安全な登録に関するよくある質問

このセクションでは、Netskopeテナントへの安全な登録を可能にすると同時に、さまざまな質問への回答を提供します。

セキュア登録が有効になっていない場合、どのようなリスクがありますか？

セキュア登録サービスが有効になっていない場合、悪意のある第三者が登録プロセスを迂回し、お客様の環境内のユーザープロファイルを使用してNetskope Client登録し、ユーザーのなりすましにつながる可能性があります。

トークンがユーザーデバイスに適用されているかどうかを確認するにはどうすればよいですか？

トークンは、レジストリキー（Windows）およびキーチェーン（macOS）に保存されます。

• On Windows:

  • Authentication token: HLM\\Software\\Netskope\\SecureToken\\AuthenticationToken

  • Encryption token: HLM\\Software\\Netskope\\SecureToken\\EncryptionToken

• On macOS:

  • Authentication token: com.netskope.client.branding.authToken

  • Encryption token: com.netskope.client.branding.encryptToken

トークンが正しく保存されていない場合、または誤ったトークンが保存されている場合、Netskope Client の登録プロセスは失敗し、Netskope Client の nsdebuglog ファイルに適切なログが生成されます。さらに、デバイスはテナント WebUI のデバイスの下にリストされますが、インストールのためのトンネルアップイベントは表示されません。

私の環境でこの機能が有効になるとどうなりますか？

この機能が有効になると、適切な認証なしに、悪意のある組織がお客様の環境からNetskope Client登録することはできなくなります。 トークン管理がユーザーに与える影響を理解するには、IDPとUPNを参照してください。 

この機能を有効にした場合、私の環境や既存のデプロイメントにどのような影響がありますか？

これは、 Netskope Client登録メカニズムのシナリオによって異なります。 お客様の環境におけるシナリオによって異なります。 詳細については、 Netskope Client登録ページをご覧ください。

既存のユーザー全員を再登録する必要がありますか？

いいえ、既存ユーザーは既に登録手続きを完了しているため、再度登録する必要はありません。

 この機能を有効にせずに、そのギャップを解消するための対策はありますか？ 

いいえ、セキュア登録を有効にせずにこのギャップを解消するための対策はありません。リスクを最小限に抑えるために、以下の手順を参照してください。

• デバイスのコンプライアンスとデバイスの分類を有効にします。

• デバイスのコンプライアンスチェックを満たしておらず、適切なデバイス分類に該当しないデバイスのすべてのトラフィックをブロックするポリシーを作成します。

• クライアント設定で「フェイルクローズ」を有効にすると、トンネルが確立されていない場合にすべてのトラフィックがブロックされます。

• クライアント構成でプライベートアプリの定期的な再認証を有効にしてください（テナントにIDPが設定されている場合）。

セキュア登録前のギャップが、当社の環境で悪用または不正利用されているかどうかをどのように特定できますか？

Netskopeデバイスと関連プロファイルの完全なログを維持しており、悪用を特定するために使用できます。 初期調査にあたっては、以下の点に留意してください。

• 使う Netskope Advanced Analytics (NAA): Netskope はNAA用の ダッシュボード を構築しており、使うは管理済みか非管理か、設定済みか未設定か、既知か不明かなど、デバイス準拠に基づいてデバイスをフィルタリングし、複数のデバイス「1」か「多」かを絞り込むこともできます。

• デバイスのリストを使用: Netskope 、デバイスのリストをSettings > Security Cloud Platform > Netskope Client > Devicesに管理します。 このリストは、ユーザーとデバイスのマッピング、一致しないホスト名の有無などに基づいてフィルタリングおよびエクスポートできます。 

• SIEM を使用する: SIEM をNetskopeデバイス REST API v1 と統合している場合は、このデータを SIEM 経由で利用できます。

  UEBAにはさらに詳しい指標が記載されています。

  • Netskopeはこの行動に基づいて自動的にユーザースコアを生成します。これらはIncidents > Behaviour Analyticsの下にリストされています。 

