エンドポイント DLP デバイスと Content Control ポリシー

Endpoint DLP Policy

エンドポイント DLP は、デバイスコントロールとコンテンツコントロールという 2 種類の保護ポリシーを提供します。

デバイス制御ポリシーは、デバイスへのアクセスに関する決定を提供します。これらの判断は、ユーザー、グループメンバーシップ、エンドポイントデバイスの分類、およびデバイスの種類、シリアル番号、製造元、暗号化状態などの宛先デバイスの特性に基づいて行われる場合があります。この機能は、企業のファイル共有のみが使用されるようにするか、USB 大容量ストレージデバイスへのアクセスが標準的な会社発行の暗号化デバイスに制限されるようにするために使用できます。

コンテンツ制御ポリシーは、データのコンテンツに基づいてセキュリティ制御を提供します。コンテンツコントロールポリシーは、デバイスコントロールポリシーに使用されるのと同じデバイスとユーザー基準をすべて使用できますが、データのコンテンツを検査して分類し、この情報をポリシーの決定に使用することもできます。

Device Constraints

Netskopeのデバイスおよびコンテンツ制御ポリシーは、Microsoft Print to PDFプリンターやその他のフォーマット変換プリンターへの印刷をサポートしていません。Netskopeはデータ漏洩対策に特化しており、ソフトウェアのみのフォーマット変換プリンタードライバーはサポートしていません。フォーマット変換は変換時点ではデータ漏洩とはみなされないためです。
ファイル形式を変換する方法は複数あります。最新のアプリケーションは、専用の PDF印刷ドライバーがなくても、ファイルを多くの形式に変換できます。したがって、 Netskope DLP方式の漏洩プリンターのみを制御することに決定しました。

ほとんどの宛先デバイスタイプは、デバイス制約をサポートします。デバイス制約とは、ハードウェア属性 (シリアル番号、製造元、モデル) や構成 (プリンターポート、暗号化状態) など、宛先デバイスに関する基準です。デバイスの制約は、UIの[ポリシー]＞[制約]セクションで管理できます。

ユーザーが企業のデバイスのみにアクセスできるようにするデバイス制御ポリシーを定義できます。デバイス制御ポリシーを活用することで、デバイスに基づいてアクションを実行できます。

エンドポイント DLP デバイス制御ポリシーは、RBAC/LBAC ベースのグループによってグループ化されます。

すべてのポリシーグループ( Defaultを除く)は、 Rename、 Assign Labels、 Move、 Enable、 Disable、 Deleteによって変更可能です。

RBACv3もサポートされています。詳細については、「RBAC v3 の概要」を参照してください。

エンドポイント DLP デバイス制御ポリシーの作成

NetskopeのUIで Policies > Endpoint Protectionに移動します。
Device ControlタブでNew Device Control Policyをクリックします。
Endpoint Device Control Policyページで：
- Endpoint Protection: ポリシーに従って次の基準のいずれかをSelect 。
  - Users: Select ポリシーの影響を受ける Users、 User groups、または Organizational units 。ポリシーから除外したいユーザー、ユーザーグループ、組織を選択するには + 除外をクリックします。デバイス分類:ポリシーを管理されたデバイスか非管理デバイスに適用するかを選択します。また、デバイス分類ページに移動してルールを設定することもできます。
  - Device Classification: ポリシーを適用するデバイスをManaged台またはUnmanaged 台に選択してください。また、 Settingsアイコンをクリックすると、デバイス分類ページに移動してルールを設定することもできます。
- Device: Select
  - USB storage device – 企業のラップトップで接続された USB デバイスを許可またはブロックするには
  - Printer – エンドユーザーによるローカル/ネットワークプリンターの使用を許可またはブロックするには
  - Network File Share – どのネットワークファイル共有エンドポイントがアクセスを許可されるかを制御する。
  - Bluetooth File Control Bluetooth経由でのファイル転送を許可または拒否する。
  - CD and DVD Drives (Windows) ディスクへの書き込みを許可または拒否する。
  - Any: このポリシーをすべてのデバイスに適用する場合にSelect 。
  - Matches: ポリシーに含めるデバイスを含む制約プロファイルSelect 。例えば、特定のブランドのUSBを含む制約プロファイルを選択できます。アクセスを制限したいもの。新しい制約プロファイルを作成するには、「 + Create New 」をクリックしてください。このポリシーは、選択された制約プロファイルに一致するデバイスにのみ適用されます。
  - Does not match: ポリシーから除外するデバイスを含む制約プロファイルSelect 。例えば、ローカルプリンターデバイスすべてを含む制約プロファイルを選択できます。[+ 新規作成] をクリックして、新しい制約プロファイルを作成します。このポリシーは、選択された制約プロファイルに一致しないデバイスにのみ適用されます。
  Constraint Profilesの詳細については、制約プロファイルを参照してください。
- Action: がトリガーされたときに実行するアクションSelect 。がトリガーされたときに実行するアクションを選択してください。
  - Allow: ユーザーが USB、プリンター、NFS または Bluetooth ファイルコントロールへの書き込みアクセスを許可するには、 Select 。
  - Make Read-Only: ユーザーにストレージデバイスへの「読む」アクセスのみを許可する場合にSelect 。これは USB デバイスでのみ使用できます。
    
