Overview
Netskope DSPM (通称 Netskope One DSPM)は SaaS アプリケーションとして展開され、Amazon Web Services(AWS)を活用してお客様に最適なスケールとセキュリティを提供します。
アプリケーションとサイドカーのアーキテクチャ
Netskope DSPM 使う柔軟なコレクションアーキテクチャを実現しています。 これは、データストアに接続してデータサンプルを収集する1つ以上のサイドカーと、収集されたデータを分類するDLPサービスで構成されています。両モデルは同じデータプライバシー原則を強制しています。すなわち、機密データ自体がネットワークから出るのは分類結果のみ、決してネットワークからは出ません。
Netskope DSPMはオンプレミスデータ分類のために2つの展開モデルをサポートしています:
- Single Appliance (Standard): DLPサービスとサイドカーサービスの両方を1つの仮想マシンにバンドルします。これは、単一のイメージ、単一のCLIコマンド、および単一のライセンスキーで展開できるため、ほとんどのお客様に推奨される方法です。詳細については、 「DSPMシングルアプライアンスのデプロイ」を参照してください。
- Distributed Deployment (Advanced): DLPのアプライアンスとサイドカーを別々に展開します。 このモデルは、DLPリソースとサイドカーリソースを個別にスケーリングする必要がある大規模スキャンシナリオ向けに設計されています。詳しくは、DLPアプライアンスをDSPMにデプロイしてください。
DLP アプライアンスの接続 (分散展開)
分散展開モデルでは、サイドカーは個別に展開された DLP アプライアンスと連携してデータを分類します。 シングルアプライアンスモデルでは、これらのコンポーネントは同じ仮想マシン上で動作し、ローカルで通信します。
このアーキテクチャは、以下のルールを適用します。
- Network location: DLPのアプライアンスは、サービスを提供するサイドカーと同じネットワーク内に存在しなければなりません。
- Communication: サイドカーはデータサンプルをHTTPS(ポート443)経由で分類のためにDLPアプライアンスに送信します。
- Privacy: サイドカーは分類結果のみをNetskope DSPMアプリケーションにアップロードします。システムは実際のデータサンプルを分析のために保存しません。
- Appliance linking: 各サイドカープールは DSPM DLPアプライアンスにリンクしなければなりません。 単一のDLPアプライアンスは、同じアプライアンスアドレスに登録すれば複数のサイドカーにサービスできます。
- Scaling limitation: 水平スケーリングのためにロードバランサーの背後に複数のDLPアプライアンスを動かすことはできません。
サイドカーの展開と拡張性
シングルアプライアンスモデルでは、サイドカーが内蔵されており、別途展開する必要はありません。分散モデルでは、サイドカーを個別にデプロイし、インスタンスを追加することで水平方向にスケールアップできます。
単一のサイドカーは、設置環境内の複数のデータストアを効率的にスキャンします。通常、分離されたネットワーク（例：VNet、VPC）ごとに1つのサイドカーをデプロイします。Netskope DSPMアプリケーションは、各サイドカープール内のすべての健康なサイドカー間でスキャンを自動的にロードバランスします。
- Recommended environment: Kubernetes（ヘルスモニタリングと自動スケーリングをサポートしているため）。
- Alternative environment: Kubernetesが利用できない場合は、Docker互換環境であればどこにでもサイドカーをデプロイできます。
Typical Resource Requirements (per sidecar):
- CPU: 4つのCPU
- RAM: 16 GB
- Disk Space: 100 GB
- Capacity: 上記のリソースを備えた各サイドカーは、 50-100 medium-sized data stores (約) のデイリースキャンをサポートできます。100万個のオブジェクト）。
サイドカープールの作成および管理の詳細については、 DSPMサイドカー管理概要をご覧ください。
以下の図は、典型的な分散アーキテクチャを示しています。プライベートネットワークやクラウド環境(AWS、GCP、Azureなど)での展開は、それぞれのコンテナサービスに使う類似の構造に従っています。
ネットワーキングとサンプリング
クライアントは、テナント固有のホスト名を使用して、Web ブラウザ経由でNetskope DSPMアプリケーションに接続します。 私たちは SSLオフロードとサーバーへのリクエストルーティングのためにアプリケーションロードバランサー（ALB）を使用しています。 このALBは、当社のSaaS環境への唯一の公開アクセスポイントです。
お客様固有のNetskope DSPMテナントは、以下の目的でインターネットへの接続を開始する場合があります。
- Netskope DSPMアプリケーション内で設定されたデータストアへの接続(これらの接続は静的IPアドレスのリストから発信されており、使うを許可リストとして使うことができます)
- Netskope DSPMポリシーによってトリガーされたアラートを、AWS SNS、Google Pub/Sub、汎用Webhook、または優先電子メールサーバーなどの宛先に送信します。
- Oktaユニバーサルディレクトリのような外部ディレクトリから特定の従業員データをインポートすること
私たちは、データのセキュリティを確保するために追加の措置を講じています never storing the data samples used during our analysis。これにより、あなたのデータは常に安全かつプライベートな状態が保たれます。
ファイアウォールおよび通信に関する要件
DSPMの展開には出口とポートの設定が必要です。具体的な要件は、導入モデルによって異なります。
- Single Appliance: 3つの構成セット(DSPMアプリケーション、サイドカー、DLPサービス)はすべて同じホストに適用されます。
- Distributed Deployment: 各コンポーネント ( DSPMアプリケーション、サイドカー、および DLP アプライアンス) には、独自の個別の出力構成が必要です。
詳しくはこちら: DSPMホストインスタンスのファイアウォール設定。
アーキテクチャ概要
このアーキテクチャ設計により、Netskope DSPMは以下のことが保証されます。
- BIツール、SQLクライアント、SQLコマンドラインなど、データストア内のすべてのやり取りを分析します
- クエリの実行をブロックしない
- クエリの実行速度を低下させない
- データストアに書き込みません
- メタデータのみを保存し、機密データサンプルのコピーは保持しません