Netskope Cloud Firewall - Netskope 技術文書

注記

このドキュメントでは、Netskope Cloud Firewallの設定方法について説明します。Netskope Cloud Firewallは、組織の非HTTP(S)送信トラフィックを制御します。ただし、HTTP(S) トラフィック (ポート 80/443 および非標準ポート) を管理する場合は、 Netskope Secure ウェブ Gateway およびNetskope Cloud Access Security ブローカのドキュメントを参照してください。

Netskope Cloud Firewallは、分散したオフィスや外出ユーザー向けに、集中管理、可視性、および一貫したポリシーを提供します。また、従来のファイアウォールアプライアンスのコスト、複雑さ、パフォーマンスの制限がない高度なセキュリティとアクセス制御を実現します。 Netskopeは、クラウドホスト型の統合ファイアウォール機能も提供しており、組織の送信トラフィックのうちHTTP(S)以外のトラフィック（TCP、UDP、ICMPトラフィックなど）をきめ細かく制御できます。

Netskope Cloud Firewallは、ユーザーとオフィス向けに、すべてのポートとプロトコルにおける送信トラフィックのネットワークセキュリティを提供します。クラウドファイアウォールのポリシー制御には、5タプル（送信元および宛先のアドレスとポート、プロトコル）に加え、ユーザーIDとグループID、宛先としての完全修飾ドメインとワイルドカード、FTP用のアプリケーション層ゲートウェイ、およびファイアウォールイベントログが含まれます。

Netskope Cloud Firewallを使用すると、送信元および宛先IPアドレス、宛先ポート、プロトコル、およびユーザーに基づいて、許可/ブロックのセキュリティポリシーを適用できます。

Netskopeクラウドファイアウォールの主な利点と機能

ファイアウォールポリシーコントロール: 5 タプル (送信元/宛先アドレスとポート、プロトコル)、ユーザー ID とグループ ID、FQDN、および出力ファイアウォールポリシー設定のワイルドカードが含まれます。
FTPアプリケーションレイヤーゲートウェイ：クラウドエッジネットワークアドレス変換サービスを介したFTPのシームレスなを可能にします。
ファイアウォールイベントログ：クラウドファイアウォールで発生するすべてのイベント（TCP、UDP、ICMP）を完全にログに記録し、エクスポートできます。
統合SASEアーキテクチャ： Netskope Security Cloud 、クラウドファイアウォールをセキュアネットワークゲートウェイ（SWG）、クラウドアクセスセキュリティブローカ（ CASB ）、ゼロトラストネットワークアクセス（ ZTNA ）ソリューションと統合し、ユーザーとオフィス向けにすべてのポートとプロトコルを保護します。 Firewall-as-a-Service (FWaaS) を使用してリモートユーザーとブランチオフィスを保護するには、1 つのコンソール、1 つのポリシーエンジン、および 1 つのプラットフォームを使用します。
運用コストの削減：アプライアンスの費用とメンテナンス、エンドポイントファイアウォールへの依存、および複数のコンソールによる管理作業を削減します。
ユーザーを保護します: 管理対象ネットワーク上のNetskope Client使用して、すべてのポートとプロトコルで送信トラフィックのネットワークセキュリティを提供し、安全なインターネットへの直接アクセスを実現します。。クラウドファイアウォールは、管理対象ユーザーの送信トラフィックをフィルタリングし、すべてのポートとプロトコルに加え、宛先としてのFQDNとワイルドカード、FTP ALG、および完全なログ記録機能を備えています。
セキュアオフィス：すべての送信ポートとプロトコルに対してネットワークセキュリティを提供し、GREおよびIPSecトンネルを介して、あらゆるユーザーまたはデバイスが安全にインターネットに直接アクセスできるようにします。SD-WANに対応したクラウドファイアウォールは、オフィスからNetskope Security CloudへのIPSecおよびGREトンネルをサポートし、送信トラフィックをフィルタリングします。
DNSセキュリティ

Netskope使用すると、HTTP(S)以外のトラフィックをルーティングできます。さまざまな方法で。以下のセクションでは、さまざまな設定手順について説明します。

ベストプラクティス

Explicit Proxy over Tunnel (EPoT) が設定されており、Cloud Firewall ライセンスを取得する予定がある場合は、Cloud Firewall の有効化前に以下の EPoT ガイドラインに従う必要がありmust 。
1. ポート 80 を使用した EPoT ( Netskope推奨)
2. ポート EPoT をやむを得ない理由でポート 8080 を使用する必要がある場合は、ステアリング構成のNon-Standard Portsでポート 8080 も定義する必要があります。
Not following above guidelines would result in traffic loss for EPoT after activation of Cloud Firewall.
詳細については、/en/explicit-proxy-over-ipsec-and-gre-tunnels#general-guidelinesを参照してください。

