次の基準に基づいて Mac デバイスを分類できます。
- 条件一致：選択した条件のすべてまたは一部に該当するかどうかを確認します。
- 暗号化チェック: FileVault ドライブの暗号化や PGP ドライブの暗号化をチェックします。
- OPSWATチェック：基本的なコンプライアンスまたは完全なコンプライアンスを確認します。
- プロセスチェック：Chrome.exeなどの指定されたプロセスをチェックします。
- ファイルチェック：file.txtなどの指定されたファイルをチェックします。絶対パスとファイル名を含める必要があります。例: /Users/username/Documents/file.txt。
- ADドメインチェック：company.localGroupなどのADドメインをチェックします。
- AVチェック：選択したウイルス対策製品の実行状況を確認します。
- OSチェック：OSバージョンの準拠状況を確認します。
- 証明書チェック：デバイス上に指定された証明書が存在するかどうかを確認します。
独自の証明書、またはNetskope UI からダウンロードした証明書を使用できます (信頼できる証明書を参照)。
証明書ファイルは特定の構造を持ち、PEM形式である必要があります。中間証明書とルート証明書は、1つのPEMファイルに結合する必要があります。そのPEMファイル内の2つの証明書の順序は、まず中間証明書、次にルート証明書でなければなりません。
バージョン127.0.0以降のデバイス分類ルールを作成するまたは後日
以前は、デバイス分類ルールのWebUIでは、デバイス分類ルールの基準を選択するための演算子としてMatch AnyまたはMatch Allしか提供されていませんでした。バージョン127.0.0のリリースに伴い、Netskopeは、デバイス分類ルールにおける条件間の論理演算子AND/ORの使用をサポートするようになりました。
デバイス分類ルールでは、論理演算子は3つのレベルで機能します。
- デバイス分類ルール内のすべての基準グループに対して、論理演算子をグローバルに適用します。
- 条件グループ内で論理演算子を適用します。
- 特定の基準内で論理演算子を適用する。例：
- ファイルと処理
- ファイルまたはプロセス
Mac 用のデバイス分類ルールを作成するには:
- Settings > Manage > Device Classificationへ移動してください。
- [新しいデバイス分類] ドロップダウン リストでMac Select 。
- Mac デバイスを分類するには、以下の手順に従ってください。オプションSelect 、要求されたパラメータを入力してください。
-
ルール名：この分類ルールの名前を入力してください。
-
デバイス分類：ドロップダウンメニューに表示されるオプションから、このルールに割り当てるラベルを選択してください。ルールには複数のラベルを割り当てることはできません。
-
分類基準： Add Criteria Groupでは、以下のオプションから1つを選択してください。
デバイス分類ルール内では、最大16個の基準グループを作成できます。 -
暗号化: 暗号化するデバイスを分類するには、次のオプションのいずれかまたは両方を選択します。
-
FileVault
-
PGP
-
-
OPSWAT: Netskope 、OPSWAT 機能 (その機能を使用するには OPSWAT をインストールする必要があります) を利用して、エンドポイント デバイスにインストールされているアプリケーションを識別し、それらを監視できます。 OPSWAT チェックを実行するには、 Check Typeドロップダウン メニューから次のいずれかを選択し、Metaccess ライセンス キーを入力します。
-
完全なコンプライアンスチェック： Netskope Client 、MetaAccessエージェントが実行されているかどうかを確認し、レジストリに最新のコンプライアンス情報が含まれていることを確認します。 また、WebUIで設定されているMetaAccessライセンスが製品ライセンスと一致しているかどうかも確認してください。
-
基本コンプライアンスチェック：コンプライアンスポリシーチェックに重大なエラーがないかどうかを確認します。エラーが発生した場合、基本的なコンプライアンスチェックは失敗します。
-
-
プロセス：管理対象デバイスを、1つ以上のプロセスの存在に基づいて分類する。実行ファイル名を入力するには、 +Processをクリックし、プロセス名をtext1.exeの形式で追加してください。最大16個のプロセス名を追加できます。
-
