フォレンジック調査では、ファイルのコピーとDLPマッチングのハイライトをフォレンジック用ストレージに保存できます。この情報は、インシデント対応担当者にとって、DLPインシデントおよび対応するSkope ITアラートで入手可能なその他の情報とともに、非常に必要な証拠を提供することができます。
次世代フォレンジックは、従来の API データ保護から切り離された新しいプラットフォーム上で開発されています。 以前は、フォレンジックは従来のAPIデータ保護製品と密接に連携しており、管理者がフォレンジックを設定および構成していました。 従来のAPIデータ保護のグラントフローでは、 SaaS / IaaSプロバイダーからの広範な権限スコープが必要でした。 Next Genでは、フォレンジックを個別に構成できるようになり、必要な権限も最小限に抑えられます。
Netskopeは、次世代プラットフォーム上で、フォレンジック調査の保存先として、Amazon S3、Box、Google Drive、Microsoft Azure Blob Storage、およびMicrosoft SharePointをサポートしています。
顧客は使うクラシックなGoogle Cloud Storageをフォレンジックの目的地として使うを継続できます。
設定を進める前に、よくある質問（FAQ）を参照してください。
フォレンジック調査を設定するには、以下の手順が必要です。
-
フォレンジックデータを保存したいストレージアプリを設定してください。
ストレージアプリの設定
以下は、フォレンジック調査の保存先として設定できるアプリの一覧です。
Configure Amazon S3 Bucket as a Forensic Destination
セキュリティやコンプライアンス上の理由により、 CloudFormation が制限されている環境では、 代替の手動構成方法が利用可能であり、サポートされています。 このオプションを選択するには、お客様のAWS管理チームとの連携が必要です。
このアプローチに関するガイダンスについては、 Netskopeサポートまたは営業担当者にお問い合わせください。
Amazon S3バケットをフォレンジック調査の保存先として設定するには、以下の手順に従ってください。
中国地域におけるAmazon S3に関する特記事項：地域インフラの制約上、この機能はオプトイン方式で提供されます。この機能を有効にするには、顧客が関連するデータ処理および処理フローを明示的に承認する必要があります。Netskopeは、導入時に顧客と協力して、有効化前にこの要件を確認し承認を得ます。
-
前提条件
-
Amazon ウェブ サービス (AWS) フォレンジック インスタンスのセットアップ
-
CloudFormationスタックを作成する
-
前提条件
-
Amazon S3バケットが少なくとも1つ設定されていることを確認してください。
Netskopeは、このAmazon S3バケットをNetskopeのフォレンジックデータ専用にすることを推奨しています。 -
AWS管理者ユーザーアカウント。
AWS Forensic インスタンスをセットアップする
AWSフォレンジックインスタンスを設定するには、以下の手順に従ってください。
-
Netskopeテナントにログインし、 Settings > Forensics > Instancesに移動してください。
-
Setup Forensic InstanceドロップダウンをクリックしてAmazon Web Servicesを選択します。
Setup Forensic Instanceページが開きます。
-
AWS Account IDの下に、AWS アカウントのアカウント ID を入力してください。
AWSポータルにログインすると、右上にAWSアカウントIDが表示されます。
-
AWS Role Nameの下に、選択したアイデンティティおよびアクセス管理 (IAM) ロールの名前を入力してください。
該当するロールがAWSアカウントに存在しないことを確認してください。アクセス権限を付与すると、Netskopeは自動的にこのロールを作成します。この役割により、NetskopeはAmazon S3バケットにアクセスして、フォレンジックデータをアップロードまたはダウンロードできるようになります。
-
AWS Partition以下：
-
AWSの商用版の場合は、 Commercialを選択してください。
-
AWS中国リージョンの場合は、 Chinaを選択してください。
-
-
Instance Nameの下に、AWS アプリケーション インスタンスの名前を入力してください。この手順は任意であり、空白のままにした場合、Netskopeは権限付与後にアプリインスタンスの名前を決定します。
-
Grant Accessをクリックしてください。
AWSコンソールウィンドウが新しいタブで開きます。ログインしていない場合は、管理者権限でログインしてください。
以下の手順でCloudFormationスタックを作成できます。
-
Quick create stackページで、以下の詳細を入力してください。
-
Stack nameこのスタックの名前を入力してください。
-
forensicBucketNameAmazon S3バケットの名前を入力してください。
これは、この記事の冒頭で述べた前提条件の一部です。 -
Capabilitiesの下にあるチェックボックスを選択し、 Create stackをクリックします。
その他の項目は変更しないでください。
スタックの作成には数分かかる場合があります。Key Details
-
Netskope AWS アカウント ID:
440744221188(商用)、681974160373(中国)
awsPrincipal (上記のスクリーンショット) の下、440744221188(商用) および681974160373(中国) はNetskope AWS アカウントの公式アカウント ID であり、 AWS とのすべてのサポートされているフォレンジック統合にわたって適用されます。 -
役割の引き受け:
NetskopeこのAWSアカウントを使用して、クロスアカウントアクセス経由でAWS環境における役割を引き受けます。 お客様は、CloudFormation テンプレートを使用してこのロールを作成します。 テンプレートの規定：-
AWSアカウントにおけるIAMロール。
-
役割に紐づけられたポリシーで、必要な権限を定義するもの。
-
