リアルタイム保護ポリシー
Netskopeプロキシは、それぞれポート80と443宛てのHTTPおよびHTTPSトラフィックを受け入れますが、プロキシの拡張機能により、HTTPおよびHTTPSトラフィックの非標準ポートも処理できるようになりました。
ヒント
UI のオプションで、他にも利用可能なオプションが表示される場合があります。 これらはクラウド ファイアウォール ポリシーと組み合わせて使用できますが、必須ではありません。
この機能により、送信元および宛先のIPアドレス、ポート、プロトコルに基づいて、許可／ブロックのセキュリティポリシーを設定できます。
このタイプの送信ファイアウォールにより、管理者は以下のことが可能になります。
- コマンド＆コントロール型のマルウェアによるネットワークからのデータ流出を防止します。
- 不要なインターネットサービスをブロックします 法的規則および/またはコンプライアンス規則により、すべてのユーザーまたは特定のユーザーによる利用をブロックします
- ネットワーク上のすべてのイベントをログに記録することで、ネットワーク上の許可されたアクティビティと許可されていないアクティビティの両方を把握できるようにします。
- これにより、すべてのポートとプロトコルに対応した高速かつ安全なローカルインターネットブレイクアウトが可能になり、アップグレードや展開の手間は一切不要で、すべて一元管理されます。 物理的な場所に縛られる必要はありません。 代わりに、ポリシーはユーザーフォロー型モデルを遵守し、ユーザーがどのデバイスを使用しているか、どこから接続しているかに関係なく、同一の保護を提供します。 これらは 柔軟性があり、 Netskopeより厳格な ユーザーが社外にいる場合や、危険な国などの別の場所にいる場合など、必要に応じてより厳格な設定を有効にできるため便利です。
始めるには、 Policies > Real-time Protectionにアクセスしてください。
このページには以下が表示されます。
- 各ポリシーの名前。
- ポリシーのソース（トラフィック基準）。
- ポリシーが監視する各アプリの宛先。
- 各ポリシーに適用される現在のアクション。
- 過去30日間にポリシーによって生成されたアラートの数。
- デフォルトの動作は、ポリシーページの最下部に記載されています。このページから非ウェブトラフィックを編集できます。鉛筆アイコンをクリックしてアクションを変更してください。
各ポリシーの詳細については、ポリシー名をクリックしてください。
ポリシーの詳細には、以下の情報が記載されています。
- 交通基準：交通基準は「出発地」と「目的地」に分類されます。Netskopeは、「宛先」として選択されたアプリケーションに基づいて、最も適切な基準を表示します。
- プロファイルとアクション：トラフィックの基準とプロファイルの両方が一致した場合にアクションが実行されます。
- ポリシーの「宛先」列に「ファイアウォール アプリケーション定義」が含まれている場合、それはファイアウォール ポリシーです。通常、ファイアウォールアプリの定義は「[ ]」で囲まれます。さらに、「宛先」列に「すべてのトラフィック」と表示されている場合も、ファイアウォールポリシーとみなされます。
ファイアウォールポリシーの順序
ポリシー階層
Netskopeのポリシーエンジンは階層構造になっており、上から下へ、最初に一致したルールを適用する方式を採用しています。
これは、分析対象のトラフィックが階層内で上位のポリシーと一致するとすぐに、 Netskopeポリシー エンジンがそのポリシーを強制し、そのポリシーに対応するアクションを適用することを意味します。 階層構造の下位にある他のポリシーは評価されません。
ポリシーマッチング
次世代ファイアウォール、あるいはより単純に言えばレイヤー7ファイアウォールでは、ファイアウォールがトラフィックを識別し、階層的な順序でポリシーを適用するためのさまざまな方法が存在します。Netskope Cloud Firewallも同様です。
ファイアウォールアプリケーションには2種類あります。
-
レイヤー3/4（略してL3/4）：これらのファイアウォールアプリケーションは、現在カスタムファイアウォールアプリケーションとして知られ、管理されていますが、将来的にはサービスとして知られ、管理される予定です。これらはL3/4プロトコルとポートによって定義されます（L3はICMPで、L3プロトコルはポートを扱わないためポートはありません。L4はTCPまたはUDPで、それぞれ対応するポートがあります）。現在、カスタムファイアウォールアプリケーションは宛先（IP、IP範囲、CIDR、FQDN、ワイルドカードドメイン）によって定義されていますが、将来的にはサービスと宛先は独立したプロファイルとなり、 独立した基準として 構成内で使用できます。
