O controle de aplicativos do Cloud Firewall usa Deep Packet Inspection (DPI) e análise heurística de comportamento para gerenciar o tráfego na camada de aplicação. Diferentemente dos firewalls tradicionais, que dependem de tuplas de cinco elementos baseadas em IP/porta, esse recurso identifica assinaturas de aplicativos no tráfego para revelar a verdadeira identidade das aplicações, mesmo quando ocultas por criptografia ou portas não padrão. Permita, observe ou negue o tráfego de saída por tipo de aplicativo para garantir um controle de acesso refinado.
Benefícios
Identificação precisa de tráfego disfarçado: Independentemente de os aplicativos alterarem portas, criptografarem transmissões ou usarem túneis via protocolos como HTTPS, o mecanismo de controle de aplicativos identifica com precisão suas verdadeiras identidades e supera as limitações do gerenciamento tradicional da camada de rede.
Controle refinado baseado em identidade: Uma biblioteca integrada de assinaturas de aplicativos abrange diversos setores industriais. Defina políticas com base em categorias ou em aplicativos específicos para migrar o controle da filtragem por porta para um gerenciamento orientado aos negócios.
Definição flexível de prioridade de políticas: O recurso suporta configuração híbrida de regras personalizadas e regras de categoria integradas. Configure políticas independentes para aplicativos específicos (como uploads de arquivos no GitHub) e atenda a requisitos de gerenciamento granular em cenários complexos.
O recurso de controle de aplicativos está atualmente em beta limitado. Para ativá-lo, entre em contato com seu gerente de contas.
Visualize a biblioteca integrada de assinaturas de aplicativos
O Cloud Firewall oferece uma biblioteca integrada de assinaturas de aplicativos que cobre categorias como transações comerciais, vendas e marketing, educação e conteúdo multimídia. Cada aplicativo possui um nível de risco atribuído. Para visualizar a biblioteca:
Acesse o console do Cloud Firewall.
No painel de navegação à esquerda, escolha .
Na aba Application Feature Library, visualize a lista de aplicativos suportados. Pesquise por Application Name, Application ID ou Category.
Na área direita da aba Application Feature Library, consulte o histórico de atualizações das regras da biblioteca de assinaturas.
Crie um modelo personalizado
Para usar regras de controle de aplicativos nas políticas de controle de acesso, crie primeiro um modelo de regra personalizado:
No painel de navegação à esquerda, escolha .
-
Na aba Custom Template, clique em Create Template e configure os seguintes parâmetros.
Parâmetro
Descrição
Basic Information
Defina um nome e uma descrição claros para facilitar a identificação do modelo.
Built-in Application Classification
Especifique uma ação para cada categoria de aplicativo:
-
Monitor: ação padrão. As solicitações são permitidas e registradas nos logs de eventos da Auditoria de logs.
-
Allow: as solicitações são permitidas sem registro em log.
-
Deny: as solicitações são bloqueadas e registradas.
Defina ações em lote para todos os aplicativos de uma categoria.
Custom Rules
Para ajustar a prioridade das regras de aplicativo, clique em Add Custom Rule e configure regras personalizadas com controle refinado.
-
Status da regra: uma regra personalizada só entra em vigor quando seu alternador está ativado.
-
Definição de prioridade: configure várias regras dentro de um modelo. Os valores de prioridade devem ser exclusivos no mesmo modelo. Um valor menor indica maior prioridade.
-
Configuração de ação: uma única regra pode associar-se a vários aplicativos. As ações disponíveis incluem Monitor, Allow ou Deny.
-
Tratamento de conflitos: para o mesmo aplicativo, a ação configurada em uma regra personalizada tem precedência sobre a ação configurada em Built-in Application Classification.
Unknown Application Action
Especifique a ação padrão para o tráfego proveniente de aplicativos não identificados.
Template Switch
Ative ou desative o modelo. As configurações só entram em vigor quando o modelo está habilitado.
-
Recomendações de configuração
Cenários de controle amplo: se os alvos de controle não estiverem claramente definidos, configure apenas Built-in Application Classification e defina a ação como Monitor. Após a execução dos negócios por um período, acesse a página Traffic Logs da Auditoria de logs para revisar os resultados de identificação de aplicativos e ajuste as ações do modelo conforme seus requisitos de negócio.
Cenários de controle preciso: para controlar aplicativos específicos, configure Custom Rules, pois as regras personalizadas têm precedência sobre Built-in Application Classification.