Netskope AWSアカウントがこの役割を引き受けることを許可する信頼ポリシー。
-
-
信頼ポリシー:
AWS アカウントで作成されたロールは、Netskope AWS アカウント ID440744221188681974160373arn:aws:iam::440744221188:role/netskope-forensic-role
arn:aws-cn:iam::681974160373:role/application_role/netskope-forensic-role
-
アクセス権限:
役割が引き受けられると、 Netskopeセットアップ時に構成された指定の S3 バケット内のフォレンジック データにアクセスして読み書きできるようになります。
この設定により、公式のNetskope AWSアカウントID
440744221188（商用）、681974160373（中国）のみが役割を引き受けることができ、AWS環境とNetskopeフォレンジック間の安全な統合が維持されます。 -
-
-
IAMロールが作成されていることを確認してください。そのためには、 IAM > Rolesに移動し、手順 4 で入力した名前で役割を検索してください。
-
インスタンス設定ページに戻り、 Confirmチェックボックスを選択してComplete Grantをクリックします。
ブラウザを更新すると、インスタンス名の横に緑色のチェックマークアイコンが表示されるはずです。
Use an S3 Bucket as a Forensics Destination using SSE-KMS with Customer-managed Keys
KMS (SSE-KMS) カスタマーマネージド キーを使用したサーバー側暗号化をフォレンジックの宛先として使用する場合、S3 バケットをフォレンジックの宛先として使用するために必要なアクセス許可をNetskopeに提供するように AWS 環境を設定する必要があります。
SSE-KMSの顧客管理キーについては、以下の手順に従ってください。
-
管理者としてAWSコンソールにログインしてください。次にServices > IAM > Rolesへ移動します。
-
Rolesの下で、先ほど作成した IAM ロールを検索し、それをクリックして、このロールのARNをコピーします。
-
Services > Key Management Serviceへ移動してください。
-
Key Management Service (KMS) > Customer managed keysで、S3 バケットの暗号化に使用する各 KMS キーに移動し、キーのポリシーを編集します。
-
各 KMS キーのKey policyの下にあるEditをクリックします。
ポリシーのStatementセクションを編集して、以下を含めるようにしてください。
{ "Sid": "Enable Netskope to use KMS", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::<customer_account_id>:role/<customer_provided_IAM_role>" }, "Action": [ "kms:Decrypt", "kms:GenerateDataKey*", "kms:DescribeKey", "kms:Encrypt" ], "Resource": "*" }<customer_account_id>AWSアカウントIDに、<customer_provided_IAM_role>を以前作成したIAMロールに置き換えてください。山括弧は含めないでください。 -
Save changesをクリックしてください。
次に、フォレンジックプロファイルを作成する必要があります。そのためには、 「フォレンジックプロファイルの作成」の手順に従ってください。
Configure Box as a Forensic Destination
Boxをフォレンジック調査の宛先として設定するには、以下の手順に従ってください。
-
前提条件
-
Box管理コンソールでNetskopeアプリを承認する
-
Box Forensicインスタンスをセットアップする
前提条件
-
Business、Business Plus、Enterprise、またはEnterprise Plusライセンス付きのBoxアカウント。
-
Boxの管理者または共同管理者のユーザーアカウント。
Box管理コンソールでNetskopeアプリを承認する
管理者または共同管理者として、NetskopeアプリがBoxに対してAPI呼び出しを行えるように、Box上でNetskopeアプリを承認する必要があります。次のいずれかを選択できます Box管理者または共同管理者アカウントを使用してNetskopeへのアクセスを許可します。
-
Boxアカウントにログインして、管理者または共同管理者ユーザーとして Admin Consoleをクリックします。
-
Admin ConsoleをクリックしてIntegrations > Platform Apps Managerに移動し、 + Add Platform Appをクリックします。Client IDの下に、次のクライアント ID を入力してください:
jrnqg3rwthiozrbzhtgtcil3p2lunydd。 -
NextとAuthorizeをクリックしてください。
「管理者によって無効化されました」のようなエラーメッセージが表示された場合は、手順4に進んでください。
-
Integrations > Platform Apps Managerに移動してPlatform App Settingsをクリックしてください。Disable unpublished platform apps by default設定の状態を確認してください。
有効になっている場合は、 Integrations > Platform Apps Managerに戻って+ Add Platform Appをクリックしてください。Client IDの下に、次のクライアント ID:
4p9gvf2wu3fxpjr9ikx38c4syf0c0vzgを入力して有効にします。これはNetskopeのOAuthアプリです。
Box Forensicインスタンスをセットアップする
Boxのフォレンジックインスタンスを設定するには、以下の手順に従ってください。
-
Netskopeテナントにログインして、次の場所に移動します。 Settings > Forensics > Instances.
