelning, utskrift och Seite speichern blockeras. Det går att klippa ut, kopiera och klistra in inom de valda målen, men text kan inte klistras in utanför dessa mål. Det är inte tillåtet att klistra in från externa källor eller att tillfälligt kringgå skyddet mot skärmdump, delning och inspelning.

Profilen passar när data får flöda mellan program som omfattas av samma policy men inte lämna denna måluppsättning. Om till exempel Jira och Salesforce ingår i den valda programgruppen kan urklippet användas mellan dessa mål.

Behåll data inom målen — tillåt och logga kringgående

Urklippet förblir begränsat till de valda målen och inklistring från externa källor är inte tillåten. Åtgärderna klipp ut, kopiera och klistra in loggas. Skärmdump, delning och inspelning blockeras som standard, men slutanvändare får tillfälligt kringgå skyddet. Drucken och Seite speichern tillåts efter en varning.

Den här profilen är mindre strikt än varianten utan kringgående. Använd den bara när ett legitimt undantagsbehov motiverar tillåtet kringgående och godkännande efter varning.

Behåll data inom målen — tillåt inklistring utifrån

Skärmdump, delning och inspelning, utskrift och Seite speichern blockeras. Även klipp ut och kopiera blockeras, medan klistra in tillåts. Data kan därmed föras in i de skyddade målen utifrån utan att innehåll kan kopieras ut ur dem. Tillfälligt kringgående av skyddet mot skärmdump, delning och inspelning är inte tillgängligt.

För Keep data within this policy’s destinations - allow pasting from outside motsäger beskrivningen och den uttryckliga inställningsmappningen varandra: beskrivningen nämner inklistring i båda riktningarna, men mappningen blockerar klipp ut och kopiera och tillåter klistra in. Vid planering gäller fortfarande den restriktiva mappningen ovan. Detta är inte en bekräftad tillåtelse att kopiera ut. Testa båda riktningarna med ofarligt innehåll före produktionsanvändning; stoppa lanseringen vid avvikelser och låt Sophos Support klargöra beteendet.

Behåll data inom målen — tillåt skärmdelning och inspelning

Keep data within this policy’s destinations - allow screenshare and recording tillåter skärmdump, delning och inspelning för valda mål. Printing och Save page förblir blockerade. Klipp ut, kopiera och klistra in tillåts inom policyns mål; att klistra in innehållet utanför målen eller från externa källor är inte tillåtet. Inställningsmappningen anger även att användarens tillfälliga kringgående av skyddet mot skärmdump, delning och inspelning är tillåtet. Eftersom skärmåtgärderna redan är tillåtna ger detta ingen ytterligare skyddsgaranti.

Urklippsgränsen hindrar här inte att synligt innehåll delas genom skärmdelning eller inspelning. Välj profilen endast om sådan delning är tillåten för de berörda programmen.

Behåll data inom Protected Browser

Skärmdump, delning och inspelning, utskrift och Seite speichern blockeras. Det går endast att klippa ut, kopiera och klistra in inom Protected Browser. Text utifrån får klistras in i webbläsaren. Tillfälligt kringgående av skyddet mot skärmdump, delning och inspelning är inte tillgängligt.

Skillnaden mot en målbaserad gräns är viktig: den här profilen skapar en gräns runt hela Protected Browser, inte bara runt målen som omfattas av samma policy.

Testa riktningar och alternativa vägar i piloten

Testa de sju profilerna mot mappningarna ovan, inte bara utifrån namnet. Använd en ofarlig textmarkering i sidinnehållet, två mål i samma policy, ett mål som inte omfattas och ett externt program. Adressfältet ska avsiktligt inte användas för test av urklippsgränser.

