RBIの脅威とデータ保護

この機能は、RBIを介したファイルアップロードおよびダウンロードトラフィックに対するDLPおよび脅威対策ポリシーをサポートします。管理者は、隔離されたブラウジングセッション内でアップロードとダウンロードを安全に有効化し、脅威対策とDLPのためにファイルをスキャンする追加のリアルタイム保護ポリシーを作成できます。

RBIとNetskope Threat Protectionおよびデータ保護マイクロサービスの統合によりNext Gen Secure Web Gateway生成されたすべてのトラフィックを分離して処理できるようになり、次のような追加のメリットが得られます。

• RBIテンプレートにおけるファイルアップロードおよびダウンロードの設定（構成可能）
• ユーザーアクティビティを個別に完全に可視化し、アプリのインラインコネクタを活用してユーザーアクティビティを検出します。
• 隔離されたトラフィックと隔離されていないトラフィックの両方に対して、脅威防御とDLPプロファイルを活用する
• インド準備銀行（RBI）による潜在的な脅威に対する監視強化は阻止された。
• 孤立したローカライズされたコンテンツ

この機能のワークフローは以下のとおりです。

1. アップロードおよび/またはダウンロードを有効にするために、隔離ポリシーとRBIテンプレートを確認してください（前提条件）。 
2. アップロードとダウンロードを制御するために、セキュリティポリシー（脅威対策またはDLP ）を設定します。
3. Skope IT イベント (ページ、アプリケーション) とアラートを確認します。
4. マルウェアおよび悪意のあるサイトに関するインシデントをレビューする。
5. DLPインシデントを確認する。
6. ベストプラクティスを確認してください。

RBIテンプレートでファイルのダウンロード/アップロードを有効にする

RBIのファイルアップロードおよびファイルダウンロードのテンプレート設定は、ユーザーが独立したブラウジングセッション内でアップロードまたはダウンロード操作を開始できるかどうかを制御します。 

隔離（脅威保護およびデータ保護ポリシー）のリアルタイム保護ポリシーを作成する前に、RBIテンプレートの「ファイルアップロード／ファイルダウンロード」設定を有効にしておくことが前提条件となります。管理者は、分離ポリシーと組み合わせて使用する既存の RBI テンプレートを作成または編集する必要があります。

Policies > Real Time Protection > Review Suggestionsへ移動してください。これは、 Action = Isolateが適用されている既存のポリシーのみを表示します。

既存のIsolateに添付されているRBIテンプレートを識別できます 。 

1. Policies > Templates > RBIに移動し、 New Template をクリックするか、既存のテンプレートを編集します。RBIテンプレートウィンドウが表示されます。
   
2. ファイルアップロードおよび/またはファイルダウンロードをクリックしてください。
3. 「保存」をクリックしてください。

詳細はこちら： RBIテンプレート

RBI ファイルのアップロードとファイルのダウンロードに関する DLP ポリシーの作成

新しいDLPポリシーを作成したり、既存のDLPポリシーを編集したりして、分離されたトラフィックのアップロードとダウンロードを制御できます。 孤立したトラフィックでのデータ損失(DLP)を検出・防止するために、分離ポリシーに関連付けられたRBIテンプレートに「ファイルアップロード/ファイルダウンロード」設定を有効にする必要があります。Netskope DLPサービスは、単独で閲覧中のアップロード・ダウンロードのデータ保護違反をスキャンし、適切な対応を適用します。

Policies > Real-time Protection > New Policy > DLP に移動して、新しい DLP ポリシーを作成します。

既存の分離ポリシーのスコープ（宛先「カテゴリ」、「クラウド アプリ」）を特定するには、 Policies > Review Suggestionsに移動します。これは、 Action = Isolateが適用されている既存のポリシーのみを表示します。

必要に応じて、 +ADD FILTERをクリックして特定のポリシーを検索するか、 Action > IsolateまたはRBI Templateでフィルタリングしてください。

詳細はこちらをご覧ください：

• リアルタイム保護ポリシー
• DLPプロファイル

一般に、DLP ポリシーのすべての送信元および宛先の基準がサポートされます。 DLP処理における最も関連性の高い基準とサポートされる値を以下に示します。 隔離されたトラフィックの処理：

