Qu'est-ce que la RBI ?

L'isolation de navigateur à distance (RBI) est une technique de sécurité qui exécute les sessions de navigation Web dans un conteneur isolé et en mode « sandbox » dans le cloud, plutôt que sur le terminal, et ne renvoie qu'un affichage sécurisé de la page. Le contenu actif et les logiciels malveillants n'atteignent jamais le navigateur client, ce qui permet de bloquer les menaces de type « zero-day » liées au navigateur avant même qu'elles n'atteignent le réseau.

Points clés à retenir

• RBI exécute les sessions Web à distance ; seule une vue sécurisée parvient au terminal.
• Les logiciels malveillants présents sur la page consultée ne s'exécutent jamais sur l'appareil du client.
• Le mode lecture seule et les contrôles de téléchargement et de chargement empêchent l'exfiltration de données.
• RBI s'associe aux solutions SWG, ATP et DLP pour offrir une protection Web multicouche.
• Les sessions isolées sont supprimées après utilisation, de sorte que rien ne subsiste à distance.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · RBI et Versa · FAQ

Pourquoi la RBI est-elle importante ?

Le navigateur est le point d'entrée le plus courant pour les attaques : les téléchargements furtifs, les publicités malveillantes, les pages de hameçonnage et les attaques de type « watering hole » s'exécutent toutes au sein d'un onglet, et une seule faille non corrigée dans le moteur de rendu peut permettre à un attaquant d'exécuter du code avant même que les défenses basées sur les signatures ne détectent la charge utile. La sécurité Web traditionnelle tente d'abord d'identifier les contenus malveillants ; la technologie RBI contourne ce problème en empêchant purement et simplement l'exécution du contenu des pages sur le terminal.

Cela revêt une importance particulière dans le cas des menaces « zero-day », pour lesquelles il n'existe aucune signature permettant de les bloquer. C'est également le cas pour les navigations à risque que les entreprises ne peuvent pas simplement interdire : domaines nouvellement enregistrés, URL non classées ou sites que les collaborateurs ont une raison légitime de consulter malgré un risque élevé. L'isolation de ces sessions offre aux équipes de sécurité une solution intermédiaire entre l'autorisation et le refus pur et simple.

Qu'est-ce que la RBI ?

Lorsqu’un navigateur utilisateur demande une page à risque, la passerelle web sécurisée redirige la session vers le service RBI au lieu de connecter directement le client. Le service d’isolation charge et exécute la page réelle – JavaScript, plugins et tout le reste – au sein d’un conteneur jetable et isolé dans le cloud. Le navigateur client n’exécute jamais le code de la page ; il ne reçoit qu’une représentation reconstruite et nettoyée, et transmet les clics, les défilements et les frappes au conteneur distant.

Comme l’exécution n’a jamais lieu sur le terminal, les logiciels malveillants intégrés à la page – y compris les exploits « zero-day » sans signature connue – sont confinés dans un conteneur jetable, détruit à la fin de la session. Les profils RBI régissent également la surface de risque de la session : les téléchargements et les envois de fichiers peuvent être bloqués, analysés ou limités à un aperçu uniquement ; l’envoi de formulaires et l’accès au presse-papiers peuvent être restreints ; et la session peut être forcée en mode lecture seule.

Types de RBI

Deux approches de rendu s’imposent. Le « pixel streaming » traite le navigateur distant comme une source vidéo : le serveur d’isolation effectue le rendu de la page et diffuse des images compressées vers le client, qui les affiche dans une visionneuse légère – isolant ainsi chaque élément, au prix d’une latence et d’une consommation de bande passante accrues. La reconstruction DOM, quant à elle, analyse le modèle objet de document (DOM) de la page distante, supprime les éléments actifs et potentiellement malveillants, puis reconstruit un document HTML « propre » que le client affiche de manière native – une solution plus légère et plus réactive, mais offrant une garantie moins étendue quant à la désinfection correcte de chaque élément actif.

