Netskopeデータ損失防止 (DLP) は、認可されたクラウド サービスと認可されていないクラウド サービスをすべて検査することで、クラウド内の機密データを正確に保護します。 ユーザーが DLP ポリシーに違反すると、 Netskopeインシデントを記録します。 エンドポイント DLP を使用している場合、コンテンツ コントロール ポリシーに違反したユーザーも DLP インシデントをトリガーします。
注記
DLPプロファイルおよび対応するDLPルール、フィンガープリントルール、MLベースの分類器、またはファイルプロファイルに一致するファイル/サブファイルごとにインシデントが生成されます。サブファイルとは、コンテナファイル内の任意のファイルのことです（例：（zip/tarファイル内のファイル、pptxドキュメント内の画像、docxファイル内のスプレッドシートなど）。DLPプロファイルに一致するコンテナファイルごとに1件のインシデントが生成され、サブファイルごとにも1件のインシデントが生成されます。
PowerPoint ドキュメントが DLP プロファイル内の DLP ルールに一致する場合 そのファイルに対してインシデントが 1 件作成されます。 同じPowerPointドキュメントに埋め込まれたクレジットカードの画像が、クレジットカード用の機械学習ベースの分類器と一致した場合、その画像に対して別のインシデントが作成されます。
例えば、.zipファイルの場合ファイルには300個のファイルが含まれており、DLPサービスは最大50件のインシデントを生成します。
一致するすべての埋め込みファイルは、イントロスペクションとCASBのケースでインシデントを生成します。
インライン（nsProxy）リクエストの場合、DLPは最も優先度の高いポリシーに関連付けられたプロファイルに対してのみイベント／インシデントを生成します。インシデント制限と、最も高いポリシー/プロファイルに一致するもののみイベント/インシデントを生成するという設定が組み合わさると、対応するインシデントがないアラートが生成される場合があります。例えば、最初の50個の埋め込みファイルが優先度の低いポリシー／プロファイルに一致し、それ以降の埋め込みファイルが優先度の高いポリシー／プロファイルに一致する場合、上限に達したため、優先度の高いプロファイルに関するインシデントは記録されません。
DLPインシデントの表示
インシデントのグループ化は、オブジェクトIDまたはハッシュが変更されるかどうかによって決まります。オブジェクトIDが同じままであればインシデントはグループ化され、ハッシュが変更されると新しいインシデントが発生します。ただし、ファイル名が変更されても、コンテンツが変更されていない場合は必ずしも新しいインシデントが発生するとは限りません。
組織内のDLPインシデントを見るには、 Incidents > DLPへ。
- DLPインシデントの結果を更新してください。
- DLPインシデントを特定の期間でフィルタリングします。事前に定義された時間枠を使用することも、 Date Rangeを選択してカレンダーを使用し、時間メニュを独自にカスタマイズすることもできます。
- クエリを使用してDLPインシデントを検索およびフィルタリングします。検索結果を絞り込むための他のフィルターを追加するには、 + Add Filterをクリックしてください。例えば、 Last ActionにBlockを選択し、この条件に一致するDLPインシデントのみを表示するアプリケーションを選択できます。クリックすることもできます
詳細検索モードに切り替える。クリック
今後の検索のために、フィルターの組み合わせを保存します。注記
エンドポイント DLP をお持ちの場合は、 Endpoint Content Control Policyでインシデントをフィルタリングできます。
- 違反件数の多い上位5件のアプリケーション、リスク、および上位5件のポリシーを表示します。
- DLPインシデントの一覧を表示します。各インシデントについて、以下のデフォルト情報が表示されます。
- Object違反を引き起こしたファイル名またはオブジェクト名。クリックすると、ステータスの変更、インシデントの割り当て、重要度の変更、およびアクションの実行など、詳細情報が表示されるページが開きます。
- Application違反を引き起こしたアプリケーション。
- Site違反行為を引き起こしたウェブサイト。
- Exposure: ファイルの露出レベル。
- 公開 – インデックス付き
- 公開 – 非公開
- 公共
- プライベート
- 外部共有
- 社内共有
- エンタープライズ共有
- Cross-Geo
- # Violationsファイルに関連する違反の総数。このカウントは、インシデントに関連するすべてのポリシーで検出されたレコードの合計数を指します。
- Last Action実行されたアクション（許可、ブロック、警告など）
- Statusイベントの状態を表示します。州は3つあります。
- 新しい
- 進行中
- Resolved
- Assignee：事件の監視を担当する人物。
- Severityオブジェクトまたはファイルの深刻度レベル。レベルは4つあります。
- 低い
- 中くらい
- 高い
- 致命的
さらに、 DLP ルールのSeverity ThresholdでCount only unique record選択した場合、深刻度にはカウントがCount: <Number of Violations> uniqueと表示されます。Count only unique record選択を解除すると、深刻度カウントはCount: <Number of Violations>と表示されます。
- Object IDオブジェクトまたはファイルのID。