Mecanismo de identificação de aplicativos e regras de determinação de ação
Mecanismo de identificação de aplicativos: o Cloud Firewall pode identificar múltiplos aplicativos para uma única solicitação. Em protocolos http (incluindo HTTPS após a configuração da inspeção TLS), o resultado da identificação atualiza-se dinamicamente com as solicitações em uma conexão persistente. O sistema extrai apenas o resultado mais recente e não retém estados intermediários. Em protocolos não http, o sistema identifica o aplicativo uma vez ao estabelecer a conexão e não o atualiza posteriormente.
Regras de determinação de ação: o sistema primeiro corresponde às regras personalizadas por prioridade. Se nenhuma regra personalizada corresponder, ele recorre à Built-in Application Classification por peso.
Exemplo: uma solicitação identificada como "GitHub-base" e "GitHub Download". Sem regras personalizadas, como "GitHub Download" tem peso maior que "GitHub-base" na Built-in Application Classification, o sistema executa a ação configurada para "GitHub Download".
Próximos passos
Após criar um modelo, referencie-o nas políticas de controle de acesso para o tráfego de Internet Border Outbound. Para mais informações, consulte Configurar políticas de controle de acesso para o firewall de Internet.
Gerencie modelos
Na aba Custom Template, execute as seguintes operações:
Ativar ou desativar um modelo: use o alternador na coluna Template Switch para habilitar ou desabilitar um modelo.
Edite um modelo: clique em Edit na coluna Actions para modificar as configurações do modelo.
Exclua um modelo: clique em Delete na coluna Actions. Não é possível excluir um modelo que contenha regras personalizadas ou referenciado em políticas de controle de acesso.
Apêndice: Categorias de aplicativos suportadas
|
Categoria |
Descrição |
Aplicativos típicos |
|
Colaboração e Escritório |
Abrange cenários de trabalho diário e colaboração em equipe, incluindo processamento de documentos, comunicação corporativa, reuniões e ferramentas de produtividade. |
Microsoft 365, Google Workspace, WPS Office, DingTalk, WeCom, Feishu (Lark), Microsoft Teams, Slack, Zoom, Tencent Meeting |
|
Mensagens Instantâneas |
Inclui aplicativos de mensagens em tempo real para uso pessoal ou público, com chat, voz, imagens, compartilhamento de arquivos e comunicação em grupo. |
WeChat, QQ, Telegram, WhatsApp, Signal, LINE, Viber, Snapchat |
|
VoIP |
Cobre serviços de chamadas de voz e vídeo baseados em IP, incluindo telefonia pela Internet, sistemas de voz corporativos e comunicação de áudio/vídeo em tempo real. |
Cisco Unified Communications, Avaya, 3CX, RingCentral, Skype, FaceTime, WebRTC |
|
|
Engloba envio e recebimento de e-mails, acesso a caixas de correio e gerenciamento de sistemas de e-mail, incluindo e-mail corporativo, pessoal, clientes de e-mail e webmail. |
Outlook, Foxmail, Thunderbird, Gmail, QQ Mail, NetEase Mail (163), Tencent Enterprise Email, Microsoft Exchange |
|
Gerenciamento de Arquivos e Conteúdo |
Abrange armazenamento, sincronização, compartilhamento de arquivos, publicação de conteúdo e gestão de conhecimento, incluindo uploads/downloads, links externos, bases de conhecimento e CMS. |
Baidu NetDisk, Dropbox, OneDrive, Nutstore, WeTransfer, SharePoint, Confluence, WordPress, Drupal |
|
Sistemas Centrais Empresariais |
Cobre sistemas essenciais que sustentam as operações da empresa, como finanças, gestão de clientes, fluxo de trabalho, cadeia de suprimentos e ativos. |
SAP, Oracle EBS, Kingdee, Yonyou, Salesforce, Microsoft Dynamics 365, FXIAOKE |
|
Recursos Humanos |
Inclui recrutamento, gestão de RH, ponto, folha de pagamento, desempenho e treinamento, abrangendo o ciclo de vida do colaborador. |
Workday, Beisen Cloud, Kingdee HR, SAP HCM, Zhaopin, BOSS Zhipin, LinkedIn Recruiter, Liepin |
|
Vendas e Marketing |
Abrange promoção, publicidade, prospecção, suporte ao cliente e conversão de vendas. |