FQDNとワイルドカードドメインの宛先は、 NSClientでのみ評価できます。FQDNをIPアドレスにマッピングするためにDNS解決を監視する必要があるためです。 アプリケーションが接続します。 FQDNまたはワイルドカードドメインで定義されたカスタムファイアウォールアプリケーションは、トラフィックがトンネル（IPSec/GRE）から来ている場合は一致しません。 -
レイヤー7（略してL7）：これらのファイアウォールアプリケーションはISO/OSIの最後のレイヤーに位置し、HTTP、SSL、SSH、RDPなどのアプリケーション固有のサービスであり、L4トランスポート方式（UDP/TCP）に依存しています。レイヤ7アプリケーションを識別するには、ディープパケットインスペクションエンジン（略してDPI）と呼ばれるものが必要です。なぜなら、レイヤ3パケットやレイヤ4データグラムのヘッダー情報だけでは識別できないからです。要するに、検査エンジンは データグラムのペイロードを検査して、その中にカプセル化されている上位レベルのアプリケーションを理解する必要があります。 このプロセスでは、複数のパケットを検査する必要があり、場合によっては要求と応答の両方を調べる必要があります。これは、最初の要求のL3パケットのヘッダーとL4セグメントのヘッダーだけを調べるL3/4アプリケーション識別とは異なります。
CFWを作成する際 L3/4アプリケーションとL7アプリケーションの両方を選択できますが、両者の性質、それらを識別するために必要なエンジン、そして 階層構造のため、 エンジンが特定のトラフィックをアプリケーション、ひいては に関連付けることができるタイミングに影響があります。
ポリシーマッチングの結果を以下のようにまとめます。
- すべての場合において、トラフィックに一致する階層内の最初の が一致し、それに応じたアクションが実行されます
- L3/4ファイアウォールアプリケーション用に定義されたポリシーは、最初のパケット（TCP SYNまたは最初のUDPパケット）で一致します。ただし、それらのポリシーが、L7アプリケーションを含む他のポリシー（同じポリシー内であっても）よりも階層的に上位にある場合に限ります。
- L7ファイアウォールアプリケーション用に定義されたポリシー、または階層構造において他のL7ファイアウォールアプリケーション用に定義されたポリシー（または同じポリシー内で定義されたポリシー）よりも下位に配置されたL3/4アプリケーション用のポリシーは、トラフィックのディープパケットインスペクションを必要とするため、最初のパケットでブロックすることはできません。
- 上記のロジックに従ってディープパケットインスペクションが必要な場合、DPIエンジンはアプリケーションを識別するために一定数のパケットを取得します。DPIエンジンがL7アプリケーションを識別するために、または諦める前に取得するパケットは、クラウドファイアウォールを通過するため、常に許可されます。
- DPIエンジンが6パケット（TCPとハンドシェイクを含む）でアプリケーションを識別できない場合、L7アプリケーションのマッチングは行われず、トラフィックは任意のL3/4によって処理されます。 トラフィックに一致するか、デフォルトに到達します。 そして、関連するアクションが実行されます。
- DPIエンジンがL7アプリケーションを識別する前、または6パケット（TCPとハンドシェイクを含む）が送信される前にトラフィックが停止した場合、ポリシーに一致するものが見つからないため、ログにはこれらのパケットが「許可」され、「ポリシーなし」にヒットしたと表示されます。
- 上記のどちらのケースでも、トラフィックがL3/4ファイアウォールアプリケーションに一致した場合（定義されているかどうかに関わらず）、ログにはL3/4ファイアウォールアプリケーションの名前が表示され、一致しない場合は空白（“”）のアプリケーションが表示されます。
- 場合によっては (SSL を使用する非ウェブ プロトコルなど)、DPI エンジンは検査を実行する際に SSL を「部分プロトコル」として識別します。 DPIが実際のL7ファイアウォールアプリケーションを識別する前にトラフィックフローが終了した場合、またはDPIが6パケット（TCPとハンドシェイクを含む）で実際のL7ファイアウォールアプリケーションを識別できない場合、明確なL7ファイアウォールアプリケーションは 一致しませんが、トラフィックに一致するL3/4アプリケーションがない場合、ログには部分的に識別されたL7アプリケーションが表示され、「デフォルト 」が適用されます