    WPD/電話デバイスは、読む専用ポリシーアクションをサポートしていません。これらのデバイスはブロックされます。
  - Block: ユーザーによるデバイスへのアクセスをブロックする場合にSelect 。
  - USB デバイスには、そのデバイスが読み取り専用である理由を説明する通知テンプレートをユーザーに表示させることができます。
- Set Policy: ポリシー名を入力してください。使用できるのは英数字と、アンダースコア (_)、ダッシュ (-)、角括弧 ([ ]) などの記号のみです。ポリシー名には大なり (>) または小なり (<) 記号を使用できません。必要に応じて、[+ ポリシーデスクリプション] をクリックしてメモまたは情報を追加し、切り替えることができます。
- Statusポリシーを有効または無効にします。

エンドポイント制御ポリシーの作成

The Printer Content Control feature depends on the Microsoft Print to PDF print driver. Endpoint DLP creates a copy of this printer and names it Netskope. This printer is used as part of the print intervention process for converting files to PDF for evaluation. If the Netskope printer is removed, Printer Content Control won’t work.

Content Control policiesを定義すると、ユーザーが許可された USB デバイス、プリンター、および Bluetooth ファイルコントロールon Windowsに機密データをコピーまたは印刷できないようにすることができます。コンテンツ制御ポリシーを活用することで、ファイル内の機密性の高いコンテンツやファイルの出所（つまり、ファイルの生成元）に基づいて措置を講じることができます。

Content Control ポリシーは電話または WPD デバイスには適用されません。

ファイル基準（例： File ProfilesはPrinter Content Control policiesには適用されません。これには、エンドポイント DLP ポリシーおよび DLP プロファイル内に埋め込まれたファイルプロファイルで最上位基準として選択されたFile Profilesが含まれます。これは
印刷された文書における違反の特定は
印刷されたコンテンツのみに依存し、ディスク上のファイルのメタデータには依存しないことを意味します。Exceptions :
Windows : いくつかのアプリケーションには、ファイルフィルタを機能させるための特定の統合機能があります。Microsoft WordまたはExcelから印刷する場合、ファイルフィルターが適用されるため、AIP/MIP/Purview機密ラベルなどの項目を印刷の強制のために。
macOS : macOS は、どのアプリケーションにおいても印刷ポリシーの AIP/MIP/Purview Sensitivity ラベルをサポートしていません。

NetskopeのUIで Policies > Endpoint Protectionに移動します。
Content Controlタブをクリックしてください。
New Content Control Policyをクリックしてください。
Endpoint Content Control Policyページで：
- Endpoint Protection: ポリシーに従って次の基準のいずれかSelect 。
  - User: Select ポリシーの影響を受ける users、 user groups、または organizational units 。 [+ Exclusionsをクリックして、ポリシーから除外するユーザー、ユーザーグループ、または組織を選択します。
  - Device Classificationポリシーを適用するデバイスをmanaged 、 unmanaged 、またはCustom （バージョン124.0.0以降）から選択します。また、 Settingsアイコンをクリックすると、デバイス分類ページに移動してルールを設定することもできます。
- Destination: Select USB Storage Device、、 Printer (Windows)、 Bluetooth File Transfer (Windows)、 Network File Share (Windows)、および/または Browser App (Windows, R130+ client required) をコンテンツ宛先として使います。
  
