Le contrôle des applications de Cloud Firewall utilise l'inspection approfondie des paquets (DPI) et l'analyse heuristique du comportement pour gérer le trafic au niveau de la couche application. Contrairement aux pare-feu traditionnels qui s'appuient sur les quintuplés IP/port, il identifie les signatures d'application dans le trafic afin de révéler la véritable identité des applications dissimulées derrière un chiffrement ou des ports non standard. Autorisez, observez ou refusez le trafic sortant par type d'application pour un contrôle d'accès granulaire.
Avantages
Identification précise du trafic déguisé : Quelle que soit la manière dont les applications modifient leurs ports, chiffrent les transmissions ou établissent des tunnels via des protocoles tels que HTTPS, le moteur de contrôle des applications identifie avec précision leur véritable identité, surmontant ainsi les limites de la gestion traditionnelle au niveau réseau.
Contrôle granulaire basé sur l'identité : Une bibliothèque de signatures d'application intégrée couvre plusieurs secteurs d'activité. Définissez des politiques basées sur des catégories d'applications ou des applications spécifiques, faisant ainsi évoluer le contrôle du filtrage par port vers une gestion consciente des activités métier.
Définitions flexibles de la priorité des politiques : Prend en charge la configuration hybride de règles personnalisées et de règles de catégorie intégrées. Définissez des politiques indépendantes pour des applications spécifiques (telles que les téléchargements de fichiers GitHub) afin de répondre aux exigences de gestion granulaire dans des scénarios complexes.
La fonctionnalité de contrôle des applications est actuellement en version bêta limitée. Pour activer cette fonctionnalité, contactez votre responsable commercial.
Afficher la bibliothèque de signatures d'application intégrée
Cloud Firewall fournit une bibliothèque de signatures d'application intégrée couvrant des catégories telles que les transactions commerciales, les ventes et le marketing, l'éducation et le contenu multimédia. Chaque application se voit attribuer un niveau de risque. Pour afficher la bibliothèque :
Connectez-vous à la console Cloud Firewall.
Dans le volet de navigation de gauche, choisissez .
Dans l'onglet Application Feature Library, affichez la liste des applications prises en charge. Recherchez par Application Name, Application ID ou Category.
Dans la zone de droite de l'onglet Application Feature Library, consultez l'historique des mises à jour des règles de la bibliothèque de signatures.
Créer un modèle personnalisé
Pour utiliser les règles de contrôle des applications dans les politiques de contrôle d'accès, vous devez d'abord créer un modèle de règle personnalisé :
Dans le volet de navigation de gauche, choisissez .
-
Dans l'onglet Custom Template, cliquez sur Create Template et configurez les paramètres suivants.
Paramètre
Description
Basic Information
Définissez un nom et une description de modèle explicites pour faciliter l'identification.
Built-in Application Classification
Spécifiez une action pour chaque catégorie d'application :
-
Monitor : action par défaut. Les requêtes sont autorisées et journalisées dans les journaux d'événements de Log audit.
-
Allow : les requêtes sont autorisées sans être journalisées.
-
Deny : les requêtes sont bloquées et journalisées.
Vous pouvez définir des actions en bloc pour toutes les applications d'une catégorie.
Custom Rules
Pour ajuster la priorité des règles d'application, cliquez sur Add Custom Rule afin de configurer des règles personnalisées pour un contrôle granulaire.
-
État de la règle : Une règle personnalisée prend effet uniquement lorsque son commutateur est activé.
-
Définition de la priorité : Vous pouvez configurer plusieurs règles au sein d'un modèle. Les valeurs de priorité doivent être uniques au sein du même modèle. Une valeur plus faible indique une priorité plus élevée.
-
Configuration de l'action : Une seule règle peut être associée à plusieurs applications. Les actions disponibles incluent Monitor, Allow ou Deny.
-
Gestion des conflits : Pour une même application, l'action configurée dans une règle personnalisée prime sur l'action configurée dans Built-in Application Classification.
Unknown Application Action
Spécifiez l'action par défaut pour le trafic provenant d'applications non identifiées.
Template Switch
Activez ou désactivez le modèle. Les configurations ne prennent effet que lorsque le modèle est activé.
-
Recommandations de configuration
Scénarios de contrôle large : Si les cibles de contrôle ne sont pas clairement définies, configurez uniquement Built-in Application Classification et définissez l'action sur Monitor. Après une période de fonctionnement de l'activité, accédez à la page Traffic Logs de Log audit pour examiner les résultats d'identification des applications, puis ajustez les actions du modèle en fonction de vos besoins métier.
Scénarios de contrôle précis : Pour contrôler des applications spécifiques, configurez Custom Rules car les règles personnalisées ont la priorité sur Built-in Application Classification.
