テナント構成のセキュリティ強化とセキュリティ強化

このドキュメントでは、 Netskope製品で利用可能なセキュリティ構成と、それらを 顧客環境に展開されたNetskope製品およびコンポーネントのセキュリティを強化する方法について概説します。

セキュリティ強化に関するガイドラインは、以下のセクションで説明します。

• テナントのセキュリティ強化に関するガイドライン
• クライアントセキュリティ強化ガイドライン
• Private Accessセキュリティ強化ガイドライン
• パブリッシャーのセキュリティ強化ガイドライン
• アプライアンスのセキュリティ強化ガイドライン
• Cloud Exchangeセキュリティ強化ガイドライン

テナントのセキュリティ強化に関するガイドライン

このセクションでは、テナントUIで利用可能なセキュリティ構成と、それらを UIのセキュリティを強化する方法について概説します。

ユーザーIDと認証

ユーザーの身元確認とアクセス制御は、ユーザーが製品にアクセスする方法と、ユーザーの身元がどのように確立されるかにおいて重要な役割を果たします。Netskopeは、テナントに対するユーザーIDとアクセス制御を強化するための以下のオプションを提供します。

シングルサインオン（SSO）

Netskope 、ローカルでのユーザープロビジョニングに加えて、ユーザーのプロビジョニング、識別、認証を行う機能も提供します。 シングルサインオン（SSO）ソリューション。 このソリューションは、ユーザーのアクセスを1か所から制御できる機能を提供することでセキュリティを強化し、各アプリケーションにおけるユーザー管理の必要性を排除します。

SSOを設定するには：

1. NetskopeのUIで Settings > Administration > SSOに移動します。
2. SSOの設定手順については、 「Netskope UI のシングルサインオンの設定」を参照してください。

多要素認証（MFA）

SSOなしでプロビジョニングされたローカルユーザーのセキュリティを強化するために、 Netskope追加のセキュリティレイヤーを提供します。 多要素認証。 これにより、ブルート フォース攻撃やクレデンシャル攻撃からユーザー アカウントが保護されます。

MFAを設定するには：

1. Settings > Administration > Adminsに移動して管理者ページを開き、管理者のタイプ (1) と MFA ステータス (2) を確認してください。
2. ローカル管理者アカウントのユーザー一覧の末尾にある省略記号（3）をクリックし、 Editをクリックします。管理者編集ページが開きます。
3. 多要素認証ラジオボタンをDisabled （デフォルト）からEnabledに切り替えます。
4. 次回ローカル管理者がアカウントにログインする際、管理者は認証を行う必要があります。 認証アプリまたはワンタイムパスワードを使用します。 電子メールは、管理者のNetskopeアカウントに関連付けられた電子メールに送信されます。
5. 必要に応じて、管理者のMFAをリセットできます。ローカル管理者のMFAを無効にするには、「リセット」をクリックしてください。以下の警告メッセージが表示されます。
   

Note: Netskope SSOまたはMFAのいずれかの機能を使用して、テナントへのユーザーのアクセスを不正アクセスから保護することを推奨します。

同時ログイン数

Netskopeは、ユーザーが複数のデバイスから同じアカウントにログインすることを制限する機能を提供します。これにより、ユーザーのアカウントが侵害された場合に、同時ログインが防止されます。 また、ユーザーがアカウントが別の場所からログインされているかどうかを追跡する手段も提供する。

同時ログインを禁止するには：

1. デフォルトを変更するには、 Settings > Administration > Admins.
2. 右上にあるSettings アイコンをクリックして、「設定」ダイアログボックスを開きます。アクティベートDisallow Concurrent Logins by the same Admin.
   
   
3. Saveをクリックしてください。

認証／アクセス制御

Netskopeは、ユーザーの役割と責任に基づいて、きめ細かなアクセス権限を付与する機能を提供します。これにより、ユーザーは仕事やアクセスに本当に必要なものに確実にアクセスできるようになります。この制御は、ロールベースアクセス制御によって実装されます。

認証/アクセスを設定するには：

1. Settings > Administration > Rolesへ移動してください。
2. ロールベースアクセス制御を設定するには、 「ロールの作成」を参照してください。

ブルートフォース攻撃に対する防御

Netskopeは、追加設定によってアカウントをブルートフォース攻撃から保護する方法を提供します。以下のセクションでは、各オプションについて説明します。

IPアドレスの許可リスト

Netskopeは、IPアドレスに基づいてテナントのアクセスを制限するオプションを提供しています。これにより、不正なユーザーが顧客のIPアドレス空間外からテナントにアクセスできないことが保証されます。