  両方のデバイスについて、管理者は以下の条件を選択できます。
  - Any: このポリシーをすべての企業の認可済みおよび未認可の USB ストレージデバイスに適用する場合にSelect 。
  - Matches: ポリシーに含める USB デバイスを含む制約プロファイルSelect 。たとえば、アクセスを制限したい暗号化 USB デバイスを含む制約プロファイルを選択できます。 + Create Newをクリックして、新しい制約プロファイルを作成します。このポリシーは、選択された制約プロファイルに一致するデバイスにのみ適用されます。
  - Does not match: ポリシーから除外する USB デバイスを含む制約プロファイルSelect 。例えば、すべてのローカルプリンタとネットワークプリンタを含む制約プロファイルを選択できます。。 + Create Newをクリックして、新しい制約プロファイルを作成します。このポリシーは、選択された制約プロファイルに一致しないデバイスにのみ適用されます。
- File: ポリシーのファイル情報Select 。
  - File Profile: Select 、ユーザーがUSBストレージデバイスへのコピーや印刷を許可またはブロックしたいファイルを定義するファイルプロファイルです。例えば、テキストファイルやスプレッドシートを含むファイルプロファイルを作成できます。新しいファイルプロファイルを作成するには + をクリックしてください。Settingsアイコンをクリックすると、ファイルプロファイルページに移動することもできます。
  - File OriginSelect USBストレージデバイスへのコピーや印刷を許可またはブロックしたいファイルを含む、あらかじめ定義またはカスタムのアプリケーションやアプリケーションインスタンスです。例えば、Slack、Enterprise、Gmailのアプリケーションインスタンスでファイルの起源を作成し、これらのアプリからダウンロードしたファイルがデバイスへのコピーをブロックできるようにします。Exceptionsの下で、このポリシーから除外したいアプリケーションインスタンスを選択できます。また、 Settingsアイコンをクリックすると、アプリ定義ページに移動してカスタムアプリを設定することもできます。
- Profile & Action: 違反の有無をファイルで検査し、各プロファイルに対してアクションを設定するために、DLPプロファイルSelect違反がないかファイルを検査し、各プロファイルに対してアクションを設定します。
  - Allow: ユーザーが USB ストレージデバイスから DLP 違反のないファイルを転送できるようにする場合にSelect 。
  - AlertUSBストレージに転送されたファイルに関するアラートを受信するには、 Select 。 DLP違反が含まれているファイル。
  - User AlertDLP違反のあるファイルをUSBストレージに転送する際に、ユーザーにデフォルトまたはカスタムの通知メッセージを送信するかどうかをSelect 。「+ テンプレートを作成」をクリックすると、理由を説明した上で先に進めるように促す通知メッセージを作成できます。
  - Block: ユーザーがUSBストレージにファイルを転送できないようにSelect DLP違反のあるファイルを転送した際に、ユーザーにデフォルトまたはカスタムの通知メッセージを送信します。「+ テンプレートを作成」をクリックして、データポリシーを遵守するよう促す通知メッセージを作成します。
- Set Policy: ポリシー名を入力してください。使用できるのは英数字と、アンダースコア (_)、ダッシュ (-)、角括弧 ([ ]) などの記号のみです。ポリシー名には大なり (>) または小なり (<) 記号を使用できません。必要に応じて、[+ ポリシーデスクリプション] をクリックしてメモや情報を追加できます。
- Status: ポリシーを有効または無効にします。
SaveをクリックしてからApply Changesをクリックしてください。

コンテンツ制御ポリシー設定の構成

Netskopeクラウドがエンドポイントのコンテンツ検査を実行できない場合（オフライン、ファイルサイズが大きすぎる、またはシステムエラーが発生している場合など）、フォールバック設定を構成できます。

コンテンツ制御ポリシー設定を構成するには：

Netskope UI で、 Policies > Endpoint Protectionに移動します。
Content Controlタブをクリックしてください。
Settingsをクリックしてください。
Content Control Policy Settingsウィンドウでは：
- When endpoint is offline: エンドポイントデバイスがインターネットから切断されているときに、エンドポイントデバイスにファイルがコピーされるのを許可またはブロックします。
- When file size exceeds DLP scan limitファイルサイズがDLPスキャン制限値を超える場合に、エンドポイントデバイスへのファイルのコピーを許可またはブロックします。
- When system error occursシステムエラーが発生した場合に、エンドポイントデバイスへのファイルのコピーを許可またはブロックします。
SaveをクリックしてからApply Changesをクリックしてください。

