DSPMログをAmazon S3にエクスポート - Netskope技術ドキュメント

Overview

Netskope Data Security Posture Management (DSPM)（Netskope One DSPMとも呼ばれる）は、スキャン実行、検出結果、構成変更、サイドカーアクティビティなどのイベントを記録するアクティビティログを生成します。これらのログは、長期保存、分析、または下流システムとの統合のために、Amazon Simple Storage Service (Amazon S3) バケットにエクスポートできます。

Netskope DSPM 内のすべてのアクティビティのダウンロード可能なログは、 Administration > Activity Logsに移動することで確認できます。これらはUser ActivityタブとSystem Activityタブに分かれており、アクティビティの種類で並べ替えやフィルタリングが可能です。

このガイドでは、Netskope DSPMテナントを設定してこれらのアクティビティログをAmazon S3に.jsonオブジェクトとして自動的に公開する方法、およびログ配信が期待どおりに機能していることを検証する方法について説明します。

テナントでこの機能を有効にするには、アカウントチームまたはNetskope DSPMサポートにお問い合わせください。

Prerequisites:

始める前に、以下のものを用意してください。

Netskope DSPM tenant: Netskope DSPMテナントへの管理者アクセス権。
AWS account: 作成および管理権限を持つAWSアカウント：
- Amazon S3バケット。
- IAMの役割とポリシー。
- (Optional) KMS keys, if you use server-side encryption with AWS KMS.
Target S3 bucket: DSPMログを受信するS3バケット。既存のバケットを使用するか、この目的のために専用のバケットを作成できます。

S3ログのエクスポートを計画する

Netskope DSPMでエクスポートを設定する前に、以下の設定を確認してください。

Bucket name and region: DSPMログを保存するS3バケットの正確な名前とAWSリージョン。
Folder/prefix structure: ログを整理するためのオプションの接頭辞。例: s3://<bucket-name>/dspm/logs/
Encryption requirements: S3 管理の暗号化キー (SSE-S3) または AWS KMS (SSE-KMS) を使用するカスタマー管理のキーを使用してログを暗号化する必要があるかどうかを決定します。
IAM trust and permissions model: Netskope DSPMログをS3に書き込みます IAMロール。このロールには、信頼ポリシー ( Netskopeのログサービスがそれを引き受けることを許可する) と、ターゲットバケットへの書き込みアクセス ( s3:PutObject 、 s3:ListBucket ) を許可する IAM ポリシーが必要です。

S3バケットを作成またはSelect

DSPMログ用のバケットがまだ作成されていない場合：

AWS マネジメントコンソールにサインインし、 Amazon S3コンソールを開きます。
Create bucketをクリックしてください。
Bucket name （ mycompany-dspm-logsのようなグローバルに一意な名前）とAWS Regionを指定します。
Bucket versioning (監査を行う場合に推奨) やDefault encryption (SSE-S3 または SSE-KMS) などのオプションを構成します。
バケットが非公開状態を維持するように、 Block Public Access設定を調整してください。
Create bucketをクリックしてください。

既存のバケットを使用している場合は、その構成を確認して、組織のセキュリティおよび保持要件に準拠していることを確認してください。

DSPMログ用のIAMロールとポリシーを設定する

Netskope DSPM S3 バケットにログを書き込むことができる IAM ロールを作成します。

AWS マネジメントコンソールで、 IAMサービスを開きます。
RolesをクリックしてからCreate roleクリックしてください。
Trusted entity typeについては、DSPM UI で提供されるガイダンスに従って信頼ポリシーを構成します (通常は、Netskope が管理するプリンシパルが役割を引き受けることを許可します)。
IAM を添付します適切なバケットとプレフィックスにログを書き込む権限をロールに付与します。例えば：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject",
        "s3:PutObjectAcl"
      ],
      "Resource": "arn:aws:s3:::<bucket-name>/<optional-prefix>/*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket"
      ],
      "Resource": "arn:aws:s3:::<bucket-name>"
    }
  ]
}