IPアドレスの許可リストを設定するには：

1. Settings > Administration > IP Allowlistに移動してEdit.
   をクリックしてください。
2. IPアドレス、範囲、またはサブネットを入力してください。複数のIPアドレスはカンマで区切ってください。完了したら、クリック +ADD.
3. ステータスをDisabledからEnabledに変更します。
   
4. IP許可リストを有効にして、 Saveをクリックします。

NoteNetskopeは、NetskopeのIPアドレスの事前定義リストを追加しました。これにより、Netskopeサポートはテナントにアクセスして、顧客の問題をトラブルシューティングおよび解決できるようになります。

ログイン失敗回数

この機能は ユーザーによる総当たり攻撃を防ぎ、定義された回数の不正アクセス試行後にアカウントがロックアウトされることを保証します。

ログイン失敗時の設定方法：

1. Settings > Administration > Adminsへ移動してください。
2. 右上隅のSettingsクリックしてください。
3. Maximum failed login attemptsの試行回数を入力してください。
4. Saveをクリックしてください。

追加コントロール

上記の対策以外にも、利用可能な追加のセキュリティ対策があります。

アイドルタイムアウト

この機能により、管理者はログイン中のセッションが一定期間非アクティブ状態になった場合に、ユーザーをログアウトさせることができます。これは、ユーザーがシステムを放置する状況において、テナントを不正利用から保護するように設定できます。

アイドルタイムアウトを設定するには：

1. Settings > Administration > Adminsへ移動してください。
2. 右上隅のSettingsクリックしてください。
3. Idle Timeoutドロップダウンで希望する分数Select 。
4. Saveをクリックしてください。

パスワードの有効期限

ユーザーにパスワードの変更を促すため、一定期間後にパスワードの有効期限を設定するのが最善の方法です。

パスワードの有効期限を設定するには：

1. Settings > Administration > Adminsへ移動してください。
2. 右上にあるSettings アイコンをクリックしてください。
3. Password Expirationドロップダウンで日数Select 。
4. Click Save.

GovCloud

PBMM環境では、証明書の検証を行うCRL配布ポイントにクライアント証明書が必要となるため、 crl.govskope.caドメインをSSL DND（復号化拒否）ポリシーに追加してください。

GovCloudの詳細については、こちらをご覧ください。

Netskope Clientセキュリティ強化ガイドライン

Netskope Client Netskope製品の中核であり、 環境内のトラフィックを制御し、プライベートアプリケーションへのアクセスを提供し、エンドマシンに必要なセキュリティを適用します。 エンドマシンに。

Netskope Clientは重要な用途で使用されることを考慮し、環境内でクライアントを適切に保護するために活用できる多くのセキュリティ設定と強化オプションを備えています。

以下のセクションでは、クライアントで利用可能なセキュリティ設定について説明します。

ユーザーIDと認証

Netskope Client 、ユーザーのプロビジョニング、ユーザーIDの確立、およびユーザー認証を行うためのさまざまな方法を提供します。 ユーザーは、 次のいずれかによってプロビジョニングできます。

• Netskopeディレクトリ インポーターを使います。
• SCIM アプリケーションを使用します。
• Manually.

詳細については、こちらの詳細なドキュメントを参照してください。

Netskope ClientにおけるユーザーIDは、次のいずれかのパラメータによって確立されます。 以下のいずれかのパラメータ：

• ユーザープリンシパル名（UPN）。これは、ユーザーがログインしているマシンから自動的に取得されます。
• ユーザーの電子メール アドレス。

ユーザー認証は クライアントの展開方法とユーザーへのプロビジョニング方法に応じて、以下のいずれかの方法で実現できます。 Netskope Clientでサポートされているユーザー認証方法は以下のとおりです。

• One-time token: Netskope Client 、クライアントがインストールされ、電子メール招待をプロビジョニングされるときに、ワンタイム トークンを使用します。 招待メールにはワンタイムトークンが含まれており、インストールとユーザー認証が完了するとトークンは期限切れになります。 詳細については、こちらのドキュメントを参照してください。
• IdP-based authenticationNetskope Client 、IdPを介したユーザー認証と登録をサポートしています。 この場合、ユーザーは管理者がテナント用に設定したIdPに対して認証を行う必要があります。 SAMLフォワードプロキシでIdPを設定できます。詳細については、こちらのドキュメントを参照してください。
• Authentication TokenNetskope Client 、 ユーザー認証を確立するために使用できるトークンを提供します。 トークンは クライアントとNetskopeサービス間で共有される秘密鍵として JWT トークンに署名するために使用され、その後 ユーザー認証に使用されます。 このトークンはセキュア登録の一部であり、こちらのドキュメントに従うことで利用できます。

