Netskope 、リアルタイムセキュリティのためのNetskopeインラインアプリコネクタを通じて、クラウドおよびウェブアプリケーションのトラフィックに対するリアルタイムのデータセキュリティと脅威保護をサポートします。 インラインアプリコネクタは、エンドユーザーとクラウドアプリとのやり取りに基づいて、ユーザーのアクティビティを可視化します。さらに、エンタープライズ版と商用版の両方があるクラウドアプリの場合、ユーザーがアクセスしているインスタンスまたはアカウントも、実行されているアクティビティ全体にわたって識別されます。管理者は、この可視性をリアルタイムポリシーを通じて強制的な適用につなげることができます。
インラインアプリコネクタの種類
Netskopeは、以下に定義する複数のアプリケーションコネクタを提供します。
App-specific Connectors: アプリケーションのさまざまな使用ケース向けに詳細なトラフィック分析に基づいて開発されました。 これらのコネクタは、すべてのデータセンターに導入されているコンテンツパッケージの一部です。Netskopeは、主要なエンタープライズクラウドアプリケーション向けに、アプリケーション固有のコネクタを標準で提供しています。
Universal Connector (UC): Netskopeのユニバーサルコネクターは、活動を特定するためのヒューリスティックなアプローチに基づいて開発されています。ユニバーサルコネクタでは、以下の操作がサポートされています。ログイン試行、ログイン成功、ログイン失敗、ログアウト、フォーム送信（DLP対応の場合のみ）、アップロード、ダウンロード。クラウドアプリのロングテールに関しては、NetskopeはUniversal App Connectorを活用し、指定されたアクティビティの活動検出 best-effort 提供しています。デフォルトでは、リアルタイムポリシーにはUCアプリの一部の部分のみが表示されます。CCIでディスカバリーのみとマークされ(リアルタイムポリシーには表示されない)UCアプリは、カスタムの「App Definition」が必要です。アプリ定義の作成方法の詳細については、「アプリ定義」のトピックを参照してください。
Web Universal Connector: NetskopeのウェブUniversal Connectorも、アクティビティを識別するためのヒューリスティックなアプローチに基づいて開発されています。 これは汎用コネクタに似ていますが、サポートされるアクティビティは少なくなっています。サポートされているアクティビティには、閲覧、ログイン試行、フォーム投稿（DLP 使用時のみ）、アップロード、ダウンロードが含まれます。ウェブ ユニバーサル コネクタは、非アプリまたはウェブ トラフィック固有のアクティビティに対するbest-effortアクティビティ検出を提供します。
Custom Connectors: Netskopeは、アカウントUIを通じてアプリケーションのトラフィック定義を提供することでカスタムコネクターを開発するオプションを提供しています。トラフィックの定義は使う Chrome ブラウザ拡張機能ツールを JSON ファイルに記録できます。 このJSONファイルには、アプリのアクティビティとトラフィックのマッピング情報、およびその他の情報が含まれており、アカウントのUIから読み込むことでカスタムコネクタを作成できます。カスタムコネクタの定義はカスタムアプリ設定ワークフローを通じて行われます。詳細については、 「クラウドアプリ定義の作成」をご覧ください。
インラインアプリコネクタのワークフロー
クラウドアプリのトラフィックがNetskopeを経由すると、以下のワークフロー図に示すように、適切なコネクタのマッチングに基づいてアプリケーションイベントが生成されます。
ポリシーには表示されませんが、Skope IT Events でキャプチャされるアクティビティの 1 つは「ブラウズ」です。これは、ドメイン/URL にアクセスしたときの最初のトランザクションにおける最初のアクティビティですが、ドメイン/URL/アプリ (アクティビティが Any に設定されている場合) がポリシーによってブロックされていない限り、イベントとしてキャプチャされません。
ポリシーマッチングのためのアプリ分類とウェブ分類
CCIにリストされているアプリにマッピングされているトラフィック マッチング ドメインの場合、関連するアプリ + ウェブ カテゴリの「ユニオン」がポリシー マッチングに使用されます。 以下の画像は、box.com のカテゴリ分類の例を示しており、box.com のカテゴリとして考えられる以下の項目が一致しています。
- クラウドストレージ（CCIのBoxアプリカテゴリ）
- コラボレーション（box.com ウェブカテゴリ）
- テクノロジー（box.com ウェブカテゴリ）
CCIのどのアプリにも属さないドメインの場合、トラフィックはウェブ ユニバーサル コネクタによって処理され、関連する「 Web Category” が適用されます。 下の画像の例では、 CCIのどのアプリにも属さない flipkart.comのウェブ カテゴリを示しています。
カスタムカテゴリ
定義済みのカテゴリに加えて、いずれかのドメイン/URLにカスタムカテゴリが定義されている場合、ポリシー一致時にカスタムカテゴリも「 Union of Categories”に含まれます。
アプリ間トラフィックイベントの理解
ユーザーがアプリケーションにアクセスするたびに、他のアプリへのバックグランド トラフィックが生成される場合があります。 以下の例では、WeTransferは ストレージとしてS3を使用し、そこにファイルをアップロードします。