-
Setup Forensic InstanceドロップダウンをクリックしてBoxを選択します。
Setup Forensic Instanceページが開きます。
-
Instance Nameの下に、SaaSアプリインスタンスの名前を入力してください。この手順は任意であり、空白のままにした場合、Netskopeは権限付与後にアプリインスタンスの名前を決定します。
-
Grant Accessをクリックしてください。使う Box 管理者または共同管理者アカウントにログインし、 Authorizeをクリックします。 権限を確認するには、 Grant access to Boxをクリックしてください。設定結果ページが開いたら、 Closeをクリックします。
ブラウザを更新すると、インスタンス名の横に緑色のチェックマークアイコンが表示されるはずです。
次に、フォレンジックプロファイルを作成する必要があります。そのためには、 「フォレンジックプロファイルの作成」の手順に従ってください。
Configure Google Drive as a Forensic Destination
Googleドライブをフォレンジック調査の保存先として設定するには、以下の手順に従ってください。
-
前提条件
-
Netskope用のカスタムロールを作成して割り当てる
-
Netskopeサービスアカウントにスコープを付与する
-
Googleドライブフォレンジックインスタンスをセットアップする
前提条件
-
Google WorkspaceのBusiness StandardまたはBusiness Plusエディションのライセンスが必要です。
-
Netskopeとの連携のために、カスタムロールとユーザーを作成するためのGoogleスーパー管理者アカウントが必要です。
-
Googleアカウントのすべての組織単位でGoogleドライブが利用できることを確認してください。確認するには、admin.google.com 使うGoogleスーパー管理者アカウントにログインし、 Apps > Google Workspace > Drive and Docs に移動して Service status が ON for everyoneに設定されているか確認してください。
-
Google Drive SDKが有効になっていることを確認してください。確認するには、 admin.google.comにログインしてください。 Googleスーパー管理者アカウントにログインし、 Apps > Google Workspace > Drive and Docs > Features and Applications に移動して、 Drive SDKがオンになっていることを確認してください。
Netskope用のカスタムロールを作成して割り当てる
予定がない場合 Google スーパー管理者アカウントでは、カスタムロールを作成し、そのロールをユーザーに割り当てることで、次世代 API データ保護へのアクセス権を付与できます。 権限/スコープを付与するには デフォルトのGoogleスーパー管理者ロール、またはNetskope統合専用のカスタムロールを作成します。 このセクションでは、Netskope 用のカスタムロールを作成する手順について説明します。
-
スーパー管理者としてadmin.google.comにログインしてください。
-
ホームページの左上隅にある三本線をクリックして、 Account > Admin rolesに移動します。
-
Create new roleをクリックしてください。
-
役割の名前とデスクリプションを入力し、 CONTINUEをクリックします。
-
役割の権限Select 。
Netskopeは、以下の権限を削除することを推奨しません。削除すると、API呼び出しやポリシー処理が失敗する可能性があります。-
管理者コンソール権限:
Google Workspaceで新しい役割が作成されると、管理者コンソールの権限が自動的に割り当てられます。管理コンソールでこの役割に付与されるアクセスレベルは、この役割に付与されている権限によって異なります。Netskopeが必要とする権限の一覧は以下のとおりです。
Privilege 必要条件… サービス > ドライブとドキュメント > 設定
(全5つの権限)この権限は、Googleドライブの管理者設定を有効にするためのものです。 ドメイン設定 Google Workspace にドメインを登録するには、この権限が必要です。Netskopeドメインリストを使用して、ユーザーが内部ユーザーか外部ユーザーかを判断します。 -
管理者API権限：
API呼び出しを行うには、管理者API権限が必要です。
Privileges 必要条件… グループ > 読む グループ情報を取得するには、この権限が必要です。 ユーザー > 読む ユーザー情報を取得するには、この権限が必要です。 ドメイン管理 Google Workspace にドメインを登録するには、この権限が必要です。Netskopeドメインリストを使用して、ユーザーが内部ユーザーか外部ユーザーかを判断します。
-
-
CONTINUEをクリックしてから、 CREATE ROLEをクリックしてください。
カスタムロールを作成したら、そのロールをユーザーに割り当てることができます。アカウントに役割を割り当てるには、 Directory > Usersに移動し、ユーザーアカウントをクリックし、 Admin roles and privilegesに移動して、上記で作成した役割を割り当てます。ユーザーはその後、NetskopeがGoogleドライブインスタンスへのアクセスを許可することを承認できます。
Netskopeサービスアカウントにスコープを付与する
このセクションでは、Googleドライブ内のデータにアクセスできるようにするために、 NetskopeウェブアプリケーションとAPIクライアントをGoogleに登録するために必要な手順について説明します。
-
スーパー管理者としてadmin.google.comにログインしてください。
-
Security > Access and data control > API controlsへ移動してください。
-
API controlsページのDomain wide delegationの下にあるManage Domain Wide Delegationをクリックします。
-
Add newをクリックしてください。
新しいポップアップウィンドウが開きます。
-
Client IDの場合は、
108196482611215472250 -
OAuth scopesに対して、以下のスコープを入力してください。
1行に1つのスコープを入力してください。-
https://www.googleapis.com/auth/admin.directory.user.readonly -
https://www.googleapis.com/auth/admin.directory.domain.readonly -
https://www.googleapis.com/auth/drive
-
-
Authorizeをクリックしてください。
-
上記の手順が正しく行われたことを確認するには、 Netskope for Googleアプリが API クライアントのリストに表示されるかどうかを確認してください。
Googleドライブフォレンジックインスタンスをセットアップする
Google Driveのフォレンジックインスタンスを設定するには、以下の手順に従ってください。
-
Netskopeテナントにログインして、次の場所に移動します。 Settings > Forensics > Instances.
