プライベートアプリセグメント向けにリアルタイム保護ポリシーを作成する

プライベートアプリセグメントはデフォルトでは制御されないため、デフォルトではプライベートアプリはエンドユーザーからアクセスできず、エンドユーザーにはその旨の通知も届きません。エンドユーザーのステアリングプロファイルを更新して、ユーザー（グループ/OU）に必要なプライベートアプリを含める必要があります。また、ユーザーに対して検出が設定されていない場合は、対応するリアルタイムポリシーが存在する必要があります。ポリシーは、イベントをログに記録し、ユーザー、グループ、または組織単位（OU）へのアクセスを有効にするために必要です。 

リアルタイム保護ポリシーを使用して、次のことを行います。

• ソースポリシーの基準を活用して、プライベートアプリセグメントへのアクセスを定義します。
  • Access Method: Browser Access and/or Client (Optional)
  • Specific User(s), User Group(s) or Organization Unit(s) (Optional)
  • Source IP (Egress) (Optional)
  • Operating System (Optional)
  • Device Classification (Optional)
• 宛先ポリシーの基準を活用して、プライベートアプリセグメントへのアクセスを定義します。
  • 個々のプライベート アプリ セグメントを使用する
  • またはプライベートアプリセグメントタグを活用する
  • また、データ損失防止または脅威対策プロファイルを適用する際のブラウジングアクティビティにも、オプションで以下の設定を適用できます。
    • Download, Upload or FormPost (Optional)
    • ファイル制約：ファイル名または拡張子、ファイルの種類またはファイルサイズ
• プロファイルとアクションを定義する：
  • クライアントベースのポリシーに対する標準アクション
    • Allow
    • Block
    • 定期認証
  • クライアントおよびブラウザアクセス用のプロファイルが利用可能です
    • DLPプロファイル
  • クライアントアクセス可能なプロファイル
    • 脅威防御プロファイル

特定のプライベート アプリについては、定義された一連のユーザーにアクセスを許可する 1 つのポリシーを設定し、その後、アクセス権のないユーザーをブロックして通知する 2 つ目のポリシーを使用することができます。

プライベートアプリアクセスポリシーを設定する

1. Policies > Real-time Protectionへ移動してください。
2. New policy をクリックしてPrivate App Accessを選択してください。
3. ソースについては、以下のオプションを設定できます。
   • プライベートアプリアクセスポリシーを適用するユーザー、組織単位（OU）、またはグループを指定します。（特に指定がない場合は、すべてのユーザーに適用されます。）
   • Specify whether the Access Method is Browser Access or Client (Threat Protection profiles are only available for Client Access)
   • 送信元IPアドレス（送信元IP）に基づいてアクセスを制限することで、管理者はエンドユーザーの送信元IPアドレスに基づいてプライベートアプリセグメントへのアクセスを制限できます。 
   • プライベートアプリアクセスポリシーが適用されるオペレーティングシステム（クライアントのみ）。
   • ルールを適用するには、ユーザーに対してどのカスタムデバイス分類プロファイルが有効になっている必要がありますか（クライアントのみ。ブラウザアクセスは常に管理対象外デバイスとしてマークされます）。
4. 目的地の場合：
   • Private App Segment Select 、その下にプライベートアプリセグメントを追加します。
   • 宛先ルールを適用するアクティビティSelect （ブラウザアクセスとDLPプロファイルの適用時にのみ有効です）。
5. 「アクション」でAllow を選択してアクセスを許可してください。アクセスを拒否するには、 Block選択するか、ドロップダウンリストからポリシー通知テンプレートを選択するか、または新しいテンプレートを作成します。Periodic Authenticationを適用するには、ソース OS の基準が Windows および/または MacOS に設定されていること、およびルールの顧客エンドユーザー通知テンプレートが選択されていることを確認してください。
6. ポリシーに名前を付けてから「 Save」をクリックします。
7. 「ステータス」セクションで、ポリシーが有効になっていることを確認してください。必要に応じて、 + Policy Scheduleをクリックすると、曜日、日付、時刻に基づいてこのポリシーの適用範囲を制限できます。設定の詳細については、 「時間ベースのポリシー」を参照してください。
8. Apply Changesをクリックしてください。

