MicrosoftとNetskopeのSSE共存

マイクロソフトのセキュリティサービスエッジソリューションは、Microsoft 365製品のセキュリティを強化し、パフォーマンスを向上させるための強力な機能セットを提供します。これらの機能には以下のようなものがあります。

• 信頼できないテナントへのデータ漏洩を防止する。
• ネットワークへのアクセスを許可する前に、ユーザーと利用条件を確認してください。
• 状況の変化に応じて、Microsoft 365 製品へのアクセス権を取り消します。 継続的なアクセス評価。
• 送信元IPアドレスの復元を活用することで、位置情報に基づく条件付きアクセス、リスク検出、および強化されたアクティビティログを適用できます。
• Microsoft 365 アプリをトークンによる不正侵入や匿名アクセスから保護します。

これらの機能は、Microsoft 365 向け Microsoft Entra Internet Access に固有のものです。Microsoft 365 のこれらの機能とNetskope Security Service Edge ( SSE ) ソリューションを同時に使用できます。

MicrosoftとNetskopeのセキュリティサービスエッジ（SSE）ソリューションを統合環境で活用することで、ユーザーは両プラットフォームの強力な機能を活用し、SSEの導入をさらに強化することができます。これらのプラットフォーム間の相乗効果により、顧客は強化されたセキュリティとシームレスな接続性を享受できます。

SSEこのドキュメントには、これらのソリューションを並行して展開するための手順が記載されています。具体的には、Exchange OnlineやSharePoint OnlineなどのMicrosoft 365アプリケーション向けの Microsoft と、その他のすべてのWebトラフィック向けのNetskope SSEについて説明します。

テスト済みのソリューション

Default

• Microsoft SSE 構成: Microsoft 365 のトラフィックがキャプチャされます。Microsoft 365のトラフィック転送プロファイルを有効にし、インターネットアクセスとPrivate Accessトラフィック転送プロファイルを無効にします。
• Netskope SSEの設定：インターネットアクセストラフィックがキャプチャされます。Microsoft 365のトラフィックは除外されます。
• Windows 10 または 11 Entra 結合デバイスにインストールされた Microsoft およびNetskope Client 。

Netskope Inspect

• Netskope SSEの設定：Microsoft 365のトラフィックが検査されます。
• Microsoft SSE の設定: Microsoft 365 トラフィック転送プロファイルを有効にします。

構成概要

Microsoft Entraでは、Microsoft 365のトラフィック転送プロファイルを有効にし、インターネットアクセスとPrivate Accessトラフィック転送プロファイルを無効にします。 Microsoft 365のトラフィックのみがキャプチャされます。Netskopeでは、インターネットアクセストラフィックをキャプチャし、Microsoft 365トラフィックを除外します。

Microsoft

Microsoft 365 用の Microsoft SSEを構成するには、Microsoft Entra Internet Access の取得ガイドの手順に従ってください (手順 3 と 4 はこのテストではオプションです)。

1. Microsoft 365 のトラフィック転送プロファイルを有効にします。
2. エンドユーザーデバイスにグローバルセキュアアクセスクライアントをインストールし設定します。
3. Enable universal tenant restrictions.
4. 拡張グローバルセキュアアクセスシグナリングと条件付きアクセスを有効にします。

Netskope

ウェブトラフィック用にNetskopeのSSEを構成するには:

1. Microsoft 365の宛先IPアドレスとMSFT SSEサービスのIPアドレスをバイパスするためのネットワークロケーションプロファイルを作成します。
2. IPアドレスとドメインの例外を追加することで、Microsoft 365を除くすべてのウェブトラフィックをNetskopeにルーティングするステアリング構成を作成します。
3. Netskope Clientをインストールしてください。

設定が完了し、クライアントが並列にインストールされたら、クライアントの接続性と設定を確認してください。

設定手順

Microsoft

Microsoft 365 トラフィック プロファイルを有効にする

1. グローバルセキュアアクセス管理者 として、 Microsoft Entra管理センター にサインインします。
2. Global Secure Access (preview) > Connect > Traffic forwardingへ移動してください。
3. Microsoft 365 access profileのチェックボックスSelect 。
4. エンドデバイスのローカルファイアウォールルールを使用してQUICトラフィックをブロックしてください。Global Secure Access Clientは現在TCPトラフィックのみをサポートしています。Exchange Online UDPポート443経由の一部のトラフィックに使用されているQUICプロトコルを強制的にローカルファイアウォールルールでQUICトラフィックをブロックすることにより、HTTPS（443 TCP）に切り替えます。 POP3、IMAP、SMTPなどのHTTP以外のプロトコルは、クライアントから取得されず、直接ローカルに送信されます。