- DPIエンジンがトラフィックフローが終了する前、かつ6パケット（TCPとハンドシェイクを含む）が経過する前にL7アプリケーションを識別した場合、識別された一致するL7ファイアウォールアプリケーションに対して定義された階層内の最初のポリシーが一致し、関連するアクションが実行されます。
ファイアウォールポリシーは、以下の画像に示すルールIDの順序に基づいて適用されます。ファイアウォール以外のポリシーは、ファイアウォールのトラフィックには影響しません。番号付けの順序はポリシーのタイプに関係ありません。 ファイアウォールトラフィックに関しては、ファイアウォールポリシーのみが考慮され、ファイアウォールポリシー以外のポリシーである中間の数値はシステムによってスキップされます。
重要
カスタムファイアウォールアプリケーションのファイアウォールポリシーは、トラフィック検査時の最初のパケットに適用されます。このような挙動のため、Netskopeはファイアウォールポリシーを以下の順序で設定することを推奨します。
- サービスオブジェクトおよび宛先プロファイルポリシー
- ファイアウォールアプリポリシーまたはハイブリッド（ファイアウォールとクラウド）アプリポリシー
- クラウドアプリのポリシー
ポリシー編集のための追加メニューオプション
ポリシー名の右端にある3つの点をクリックすると、ポリシーを編集できます。ポリシーの編集、アラートの表示、ポリシーの移動、無効化、複製、削除が可能なメニューが開きます。
ポリシーを探しています
検索ボックスに名前を入力することで、特定の を検索できます。 検索テキストによく一致するポリシーがポリシー リストでフィルタリングされます。 オプションで、「一致したポリシーのみを表示」チェックボックスを選択すると、ポリシーリストをさらにフィルタリングして、検索テキストに正確に一致するポリシーのみを表示できます。
[リアルタイム保護ポリシー] ページでは、検索フィルターを使用して、特定のユーザー、アプリ、Web サイト、およびファイアウォールのポリシーを見つけることもできます。
 |
検索フィルターを使用するには、フィルターアイコンをクリックして、これらのフィルターを1つ以上適用してください。
- ユーザー：特定のユーザーを検出するポリシーを検索します。
- アクション：ブロックや暗号化など、特定のアクションを実行するポリシーを検索します。
- ネットワークロケーション：特定のネットワークロケーションまたは複数のネットワークロケーションを検索して絞り込むことができます。
- アプリケーション：特定のアプリケーションで検索および絞り込みができます。
リアルタイム保護ポリシーのリストページはデフォルトで25行を表示します。表示を変更するには、ページ右下にあるオプションを選択してください（オプションには、25、50、100、150があります）。
リストページは、デフォルト表示またはカスタム表示のテーブルビューで表示できます。カスタムテーブルビューでは、列をカスタマイズしたり、デフォルトのビューに戻したりできます。「列のカスタマイズ」ウィンドウにアクセスするには、カスタムテーブルビューでテーブルの右上隅にある歯車アイコンをクリックします。
サービスおよび目的地プロファイル
RTPとBWCでは、サービスオブジェクトと宛先プロファイルがサポートされています。カスタムファイアウォールアプリは依然として 例外処理において。
L3/L4 アクティビティを使用して作成された場合、CFW によって評価されません。
サービスと宛先プロファイルは、リアルタイム保護ポリシーの作成時に選択できます。
例として、以下のポリシーを考えてみましょう。
このFTPアプリケーションは、 Service Profileで定義されたポートからDestination Profileで定義されたIPアドレスへの接続のみがブロックされます。トラフィックがブロックされた場合、SkopeITでアラートが発報されます。
ActionがAllowに設定されている場合、この FTP アプリケーションは、 Service Profileで定義されたポートを介してDestination Profileで定義された IP アドレスへのトラフィックのみを許可します。
リアルタイム保護ポリシーを作成する：ファイアウォール
デフォルトでは、このフィールドはBlockに設定されています。これは
どのポリシーに
一致しないトラフィックはブロックされることを意味します。「非標準ポート上のHTTPトラフィックを識別する」 は 既存のカスタムポート構成とは互換性がありません。
例えば、テナントがカスタムポート構成機能 + カスタムポート構成 + HTTP-AD 有効 + block-http-non-standard-port 有効で構成されている場合でも、