ファイル：1つ以上のファイルが存在するかどうかに基づいてデバイスを分類します。ファイル名を入力するには、「+ファイル」をクリックし、「Sample.txt」の形式でファイル名を追加してください。ファイル名は最大16個まで追加できます。
-
ADドメイン：デバイスを1つ以上のドメインに関連付けられているものとして分類するには、ドメイン名を入力します。
-
証明書：デバイス上の証明書を検索します。このセクションには、既存の証明書も表示されます。
Netskope Client管理者がWebUIにインポートする証明書発行者（完全な証明書チェーン）を使用して、インポートされた証明書によって署名されたクライアント証明書を検証します。
Prepare a Device Classification Certificate Rule
新しい証明書をアップロードするには、 Select Fileをクリックし、Base-64 エンコードされた .pem 形式の証明書をアップロードしてください。形式。 If you have multiple signing certificates to upload, you need to create multiple device classification rules for each certificate 。例えば、 CA-Certificate-AとCA-Certificate-Bをアップロードするには、それぞれ別のデバイス分類ルールを作成します。CA -Certificate-Aを使用するDC-Cert-Rule-Aと、 CA-Certificate- B を使用する DC-Cert-Rule-B です。各ルールに追加された新しい証明書は、他のルールに既に追加されている証明書を置き換えるものではありません。ただし、既存の証明書を置き換えることを選択した場合、新しい証明書は同じルール内で以前の証明書を置き換えます。
各PEMファイルがBEGIN CERTIFICATEで始まり、 END CERTIFICATEで終わることを確認してください。1つのPEMファイルは、以下の要素の組み合わせで構成される場合があります。
-
中級CA資格
-
ルートCA証明書
証明書チェーンには、クライアント証明書を発行した中間認証局から始まり、ルート認証局へと続く正しい順序で証明書を追加することが重要です。
正しいPEMファイルは以下の形式です。
Begins with
—–証明書開始—– Ends with:
—–証明書終了—– Upload CA Certificates
以下の例を参照して、WebUIにアップロードする必要のあるCA証明書の種類を確認してください。
-
Example 1: クライアント証明書はルート認証局によって署名されています
-
ルートCAの.pemファイルをアップロードしてください。ファイル
-
-
Example 2: クライアント証明書は中間認証局によって署名されています
-
単一の.pemファイルをアップロードしてください。中間CAとルートCAを含むファイル
-
ファイル内の証明書の順序は、中間CAの後にルートCAが続く必要があります。
-
-
Example 3: クライアント証明書は中間CA-2によって署名されています
中間CA-2は中間CA-1によって署名されています
中間CA-1はルートCAによって署名されています
-
単一の.pemファイルをアップロードしてください。Int CA-2、Int CA-1、およびルートCAを含むファイル
-
ファイル内の証明書の順序は、Int CA-2、Int CA-1、Root CA の順である必要があります。
-
Additional Certificate Check Options
-
Check UPN: このチェックでは、現在ログインしている UserPrincipalName を、証明書に存在する 4 つのフィールド (Subject CN、Subject のドメイン名、Subject Alternative RFC822、Subject Alternative Principal Name) と比較します。 これら4つのフィールドのいずれかが現在のログインプリンシパル名と一致する場合、UPNチェックは成功です。
-
Check Private Key is Non-Exportable: このオプションはセキュリティ層をさらに強化し、証明書の秘密鍵がエクスポート可能かどうかを確認します。Non-Exportable Private Key設定が有効であれば、秘密鍵がエクスポート可能であればデバイスは管理されないとラベル付けされます。秘密鍵がエクスポートできない場合、デバイスは管理されているとラベル付けされます。