-
Setup Forensic InstanceドロップダウンをクリックしてGoogle Driveを選択します。
Setup Forensic Instanceページが開きます。
-
API Admin Emailの下に、スーパー管理者またはカスタムロールを持つユーザーの Google アカウントを入力します。 Netskopeのカスタムロールの作成と割り当てを参照してください。
-
Instance Nameの下に、SaaSアプリインスタンスの名前を入力してください。この手順は任意であり、空白のままにした場合、Netskopeは権限付与後にアプリインスタンスの名前を決定します。
-
Grant Accessをクリックしてください。ログインを求められます スーパー管理者、またはカスタムロールとパスワードを持つユーザーとしてログインし、 Sign Inをクリックします。 設定結果ページが開いたら、 Closeをクリックします。
ブラウザを更新すると、インスタンス名の横に緑色のチェックマークアイコンが表示されるはずです。
次に、フォレンジックプロファイルを作成する必要があります。そのためには、 「フォレンジックプロファイルの作成」の手順に従ってください。
Configure Microsoft Azure Blob Storage as a Forensic Destination
Microsoft Azure Blob Storage をフォレンジック調査の保存先として構成するには、以下の手順に従ってください。
-
前提条件
-
Microsoft Azure Blob Storage Forensic インスタンスをセットアップする
-
Azure ポータルでカスタム ロールを作成して割り当てる
前提条件
-
少なくとも1つのストレージアカウントとコンテナが設定されていることを確認してください。
-
ストレージアカウントのSecurity + Networkingセクションで、 Networking > Firewalls and virtual networksに移動します。Public network accessの下で、オプションをEnabled for All Networksに設定します。Enabled from selected virtual networks and IP addressesを選択した場合、FirewallセクションでNetskopeのIPアドレスが許可リストに入っていることを確認してください。
Netskope IP アドレス リンクには、ログイン経由で許可された顧客コンタクトのみがアクセスできます。 アクセスできない場合は、 Netskope営業担当者またはサポート チームにご連絡ください。
Microsoft Azure Blob Storage Forensic インスタンスをセットアップする
Microsoft Azure Blob Storage のフォレンジック インスタンスを構成するには、以下の手順に従ってください。
-
Netskopeテナントにログインして、次の場所に移動します。 Settings > Forensics > Instances.
-
Setup Forensic Instanceドロップダウンをクリックして、 Azure Blob Storageを選択してください。
Setup Forensic Instanceページが開きます。 -
Instance Nameの下に、Azure Blob Storage インスタンスの名前を入力してください。入力できる文字は、英数字、アンダースコア（_）、ハイフン（-）のみです。
-
Grant Accessをクリックしてください。
Microsoft Loginウィンドウが開きます。 -
Grant Accessをクリックすると、Azure のユーザー名とパスワードでログインするように求められ、次にAccept権限を付与してCloseをクリックします。
ログインしている Azure ユーザーは、アプリケーションへの同意を付与するために、アプリケーション管理者以上のロールを持っている必要があります。
Netskope – Forensics for Azure Blob Storageアプリは、Microsoft Azure Blob Storage アプリへのアクセスを許可すると、追加の権限が付与された状態で Azure ポータルにインストールされます。
ブラウザを更新すると、インスタンス名の横に緑色のチェックマークアイコンが表示されるはずです。
Azure ポータルでカスタム ロールを作成して割り当てる
アクセス権限を付与したら、Azureポータルにログインし、カスタムロールを作成して、そのロールをストレージアカウントまたはコンテナーに割り当てます。
-
アプリケーション管理者以上の役割でportal.azure.comにログインしてください。
-
カスタムロールを作成するサブスクリプションIDを特定してください。そのためには、 All services > General > Subscriptionsに移動してください。購読IDを確認してクリックしてください。
-
購読ページの左側のナビゲーションで、 Access Control (IAM)をクリックします。次に、 + Add > Add custom role.をクリックします。
Create a custom roleページが開きます。
-
Basicsタブで、カスタムロールの名前を入力します。その他の項目は変更しないでください。
-
Nextをクリックしてください。
-
Permissionsの下で、 + Add permissionsをクリックしてください。 Add permissionsページが開きます。検索バーに、以下の権限を順番に入力してください。
-
Microsoft.Storage/storageAccounts/blobServices/containers/read。 クリック Microsoft Storage.