このアプリ間トラフィックは、イベントにリファラーフィールドを含むHTTPトラフィックとして発生します。これらのケースでは、イベントでBackground App (テレメトリ アプリ) Amazon S3 が“Referrer”アプリ (WeTransfer) と入れ替わります。
ポリシー構成
Netskopeは、プライマリまたは「リファラー」アプリやそのカテゴリに基づいてポリシーを作成できます。カテゴリ/カスタムカテゴリベースのポリシーは使うでバックグランドのトラフィックをブロックできます。
Google Appsの共有ドメインについて理解する
Google は Google Drive アプリケーションにshared domains使用しており、異なるサブドメインを割り当てることで、他のさまざまな Google サービスでも利用されています。このような共有利用は、Googleドライブのブロックポリシーを実装する際に問題を引き起こす可能性があります。
重要な問題は、 Fully Qualified Domain Names (FQDNs)方法が アプリケーション固有のトラフィックを検出する方法から生じます。 例えば、Google Drive は一般的に アクティビティ検出のために FQDN clients6.google.com を使用します。 しかし、同じ FQDN に、testing.clients6.google.com のようなサブドメインを追加すると、他のバックグランド サービスや無関係な Google アプリケーションによって使用される可能性があります。
Netskopeのステアリングポリシーは、 Google Driveアプリケーションの下にあるclients6.google.comへのすべてのトラフィックを関連付け、追加のサブドメイン（例：testing.clients6.google.com）も関連付けます。これらはGoogleドライブのトラフィックとしても分類されます。この例では、サブドメインが特定のアプリケーションに明確に属していないため、誤分類の問題が発生する可能性があります。
Google Drive をブロックしている場合 ブロックされたら、このタイプのブロックを回避するために、次のドメインを許可リストに追加することをお勧めします 設定。
- clients6.google.com
- googusercontent.com
- googleapis.com
CASBモードとGoogleメインドメインステアリングについて理解する
Netskopeテナントのバージョンが SWG機能を含まないクラウドインラインライセンスを持つ顧客向けに設計されたCASBモードでは、 SaaSアプリケーションのみがNetskopeに誘導されます。 トラフィックを制御するかどうかの決定は、特定のアプリケーションドメインによって行われる。
www.google.com ドメインに向けられたトラフィックは、Netskope CCIデータベース内のいかなるSaaSアプリケーションとも関連付けられません。したがって、たとえURIパスが特定のアプリケーションをターゲットに使うであっても、このトラフィックは誘導されません。
Best Practice
カスタムアプリケーションを作成し、 事前定義された専用アプリケーションコネクタを使用します。 そうすることで、トラフィックが適切に制御され、アクティビティ検出が意図どおりに機能します。
例： www.google.com を異なるアプリケーションに関連付けられた異なる URI パスで制御したい場合は、トラフィックを制御するカスタム アプリケーションに完全なパスを追加します。
App: Google Translate
URI : www.google.com/async/translate
以下のセクションでは、さらに多くの例を示します。 他のアプリケーションコネクタとの類似パターン。
Custom App: GCP Speech-to-Text
Domain: “ www.google.com “
Uripath : “/speech-api”
次の例のように、カスタムコネクタを作成します。トラフィックパスに基づいてカスタムアプリケーションを更新する必要があります。これには、/speech-api が含まれます。
Custom App : Google Accounts
Domain: “ www.google.com “
Uripath : “/accounts/Logout”
Domain: “ www.google.com “
Uripath : “/acs”
次の例のように、カスタムコネクタを作成します。トラフィックパスに基づいてカスタムアプリケーションを更新する必要があります。トラフィックパスには、/acs が含まれます。
Custom App: Google Calendar
Domain: “ www.google.com “
Uripath : “/calendar”
次の例のように、カスタムコネクタを作成します。トラフィックパスに基づいてカスタムアプリケーションを更新する必要があります。トラフィックパスには、/calendar が含まれます。
Custom App: Google Drive
Domain: “ www.google.com “
Uripath : “/m8/feeds/”
次の例のように、カスタムコネクタを作成します。トラフィックパスに基づいてカスタムアプリケーションを更新する必要があります。トラフィックパスには、/m8/feeds/ が含まれます。
