リアルタイム保護ポリシーの設定

リアルタイム保護（RTP）を使用すると、さまざまな変数を使用してポリシーを定義し、アクセス制御を適用したり、DLPや脅威保護を使用してトラフィックを検査したりできます。RTP ポリシーを作成する場合、トラフィック基準 (つまり、送信元と宛先)、ポリシーに適用されるプロファイル、およびトラフィック基準とポリシーが一致したときに実行されるアクションを構成できます。

RTP ポリシーを作成するには:

1. Policies > Real-time Protectionへ移動してください。
2. New Policyをクリックし、ポリシーの目的に最も近いテンプレートを選択してください。DLP 、 Threat Protection 、またはCloud App Access 、 Web Access 、P rivate App Segment Accessのようなアクセス制御タイプのポリシーテンプレートを選択できます。

システムは、お客様が選択したポリシーテンプレートに基づいて最適な基準を表示し、一部の項目は自動入力されます。ただし、選択したテンプレートに関係なく、ポリシー作成ワークフローを進める中で、どのフィールドでも編集できます。

多くの基準はデフォルトでAnyに設定されていることに注意してください。これは、ポリシーエンジンが基準に一致しないことを意味します。ポリシー作成ワークフロー中にテキストボックスが表示されたら、そのテキストボックスをクリックして、追加オプションを表示したり、選択内容を編集したりできます。これらのオプションは、最初に選択したテンプレートに基づいて動的に表示されます。

Source

1. Sourceの場合は、 User 、 User Group 、またはOrganizational Unitをクリックして、ポリシーに含める情報源を選択してください。必要に応じて、 Unknownをクリックして認証されていないユーザーを選択します。

2. （オプション） Exclusionsをクリックして、ポリシーから除外するソースを選択します。ポリシーにユーザーを含めるように選択した場合でも、そのユーザーが所属するユーザーグループを除外した場合、そのユーザーはポリシーから除外されることに注意してください。

3. Add Criteriaをクリックすると、ソースの一致条件を追加できます。追加条件には以下が含まれます。
   • Source IP: 送信元のIPアドレス。
   • Source IP (Egress): 送信元の出力IPアドレス。
   • Source Country: 問い合わせの発信元となる国。
   • OS: オペレーティングシステムのタイプ（例：Linux）。

     注記

     OS基準は廃止され、OSファミリー基準に置き換えられます。使う OS を使う OS ファミリーに変えるポリシーは必ず更新してください。 詳細については、 OSファミリー基準をご覧ください。

   • Browser: The browser type (e.g., Chrome).
   • Access Methodアクセス方法の種類（例：クライアント）。

     ヒント

     SSL の「復号禁止」ポリシーの一部であるドメインに対してアクセス方法を定義したリアルタイム保護ポリシーを作成する場合でも、リアルタイム保護ポリシーの評価は依然として行われます。このリアルタイム保護ポリシーのアクションが「ブロック」であれば、ドメインはブロックされます。回避策として、 Netskope はSSLポリシー内のドメインごとに カスタムカテゴリ を作成し、そのカスタムカテゴリのアクションとしてAllowを適用するリアルタイム保護ポリシーを作成することを推奨しています。 このポリシーはドメインをブロックするポリシーの上に必ず配置してください。

   • Device Classification: デバイス分類で作成された分類に基づくマネージドまたは非マネージドデバイス。 このオプションは、クライアント、 Enterprise Browser 、モバイルプロファイル、リバースプロキシといったアクセス方法にのみ適用されます。
   • HTTP HeaderHTTPヘッダープロファイル。
   • Custom Attributeユーザー情報が同期された場合、Active Directory (AD) からのカスタムユーザー属性。