- Timestamp違反行為が発生した日時。
- Instance違反を引き起こしたアプリケーションインスタンス。
- Instance IdアプリケーションインスタンスのID。
- Last Modified ByNetskopeがファイルを処理した時点で、最後にファイルに変更を加えたユーザー。
注記
ServiceNow の API データ保護では、特定のアクティビティの種類によっては、 Last Modified Byユーザーは実際のユーザーではなく、ServiceNow システム管理者ユーザーになる場合があります。これは、ファイルアップロードなどの特定のアクティビティにおいて、ServiceNowがいくつかのチェックとスキャンを実行するためです。このため、 Last Modified Byユーザーは `system` または `admin` になります。
- Object Ownerオブジェクトまたはファイルの元の所有者。
- File Pathデバイス上のファイルへの完全なパス。
- DLP Policy: 違反の原因となった DLP ポリシー。
- DLP Profile: DLPに関連付けられたDLPプロファイル および違反。
- DLP Rule: DLP に関連する DLP ルール および違反。
- Mark Status AsとSeverityを更新するオブジェクトを1つ以上Select 、さらにAssignにインシデントを監視する担当者を指定してください。
- テーブルを以下の基準で並べ替えてください。
- Object
- 応用
- Site
- 暴露
- 状態
- Assignee
- 重大度
- 実例
- Last Modified By
- オブジェクト所有者
- Timestamp
- ステータスを更新するオブジェクトを1つ以上Select 。 また、以下のことも可能です。
- Create Custom Statusカスタムステータスの名前を作成します。
- Manage Custom Statusesカスタムステートの表示、編集、または削除。
- 深刻度レベルを編集するには、1つまたは複数のオブジェクトSelect 。
- 1 つ以上のオブジェクトSelect 、インシデントを監視する管理者の電子メール アドレスを選択します。
- すべてのDLPインシデント（最大50万行）を、概要またはすべての詳細情報を含めてCSVファイルにエクスポートします。
- クリック
テーブルの列をカスタマイズするか、デフォルトの列に戻す。 - 1ページあたり最大100件のDLPインシデントを表示できます。
- 表の複数ページを表示する。
オブジェクトの詳細を表示
DLPページでは、 Objectをクリックすると、より詳細な情報が表示されます。
オブジェクト詳細ページの上部では、以下の項目を編集できます。
- Statusオブジェクトの状態を選択してください。クリック
に：- Create Custom Statusカスタムステータスの名前を作成します。
- Manage Custom Statusesカスタムステートの表示、編集、または削除。
- Assigned to: オブジェクトを監視する管理者の電子メール アドレスを選択します。
- Severity対象物の深刻度レベルを選択してください。
- Actions以下のいずれかの操作を実行してください。
- Encrypt:対象を暗号化してください。
- Restore: Restore the object.
- Blockオブジェクトをブロックします。
注記
NetskopeのテナントUIでは、Microsoft Office 365 SharePointサイトで「チェックアウトが必要」オプションが有効になっているファイルに対して、暗号化、復元、ブロックの操作が無効になっています。「チェックアウトが必要」が有効になっている場合、ファイルのコピーが隔離されますが、元のファイルは削除されません。
- Deleteオブジェクトを削除します。
- Change File Permissions: 特定の管理者、ユーザー、ファイル所有者などへのアクセスを制限することで、オブジェクトの権限を変更します。
- Contact Users: コンタクト 対象に関わるユーザーたち。
- Check Object HistoryAPIデータ保護から、オブジェクトに関する履歴（オブジェクトで発生したすべてのインシデント、オブジェクトに対して実行された修復またはアクションのログ、およびオブジェクトに関連するその他のアクティビティとバージョン情報を含む）を表示します。
- Download Objectインシデントオブジェクトを、フォレンジックプロファイルで定義されたフォルダにダウンロードします。詳細については、 「DLPインシデントファイルのダウンロード」をご覧ください。
- View Moreオブジェクトに関する現在の概要詳細（基本情報、共有リンク、共同作業者、バージョン履歴など）を表示します。
墓石の作成に失敗すると、Netskope はエラー メッセージを表示します。
インシデントの詳細を表示する
オブジェクト詳細ページのIncident Detailの下には、オブジェクトの詳細情報が表示されます。
- Timestamp違反行為が発生した日時。
- Type：事件の種類。
- Entity Created: SaaSアプリ上でエンティティが作成されたタイムスタンプを表示します。これは次世代APIデータ保護にのみ適用されます。
- Last Modified: エンティティが最後に更新または変更された日時のタイムスタンプを表示します。これは次世代APIデータ保護にのみ適用されます。
- Last Modified ByNetskopeがファイルを処理した時点で、最後にファイルに変更を加えたユーザー。
注記