Per-App Periodic Authentication for Private App Segment policies:
定期認証は現在、脅威保護プロファイルやデータ損失防止プロファイルを持つポリシーでは利用できません。

Policy Schedule caveats for Private App Segment policies:
Browser Access/Enterprise Browser: ブラウザアクセスでポリシースケジュールを設定し、ポリシー Enterprise Browser 設定することは可能ですが、これらのアクセス方法に対する強制はまだサポートされていません。 サポートは今後のリリースで予定されています。
ポリシースケジュールLocal Brokers: 、ユーザートラフィックが公開IPアドレス(RFC-1918でない)からローカルブローカーへ送信される場合にのみ適用されます。プライベート/内部IPアドレス範囲から発信されるトラフィックは、時間ベースの制限を回避します。

アプリごとの定期認証ポリシーを設定する

Periodic Per-App Authentication 特定のプライベートアプリセグメントにアクセスする際に、ユーザーに定期的な認証を要求することで、セキュリティ層をさらに強化します。この機能は、デスクトップ デバイス (Windows および macOS) でのみ使用できます。

前提条件

• SAML Forward Proxy クライアント登録とユーザー識別を有効にするには、設定と展開が必要です。
• 認証を成功させるには、ユーザーはクライアントの登録時と同じ ID (電子メール) を使用する必要があります。
• Source OS 新しい定期認証アクションを選択するには、条件をWindows and/or MacOSに設定する必要があります。
• Netskope Client バージョンR133 以上である必要があります。

定期認証リアルタイムポリシーの設定

定期的な認証を強制するには：

1. Policies > Real-Time Protection Policiesへ移動してください。
2. New Policy > Private App Accessをクリックしてください。
3. For Source Criteria, include Operating System = Windows and/or macOS.
4. Select Client for the Access Method.
5. Select the Private App Segment(s) for the Destination.
6. アクションにはPeriodic Authentication Select 、認証間隔（例えば30分ごと）を定義します。
7. ユーザー通知テンプレートSelect 。
8. 完了したら、 Saveをクリックしてください。

ユーザーの認証期限が切れた後も、既存のセッションは有効なままです。ただし、この間隔が経過すると、新しいセッションを開始するには認証が必要になります。

注： Periodic AuthenticationはWindowsとmacOSでのみ利用可能です。

Netskope Private Access (NPA) を使用すると、組織はプライベートアプリのウェブトラフィック（ポート 80 および 443）に脅威対策を適用し、ファイルがリアルタイムでマルウェアスキャンされることを保証できます。使用する場合NPAによる脅威対策では、以下の点にご注意ください。

• アクセス方法としてクライアントが必要です。
• HTTP（80）とHTTPS（443）上のすべてのウェブトラフィックをスキャンします。
• リアルタイムスキャンを適用して、プライベートアプリへのアクセスをマルウェアやその他の高度な脅威から保護します。

Netskope Private Accessは、HTTP（80）およびHTTPS（443）に基づくクライアントからサーバーへのIPS保護もサポートしています。 詳細については、こちらをご覧ください： IPS設定について。

Create a File Hash List

1. 検出対象ファイルのハッシュ値（MD5/SHA-256）を定義します。
2. Use these lists to allowlist (safe) or blocklist (malicious) known file hashes.

リアルタイムプライベートアプリアクセスポリシーの脅威対策を設定する

1. Policies  >  Real-time Protectionへ移動してください。
2. New PolicyをクリックしてからPrivate App Accessクリックしてください。
3. リアルタイム保護ポリシーのページで、まず送信元（ユーザー、アクセス方法、その他の送信元条件）と宛先（プライベートアプリ／プライベートアプリタグ）の設定を入力します。
4. 「プロファイルとアクション」セクションで、  Add Profileを選択し、 Threat Protection Profileを選択します。NetskopeはDefault Malware Scan (predefined)を選択することを推奨しています。これは、プラットフォームがライセンスを取得しているすべての脅威防御エンジンを自動的にスキャンするためです。
5. 各重大度レベルに対応するアクションSelect 。 あらゆる深刻度レベルにおいて推奨されるアクションは「ブロック」です。これにより、ユーザーにとって最高の保護が保証されます。各深刻度レベルに対応する修復プロファイルを適用するには、ドロップダウンリストから修復プロファイルを選択してください。
6. オプションとして、ファイルタイプの制約を選択し、深刻度レベルに対してブロックアクションを選択した場合、動的脅威分析による「無害と判断されるまでブロック」オプションが表示されます。Netskope動的脅威分析で問題なしと判断されるまで、ユーザーがファイルをアップロードまたはダウンロードできないようにするには、このオプションSelect 。 分析には最大10分かかる場合があります。詳細については、「患者ゼロのための脅威保護ポリシーの作成」をご覧ください。
7. ポリシーの名前を入力して、 Saveをクリックしてください。

