クラウドファイアウォール向けのリアルタイム保護ポリシー

Netskopeプロキシは、それぞれポート80と443宛てのHTTPおよびHTTPSトラフィックを受け入れますが、プロキシの拡張機能により、HTTPおよびHTTPSトラフィックの非標準ポートも処理できるようになりました。

この機能により、送信元および宛先のIPアドレス、ポート、プロトコルに基づいて、許可／ブロックのセキュリティポリシーを設定できます。

このタイプの送信ファイアウォールにより、管理者は以下のことが可能になります。

始めるには、 Policies > Real-time Protectionにアクセスしてください。

このページには以下が表示されます。

各ポリシーの詳細については、ポリシー名をクリックしてください。

ポリシーの詳細には、以下の情報が記載されています。

ファイアウォールポリシーは、以下の画像に示すルールIDの順序に基づいて適用されます。ファイアウォール以外のポリシーは、ファイアウォールのトラフィックには影響しません。番号付けの順序はポリシーのタイプに関係ありません。 ファイアウォールトラフィックに関しては、ファイアウォールポリシーのみが考慮され、ファイアウォールポリシー以外のポリシーである中間の数値はシステムによってスキップされます。

ポリシー編集のための追加メニューオプション

ポリシー名の右端にある3つの点をクリックすると、ポリシーを編集できます。ポリシーの編集、アラートの表示、ポリシーの移動、無効化、複製、削除が可能なメニューが開きます。

ポリシーを探しています

検索ボックスに名前を入力することで、特定の を検索できます。 検索テキストによく一致するポリシーがポリシー リストでフィルタリングされます。 オプションで、「一致したポリシーのみを表示」チェックボックスを選択すると、ポリシーリストをさらにフィルタリングして、検索テキストに正確に一致するポリシーのみを表示できます。

[リアルタイム保護ポリシー] ページでは、検索フィルターを使用して、特定のユーザー、アプリ、Web サイト、およびファイアウォールのポリシーを見つけることもできます。

検索フィルターを使用するには、フィルターアイコンをクリックして、これらのフィルターを1つ以上適用してください。

リアルタイム保護ポリシーのリストページはデフォルトで25行を表示します。表示を変更するには、ページ右下にあるオプションを選択してください（オプションには、25、50、100、150があります）。

リストページは、デフォルト表示またはカスタム表示のテーブルビューで表示できます。カスタムテーブルビューでは、列をカスタマイズしたり、デフォルトのビューに戻したりできます。「列のカスタマイズ」ウィンドウにアクセスするには、カスタムテーブルビューでテーブルの右上隅にある歯車アイコンをクリックします。

サービスおよび目的地プロファイル

CFWはサービスオブジェクトおよび宛先プロファイルのアクティビティをサポートしていません。
RTPとBWCでは、サービスオブジェクトと宛先プロファイルがサポートされています。カスタムファイアウォールアプリは依然として 例外処理において。
L3/L4 アクティビティを使用して作成された場合、CFW によって評価されません。

サービスと宛先プロファイルは、リアルタイム保護ポリシーの作成時に選択できます。

例として、以下のポリシーを考えてみましょう。

このFTPアプリケーションは、 Service Profileで定義されたポートからDestination Profileで定義されたIPアドレスへの接続のみがブロックされます。トラフィックがブロックされた場合、SkopeITでアラートが発報されます。

ActionがAllowに設定されている場合、この FTP アプリケーションは、 Service Profileで定義されたポートを介してDestination Profileで定義された IP アドレスへのトラフィックのみを許可します。

リアルタイム保護ポリシーを作成する：ファイアウォール

Default Actionはすべてのポリシーに適用されます。
デフォルトでは、このフィールドはBlockに設定されています。これは
どのポリシーに
一致しないトラフィックはブロックされることを意味します。「非標準ポート上のHTTPトラフィックを識別する」 は 既存のカスタムポート構成とは互換性がありません。

例えば、テナントがカスタムポート構成機能 + カスタムポート構成 + HTTP-AD 有効 + block-http-non-standard-port 有効で構成されている場合でも、
トラフィックはブロックされません。これはHTTP1.1プロトコルとHTTP2プロトコルの両方に当てはまります。

