クラウドファイアウォール向けのリアルタイム保護ポリシー

Netskopeプロキシは、それぞれポート80と443宛てのHTTPおよびHTTPSトラフィックを受け入れますが、プロキシの拡張機能により、HTTPおよびHTTPSトラフィックの非標準ポートも処理できるようになりました。

この機能により、送信元および宛先のIPアドレス、ポート、プロトコルに基づいて、許可／ブロックのセキュリティポリシーを設定できます。

このタイプの送信ファイアウォールにより、管理者は以下のことが可能になります。

始めるには、 Policies > Real-time Protectionにアクセスしてください。

このページには以下が表示されます。

各ポリシーの詳細については、ポリシー名をクリックしてください。

ポリシーの詳細には、以下の情報が記載されています。

ファイアウォールポリシーは、以下の画像に示すルールIDの順序に基づいて適用されます。ファイアウォール以外のポリシーは、ファイアウォールのトラフィックには影響しません。番号付けの順序はポリシーのタイプに関係ありません。 ファイアウォールトラフィックに関しては、ファイアウォールポリシーのみが考慮され、ファイアウォールポリシー以外のポリシーである中間の数値はシステムによってスキップされます。

ポリシー編集のための追加メニューオプション

ポリシー名の右端にある3つの点をクリックすると、ポリシーを編集できます。ポリシーの編集、アラートの表示、ポリシーの移動、無効化、複製、削除が可能なメニューが開きます。

ポリシーを探しています

検索ボックスに名前を入力することで、特定の を検索できます。 検索テキストによく一致するポリシーがポリシー リストでフィルタリングされます。 オプションで、「一致したポリシーのみを表示」チェックボックスを選択すると、ポリシーリストをさらにフィルタリングして、検索テキストに正確に一致するポリシーのみを表示できます。

[リアルタイム保護ポリシー] ページでは、検索フィルターを使用して、特定のユーザー、アプリ、Web サイト、およびファイアウォールのポリシーを見つけることもできます。

検索フィルターを使用するには、フィルターアイコンをクリックして、これらのフィルターを1つ以上適用してください。

リアルタイム保護ポリシーのリストページはデフォルトで25行を表示します。表示を変更するには、ページ右下にあるオプションを選択してください（オプションには、25、50、100、150があります）。

リストページは、デフォルト表示またはカスタム表示のテーブルビューで表示できます。カスタムテーブルビューでは、列をカスタマイズしたり、デフォルトのビューに戻したりできます。「列のカスタマイズ」ウィンドウにアクセスするには、カスタムテーブルビューでテーブルの右上隅にある歯車アイコンをクリックします。

ポリシーは一連の変数を使って定義されます。 これらの変数は、ポリシー違反を検出するための基準を定義するものです。

リアルタイム保護ポリシーを作成するには：

1. リアルタイム保護ポリシーのページで、 New Policy > Firewallをクリックします。新しいポリシーを作成する際は、あなたの目標に最も近いテンプレートを選択してください。どちらの選択肢を選んだとしても、ポリシー作成ワークフローを進めながら編集することができます。テンプレートを選択すると、効率化のために一部の項目が自動入力されます。以下に示すように他のオプションが表示される場合もありますが、このワークフローに適用されるのはファイアウォールのみです。

   

2. Destinationの場合は、 ApplicationまたはAny Trafficを選択してください。ファイアウォールポリシーの設定には、これらのオプションのみが適用されます。これらのオプションを使用すると、特定のアプリケーションに対してのみ適用されるポリシーを作成したり、アプリケーションのカテゴリ全体またはトラフィックの種類全体に対して適用される汎用的なポリシーを作成したりできます。

   Applicationオプションでは、クラウドアプリケーションだけでなく、DPIベースまたはカスタムファイアウォールアプリケーションをポリシーに選択できます。DPIアプリケーションはデフォルトで利用可能です。ファイアウォールアプリケーションを選択するには、それらをカスタムアプリケーションとして定義する必要があります。カスタムアプリケーションの作成方法については、アプリの定義を参照してください。利用可能なアプリケーションの詳細については、次の情報を参照してください：Any Trafficオプションを使用すると、ファイアウォールはウェブトラフィックを含むすべてのトラフィックを許可またはブロックします（送信元のみが適用され、宛先は無視されます）。

