Overview
Privilege Analysisを有効にしてSMBファイルサーバーでスキャンが完了すると、DSPMはLDAP経由でActive Directoryからユーザーおよびグループのメタデータを取得し、効果的なアクセスおよびデータガバナンスリスクを計算します。
結果は、データストアインベントリページ、データストアユーザーページ、および分類管理（ファイルタブ）の3つの主要な領域に表示されます。
Important Technical Constraints:
- DSPMは最大5レベルの入れ子状グループメンバーシップを解決し、最大20レベルのフォルダ階層を横断します。
- 特権分析は、最新のSMBコネクタ（SMB v2/v3）を介してのみサポートされます。CIFS（SMB v1）はサポートされていません。
- DSPM はSMBファイル共有のネイティブ修復をサポートしていません。 SMBファイル共有自体におけるリスクは、手動で修復する必要があります（下記の推奨アクションを参照）。
- 大規模環境の場合、特権解析を有効にする前にコンタクトを Netskope DSPM チームに確認し、バックエンドがファイル量やユーザー数に適切に対応しているか確認してください。
設定手順については「 SMBファイル共有をDSPMに接続する」を参照してください。
データストアインベントリ - 機密データリスク
スキャンが正常に完了すると、データストアインベントリページに、SMB共有に関する以下の機密データリスク指標が表示されます。
- Sensitive files with org-wide access: 「全員」、「認証済みユーザー」、「ドメインユーザー」などのグローバルアクセスグループがアクセスできる機密ファイルの数。この数値をクリックすると、露出フィルターが「内部すべて」に設定された状態で分類管理画面に移動します。
- Sensitive files with broken inheritance: 権限の継承が無効になっている機密ファイルの数。その結果、親フォルダとは異なる明示的な権限が設定されています。これは、セキュリティで保護されたツリー内のサブフォルダが誤って開かれた際に発生した「隠れた」情報漏洩を警告するものです。この数値をクリックすると、継承エラーフィルターが適用された状態で分類管理画面に移動します。
- Data Risk score: 上記の露出度と継承度指標に基づいて算出され、データストアのリスク評価全体に寄与するスコア。
データストアインベントリ - 権限分析（データへの危険なアクセス）
このセクションでは、以下の本人確認関連リスク指標を表示します。
- Over-Privileged Data Store Risk: 機密データにアクセスできる古臭いユーザーや障害者を基に計算されたリスク評価です。
- Stale users: 90日以上活動していないことを示す機密データへのアクセス
lastLogonTimestampユーザー数、または一度もログインしていないユーザー数。 - Unresolved SIDs (ghost users): Active Directory 内のユーザーまたはグループに解決されなくなったファイル ACL 上のセキュリティ識別子 (SID) の数 (アクセス権限を保持している削除済みアカウントを示します)。
- Users/Groups with access to sensitive data: 機密ファイルへの有効なアクセス権を持つ、異なるIDまたはグループの数。
- Total users: 共有にアクセスできる、完全に異なるIDの総数。
データストアユーザーページ
データストアインベントリ内の任意のユーザーまたはグループ数をクリックすると、このページに移動します。ユーザー名、従業員名、露出度など、さまざまなパラメータでページをフィルタリングできます。
OktaやEntra IDなどのIDプロバイダーが統合されると、DSPMはSMB Active DirectoryユーザーをIDPの従業員レコードにマッピングし、従業員名、部署、ステータスをSMBアクセスデータとともに表示します。
| Column | デスクリプション |
|---|---|
| User/Group | ユーザー名、グループ名、または生のSID（ゴーストユーザーの場合）。 |
| Employee Name | 国際通信事業者（IDP）から取得した氏名（地図上に表示されている場合）。IDP統合がない場合は空欄。 |
| Department | IDPからの部門（地図上に表示されている場合）。 |
| Status | アクティブ、無効、またはステールはADとIDPデータに基づいています。 |
| Sensitive Files | このユーザーまたはグループがアクセスできる機密ファイルの数。 |
| Accessible Sensitive Data Types | このIDがアクセスできるDLPプロファイル（例：PII、PCI、PHI）。 |
| Group Membership | ユーザーごとに最大5階層のネストされた親グループを設定できます（グループの場合は空欄）。 |
| Risk Indicators | 組織全体のアクセスグループ、ゴーストユーザー（未解決のSID）、および古いユーザーを示す視覚的なフラグ。 |