Le mode de déploiement varie également. La plupart des solutions RBI sont des services cloud, mis à disposition par région et accessibles via une passerelle web sécurisée. Un nombre plus restreint de déploiements s'appuie sur des appliances sur site, destinées aux organisations qui ne peuvent pas acheminer leur trafic de navigation vers un cloud tiers, privilégiant ainsi le contrôle de la localisation des données au détriment de la simplicité.

RBI & Versa

Versa propose RBI sous forme de module complémentaire basé sur le cloud au sein de son infrastructure « SASE », disponible sous licence dans les offres « Secure Internet Access (VSIA) Professional » et « Elite » d’ Versa . RBI fonctionne en complément de la passerelle Web sécurisée et des fonctionnalités de sécurité cloud de VOS™ (sandboxing, antivirus et prévention des pertes de données) pour offrir une ligne de défense supplémentaire contre les attaques « zero-day » menées via le navigateur. Son activation nécessite Concerto, une ou plusieurs passerelles Web sécurisées (SWG) et des instances Advanced Security Cloud dans chaque région ; voir « Configurer l’isolation à distance du navigateur » et « Configurer les locataires d’ SASE ».

Les administrateurs créent des profils RBI qui définissent le mode lecture seule, les comportements de téléchargement et de chargement, les règles relatives aux formulaires et au presse-papiers, ainsi que le mode d’affichage. Ils associent ensuite ce profil à une règle de protection Internet afin que les sessions correspondantes (appartenant à des catégories d’URL suspectes ou inconnues) soient redirigées vers la zone d’isolement. Les administrateurs surveillent l’activité RBI (sessions, transferts et menaces) depuis les tableaux de bord de sécurité de Concerto.

Questions fréquentes

Quelle est la différence entre le RBI et une passerelle Web sécurisée ?

Une passerelle Web sécurisée analyse et filtre le trafic Web en fonction de la catégorie d'URL, de la réputation et des règles, puis autorise ou bloque la connexion. Le RBI est une action qu'une passerelle peut entreprendre sur une session correspondante : au lieu d'autoriser ou de bloquer l'accès, elle isole l'exécution à distance.

La fonctionnalité RBI offre-t-elle une protection contre les failles de sécurité « zero-day » des navigateurs ?

Oui, c'est là la valeur fondamentale de RBI. Étant donné que la page s'exécute dans un conteneur distant jetable plutôt que sur le terminal, même une exploitation réussie reste confinée à cet endroit et est détruite à la fin de la session, sans jamais atteindre l'appareil client ni le réseau.

Le RBI peut-il empêcher l'exfiltration de données pendant une session de navigation ?

Oui, via les paramètres de profil. Les administrateurs peuvent désactiver les téléchargements de fichiers et l'envoi de formulaires, bloquer l'accès au presse-papiers entre la session et le bureau local, ou forcer l'ensemble de la session en mode lecture seule, ce qui supprime toute interactivité et bloque les téléchargements, les téléversements et la saisie dans les formulaires.

Quelle est la différence entre le « pixel streaming » et la reconstruction du DOM ?

Le « pixel streaming » envoie un flux de type vidéo de la page affichée, en isolant chaque élément, mais cela consomme davantage de bande passante et augmente la latence. La reconstruction du DOM analyse et nettoie la structure du document de la page, puis la reconstruit afin que le navigateur local puisse l'afficher de manière native : cette méthode est plus légère, mais offre une garantie de filtrage plus limitée.

Le fait d'isoler une session de navigation ralentit-il l'expérience utilisateur ?

Cela entraîne une certaine surcharge, puisque chaque page est d'abord chargée sur un serveur distant, mais l'impact est moindre avec la reconstruction du DOM qu'avec le « pixel streaming ». Comme la technologie RBI est généralement appliquée de manière sélective – aux sites suspects ou non classés, et non à l'ensemble de la navigation –, la plupart des utilisateurs ne la remarquent que rarement.

En savoir plus sur la RBI

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à la RBI, voici quelques liens qui pourraient vous intéresser.