ポリシーは一連の変数を使って定義されます。 これらの変数は、ポリシー違反を検出するための基準を定義するものです。

リアルタイム保護ポリシーを作成するには：

1. リアルタイム保護ポリシーのページで、 New Policy > Firewallをクリックします。新しいポリシーを作成する際は、あなたの目標に最も近いテンプレートを選択してください。どちらの選択肢を選んだとしても、ポリシー作成ワークフローを進めながら編集することができます。テンプレートを選択すると、効率化のために一部の項目が自動入力されます。以下に示すように他のオプションが表示される場合もありますが、このワークフローに適用されるのはファイアウォールのみです。

   

2. Destinationの場合は、 ApplicationまたはAny Trafficを選択してください。ファイアウォールポリシーの設定には、これらのオプションのみが適用されます。これらのオプションを使用すると、特定のアプリケーションに対してのみ適用されるポリシーを作成したり、アプリケーションのカテゴリ全体またはトラフィックの種類全体に対して適用される汎用的なポリシーを作成したりできます。

   The Application option allows you to select cloud applications as well as DPI-based or custom firewall applications for your policy. DPI applications are available by default. In order to select firewall applications, you must first define them as custom applications. To learn how to create custom applications, see App Definition. To learn more about available applications: The Any Traffic option makes the firewall allow or block any traffic  including web traffic (only the source is applicable and the destination is ignored).

3. SourceをSelect 。 テキスト ボックスをクリックして、送信元 IP ユーザーまたはユーザー ID (電子メール アドレス) を選択します。 システムは、お客様が選択したポリシーテンプレートに基づいて、最も適切な基準を表示します。

   The Source IP is set to ‘Matches’ by default. This means the policy engine will match against the criteria. The Source field can be left blank. If left blank, it implies that the source IP is set to ‘Any’. The user ID must already exist in the system or ensure you add the new user. Refer to the Add Users topic for help. The app firewall learns the user ID (email address) and corresponding user IP address and caches this mapping. When the system sees traffic from this user IP, it uses this mapping and finds the associated user. This user ID is an additional policy attribute (used with other firewall attributes like IP address, port, protocol, etc.)

   ファイアウォール用のきめ細かいリアルタイム保護ポリシーを構成するには:

   ADD CRITERIAをクリックし、以下の:を選択します。

   If the Destination is selected as Any Traffic, the Source criteria you select apply to both web and non-web traffic. Netskope recommends placing these policies at the bottom of the policy stack to avoid shadowing Cloud Access Security Broker and Web policies.

   Criteria	デスクリプション
   Source IP	トラフィックを送信するデバイスの IP アドレスに基づいてポリシーを適用します。Matches を選択すると、指定した IP アドレスからのトラフィックにのみポリシーが適用され、Does Not Match を選択すると、他のすべての送信元 IP アドレスからのトラフィックにポリシーが適用されます。この基準を空白のままにすると、ポリシーは任意の送信元 IP アドレスからのトラフィックに適用されます。
   Access Method	トラフィックがNetskopeに到達する方法に基づいてポリシーを適用します。1つ以上のアクセス方法をSelectしてください：Client、IPSec、またはGRE。選択したアクセス方法を経由して到着するトラフィックにのみポリシーを適用するには、Matchesを選択します。
   Source IP (Egress)	トラフィックがインターネットに接続するために使用するパブリック IP アドレスに基づいてポリシーを適用します。これらのアドレスを表すネットワーク ロケーションを 1 つ以上選択します（オフィスのパブリック IP アドレスなど）。選択したロケーションからのトラフィックにのみポリシーを適用するには、Matches を Select します。他のすべてのロケーションからのトラフィックに適用するには、Does Not Match を Select します。選択する前に ネットワーク ロケーション を作成してください。

4. ActionからAllowまたはBlockをSelect 。 ファイアウォールポリシーに関しては、適用されるオプションは以下の2つのみです。

   

5. 名前とポリシーデスクリプションを入力します。

   ポリシー名を作成するときは、英数字と、「_」アンダースコア、「-」ダッシュ、「[ または ]」角括弧などの記号のみを使用してください。 ポリシー名に「>」より大きい記号や「<」より小さい記号を使用することはできません。

6. 右上隅のSaveをクリックして、新しいポリシーを保存してください。すべてのポリシーは上から下の順序で処理されます。つまり、ポリシー テーブルの一番上にあるポリシーが最初に処理され、次に順序が続きます。

   

   You should see the saved policy in the Policy list page. You can drag-and-drop the policy name by highlighting the row and moving your cursor to the icon and drag-and-drop the line to the desired location in the list page.