Note: ユーザー認証を厳格に適用するには、Netskope UIでセキュア登録を有効にし、次に認証トークンを有効にすることをお勧めします。

登録後の顧客リソースの保護

Netskope 、エンドポイントにクライアントを展開した後にNetskope Clientとそのリソースを保護するためのさまざまな追加の方法と機能を提供します。 クライアントのセキュリティをさらに強化するための追加制御機能の一部を以下に示します。

アクセス制限

エンドポイント上でNetskope Clientプロセス、構成ファイル、レジストリ、ディレクトリの場所にアクセスすることで、ユーザーがそれらを改ざんするのを防ぐことができます。 Netskope Clientに関連するすべてのファイル、プロセス、ディレクトリなどへのアクセスを制限できます。この追加保護機能を追加するには：

1. Settings > Security Cloud Platform > Netskope Client > Client Configurationへ移動してください。
2. 編集したいクライアント設定を選択してください。
3. Tamperproofの下に、 Protection Client configuration and resourcesチェックボックスをオンにします。
   
   
4. Saveをクリックしてください。

ファイルの暗号化

Netskope Clientに関連するファイルへのユーザーのアクセスを制限することとは別に、エンドポイント上のNetskope Client設定ファイルを暗号化するオプションがあります。 この暗号化では、基盤となるオペレーティング システムのネイティブ暗号化メソッドを使用してファイルを暗号化し、復号化します。

この機能を有効にするには、Netskopeサポートチームにお問い合わせください。

Note: 上記のオプションは、Windows 10以降のバージョンでのみサポートされています。

クライアントプロセスの保護

Netskope Client 、クライアントのプロセスを保護するためのさまざまなオプションがあり、ユーザーがクライアントを無効化したり、マシンから削除したりすることを防ぐための機能も備えています。 以下のセクションでは、これらのオプションについて説明します。

Netskope Clientの無効化を防止する

ユーザーがNetskope Clientに接続している間、ユーザーを保護するさまざまな 設定を回避することを防ぐため、ユーザー自身がNetskope Client無効にできないようにすることが重要です。

Netskope Clientの無効化を防ぐには：

1. 行く Settings > Security Cloud Platform > Client Configuration
2. 編集したいクライアント設定を選択してください。
3. Tamperproof, の下にあるAllow disabling of Clientsチェックボックスをオフにします。
4. Click Save

Netskope Clientのアンインストールを防止する

また、ユーザー自身がNetskope Clientアンインストールできないようにすることも重要です。 これは、テナント管理者が設定したパスワードでクライアントのアンインストールを保護することで実現できます。Windows デバイスでは、このパスワードによってクライアント サービスが停止されるのを防ぐこともできます。

ユーザーがクライアントをアンインストールできないようにするには：

1. 行く Settings > Security Cloud Platform > Netskope Client > Client Configuration
2. 編集したいクライアント設定を選択してください。
3. Tamperproofの下で、 Password protect Client uninstallationを選択してください。
4. 表示されたボックスに、管理者パスワードを入力します。 Netskope Clientアンインストールする必要があるシナリオが発生した場合。 このパスワードを取り扱う際は、適切なパスワード管理を徹底してください。
5. Saveをクリックしてください。

Note: この設定はProtect Client configuration and resourcesと一緒に有効にすることを強くお勧めします。

クライアントトンネルがない場合のエンドポイントの保護

Netskope Client次のようなクライアントの特定のシナリオが満たされない場合に、エンドポイントからのすべてのネットワーク トラフィックをブロックする機能があります。

• クライアントからNetskopeへトラフィックを誘導するためのトンネルが接続されていません。
• エンドポイントにはユーザーはプロビジョニングされませんが、クライアントはインストールされます。

この設定を有効にすると、エンドポイント上でユーザーがインターネットにアクセスできなくなるため、マシン上で全てのセキュリティポリシーが設定されていない限り、エンドポイントが保護されます。

この設定を有効にすると、 Password protection Client uninstallationも有効になり、 Allow disabling of Clientsが無効になります。この設定では、カテゴリに基づく例外を除き、すべての例外が適用されます。

この設定を有効にするには：

1. 行く Settings > Security Cloud Platform > Netskope Client > Client Configuration
2. 編集したいクライアント設定を選択してください。
3. Tamperproofの下で、 Fail Closeチェックボックスをオンにします。
4. Password protect Client uninstallation無効になっているか、 Allow disabling of Clients有効になっている場合、次のメッセージが表示されます。クリックProceed.
   
