ICAP-анализ контента

ICAP-анализ контента — передача трафика конфигураций балансировки на проверку внешней DLP-системы (Data Loss Prevention) по протоколу ICAP (Internet Content Adaptation Protocol). Решение о прохождении трафика выносит DLP-система: пропустить или заблокировать.

Проверяется исходный объект: для HTTP и HTTPS, где TLS завершается на балансировщике, тело передаётся в открытом виде, а в конфигурациях без прикладного протокола — байты сессии как есть, без расшифровки. Соединение с DLP-системой устанавливает агент балансировки — отдельно с каждого агента кластера, на порту из адреса проверки.

Что попадает на проверку

• Трафик конфигураций балансировки, проходящий через опубликованный адрес: Главная → Кластеры балансировки → <кластер> → Конфигурации балансировки.
• Конфигурации с протоколом TCP, в том числе с L7-протоколом HTTP, HTTPS или gRPC.
• Для конфигураций без L7-протокола доступно только зеркалирование сырого потока TCP.

Трафик интернета за пределами конфигураций балансировки и соединения по протоколам, отличным от TCP, на проверку не попадают. Собственное шифрование содержимого балансировщик не раскрывает: зашифрованные байты DLP-система получает в исходном виде.

Режимы проверки

• Синхронная проверка — вердикт DLP-системы ожидается до отправки запроса клиентскому серверу. При блокировке клиент получает код из поля Код ответа при блокировке, а тело запроса на сервер не передаётся. Режим доступен для HTTP, HTTPS и gRPC.
• Зеркалирование — копия запроса уходит на проверку асинхронно. Клиент не ждёт вердикта, решение DLP-системы на трафик не влияет и попадает в журнал агента.

Проверка ответов клиентского сервера выполняется только в режиме Зеркалирование и только для HTTP, HTTPS и gRPC. Она не задерживает выдачу ответа клиенту: решение по ответу влияет на журнал агента, но не на трафик.

Порядок настройки

1. Откройте вкладку ICAP кластера: Главная → Кластеры балансировки → <кластер> → ICAP.
2. Нажмите Добавить сервер и заполните Имя сервера и REQMOD URL. Для проверки ответов задайте RESPMOD URL, для авторизации на стороне DLP-системы — поля Авторизация, Логин и Пароль. Требования к адресам и полный состав полей — в статье ICAP-серверы.
3. Дождитесь метки Доступен в колонке Состояние. Проверка выполняется с каждого агента кластера одновременно, поэтому недоступность с одного агента означает, что инспекция на нём не пройдёт.
4. Откройте конфигурацию балансировки, вкладку Безопасность, секция ICAP.
5. Установите ICAP инспекция для сервера, выберите созданный профиль в поле ICAP-сервер и задайте Режим инспекции.
6. Ограничьте выборку полями HTTP-методы, Content-Type, Только пути и Исключить пути, задайте ICAP таймаут, мс.
7. Сохраните конфигурацию и убедитесь в доставке по метрикам агента.

Разделы

• ICAP-серверы — описание DLP-системы на уровне кластера, требования к адресам и проверка доступности.
• ICAP/DLP-анализ сервиса — настройка проверки трафика сервиса, передаваемые данные и метрики доставки.
• ICAP через API — методы управления ICAP-серверами и параметры, недоступные в интерфейсе.