トラフィックはブロックされません。これはHTTP1.1プロトコルとHTTP2プロトコルの両方に当てはまります。
ポリシーは一連の変数を使って定義されます。 これらの変数は、ポリシー違反を検出するための基準を定義するものです。
リアルタイム保護ポリシーを作成するには：
重要
まずDestinationフィールドを設定し、次にSourceフィールドを設定する必要があります。これは必須です。なぜなら、宛先より先にソースを選択すると、ソースが削除/リセットされてしまうからです。
宛先アプリとしてファイアウォールアプリ（事前定義済みまたはカスタム）が選択されている場合、Cloud Firewall はこのオプションをサポートしていないため、「送信元 > ユーザー=」ドロップダウンリストに「除外=」オプションは表示されません。
- リアルタイム保護ポリシーのページで、 New Policy > Firewallをクリックします。新しいポリシーを作成する際は、あなたの目標に最も近いテンプレートを選択してください。どちらの選択肢を選んだとしても、ポリシー作成ワークフローを進めながら編集することができます。テンプレートを選択すると、効率化のために一部の項目が自動入力されます。以下に示すように他のオプションが表示される場合もありますが、このワークフローに適用されるのはファイアウォールのみです。
- Destinationの場合は、 ApplicationまたはAny Trafficを選択してください。ファイアウォールポリシーの設定には、これらのオプションのみが適用されます。これらのオプションを使用すると、特定のアプリケーションに対してのみ適用されるポリシーを作成したり、アプリケーションのカテゴリ全体またはトラフィックの種類全体に対して適用される汎用的なポリシーを作成したりできます。
Applicationオプションを使用すると、クラウド アプリケーションだけでなく、DPI ベースまたはカスタムのファイアウォール アプリケーションもポリシーの対象として選択できます。DPI対応アプリケーションはデフォルトで利用可能です。ファイアウォールアプリケーションを選択するには、まずそれらをカスタムアプリケーションとして定義する必要があります。
カスタムアプリケーションの作成方法については、 「アプリケーション定義」を参照してください。
利用可能なアプリケーションの詳細については、以下をご覧ください。
Any Trafficオプションを指定すると、ファイアウォールはあらゆるトラフィックを許可またはブロックします（送信元のみが適用され、宛先は無視されます）。
- SourceをSelect 。 テキスト ボックスをクリックして、送信元 IP ユーザーまたはユーザー ID (電子メール アドレス) を選択します。 システムは、お客様が選択したポリシーテンプレートに基づいて、最も適切な基準を表示します。
送信元IPアドレスは、デフォルトで「一致」に設定されています。これは、ポリシーエンジンが基準に照らし合わせて照合を行うことを意味します。「ソース」欄は空欄のままで構いません。空白のままにした場合、送信元IPアドレスは「任意」に設定されていることを意味します。
ユーザーIDはシステム上にすでに存在しているか、新しいユーザーを追加する必要があります。ヘルプについては、 「ユーザーの追加」トピックを参照してください。アプリのファイアウォールはユーザーID(電子メールアドレス)と対応するユーザーIPアドレスを取得し、このマッピングをキャッシュします。 システムがこのユーザーIPからのトラフィックを認識すると、このマッピングを使うし、関連するユーザーを特定します。 このユーザーIDは追加のポリシー属性(使うとIPアドレス、ポート、プロトコルなどのファイアウォール属性も含む)です。
- ActionからAllowまたはBlockをSelect 。 ファイアウォールポリシーに関しては、適用されるオプションは以下の2つのみです。
- 名前とポリシーデスクリプションを入力します。
重要
ポリシー名を作成するときは、英数字と、「_」アンダースコア、「-」ダッシュ、「[ または ]」角括弧などの記号のみを使用してください。 ポリシー名に「>」より大きい記号や「<」より小さい記号を使用することはできません。
- 右上隅のSaveをクリックして、新しいポリシーを保存してください。すべてのポリシーは上から下の順序で処理されます。つまり、ポリシー テーブルの一番上にあるポリシーが最初に処理され、次に順序が続きます。
保存されたポリシーがポリシー リスト ページに表示されるはずです。
行をハイライトしてカーソルを移動することで、ポリシー名をドラッグアンドドロップできます。