Select Read : Get blob container して Addをクリックします。
-
Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read。 クリック Microsoft Storage.Data ActionsラジオボタンをクリックしてRead : Read Blobを選択し、 Addをクリックします。
-
Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write. Microsoft Storage.
をクリックし、 Data ActionのラジオボタンをクリックしてWrite: Write Blob選択し、 Addをクリックします。
3つの権限を追加すると、 Permissionsタブは次のようになります。
-
-
Review + createをクリックしてください。Review + createタブには以下の情報が表示されます。見直してください。
役職名をメモしておいてください。これは、コンテナに役割を割り当てる際に必要になります。 -
Create .
をクリックしてくださいカスタムロールの作成に成功しました。次に、その役割をコンテナに割り当てる必要があります。 -
All services > Storage > Storage accountsへ移動してください。ストレージアカウントを特定してクリックしてください。
-
ストレージアカウントページの左側のナビゲーションで、 Data storage > Containersをクリックします。カスタムロールを割り当てるコンテナを指定してください。それをクリックしてください。
フォレンジック調査の宛先として、Microsoft の内部コンテナ$logsを選択しないでください。Microsoftはこのコンテナタイプへのアップロード操作を許可していないため、Netskopeはフォレンジックデータを正常にアップロードできません。 -
コンテナページの左側のナビゲーションで、 Access Control (IAM)をクリックします。次に、 + Add > Add role assignment.をクリックします。
Add role assignmentページが開きます。
-
役割名で検索し、役割を選択して、 Nextをクリックします。
-
Membersの下で、 + Select membersをクリックしてください。
-
Under Select Members, type Netskope – Forensics for Azure. Select the Netskope – Forensics for Azure Blob Storage app and click Select.
-
Review + assignをクリックしてください。Review + assignタブには以下の情報が表示されます。見直してください。
-
Click Review + assign.
役割の割り当てには数分かかる場合があります。Netskopeのユーザーインターフェースでフォレンジックプロファイルを作成する前に、役割の割り当てが有効になるまで数分お待ちください。カスタムロールをコンテナに正常に割り当てました。次に、フォレンジックプロファイルを作成する必要があります。そのためには、 「フォレンジックプロファイルの作成」の手順に従ってください。
Configure Microsoft SharePoint as a Forensic Destination
Microsoft SharePoint をフォレンジック調査の宛先として構成するには、以下の手順に従ってください。
-
Netskopeテナントにログインして、次の場所に移動します。 Settings > Forensics > Instances.
-
Setup Forensic InstanceドロップダウンをクリックしてSharePointを選択します。
Setup Forensic Instanceページが開きます。 -
Office 365 Environmentの下で、 CommercialまたはGCC Highを選択してください。
-
Instance Nameの下に、SaaSアプリインスタンスの名前を入力してください。この手順は任意であり、空白のままにした場合、Netskopeは権限付与後にアプリインスタンスの名前を決定します。
インスタンス名を含める場合は、スラッシュ（/）が含まれていないことを確認してください。 -
Grant Accessをクリックしてください。
Microsoft Loginウィンドウが開きます。 -
Grant Accessをクリックすると、グローバル管理者ユーザー名とパスワードでログインするように求められ、次にAccept権限を付与してCloseをクリックします。
ブラウザを更新すると、インスタンス名の横に緑色のチェックマークアイコンが表示されるはずです。
次に、フォレンジックプロファイルを作成する必要があります。そのためには、 「フォレンジックプロファイルの作成」の手順に従ってください。
フォレンジックプロファイルを作成する
次に、ポリシー違反を検出し、ファイルをフォレンジックフォルダ/コンテナに保存するフォレンジックプロファイルを作成する必要があります。フォレンジックプロファイルを作成するには、以下の手順に従ってください。
-
Netskopeテナントにログインして、次の場所に移動します。 Policies > Profiles > Forensic.
-
Click New Forensic Profile.
-
以下の詳細を入力してください。
-
プロファイル名：フォレンジックプロファイルの名前を入力してください。
-
App: Select either Amazon Web Services (Next Gen Forensics), Box (Next Gen Forensics), Google Drive (Next Gen Forensics), SharePoint (Next Gen Forensics), or Azure Blob Storage (Next Gen Forensics).