クラウドファイアウォールを導入する際には、従うべき一連の一般的なベストプラクティスがあります。このリストには、大部分のクラウドファイアウォールを実装する際に従うべきベストプラクティスが含まれていますが、一部のベストプラクティスは環境、使用、実装に依存する可能性があるため、完全なリストとして考慮されるべきではありません。

クラウドファイアウォールを導入する際の、最も一般的なベストプラクティスは以下のとおりです。

組織のセキュリティ体制に応じて、デフォルトの非ウェブポリシー動作を選択します。
デフォルトでは、デフォルトの非ウェブポリシー (最後の手段) はすべての非ウェブトラフィックをブロックします。
このデフォルトの動作は、一般的なファイアウォール階層およびベストプラクティスと一致していますが、最後の手段として、デフォルトの非ウェブポリシーの動作を変更して、すべての非ウェブトラフィックを許可することも可能です。そうするための有効な使用ケースがあります (テスト目的、発見目的、インターネットトラフィックに関してより「緩和された」非ウェブセキュリティ体制のため)。
デフォルトの非ウェブトラフィックポリシーの構成に応じて、次の点に注意してください。
- ウェブ以外のトラフィックをすべてブロックするように設定されている場合は、許可されたトラフィックを許可する特定のポリシーを導入する必要があります。
- すべての非ウェブトラフィックを許可するように設定されている場合、許可されていないトラフィックをブロックする特定のポリシーを設定する必要があります。
トンネルが存在する環境でCFWを設定する場合、以下の点が非常に重要です。
- ウェブ以外のトラフィックをポリシーベースのルーティング経由でNetskopeに送信する必要があることを正しく定義します。
- Netskopeに送信される「カスタムウェブポート」を正しく定義し、デフォルトのステアリング設定でそれらを構成します。これにより、標準以外のポート (例: 8080) は CASB/SWG によって管理され、CFW の代わりに FW ポリシーが適用されます。
CFWトラフィックのステアリング以来 NSClientは、SWGトラフィックと同様に、平文DNSクエリと要求されたFQDNを宛先IPにフィルタリングする機能に依存しており、宛先FQDNを送信TCP/UDPトラフィックに正しく関連付けるために、次の点を確認してください。
- DNS over HTTPS (DoH) は、テナント内の適切なポリシーによってブロックされています。
- テナント内のカスタムファイアウォールアプリケーションにより、TCPポート853に対するDNS over TLS（DoT）がブロックされています。
- テナント内のカスタムファイアウォールアプリケーションにより、UDP 443番ポートとUDP 853番ポートでのDNS over Quic（DoQ）がブロックされています。
L3/4 カスタムファイアウォールアプリケーションを含むすべてのポリシーを、L7 事前定義アプリケーションを含むポリシーよりも上に設定します。これは、L3/4カスタムファイアウォールアプリケーションのポリシーが最初のパケットで確実にトリガーされるようにするためです。
逆に、L7 事前定義アプリケーションのすべてのポリシーを、L3/4 カスタムファイアウォールアプリケーションを含むポリシーの下に設定します。
例外として、L7 事前定義アプリケーションを含むポリシーの下に L3/4 カスタムファイアウォールアプリケーションを含むポリシーを配置する場合がありますが、それらはニッチな用途であり、その場合、L7 事前定義アプリケーションを含むポリシーの下にある L3/4 カスタムファイアウォールアプリケーションを含むポリシーは、DPI が L7 の検査を完了または中止した後にのみトリガーされ、強制されることに留意する必要があります。プロトコル。
上記理由により、管理者が特別な理由がない限り、同じポリシー内でL3/4カスタムファイアウォールアプリケーションとL7事前定義済みアプリケーションを混在させないでください。
ウェブのポート/トラフィックに作用するクラウドファイアウォールポリシーは、全体的なCASB /SWG ポリシー階層に応じて配置する必要があります。例えば：
- トラフィックをブロックするウェブポート 80/443 に適用される L3/4 カスタムファイアウォールアプリケーションを含むポリシーは、 CASB /SWG ポリシーの上に配置されると、 CASB /SWG トラフィックを阻止します。
- CFWとCASB /SWGの両方に適用され、トラフィックを許可するハイブリッドアプリケーション（Teamsなど）の場合、それ以上のCASB /SWGアクティビティ/インスタンス/脅威保護/DLPは防止されます。以下に配置されます。ハイブリッドアプリケーションポリシーは、一般的に一番下に配置する必要があります。