ServiceNow の API データ保護では、特定のアクティビティの種類によっては、 Last Modified Byユーザーは実際のユーザーではなく、ServiceNow システム管理者ユーザーになる場合があります。これは、ファイルアップロードなどの特定のアクティビティにおいて、ServiceNowがいくつかのチェックとスキャンを実行するためです。このため、 Last Modified Byユーザーは `system` または `admin` になります。
- Activity：当該事件に関連する活動。
- Action Taken貴社のポリシーに基づき、当該事案に対して講じられた措置。
- Violationsファイルに関連する違反の総数。このカウントは、インシデントに関連するすべてのポリシーで検出されたレコードの合計数を指します。クリック
Skope ITアラートにアクセスするには、こちらをクリックしてください。 - Application違反を引き起こしたクラウドアプリケーション（例：Dropbox）。
- Site違反行為を引き起こしたサイト。Traffic TypeがCloud Appの場合、サイトにはクラウドアプリ名が表示されます。Traffic TypeがWebの場合、サイトにはセカンドレベルドメイン名とトップレベルドメイン名が表示されます。例えば、「www.cnn.com」の場合、「cnn.com」です。
- Instance違反を引き起こしたアプリケーションインスタンス。
- URL違反を引き起こしたファイルまたはアプリケーションのURL。
- Object Name違反を引き起こしたファイル名またはオブジェクト名。クリックAPI対応保護機能でファイルの詳細画面に移動します。
- Object Type: 操作の対象となるオブジェクトのタイプ。それはファイル、フォルダ、レポート、文書、メッセージなどである可能性があります。
- File Path: ユーザーのデバイス上の完全なファイルパス。
- File Typeファイルの種類。
- File Sizeファイルサイズ（バイト単位）。
- File Ownerアプリケーション内のファイルの作成者。
注記
Googleドライブでは、フォルダの所有権を変更しても、変更されるのは選択したフォルダの所有権のみであり、フォルダ内のファイルは含まれません。例えば、フォルダの所有権をユーザーAからユーザーBに変更する場合：
- フォルダの所有権がユーザーBに変更されます。
- フォルダの内容（ファイルやフォルダなど）の所有権はユーザーBには変更されません。ユーザーAの所有権はそのまま維持されます。
- File Language: ファイルの記述言語。
- True File Type: 真のファイルの種類。
- True File Category: 真のファイルのカテゴリ。
- From User: SaaSアプリにログインするために使用する電子メール アドレス。
- ChannelSlackおよびSlack Enterpriseアプリにおけるユーザーのチャンネル。
- Data Classificationデータ分類の詳細。
- Incident IDサブファイルに関連付けられたインシデントID。インシデントがメインファイルに対して発生した場合、インシデントIDは親インシデントIDと同じになります。
- Parent Incident IDスキャンされたメインコンテナ（または非コンテナ）ファイルに関連付けられたインシデントID。
- Object IDオブジェクトまたはファイルのID。
- MD5ファイルのMD5ハッシュ値。このハッシュ値を使用して、Skope IT イベントをフィルタリングし、ファイルに関連付けられたその他のアクティビティを表示できます。
- Connection ID接続障害のID。各接続には固有のIDがあります。
- App Session ID: Traffic TypeがCloud AppまたはWeb場合の、一意のアプリ/サイトセッションID。アプリ セッションは、ユーザーがクラウド アプリ/サイトの使用を開始すると開始され、一定期間 (15 分など) 非アクティブになった後に終了します。 このIDを使用すると、単一のアプリセッションにおけるすべてのユーザーアクティビティを確認できます。 アプリのセッションIDは、ユーザー、デバイス、ブラウザ、ドメインごとに一意です。
- Referer: ユーザーがアクセスしたアプリケーションの参照元URL（HTTP）。
- Source: MaxmindまたはIP2Locationジオデータベースによって特定されたユーザーの都市。
- Destination: MaxmindまたはIP2Locationジオデータベースによって決定された、アプリケーションの都市。
違反行為の閲覧
オブジェクト詳細ページのViolationsの下に、そのオブジェクトに関するすべてのDLP違反のリストが表示されます。
- クリック
データ識別子の一致結果のプレビューを表示します。ハイライト表示された一致項目にカーソルを合わせると、トリガーされたDLPプロファイル、データ識別子、トリガーされたDLPルール、および重大度レベルが表示されます。ストレージ容量の制限により、すべての試合がハイライト表示されるわけではありません。 - Overviewについては、以下を参照してください。
- Policy: トリガーされた DLP ポリシー。 Edit Policyをクリックすると、リアルタイム保護ページに移動してDLP ポリシーを編集できます。
- Violations: DLPポリシーの違反総数。
- Rule HitトリガーされたDLPルールの一覧。
- Policies: トリガーされたDLPルールに関連するDLPポリシーの一覧。