一部のストレージアプリには、2つの選択肢が用意されています。ストレージ アプリ名の横に「次世代フォレンジック」と表示されているストレージ アプリは、次世代プラットフォームでサポートされており、新しいフォレンジック プロファイルを作成するときにフォレンジック専用インスタンスを有効にします。 -
インスタンス名：適切なアプリインスタンスSelect 。
-
Amazon ウェブ サービス (次世代フォレンジック)の場合は、 CloudFormation スタックの一部として IAM ロールを作成するために使用された Amazon S3 バケット名を入力します ( forensicBucketName )。 名前はケースを区別します。 Amazon S3バケット名を確認するには、AWSコンソールにログインしてください。
-
Box (Next Gen Forensics)には、ユーザーの電子メール アドレスを入力します。 Netskopeは、このユーザーのホームドライブにフォレンジックフォルダを作成します。
-
Google Drive (Next Gen Forensics)の場合は、ユーザーの電子メール アドレスを入力します。 Netskopeは、このユーザーのホームドライブにフォレンジックフォルダを作成します。
-
SharePoint (次世代フォレンジック)の場合は、SharePoint サイトまたはサブサイトの URL を次の形式で入力します:
https://<account-name>.sharepoint.com/sites/<site-name>。例えば：https://netskope.sharepoint.com/sites/forensic-data-site。GCC High インスタンスを選択した場合、フォーマットはhttps://<account-name>.sharepoint.us/sites/<site-name>になります。
-
Azure Blob Storage (次世代フォレンジック)の場合は、Azure Blob Storage アカウントとコンテナー名を入力してください。名前ではケースが区別されます。 ストレージアカウント名とコンテナー名を確認するには、Azureポータルにログインしてください。
-
-
SaveとApply Changesをクリックしてください。
Amazon S3 および Azure Blob Storage をフォレンジックの保存先として使用する場合の注意点 – 設定を保存すると、Netskope がそれを検証します。検証が成功すると、NetskopeはREADME.mdファイルをAmazon S3バケットとAzureポータルのコンテナにアップロードします。AWSコンソールまたはAzureポータルにログインして、アップロードを確認できます。
次世代フォレンジックプロファイルの作成に成功しました。次に、フォレンジックプロファイルを有効にする必要があります。
フォレンジックプロファイルを有効にする
次に、フォレンジックプロファイルを有効にする必要があります。そのためには、以下の手順に従ってください。
-
Netskopeテナントにログインして、次の場所に移動します。 Settings > Forensics.
-
Configurationの下で、 Editをクリックしてください。
-
Forensic Statusトグルボタンを有効にします。
-
（オプション） Encryptionチェックボックスを選択できます。その際、Netskopeはフォレンジックコンテンツを暗号化してから、フォレンジック配信先のSaaS/IaaSアプリにアップロードします。[暗号化] チェックボックスを選択すると、 Edit Forensic Configurationページで元のファイルへのアクセスを保存することを選択した場合、元のファイルも暗号化されます。
暗号化されたフォレンジックコンテンツは、NetskopeテナントUIまたはNetskope REST APIを介してのみ閲覧できます。Netskopeは暗号化されたフォレンジックコンテンツを復号化し、 Incidents > DLPページに表示します。さらに、元のファイルへのアクセスが有効になっている場合、インシデントによって生成されたファイルのコピーが暗号化され、 Incidents > DLPページからダウンロードされるとファイルが復号化されます。
フォレンジック コンテンツを使うNetskope REST API を表示するには、 「REST APIv2」を参照してください。 フォレンジックコンテンツを表示するには、 以下のREST APIを使用してください。- 鑑識コンテンツをダウンロードする：
/api/v2/incidents/dlpincidents/{id}/forensics - オリジナルファイルをダウンロード：
/api/v2/incidents/dlpincidents/{id}/originalfile - サブファイルをダウンロード:
/api/v2/incidents/dlpincidents/{id}/subfile
- 鑑識コンテンツをダウンロードする：
-
ドロップダウンリストから、以前作成したフォレンジックプロファイルを選択してください。
-
（オプション）DLPインシデントに関連するファイルを指定されたフォレンジックフォルダに保存するには、 Store original file Select 。 これらのファイルは、事件を閲覧する際にダウンロードできるようになります。このオプションを有効にするには、フォレンジックフォルダのクォータ制限を増やす必要がある場合があります。
-
(オプション) エンドポイント DLP インシデントに関連するファイルを指定されたフォレンジック フォルダーに保存するには、 Store original file for Endpoint DLP Select 。 これらのファイルは、事件を閲覧する際にダウンロードできるようになります。このオプションを有効にするには、フォレンジックフォルダのクォータ制限を増やす必要がある場合があります。
Store original file for Endpoint DLP これは、管理されたGA機能です。詳細については、Netskopeの営業担当者にお問い合わせください。 -