3. SourceをSelect 。 テキスト ボックスをクリックして、送信元 IP ユーザーまたはユーザー ID (電子メール アドレス) を選択します。 システムは、お客様が選択したポリシーテンプレートに基づいて、最も適切な基準を表示します。

   ソース IP はデフォルトで「一致」に設定されています。これは、ポリシーエンジンが基準と照らし合わせることを意味します。「送信元」フィールドは空のままにすることができます。空白のままにすると、ソース IP が「任意」に設定されていることを意味します。ユーザーIDはシステム内に既に存在している必要があります。または、新しいユーザーを必ず追加してください。ヘルプについては、「ユーザーの追加」トピックを参照してください。アプリファイアウォールは、ユーザーID（メールアドレス）とそれに対応するユーザーIPアドレスを学習し、このマッピングをキャッシュします。システムがこのユーザーIPからのトラフィックを確認すると、このマッピングを使用して関連するユーザーを見つけます。このユーザーIDは、追加のポリシー属性です（IPアドレス、ポート、プロトコルなどの他のファイアウォール属性と一緒に使用されます）。

   ファイアウォール用のきめ細かいリアルタイム保護ポリシーを構成するには:

   ADD CRITERIAをクリックし、以下の:を選択します。

   送信先として Any Traffic が選択されている場合、選択した送信元の基準が ウェブ トラフィックと非 ウェブ トラフィックの両方に適用されます。Netskopeでは、Cloud Access Security BrokerやWebポリシーのシャドウイングを避けるため、これらのポリシーをポリシー スタックの一番下に配置することを推奨しています。

   Criteria	デスクリプション
   Source IP	トラフィックを送信するデバイスの IP アドレスに基づいてポリシーを適用します。Matches を選択すると、指定した IP アドレスからのトラフィックにのみポリシーが適用され、Does Not Match を選択すると、他のすべての送信元 IP アドレスからのトラフィックにポリシーが適用されます。この基準を空白のままにすると、ポリシーは任意の送信元 IP アドレスからのトラフィックに適用されます。
   Access Method	トラフィックがNetskopeに到達する方法に基づいてポリシーを適用します。1つ以上のアクセス方法をSelectしてください：Client、IPSec、またはGRE。選択したアクセス方法を経由して到着するトラフィックにのみポリシーを適用するには、Matchesを選択します。
   Source IP (Egress)	トラフィックがインターネットに接続するために使用するパブリック IP アドレスに基づいてポリシーを適用します。これらのアドレスを表すネットワーク ロケーションを 1 つ以上選択します（オフィスのパブリック IP アドレスなど）。選択したロケーションからのトラフィックにのみポリシーを適用するには、Matches を Select します。他のすべてのロケーションからのトラフィックに適用するには、Does Not Match を Select します。選択する前に ネットワーク ロケーション を作成してください。

4. ActionからAllowまたはBlockをSelect 。 ファイアウォールポリシーに関しては、適用されるオプションは以下の2つのみです。

   

5. 名前とポリシーデスクリプションを入力します。

   ポリシー名を作成するときは、英数字と、「_」アンダースコア、「-」ダッシュ、「[ または ]」角括弧などの記号のみを使用してください。 ポリシー名に「>」より大きい記号や「<」より小さい記号を使用することはできません。

6. 右上隅のSaveをクリックして、新しいポリシーを保存してください。すべてのポリシーは上から下の順序で処理されます。つまり、ポリシー テーブルの一番上にあるポリシーが最初に処理され、次に順序が続きます。

   

   保存したポリシーがポリシーリストページに表示されているはずです。行をハイライト表示し、カーソルをアイコンに移動してポリシー名をドラッグし、リストページ上の目的の場所にドロップできます。

