Cloud Exchange 硬化 - Netskope 技術文書化

以下のセクションでは、Netskope Cloud Exchangeテナントのセキュリティを確保するためのガイダンスを提供します。

ホストの強化

Cloud Exchangeは、Linuxホスト上のDocker上で動作します。基盤となるホストを強化するために、すべてのベストプラクティスを適用する必要があります。 UbuntuまたはRed Hat Enterprise LinuxのいずれかのCIS L1ベンチマーク。 HA（ホームオートメーション）の設定方法に関するビデオをご覧になるには、再生ボタンをクリックしてください。

シークレットマネージャー

設定すると、 Netskopeテナント、カスタムプラグインリポジトリ、プラグインを構成できます。設定済みのSecrets Managerからシークレットを取得できます。

システム全体の接続性

Cloud Exchangeプラットフォームは、GitHub、Docker Hub、 Netskopeテナント、パートナープラットフォーム、および統合するその他のサードパーティプラットフォームにアクセスする必要があります。接続が確保されていることを確認するために、HTTPプロキシの設定やファイアウォールルールなどのネットワーク構成を評価してください。Cloud Exchangeスタックは、これらのパブリックURLへの接続を必要とします。

サードパーティ製プラグインを取得するには： https://github.com

Netskopeテナントからアラートとイベントを取得するには： https://*.<tenant-domain>

Netskope Log Streaming から Web トランザクションを取得するには、次のガイドを参照してください。

- Log Shipper 用 Azure Log Streaming プラグイン
- Log Shipper 用 AWS LogStreaming プラグイン

Netskope AWSサービスへの分析レポートについては、こちらをご覧ください： https://reporting.netskope.tech

Docker HubからDockerイメージをプルする場合（DockerイメージはCDNの背後にあるため、追加のホストへの接続が必要になる場合があります）：

- https://hub.docker.com

- https://auth.docker.io

- https://registry-1.docker.io

- https://index.docker.io/

- https://dseasb33srnrn.cloudfront.net/

- https://production.cloudflare.docker.com/

例えば企業環境などでHTTPまたはHTTPSプロキシサーバーの背後にいる場合は、Dockerのsystemdサービスファイルにプロキシ設定を追加する必要があります。参照 https://docs.docker.com/config/daemon/systemd/#httphttps-proxy 詳細は

ファイアウォール/プロキシルール

Netskope IPアドレス範囲

ベンダーやNetskopeソリューションのSaaSアプリで条件付きアクセスを有効にしている場合、またはドメインではなくIPでSSL許可リストが必要な場合、こちらNetskopeIPアドレスの統合リストです(ケースのCloud Exchangeからのテナントアクセスの場合、ファイアウォールはFQDNベースのルールをサポートしていません)。このページのフォローアイコンをクリックして、このリンクを購読してください: https://support.netskope.com/s/article/NewEdge-Point-of-Presence-Data-Plane-and-Management-Plane-Global-Edge-Expansion-Status-and-IP-Range 。

Cloud Exchangeポート

ポート	設定可能？	デスクリプション
443/80	はい、セットアップスクリプトの実行中に行います。	CE UI にアクセスする必要があります。
15672	No.	RabbitMQ ダッシュボードにアクセスするために使用します。
8000	No.	Cloud Exchange管理サーバーによって仮想マシンのリソース使用率を取得し、プロキシと HA 構成をセットアップして TLS 通信を実行します。

Cloud ExchangeにはTLS 1.3または1.2（バージョン4.x以降）経由でアクセスできます。どのバージョンを選択するかは、セットアップスクリプトによって設定されます。 TLS 1.3を設定し、TLS 1.2のサポートは設定しないでください。

Cloud Exchangeプロキシ

Cloud Exchange必要に応じて選択的に外部リソースと通信できるグローバルプロキシの設定をサポートしています。プロキシが利用可能な場合Cloud Exchangeセットアップスクリプトツール (4.x 以降) を使用して、プロキシをグローバルに設定します。

HA硬化

様々なマシン上のDockerサービス間の必要な接続を確立し、ノードをクラスタに統合しやすくするために、Dockerサービスから以下のポートを公開しました。これらのポートは、Cloud Exchange HA の展開を予定しているすべてのマシンからアクセス可能な状態にしておくことが不可欠です。セキュリティ対策を強化するため、これらのポートへのアクセスを他のIPアドレスから制限することも推奨されます。
これらのポートは MongoDBおよびRabbitMQサービスのクラスタリングに使用されます。また、UIポートはすべてのマシンからヘルスチェックを実行するために必要です。