（オプション） Store sub-file Select 。ドキュメントまたはアーカイブファイルに埋め込まれた画像やその他のファイルに関連するDLPインシデントの場合、 Incidentsページでは、画像のプレビュー、抽出されたテキストの表示、画像とサブファイルの両方のダウンロードが可能です。 さらに、このチェックボックスをオンにすると、これらの画像とサブファイルをダウンロードするオプションを有効にできます。このオプションを有効にするには、フォレンジックフォルダのクォータ制限を増やす必要がある場合があります。
Store sub-file これは、管理されたGA機能です。詳細については、Netskopeの営業担当者にお問い合わせください。
-
Saveをクリックするか、マッチ基準フォレンジックプロファイルの設定を続行してください。
マッチング基準に基づく法医学プロファイル
フォレンジックプロファイルを使用すると、顧客はDLP違反の証拠となる痕跡を保存できます。これはforensic metadata, original file, 、および sub-filesをキャプチャしますが、これらはすべて機密情報とみなされます。セキュリティとコンプライアンスを確保するため、 Netskopeお客様に このデータを保存するための自己管理型クラウド環境を用意していただくことをお願いしています。
現在、各テナントはonly one forensic destinationを持つことができ、フォレンジックデータ収集はall-or-nothing機能となります。DLP（データ損失）に関するすべての事案について、フォレンジックデータが記録されますが、そのデータを保存するかどうか、またどこに保存するかを選択することはできません。
マッチ基準フォレンジック構成を使用すると、次のことが可能になります。
-
関連付けられたDLPプロファイルに基づいて、サブファイルおよびオリジナルファイルの保存を含むフォレンジックログを有効または無効にします。
-
DLPプロファイルに基づいて、フォレンジック分析用の宛先プロファイルSelect 。
照合基準に基づくフォレンジックプロファイルを設定するには、以下の手順に従ってください。
-
一致条件の切り替えボタンを有効にする。
-
マッチング条件表には、以下を追加できます。
-
DLP Profile定義済みおよびカスタムのDLPプロファイルのリストからSelect 。 複数のDLPプロファイルを追加できます。
-
Store Statusこの切り替えボタンは有効または無効にできます。
-
有効化：フォレンジックデータをフォレンジックプロファイルに保存します。
-
無効化：フォレンジックデータを保存しない。
-
-
Forensic ProfileStore Statusが有効になっている場合は、フォレンジックプロファイルを選択してください。
フォレンジックプロファイルを作成するには、 「フォレンジックプロファイルの作成」を参照してください。 -
Content StatusStore Statusが有効になっている場合、元のファイルとサブファイルを保存するかどうかを選択できます。
-
Store original fileDLPインシデントに関連するオリジナルファイルは、指定されたフォレンジックフォルダに保存してください。これらのファイルは、事件を閲覧する際にダウンロードできるようになります。このオプションを有効にするには、フォレンジックフォルダのクォータ制限を増やす必要がある場合があります。
-
Store sub-file: ドキュメントやアーカイブファイルに埋め込まれた画像やその他のファイルに関連する DLP インシデントの場合、 Incidentsページでは、画像のプレビュー、抽出されたテキストの表示、画像とサブファイルの両方のダウンロードが可能です。さらに、このチェックボックスをオンにすると、これらの画像とサブファイルをダウンロードするオプションを有効にできます。このオプションを有効にするには、フォレンジックフォルダのクォータ制限を増やす必要がある場合があります。
-
-
-
Add Match Criteriaをクリックすると、一致条件の行を追加できます。
最大25個の照合基準に基づくフォレンジックプロファイルを作成できます。
-
一致条件の行を削除するには、省略記号(…) > Deleteをクリックします。
-
マッチング基準は昇順でランク付けされており、1が最高ランクで、次に2、3、…と続きます。順位を変更するには、一致条件の行をドラッグアンドドロップします。
マッチング基準のロジック、ベストプラクティスに関する詳細については、 「マッチング基準のランキングと評価」 、 「コンテナファイルのマッチング基準ロジック」 、 「マッチング基準フォレンジックプロファイルのベストプラクティス」を参照してください。 -
Saveをクリックしてください。
マッチング基準ランキングと評価
複数のマッチング条件ルールを作成でき、それぞれを複数のDLPプロファイルに関連付けることができます。これらのマッチング基準ルールは優先順位が付けられています ランク番号で、1が最も高く、次に2、3、…となります。
フォレンジックマッチングが発生すると、Netskopeはマッチング基準を順番にチェックします。ランク1で一致するものが見つかった場合、定義されたアクションが直ちに実行され、それ以上の一致条件はチェックされません。一致する条件が見つからない場合、Netskopeは条件が見つかるまで、ランク順で次の一致条件に進みます。一致するものが見つかると、定義されたアクションが直ちに実行され、それ以上の一致条件はチェックされません。
これにより、最も高いランクの一致に基づいて鑑識措置が適用されることが保証され、執行プロセスが最適化されます。
コンテナファイルのマッチ条件ロジック
ファイル（ZIPファイルなど）でDLPの一致が発生した場合、フォレンジックポリシー内の最初の一致に基づいて元のファイルが保存されます。例えば：
法医学プロファイルの定義：
-
一致条件 1: ファイルがPCI一致する場合、 Forensics Profile Aに保存します。
-
一致条件 2: ファイルがPII一致する場合、 Forensics Profile Bに保存します。
A container file (.zip) contains two files:
-
File 1 PCI DLPプロファイルに一致 → インシデント1
-
File 2 PII DLPプロファイルに一致 → インシデント2
only one copy of the original fileはトランザクションごとに保存されるため、フォレンジックポリシーのfirst matchに基づいて保存されます。このケースでは、元のZIPファイルはForensics Profile A （PCI一致）に保存されます。
