セキュア構成サービスに関するよくある質問

このセクションでは、Netskopeテナントでセキュア構成サービスを有効にする際に発生する様々な疑問にお答えします。

What does the vulnerability look like?

この脆弱性は、テナント管理者が設定するNetskope Client設定変更に関するものです。 

When will Netskope have the fix for the issue? 

Netskopeバージョン 129.0.0 で修正プログラムをリリースします。 Netskope Clientバージョン 123 (123.0.15)、126 (126.0.9)、129.0.0 以降、テナント UI でSecure Configuration Service optionを選択して修正プログラムを適用してください。

Which version of the Netskope Client is vulnerable to this? 

Netskope Client のすべてのバージョンは、テナント UI からSecure Configuration Serviceが有効になっていない限り、脆弱性があります。Netskope Client バージョン 123.0.0、126.0.0、129.0.0 以降は、この修正に対応しています。

To apply the fix, what should I do next? 

この修正を有効にするには： 

• 「セキュア登録」が有効になっていること、およびクライアントがUPNモードでAuthentication tokenを使用してデプロイされていることを確認してください（IDPおよび 招待ではトークンをプッシュする必要はありません）。

• サポートされているNetskope Clientバージョン123.0.0以降が展開されていることを確認してください。

• Enable Netskope Client Secure Configuration from tenant UI.

What is the impact of applying the fix on users with Netskope Client? 

その影響については、以下を参照してください。 

• Netskope Client バージョン 123.0.0 をご利用中の既存の登録ユーザーには、一切影響はありません。 

  • Netskope Clientは、この機能を有効にした後、設定ファイルのダウンロード時に405エラーを表示する場合がありますが、この問題は自動的に解決されます。

• Netskope Clientバージョン 123.0.0 および Secure Enrollment とNetskope Client API 用 Secure Configuration を使用したユーザー登録には影響はありません。

• Netskope Clientのバージョンが123.0.0より前のユーザーは、「設定のダウンロードに失敗しました」というエラー（コード405）が表示され、設定をダウンロードできなくなります。

  • ユーザーは引き続きトラフィックを制御できますが、ユーザー向けに新しい設定がダウンロードされることはありません。

How can I roll back the feature, if there are any issues in their environment? 

問題が発生した場合は、機能Netskope Client Secure Configurationを無効にすると、以前のワークフローに戻ります。

Is there a countermeasure available to fix the gap? 

唯一可能な対策は、ユーザーが自分のマシンのオペレーティングシステムの信頼ストアにサードパーティの証明書をインストールまたは追加できないようにすることです。これにより、ユーザーが中間者攻撃（MITM攻撃）を実行したり、設定を改ざんしたりすることを防ぐことができます。  

How were we exposed before this fix?

管理者権限を持つユーザーが設定を改ざんした可能性があります Burp、Fiddler、ZAPなどのMITMツール 構成の変更には、 Allow disabling of Netskope Client 、 Disabling Steering hardening configurati 、 Disabling tamper proofingなどを変更することが含まれますが、これらに限定されません。

How do I identify if the flaw is being exploited or abused in my environment? 

Netskope UI上でデバイスとその状態を一覧にします。 情報はSettings > Security Cloud Platform > Netskope Client > Devicesの下にリストされています。

 Netskope 、SIEM および SOAR ツールに統合された APIv1 エンドポイントを提供し、マシン上のクライアントのステータスに基づいてアラートを生成します。
同じ情報が APIv1 エンドポイント経由でも公開されます。 最終目標は： 

•  api/v1/clients

• Status_v2 の値の意味: 3-無効 2-有効 0-アンインストール済み

以下に、虐待を示唆する可能性のある兆候をいくつか示します。

• ユーザーがクライアントを無効化できないように設定されているが、ユーザーがクライアントを無効化してしまった。

• エンドポイントからのクライアントのアンインストールを防止する設定になっているが、ユーザーがクライアントを削除してしまった。

• デバイス分類とユーザーのデバイスに関する設定は、特定のデバイス分類セクションに記載されていますが、ユーザーはそれをスキップすることができます。 

What happens if I enable Secure Configuration Service but I have a Client which is not on at least version?

クライアントバージョン123（123.0.16）、126（126.0.9）、129以降はすべて正常に動作します。少なくともこれらのバージョンにアップグレードされていないクライアントは、設定をダウンロードできず、新しいユーザーを登録したり、設定を正しくダウンロードしたりすることはできません。

Do I need to re-enroll all our existing users? 

いいえ、この修正にはユーザーの再登録は必要ありません。 

Do we plan on making a public disclosure (CVE) here? 

はい、CVE-2024-7402として公開されます。

Q. What happens if I am an API only user?

ユーザーがNetskope Clientでない場合、セキュア登録認証トークンが有効になっていて、強制されていることを確認してください。 セキュア構成を有効にしても、テナントのユーザーエクスペリエンスは変わりませんが、セキュリティ上の脆弱性から保護されます。特に、後でNetskope Client使用することを決定した場合に有効です。