このオプションを選択しない場合は、有効なユーザー証明書を管理対象デバイスから非管理対象デバイスにコピーし、事実上、非管理対象デバイスを管理対象デバイスとして扱うことで、証明書チェック ルールをバイパスすることが容易になります。
-
Check CRL: このオプションは、証明書が失効しているかどうかを確認します。
Prerequisites:
-
証明書チェーン全体において、証明書の状態が「OK」である必要があります。
-
証明書にはCRL配布ポイントのURLを含める必要があります。
Netskopeオンライン証明書ステータスプロトコル（OCSP）と証明書失効リスト（CRL）を使用して、SSL証明書の失効状態を確認します。 Netskope 、発行元の認証局（CA）のOCSPレスポンダーをチェックすることで、証明書の失効ステータスをリアルタイムでチェックします。 証明書のシリアル番号。 OCSPが失敗した場合、または利用できない場合、NetskopeはCRLチェックを実行して証明書の失効状態を判断します。
-
-
-
AV: ウイルス対策製品の存在と状態を確認します。管理者は、以下の事前定義されたウイルス対策ソフトのリストから、1つまたは複数のウイルス対策ソフトを選択できます。
-
CrowdStrike
-
SentinelOne
-
カーボンブラック
-
Microsoft Defender
-
Custom
Custom管理者は、「カスタムAV製品名」フィールドにAV製品名を手動で入力する必要があります。
ウイルス対策ソフトの名前を選択すると、クライアントはマシンにインストールされているシステム拡張機能のリストを列挙し、有効になっている対応するウイルス対策ソフトを照合します。
-
-
OS: 検出されたOSバージョンが、管理者が設定したバージョン情報と一致するか、それ以上のバージョンである場合、デバイスの準拠性を確認し、分類します。macOS の OS チェックルールはMinimum OS Versionです。
管理者は、以下の定義済みOSバージョンのいずれかを選択できます。
-
BigSur
-
Monterey
-
Ventura
-
Sonoma
-
Custom
Custom: 「カスタム」を選択した場合は、最小OSバージョン番号を次の形式で入力してください：xxx
バージョン情報を追加すると、Netskope Client はアクティブな macOS のバージョン番号を取得し、設定済みのルールと照合します。
-
- 複数のデバイス分類オプションを追加するには、 Add Criterionをクリックしてください。同一の条件グループに同じオプションを2回追加することはできません。選択されたオプションは、条件グループ内でグレー表示されたままになります。
- 最初のグループで必要な条件をすべて追加したら、論理演算子「すべて一致（AND）」または「いずれか一致（OR）」を選択して、デバイス分類ルール内の条件を比較します。
- 次に、 Add Criteria Groupをクリックして2つ目の条件を追加します。
- 2番目のグループで、必要な条件を選択して追加し、その条件グループに対応する論理演算子も併せて追加してください。
- 各グループに追加された様々な条件に一致する論理演算子を選択してください。
- 完了したら、クリック Save
バージョン127.0.0より前のデバイス分類ルールを作成する
Settings > Manage > Device Classificationに移動し、[新しいデバイス分類] ドロップダウン リストで [Mac] を選択し、次の手順に従って Mac デバイスを分類します。 オプションSelect 、要求されたパラメータを入力してください。
-
ルール名：この分類ルールの名前を入力してください。
-
デバイス分類：ドロップダウンメニューに表示されるオプションから、このルールに割り当てるラベルを選択してください。ルールには複数のラベルを割り当てることはできません。
-
分類基準： AllまたはAny基準一致Select 。
-
暗号化: 暗号化するデバイスを分類するには、次のオプションのいずれかまたは両方を選択します。
-
FileVault
-
PGP
-
-
OPSWAT: Netskope 、OPSWAT 機能 (その機能を使用するには OPSWAT をインストールする必要があります) を利用して、エンドポイント デバイスにインストールされているアプリケーションを識別し、それらを監視できます。 OPSWAT チェックを実行するには、 Check Typeドロップダウン メニューから次のいずれかを選択し、Metaccess ライセンス キーを入力します。
-