Inåt: Klistra in textmarkeringen från det externa programmet i ett mål som omfattas. Detta måste misslyckas för profilen som blockerar inklistring inåt och för målbaserade profiler utan tillåtelse till extern inklistring; Tillåt allt, Tillåt inklistring utifrån och gränsen runt hela Protected Browser tillåter det.
Utåt och mellan mål: Testa separat att klippa ut och kopiera i det omfattade målet, klistra in i det andra omfattade målet och sedan i målet som inte omfattas eller det externa programmet. Tillåt allt och Tillåt kopiering utåt tillåter utgående överföring. Målbaserade profiler begränsar den till sina mål; för den motsägelsefullt beskrivna profilen som tillåter inklistring ska redan klipp ut och kopiera misslyckas enligt den restriktiva mappningen. Webbläsargränsen tillåter endast vägen inom Protected Browser.
Andra utvägar: Testa skärmdump, delning, inspelning, utskrift och Save page var för sig. För varianten med loggat kringgående ska även godkänt tillfälligt kringgående av skärmskyddet och varningar före utskrift eller sparande testas. För varianten med tillåten skärmdelning ska skärmåtgärder fungera medan utskrift och sparande förblir blockerade.

Anteckna profil, källa, mål, förväntat och observerat resultat för varje test. Ett lyckat urklippstest bevisar varken blockerad uppladdning eller blockerad skärmdelning. Gå inte runt oförklarade avvikelser genom att växla till Tillåt allt.

Konfigurera en pilotpolicy

Öppna Meine Produkte > Protected Browser > Internetrichtlinie och välj Richtlinie hinzufügen under Richtlinien.
Ange en unik Namen, till exempel PB-Finanzen-Pilot, och en Beschreibung med syfte och ansvarig person. Exempelnamnet kan väljas fritt och ersätter inte en befintlig användargrupp.
Välj Erlauben, Blockieren eller Warnen under Gesamtauswirkung. En policy med fil- och datagränsåtgärder måste använda Erlauben eller Warnen.
Välj Bearbeiten under Bedingungen > Benutzergruppe. Välj den befintliga pilotgruppen under Benutzergruppen bearbeiten > Verfügbar och flytta den till Zugewiesen. Kontrollera att gruppen innehåller minst en användare och bekräfta med Speichern.
Välj en eller flera Gerätestatus. Välj därefter de mål som krävs via Anwendungsgruppe, Standortliste och/eller Internet-Kategorie. Välj endast Beliebig om villkoret avsiktligt inte ska begränsas till en viss användargrupp eller ett visst policyobjekt.
Välj profilerna för Download-Schutz, Upload-Schutz och Datengrenzen under Aktionen. Området är relevant för de övergripande effekterna Erlauben och Warnen.
Aktivera Nutzung des vollständigen Browsers erzwingen om resurserna uteslutande ska öppnas i fullständig Protected Browser. Berörda webbplatser eller resurser öppnas då automatiskt i fullständig Protected Browser vid åtkomst.
Välj Speichern.
Öppna Auf Position # verschieben från trepunktsmenyn i policytabellen, flytta pilotpolicyn till önskad position med pilen och välj Anwenden. Ett lägre rangnummer utvärderas tidigare; rang 1 kommer först.

En snäv policy måste ligga före en mer allmän policy som redan fullständigt uppfyller samma användar- och målvillkor. Annars tillämpas den allmänna policyn först och pilotpolicyn utvärderas inte alls.

Validering och förväntat resultat

Använd en testanvändare från exakt den tilldelade, icke-tomma pilotgruppen, en matchande enhetsstatus och ett tydligt tilldelat mål för acceptanstestet. Testa med icke-känsliga filer och innehåll.

Kontrollera Rang, Name, Zugriff och Status i policytabellen. Pilotpolicyn måste vara Aktiv och ligga före varje bredare policy som också matchar.
Testa ett mål som uppfyller villkoren. Med Erlauben måste åtkomst vara möjlig, med Warnen möjlig efter varningen och med Blockieren inte möjlig.
Testa en nedladdnings- och en uppladdningssituation som den valda profilen tillåter samt en som den blockerar. För en profil som blockerar om genomsökning inte är möjlig ingår även detta beslut i framgångskriteriet. För en profil som tillåter om genomsökning inte är möjlig förväntas motsatt resultat.
Testa varje aspekt av den valda datagränsen separat: skärmdump eller delning, utskrift, Seite speichern, kopiering mellan två mål som omfattas, kopiering ut och inklistring utifrån. Resultatet ska exakt motsvara kombinationen i den valda profilen.
Om Nutzung des vollständigen Browsers erzwingen är aktivt öppnar du en resurs som omfattas och kontrollerar att den öppnas i fullständig Protected Browser.
Utför ett test där endast ett målkriterium matchar och ett där användargruppen eller enhetsstatusen inte matchar. Därmed testas målens OR-relation separat från AND-relationen mellan användar- och enhetsvillkoren.