   
5. クライアントのアンインストールを保護するために使用する管理者パスワードを入力してください。 クライアントのアンインストールを保護するために使用します。 次に、以下のいずれかを選択してください。
   • プライベートアプリのトラフィックはブロック対象から除外されるべきである。
   • クライアントアイコンが非表示になっている場合でも、通知は表示されるべきです。
   • ユーザーがキャプティブポータルの背後にいる場合、フェイルクローズを無効にする期間はどのくらいにすべきでしょうか。

   

6. Saveをクリックしてください。

追加コントロール

上記の制御機能に加えて、Netskopeは、ファイル転送中のファイル保護機能など、追加の制御機能も提供しています。

登録構成保護

登録設定ファイルは、TLSに加えて暗号化することでさらに保護できます。これにより、ダウンロード中のファイルの機密性と完全性が維持され、復号トークンが設定されていないマシンへのクライアント登録が防止されます。

セキュア登録を設定するには：

1. 行く Settings > Security Cloud Platform > Netskope Client.
2. MDM Distribution > Secure Enrollmentをクリックしてください。
3. Enable Enforce encryption of initial configuration of Netskope Client.
4. これによりトークンが作成されます。エンドポイントにトークンをプッシュします MDM/SCCMツール。

アップデートとアップグレード

Netskopeは、クライアントのアップデート／アップグレードを設定する機能を提供し、クライアントが常に最新の状態に保たれるようにします。ソフトウェアを最新バージョンに更新することで、セキュリティ上の問題が修正され、アプリケーションが 最新の機能と性能を備えていることが保証されます。

アップグレード設定を構成するには：

1. Settings > Security Cloud Platform > Netskope Client > Client Configurationへ移動してください。
2. 設定を作成または編集し、 Install & Troubleshootに移動します。
3. Upgrade Client Automatically toをチェックし、ドロップダウンから更新を選択してください。
   
4. Saveをクリックしてください。

Netskope Private Access （ NPA ）セキュリティ強化ガイドライン

Netskope Private Accessは、 Netskope PublisherとNetskope Clientにプロビジョニングされます。 パブリッシャーは、アクセス権限を付与する必要のあるアプリケーションの近くに配置されます。アクセスは、ポリシーが構成されているユーザーの NSClient を使用してプロビジョニングされ、アプリケーションにアクセスするために別のトンネルが確立されます。

Netskope Private Accessには、内蔵のセキュリティ制御機能以外にも、以下のようなセキュリティ強化オプションが用意されています。

ユーザー認証

Netskopeは、NSClientを介してプライベートアプリケーションとのユーザー認証を確立します。ユーザーがNSClientに登録されると、NPAに登録してアプリケーションへのアクセスをプロビジョニングするためのNPAトンネルを設定するために、別途認証が開始されます。

プライベートアプリのユーザー認証を強化するためのオプションを以下に示します。

プライベートアプリの定期的な再認証

定期的な再認証により、ユーザーは指定された時間経過後に、テナント用に構成されたidPで再認証され、プライベートアプリにアクセスできるようになります。 再認証を行わないと、ユーザーはプライベートアプリにアクセスできません。これにより、たとえデバイスが侵害されたとしても、悪意のあるユーザーがアプリにアクセスできないことが保証されます。

機能の設定手順は次のとおりです。 機能の設定手順は次のとおりです。

1. 行く Settings > Security Cloud Platform > Netskope Client > Client Configuration > New Client Configuration
2. ユーザー用の新しい設定を編集または作成し、 プライベートアプリセグメントの Periodic re-authentication for Private App Segments にチェックして有効にしてください。間隔Select 、猶予期間を設定してください。 完了したら、 Saveをクリックしてください。

Noteこのオプションが利用できない場合は、Netskopeサポートチームにお問い合わせください。

Netskope Publisherのセキュリティ強化ガイドライン

Netskopeは、NPA Publisher向けに以下のセキュリティ強化ガイドラインを推奨しています。発行元のセキュリティを強化するために、これらの設定を行ってください。

