エラー設定の管理

ステアリングエラー設定を使用して、HTTP/HTTPSトラフィックで検出された異常に対するアクションを設定できます。

ステアリング設定のエラー設定を構成するには：

1. Settings > Security Cloud Platform > Steering Configurationへ移動してください。
2. Manage Error Settingsをクリックしてください。Error Settingsウィンドウが表示されます。すべてのエラー設定はグローバルです。
3. Error Settingsウィンドウでは：

   注記

   制限事項のため、SSL 失敗時のアクション (不完全な証明書信頼チェーンなど) で「バイパス」を選択した場合、Netskope が証明書のステータスをキャッシュしている間、特定のノード上の特定のサイトへの最初の接続ではブロックページが表示されます。サイトを閲覧し続けるには、ページを再読み込みする必要があります。

   • No SNINetskope Cloud Proxy が Server Name Indication (SNI) を判別できない場合、Netskope Client と Netskope Cloud Proxy 間のトラフィックをバイパスまたはブロックします。
   • Malformed SSL: 指定ポートが 443 であるにもかかわらず、SSL トラフィックの最初のパケットの解析に失敗した場合、Netskope Client と Netskope Cloud Proxy 間のトラフィックをバイパスまたはブロックします。
   • Domain Fronting Protectionドメインの不正利用が検出された場合は、トラフィックをバイパスまたはブロックします。Netskopeは、SNIとHTTPリクエストのHostヘッダーが一致しない場合に、ドメインの不正利用を検出します。Bypassを選択すると、不一致は無視されます。

   Netskope 、ドメインフロント保護機能を設定する前に、 まずモニターモードで、ドメインフロントフィールドとドメインのトランザクションイベントを確認し、ドメインフロントサイトを詳細に理解することをお勧めします。

   警告

   ドメイン偽装保護オプションはグローバル設定であり、すべてのウェブサイトに適用されます。正規ドメインへのトラフィックがブロックされた場合は、ドメインフロント保護オプションを「バイパス」に更新して、トラフィックのブロックを直ちに解除してください。次に、 Netskopeサポートに連絡して、ブロックされたドメインを報告します。

   さらに、ドメインフロント保護はCASBのみのテナントではサポートされていません。これは、適切な実行にはセキュアウェブゲートウェイが必要となるためです。

   SNI が Host ヘッダーと一致しない場合や、研究チームがテスト目的でドメイン フロントを使用する場合があります。 NetskopeのREST APIを使用すると、ワイルドカードドメインまたは完全一致ドメインを設定でき、テナント全体にわたってドメインの例外をグローバルリストとして設定できます。以下のAPIが利用可能です：汎用リストおよびドメインフロントプロファイル。

   

   詳細はSwaggerで確認できます。UI上で、 Settings > Tools > REST API v2と移動し、 API DocumentationをクリックしてSwagger APIドキュメントにアクセスしてください。REST APIについて詳しく知りたい方は、 REST API v2の概要をご覧ください。

   • Custom Signing CA ErrorNetskopeプロキシが計画的なアップグレードのために再起動中の場合、Netskopeプロキシの再起動中はHTTPSリクエストをブロックまたはバイパス（フェイルオープン）します。これは、カスタム署名CA機能が有効になっている場合にのみ適用されます。 インラインTLS復号化の場合、顧客はNetskopeのルートCAを信頼せずに、TLS復号化用の独自の証明書をアップロードできます。
   • CRL/OCSP Check: サーバーの証明書が取り消された場合、Netskope Cloud Proxyとインターネットサーバー間の通信をブロックします。Netskopeはこのエラーに対してSSLを終了し、CRLおよびOCSPチェックの失敗に対して詳細なパケット検査を行います。Bypassを選択すると、不一致やエラーは無視されます。
   • SSL Handshake ErrorSSLハンドシェイクが失敗した場合、Netskopeクラウドプロキシとインターネットサーバー間のトラフィックをバイパスまたはブロックします。
   • Self-Signed Server Certificateサーバーの証明書が自己署名されている場合、Netskope Cloud Proxyとインターネットサーバー間のトラフィックをバイパスまたはブロックします。
   • Incomplete Certificate Trust Chainサーバーの証明書チェーンが不完全な場合、Netskope Cloud Proxyとインターネットサーバー間のトラフィックをバイパスまたはブロックします。
     

     注記

     組織でダイナミックトラステッドストアを有効にしているが、この設定がBlockに設定されている場合、Netskope は証明書の取得中であるため、中間証明書のないドメインへの最初のアクセスをブロックする可能性があります。ユーザーはウェブサイトを更新することで続行できます。

   • Untrusted Root Certificateサーバーの証明書が信頼できない場合、Netskope Cloud Proxyとインターネットサーバー間のトラフィックをバイパスまたはブロックします。
   • Malformed HTTPNetskope Cloud Proxyが無効なHTTPリクエストを受信した場合、Netskope ClientとNetskope Cloud Proxy間のトラフィックをバイパスまたはブロックします。
   • SSL Host Mismatch: サーバーのドメイン名がサーバーの証明書にあるよくある名前と一致しない場合、 Netskope クラウドプロキシとインターネットサーバー間のトラフィックをブロックします。 Netskopeはこのエラーに対してSSLを終了し、SSLホストの不一致に対して詳細なパケット検査を行います。Bypassを選択すると、不一致やエラーは無視されます。

エラー設定を構成した後、ステアリング構成を開始して、エクストラネットサービスをバイパスまたはブロックします。

以下は、組織のセキュリティを最適化するために設定できるNetskopeのエラー設定です。