Fonctionnalités
La boucle de politique est visible de l'appareil jusqu'à l'administrateur.
-
Politiques de catégories par groupe
Bloquez les catégories de contenu UT1 par groupe de politique — adultes, jeux d'argent, malwares, outils de chat IA, et plus — depuis la console d'administration.
-
Listes d'autorisation et de blocage
Les listes d'autorisation à l'échelle du locataire remplacent les blocages de catégories ; les listes de blocage ajoutent des domaines en plus des flux URLhaus, OpenPhish et PhishTank.
-
Flux d'indicateurs de menace
URLhaus, OpenPhish et PhishTank sont livrés dans un paquet gzip signé ed25519, rafraîchi toutes les 15 minutes. Les agents vérifient la signature avant de faire confiance à un paquet.
-
Page de blocage locale
Les requêtes DNS bloquées sont redirigées vers 127.0.0.1 avec le domaine, la catégorie, le flux source et le groupe de politique affichés à l'écran. Une notification de bureau affiche le motif.
-
File de revue des faux positifs
Les utilisateurs finaux soumettent une demande de revue depuis la page de blocage. Elle arrive dans la file d'administration avec le motif de politique d'origine et le contexte de l'appareil joints.
-
Journal d'audit de l'appareil et flux de blocage
Chaque blocage écrit un enregistrement d'audit JSONL sur le poste. En mode géré, les événements sont également publiés dans le flux de blocage d'administration à /v1/report.
-
Filtrage hors ligne depuis le cache
La liste de blocage et la politique résident dans un cache local — %PROGRAMDATA%\ClearScreen sur Windows, /var/lib/clearscreen sur Linux. Si le serveur Edge est injoignable, le dernier paquet vérifié continue le filtrage.
-
DoH en amont, pas de déchiffrement TLS
Les requêtes autorisées sont transmises en amont via DoH à Cloudflare 1.1.1.1 et mises en cache. Pas d'inspection TLS, de fichier PAC ou de passerelle réseau dans le chemin de la politique.
-
Enregistrement autonome et géré
L'autonome fonctionne sur un paquet public avec une politique par défaut — aucun compte requis. Exécutez clearscreen enroll <key> pour échanger une clé d'enregistrement à /v1/enroll contre une clé API limitée à l'appareil et une politique centralisée.
Comment ça fonctionne.
-
Déployer l'agent
Installez le binaire Go sur Windows, Linux ou macOS. L'agent se lie à 127.0.0.1:53, configure le DNS système sur loopback et restaure le résolveur à l'arrêt.
-
Définir la politique par groupe
Choisissez les catégories UT1 bloquées, ajoutez des listes d'autorisation et de blocage du locataire, et attribuez des groupes de politique depuis la console d'administration. Les agents gérés récupèrent la politique depuis /v1/policy.
-
Revue sur l'appareil et dans l'administration
Les domaines bloqués affichent une page de blocage locale avec le motif. Les rapports de faux positifs arrivent dans la file d'administration. Les événements de blocage s'exportent en CSV ou JSON.
Commencez avec un groupe de politique.
Déployez l'agent sur un parc pilote, définissez les catégories UT1 et examinez les blocages sur l'appareil avant un déploiement plus large.