Qu'est-ce que la réputation d'une URL ?

La « réputation d’URL » est une classification des risques (fiable, faible risque, risque modéré, suspect ou risque élevé) que les appareils équipés du système d’exploitation Versa (VOS) attribuent à une URL ou à une adresse IP en fonction des informations sur les menaces. Conjointement avec la catégorie d’URL, elle détermine quelle action de la politique de sécurité (autoriser, bloquer, alerter ou rediriger vers un portail captif) s’applique à une session.

Points clés à retenir

• La réputation d'une URL évalue le niveau de risque associé à celle-ci, allant de « Fiable » à « Risque élevé ».
• VOS associe la réputation à la catégorie d'URL et applique la règle la plus stricte.
• Les évaluations prédéfinies proviennent de la base de données cloud de Versa, qui contient 2 milliards d'URL.
• Les administrateurs peuvent définir des cotes de réputation personnalisées et remplacer les valeurs prédéfinies.
• Le filtrage par adresse IP peut s'appuyer sur la réputation des URL afin d'éviter de bloquer des sites sûrs.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Réputation des URL et Versa · FAQ

Pourquoi la réputation d'une URL est-elle importante ?

Les catégories constituent à elles seules un outil peu précis. Un site web peut figurer dans une catégorie légitime – Affaires, Technologie, Actualités – tout en étant compromis, en ayant été récemment enregistré dans le cadre d’une campagne d’hameçonnage ou en hébergeant des logiciels malveillants, bien avant que quiconque n’ait le temps de le reclasser. La réputation des URL comble cette lacune : elle évalue le risque réel présenté par une URL, indépendamment du thème qu’elle prétend aborder, et permet à une politique de sécurité de réagir en fonction des informations sur les menaces plutôt qu’en se basant sur une étiquette statique.

Cette distinction est particulièrement importante pour les URL qu’une politique basée sur les catégories laisserait autrement passer. Un site d’entreprise compromis ou un domaine similaire récemment enregistré et utilisé pour le phishing d’identifiants peut appartenir à une catégorie parfaitement inoffensive, mais sa réputation le signale comme « suspect » ou « à haut risque ». C’est en évaluant conjointement la catégorie et la réputation – et en appliquant la règle la plus stricte des deux – qu’un profil de filtrage d’URL permet de détecter les menaces que la catégorisation par thème seule ne permettrait pas de repérer, sans pour autant bloquer d’emblée des catégories légitimes entières.

Qu'est-ce que la réputation d'une URL ?

Sur un appareil VOS, chaque URL demandée peut être associée à une note de réputation ainsi qu’à une catégorie : « Fiable », « Risque faible », « Risque modéré », « Suspect » ou « Risque élevé », avec « Indéfini » comme valeur par défaut en l’absence de données. VOS recherche cette valeur dans une base de données locale contenant jusqu’à 20 millions d’URL ou, lorsque la recherche dans le cloud est activée, dans la base de données cloud d’ Versa, qui regroupe plus de 2 milliards d’URL classées par catégorie – mise à jour quotidiennement ou en temps réel via les mises à jour du pack de sécurité (SPack).

La réputation et la catégorie sont évaluées conjointement, et non séparément. Lorsqu’un profil de filtrage d’URL comporte des règles distinctes pour la catégorie et pour la réputation, et que ces deux règles sont en contradiction (par exemple, une autorisation pour la catégorie mais un blocage pour la réputation), VOS applique l’action la plus restrictive. Si aucune donnée prédéfinie ou personnalisée n’est disponible pour une URL, VOS attribue par défaut une réputation « Suspect » à cette URL, plutôt que de la considérer comme sûre par défaut.

Types de réputation des URL

VOS distingue cinq niveaux de réputation, classés du plus sûr au plus risqué : « Fiable », « Faible risque », « Risque modéré », « Suspect » et « Risque élevé », auxquels s'ajoute la catégorie « Indéfini » pour les URL ne disposant d'aucune donnée de réputation. Chaque niveau peut être associé de manière indépendante dans une carte d'actions de réputation ; ainsi, une politique peut autoriser le trafic « Fiable » et « Faible risque » tout en bloquant le trafic « Suspect » et « Risque élevé », sans modifier les catégories auxquelles appartiennent ces URL.

