拡張RBIのベストプラクティスと考慮事項

RBIは無国籍サービスです。ユーザーのウェブ状態は、独立したブラウジングコンテナの存続期間を超えて引き継がれません。

ウェブアプリは通常、状態を保持し、認証を実行するために Cookie を使用します。 拡張RBI機能の導入に伴い、シームレスなユーザーエクスペリエンスを実現するためには、RBIはこの状態を保存し、RBIセッション間でアクセスできる必要があります。

RBIテンプレートで「プライベートナビゲーション」設定が無効になっている場合、ユーザーが単独でブラウジングを行うと、RBIはエンドユーザーのブラウザにCookieを保存します。RBI内の隔離されたウェブページによって生成されたクッキーは、隔離外で生成されたクッキーとは区別されるように、常に名前に「-NS-RBI」という接尾辞を付けて保存されます。

これらのクッキーがない場合、一部の複雑なログイン（例：Google認証は利用できません。ユーザーはリダイレクトループやサインインエラーメッセージに遭遇します。

ポリシー作成のための拡張 RBI ベスト プラクティス

分離されたブラウジングセッションは、ユーザーの他のブラウジング活動からすべてのブラウジングを分離します。アプリを隔離したい場合は、認証フローを隔離された環境内で実行する必要があります。

以下のクラウドアプリ（カテゴリ）は、対応する認証フローを分離するために、ポリシーに明示的に含める必要があります。

クラウドアプリ	Web Category
Googleアカウント	アプリケーションスイート
Microsoft Liveアカウント	アプリケーションスイート
Yahooアカウント	アプリケーションスイート
Microsoft アカウント	アプリケーションスイート

Example 1宛先カテゴリに基づいて、承認されていない（個人用）ウェブメールアプリを隔離します。

アプリケーションスイートに含まれるウェブメールアプリの認証フローを適切に分離するために、「アプリケーションスイート」カテゴリを追加します。

Example 2: 宛先のクラウド アプリに基づいて、承認されていない (個人用) ウェブ Outlook + OneDrive アプリを分離します。

Fine tune your isolate policy to only send the user browser requests to RBI

RBI は、管理された隔離された環境にインタラクティブなブラウジング セッションを設定し、エンドポイント/ユーザーがこれらのページを閲覧する際に、Web コードに埋め込まれた悪意のあるコンテンツから保護します。 ウェブブラウザを使ってウェブページを閲覧しているユーザーが必ず存在しなければならない。

ブラウザソースの基準を分離ポリシーに追加することで、望ましくないトラフィックが分離ポリシーに到達し、分離のためにRBIに送信されるのを防ぐことができます。これは、おそらく分離できないコンテンツ（例えば、デスクトップエージェントによるJSON形式でコンテンツを取得するためのAPI呼び出しなど。これは分離できません）であるためです。

Create Real-time Protection Policies for content that you cannot isolate

RBIは、ウェブページの閲覧を隔離することでユーザーを保護します。Netskopeプロキシ（URL）とRBI（ウェブページのみ、URLのサブセット）の性質上、分離に一致する一部のURLリクエストは RBIに到達できますが 分離できない場合があります（たとえば、ブラウザではないユーザーエージェントからパケット更新や設定ファイルを取得するためのURLなど）。

RBIは、業務の流れを中断したり、顧客のリアルタイム保護ポリシーに干渉したりすることなく、これらのリクエストを処理することはできません。そのため、このような状況が発生した場合、RBIはリクエストを宛先に転送し、応答を取得して、追加処理のためにNetskopeプロキシに転送します。

分離されていないリクエストは、通常のHTTPリクエストです。これらのリクエストに対する制御を設定するには、コンテンツポリシーおよび/またはリアルタイム保護ポリシーが必要です。DLP（データ損失防止）や脅威検出の目的で、これらの応答の内容をブロック、警告、または検査する場合は、それらに対応するリアルタイム保護ポリシーを作成する必要があります。

1. 脅威ポリシーにRBIカテゴリを追加します。

Netskopeは、脅威ポリシーにおいて、隔離されていない応答も検査することを推奨しています。これにより、ユーザーに対して隔離されたブラウジングセッションを設定できない状況では、マルウェアがエンドポイントに到達することを防ぐことができます。

2. セキュリティ体制に応じて、個別のカテゴリごとにコンテンツ検査ポリシーを作成します。

RBIカテゴリ内のアクティビティに対して、「ブロック」、「警告」、「許可」のいずれかのポリシーを作成します。それらはRBIにヒットするリクエストをトリガーします しかし、それらは分離できませんでした（ウェブページではなかったため）。 現在、これらのポリシーは、プロキシ ポリシー エンジンの評価順序に従って、分離ポリシーの上に作成する必要があります。

RBI拡張カテゴリー

ポリシーを作成する際、関連付けられたスイートを持つクラウドアプリケーションを選択した場合、クラウドセクションにバナーが表示されます。ポリシー作成時に、 Addをクリックすると、関連するスイートをすばやく追加できます。

クラウドアプリとその関連スイートには以下が含まれます。

• Google Gmail – Googleアカウントスイート
• Googleドライブ – Googleアカウントスイート
• Microsoft OneDrive – Microsoft Live アカウントスイート

Addをクリックすると、関連するアプリスイートが表示されます。

RBIサードパーティ認証フロー

RBIのサードパーティ認証フロー機能は、認証のために使う代替ドメインを使うアプリケーションのポリシー定義プロセスを簡素化します。 これは、RBI内で生成されたブラウザのナビゲーションイベントと、認証のために使うのよく知られたドメインのリストを比較し、それらのナビゲーションイベントをRBI内に限定することで実現されます。 facebook.com や linkedin.com のように、認証や正規のウェブサイトのホスティングに使うドメインもあります。このようなケースでは、ユーザーが隔離された環境からこれらのドメインにアクセスすると、リアルタイム保護ポリシーに関わらずRBIの隔離状態にとどまります。 サイトに直接アクセスするには、隔離されたRBIセッション内からハイパーリンクをたどるのではなく、ブラウザのアドレスバーにURLを直接入力してください。