  • 行動分析において、以下の警告は指標を特定するのに役立ちます。

    • 一括ログイン失敗

    • 稀な出来事

    • 危険な国々

  これらのアラートを受け取ったユーザーがいる場合、それらのユーザーはさらなる分析の対象となる可能性がある。

  環境に応じて、この脆弱性を悪用した可能性のある不審なユーザーやデバイスを調査する際の出発点として役立つフィルターをいくつかご紹介します。

  • 複数のデバイスを関連付けているユーザー。

  • 管理対象外、不明、または未設定のデバイスに関連付けられているユーザー。

  • 組織のエンドポイントインベントリリストに含まれていないデバイス。

  • MDM または EDR デバイスのインストール リストに含まれていないデバイス。

  • 既知のテスト用デバイスは無視してください。

不正なデバイスや不正利用を特定した場合、次にどのような手順を踏めば良いですか？

分析の結果、不正なデバイスや不審なデバイスが見つかった場合は、以下の手順を参照してください。

• セキュリティ機能を有効にして、デバイスへのユーザーの新規登録を防止してください。 

• ユーザーがそのデバイス上で実行したイベント、アラート、またはアクティビティをすべて検索します。

• さらにサポートが必要な場合は、 Netskopeサポートをご利用ください。

既存の登録におけるトークンの有効期限が切れた後、どうなりますか？

既に登録済みのユーザーについては、登録手続きが完了しているため、影響はありません。 

ロールバックの手順は何ですか？

ユーザー登録に問題が発生した場合、セキュア登録オプションを無効にすることができます。

セキュア登録を有効にするには、特定のバージョンのNetskope Clientが必要ですか？ セキュア登録を有効にするには、特定のバージョンのNetskope Client必要ですか？

この機能はNetskope Clientパッケージとは関連付けられていないため、クライアントのバージョンに直接依存することはありません。 ただし、セキュア登録は最も互換性が高く簡単です バージョン116.1.0 またはそれ以降、セキュア登録の一部であるトークンは、クライアントをアンインストールして再インストールする必要なく、エンドユーザーのデバイスに適用できるようになります。

テナントでセキュア登録を有効にしました。しかし、私はNetskope Client最新バージョンにアップグレードしていません。 安全な登録手続きは正しく機能するだろうか？

はい、クライアントが既に登録またはプロビジョニングされている場合は、引き続き動作します。

セキュア登録を有効にした後、ユーザー証明書に変更を加える必要はありますか？

ユーザー証明書のローテーションは不要です。

 セキュア登録でサポートされているオペレーティングシステムはどれですか？

以下のバージョンのオペレーティングシステムがサポートされています。

• Windows 10以降

• macOS 11.0以降

• Android 11以降

• Windows Server 2016、2019、2022

• Linux: Ubuntu 18.04以降

• iOS: 15.1以降

 セキュア登録トークンには有効期限や有効期間はありますか？

 はい。トークンの有効期限は90日間です。ただし、使うwebUIのEDIT機能でトークンの有効性を延長することは可能です。 詳細については、トークンの有効期限をご覧ください。

Netskope管理者へのトークンの公開状況を監査するにはどうすればよいですか？

すべてのトークン操作はSettings > Administration > Audit Logsにキャプチャされます。

Netskope Clientをインストールするにはどうすればよいですか？ Windowsでセキュア登録トークンを使用した事前ログオン接続を実現するには？

NPA事前ログオンの場合、IDP登録済みであっても、認証トークンはエンドユーザーのマシン上に存在している必要があります。 事前ログオン接続を参照してください。

一部のユーザー WebUI上でユーザーIDが変更され、セキュアトークンはマシン上で有効です。 トークンは新しいユーザーに対してまだ有効ですか?

マシンに存在するセキュアトークンがwebUI上のセキュアトークンと一致する場合、 Netskope Client新しいユーザー用のブランディングファイルをダウンロードできます。 新しいユーザーは、ユーザーがログアウトしてドメイン ユーザーとしてログインすると、新しい電子メール アドレスで登録されます。

クライアントをデプロイする場合、トークンはどのように適用すればよいですか？ UPNモード？

トークン管理がユーザーに与える影響について詳しくは、「ユーザーへの影響」を参照してください。