   支店内のNetskope Private Access（NPA）クライアントがGREトンネル経由でNPAゲートウェイに接続できるようにするには、管理者はWebUIでアカウントに対して*.goskope.comのSSL復号バイパスルールを設定する必要があります。
   ポリシー > SSL復号に移動して、設定ページにアクセスします。アカウントでNPAを使用していない場合、対応は不要です。

DNSベースのセキュリティは、IPSec、GRE、またはNetskope Clientのトラフィック制御方式で利用可能です。ただし、IPv6 DNSトラフィックはサポートされていません。

DNSプロファイルを作成したら、それをDNSタイプのリアルタイム保護ポリシーに追加する必要があります。

DNS ポリシーを作成するには:

1. Policies > Real-time Protectionに移動してから、 New Policy > DNSをクリックしてください。

   

2. SourceをSelect 。 テキスト ボックスをクリックして、送信元 IP ユーザーまたはユーザー ID (電子メール アドレス) を選択します。 システムは、選択したポリシーテンプレートに基づいて、最も適切な基準を表示します。

   送信元IPはデフォルトで Matches に設定されます。つまり、ポリシーエンジンが条件と一致するかどうかを評価します。送信元フィールドは空白のままにすることができます。空白のままにした場合、送信元IPが Any に設定されていることを意味します。ユーザーIDはシステム内にすでに存在している必要があります。存在しない場合は、新しいユーザーを追加してください。ユーザーの追加を参照してください。アプリファイアウォールは、ユーザーID（電子メールアドレス）と対応するユーザーIPアドレスを学習し、このマッピングをキャッシュします。システムがこのユーザーIPからのトラフィックを検出すると、このマッピングを使用して関連付けられたユーザーを検索します。このユーザーIDは、追加のポリシー属性です（IPアドレス、ポート、プロトコルなどの他のファイアウォール属性と組み合わせて使用されます）。

   DNS の詳細なリアルタイム保護（Real-time Protection）ポリシーを構成するには、Add Criteria をクリックし、以下を選択します。

   Criteria	デスクリプション
   Source IP	DNSトラフィックを送信するデバイスのIPアドレスに基づいてポリシーを適用します。指定したIPアドレスからのトラフィックにのみポリシーを適用するには Select Matches を選択し、その他のすべての送信元IPアドレスからのトラフィックにポリシーを適用するには Select Does Not Match を選択します。この条件を空白のままにすると、ポリシーは任意の送信元IPアドレスからのトラフィックに適用されます。
   Access Method	DNSトラフィックがNetskopeに到達する方法に基づいてポリシーを適用します。アクセス方法（Client、IPSec、またはGRE）を1つ以上選択します。SelectMatchesを選択して、選択したアクセス方法を経由して到達するトラフィックにのみポリシーを適用します。
   Source IP (Egress)	DNS トラフィックがインターネットに到達するために使うパブリック IP アドレスに基づいてポリシーを適用します。オフィスのパブリック IP アドレスなど、これらのアドレスを表すネットワークロケーションを 1 つ以上 Select します。選択したロケーションからのトラフィックのみにポリシーを適用するには Matches を Select し、他のすべてのロケーションからのトラフィックに適用するには Does Not Match を Select します。ネットワークロケーションを選択する前に作成してください。

3. デフォルトではDestinationはDNSになります。DNS設定にはこのオプションのみが適用されます 。

4. Profile & Actionには、 DNS プロファイルを選択してください。ポリシーごとに選択できるDNSプロファイルは1つだけです。利用可能なActionはDefaultです。なぜなら、アクションはDNSプロファイルで設定されているからです。

5. ポリシーの名前とデスクリプションを追加します。

   ポリシー名を作成するときは、英数字と、アンダースコア (_)、ダッシュ (-)、角括弧 ([ ]) などの記号のみを使用します。 ポリシー名に大なり (>) および小なり (<) 記号を使用することはできません。