     注記

     カスタム属性オプションはベータ版機能です。この機能を有効にするには、 Netskopeサポートまたは営業担当者にお問い合わせください。

Destination

1. Destinationについては、ポリシーに対して以下のトラフィックタイプのいずれかを選択してください。
   • Cloud App選択した場合、個別のクラウドアプリ（例：Dropbox）またはクラウドアプリスイート（例：AWS）を選択できます。 
   • Category: 選択した場合、定義済みのカテゴリまたはカスタムカテゴリを選択できます。
   • App Instance選択した場合、アプリのインスタンスを選択できます。複数のSaaSアプリインスタンスが同時に存在することもあります(例:企業向けアプリインスタンスと個人向けアプリインスタンスの違い)。既存のアプリインスタンスのラベルがこのリストに表示されます。詳細については、アプリインスタンスプロファイルを参照してください。
   • Service: 選択した場合、サービスプロファイルを選択できます。
   • Destination Profile: 選択した場合、宛先プロファイルを選択できます。
   • Private App Segment選択した場合、プライベートアプリセグメントを選択できます。
   • Email Outbound AppMPIP感度ラベルとマッチングするには、電子メールのアウトバウンドインスタンスと関連するアクティビティ「Send」を選択する必要があります。

     

   • Any Web Traffic選択した場合、ポリシーはすべてのウェブトラフィックに適用されます。ソース基準なしで「任意のウェブトラフィック」ポリシーを作成できます。 プロファイルを作成せずに「すべてのウェブトラフィック」ポリシーを作成する場合、アクティビティを選択する必要はありません。

     注記

     脅威防御のための「任意のウェブ トラフィック」ポリシーを作成する場合、ポリシーに対して少なくとも 1 つのアクティビティを選択する必要があります。 さらに、脅威対策ではアップロードとダウンロードのアクティビティのみがサポートされます。

2. （オプション）アクティビティと制約Select 。 アプリを選択した後、特定の活動や制約を選択することで、ポリシーをさらに絞り込むことができます。Activities リストは、アプリでサポートされているアクティビティ、または選択したカテゴリの集合です。選択したアプリ、カテゴリ、オブジェクトタイプによっては、すべてのアクティビティがサポートされているとは限りません。

クリックアクティビティアイコン > View activity supportをクリックすると、アクティビティサポートダイアログが開きます。

このダイアログには、選択したアプリまたはカテゴリと、利用可能なアクティビティが表示されます。これは情報提供のみを目的としています。

3. 目的地に対する一致条件を追加するには、 Add Criteria & Constraintsをクリックしてください。設定できる基準と制約は、選択したトラフィックの種類によって異なります。
   • Activity Constraints: 特定の活動に対してユーザーができること(例:組織内でのみ共有を許可)。制約条件は、それぞれの制約条件をサポートする活動についてのみ表示されます。Policies > Constraintで制約プロファイルを定義できます。詳細については、制約プロファイルを参照してください。
   • File Constraints: Specify the File Name or Extension, File Type, and File Size. 
   • CCI App Tagこのオプションは、 Any Web Traffic またはCategoryが選択された場合にのみ適用されます。
   • App Instance Tagこのオプションは、 Any Web Traffic 、 Category 、またはCloud Appが選択されている場合にのみ適用されます。アプリのインスタンスタグは2つあらかじめ定義されています:認可とUnsanctionedです。 タグなしオプションは、Netskopeが特定したがまだタグ付けされていないアプリインスタンスとマッチングします。
   • Service: 特定のTCPポートまたは範囲との照合に使用します。詳細については、サービス概要をご覧ください。 
   • Destination Profile:宛先プロファイルを指定します。
   • CCLこのオプションは、 Categoryが選択されている場合にのみ適用されます。CCIレベルは、アプリケーションスイートのような特定のアプリカテゴリを選択すると適用されます。CCIは、クラウドアプリのセキュリティ、監査可能性、ビジネス継続性を考慮したエンタープライズ準備状況を測定します。各アプリには0～100のスコアが割り当てられ、そのスコアに基づいて、クラウドの信頼度レベルが「優良」「高」「中」「低」「不良」の5段階のいずれかに分類されます。CCI 使うは政策のマッチング基準として使うことができます。 例えば、中程度の評価のクラウドストレージアプリでは、ユーザーがコンテンツを共有できないように設定できます。
   • Destination Country問い合わせが送信される国。