ポート	設定可能？	デスクリプション
443/80	はい、セットアップスクリプトの実行中に行います。	CE UI にアクセスする必要があります。
4369	いいえ	RabbitMQ ノードと CLI ツールによって使用されるピア検出サービス。
5672	いいえ	TLS を使用しない AMQP 0-9-1 および AMQP 1.0 クライアントによって使用されます。
15672	いいえ	HTTP APIクライアント、管理UI、およびTLSを使用しないrabbitmqadmin。
25672	いいえ	ノード間および CLI ツールの通信に使用されます。
35672	いいえ	ノード間および CLI ツールの通信に使用されます。
27017	いいえ	MongoDBおよびMongosインスタンスのデフォルトポート。
5761	いいえ	TLS を使用しない AMQP 0-9-1 および AMQP 1.0 クライアントによって使用されます。
15671	いいえ	HTTP APIクライアント、管理UI、およびTLSなしのrabbitmqadmin
24007-24029	いいえ	Glusterfsポートノード間通信、ヘルスチェック、自己修復デーモン、ブリック通信用
8000	いいえ	Cloud Exchange管理サーバーによって仮想マシンのリソース使用率を取得し、プロキシと HA 構成をセットアップして TLS 通信を実行します。

GlusterFSのインストールとセットアップは、Cloud Exchangeのユーザーインターフェースと管理サーバーを通じて行われ、これらは共有ストレージとして機能し、高可用性（HA）機能も備えています。HAクラスタに関わるすべての仮想マシンは、HA構成時にGlusterFSリポジトリへの接続性を確保する必要があります。

Cloud Exchange VMのセキュリティ強化に活用する

デフォルトユーザーはcteadminです。cteadminは完全なsudo権限を持ち、パスワードを入力すればroot権限で任意のコマンドを実行できます。

OVA

Cloud Exchangeをセットアップするのに、DockerやGitHubへの接続は必須ではありません。
メンテナンスパスワードは.envファイルには表示されません。ファイルはCloud Exchangeの設定時に一度設定されます。
デフォルトのcteadminユーザーは、sudo権限で事前に定義されたコマンドセットのみを実行できます。
cteadminユーザーは、cteadminパスワードを入力することでsudoコマンドを実行できます。

AMI

Cloud Exchangeをセットアップするのに、DockerやGitHubへの接続は必須ではありません。

Azure

Cloud Exchangeをセットアップするのに、DockerやGitHubへの接続は必須ではありません。

CE APIのレート制限（UIからバックエンドへ）

Cloud Exchange 、1秒あたり100件のAPIリクエストしか処理できません。
このレート制限は、 Cloud Exchange UIとバックエンド間の通信にのみ適用されます。

Cloud Exchangeユーザー

Default Username	デフォルトパスワード	設定可能？	デスクリプション
admin	admin	はい、初回ログイン時に変更できます。	Cloud Exchange UI にアクセスするには必要があります。
user	–	はい、セットアップ時にメンテナンスパスワードを使用します。	RabbitMQ ダッシュボードにアクセスするために使用します。
cteadmin	–	はい、セットアップ時にメンテナンスパスワードを使用します。	mongo データベースにアクセスするために使います。

ユーザーロックアウトメカニズム

ユーザーは最大5回までログインを試行できます。
ユーザーが5回の試行以内にログインに失敗した場合、2分間アカウントがロックされます。
5回の試行を繰り返すごとに、ロックアウト期間は段階的に長くなります。
2回目のログイン試行失敗が5回で、合計10回の失敗となった場合、ロックアウト期間は5分となります。
ログイン試行が5回ずつ3セット失敗し、合計15回の失敗となった場合、ユーザーは6時間のより長いロックアウト期間に直面することになります。
ユーザーがログインに成功するまで、5回連続でログインを試みた場合、ロックアウト期間は6時間となります。
ユーザーが正常にログインすると、このサイクルが継続されます。