アイコンをクリックし、リストページ内の目的の場所に線をドラッグ＆ドロップします。重要
GREトンネル経由でNPAゲートウェイに接続する支店内のNetskope Private Access（NPA）クライアントをサポートするには、管理者はWebUIでアカウントのSSL復号バイパスルールを*.goskope.comとして構成する必要があります。
設定設定ページにアクセスするには、 SSL 復号>ポリシーからアクセスできます。アカウントに使う NPA がなければ、何の対応も必要ありません。
リアルタイム保護ポリシーを作成する：DNS
DNSベースのセキュリティは、悪意のあるドメイン、DNSトンネル、新規登録ドメイン、およびDGA生成ドメインに対するDNSリクエストをブロックすることにより、DNSレイヤーでの攻撃を阻止します。ドメインの許可リストやブロックリストをアップロードしたり、悪意のある接続をシンクホールしたりすることで、検査をカスタマイズできます。リソースレコードの種類を処理するための例外を作成することもできます。
DNSベースのセキュリティは、IPSec、GRE、またはNetskope Clientのトラフィック制御方式で利用可能です。ただし、IPv6 DNSトラフィックはサポートされていません。
DNSプロファイルを作成したら、それをDNSタイプのリアルタイム保護ポリシーに追加する必要があります。
DNS ポリシーを作成するには:
- Policies > Real-time Protectionに移動してから、 New Policy > DNSをクリックしてください。
- SourceをSelect 。 テキスト ボックスをクリックして、送信元 IP ユーザーまたはユーザー ID (電子メール アドレス) を選択します。 システムは、選択したポリシーテンプレートに基づいて、最も適切な基準を表示します。
送信元IPアドレスはデフォルトでMatchesに設定されています。これは、ポリシーエンジンが基準に照らし合わせて照合を行うことを意味します。「ソース」欄は空欄のままで構いません。空白のままにした場合、送信元IPアドレスはAnyに設定されていることを意味します。
ユーザーIDは既にシステムに存在しているか、新しいユーザーを追加してください。ユーザーの追加を参照してください。アプリファイアウォールはユーザーID（ アドレス）と対応するユーザーIPアドレスを学習し、このマッピングをキャッシュします。 システムはこのユーザーIPからのトラフィックを検出すると、 このマッピングを実行して関連付けられたユーザーを見つけます。 このユーザー ID は追加のポリシー属性です (IP アドレス、ポート、プロトコルなどの他のファイアウォール属性とともに使用します)。
- デフォルトではDestinationはDNSになります。DNS設定にはこのオプションのみが適用されます 。
- Profile & Actionには、 DNS プロファイルを選択してください。ポリシーごとに選択できるDNSプロファイルは1つだけです。利用可能なActionはDefaultです。なぜなら、アクションはDNSプロファイルで設定されているからです。
- ポリシーの名前とデスクリプションを追加します。
注記
ポリシー名を作成するときは、英数字と、アンダースコア (_)、ダッシュ (-)、角括弧 ([ ]) などの記号のみを使用します。 ポリシー名に大なり (>) および小なり (<) 記号を使用することはできません。
- Statusの場合、ポリシーを有効または無効にします。
- ポリシーを保存するには、右上隅のSaveクリックしてください。
ポリシーを保存すると、ポリシー リスト ページに表示されます。
リアルタイム保護ポリシーを作成する：DLP
DLPは現在、FTPアプリケーションをサポートしています。 DLPに関する詳細については、 「データ損失防止」を参照してください。
サポートされているトラフィックと機能
- パッシブFTPのみ（クライアントからサーバーへのデータ接続）
- RTPルールとDLPプロファイルおよびアクティビティ（アップロード/ダウンロード）
- アクティビティのみを対象としたRTPルール（DLPプロファイルなし）
- 最大 128MB のファイルの DLP、非ウェブ プロキシの場合は 16MB
- DLPプロファイルアクション：許可、ブロック、警告
- フォールバックアクション、最大ファイルサイズ、クライアントタイムアウト
- アクセス方法：IPsec、GRE、NSClient
- フローおよび DLP ポリシーの適用のためのネットワーク イベント
- DLPアラート
DLP ポリシーを作成するには:
-