   In order to support a Netskope Private Access (NPA) client inside a branch office that reaches an NPA gateway through a GRE tunnel, admins must configure an SSL Decrypt bypass rule in the WebUI for the account as *.goskope.com.
   Access the configuration setup page by navigating to Policies > SSL Decryption. If you are not using NPA in your account, no action required.

DNSベースのセキュリティは、IPSec、GRE、またはNetskope Clientのトラフィック制御方式で利用可能です。ただし、IPv6 DNSトラフィックはサポートされていません。

DNSプロファイルを作成したら、それをDNSタイプのリアルタイム保護ポリシーに追加する必要があります。

DNS ポリシーを作成するには:

1. Policies > Real-time Protectionに移動してから、 New Policy > DNSをクリックしてください。

   

2. SourceをSelect 。 テキスト ボックスをクリックして、送信元 IP ユーザーまたはユーザー ID (電子メール アドレス) を選択します。 システムは、選択したポリシーテンプレートに基づいて、最も適切な基準を表示します。

   送信元IPはデフォルトで Matches に設定されます。つまり、ポリシーエンジンが条件と一致するかどうかを評価します。送信元フィールドは空白のままにすることができます。空白のままにした場合、送信元IPが Any に設定されていることを意味します。ユーザーIDはシステム内にすでに存在している必要があります。存在しない場合は、新しいユーザーを追加してください。ユーザーの追加を参照してください。アプリファイアウォールは、ユーザーID（電子メールアドレス）と対応するユーザーIPアドレスを学習し、このマッピングをキャッシュします。システムがこのユーザーIPからのトラフィックを検出すると、このマッピングを使用して関連付けられたユーザーを検索します。このユーザーIDは、追加のポリシー属性です（IPアドレス、ポート、プロトコルなどの他のファイアウォール属性と組み合わせて使用されます）。

   DNS の詳細なリアルタイム保護（Real-time Protection）ポリシーを構成するには、Add Criteria をクリックし、以下を選択します。

   Criteria	デスクリプション
   Source IP	DNSトラフィックを送信するデバイスのIPアドレスに基づいてポリシーを適用します。指定したIPアドレスからのトラフィックにのみポリシーを適用するには Select Matches を選択し、その他のすべての送信元IPアドレスからのトラフィックにポリシーを適用するには Select Does Not Match を選択します。この条件を空白のままにすると、ポリシーは任意の送信元IPアドレスからのトラフィックに適用されます。
   Access Method	DNSトラフィックがNetskopeに到達する方法に基づいてポリシーを適用します。アクセス方法（Client、IPSec、またはGRE）を1つ以上選択します。SelectMatchesを選択して、選択したアクセス方法を経由して到達するトラフィックにのみポリシーを適用します。
   Source IP (Egress)	DNS トラフィックがインターネットに到達するために使うパブリック IP アドレスに基づいてポリシーを適用します。オフィスのパブリック IP アドレスなど、これらのアドレスを表すネットワークロケーションを 1 つ以上 Select します。選択したロケーションからのトラフィックのみにポリシーを適用するには Matches を Select し、他のすべてのロケーションからのトラフィックに適用するには Does Not Match を Select します。ネットワークロケーションを選択する前に作成してください。

3. デフォルトではDestinationはDNSになります。DNS設定にはこのオプションのみが適用されます 。

4. Profile & Actionには、 DNS プロファイルを選択してください。ポリシーごとに選択できるDNSプロファイルは1つだけです。利用可能なActionはDefaultです。なぜなら、アクションはDNSプロファイルで設定されているからです。

5. ポリシーの名前とデスクリプションを追加します。

   ポリシー名を作成するときは、英数字と、アンダースコア (_)、ダッシュ (-)、角括弧 ([ ]) などの記号のみを使用します。 ポリシー名に大なり (>) および小なり (<) 記号を使用することはできません。