HubSpot, Marketo, Zendesk, QICHI KEFU (Sobot), Google Ads, Baidu Promotion, Ocean Engine, plataformas de e-mail marketing |
|
Transações Comerciais |
Cobre aplicativos relacionados à negociação de bens, serviços, fundos e ativos financeiros, incluindo e-commerce, compras corporativas, pagamentos, bancos, títulos e seguros. |
Taobao, JD.com, Pinduoduo, Amazon, Alibaba 1688, Alipay, WeChat Pay, Tonghuashun, East Money |
|
Análise de Dados |
Inclui consulta de dados, relatórios, visualização e insights de negócios, abrangendo plataformas analíticas, ferramentas de BI e análise de comportamento do usuário. |
Tableau, Power BI, FanRuan, Google Analytics, Sensors Data, GrowingIO, Snowflake, MaxCompute |
|
Infraestrutura de TI |
Cobre capacidades subjacentes de TI e rede que suportam sistemas de negócios, incluindo nuvem, CDN, DNS, balanceamento de carga, virtualização, containers e serviços básicos de rede. |
AWS, Alibaba Cloud, Tencent Cloud, VMware vSphere, Kubernetes, OpenStack, CDN, DNS, DHCP, NTP, BGP, OSPF |
|
Gestão de Operações de TI |
Abrange monitoramento de sistemas, alertas, logs, configuração, patches, operações automatizadas e gerenciamento de serviços de TI. |
Zabbix, Prometheus, Grafana, Nagios, Ansible, Puppet, Windows Update, WSUS, ServiceNow |
|
Desenvolvimento e Design |
Inclui desenvolvimento de software, testes, colaboração de código, engenharia e design criativo. |
GitHub, GitLab, Jenkins, VS Code, IntelliJ IDEA, AutoCAD, SolidWorks, Adobe Creative Cloud, Figma |
|
Armazenamento e Hosts |
Cobre bancos de dados, hosts, armazenamento de objetos e serviços de hospedagem, incluindo persistência de dados, cargas computacionais e gestão de hosts. |
MySQL, Oracle, PostgreSQL, MongoDB, Redis, Navicat, AWS EC2, Alibaba Cloud ECS, Tencent Cloud CVM, Object Storage Service |
|
Serviços de Segurança |
Abrange autenticação de identidade, controle de acesso, detecção de ameaças, proteção de segurança e dados. |
CrowdStrike, Symantec, Huorong, Active Directory, Okta, SAML, sistemas DLP, Bastion Host, WAF |
|
Penetração de Rede |
Inclui conexão remota, encaminhamento de proxy e transmissão por túnel que podem alterar caminhos de acesso ou transpor limites de rede. |
SSL VPN, IPsec VPN, RDP, TeamViewer, Sunlogin, ToDesk, OpenVPN, WireGuard, Squid, Shadowsocks |
|
Redes Sociais |
Cobre redes sociais, comunidades de conteúdo, fóruns, perguntas e respostas e plataformas interativas, incluindo publicação, comentários, seguidores e engajamento. |
Weibo, Zhihu, Xiaohongshu (RED), Douban, Facebook, X (Twitter), LinkedIn, Instagram, Reddit, CSDN |
|
Conteúdo Multimídia |
Abrange vídeo, áudio, streaming ao vivo, imagens, jogos e entretenimento digital. |
iQIYI, Tencent Video, Youku, Douyin (TikTok), Kuaishou, Bilibili, Spotify, NetEase Cloud Music, Steam, Honor of Kings, Twitch |
|
Educação e Aprendizado |
Inclui cursos online, salas de aula ao vivo, gestão de aprendizagem, avaliações e treinamento corporativo. |
Coursera, edX, China University MOOC, Tencent Classroom, NetEase Cloud Classroom, Udemy, GeekTime |
|
Específico da Indústria |
Cobre aplicativos voltados para produção, operações, entrega ou processos regulatórios de indústrias específicas, como saúde, manufatura, logística, energia, varejo, veículos conectados e governo. |
MES, APS, Retail POS, HIS, EMR, PACS, Modbus, OPC-UA, SCADA, DCS |
|
Internet Geral |
Abrange serviços de informação acessíveis publicamente, incluindo mecanismos de busca, portais, navegação e ferramentas online gerais. |
Baidu, Google, Bing, Sina, NetEase Portal, Baidu Maps, Amap (Gaode), Youdao Translate, portais governamentais |
|
Inteligência Artificial |
Inclui aplicativos e plataformas centrados em modelos de IA, algoritmos e geração inteligente, como chat com IA, escrita, geração de imagens, assistência de código, serving de modelos e APIs de IA. |
ChatGPT, Claude, Gemini, DeepSeek, ERNIE Bot, Tongyi Qianwen (Qwen), Midjourney, GitHub Copilot, Hugging Face, Alibaba Cloud Bailian, Vertex AI |