ロールの作成を完了し、 Role ARNをコピーしてください。この値は Netskope DSPM UI に入力する必要があります。 （ <bucket-name>と<optional-prefix>ご使用の環境に合わせて値を変更してください。）

DSPMを設定してログをAmazon S3にエクスポートする

S3バケットとIAMロールの準備が整ったら、DSPMを設定してログを公開します。

Netskope DSPMテナントにログインしてください。
Administration > Activity Logsへ移動してください。
UIの指示に従って、ログの保存先としてAmazon S3を設定してください。以下の必須項目を入力してください。

Field	必須？	Value
cloud_account_id	はい	AWSインフラストラクチャ接続に対応する内部ID。
bucket_name	はい	対象バケットの名前（前提：既に存在している必要があります）
bucket_region	はい	バケットが存在する領域
file_prefix	いいえ	宛先ファイルを保存するためのオプションのサブフォルダ（S3バケットが他の業務プロセスと共有されており、 Netskope DSPMデータを分離しておきたい場合にのみ必要です）

設定画面でサポートされている場合は、 Test connectionを実行して、DSPM が指定されたバケットに正常に書き込めることを確認します。
Saveをクリックしてください。

有効化すると、アクティビティログは今後S3に表示されるようになります。アクティビティは遡ってエクスポートされません。

S3へのログ配信の検証

設定を保存した後、DSPMログがS3に正しく公開されていることを確認してください。

AWS コンソールで、 Amazon S3に移動します。
DSPMログの保存先として設定されているバケットを開きます。
設定済みのプレフィックスまたはフォルダに移動します。
新しいオブジェクト.jsonが作成されていることを確認してください。設定によっては、ログは時間、地域、またはログの種類別に整理されて表示される場合があります。
(任意) ログファイルをダウンロードし、期待されるイベント(リソース、アクションタイプ、タイムスタンプ、ユーザーID、デスクリプション)が含まれているか確認します。

Troubleshooting: 一定期間経過してもログが表示されない場合：

IAMロールの信頼ポリシーと権限を再確認してください。
DSPMに表示されているバケット名、リージョン、プレフィックスがS3バケットと完全に一致していることを確認してください。
DSPM UIに表示される、ログのエクスポートに関連するエラーメッセージを確認してください。

S3でDSPMログを安全に管理する

エクスポートされたログの継続的なセキュリティとコンプライアンスを確保するには：

Encryption: セキュリティポリシーに基づいて、SSE-S3 または SSE-KMS を使用して保存時にログが暗号化されていることを確認します。
Access Control: 厳格な S3 バケットポリシーと IAM を使用して、アクセスを必要なロールとユーザーのみに制限します。
Lifecycle Policies: S3ライフサイクルルールを設定して、古いログを低コストのストレージクラス（S3 Glacierなど）に移行したり、定義された保持期間後にログを期限切れにしたりします。
Monitoring and Auditing: AWS CloudTrailとAWS CloudWatchを使用して、バケットへのアクセスを監視し、異常を検出します。

ログの例

システムおよびユーザーのすべてのアクティビティは、標準フォーマットの個別の.jsonオブジェクトとして保存されます。各レコードのタイムスタンプは、Netskope DSPMでアクティビティが記録された時刻と一致します。

システムアクティビティ

{
   "timestamp": "02-15-2023 04:33:13",
   "type": "scan",
   "description": "Netskope One DSPM completed a scan of data store: 'fp-redshift'\n\nStart time: 2023-02-15 18:48:02.0\nEnd time: 2023-02-15 18:48:45.309\n\nNew queries scanned: 0\nExfiltration alerts generated: 0\nPrivacy alerts generated: 0\nData modification alerts generated: 0\nColumn classification alerts generated: 0\n\n# of new fields detected: 0\n# of new fields classified as sensitive: 0\n# of new fields classified as not sensitive: 0\n"
}

ユーザーアクティビティ

{
   "timestamp": "02-15-2023 04:33:13",
   "type": "create",
   "username": "demo@netskope.com",
   "resource": "User Identity",
   "description": "User configured a new employee directory service with name Netskope One DSPM Directory"
}