Policies > Real-time Protectionに移動してから、 New Policy > DLPをクリックしてください。（ Firewallも選択可能）
-
SourceをSelect 。 テキスト ボックスをクリックして、送信元 IP ユーザーまたはユーザー ID (電子メール アドレス) を選択します。 システムは、選択したポリシーテンプレートに基づいて、最も適切な基準を表示します。
送信元IPアドレスはデフォルトでMatchesに設定されています。つまり、ポリシーエンジンは基準にマッチするということです。 「ソース」欄は空欄のままで構いません。空白のままにした場合、送信元IPアドレスはAnyに設定されていることを意味します。ユーザーIDはシステムに既に存在しているか、新しいユーザーを追加してください。ユーザーの追加を参照してください。アプリファイアウォールはユーザーID（ アドレス）と対応するユーザーIPアドレスを学習し、このマッピングをキャッシュします。 システムはこのユーザーIPからのトラフィックを検出すると、 このマッピングを実行して関連付けられたユーザーを見つけます。 このユーザー ID は追加のポリシー属性です (IP アドレス、ポート、プロトコルなどの他のファイアウォール属性とともに使用します)。
-
DestinationをApplicationをFTPに設定します。
-
ここから、 ActivitiesをUploadおよび/またはDownloadに設定できます。
File SizeやFile TypeのようにActivity Constraintsを追加することもできます。
-
Profile & Action 、 Allow 、 Alert 、 Blockは、 Firewall Templateで設定可能な設定です。
ユーザーが複数のアプリケーションを組み合わせて選択し、 DLP を したい場合、選択は次の画像のようになります。
-
Policy Nameを入力し、 GroupをHeader Policies 、 Default 、またはFooter Policiesのいずれかに設定してください。
-
StatusをEnabledに設定します。
リアルタイム保護ポリシーの作成：アクティビティとファイルに関する制約
FTP アプリケーションに対して RTP ポリシーを作成できます。
FTP ポリシーを作成するには:
-
Policies > Real-time Protectionに移動し、次にNew Policy > Cloud App Accessをクリックします。
-
Source下で、 Add Criteriaボタンから適切な基準を選択してください。
-
DestinationをApplicationをFTPに設定します。
-
ここから、 ActivitiesをUploadおよび/またはDownloadに設定できます。また、 File Name 、 File Size 、 File TypeなどのActivity Constraintsを追加することもできます。さらに、ファイルが次の制約をMatchまたはNot Matchするかどうかも決定できます。
File Names またはExtensions CSVファイルからインポートするか、手動で入力できます。
File Types 既存のファイルタイプのリストから選択できます。
File Size 単位仕様はB 、 KB 、 MB 、またはGBのいずれかである必要があります。
-
Profile & Actionの下で、 Alert, Allow, or Block.から選択します。有効になっている場合は、 DLP profileを追加することもできます。
-
Policy Nameを入力し、 GroupをHeader Policies 、 Default 、またはFooter Policiesのいずれかに設定してください。
-
StatusをEnabledに設定します。
リアルタイム保護ポリシーを作成する：FTPに対する脅威対策
FTPに対する脅威対策ポリシーを作成できます。詳細については、 「脅威防御プロファイル」および「修復プロファイル」を参照してください。
サポートされているトラフィックと機能
- パッシブFTPのみ（クライアントからサーバーへのデータ接続）
- TSSプロファイルとアクティビティ（アップロード／ダウンロード）を含むRTPルール
- TSSプロファイルのアクション（重要度レベル別）：許可、ブロック、警告、および修復
- RTPルールにおけるサービスオブジェクト、宛先プロファイル、アクティビティ、ファイルサイズ、ファイルタイプ、およびTSSプロファイルの組み合わせ
- 最大400MBまでのファイルに対するTSS
- 16MBを超える大容量ファイルの場合、データ転送が徐々に行われます。