• Destinationカテゴリ、アプリケーションノート：ターゲットRBIおよび拡張RBIでサポートされているカテゴリとアプリケーションのリストの詳細については、 RBIカテゴリの定義、拡張RBI - ウェブカテゴリ、拡張RBI - クラウドアプリを参照してください。
• Activitiesダウンロード、アップロード
• Action: アラート、許可、ブロック、ユーザーアラート
• Activity Constraintsファイルの種類、ファイルサイズ

RBIファイルアップロードおよびファイルダウンロード用の脅威保護ポリシーを作成する

新しいThreat Protection Policyを作成したり、既存のThreat Protection Policyを編集したりして、分離されたトラフィックでのアップロードやダウンロードを制御できます。 孤立したトラフィックでのデータ損失(DLP)を検出・防止するために、分離ポリシーに関連付けられたRBIテンプレートに「 ファイルアップロード/ファイルダウンロード」設定を有効にする必要があります。Netskope脅威保護サービスは、単独で閲覧中のアップロード・ダウンロードのデータ保護違反をスキャンし、適切な対応を行います。

Policies > Real-time Protection > New Policy > Threat Protection に移動して、新しい脅威保護ポリシーを作成してください。

既存の分離ポリシーのスコープ（宛先「カテゴリ」、「クラウド アプリ」）を特定するには、 Policies > Review Suggestionsに移動します。これは、 Action = Isolateが適用されている既存のポリシーのみを表示します。

必要に応じて、 +ADD FILTERをクリックして特定のポリシーを検索するか、 Action > IsolateまたはRBI Templateでフィルタリングしてください。

詳細はこちらをご覧ください：

• リアルタイム保護ポリシー
• 脅威防御ポリシー

一般に、DLP ポリシーのすべての送信元および宛先の基準がサポートされます。 以下の基準は、隔離されたトラフィックで処理される脅威防御ポリシーにおいて、最も関連性の高いサポート対象値です。

• Destinationカテゴリー、アプリケーション 
• Activitiesダウンロード、アップロード

  注記

  独立したトラフィックでは、ダウンロードとアップロードのみがサポートされます。その他の活動（例：編集、共有などの機能はサポートされていません。

• Action: アラート、許可、ブロック、ユーザーアラート
• Activity Constraintsファイルの種類、ファイルサイズ

Activity Constraints

スコープITイベント

ファイルのアップロードまたはダウンロードで脅威保護または DLP ポリシーの違反/一致が検出されると、 Netskopeポリシー、データ保護、および脅威保護エンジンが Skope IT アプリケーション イベント、ページ イベント、およびアラートを生成します。 

スコープITアプリケーションイベント

RBIに関連するアプリケーションイベントには、以下のRBI固有のフィールドが含まれます。

• 隔離から：値には「はい」、「いいえ」が含まれます
• RBI template ID
• RBI template name

ユーザーが隔離されたウェブページを閲覧中に実行したアクティビティに対応するアプリケーションイベントは、「隔離元」列に「はい」と表示されます。

隔離ポリシーに一致するものの隔離されなかったリクエスト（隔離対象コンテンツではないもの）は、「隔離元」列に「いいえ」というアプリケーションイベントを生成します。分離トラフィックを使用しないためのベストプラクティスの詳細については、 Create Real-time Protection Policies fo r content that you cannot isolateを参照してください。

特定のアプリケーションイベントが発生した場合は、対応するSkope ITアラートを表示することもできます。これは、タイムスタンプ列の横にあるオレンジ色の点で示されています。

歯車アイコンをクリックして列をカスタマイズします。「分離」から。「隔離値」には以下が含まれます。

• はい：アプリケーションイベントは、独立したブラウジングセッション内で発生します。
• いいえ: アプリケーションイベントは、RBI によって処理されたリクエストに対応しますが、独立したものではありません (ウェブページではありません)。
• 空欄：アプリケーションイベントはRBIとは関係ありません。

隔離状況またはアラートの種類でフィルタリングして、より詳細な表示を行うには、 +Add Filterクリックしてください。

「分離アクティビティからエクスポート」するには、 Exportをクリックしてください。

アプリケーションイベントの詳細を表示します。

Skope ITアラート

RBIに関連するアラートには、以下のRBI固有のフィールドが含まれます。

• 隔離から：値には「はい」、「いいえ」が含まれます
• RBI template ID
• RBI template Name

隔離されたウェブページを閲覧中にユーザーが行った操作に対応するアラートは、「隔離元」列に「はい」と表示されます。

隔離ポリシーに適合するが孤立していない(分離可能なコンテンツではない)リクエストに対応するアラートは、「From Isolation」欄に「no」と表示されるアラートエントリーを生成します。孤立トラフィックの禁止に関するベストプラクティスの詳細については、 Create Real-time Protection Policies for content that you cannot isolateを参照してください。