OSの強化

Netskopeは、ホストOSに付属するNPAパブリッシャーを提供するとともに、顧客独自のホストOSにインストールできるNPAパブリッシャーも提供しています。詳細については、こちらを参照してください。

Netskopeは、ホストOSに付属するNPAパブリッシャーを強化するために、以下の対策を講じています。

• ホスト OS 用の CIS ベンチマーク イメージを使用します。
• ベースOSおよびコンテナOSへのrootログインを無効にしました。
• ルートパスワードを削除しました。
• 意図しない、または悪意のあるシステム再起動を防ぐため、Ctrl+Alt+Delキーのサポートを無効にします。

Netskopeは、パブリッシャーのセキュリティを強化するために、ホストOS上で以下の対策を講じることを推奨しています。

アクセス強化

• SSH認証において、パスワード認証の代わりに鍵認証を使用する。Netskope AWS AMIは、その機能を標準で提供します。
• Ubuntu 22.04 のネイティブファイアウォールまたはネットワークファイアウォールを使用して、パブリッシャーへのアクセスを制限します。

プロトコルとポート

パブリッシャーは、以下のポートとプロトコルを介した通信を必要とします。

• ポート22：SSHアクセス
• ポート53：DNS解決
• ポート443：トンネル接続とアップデートのためのHTTPSアウトバウンド接続
• 顧客アプリケーションで必要となる追加ポート。

パブリッシャーに対して、他のすべてのポートとプロトコルが無効になっていることを確認してください。

アップデートとアップグレード

Netskopeは、ソフトウェア更新プロセス中にホストOSとパブリッシャーパッケージを更新します。

• ベースOS（Ubuntu 22.04）のセキュリティアップデートとカーネルアップデート。
• パブリッシャー（セキュリティ、機能、および機能強化）。Netskopeは、パブリッシャーが常に最新のソフトウェアバージョンにアップデートされていることを推奨します。カーネルのアップデートについては、こちらの指示に従ってください。

Netskopeは、パブリッシャーの自動更新を設定する方法を提供します。設定と有効化を行うには、こちらの指示に従ってください。

パブリッシャーへのサードパーティ製アプリケーションのインストール

Netskopeは、パブリッシャーへのサードパーティ製ソフトウェアのインストールを推奨していません。特に、ホストOSもNetskopeが提供しているパブリッシャーへのインストールは推奨していません。サードパーティ製ソフトウェアのインストールは、お客様ご自身の責任で行っていただくものとし、Netskopeは、お客様がインストールしたサードパーティ製ソフトウェアに起因するいかなる違反についても責任を負いません。こちらの指示に従ってください。

パブリッシャーメンテナンスのベストプラクティス

Netskopeは、パブリッシャーの円滑な運用を確保するために、他のパブリッシャーのベストプラクティスに関する詳細なガイドを提供しています。こちらのベストプラクティスに従ってください。

Netskopeアプライアンスのセキュリティ強化ガイドライン

Netskope 、 Netskopeアプライアンス向けにこれらのセキュリティ強化ガイドラインを推奨します。 これらのセクションでは、アプライアンスのセキュリティを強化する方法について説明します。

OSの強化

Netskopeは、アプライアンスのOSをデフォルトで強化するために、以下の対策を実施しました。

• シェルへのアクセスが制限されています。
• デフォルトでは、アプライアンスのホストOSへのアクセスは、限られた数のコマンドに制限されています。

アクセス強化

アプライアンスには 2 つのユーザー アカウントが付属しており、どちらもデフォルトのパスワードを持っています。 Netskopeは、両方のアカウントのデフォルトパスワードを変更することを推奨します。以下の手順に従って同様の操作を行ってください。

1. アプライアンスにログインし、デフォルトのクレデンシャルを使用します。
2. ログイン後、適切なコマンドでパスワードを変更してください。 適切なコマンドを使用してください。
   • nsadminユーザーの場合：

     nsappliance> auth change-password nsadmin

   • nstransferユーザーの場合：

     nsappliance> auth change-password nstransfer

3. その後、シェルに表示されるポップアップの指示に従って新しいパスワードを設定してください。

港湾およびサービス

アプライアンス上で以下のポートとサービスのみが設定され、その他はすべて無効になっていることを確認してください。

• 出港港
  • ポート443：管理接続用
  • ポート 22: ログアップロードを使う SFTP
  • ポート443：HTTPSを使用したNetskopeクラウドへのログアップロード
  • ポート 443: HTTPS で REST API トークンを取得するために使用されます
• 受信ポート
  • ポート514：syslogトラフィックを受信するためのポート
  • ポート4400：ADコネクタ
  • ポート22：SFTPおよびSCP
  • ポート21：FTPS