プロフィールとアクション

トラフィックに対して追加のコンテンツ検査を実行するには、プロファイルを追加します。このステップで指定したアクションは、トラフィックの条件とプロファイルの両方が一致した場合に実行されます。

1. Profile & Actionについては、違反が検出された際に取得されるActionを選択してください。アラート、ブロック、隔離、プロキシへの転送など、実行したいアクションSelect 。 一部のアクションでは、ポリシー違反が検出された際にユーザーに送信される通知のデフォルトテンプレートを選択できます。

   注記

   Netskope リアルタイム保護ポリシーとSSL の「Do Not Decrypt 」ポリシーをマッチングします。リアルタイム保護ポリシーのアクションが「ブロック」「ユーザーアラート」「許可」または「アラート」の場合に適用されます。

   リアルタイム保護ポリシーのアクションがアラートの場合にポリシー照合を有効にするために営業チームに連絡してください。

   • Alertセッションを検査し、詳細な分析を実行しますが、何もアクションは実行されません。アラートタブにアラートが表示されます。アラートアクションはトラフィックを許可します。

     ヒント

     「閲覧」アクティビティに対して「アラート」アクションが選択されているリアルタイム保護ポリシーでは、アラートイベントは生成されません。

   • Allow:すべての活動は管理されたデバイス上で許可されます。
   • Block: すべての条件に一致する場合、指定されたアプリのセッションをブロックします。例えば、ポリシーがクラウドストレージのダウンロード活動のみをブロックするように設定されている場合、ブロックされるのはダウンロードのみです。その他の活動はすべて許可されます。ブロック操作が実行された際に表示されるデフォルトのブロックページ、またはカスタムブロックページを指定できます。Block Templateのオプションには以下が含まれますが、設定によってはアカウント固有の他のテンプレートが表示される場合があります。
     • Default Templateアカウント設定時に利用できる、ブロックおよびユーザーアラートのデフォルトテンプレート。
     • No Notification (Mute)このオプションを選択した場合、通知は表示されません。さらに、このオプションはすべてのカテゴリ、アプリ、インスタンスで利用可能です。
     • Block Template with URL: ユーザーが自動的に、または停止ボタンをクリックした後にリダイレクトされるURL。管理者はテンプレートをデザインする際にこのURLを追加できます。さらに、管理者はリダイレクトURLに変数タグを追加できます。
     • Block with Justification Box: 配置ボックスオプションは、通知ウィンドウ内にテキストボックスを提供し、ユーザーはそこに配置メッセージを入力できます。
     • Block with UA Actionユーザーアラートアクションは、ユーザーがアクティビティを「続行」または「ブロック」するかを選択するオプションで構成されます。