これにより、フォレンジックデータの保管における一貫性が確保され、重複が防止されます。
マッチング基準に基づくフォレンジックプロファイルのベストプラクティス
-
Default storage sufficiencyほとんどのお客様は、この機能を有効にする必要はありません。一般的な用途には、すべてのデータを 1 つの場所に保存するだけで十分です。
-
Prioritize exclusions特定のDLPプロファイル一致データの保存を防止するルールは、ルールセットの一番上に配置する必要があります。
-
Restrict file storage: 元のファイルまたはサブファイルの保存を防止するルールが次に続くべきです。
-
Define specific storage locations指定された場所にデータを保存することを義務付けるルールは、除外ルールおよび制限ルールの後に記述する必要があります。
-
Fallback to default上記条件を満たさない残りのデータは、デフォルトのフォレンジックプロファイルに従う必要があります。
移住に関するよくある質問
-
I have already configured forensics using the classic API Data Protection for SharePoint. Do I need to switch to Next Gen forensics now?
現在使う classic API データ Protection for Microsoft 365 SharePoint をフォレンジックの先として使うしている場合、Next Gen Forensics に切り替えるのと同時に Next Gen API データ Protection for Microsoft 365 SharePoint に切り替えることができます。 Netskope はMicrosoft 365 SharePointのData Protectionを迅速に強化し、従来のAPIデータ保護(Microsoft 365 SharePoint)に存在するすべての機能を提供しています。 この リンク を参照して、使うするクラシックAPI データ保護 for Microsoft 365 SharePoint のすべての機能が次世代API データ保護 for Microsoft 365 SharePoint で利用可能かどうか確認してください。 もし利用可能な場合は、Microsoft 365 SharePointやNext Gen Forensics向けのNext Generation API データ保護に切り替え、使う Microsoft 365 SharePoint をフォレンジックの先として利用することを検討してください。
現在、Microsoft 365 SharePoint のクラシック API データ保護を使用していないが、フォレンジック目的のみにクラシック API データ保護 SharePoint インスタンスをセットアップしている場合は、次世代フォレンジック プラットフォームへの切り替えを検討してください。
-
If I switch to Next Gen forensics, what will happen to the forensics information that is already stored for previously generated incidents?
-
次世代フォレンジックを有効にした後に発生したインシデントについては、すべてのアップロードとダウンロードは次世代フォレンジックフレームワークを通じて行われます。
-
古いインシデントについては、 古いインスタンスが削除されておらず、API データ保護の許可が有効である限り、従来の API データ保護インスタンスを使用してフォレンジックをダウンロードし続けます。 管理者は、当該インシデントの保持期間が満了するまで、古いインスタンスを削除してはなりません。
-
-
Will Next Gen forensics work only with Next Generation API Data Protection application instances? I am currently using API Data Protection and all my app instances are configured on classic API Data Protection.
次世代フォレンジックは、従来の API データ保護アプリ、次世代 API データ保護アプリ、 CASBインライン、SMTP 電子メールにわたって機能します。
-
I am currently using Microsoft SharePoint as my forensic destination. This is configured using the classic API Data Protection. Now, if I switch to Next Gen forensics, what are the steps I should follow? Are there any key issues I should know before making the switch?
従来のAPIデータ保護インスタンスに対する権限は、過去のインシデントに関するフォレンジックデータをダウンロードできるようにするため、保持期間が終了するまで維持される必要があります。次世代フォレンジックを設定するには、この記事に記載されている手順に従ってください。
-
I am currently using Box as the forensics destination. If I switch to Microsoft SharePoint using Next Gen forensics, will I be able to have old incidents continue to refer to the forensics on Box and the new incidents refer to the forensics on Microsoft SharePoint?
はい、Box 用の従来の API データ保護インスタンスのライセンスが有効である限り、ユーザーは Box アプリから過去のフォレンジックデータをダウンロードできます。