Les cotes de réputation varient également selon leur source. Les cotes prédéfinies proviennent de la base de données d’URL continuellement mise à jour de Versa, actualisée via les mises à jour de SPack. Les cotes personnalisées (définies par l’utilisateur) permettent aux administrateurs d’attribuer ou de remplacer une cote de réputation pour des URL spécifiques – par chaîne de caractères exacte ou expression régulière, saisie individuellement ou importée sous forme de fichier CSV – et lorsque les deux existent pour une même URL, VOS applique la cote correspondant au risque le plus élevé parmi les deux résultats.

Réputation des URL et Versa

C'est dans le filtrage des URL que la réputation des URL entre en jeu : la carte des actions de réputation d'un profil de filtrage d'URL permet aux administrateurs de définir une action (autoriser, bloquer, alerter, rejeter ou rediriger vers un portail captif) pour chaque niveau de réputation. Ces actions sont évaluées conjointement avec la carte des actions de catégorie du profil, la règle la plus stricte prévalant. Ce même modèle de réputation est présent dans les profils de filtrage d'URL des pare-feu de nouvelle génération (NGFW), et les administrateurs peuvent consulter la catégorie et la réputation en temps réel de n'importe quelle URL directement depuis Director à l'aide de l'outil intégré « Look Up URL ».

La réputation intervient également dans les mesures de contrôle basées sur les adresses IP. Dans les politiques de sécurité des pare-feu cloud, un profil de filtrage IP par géolocalisation peut être configuré pour privilégier la réputation de l’URL par rapport à celle de l’adresse IP. Ainsi, un site légitime hébergé sur une adresse IP ayant une mauvaise réputation n’est pas bloqué d’emblée, à condition que la réputation de son URL respecte un seuil défini par l’administrateur, allant de « Fiable » à « Risque élevé ».

Questions fréquentes

Quels sont les niveaux de réputation utilisés par « Versa » ?

VOS classe les URL en cinq niveaux hiérarchisés – « Fiable », « Faible risque », « Risque modéré », « Suspect » et « Risque élevé » – du plus sûr au plus risqué, auxquels s'ajoute la catégorie « Indéfini » lorsqu'aucune donnée de réputation n'est disponible. Les règles peuvent correspondre à un ou plusieurs niveaux d'une carte d'actions de réputation afin d'autoriser, d'alerter, de bloquer ou de rediriger le trafic en conséquence.

Que se passe-t-il lorsque les mesures relatives à la catégorie d'une URL et à sa réputation ne concordent pas ?

VOS évalue simultanément la carte des actions de catégorie et la carte des actions de réputation, et applique l'action la plus restrictive des deux. Par exemple, si la règle de catégorie correspondante autorise une URL mais que la règle de réputation la bloque, VOS bloque la session plutôt que de laisser prévaloir la règle la plus permissive.

Quelle réputation une URL inconnue se voit-elle attribuer par défaut ?

Si une URL ne dispose d'aucune catégorisation prédéfinie et qu'aucune réputation personnalisée n'est configurée, VOS lui attribue la réputation par défaut « Suspect » au lieu de la considérer comme sûre. Ce paramètre par défaut, qui privilégie la prudence, s'applique chaque fois que la recherche dans le cloud est désactivée et que l'URL ne figure pas déjà dans la base de données SPack locale.

Les administrateurs peuvent-ils passer outre une réputation d'URL prédéfinie ?

Oui. Les administrateurs peuvent créer des objets de réputation d'URL personnalisés qui correspondent à des URL par chaîne de caractères exacte ou par motif d'expression régulière, qu'ils soient saisis individuellement ou importés sous forme de fichier CSV. Ces valeurs personnalisées peuvent remplacer la réputation prédéfinie que VOS attribuerait autrement à partir de sa base de données locale ou hébergée dans le cloud.

Comment la réputation des URL interagit-elle avec le filtrage des adresses IP ?

Un profil de filtrage IP par géolocalisation peut donner la priorité à la réputation de l'URL plutôt qu'à celle de l'adresse IP : lorsque la réputation de l'URL atteint un seuil défini par l'administrateur, le trafic est évalué par le filtrage d'URL au lieu d'être bloqué d'emblée en raison d'une mauvaise réputation de l'adresse IP, ce qui évite que des sites légitimes hébergés sur des adresses IP signalées ne soient bloqués inutilement.

En savoir plus sur la réputation des URL

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à la réputation des URL, voici quelques liens qui pourraient vous intéresser.