Skope ITアラートの詳細を表示

Skope ITページイベント

個別のブラウジングセッションに関連するアクティビティを表示するには、 Skope IT > Page Eventsに移動してください。

個別のブラウジングセッションでは、2つのページイベントが発生します。

「アクション」列に「isolate」と表示されている最初のページイベントは、隔離されたブラウジングセッションが行われたことを示しており、ユーザーとRBI間の通信を処理するRBIプロトコルに対応するトラフィックを要約しています。

アクション列が空白になっている2ページ目のイベント（同じWebサイトの場合）は、ユーザーに代わってRBIブラウジングセッションのブラウジングアクティビティを要約したものです。

マルウェアと悪意のあるサイト

Netskope RBIは、単独のブラウジングセッションでマルウェアが検出された場合、ユーザーが確認して対応できるようにアラートを作成します。

1. Incidents > Malwareに移動して、単独で検出されたマルウェアを検索してください。
2. 個別のブラウジングセッションで検出された悪質なサイトを検索するには、 Incidents > Malicious Sitesに移動してください。
3. アラート情報を表示するには、Malisteの名前をクリックしてください。単独でアクセスされたマルウェアサイトは、「隔離」アクションによって識別されます。

単独でアップロードまたはダウンロードされたマルウェアに感染したファイルは、 Netskopeによってマルウェアとして検出され、[アクション] 列に「検出」と表示された定期的なアラートが生成されます。

「ポリシー」アラートのアクションタイプの「隔離場所」列に「はい」と表示されます。また、アクションタイプが「マルウェア」のアラートの場合、「隔離場所」列は空白になります。 

通常、2つのアラートが表示されます。1つはポリシー（RBI固有のフィールド「隔離から」を含む）に関するもので、もう1つはマルウェアに関するものです。

DLPインシデント

個別のブラウジングセッションでDLP違反が検出された場合、Netskope DLPはそれを検知し、ユーザーが確認して対応できるようにアラートを作成します。通常、ポリシーに関するアラートとDLPに関するアラートの2つが表示されます。

1. Incidents > DLPに移動します。

2. DLPアラートをクリックして、インシデントの詳細を表示します。

3. 違反アラートアイコンをクリックして、アラートの詳細を表示します。

アラートの詳細

ベストプラクティス

このセクションには、今後寄せられる意見に基づいて拡充されていくベストプラクティスが掲載されています。

ポリシーの注文

以下に概説するように、ポリシーの順序付けは重要です。

• 管理者は、アップロード/ダウンロードのアクティビティまたはコンテンツに制御を適用するには、隔離ポリシーの前にDLP/脅威ポリシーを配置する必要があります。
• RBIプラットフォームに到達する可能性のあるコンテンツは、以下のヘルプトピックを参照してください:分離できないコンテンツのためにリアルタイム保護ポリシーを作成してください。

Netskopeブラウザおよびクライアントのユーザー通知

ユーザーは、ブラウザとクライアントの両方のユーザー通知を設定することで、ブロックされた操作やユーザーによる説明が必要な操作についてユーザーに警告することができます。RBI の脅威とデータ保護と連携して、ブラウザ通知は、それをサポートするウェブ アプリケーションでサポートされます。

特定の状況下では、クライアント通知はエンドユーザーに表示されません。 顧客がクライアントベースの通知を設定している場合、または分離されたウェブ アプリケーションがブラウザベースの通知をサポートしていない場合、違反が発生します。

この制限はユーザーへの通知のみに影響し、ポリシー違反に対して割り当てられたアクション（警告、ブロックなど）が適用されます。アップロードまたはダウンロードがブロックされた場合、ブラウザはファイルのアップロード/ダウンロード失敗を表示します。

以下は、違反行為が単独で発生した場合にエンドユーザーに表示される可能性のある、ブラウザベースのユーザー通知テンプレートの例です。

DLPアラートに関するブラウザベースの通知：

ファイルサイズとファイル形式の制限

RBIは、ファイルのアップロードとダウンロードのファイルサイズ制限を400MBに設定しています。さらに、DLPおよび脅威対策サービスには、それぞれデフォルトのファイルサイズが設定されています。詳細はこちら：高度なファイルスキャン