データ損失防止ポリシーの設定

Netskope Private Access Private App Access のリアルタイム ポリシーを使用することにより、プライベート アプリへのデータ損失防止 (DLP) の適用をサポートします。 この構成を使用して、プライベート アプリへのBrowser AccessとClientの両方のアクセスの機密データを検査して保護します。 ブラウザアクセスに関しては、ポリシーを特定のブラウザアクティビティに限定することもできます。DLPプロファイル、ルール、および識別子の作成方法については、 「データ損失防止」を参照してください。

前提条件

• パブリッシャーが既に設定されていることを確認してください。
• ブラウザアクセスの場合、プライベートアプリ用のSAMLリバースプロキシIdPが設定されていることを確認してください。
• ブラウザアクセスの場合、プライベートアプリがブラウザアクセス用に設定されていることを確認してください。
• ポリシーを作成する前に、適用するDLPプロファイルを作成してください。

プライベート アプリの DLP ポリシーを構成する

1. Policies > Real-time Protectionに移動して、 Private App Accessポリシーを作成または編集してください。より広範なリアルタイムポリシーフレームワークは、DLPと脅威保護をサポートし、ポリシータイプとしてPrivate App Segment Access含みます。
2. Sourceでは、ポリシーが適用されるユーザーまたはグループを選択し、使用ケースに応じてAccess MethodをBrowser Access 、 Client 、またはその両方に設定します。
3. 「宛先」には、プライベートアプリセグメントを選択してください。データ損失防止プロファイルを定義できるように、特定のアクティビティが正しく設定されていることを確認してください。
4. 「プロファイルとアクション」でAdd Profileを選択し、必要なDLPプロファイルを選択してください。
5. 執行アクションを選択し、ポリシーに名前を付けてクリック Save。

補足事項

• NPA Browser Access DLPの場合、 HTTP and HTTPSプライベート アプリのみがサポートされています。AnyApp Browser Accessアプリ（ RDP/SSHなど）はDLPではサポートされていません。
• NPA Client Access DLPの場合、 port 80 and 443上のHTTP and HTTPSのみがサポートされます。
• Transaction events are not generated DLPトラフィックの場合、Webトラフィックに対してトランザクションイベントが有効になっている場合でも同様です。
• ファイル形式の対応状況については、「コンテンツ検査でサポートされているファイルの種類」をご確認ください。
• OCR Netskopeでは一般的にAdvanced DLP機能ですが、NPAではOCRはnot supported です。

Validation

ポリシーを保存した後、選択したDLPプロファイルをトリガーするはずの代表的なコンテンツを使用して、プライベートアプリへのアクセスをテストしてください。想定される適用結果を確認し、発生したDLPアラートまたはインシデントをレビューします。

関連リンク

• NPAブラウザアクセスのためのDLP、ブラウザ アクセス専用のプライベートアプリ、特定の前提条件およびレガシーコンテキストの強制。
• データ損失防止 / プロファイル、ルール、識別子、インシデントに関する DLPについて 。
• ファイル形式の網羅性を確認するために、コンテンツ検査でサポートされているファイルタイプを以下に示します。

ユーザー通知設定

この機能は、認証が必要な場合にユーザーに警告する新しいユーザー通知タイプを使用します。 以下の手順に従ってください。

1. 行く Policies > User Notification (Template Section)
2. Click Add Template > Private App Segments
3. 通知をカスタマイズする際は、以下の点に留意してください。
   • ActionをPeriodic Authenticationに設定します。
   • 下記の例のようにメッセージに明確な文脈を伝えたり、例えば「 認証が必要で使う [App Name]」のように具体的に伝えましょう。認証完了後にリロードしてください。)

   

4. 完了したら、 Saveをクリックしてください。