Global Secure Access Client のインストールと構成

Global Secure Access Client の最新バージョンは、Microsoft Entra 管理センターからダウンロードできます。

1. グローバルセキュアアクセス管理者 として、 Microsoft Entra管理センター にサインインします。
2. Global Secure Access (Preview) > Connect > Client downloadへ移動してください。
3. SelectDownload Client。 

   

組織は/quietスイッチで無音でクライアントをインタラクティブにインストールしたり、Microsoft Intuneのようなモバイルデバイス管理プラットフォームを使うデバイスにデプロイしたりできます。

1. Global Secure Access Clientのセットアップファイルをクライアントマシンにコピーしてください。
2. GlobalSecureAccessInstaller 1.7.376.1214のようなセットアップファイルを実行してください。ソフトウェアのライセンス条項に同意してください。
3. クライアントがインストールされると、ユーザーは Microsoft Entra クレデンシャルでサインインするように求められます。
   
4. ユーザーがサインインすると、接続アイコンが緑色に変わり、それをダブルクリックすると、接続状態を示すクライアント情報を含む通知が開きます。

   

Netskope

Microsoft 365の宛先IPアドレスとMSFT SSEサービスIPアドレスを回避するためのネットワークロケーションプロファイルを作成する

1. Policies > Profile > Network Location > New Network Location > Single Objectへ移動してください。
2. これらのIPアドレスを追加し、 MSFT SSE Serviceという名前を付けて、ネットワークの場所を保存します。

   150.171.19.0/24, 150.171.20.0/24, 13.107.232.0/24, 13.107.233.0/24, 150.171.15.0/24, 150.171.18.0/24, 151.206.0.0/16, 6.6.0.0/16

   

3. 上記の手順 1-2 を繰り返して Microsoft 365 IP を追加し、 MSFT SSE M365 として保存します (Microsoft 365 トラフィックの追加取得に取り組んでいます)。完全なリストについては、 M365のURLとIPアドレス範囲を参照してください。

   132.245.0.0/16, 204.79.197.215/32, 150.171.32.0/22, 131.253.33.215/32, 23.103.160.0/20, 40.96.0.0/13, 52.96.0.0/14, 40.104.0.0/15, 13.107.128.0/22, 13.107.18.10/31, 13.107.6.152/31, 52.238.78.88/32, 104.47.0.0/17, 52.100.0.0/14, 40.107.0.0/16, 40.92.0.0/15, 150.171.40.0/22, 52.104.0.0/14, 104.146.128.0/17, 40.108.128.0/17, 13.107.136.0/22, 40.126.0.0/18, 20.231.128.0/19, 20.190.128.0/18, 20.20.32.0/19

4. 画面右上のPolicies > Profile > Apply Changesに移動してください。

Microsoft 365を除くすべてのウェブアプリトラフィックをNetskopeに誘導するためのステアリング設定を作成してください

1. 行く Settings > Security Cloud Platform > Traffic Steering > Steering Configuration > New Configuration
2. MSFTSSEWebTraffic のような名前を追加し、ユーザーグループまたは OU に割り当て、ルーティングするトラフィックの種類として「ウェブ トラフィック」を選択します。 設定を無効のままにして保存してください。
   
3. 新しく作成された構成 MSFTSSEWebTraffic をクリックし、 Exceptions > New Exception > Destination Locations .
   を選択します。
4. この例外では、宛先場所にMSFT SSE ServiceとMSFT SSE M365を追加し、 BypassとTreat it like local IP addressオプションを選択してください。
   
5. MSFT SSEサービスおよびMSFT M365のドメインに対する例外を追加します。Exceptions > New Exception > Domainsをクリックしてください。以下の例外を追加してください。

   *.globalsecureaccess.microsoft.com, *.auth.microsoft.com, *.msftidentity.com, *.msidentity.com, *.onmicrosoft.com, *.outlook.com, *.protection.outlook.com, *.sharepoint.com, *.sharepointonline.com, *.svc.ms, *.wns.windows.com, account.activedirectory.windowsazure.com, accounts.accesscontrol.windows.net, admin.onedrive.com, adminwebservice.microsoftonline.com, api.passwordreset.microsoftonline.com, autologon.microsoftazuread-sso.com, becws.microsoftonline.com, ccs.login.microsoftonline.com, clientconfig.microsoftonline-p.net, companymanager.microsoftonline.com, device.login.microsoftonline.com, g.live.com, graph.microsoft.com, graph.windows.net, login-us.microsoftonline.com, login.microsoft.com, login.microsoftonline-p.com, login.microsoftonline.com, login.windows.net, logincert.microsoftonline.com, loginex.microsoftonline.com, nexus.microsoftonline-p.com, officeclient.microsoft.com, oneclient.sfx.ms, outlook.cloud.microsoft, outlook.office.com, outlook.office365.com, passwordreset.microsoftonline.com, provisioningapi.microsoftonline.com, spoprod-a.akamaihd.net