- フォールバックアクション、最大ファイルサイズ、クライアントタイムアウト
- トラフィックアクションアラート/ブロック/許可ケースプロファイルが一致しません
- アクセス方法：IPsec、GRE、NSClient
- フローのネットワーク イベントと TSS ポリシーの適用
- TSSアラートとインシデント
脅威防御ポリシーを作成するには：
- Policies > Real-time Protectionに移動し、次にNew Policy > Threat Protectionをクリックします。
- SourceをSelect 。 テキスト ボックスをクリックして、送信元 IP ユーザーまたはユーザー ID (電子メール アドレス) を選択します。 システムは
お客様が選択したポリシーテンプレートに基づいて、最も適切な基準を表示します。送信元IPアドレスはデフォルトでMatchesに設定されています。これは、ポリシーエンジンが基準に照らし合わせて照合を行うことを意味します。「ソース」欄は空欄のままで構いません。空白のままにした場合、送信元IPアドレスはAnyに設定されていることを意味します。ユーザーIDはシステムに既に存在しているか、新しいユーザーを追加してください。ユーザーの追加を参照してください。アプリファイアウォールはユーザーID（ アドレス）と対応するユーザーIPアドレスを学習し、このマッピングをキャッシュします。 システムがこのユーザーIPからのトラフィックを検出すると、 このマッピングを実行して関連付けられたユーザーを見つけます。 このユーザー ID は追加のポリシー属性です (IP アドレス、ポート、プロトコルなどの他のファイアウォール属性とともに使用します)。 - DestinationをApplicationをFTPに設定します。
- ここから、 ActivitiesをUploadおよび/またはDownloadに設定できます。また、 File SizeやFile TypeなどのActivity Constraintsを追加することもできます。
- Profile & Actionセクションで、脅威対策プロファイルを選択します。Netskopeは、組織のライセンスに基づいてすべての脅威防御エンジンを自動的にスキャンするため、 Default Malware Scan (predefined)を選択することを推奨します。
- 各重症度レベルについてActionをSelect 。 各重症度レベルに対する推奨される行動はBlockです。これにより、ユーザーにとって最高の保護が保証されます。各深刻度レベルに対応する修復プロファイルを適用するには、ドロップダウンリストから修復プロファイルを選択してください。
- オプションとして、 File Type制約を選択し、深刻度レベルに対してBlockアクションを選択した場合、 Block till benign verdict by dynamic threat analysisオプション（ This feature requires the Advanced Firewall license. For more information, please contact your account executive or support@netskope.com ）が表示されます。Netskope動的脅威分析で問題なしと判断されるまで、ユーザーがファイルをアップロードまたはダウンロードできないようにするには、このオプションSelect 。 分析には最大10分かかる場合があります。
- Policy Nameを入力し、 GroupをHeader Policies 、 Default 、またはFooter Policiesのいずれかに設定してください。
- StatusをEnabledに設定します。
リアルタイム保護ポリシーの作成：送信元IPアドレス（送信元）
サポートされているトラフィックと機能
- DNSポリシーのみ
- DNSプロファイルのアクション：許可、ブロック、シンクホール
- RTPルールにおけるユーザー、送信元IP、送信元IP（送信元）、およびDNSプロファイルの組み合わせ
- DNSプロファイルに一致するものが何もない場合、トラフィックアクションが許可されます。
- アクセス方法：IPsec、GRE、NSClient、Direct
- フローと送信元IP（Egress）ポリシーの適用に関するネットワークイベント
- DNSイベントとアラート
Source IP (Egress)ポリシーを作成するには：
-
Policies > Real-time Protectionに移動し、次にNew Policy > DNSをクリックします。
-