Mécanisme d'identification des applications et règles de détermination des actions
Mécanisme d'identification des applications : Cloud Firewall peut identifier plusieurs applications pour une seule requête. Pour les protocoles HTTP (y compris HTTPS après configuration de l'inspection TLS), le résultat d'identification se met à jour dynamiquement avec les requêtes sur une connexion persistante. Le système extrait uniquement le résultat le plus récent et ne conserve pas les états intermédiaires. Pour les protocoles non HTTP, le système identifie l'application une fois lors de l'établissement de la connexion et ne la met pas à jour par la suite.
Règles de détermination des actions : Le système fait d'abord correspondre les règles personnalisées par ordre de priorité. Si aucune règle personnalisée ne correspond, il revient à Built-in Application Classification selon le poids.
Exemple : Une requête est identifiée à la fois comme « GitHub-base » et « GitHub Download ». Sans règles personnalisées, comme « GitHub Download » a un poids plus élevé que « GitHub-base » dans Built-in Application Classification, le système exécute l'action configurée pour « GitHub Download ».
Étapes suivantes
Après avoir créé un modèle, référencez-le dans les politiques de contrôle d'accès pour le trafic Internet Border Outbound. Pour plus d'informations, consultez Configurer les politiques de contrôle d'accès pour le pare-feu Internet.
Gérer les modèles
Dans l'onglet Custom Template, effectuez les opérations suivantes :
Activer ou désactiver un modèle : Basculez le commutateur dans la colonne Template Switch pour activer ou désactiver un modèle.
Modifier un modèle : Cliquez sur Edit dans la colonne Actions pour modifier les configurations du modèle.
Supprimer un modèle : Cliquez sur Delete dans la colonne Actions. Vous ne pouvez pas supprimer un modèle contenant des règles personnalisées ou référencé par des politiques de contrôle d'accès.
Annexe : Catégories d'applications prises en charge
|**Catégorie**
|
**Description**
|
**Applications typiques**
| | --- | --- | --- | |
Collaboration bureautique
|
Couvre les scénarios quotidiens de bureau et de collaboration d'équipe, y compris le traitement de documents, la communication d'entreprise, la collaboration en réunion et les outils de productivité d'équipe.
|
Microsoft 365, Google Workspace, WPS Office, DingTalk, WeCom, Feishu (Lark), Microsoft Teams, Slack, Zoom, Tencent Meeting
| |
Messagerie instantanée
|
Couvre les applications de messagerie en temps réel à usage personnel ou public, y compris le chat, la voix, les images, le partage de fichiers et la communication de groupe.
|
WeChat, QQ, Telegram, WhatsApp, Signal, LINE, Viber, Snapchat
| |
VoIP
|
Couvre les services de voix et de vidéo sur IP, y compris la téléphonie Internet, les systèmes vocaux d'entreprise et la communication audio/vidéo en temps réel.
|
Cisco Unified Communications, Avaya, 3CX, RingCentral, Skype, FaceTime, WebRTC
| |
|
Couvre l'envoi et la réception d'e-mails, l'accès à la boîte aux lettres et la gestion du système de messagerie, y compris les e-mails d'entreprise, les e-mails personnels, les clients de messagerie et le webmail.
|
Outlook, Foxmail, Thunderbird, Gmail, QQ Mail, NetEase Mail (163), Tencent Enterprise Email, Microsoft Exchange
| |
Gestion de fichiers et de contenu
|
Couvre le stockage, la synchronisation et le partage de fichiers, la publication de contenu et la gestion des connaissances, y compris les téléchargements et téléversements de fichiers, le partage de liens externes, les bases de connaissances d'équipe et la gestion de contenu.
|
Baidu NetDisk, Dropbox, OneDrive, Nutstore, WeTransfer, SharePoint, Confluence, WordPress, Drupal
| |
Systèmes centraux d'entreprise
|
Couvre les systèmes métier centraux qui soutiennent les opérations de l'entreprise, y compris la finance, la gestion de la relation client, les flux de travail, la chaîne d'approvisionnement et la gestion des actifs.
|
SAP, Oracle EBS, Kingdee, Yonyou, Salesforce, Microsoft Dynamics 365, FXIAOKE
| |
Ressources humaines
|
Couvre le recrutement, la gestion des RH, la présence, la paie, les performances et la formation, y compris les applications de gestion du cycle de vie des employés.
|
Workday, Beisen Cloud, Kingdee HR, SAP HCM, Zhaopin, BOSS Zhipin, LinkedIn Recruiter, Liepin
| |
Ventes et marketing
|
Couvre les applications de promotion marketing, de publicité, de prospection client, de support client et de conversion des ventes.
|
HubSpot, Marketo, Zendesk, QICHI KEFU (Sobot), Google Ads, Baidu Promotion, Ocean Engine, plateformes de marketing par e-mail
| |
Transactions commerciales
|
Couvre les applications liées au commerce de biens, de services, de fonds et d'actifs financiers, y compris le commerce électronique, les achats d'entreprise, le règlement des paiements, la banque, les titres et l'assurance.