完全なコンプライアンスチェック： Netskope Client 、MetaAccessエージェントが実行されているかどうかを確認し、レジストリに最新のコンプライアンス情報が含まれていることを確認します。 また、WebUIで設定されているMetaAccessライセンスが製品ライセンスと一致しているかどうかも確認します。
-
基本コンプライアンスチェック：コンプライアンスポリシーチェックに重大なエラーがないかどうかを確認します。エラーが発生した場合、基本的なコンプライアンスチェックは失敗します。
-
-
プロセス: 管理対象デバイスを、1つ以上のプロセスの存在に基づいて分類するには、実行可能ファイル名を入力します。
-
ファイル：デバイスを1つ以上のファイルの存在に基づいて分類するには、パスとファイル名を入力します。
-
ADドメイン：デバイスを1つ以上のドメインに関連付けられているものとして分類するには、ドメイン名を入力します。
-
証明書：デバイス上の証明書を検索します。このセクションには、既存の証明書も表示されます。
Netskope Client管理者がWebUIにインポートする証明書発行者（完全な証明書チェーン）を使用して、インポートされた証明書によって署名されたクライアント証明書を検証します。
Prepare a Device Classification Certificate Rule
新しい証明書をアップロードするには、 Select Fileをクリックし、Base-64 エンコードされた .pem 形式の証明書をアップロードしてください。形式。 If you have multiple signing certificates to upload, you need to create multiple device classification rules for each certificate 。例えば、 CA-Certificate-AとCA-Certificate-Bをアップロードするには、それぞれ別のデバイス分類ルールを作成します。CA -Certificate-Aを使用するDC-Cert-Rule-Aと、 CA-Certificate- B を使用する DC-Cert-Rule-B です。各ルールに追加された新しい証明書は、他のルールに既に追加されている証明書を置き換えるものではありません。ただし、既存の証明書を置き換えることを選択した場合、新しい証明書は同じルール内で以前の証明書を置き換えます。
各PEMファイルがBEGIN CERTIFICATEで始まり、 END CERTIFICATEで終わることを確認してください。1つのPEMファイルは、以下の要素の組み合わせで構成される場合があります。
-
中級CA資格
-
ルートCA証明書
証明書チェーンには、クライアント証明書を発行した中間認証局から始まり、ルート認証局へと続く正しい順序で証明書を追加することが重要です。
正しいPEMファイルは以下の形式です。
Begins with
—–証明書開始—– Ends with:
—–証明書終了—– Upload CA Certificates
以下の例を参照して、WebUIにアップロードする必要のあるCA証明書の種類を確認してください。
-
Example 1: クライアント証明書はルート認証局によって署名されています
-
ルートCAの.pemファイルをアップロードしてください。ファイル
-
-
Example 2: クライアント証明書は中間認証局によって署名されています
-
単一の.pemファイルをアップロードしてください。中間CAとルートCAを含むファイル
-
ファイル内の証明書の順序は、中間CAの後にルートCAが続く必要があります。
-
-
Example 3: クライアント証明書は中間CA-2によって署名されています
中間CA-2は中間CA-1によって署名されています
中間CA-1はルートCAによって署名されています
-
単一の.pemファイルをアップロードしてください。Int CA-2、Int CA-1、およびルートCAを含むファイル
-
ファイル内の証明書の順序は、Int CA-2、Int CA-1、Root CA の順である必要があります。
-
Additional Certificate Check Options
-
Check UPN: このチェックでは、現在ログインしている UserPrincipalName を、証明書に存在する 4 つのフィールド (Subject CN、Subject のドメイン名、Subject Alternative RFC822、Subject Alternative Principal Name) と比較します。 これら4つのフィールドのいずれかが現在のログインプリンシパル名と一致する場合、UPNチェックは成功です。