ウェブブラウザからの印刷時にプリンターコンテンツ制御通知を表示する

印刷時には、 Netskope Clientに関連付けられたポップアップを通じてユーザーに通知されます。

Netskopeは、印刷されるファイルに関連付けられた印刷データを収集しています。
Netskopeは、前のステップで収集したデータを分析しています。
Netskopeは、この文書の印刷を許可しています。文書のサイズによっては、このポップアップが画面上に長時間表示される場合があります。
Netskopeは、指定された順序でページを印刷します。

一致したすべてのDLPプロファイルのレポート

この機能は、管理されたGA（Googleアナリティクス）に含まれています。詳細については、コンタクト support@netskope.com までお問い合わせください。

DLP エンジンは、最初に一致したポリシーを超えてポリシーを今評価できます。ポリシー全体にわたって考えられるすべてのDLPプロファイルを評価し、一致するプロファイルを可視化することで、一致したすべてのDLPプロファイルを示すアラートとインシデントを生成します。このオプションを有効にすると、一致する可能性のあるすべてのDLPプロファイルに対してアラートが送信されます。

これを有効にするには：

NetskopeのUIで Policies > Endpoint Protection > Content Control に行き、 Settingsをクリックします。
Evaluate all DLP profilesチェックボックスをオンにしてください。

プロセス除外

この機能は現在、管理された一般提供（Controlled-GA）となっています。詳細については、コンタクト、アカウントエグゼクティブまたは support@netskope.com にお問い合わせください。

この機能では、Microsoft OfficeとAdobe Acrobatを印刷監視の対象から除外することはできません。

特定のアプリケーションのエンドポイント DLP 評価からプロセスを除外することができます。これは、印刷、USB、およびネットワークファイル共有の特定のプロセスにおけるエンドポイント DLP の介入を除外するために使用されます。

これを使用するには:

NetskopeのUIで Policies > Endpoint Protection > Content Control に行き、 Process Exceptionをクリックします。
Click +ADD
Process Executable Path 、 Operating System 、 Descriptionを埋めてください。
Saveをクリックしてください。

ブラウザアプリケーション制御

R130以降、ブラウザアプリケーション制御がサポートされるようになりました。ブラウザが読むアップロードするファイルについてポリシーを定義できます。これらのポリシーにより、ユーザーがインターネット上で共有できる企業データの内容を管理できるようになります。ブラウザプロセスが転送のためにファイルを開く際、すべてのファイルはポリシーに基づいて評価される。ファイルポリシーがBlockedの場合、ブラウザによるファイルアクセスはブロックされます。

Chrome、Microsoft Edge、およびFirefoxに対応しています。

「ブラウザアップロード」のフィルタオプションが、以下のイベント／アラートページで利用可能になりました。

エンドポイントイベント – コンテンツ制御：「アクティビティ」
アラート：「エンドポイントアクティビティ」

JAMF経由でSafariにおけるmacOSのサポートを実現

Safari拡張機能は、クライアントインストーラーにデフォルトでインストールされ、設定の「拡張機能」タブに表示されますが、拡張機能はMDM経由で有効化および管理する必要があります。
JAMF経由のSafari拡張機能は、ユーザーチャネルを通じて配信されます。

Requirements:

JAMF Pro以上
ブループリント機能が有効になりました（ガイドを参照）。

Deployment Steps:

Login JAMFアカウントにログインし、 Blueprintに移動してください。Create Blueprintsをクリックしてください。
Component groupの下でSafari Extensionsを検索し、ウィジェットをDeclaration groupの下にドラッグアンドドロップします（下図参照）。
Safari Extension widgetをクリックして、以下の値を入力してください。

Extension Identifier: com.netskope.epdlp.client.NetskopeEpdlpBrowserExtension (24W52P9M7W)

Extension State: 常時接続

Private Browsing State: 常時接続

Allowed Domains: *
注：これにより、すべてのウェブサイトで拡張機能が有効になります。特定のドメインのみに適用する必要がある場合は、適切な値を追加してください。
デバイスについては、 SaveとDeployをクリックしてください。
デプロイ後、ブループリントプロファイルは登録済みデバイス上で以下の箇所で確認できます。
Settings > General > Device Management > MDM Profile > User Declarations
設計図が適用されると、Safari拡張機能がSafari上で有効になり、改ざん防止機能が備わります。

MacOS Support on Chrome via JAMF