6. Statusの場合、ポリシーを有効または無効にします。

7. ポリシーを保存するには、右上隅のSaveクリックしてください。

ポリシーを保存すると、ポリシー リスト ページに表示されます。

リアルタイム保護ポリシーを作成する：DLP

DLPは現在、FTPアプリケーションをサポートしています。 DLPに関する詳細については、 「データ損失防止」を参照してください。

サポートされているトラフィックと機能

• パッシブFTPのみ（クライアントからサーバーへのデータ接続）
• RTPルールとDLPプロファイルおよびアクティビティ（アップロード/ダウンロード）
• アクティビティのみを対象としたRTPルール（DLPプロファイルなし）
• 最大 128MB のファイルの DLP、非ウェブ プロキシの場合は 16MB
• DLPプロファイルアクション：許可、ブロック、警告
• フォールバックアクション、最大ファイルサイズ、クライアントタイムアウト
• アクセス方法：IPsec、GRE、NSClient
• フローおよび DLP ポリシーの適用のためのネットワーク イベント
• DLPアラート

DLP ポリシーを作成するには:

1. Policies > Real-time Protectionに移動してから、 New Policy > DLPをクリックしてください。（ Firewallも選択可能）

   

2. SourceをSelect 。 テキスト ボックスをクリックして、送信元 IP ユーザーまたはユーザー ID (電子メール アドレス) を選択します。 システムは、選択したポリシーテンプレートに基づいて、最も適切な基準を表示します。

   送信元IPアドレスはデフォルトでMatchesに設定されています。つまり、ポリシーエンジンは基準にマッチするということです。 「ソース」欄は空欄のままで構いません。空白のままにした場合、送信元IPアドレスはAnyに設定されていることを意味します。ユーザーIDはシステムに既に存在しているか、新しいユーザーを追加してください。ユーザーの追加を参照してください。アプリファイアウォールはユーザーID（ アドレス）と対応するユーザーIPアドレスを学習し、このマッピングをキャッシュします。 システムはこのユーザーIPからのトラフィックを検出すると、 このマッピングを実行して関連付けられたユーザーを見つけます。 このユーザー ID は追加のポリシー属性です (IP アドレス、ポート、プロトコルなどの他のファイアウォール属性とともに使用します)。

3. DestinationをApplicationをFTPに設定します。

4. ここから、 ActivitiesをUploadおよび/またはDownloadに設定できます。

   File SizeやFile TypeのようにActivity Constraintsを追加することもできます。

   

5. Profile & Action 、 Allow 、 Alert 、 Blockは、 Firewall Templateで設定可能な設定です。

   ユーザーが複数のアプリケーションを組み合わせて選択し、 DLP を したい場合、選択は次の画像のようになります。

   

6. Policy Nameを入力し、 GroupをHeader Policies 、 Default 、またはFooter Policiesのいずれかに設定してください。

7. StatusをEnabledに設定します。

リアルタイム保護ポリシーの作成：アクティビティとファイルに関する制約

FTP アプリケーションに対して RTP ポリシーを作成できます。

FTP ポリシーを作成するには:

1. Policies > Real-time Protectionに移動し、次にNew Policy > Cloud App Accessをクリックします。

2. Source下で、 Add Criteriaボタンから適切な基準を選択してください。

3. DestinationをApplicationをFTPに設定します。

4. ここから、 ActivitiesをUploadおよび/またはDownloadに設定できます。また、 File Name 、 File Size 、 File TypeなどのActivity Constraintsを追加することもできます。さらに、ファイルが次の制約をMatchまたはNot Matchするかどうかも決定できます。

   

   File Names またはExtensions CSVファイルからインポートするか、手動で入力できます。

   

   File Types 既存のファイルタイプのリストから選択できます。

   