6. Statusの場合、ポリシーを有効または無効にします。

7. ポリシーを保存するには、右上隅のSaveクリックしてください。

ポリシーを保存すると、ポリシー リスト ページに表示されます。

リアルタイム保護ポリシーを作成する：DLP

DLPは現在、FTPアプリケーションをサポートしています。 DLPに関する詳細については、 「データ損失防止」を参照してください。

サポートされているトラフィックと機能

• パッシブFTPのみ（クライアントからサーバーへのデータ接続）
• RTPルールとDLPプロファイルおよびアクティビティ（アップロード/ダウンロード）
• アクティビティのみを対象としたRTPルール（DLPプロファイルなし）
• 最大 128MB のファイルの DLP、非ウェブ プロキシの場合は 16MB
• DLPプロファイルアクション：許可、ブロック、警告
• フォールバックアクション、最大ファイルサイズ、クライアントタイムアウト
• アクセス方法：IPsec、GRE、NSClient
• フローおよび DLP ポリシーの適用のためのネットワーク イベント
• DLPアラート

DLP ポリシーを作成するには:

1. Policies > Real-time Protectionに移動してから、 New Policy > DLPをクリックしてください。（ Firewallも選択可能）

   

2. SourceをSelect 。 テキスト ボックスをクリックして、送信元 IP ユーザーまたはユーザー ID (電子メール アドレス) を選択します。 システムは、選択したポリシーテンプレートに基づいて、最も適切な基準を表示します。

   送信元IPアドレスはデフォルトでMatchesに設定されています。つまり、ポリシーエンジンは基準にマッチするということです。 「ソース」欄は空欄のままで構いません。空白のままにした場合、送信元IPアドレスはAnyに設定されていることを意味します。ユーザーIDはシステムに既に存在しているか、新しいユーザーを追加してください。ユーザーの追加を参照してください。アプリファイアウォールはユーザーID（ アドレス）と対応するユーザーIPアドレスを学習し、このマッピングをキャッシュします。 システムはこのユーザーIPからのトラフィックを検出すると、 このマッピングを実行して関連付けられたユーザーを見つけます。 このユーザー ID は追加のポリシー属性です (IP アドレス、ポート、プロトコルなどの他のファイアウォール属性とともに使用します)。

3. DestinationをApplicationをFTPに設定します。

4. ここから、 ActivitiesをUploadおよび/またはDownloadに設定できます。

   File SizeやFile TypeのようにActivity Constraintsを追加することもできます。

   

5. Profile & Action 、 Allow 、 Alert 、 Blockは、 Firewall Templateで設定可能な設定です。

   ユーザーが複数のアプリケーションを組み合わせて選択し、 DLP を したい場合、選択は次の画像のようになります。

   

6. Policy Nameを入力し、 GroupをHeader Policies 、 Default 、またはFooter Policiesのいずれかに設定してください。

7. StatusをEnabledに設定します。

リアルタイム保護ポリシーの作成：アクティビティとファイルに関する制約

FTP アプリケーションに対して RTP ポリシーを作成できます。

FTP ポリシーを作成するには:

1. Policies > Real-time Protectionに移動し、次にNew Policy > Cloud App Accessをクリックします。

2. Source下で、 Add Criteriaボタンから適切な基準を選択してください。

3. DestinationをApplicationをFTPに設定します。

4. ここから、 ActivitiesをUploadおよび/またはDownloadに設定できます。また、 File Name 、 File Size 、 File TypeなどのActivity Constraintsを追加することもできます。さらに、ファイルが次の制約をMatchまたはNot Matchするかどうかも決定できます。

   

   File Names またはExtensions CSVファイルからインポートするか、手動で入力できます。

   

   File Types 既存のファイルタイプのリストから選択できます。

   