IP許可リストを使うアクセス制限

アプライアンスのCLIにアクセスするためのSSH接続は、信頼できるIPアドレスのみに制限できます。この設定により、許可リストに登録されたIPアドレスのみがアプライアンスのCLIにアクセスできるようになります。

アプライアンスで許可リストIPを設定するには：

1. 1. アプライアンスにログインしてください。
   2. configureコマンドを使用して構成モードに移動します。
   3. 設定モードで このコマンドでIP許可リストを設定します。

      set system ssh-allowlist <comma-separated list of IPs and subnets without spaces>

      例： set system ssh-allowlist 192.168.169.0/24,172.18.78.10

   4. Saveを入力してください。

   Ensure these things exist to properly configure the IP Allowlist:

   • サブネットは<IP>/<Netmask>の形式で指定する必要があります。例えば、 192.168.169.0/24, 172.18.78.0/255.255.255.0.
   • リスト内の個々の許可IPアドレスは、アプライアンスのインターフェースに設定されているIPアドレスと同じであってはなりません。ただし、許可リストに登録されたサブネットには、アプライアンスのインターフェースに設定されたIPアドレスを含めることができます。
   • 許可リストの IP には、 Netskopeアプライアンスの内部ブリッジ ネットワーク用に予約されたサブネットが含まれていてはなりません。 デフォルトでは、アプライアンスの内部サービスはサブネット172.17.0.0/16を使用します。 このサブネットは変更できます コマンド、

     set system bridge-network <IP subnet>

   • ブリッジ ネットワークに新しいサブネットを指定する場合は、 <Network Address>/<Netmask>という形式を使用します。 例： 192.168.1.0/0, 172.18.78.0/255.255.255.0.

   ログインバナーを設定する

   仮想アプライアンスにログインすると、 Netskopeアプライアンスのデフォルトのログイン バナーがコンソールに表示されます。 ソフトウェアの悪意のある使用を阻止するために、組織のポリシーに基づいてバナーを更新することをお勧めします。 アップデートするには、以下の手順に従ってください。

   1. ログインバナーを設定するには、設定プロンプトで次のコマンドを入力します。
      set system login-banner
   2. ログインバナーをコピーして、プロンプトに貼り付けてください。
   3. Ctrl-Dを押して新しいログインバナーを設定してください。
   4. ログインバナーの設定を保存するには、設定プロンプトで「save」と入力してください。

   証明書管理

   アプライアンスは、SSL検査を有効にするためにサーバー側の証明書を必要とします。アプライアンスは自己署名証明書を生成できますが、CA 署名証明書を使用することをお勧めします。 以下の手順に従って、CA署名付き証明書を設定してください。

   1. アプライアンスにログインしてください。
   2. 証明書を設定するには、以下のコマンドを使用してください。
      • set dataplane forward-proxy server-cert （証明書をコピー＆ペーストしてEnterキーを押し、その後Ctrl+Dを押してください。）
      • set dataplane forward-proxy server-key （バッファに秘密鍵をコピー＆ペーストし、Enterキーを押してから、Ctrl+Dを押して終了してください。）
      • set dataplane forward-proxy server-intermediate-ca-chain
   3. 追加の証明書は、以下の順序でコピー＆ペーストしてください。
      • サーバー証明書、中間CA証明書、ルートCA証明書
      • 終了するには、 Enterを押してからCtrl-Dと入力してください。
   4. 設定を保存するには、 Saveを入力してEnterを押してください。

   ログアップロードの強化

   本アプライアンスは、ログを安全にアップロードするための様々な方法を提供します。Netskopeは、これらのセキュリティ対策を設定することを推奨します。

   ログアップロード用のSSHキーを設定する

   SSHキーペアを設定することで、ログをアプライアンスに自動的にアップロードできます。
   独自の SSH キー ペアを使用するには:

   1. アプライアンスにログインしてください。
   2. nsshellの設定モードに入るには、 configureを入力してください。
   3. CLI設定のssh-public-keysリストにエントリを追加するには、 次のコマンドを使用します。

      add log-upload ssh-public-keys
      added index 0

   4. 最後のコマンドで返されたインデックスに、SSH公開鍵の値を設定します。これにはSSH公開鍵を貼り付ける必要があります。

      set log-upload ssh-public-keys 0 key

   5. SSH公開鍵をコピー＆ペーストしてください。
   6. 1行以上の入力を入力してください。完了したら、Ctrl+Dを押してください。
   7. 設定が正しく適用されていることを確認するには、次のコマンドを入力してください。

      show log-upload ssh-public-keys

   8. 変更を有効にするには、「保存」と入力してください。

   さまざまなログアップロードオプションと設定の詳細については、こちらをご覧ください。

   監査ログ記録と監視

   Netskopeは、悪意のある活動を検出するために、アプライアンスのログを監視することを推奨します。アプライアンスは
   ユーザーのアクティビティによって生成されたすべてのアクションとイベントの監査ログを生成します。アプライアンスのログを監視し、アラートを設定するには：

   1. アプライアンスのnsshellを開き、次のコマンドを入力します。

      add audit-logging destinations

   2. サーバーからの応答は、インデックス0の後に追記する必要があります。
   3. 次のコマンドを使用して、syslog サーバーの宛先を構成します。

      set audit-logging destinations 0 host <hostname>
      set audit-logging destinations 0 port <port number>
      set audit-logging destinations 0 protocol [TCP | UDP]
      set audit-logging enable true

   4. この機能を無効にするには、最後のコマンドにfalseを入力してください。
   5. 有効にした場合、ホストおよびポートコマンドで指定されたシステムのログファイルを確認してください。

   アップデートとアップグレード

   Netskopeは、アプライアンスを常に最新バージョンにアップデートしておくことを推奨します。最新バージョンには、セキュリティ上のバグ修正、機能強化、その他の改善が含まれています。アプライアンスのアップグレードおよび自動更新の設定については、これらの手順を参照してください。

   • アップグレード
   • 自動更新を設定する

   Cloud Exchangeセキュリティ強化ガイドライン

   Netskopeは、Cloud Exchange向けに以下のセキュリティ強化ガイドラインを推奨しています。以下のセクションではCloud Exchangeのセキュリティを強化する方法について説明します。

   ホストの強化

   Cloud Exchangeは、顧客の要件や環境に応じて、さまざまな方法で導入できます。Netskope 、組織の OSがサポートするセキュリティのベストプラクティスに沿って、基盤となるOSを強化することを推奨します。例えば、次のようなものです。

   • 未使用およびセキュリティ上の問題があるポートを無効化します。
   • OSへの証明書ベースのユーザー認証を有効にする。
   • 適切なログ記録とイベント管理を確保する。
   • OSを最新のセキュリティパッチで常に更新しておく。

   高可用性

   Netskope Cloud Exchange高可用性構成でデプロイおよび構成するオプションを提供しており、一箇所で障害や停止が発生した場合でもサービスが確実に稼働するようにします。 HA構成の詳細については、こちらをご覧ください。
   Netskope 、 この機能を使用し、以下のベストプラクティスを適用することを推奨します。

   港湾およびサービス

   Netskopeは、HA構成のために以下のポートとサービスを設定することを推奨します。

   • ポート80/443: Cloud Exchange UI
   • ポート 4369: RabbitMQ ノードと CLI ツールによって使用されるピア検出サービス
   • ポート5672： AMQP 0-9-1およびAMQP 1.0クライアントによるTLSなしおよびTLSあり
   • ポート15672：HTTP APIクライアント、管理UI、およびrabbitmqadmin（TLSありとなし）
   • ポート 25672: ノード間および CLI ツールの通信に使用します
   • ポート 35672: ノード間および CLI ツールの通信に使用します
   • ポート27017：mongodbおよびmongosインスタンスのデフォルトポート。

   ストレージ

   Cloud Exchange共有ストレージにはNFSを使用するため、 Netskope CEインスタンスのみがアクセスできるようにNFSボリュームを設定することが重要です。 この予防措置は、セキュリティ対策を強化するために極めて重要である。