Felsök efter symptom

Policyn tillämpas inte

Kontrollera först Status och Rang. En Nicht aktive policy utvärderas inte. Om en högre placerad aktiv policy redan matchar fullständigt avslutas utvärderingen där. Flytta den snävare policyn före den bredare regeln med Auf Position # verschieben > Anwenden och testa igen.

Kontrollera därefter villkorslogiken: användargrupp och enhetsstatus måste matcha tillsammans. För programgrupp, webbplatslista och webbkategori räcker ett matchande mål. Om ett valbart värde saknas kanske användaren eller policyobjektet ännu inte har skapats.

En användargrupp kan inte tilldelas korrekt

Kontrollera att gruppen innehåller minst en användare. En tom tilldelad användargrupp är inte tillåten. Lägg först till användare i gruppen, spara policyn igen och upprepa testet med en medlem i gruppen.

Filåtgärder eller datagränser verkar ignoreras

Kontrollera Gesamtauswirkung. Med Blockieren gäller inte de ytterligare åtgärderna för nedladdningsskydd, uppladdningsskydd och datagränser. Med Erlauben eller Warnen kontrollerar du därefter om en policy med högre prioritet matchade först och vilken åtgärdsprofil som faktiskt valdes i den.

Använd inte adressfältet som testyta för urklippet: de dokumenterade urklippsgränserna gäller inte där. Om resultatet i sidinnehållet fortfarande avviker från den valda profilmatrisen ska ändringen inte lanseras bredare. Dokumentera testfall, rang, villkor och profil och eskalera till Sophos Support.

Säker återställning och avveckling

Dokumentera den berörda policyns Rang, Status, villkor och åtgärdsprofiler före en ändring. För en reversibel återställning inaktiverar du den nya pilotpolicyn och väljer därefter Aktualisieren. En inaktiv policy utvärderas inte. Ett nytt test måste därför visa att nästa matchande policy eller baspolicyn åter tillämpas.

Överväg radering först efter att återställningen har bekräftats. Egna policyer kan tas bort från trepunktsmenyn med Löschen eller användas som utgångspunkt för en ny variant med Klonen. Baspolicyn kan inte tas bort, klonas eller flyttas till en annan rang. Ta därför inte bort en policy så länge dess villkor, rang eller avsedda ersättningseffekt är oklara.

När en användargrupp eller ett policyobjekt avvecklas ska du först granska alla policyer som använder det som villkor. Justera sedan tilldelningen, bekräfta effekten med ett begränsat test och hantera först därefter objektet som inte längre behövs i avsett område.

Drift och regelbunden granskning

Granska policyer vid varje ändring av användargrupper, enhetsstatusar eller målobjekt och kontrollera regelbundet deras Rang, Status, Zugriff och tilldelade åtgärdsprofiler. Var särskilt uppmärksam på regler med Beliebig, profiler som tillåter filer som inte kan genomsökas, Alle Downloads/Uploads ohne Scannen erlauben och datagränser med tillfälligt kringgående.

Klona först en ändring eller bygg den som en ny pilotpolicy för en liten målgrupp. Utöka medvetet dess omfattning efter godkänt acceptanstest. Kontrollera migrationsfrister och datum för produktavveckling eller EOL mot officiella produktmeddelanden oberoende av dessa policykontroller.

Relaterad guide

Hantera integritet och datadelning i Sophos Fusion ger sammanhang för delning av filer med Sophos-tjänster och tenantövergripande integritetsbeslut.