       ヒント

       上記で説明したデフォルトテンプレートと通知なし（ミュート）オプションを除き、その他のすべてのテンプレートはアカウント管理者によって作成および管理されます。

   • Idle Timeout: セッションタイムアウトが発生するまでの時間（分）を入力してください。
   • Bypass条件に一致する場合、検出をスキップします。例えば、ログインとログアウト以外のすべてのアクティビティを検出されないようにしたい場合は、「ログイン成功」と「ログアウト」以外のすべてのアクティビティを選択し、アクションを「バイパス」に設定します。
   • Redirect: 使う HTTP 307ヘッダーに自動的にユーザーをリダイレクトします。 この操作は、ネイティブHTTPトラフィックまたは復号化されたHTTPSトラフィックにのみ適用されることに注意してください。復号されていないトラフィックはリダイレクトをスキップし、次のポリシーに移動します。さらに、リダイレクト機能は、DLPコンテンツ検査、脅威対策、ファイルタイプ検出、およびアクティビティ制約では利用できません。正確なURL(例: https://xyz.com)や変数を含むURLを挿入変数メニューから入力できます(例: https://xyz.com/{{x-cs-uri-path}}/{{cs-uri-query}})。スキーム（ http://またはhttps:// ）で入力されたURLは絶対URLとして扱われ、外部からその宛先にリダイレクトされます。スキームなしで入力された URL (例: xyz.comまたは/some/path ) は相対パスとして扱われ、外部にリダイレクトする代わりにソース (現在の) ホストに追加されます。外部リダイレクトを確実に行うには、URLに必ずスキームを含めてください。変数置換前の最大文字数は、変数を含めて1,024文字です。置換後、URLは8,192文字で切り詰められます。
   • User Alertユーザーアラートアクションを選択した場合、ポリシーで定義されているデフォルトのユーザーアラートページまたはカスタムページを指定して、ユーザーに表示されるように設定できます。ユーザーアラートアクションのユーザー正当化ページには、「アクションを続行」ボタンと「アクションを停止」ボタンが表示されます。「続行」ボタンはアクティビティを許可し、ユーザーの正当化理由を含むアクティビティイベントを生成しますが、「停止」ボタンはアクティビティをブロックするだけです。ユーザーがその行為を行った理由の説明は、30分間キャッシュされます。
   • QuarantineユーザーがDLP違反のあるドキュメントをアップロードした場合、そのファイルを隔離することができます。隔離すると、ファイルは隔離フォルダに移動され、そこで確認して適切な措置を講じることができます。その後、ファイルのアップロードを許可するか、アップロードをブロックするかを選択できます。このオプションはDLPがポリシーに含まれる場合にのみ利用可能です。 また、この操作はアップロード操作に対してのみ実行可能です。
     Note:この隔離フォルダは、Box、Dropbox、Egnyte、Google Drive、Microsoft 365 OneDrive、Classic API データ保護上で動作するSharePointで設定可能です。 これはNext Generation API データ保護プラットフォーム上で動作するSaaSアプリでは利用できません。Classic API データ保護は2027年6月1日にサービス終了となることに注意が必要です。 詳細については、 Classic API データ保護:サービス終了発表および移行ガイドをご覧ください。
   • Encryption: 特定のポリシー基準に一致する場合、認可されたクラウド アプリの名前付きインスタンス内のファイルを暗号化できます。 暗号化は、クラウドアプリのアプリインスタンスを選択した場合にのみ利用可能です。アプリインスタンスの作成方法については、 「アプリインスタンスプロファイル」を参照してください。暗号化処理はアップロード処理に適用できます。ダウンロードなど、他の操作を選択した場合、暗号化は操作一覧に表示されません。
2. （オプション）アクションとしてBlockを選択した場合、 Don’t Generate Alertsオプションでアラートを抑制することもできます。アラートが抑制されている場合でも、アプリケーションまたはページイベントは引き続き生成されます。

3. 追加のコンテンツ検査を行うには、 Add ProfileをクリックしてポリシーにDLP Profile またはThreat Protection Profile追加してください。

DLPプロファイルは、 PCI（クレジットカード情報を識別する）などの違反を検出します。DLP プロファイルとルールはPolicies > DLPで設定できます。

脅威対策プロファイルは、マルウェアファイルや悪意のあるサイトを検出します。脅威保護プロファイルは、 Settings > Threat Protectionで構成できます。

4. （オプション）脅威保護ポリシーを設定していて、 Blockアクションを選択した場合、 Block till benign verdict by dynamic threat analysisオプションが表示されます。Netskope動的脅威分析で問題なしと判断されるまで、ユーザーがファイルをアップロードまたはダウンロードできないようにするには、このオプションSelect 。 分析には最大10分かかる場合があります。詳細については、 「最初の感染者に対する脅威保護ポリシーの作成」を参照してください。