-
Check Private Key is Non-Exportable: このオプションはセキュリティ層をさらに強化し、証明書の秘密鍵がエクスポート可能かどうかを確認します。Non-Exportable Private Key設定が有効であれば、秘密鍵がエクスポート可能であればデバイスは管理されないとラベル付けされます。秘密鍵がエクスポートできない場合、デバイスは管理されているとラベル付けされます。
このオプションを選択しない場合は、有効なユーザー証明書を管理対象デバイスから非管理対象デバイスにコピーし、事実上、非管理対象デバイスを管理対象デバイスとして扱うことで、証明書チェック ルールをバイパスすることが容易になります。
-
-
AV: ウイルス対策製品の存在と状態を確認します。管理者は、以下の事前定義されたウイルス対策ソフトのリストから、1つまたは複数のウイルス対策ソフトを選択できます。
-
CrowdStrike
-
SentinelOne
-
カーボンブラック
-
Microsoft Defender
-
Custom
Custom管理者は、「カスタムAV製品名」フィールドにAV製品名を手動で入力する必要があります。
ウイルス対策ソフトの名前を選択すると、クライアントはマシンにインストールされているシステム拡張機能のリストを列挙し、有効になっている対応するウイルス対策ソフトを照合します。
-
-
OS: 検出されたOSバージョンが、管理者が設定したバージョン情報と一致するか、それ以上のバージョンである場合、デバイスの準拠性を確認し、分類します。macOS の OS チェックルールはMinimum OS Versionです。
管理者は、以下の定義済みOSバージョンのいずれかを選択できます。
-
BigSur
-
Monterey
-
Ventura
-
Sonoma
-
Custom
Custom: 「カスタム」を選択した場合は、最小OSバージョン番号を次の形式で入力してください：xxx
バージョン情報を追加すると、Netskope Client はアクティブな macOS のバージョン番号を取得し、設定済みのルールと照合します。
-
-
完了したら、 Saveをクリックしてください。
リアルタイム保護ポリシーを設定する
デバイス分類ルールを作成した後、それをリアルタイム保護ポリシーで使用できます。
-
リアルタイム保護ポリシーでこのデバイス分類を使用するには、 Netskope UI でPolicies > Real-time Protectionをクリックします。 既存のポリシーSelectか、 New Policyをクリックしてポリシーのタイプを選択します。
-
「ユーザー」、「クラウドアプリ＋ウェブ」、「DLP/脅威対策」、「アクティビティSelect各セクションに進んでください。
-
追加属性については、 Access MethodをクリックしてClient 、 Mobile Profile 、またはReverse Proxyのいずれかを選択し、次にSaveをクリックします。Device Classificationをクリックし、分類したデバイスに基づいて、デバイス分類からCustom Device ManagementおよびManagedまたはUnmanagedからラベルを選択します。
-
Managed これは、デバイスが管理されていることを意味します。クライアントから送信されたデバイスの状態情報が、そのクライアントのOS用に設定されているデバイス分類チェックの少なくとも1つと一致します。
-
Unmanaged これは、デバイスが管理対象外であることを意味します。クライアントから送信されたデバイスの状態情報が、そのクライアントのOS用に設定されているデバイス分類チェックのいずれにも一致しません。
-
-
完了したら、 SaveクリックしてからNextクリックしてください。
-
管理対象デバイスまたは管理対象外デバイスからのファイルのアップロードなどのアクティビティに対して、指定されたアプリケーションのブロック アクションを使用するなど、デバイス分類を他のポリシー要素と組み合わせます。 このデバイス分類を確立するために、このポリシーの作成または更新を完了してください。このポリシーについてはApply Changesをクリックしてください。
-
ポリシーが作成されたら、そのポリシーが作成された目的であるプロセスを実行します。次に、 Skope IT > Application Eventsに移動し、イベントの拡大アイコンをクリックして、アプリケーションイベントの詳細パネルを開きます。「ユーザー」セクションには「デバイス分類」フィールドが表示され、これらのデバイス分類の 1 つが表示されます。