6. テナント内のステアリング構成リストの最上位にMSFT SSE構成が配置されていることを確認し、この構成を有効にしてください。
   

Netskope Clientをインストールしてください。

Netskope Clientを設定するには、Entra IDを連携させてアカウントを作成するなど、多くのオプションがあります。 手順はこちらをご覧ください。

最も基本的なセットアップでは、電子メール アドレスをNetskope Security Cloud Platformに追加するだけです。

1. Settings > Security Cloud Platform > Netskope Client > Usersへ移動してください。
2. 必要なユーザーの電子メールアドレスを追加します。 ユーザーはクライアントをセットアップするための電子メールを受け取ります。

   

クライアントの接続性と構成を確認する

1. 両方のクライアントがインストールされ、並行して実行され、管理ポータルからの設定が完了したら、システムトレイに移動して、Global Secure AccessとNetskope Client有効になっていることを確認してください。
2. クライアントの設定を確認します。
   1. Global Secure Access Client > Advanced Diagnostics > Forwarding Profileを右クリックします。このクライアントにはMicrosoft 365のルールのみが適用されていることを確認してください。
      
   2. Advanced Diagnostics > Health Checkでは、チェックが失敗していないことを確認してください。
      
   3. Netskope Client > Client Configurationを右クリックします。ステアリング設定とトラフィックステアリングタイプが、前の手順で設定した内容と一致していることを確認してください。設定が最新であることを確認するか、更新してください。
      

検査結果

Default

• Netskope SSEの設定：インターネットアクセストラフィックがキャプチャされます。Microsoft 365のトラフィックは除外されます。
• Microsoft SSE設定: Microsoft 365 トラフィック転送プロファイルを有効にし、インターネットアクセスおよびPrivate Accessトラフィック転送プロファイルを無効にします。 Microsoft 365のトラフィックがキャプチャされます。

1. bing.comのようなインターネットサイトにアクセスしてください。
2. Microsoft Entra 管理センターにサインインして、 Global Secure Access (Preview) > Monitor > Traffic logsに移動します。グローバルセキュアアクセスのトラフィックログに、bing.comに関連するトラフィックが欠落しているかどうかを検証します。
3. Netskope Cloud アカウントにサインインし、 Skope IT > Events > Application Events または Page Eventsをご覧ください。bing.com に関連するトラフィックはNetskopeのログに存在します。
4. Outlook OnlineとSharePoint Onlineにアクセスし、Microsoft SSEによってトラフィックがキャプチャされていることを確認します。グローバルセキュアアクセスのトラフィックログでトラフィックを検証する
5. Netskopeのログに、Outlook Online、SharePoint Online、およびTeamsに関連するトラフィックが含まれていないことを確認してください。

トラブルシューティング

より詳細なトラブルシューティング情報については、こちらの詳細解説ビデオをご覧ください： https://youtu.be/-gdaqLAwVt4?si =7c2-mvkR_yhBm5Io 。

[オプション] NetskopeによるMicrosoft 365トラフィックの検査

お客様は時折 単一の統合されたNetskopeエンジンを使用して、Microsoft 365 を含むすべてのアプリケーションのトラフィックを検査したいと考えています。 これは特に、顧客がデータ保護のために一貫したコンテンツ管理を徹底したい場合に当てはまります。これを実現するには、顧客はバイパス設定を無効にして、すべてのトラフィックをNetskopeにリダイレクトする必要があります。

• Netskope SSEの設定：Microsoft 365のトラフィックが検査されます。
• Microsoft SSE の設定: Microsoft 365 トラフィック転送プロファイルを有効にします。

Netskope Inspect の設定

NetskopeがMicrosoft 365のトラフィックを受信するためには、ステアリング設定に若干の変更を加える必要があります。

1. Netskope Cloudアカウントにサインインし、 Settings > Security Cloud Platform > Steering Configurationに移動して、 Netskope Clientのステアリング構成値に表示されているのと同じ構成名をクリックします。 （本事例では、ここに示したように、グループAに該当します。）
2. Add Steered ItemとCloud Appsをクリックしてください。
3. 以下に示すように、ステアリングアイテムを追加し、 Addをクリックします。