   File Size 単位仕様はB 、 KB 、 MB 、またはGBのいずれかである必要があります。

5. Profile & Actionの下で、 Alert, Allow, or Block.から選択します。有効になっている場合は、 DLP profileを追加することもできます。

6. Policy Nameを入力し、 GroupをHeader Policies 、 Default 、またはFooter Policiesのいずれかに設定してください。

7. StatusをEnabledに設定します。

リアルタイム保護ポリシーを作成する：FTPに対する脅威対策

FTPに対する脅威対策ポリシーを作成できます。詳細については、 「脅威防御プロファイル」および「修復プロファイル」を参照してください。

サポートされているトラフィックと機能

• パッシブFTPのみ（クライアントからサーバーへのデータ接続）
• TSSプロファイルとアクティビティ（アップロード／ダウンロード）を含むRTPルール
• TSSプロファイルのアクション（重要度レベル別）：許可、ブロック、警告、および修復
• RTPルールにおけるサービスオブジェクト、宛先プロファイル、アクティビティ、ファイルサイズ、ファイルタイプ、およびTSSプロファイルの組み合わせ
• 最大400MBまでのファイルに対するTSS
  • 16MBを超える大容量ファイルの場合、データ転送が徐々に行われます。
• フォールバックアクション、最大ファイルサイズ、クライアントタイムアウト
• トラフィックアクションアラート/ブロック/許可ケースプロファイルが一致しません
• アクセス方法：IPsec、GRE、NSClient
• フローのネットワーク イベントと TSS ポリシーの適用
• TSSアラートとインシデント

脅威防御ポリシーを作成するには：

1. Policies > Real-time Protectionに移動し、次にNew Policy > Threat Protectionをクリックします。
2. SourceをSelect 。 テキスト ボックスをクリックして、送信元 IP ユーザーまたはユーザー ID (電子メール アドレス) を選択します。 システムは
   お客様が選択したポリシーテンプレートに基づいて、最も適切な基準を表示します。送信元IPアドレスはデフォルトでMatchesに設定されています。これは、ポリシーエンジンが基準に照らし合わせて照合を行うことを意味します。「ソース」欄は空欄のままで構いません。空白のままにした場合、送信元IPアドレスはAnyに設定されていることを意味します。ユーザーIDはシステムに既に存在しているか、新しいユーザーを追加してください。ユーザーの追加を参照してください。アプリファイアウォールはユーザーID（ アドレス）と対応するユーザーIPアドレスを学習し、このマッピングをキャッシュします。 システムがこのユーザーIPからのトラフィックを検出すると、 このマッピングを実行して関連付けられたユーザーを見つけます。 このユーザー ID は追加のポリシー属性です (IP アドレス、ポート、プロトコルなどの他のファイアウォール属性とともに使用します)。
3. DestinationをApplicationをFTPに設定します。
4. ここから、 ActivitiesをUploadおよび/またはDownloadに設定できます。また、 File SizeやFile TypeなどのActivity Constraintsを追加することもできます。
5. Profile & Actionセクションで、脅威対策プロファイルを選択します。Netskopeは、組織のライセンスに基づいてすべての脅威防御エンジンを自動的にスキャンするため、 Default Malware Scan (predefined)を選択することを推奨します。
6. 各重症度レベルについてActionをSelect 。 各重症度レベルに対する推奨される行動はBlockです。これにより、ユーザーにとって最高の保護が保証されます。各深刻度レベルに対応する修復プロファイルを適用するには、ドロップダウンリストから修復プロファイルを選択してください。
7. オプションとして、 File Type制約を選択し、深刻度レベルに対してBlockアクションを選択した場合、 Block till benign verdict by dynamic threat analysisオプション（ This feature requires the Advanced Firewall license. For more information, please contact your account executive or support@netskope.com ）が表示されます。Netskope動的脅威分析で問題なしと判断されるまで、ユーザーがファイルをアップロードまたはダウンロードできないようにするには、このオプションSelect 。 分析には最大10分かかる場合があります。
9. Policy Nameを入力し、 GroupをHeader Policies 、 Default 、またはFooter Policiesのいずれかに設定してください。
10. StatusをEnabledに設定します。

リアルタイム保護ポリシーの作成：送信元IPアドレス（送信元）

サポートされているトラフィックと機能

• DNSポリシーのみ
• DNSプロファイルのアクション：許可、ブロック、シンクホール
• RTPルールにおけるユーザー、送信元IP、送信元IP（送信元）、およびDNSプロファイルの組み合わせ
• DNSプロファイルに一致するものが何もない場合、トラフィックアクションが許可されます。
• アクセス方法：IPsec、GRE、NSClient、Direct
• フローと送信元IP（Egress）ポリシーの適用に関するネットワークイベント
• DNSイベントとアラート