ユーザーロックアウト機能は、ローカルユーザーにのみ適用され、SSOには適用されません。

Cloud Exchangeユーザーに対する厳格なパスワードポリシー

パスワードには少なくとも1つの小文字の「ケース」を含める必要があります
パスワードには少なくとも1つの大文字を含める必要があります。
パスワードには少なくとも1つの特殊文字（例：#、@、）を含める必要があります。
パスワードには少なくとも1つの数字を含める必要があります。
パスワードは最低8文字必要です。
パスワードには最大72文字まで使用できます。

IdPサポート

Cloud Exchange は SSO を介して ID プロバイダーとの統合をサポートしていますが、ユーザーはローカルで作成することもできます。 admin ローカルでログインしている管理者。一つだけ root 管理者CEへのログインにはSSOを主要な方法として採用し、可能な場合は多要素認証を活用すべきである。他に選択肢はない local 可能であれば、ユーザーを定義します。

トークン作成機能を含む役割は、トークンを必要とするユーザーにのみ付与されるべきである。役割とユーザーは、特定のユーザーのみにアクセス権限を持つように設定できます。ほとんどのユーザーにとって可能な場合は、最小限の特権アクセスを使用して、読むのみのアクセス権を持つロールを作成します。

パスワード管理

現在、Cloud Exchangeには複雑なパスワードやパスワードの有効期限を強制する仕組みはありません。繰り返しになりますが、SSOはこれらの高度な認証要件を管理することが期待されています。アカウントクレデンシャルには有効期限があり、ユーザーは SSO パスワードを定期的にリセットするように求められます。

元の管理者は、最初のセッション中にデフォルトのパスワードを変更する必要があります。他のユーザーをローカルで定義する必要がある場合は、管理者は定期的にGUI経由でパスワードを変更する必要がありますが、 Settings > Account > Change Password設定を使用して、ユーザー自身のセッションでパスワードを手動で変更するように促すこともできます。

クレデンシャルの管理

v2トークンを使用するには、以下の権限が必要です。

読む + 書く /api/v2/ポリシー/urllist
読む + 書く /api/v2/ポリシー/urllist/deploy
読む + Write /api/v2/ポリシー/urllist/file
読む + 書く /api/v2/incidents/uba/getuci
読む + 書く /api/v2/ubadatasvc/user/uci
読む /api/v2/events/dataexport/events/alert
読む /api/v2/events/dataexport/events/application
読む /api/v2/events/dataexport/events/audit
読む /api/v2/events/dataexport/events/connection
読む /api/v2/events/dataexport/events/incident
読む /api/v2/events/dataexport/events/インフラストラクチャ
読む /api/v2/events/dataexport/events/network
読む /api/v2/events/dataexport/events/page
読む /api/v2/events/dataexport/alerts/compromizedcredential
読む /api/v2/events/dataexport/alerts/ctep
読む /api/v2/events/dataexport/alerts/dlp
参照 /api/v2/events/dataexport/alerts/malsite
読む /api/v2/events/dataexport/alerts/マルウェア
読む /api/v2/events/dataexport/alerts/ポリシー
読む /api/v2/events/dataexport/alerts/quarantine
参照 /api/v2/events/dataexport/alerts/securityassessment
読む /api/v2/events/dataexport/alerts/uba
読む /api/v2/events/dataexport/alerts/watchlist
読む /api/v2/events/dataexport/alerts/device
読む /api/v2/events/dataexport/alerts/content

ログの暗号化

Log Shipperによって管理されるログは、通常の運用時にはCloud Exchange内に永続化されません。ログはTLS通信を介して取得および送信されます。

RabbitMQがメッセージをディスクにページアウトする場合、ログメッセージは一時的にディスクに保存されます。

Table of Acronyms

Acronym	デスクリプション
AD	Active Directory
API	アプリケーションプログラミングインターフェース
ARE	アプリケーションリスクエクスチェンジ
CE	Cloud Exchange
CLS	Cloud Log Shipper
CTE	Cloud Threat Exchange
CTO	Cloud Ticket Orchestrator
CIS	CISベンチマーク標準
DLP	データ漏洩防止
IdP	IDプロバイダー
SSL	Secure Socket Layer
SSO	シングルサインオン
TLS	トランスポート層セキュリティ
UI	ユーザーインターフェース
URE	ユーザーリスク交換