SourceをSelect 。 テキスト ボックスをクリックして、 Source IP (Egress)ユーザーまたはユーザー ID (電子メール アドレス) を選択します。 システムは、お客様が選択したポリシーテンプレートに基づいて、最も適切な基準を表示します。
- Source IP (Egress) デフォルトではAny に設定されています。これはデフォルトではすべてのIPアドレスに一致します。特定のIPアドレスと照合するには、ドロップダウンメニューからNetwork Location Objectを選択してください。Network Location Objectは事前に作成しておく必要があります。DNSaaSの場合、 Network LocationはDNS Resolver Settingsページのホワイトリスト登録済みIPアドレスである必要があります。
- ユーザーIDは既にシステムに存在しているか、新しいユーザーを追加してください。ユーザーの追加を参照してください。アプリファイアウォールはユーザーID（ アドレス）と対応するユーザーIPアドレスを学習し、このマッピングをキャッシュします。 システムはこのユーザーIPからのトラフィックを検出すると、 このマッピングを実行して関連付けられたユーザーを見つけます。 このユーザー ID は追加のポリシー属性です (IP アドレス、ポート、プロトコルなどの他のファイアウォール属性とともに使用します)。
- Source IP デフォルトではAny に設定されています。これは、ポリシーエンジンがすべてのIPアドレスに対して照合を行うことを意味します。送信元IPアドレス欄は空白のままで構いません。空白のままにした場合、送信元IPアドレスはAnyに設定されていることを意味します。送信元IPアドレスがAny以外または空白の場合、このポリシーはDNSaaS（直接パス）では機能しませんが、IPSec、GRE、およびNSClientでは引き続き機能します。
-
DestinationをDNSに設定します。
-
Profile & Actionセクションで、DNS プロファイルを選択します。
-
各重症度レベルについてActionをSelect 。 DNSプロファイルは、DNSプロファイル内で利用可能なさまざまなアクションに基づいて、実行するアクションをガイドするため、アクションをデフォルトに設定します。
-
Policy Nameを入力し、 GroupをHeader Policies 、 Default 、またはFooter Policiesのいずれかに設定してください。
-
StatusをEnabledに設定します。
一致後、アラートを発して次のポリシーグループに進みます
R129 から、ウェブおよび電子メール ポリシー グループ 今は次のポリシー グループへの継続をサポートします。 ポリシーを構成すると、ポリシー グループ内の最後のルールが特定の DLP プロファイルの一般ブロック ポリシーとなり、グループ内の先行ルールが例外ルールになり、一致した場合にアラートが生成され、ポリシーの評価が次のポリシー グループの最初のポリシー ルールで続行されます。
この機能が有効になっている場合、 Profile & Actionの下のPolicy作成画面に 2 つのオプションが表示されます。これらのオプションは排他的であり、一度に選択できるのは1つだけです。
- 試合後に方針評価を継続する
- 一致後、次のポリシーグループに進みます。
これはAlertアクションにのみ適用されます。
フローおよび DLP ポリシー適用のネットワーク イベント
以下のケースでは、イベント／アラートが生成されます。
1：一致したルールにはDLPプロファイルがあります。
ネットワークイベントが発生すると、 Network Eventsページに表示されますが、DLP 自体がアラート、アプリケーションイベント、インシデントを別々に送信するため、webui にはネットワークイベントの dlp_profile セクションは表示されません。また、DLP から送信されるアラートのタイプとして「nspolicy」が表示されます。
これにより以下が生成されます。
- ネットワークイベント
- 警告
- アプリケーションイベント
- 事件
2：一致したルールにはDLPプロファイルがなく、アクションはアラートに設定されています。
これはAlerts ページに表示されます。
3：一致したルールにはDLPプロファイルがなく、アクションは「許可」に設定されています。
これはNetwork Eventsページに表示されます。
4：一致したルールにはDLPプロファイルがなく、アクションはブロックに設定されています。
これはAlerts ページに表示されます。