   File Size 単位仕様はB 、 KB 、 MB 、またはGBのいずれかである必要があります。

5. Profile & Actionの下で、 Alert, Allow, or Block.から選択します。有効になっている場合は、 DLP profileを追加することもできます。

6. Policy Nameを入力し、 GroupをHeader Policies 、 Default 、またはFooter Policiesのいずれかに設定してください。

7. StatusをEnabledに設定します。

リアルタイム保護ポリシーを作成する：FTPに対する脅威対策

FTPに対する脅威対策ポリシーを作成できます。詳細については、 「脅威防御プロファイル」および「修復プロファイル」を参照してください。

サポートされているトラフィックと機能

• パッシブFTPのみ（クライアントからサーバーへのデータ接続）
• TSSプロファイルとアクティビティ（アップロード／ダウンロード）を含むRTPルール
• TSSプロファイルのアクション（重要度レベル別）：許可、ブロック、警告、および修復
• RTPルールにおけるサービスオブジェクト、宛先プロファイル、アクティビティ、ファイルサイズ、ファイルタイプ、およびTSSプロファイルの組み合わせ
• 最大400MBまでのファイルに対するTSS
  • 16MBを超える大容量ファイルの場合、データ転送が徐々に行われます。
• フォールバックアクション、最大ファイルサイズ、クライアントタイムアウト
• トラフィックアクションアラート/ブロック/許可ケースプロファイルが一致しません
• アクセス方法：IPsec、GRE、NSClient
• フローのネットワーク イベントと TSS ポリシーの適用
• TSSアラートとインシデント

脅威防御ポリシーを作成するには：

1. Policies > Real-time Protectionに移動し、次にNew Policy > Threat Protectionをクリックします。
2. SourceをSelect 。 テキスト ボックスをクリックして、送信元 IP ユーザーまたはユーザー ID (電子メール アドレス) を選択します。 システムは
   お客様が選択したポリシーテンプレートに基づいて、最も適切な基準を表示します。送信元IPアドレスはデフォルトでMatchesに設定されています。これは、ポリシーエンジンが基準に照らし合わせて照合を行うことを意味します。「ソース」欄は空欄のままで構いません。空白のままにした場合、送信元IPアドレスはAnyに設定されていることを意味します。ユーザーIDはシステムに既に存在しているか、新しいユーザーを追加してください。ユーザーの追加を参照してください。アプリファイアウォールはユーザーID（ アドレス）と対応するユーザーIPアドレスを学習し、このマッピングをキャッシュします。 システムがこのユーザーIPからのトラフィックを検出すると、 このマッピングを実行して関連付けられたユーザーを見つけます。 このユーザー ID は追加のポリシー属性です (IP アドレス、ポート、プロトコルなどの他のファイアウォール属性とともに使用します)。
3. DestinationをApplicationをFTPに設定します。
4. ここから、 ActivitiesをUploadおよび/またはDownloadに設定できます。また、 File SizeやFile TypeなどのActivity Constraintsを追加することもできます。
5. Profile & Actionセクションで、脅威対策プロファイルを選択します。Netskopeは、組織のライセンスに基づいてすべての脅威防御エンジンを自動的にスキャンするため、 Default Malware Scan (predefined)を選択することを推奨します。
6. 各重症度レベルについてActionをSelect 。 各重症度レベルに対する推奨される行動はBlockです。これにより、ユーザーにとって最高の保護が保証されます。各深刻度レベルに対応する修復プロファイルを適用するには、ドロップダウンリストから修復プロファイルを選択してください。
7. オプションとして、 File Type制約を選択し、深刻度レベルに対してBlockアクションを選択した場合、 Block till benign verdict by dynamic threat analysisオプション（ This feature requires the Advanced Firewall license. For more information, please contact your account executive or support@netskope.com ）が表示されます。Netskope動的脅威分析で問題なしと判断されるまで、ユーザーがファイルをアップロードまたはダウンロードできないようにするには、このオプションSelect 。 分析には最大10分かかる場合があります。
9. Policy Nameを入力し、 GroupをHeader Policies 、 Default 、またはFooter Policiesのいずれかに設定してください。
10. StatusをEnabledに設定します。

リアルタイム保護ポリシーの作成：送信元IPアドレス（送信元）

サポートされているトラフィックと機能

• DNSポリシーのみ
• DNSプロファイルのアクション：許可、ブロック、シンクホール
• RTPルールにおけるユーザー、送信元IP、送信元IP（送信元）、およびDNSプロファイルの組み合わせ
• DNSプロファイルに一致するものが何もない場合、トラフィックアクションが許可されます。
• アクセス方法：IPsec、GRE、NSClient、Direct
• フローと送信元IP（Egress）ポリシーの適用に関するネットワークイベント
• DNSイベントとアラート

