ポリシーのマッチングと評価

このセクションでは、次世代 API データ保護ポリシーのマッチング ロジックについて説明します。 ここでのデスクリプションは、Classic API データ保護ポリシーおよび次世代 API データ保護プラットフォームに精通していることを前提としています。

ポリシーウィザード

次世代 API データ保護のポリシーを作成するための新しい UI があります。 現在サポートされているポリシーマッチング基準は以下のとおりです。

1. Collaborator

2. Object

3. プロファイルとアクション（DLPおよび脅威対策）

   

ポリシーマッチングロジック

ポリシーの一致は、協力者（所有者、露出）、対象物、およびDLP/マルウェアの基準の論理積（ANDロジック）によって実現されます。各基準の一致度は、その個々の構成要素の一致結果を集計することによって決定されます。その論理は以下に示されています。

所有者判定機能は現在、一部のアプリ（GmailとOutlook）でのみ利用可能です。これは、暴露基準と論理的に結合（AND論理）されます。

Collaborator

Owner

所有者は、以下の値を組み合わせた結果です ORロジック：

オーナーのマッチング率は、以下の計算式で決定されます。

match 
(
User OR User Geo OR User Group OR User Profile OR Domain OR Domain Profile
)

所有者の種類

• ユーザー：これは、所有者が指定されたユーザーの少なくとも1人であるエンティティに一致します。

• ユーザーグループ：これは、所有者が指定されたADグループの少なくとも1つに属しているエンティティに一致します。

• ユーザープロファイル：これは、所有者が指定されたプロファイルの少なくとも1つに含まれているエンティティに一致します。

• ドメイン、ドメインプロファイル: これは、所有者のドメインが指定されたドメインまたはドメインプロファイルの少なくとも1つに含まれているエンティティに一致します。

暴露

露出は、以下の値を組み合わせた結果です 論理OR演算：

露出の一致度は、以下の式で決定されます。

match 
(
Internal/External OR User Geo OR User Group OR User Profile OR Domain OR Domain Profile
)
OR
satisfy 
(
number of internal collaborators
)

露出の種類

• Internal/Externalこれは、指定された露出度を持つエンティティを照合します。

• User Geoこれは、特定の地域（Microsoft 365のみ）から発信されたとフラグ付けされたエンティティに一致します。

• User Groupこれは、指定された AD グループ内の少なくとも 1 人のメンバーがアクセスできるエンティティに一致します。

• User Profile: これは、指定されたプロファイルに登録されているユーザーのうち少なくとも1人がアクセスできるエンティティに一致します。

• Domain, Domain Profile: これは、ドメインリストまたはプロファイル内の少なくとも1つのドメインからアクセス可能なエンティティに一致します。アクセス権を持つドメインは、アクセス権を持つユーザーのネットワークから算出されます。

Exclusion

エンティティを除外する基準は、エンティティに一致する基準よりも優先され、満たされた場合にポリシー違反を防ぎます。除外基準は論理 OR 演算を使用して結合されます。 除外基準のいずれかに該当する場合、当該団体は除外されます。

暴露

ユーザープロファイルに一致するユーザーが少なくとも1人いる場合、またはユーザーグループに一致するメンバーが少なくとも1人いる場合、除外されます。これは、前のセクションで説明したマッチング基準の仕組みと同じです。

ただし、内部/外部、ユーザー地域、ドメイン、およびドメインプロファイルの除外設定は、それぞれ異なる動作をします。除外措置が適用されるためには、すべての曝露値が一致することが必要です。つまり、これらの暴露は、指定された値のみを除外し、それ以外の値には適用されないということである。

例

この例では、除外基準が設定され、次のように評価されます。

match("600 user profile" AND NOT ("test1-1" OR "test2"))
OR 
match("Finance" AND NOT ("BreslinTest" OR "Outlook"))

除外条件は、前述の「AND NOT」条件で示されるように、対応するフィルタの一致条件が一致しない場合にのみ適用されます。あるエンティティが「600ユーザープロファイル」と「test1-1」プロファイルの両方に含まれるユーザーからアクセス可能な場合、そのエンティティはユーザープロファイルの基準に基づいて除外されません。

除外基準に一致しない場合は、残りの基準は通常どおり一致します。

match(test1-1 OR test2 OR Internal Domains OR BreslinTest OR Outlook)

「600ユーザープロファイル」に一致させるには、少なくとも1人のエンティティへのアクセス権を持つユーザーがプロファイルに含まれている必要があることに注意してください。ただし、「Finance」ドメインプロファイルに一致させるには、エンティティにアクセスできるすべてのユーザーのドメインをプロファイルに含める必要があります。

次世代と従来型のドメインマッチングロジック

ドメインのマッチングロジックは、次世代APIデータ保護と従来型APIデータ保護で異なります。 次世代APIデータ保護とは異なり、従来のAPIデータ保護では、除外チェックを実行する際に内部ドメインが暗黙的に無視されます。 Classicの動作を再現するには、ポリシーで、目的のドメインに加えて、事前定義されたプロファイル「すべての内部ドメイン」を除外する必要があります。これにより、テナントの内部ドメイン設定が、ドメインプロファイルであるかのようにチェックに含まれることが保証されます。