- Severity各DLPルールの深刻度レベルとヒット数。DLPルールでSeverity Thresholdの下にCount only unique record選択した場合、重大度にはカウントがCount: <Number of Violations> uniqueと表示されます。Count only unique record選択を解除すると、深刻度カウントはCount: <Number of Violations>と表示されます。
- DLP Rule Violationsについては、以下を参照してください。
- #違反番号。
- Preview: データ識別子のリストが一致します。トリガーされたデータ識別子を見るためにカーソルを合わせてください。
- Rule: クリックすると、関連するDLPルールの詳細が表示されます。View Ruleをクリックすると、 DLPルールページに移動します。
- DLP Profile: クリックすると、関連するDLPプロファイルの詳細が表示されます。View Profileをクリックすると、 DLPプロファイルページに移動します。
- DLP Policy: クリックすると、違反により DLP ポリシーがトリガーされた理由の詳細が表示されます。 Edit Policyをクリックすると、リアルタイム保護ページに移動してDLP ポリシーを編集できます。
ワークフロー構成
インシデントは、インシデントを引き起こしたユーザーの管理者へエスカレーションすることができます。これにより、実行ユーザーの管理者は、 verdict,となるアクションが業務上の目的で必要かどうか、または会社のポリシーに違反するかどうかを判断できます。このフィードバックに基づいて、アナリストはインシデント解決の進め方を決定することができる。
マネージャーはワークフローを完了するために適切な判定をクリックしてください。一度判決が下されると、その判決は変更できず、他の判決をクリックしても効果はありません。
ワークフロー開始から20日後に管理者にリマインダー電子メールが送信されます。
ワークフローはトリガーから30日後に期限切れとなり、 No Response 状態に移行します。その時点でアナリストは再びワークフローを起動できます。
前提条件
組織に対して カスタムSCIM属性 が有効になっていることを必ず確認し、マネージャーの電子メールが正しく引き出されるようにしてください。
代理ユーザーがNetskopeテナントにimportedではない場合、またはそのユーザーがカスタム SCIM 属性で構成された有効な管理者電子メールを持っていない場合、ワークフローはトリガーできません。
ワークフローの設定
ワークフローを使用するには、まずテナント用に構成する必要があります。 このワークフロー設定はグローバルなものであり、インシデント固有のものではありません。
-
Netskopeのテナントから Incidents > DLPへ。
-
右側のWorkflow Configurationをクリックしてください。
Manager Escalation Configurationパネルがスライドインします。
-
すべてのユーザーの管理者の電子メールに適切なカスタム属性をマップします。
-
Saveをクリックしてください。
ワークフローを設定した後、 Escalate to Managerオプションを有効にするには、ページをrefreshedにする必要があります。ここからワークフローを開始できます。
Initiating Workflow
-
管理コンソールからIncidents > DLPに移動します。
-
いずれかの事件をクリックしてください。
-
右側のInitiate Workflow > Escalate to Managerをクリックしてください。
これにより、ユーザーのマネージャーに電子メール通知が送信され、 Action is required for businessまたはAction violates company policyのどちらにするか判断を求められます。
発生した事象自体から、ワークフローの状況を把握することができる。
DLPインシデントへのメモの追加
DLPインシデントには今、メモを追加できます。 ノートには512文字の制限があり、最大25個のノートを追加できます。
ノートの権限については、 Settings -> Administration -> Roles -> (Role) -> Privileges -> Incidents -> DLPを参照してください。役割を「閲覧専用(View)または「追加許可」 (Manage ）に設定できます。
メモを追加するには：
-
Incidents > DLPへ移動してください。
-
いずれかのIncidentをクリックしてください。
-
上記でハイライト表示されているIncident Notesボタンをクリックしてください。これによりIncident Notesウィンドウが開きます。
-
テキストを入力してAdd Noteを押してください。追加されたメモは、追加時にログインしていたユーザーに関連付けられます。（少なくとも書き込み権限を持つ）ユーザーは@でタグ付けできます。これらのメモは、当該事案に割り当てられた担当者（特定のメモにタグ付けされた担当者を含む）に通知します。
1 つのIncident Event内に複数のIncidentsが存在する場合、それぞれのIncidentは独自のノート スレッドを維持します。
削除されたファイルに関連するDLPインシデントの表示
ファイルが削除されたかどうかを確認するには：
- Incidents > DLPへ移動してください。
- Objectをクリックしてください。オブジェクトの詳細ページが表示されます。
- Actionsの下で、Netskope は注意メッセージを表示します。