Source IP (Egress)ポリシーを作成するには：

1. Policies > Real-time Protectionに移動し、次にNew Policy > DNSをクリックします。

2. SourceをSelect 。 テキスト ボックスをクリックして、 Source IP (Egress)ユーザーまたはユーザー ID (電子メール アドレス) を選択します。 システムは、お客様が選択したポリシーテンプレートに基づいて、最も適切な基準を表示します。

   • Source IP (Egress) デフォルトではAny に設定されています。これはデフォルトではすべてのIPアドレスに一致します。特定のIPアドレスと照合するには、ドロップダウンメニューからNetwork Location Objectを選択してください。Network Location Objectは事前に作成しておく必要があります。DNSaaSの場合、 Network LocationはDNS Resolver Settingsページのホワイトリスト登録済みIPアドレスである必要があります。
   • ユーザーIDは既にシステムに存在しているか、新しいユーザーを追加してください。ユーザーの追加を参照してください。アプリファイアウォールはユーザーID（ アドレス）と対応するユーザーIPアドレスを学習し、このマッピングをキャッシュします。 システムはこのユーザーIPからのトラフィックを検出すると、 このマッピングを実行して関連付けられたユーザーを見つけます。 このユーザー ID は追加のポリシー属性です (IP アドレス、ポート、プロトコルなどの他のファイアウォール属性とともに使用します)。
   • Source IP デフォルトではAny に設定されています。これは、ポリシーエンジンがすべてのIPアドレスに対して照合を行うことを意味します。送信元IPアドレス欄は空白のままで構いません。空白のままにした場合、送信元IPアドレスはAnyに設定されていることを意味します。送信元IPアドレスがAny以外または空白の場合、このポリシーはDNSaaS（直接パス）では機能しませんが、IPSec、GRE、およびNSClientでは引き続き機能します。

3. DestinationをDNSに設定します。

4. Profile & Actionセクションで、DNS プロファイルを選択します。

5. 各重症度レベルについてActionをSelect 。 DNSプロファイルは、DNSプロファイル内で利用可能なさまざまなアクションに基づいて、実行するアクションをガイドするため、アクションをデフォルトに設定します。

6. Policy Nameを入力し、 GroupをHeader Policies 、 Default 、またはFooter Policiesのいずれかに設定してください。

7. StatusをEnabledに設定します。

一致後、アラートを発して次のポリシーグループに進みます

R129 から、ウェブおよび電子メール ポリシー グループ 今は次のポリシー グループへの継続をサポートします。 ポリシーを構成すると、ポリシー グループ内の最後のルールが特定の DLP プロファイルの一般ブロック ポリシーとなり、グループ内の先行ルールが例外ルールになり、一致した場合にアラートが生成され、ポリシーの評価が次のポリシー グループの最初のポリシー ルールで続行されます。

この機能が有効になっている場合、 Profile & Actionの下のPolicy作成画面に 2 つのオプションが表示されます。これらのオプションは排他的であり、一度に選択できるのは1つだけです。

• 試合後に方針評価を継続する
• 一致後、次のポリシーグループに進みます。

これはAlertアクションにのみ適用されます。

フローおよび DLP ポリシー適用のネットワーク イベント

以下のケースでは、イベント／アラートが生成されます。

1：一致したルールにはDLPプロファイルがあります。
ネットワークイベントが発生すると、 Network Eventsページに表示されますが、DLP 自体がアラート、アプリケーションイベント、インシデントを別々に送信するため、webui にはネットワークイベントの dlp_profile セクションは表示されません。また、DLP から送信されるアラートのタイプとして「nspolicy」が表示されます。

これにより以下が生成されます。

1. ネットワークイベント
2. 警告
3. アプリケーションイベント
4. 事件

2：一致したルールにはDLPプロファイルがなく、アクションはアラートに設定されています。
これはAlerts ページに表示されます。

3：一致したルールにはDLPプロファイルがなく、アクションは「許可」に設定されています。
これはNetwork Eventsページに表示されます。

4：一致したルールにはDLPプロファイルがなく、アクションはブロックに設定されています。
これはAlerts ページに表示されます。