|
Taobao, JD.com, Pinduoduo, Amazon, Alibaba 1688, Alipay, WeChat Pay, Tonghuashun, East Money
| |
Analyse de données
|
Couvre les applications de requête de données, de reporting, d'analyse visuelle et d'analyse commerciale, y compris les plateformes d'analyse de données, les outils BI et les services d'analyse du comportement des utilisateurs.
|
Tableau, Power BI, FanRuan, Google Analytics, Sensors Data, GrowingIO, Snowflake, MaxCompute
| |
Infrastructure informatique
|
Couvre les capacités informatiques et réseau sous-jacentes qui soutiennent les systèmes métier, y compris les plateformes cloud, le CDN, le DNS, l'équilibrage de charge, la virtualisation, les conteneurs et les services réseau de base.
|
AWS, Alibaba Cloud, Tencent Cloud, VMware vSphere, Kubernetes, OpenStack, CDN, DNS, DHCP, NTP, BGP, OSPF
| |
Gestion des opérations informatiques
|
Couvre les applications de surveillance du système, d'alerte, de journalisation, de configuration, de correctifs, d'exploitation automatisée et de gestion des services informatiques.
|
Zabbix, Prometheus, Grafana, Nagios, Ansible, Puppet, Windows Update, WSUS, ServiceNow
| |
Développement et conception
|
Couvre les applications de développement logiciel, de test, de collaboration sur le code, de conception technique et de conception créative.
|
GitHub, GitLab, Jenkins, VS Code, IntelliJ IDEA, AutoCAD, SolidWorks, Adobe Creative Cloud, Figma
| |
Stockage et hôtes
|
Couvre les bases de données, les hôtes, le stockage d'objets et les services d'environnement d'hébergement, y compris la persistance des données, les charges de calcul et la gestion des hôtes.
|
MySQL, Oracle, PostgreSQL, MongoDB, Redis, Navicat, AWS EC2, Alibaba Cloud ECS, Tencent Cloud CVM, Object Storage Service
| |
Services de sécurité
|
Couvre les applications d'authentification d'identité, de contrôle d'accès, de détection des menaces, de protection de la sécurité et de protection des données.
|
CrowdStrike, Symantec, Huorong, Active Directory, Okta, SAML, systèmes DLP, Bastion Host, WAF
| |
Pénétration réseau
|
Couvre les applications de connexion à distance, de transfert proxy et de transmission par tunnel qui peuvent modifier les chemins d'accès ou franchir les limites du réseau.
|
SSL VPN, IPsec VPN, RDP, TeamViewer, Sunlogin, ToDesk, OpenVPN, WireGuard, Squid, Shadowsocks
| |
Réseaux sociaux
|
Couvre les réseaux sociaux, les communautés de contenu, les forums, les questions-réponses et les plateformes interactives, y compris la publication de contenu, les interactions par commentaires, les abonnements et l'engagement communautaire.
|
Weibo, Zhihu, Xiaohongshu (RED), Douban, Facebook, X (Twitter), LinkedIn, Instagram, Reddit, CSDN
| |
Contenu multimédia
|
Couvre les applications vidéo, audio, de diffusion en direct, d'images, de jeux et de divertissement numérique.
|
iQIYI, Tencent Video, Youku, Douyin (TikTok), Kuaishou, Bilibili, Spotify, NetEase Cloud Music, Steam, Honor of Kings, Twitch
| |
Éducation et apprentissage
|
Couvre les cours en ligne, les classes virtuelles, la gestion de l'apprentissage, l'évaluation par examen et les applications de formation d'entreprise.
|
Coursera, edX, China University MOOC, Tencent Classroom, NetEase Cloud Classroom, Udemy, GeekTime
| |
Spécifique à l'industrie
|
Couvre les applications qui servent les processus de production, d'exploitation, de livraison ou de conformité réglementaire de secteurs spécifiques, y compris les soins de santé, la fabrication, la logistique, l'énergie, le commerce de détail, les véhicules connectés et les systèmes gouvernementaux.
|
MES, APS, Retail POS, HIS, EMR, PACS, Modbus, OPC-UA, SCADA, DCS
| |
Internet général
|
Couvre les services d'information accessibles au public, y compris les moteurs de recherche, les portails, la navigation et les outils en ligne généraux.
|
Baidu, Google, Bing, Sina, NetEase Portal, Baidu Maps, Amap (Gaode), Youdao Translate, portails gouvernementaux
| |
Intelligence artificielle
|
Couvre les applications et plateformes centrées sur les modèles d'IA, les algorithmes et les capacités de génération intelligente, y compris le chat IA, la rédaction IA, la génération d'images, l'assistance au code, le déploiement de modèles et les API IA.
|
ChatGPT, Claude, Gemini, DeepSeek, ERNIE Bot, Tongyi Qianwen (Qwen), Midjourney, GitHub Copilot, Hugging Face, Alibaba Cloud Bailian, Vertex AI
|