除外リストに記載されていないドメインとファイルが共有された場合でも、そのファイルはスキャンされます。除外リストには内部ドメインも必ず含めてください。

Object

オブジェクトは以下の値によって指定されます。

1. アプリケーション、アプリインスタンス、またはカテゴリのいずれか

2. コンテンツ

3. ファイルタイプ

各タイプ内では、複数の値を選択でき、それらは 論理OR演算で組み合わせられます。 各タイプのマッチング結果は、 論理AND演算によって結合されます。 マッチロジックのスクリーンショットを参照してください。

アプリケーション

すべてのアプリケーションを選択できます。

• すべてのアプリケーション：すべてのSaaSアプリケーションとインスタンスにポリシーを適用します。

• 適用方法：選択した特定のSaaSアプリにポリシーを適用します。このオプションを選択すると、特定のSaaSアプリのすべてのアプリインスタンスがポリシーのスキャン対象に含まれます。

• アプリインスタンス：選択したSaaSアプリインスタンスにこのポリシーを適用してください。

• カテゴリ：SaaSアプリソリューションの種類に基づいてポリシーを適用します。カテゴリを選択すると、該当するすべてのSaaSアプリとインスタンスがポリシーのスキャン対象に含まれます。例：コラボレーション、クラウドストレージ、ウェブメール、人事など

コンテンツ

このコンテンツは、SaaSアプリケーション内の特定のリソースまたはエンティティを定義することを目的としています。例えば、OneDriveのケースでは、コンテンツとはファイルまたはフォルダーのアイテムIDを指します。 フォルダIDが指定され、ファイルが評価対象となっている場合、マッチングロジックはファイルの祖先チェーンをたどり、フォルダIDに一致するファイルを探します。

これらのIDはアプリとインスタンスに固有のものであるため、 Specify App Instanceドロップダウンに値を設定する必要があります。

次に、 Scan Content下でSpecific resourcesを選択します。

リソースIDはAPI-enabled Protection > CASB API (NEXT GEN) > Inventoryページから取得できます。その後、 Content > Fileドロップダウンをクリックしてください。例えば、 File IDの値はファイルのリソース ID です。

フォルダの場合、 API-enabled Protection > CASB API (NEXT GEN) > Inventoryページに移動してフォルダを検索し、 Content Collection > Folderドロップダウンをクリックすることで、リソース ID を取得できます。 フォルダのリソースIDは、以下のスクリーンショットに示すようにFolder IDの値です。

同様に、以下のリソースIDを取得できます。

• コメント: Content > Commentに移動し、コメント名をクリックして、詳細の下でComment IDを探します。

• 電子メール: Content > Emailに移動し、送信者の電子メールをクリックし、詳細でEmail IDを探します。

• メッセージ: Content > Messageに移動し、送信者を電子メール、詳細の項目で検索し、 Sender ID、 Message ID、または Channel IDを探してください。

• ページ: Content > Pageに移動し、ページ名をクリックして、詳細の下にあるPage IDを探します。

ファイルの種類

特定のファイルタイプカテゴリに対してポリシーを適用します。ファイル形式のカテゴリ例としては、音声、画像、ワープロ、プレゼンテーション、ビデオなどがあります。ファイルタイプの条件は、ファイルに対してのみ照合されます。ファイル以外のリソースは、この基準を無視します。

プロファイルとアクション（DLPおよび脅威対策）

ポリシーアクション

現在サポートされている操作は以下のとおりです。多くのポリシーが一致する場合、ポリシー アクションは次の優先順位 (最も高い優先順位 1 から順に) で実行されます。

1. 脅威の隔離

2. 警告

3. 印刷とダウンロードを無効にする

4. 特定のドメインへのアクセスを制限する

5. 特定のドメインを取り消す

6. パブリックアクセスを期限切れにするように設定する

7. 共有を制限して閲覧のみ

8. 公開共有を取り消す

9. SharePoint/OneDrive: EEEU共有の取り消し

10. 組織全体の共有設定を取り消す

11. 法的拘束

12. 感度ラベルを貼付する

13. 特定のドメインと共同作業者へのアクセスを制限する

14. 特定のユーザーへのアクセスを制限する

15. 特定のユーザーの登録を解除する

16. 内部協力者のみにアクセスを制限する

17. 所有者のドメインへのアクセスを制限する

18. 所有者のみにアクセスを制限

19. 消去

20. DLP検疫

21. ファイルレベルで追加されたユーザーの取り消し

22. 所有者をユーザーに変更

23. 所有者を管理者に変更

脅威防御対策

脅威スキャンサービス（TSS）は、脅威保護プロファイルを選択することで有効になります。現時点では、あらかじめ定義された「デフォルトのマルウェアスキャン」プロファイルのみがサポートされています。深刻度に基づいた修復措置を、低、中、高の3段階で設定できます。深刻度ごとに、アクションを定義できます。脅威保護ポリシーは、ポリシー一致で実行される重大度ベースのアクションと、隔離されたコンテンツを保護するためのパスワードを定義します。

よくある質問