Source IP (Egress)ポリシーを作成するには：

1. Policies > Real-time Protectionに移動し、次にNew Policy > DNSをクリックします。

2. SourceをSelect 。 テキスト ボックスをクリックして、 Source IP (Egress)ユーザーまたはユーザー ID (電子メール アドレス) を選択します。 システムは、お客様が選択したポリシーテンプレートに基づいて、最も適切な基準を表示します。

   • Source IP (Egress) デフォルトではAny に設定されています。これはデフォルトではすべてのIPアドレスに一致します。特定のIPアドレスと照合するには、ドロップダウンメニューからNetwork Location Objectを選択してください。Network Location Objectは事前に作成しておく必要があります。DNSaaSの場合、 Network LocationはDNS Resolver Settingsページのホワイトリスト登録済みIPアドレスである必要があります。
   • ユーザーIDは既にシステムに存在しているか、新しいユーザーを追加してください。ユーザーの追加を参照してください。アプリファイアウォールはユーザーID（ アドレス）と対応するユーザーIPアドレスを学習し、このマッピングをキャッシュします。 システムはこのユーザーIPからのトラフィックを検出すると、 このマッピングを実行して関連付けられたユーザーを見つけます。 このユーザー ID は追加のポリシー属性です (IP アドレス、ポート、プロトコルなどの他のファイアウォール属性とともに使用します)。
   • Source IP デフォルトではAny に設定されています。これは、ポリシーエンジンがすべてのIPアドレスに対して照合を行うことを意味します。送信元IPアドレス欄は空白のままで構いません。空白のままにした場合、送信元IPアドレスはAnyに設定されていることを意味します。送信元IPアドレスがAny以外または空白の場合、このポリシーはDNSaaS（直接パス）では機能しませんが、IPSec、GRE、およびNSClientでは引き続き機能します。

3. DestinationをDNSに設定します。

4. Profile & Actionセクションで、DNS プロファイルを選択します。

5. 各重症度レベルについてActionをSelect 。 DNSプロファイルは、DNSプロファイル内で利用可能なさまざまなアクションに基づいて、実行するアクションをガイドするため、アクションをデフォルトに設定します。

6. Policy Nameを入力し、 GroupをHeader Policies 、 Default 、またはFooter Policiesのいずれかに設定してください。

7. StatusをEnabledに設定します。

一致後、アラートを発して次のポリシーグループに進みます

R129 から、ウェブおよび電子メール ポリシー グループ 今は次のポリシー グループへの継続をサポートします。 ポリシーを構成すると、ポリシー グループ内の最後のルールが特定の DLP プロファイルの一般ブロック ポリシーとなり、グループ内の先行ルールが例外ルールになり、一致した場合にアラートが生成され、ポリシーの評価が次のポリシー グループの最初のポリシー ルールで続行されます。

この機能が有効になっている場合、 Profile & Actionの下のPolicy作成画面に 2 つのオプションが表示されます。これらのオプションは排他的であり、一度に選択できるのは1つだけです。

• 試合後に方針評価を継続する
• 一致後、次のポリシーグループに進みます。

これはAlertアクションにのみ適用されます。

フローおよび DLP ポリシー適用のネットワーク イベント

以下のケースでは、イベント／アラートが生成されます。

1：一致したルールにはDLPプロファイルがあります。
ネットワークイベントが発生すると、 Network Eventsページに表示されますが、DLP 自体がアラート、アプリケーションイベント、インシデントを別々に送信するため、webui にはネットワークイベントの dlp_profile セクションは表示されません。また、DLP から送信されるアラートのタイプとして「nspolicy」が表示されます。

これにより以下が生成されます。

1. ネットワークイベント
2. 警告
3. アプリケーションイベント
4. 事件

2：一致したルールにはDLPプロファイルがなく、アクションはアラートに設定されています。
これはAlerts ページに表示されます。

3：一致したルールにはDLPプロファイルがなく、アクションは「許可」に設定されています。
これはNetwork Eventsページに表示されます。

4：一致したルールにはDLPプロファイルがなく、アクションはブロックに設定されています。
これはAlerts ページに表示されます。