| User Risk Rating | ユーザーのリスク指標に基づいて算出されたスコア。 |
分類管理 — ファイルタブ（SMBビュー）
データストアインベントリで機密ファイルの数をクリックすると、「ファイル」タブに移動します。SMBデータストアの場合、このビューには以下の追加列が表示されます。
| Column | デスクリプション |
|---|---|
| Exposure | ファイルの有効な公開レベル： Internal All （組織全体でアクセス可能）、 Internal （特定の内部ユーザーと共有）、またはPrivate （ファイル所有者のみ）。 |
| Users with Access | このファイルへの有効なアクセス権を持つ異なるユーザーの数（ファイルの「アクセス範囲」）。 |
| Permission Source | 各ユーザーがファイルにアクセスする方法：直接アクセス（ユーザー）、直接アクセス（グループ）、継承アクセス（ユーザー）、または継承アクセス（グループ）。これにより、修復用にどのACLや親フォルダを修正すべきかを正確に特定できます。 |
| Effective Permission Level | ユーザーの有効な権限: 読む vs. 変更/削除。 |
| Broken Inheritance | このファイルに継承が破綻しているかどうかを示すフラグ（SMBのみに適用）。 |
DSPMダッシュボード — SMB特権分析リスクルール
DSPMは、ダッシュボード上に以下の組み込みリスクルールを表示します。これらのルールは、設定されたスキャンスケジュールに基づいて自動的に更新されます。
1. 機密ファイルはグローバルアクセスグループがアクセスできます
- Severity: 致命的
- Category: Data
- Description: 機密データを含むファイルは、グローバルアクセスグループ（例：「全員」、「ドメインユーザー」）を通じて、ファイルに直接アクセスするか、継承されたアクセス権限によって、組織全体からアクセス可能です。これは最小権限の原則に違反する。
- Recommended Actions: Windowsでは、ファイル/フォルダ > プロパティ > セキュリティ タブに移動します。権限が「直接」の場合は、グローバルグループを選択して「削除」をクリックします。継承されている場合は、親フォルダーに移動して、階層からグループを削除してください。
2. 機密ファイルの継承が破綻している
- Severity: 高い
- Category: Data
- Description: 機密データを含むファイルは権限継承を無効化し、親フォルダーとは異なる明示的な権限が付与されています。ファイルが意図せず公開される可能性があります。
- Recommended Actions: Windowsでは、ファイル > プロパティ > セキュリティ タブ > 詳細設定 の順に移動します。親フォルダーとの整合性を復元するには、「継承を有効にする」をクリックしてください。
3. 未解決のSIDによりゴーストユーザーが機密データにアクセスする
- Severity: 中くらい
- Category: アクセス／衛生
- Description: ファイルACLには、Active Directoryに存在しなくなったユーザー/グループIDに付与された未解決のSIDが含まれています。これらの孤立したエントリは「パーミッション負債」を生み出す。
- Recommended Actions: Windowsでは、ファイル > プロパティ > セキュリティ タブに移動します。「不明なアカウント」というラベルの付いた項目を探し、その後に続く長い英数字の文字列を探してください。Selectて「削除」をクリックします。 一括クリーンアップの場合は、PowerShell スクリプトの使用を検討してください。
4. 機密ファイルへのアクセス権を持つリスクの高いユーザー
- Severity: 致命的
- Category: Access
- Description: 高いまたは重大なユーザーリスク評価を持つユーザーは、機密データを含むファイルへのアクセス権を持ち、即時のデータ流出の経路となります。
- Recommended Actions: 危険なユーザーのファイルアクセス権を取り消す。リスクがアカウントの侵害を示している場合は、Active Directoryでアカウントを無効にするか、IDP（Okta/Entra ID）でユーザーを停止してください。
5. 有効期限切れまたは無効化されたユーザーが機密ファイルにアクセスできてしまう。
Recommended Actions: ファイルのACLから、使用期限切れまたは無効化されたユーザーを削除するか、アクセス権限を付与しているADグループからユーザーを削除してください。有効期限切れでまだ有効なアカウントについては、Active Directoryで無効化し、「無効化されたユーザー」OUに移動してください。
Severity: 高い
Category: Access
Description: 機密ファイルに対する有効なアクセス許可は、Active Directoryで無効化されているアカウント、または「古い」（90日以上非アクティブ）とフラグ付けされているアカウントによって保持されています。