   Cloud Exchangeセキュリティ強化

   Netskope Cloud Exchange導入後に安全に構成するための以下のオプションを提供します。

   クレデンシャルと秘密管理

   デフォルトでは、すべてのCloud Exchange操作に必要なクレデンシャルは、パスワードで保護された MongoDB 内に保存されます。 Mongoに保存されているデータは暗号化されていません。
   Mongoにおけるデータ暗号化は、エンタープライズ版でのみ利用可能です。
   Secrets Manager は ユーザーがNetskopeテナント、顧客プラグインリポジトリ、およびプラグインを構成できるようにします 構成済みのSecrets Managerからシークレットを取得します。 設定すると、シークレットパスのみがMongoDBに保存されます。
   Secrets Managerで現在利用可能なオプション：

   • Hashicorp Vault

   書き込み権限を持つユーザーとして、以下の手順を実行してください。

   1. Settings > General > Secret Managerへ移動してください。
   2. デフォルトでは、シークレットマネージャーは無効になっています。Secrets Managerトグルを有効にします。
   3. シークレットマネージャーのデフォルト値はそのままにしておいてください。現時点ではHashiCorpが唯一の選択肢です。
   4. VaultのURLと名前空間を指定してください。
   5. 認証方法Select 。 現在サポートされている認証方法は以下のとおりです。
      • トークン（ https://developer.hashicorp.com/vault/docs/auth/token ）
      • AppRole ( https://developer.hashicorp.com/vault/docs/auth/approle )
      • ユーザー名とパスワード ( https://developer.hashicorp.com/vault/docs/auth/userpass )
   6. 選択した認証方法に必要なパラメータを入力し、 Saveをクリックしてください。

   秘密管理

   これらのテナント設定を設定し、使う 秘密をカスタムプラグインリポジトリやSecret Managerでテナント Netskope 管理できるようにします。
   
   トグルを無効にすることで、秘密のパスの代わりにパスワードの値を直接入力することも可能です。
   

   港湾およびサービス

   以下のポートのみが有効になっており、関連するサービスがそれらのポートで実行されていることを確認してください。

   • ポート: 80/443 HTTP/HTTPS
     • 設定可能 – セットアップ時
     • CE UIにアクセスするために必要
   • ポート: 15672
     • 設定可能 – いいえ
     • RabbitMQ ダッシュボードに使う

   通信セキュリティ

   Cloud Exchangeでは、セットアップ時にTLS 1.3および/またはTLS 1.2を設定するオプションが提供されています。これらはCloud Exchange UIの通信チャネルのセキュリティのためです。
   Cloud Exchange自己署名証明書を生成します いずれのプロトコルにも対応します。 NetskopeこれにはCA署名付き証明書を推奨します。 Cloud Exchangeでは、証明書をアップロードするオプションが提供されています。
   証明書の管理方法に関するより詳細な情報については、こちらをご覧ください。

   ユーザー管理

   Cloud Exchangeには、デフォルトで3人のローカルユーザーが付属しています。3人のユーザーにはそれぞれ異なる役割が割り当てられている。Netskopeは、必要に応じてこれらのユーザーを設定し、設定とセットアップが完了したらこれらのユーザーのデフォルトパスワードを変更することを推奨します。
   ユーザーとその役割は以下のとおりです。

   • admin: Cloud Exchange UI にアクセスするために使います。
   • user: RabbitMQ ダッシュボードにアクセスするために使います。
   • cteadmin: mongo データベースにアクセスするために使います。

   Cloud Exchangeは、ローカルユーザーアカウントのサポートに加え、SSOによるユーザープロビジョニングもサポートしています。SSO（シングルサインオン）によるユーザープロビジョニングは、より高いセキュリティを提供するため推奨されます。こちらのドキュメントを参照してください。

   パスワードポリシー

   Cloud Exchange厳密なパスワード ポリシーを強制しませんが、次のオプションを使用して強力なパスワードを使用することをお勧めします。

   • パスワードには少なくとも1つの小文字の「ケース」を含める必要があります
   • パスワードには少なくとも1つの大文字を含める必要があります。
   • パスワードには少なくとも1つの特殊文字（例：#、@、）を含める必要があります。
   • パスワードには少なくとも1つの数字を含める必要があります。
   • パスワードは最低8文字必要です。
   • パスワードには最大72文字まで使用できます。

   アップデートとアップグレード

   Netskopeは、製品の機能を向上させるとともに、セキュリティ上の問題や欠陥に対処するため、Cloud Exchangeのアップデートとアップグレードを定期的にリリースしています。Netskopeが提供する最新バージョンでCloud Exchangeを常に最新の状態に保つことをお勧めします。
   より詳しい情報については、こちらをご覧ください。