5. （オプション） Set action for each profileチェックボックスが表示される場合があります。このオプションは、最初に選択したテンプレートに基づいて表示されます。これは統合を支援するためのオプション機能です 。 1つのポリシーに複数のDLPプロファイルが含まれている場合、各プロファイルに対してアクションを設定できます。

6. （オプション） Continue policy evaluation after matchチェックボックスは、1つ以上のDLPプロファイルのアクションとしてAlert選択した場合に使用できます。このオプションを有効にすると、 Add Traffic Actionオプションは利用できなくなります。このアラート アンド コンティニュー機能は電子メール DLP でもサポートされていることに注意してください。

この機能により、 Netskopeクラウドは、一致後に評価を終了するのではなく、ポリシー一致後にポリシーの評価を継続し、追加の DLP 違反を検出できるようになります。 ポリシーに複数のDLPプロファイルが含まれている場合、これはアラートアクションが設定されているプロファイルにのみ適用されます。アラート以外のアクションが設定されたプロファイルに一致するものが発生した場合、Netskope はポリシーの処理を停止します。

7. （オプション） Add Traffic Actionオプションを使用すると、同じトラフィック基準を持つ DLP ポリシーとアクセス制御（クラウド アプリ アクセス、ウェブ アクセス、またはプライベート アプリ セグメント アクセス）ポリシーを統合できます。トラフィック基準は一致するがDLPプロファイルが一致しない場合、トラフィックアクションが実行されます。

ポリシー名

1. ポリシー名を入力します。

   重要

   ポリシー名を作成するときは、英数字と、アンダースコア ( _ )、ダッシュ ( - )、角括弧 ( [] ) などの記号のみを使用します。 ポリシー名では、大なり ( > ) および小なり ( < ) の記号を使用できません。

2. ポリシーのGroup Select 。
3. (オプション) Policy Descriptionをクリックしてデスクリプションを入力します。
4. Email Notificationを設定します:

   注記

   1 分以内に複数のイベント (ポリシーの一致) が発生した場合、電子メール通知は 1 つだけ送信されます。 電子メール通知には、その分間に発生したすべてのイベントの情報が含まれます。

   • 通知頻度Select 。 
   • 電子メール通知を受け取る人Select 。 通知をユーザーまたは管理者に送信するかを選択できます。Imported Custom Attributeオプションを使用すると、Active Directory から同期されたユーザー情報に基づいて通知を送信できます。インポートするカスタム属性には、ディレクトリポインタや他のユーザーのディレクトリIDではなく、 アドレス値を含める必要があることに注意してください。 Selected Usersオプションを使用すると、通知したい特定のユーザーの電子メール アドレスを追加できます。
   • (オプション) 電子メール通知に送信者として表示される電子メール アドレスを入力します。
   • 完了したら、 Doneをクリックして電子メール通知設定を保存し、ウィンドウを閉じます。

状態

1. ポリシーをEnable するにはクリックしてください。
2. (任意) Policy Schedule をクリックして、時間ベースのポリシースケジュールを有効にしてください。詳しくは: 時間に基づくポリシー。このオプションが表示されない場合は、コンタクトサポートでアカウントで有効にしてください。

ポリシースケジュールが設定されている場合は、時計が表示されます。 [リアルタイム保護] ページのポリシーのリストにあるポリシー名の横にある アイコン。 時間範囲が期限切れになると、グレー表示になります時計アイコンとポリシー名。このポリシーは現在も有効ですが、お客様のご対応が必要です。どちらのケースでも、時計アイコンにカーソルを合わせると詳細が表示されます。

3. 右上隅のSaveをクリックして、新しいポリシーを保存してください。

関連トピック

• 不明なユーザー
• インラインアプリコネクタ
• クラウドアプリスイートのメンバーシップ
• ファイルタイプの検出
• OSファミリー基準
• Slack Enterprise向けのAPI強化型リアルタイムコントロール
• E2E 暗号化アプリでの DLP および TSS ポリシーの適用