Secure Access Service Edge:インターネットアクセス管理と監査

背景情報

企業がデジタルトランスフォーメーションを進める中で、日常業務におけるインターネットアクセスの必要性が高まっており、データ漏洩や不正アクセスなどのセキュリティリスクが生じています。ネットワークセキュリティを確保し、従業員のインターネット活動に対する制御を強化するために、ドメイン名ブラックリストおよびホワイトリストポリシーを設定することで、特定のドメイン名やワイルドカードドメイン名へのアクセスをきめ細かく制御できます。包括的な行動ログと監査を組み合わせることで、企業のコンプライアンス要件を満たすだけでなく、セキュリティインシデントの追跡のための信頼できる根拠を提供し、より安全でコンプライアンスに準拠したネットワーク環境の構築を支援します。

ポリシー検出ロジック

インターネットアクセス管理は、ホワイトリストポリシーとブラックリストポリシーをサポートしています。アクセスがポリシーに一致すると、SASE はポリシーの設定に基づいてアクションを実行します。ブラックリストポリシーとホワイトリストポリシーの検出ロジックを考慮して、ビジネス要件を満たすポリシーを設定する必要があります。信頼できるユーザー、ユーザーグループ、およびドメイン名をグローバルホワイトリストに追加できます。ユーザー、ユーザーグループ、またはドメイン名がホワイトリストに登録されると、SASE はそれらのインターネットアクセスを制御しなくなります。

1. グローバルホワイトリストの確認

   • SASE は、まずユーザー、ユーザーグループ、またはアクセス先のドメイン名がグローバルホワイトリストに追加されているかどうかを確認します。一致するものがあれば、SASE はアクセスを許可し、以降のポリシーはチェックしません。

2. ブラックリストポリシーの確認

   • リクエストがグローバルホワイトリストに一致しない場合、SASE は、ユーザーがアクセスしているドメイン名に対してブラックリストポリシーが設定されているかどうかを確認します。

   • ブラックリストポリシーが設定されている場合、設定されたアクション (ブロックと警告、ブロックのみ、または監視モードなど) が実行されます。

3. ホワイトリストポリシーの確認

   • ブラックリストポリシーに一致しない場合、SASE は、ユーザーに対してホワイトリストポリシーが設定されているかどうかを確認します。

   • ホワイトリストポリシーが設定されている場合、ポリシーで指定されたアクション (ブロックと警告、ブロックのみ、または監視モードなど) が実行されます。

前提条件

• この機能には、SASE Internet Access DLP Edition が必要です。

• 企業のエンドポイント上の SASE App は、バージョン 4.0.5 以降である必要があります。

• ユーザーグループを追加しておく必要があります。

リストライブラリの設定

ドメイン名またはワイルドカードドメイン名をリストライブラリに追加し、カスタムカテゴリに整理します。これにより、ブラックリストおよびホワイトリストのインターネットアクセス管理ポリシーを設定する際に、柔軟に選択できます。

1. 行動管理 ページに移動します。 必要に応じて Whitelist Management または Blacklist Management タブを選択し、右上隅の List Group Management をクリックします。

2. List Group Management パネルで、Add をクリックしてカスタムリストタイプを作成し、ドメイン名またはワイルドカードドメイン名を追加し、次に Close をクリックします。

   • ホワイトリストグループ管理: カスタムの Whitelist Type およびそれに対応するドメイン名を追加します。

   • ブラックリストグループ管理: カスタムの Blacklist Type と、それに対応するドメイン名を追加します。

インターネットアクセス管理ポリシーの設定

1. [行動管理] ページに移動します。Whitelist Management または Blacklist Management タブを選択し、Create Policy をクリックします。

   1. Create Policy パネルで、次のパラメーターを設定します。

      パラメータ	説明
      [Policy Name]	ホワイトリストポリシーまたはブラックリストポリシーのわかりやすい名前を入力します。
      [Priority]	ポリシーの実行優先度です。数値が小さいほど優先度が高くなります。 ホワイトリストポリシー：同じユーザーに複数のポリシーが適用される場合。 異なる優先度：複数のポリシーが同時に有効になっている場合、SASE は最も優先度の高いホワイトリストポリシーのみを実行します。 同じ優先度：同じ優先度の複数のポリシーが有効になっている場合、SASE は最も最近作成されたホワイトリストポリシーのみを実行します。 ブラックリストポリシー：該当するすべてのブラックリストポリシーが実行されます。ユーザーが同じ設定で異なるアクションを持つ複数のポリシーに一致する場合、SASE は最小権限の原則を適用し、最も制限的なアクションを優先して、最適なセキュリティとアクセス制御を確保します。 説明 たとえば、ユーザーが Alibaba Cloud の公式ウェブサイトにアクセスする際に 2 つのブラックリストポリシーに一致したとします。ポリシー A のアクションが「監視」、ポリシー B のアクションが「ブロックと警告」である場合、SASE はより制限的なアクションであるポリシー B を適用します。この場合、ポリシーの優先度に関係なく、アクセスはブロックされ、警告が表示されます。
      [Action]	リクエストがポリシーに一致したときに実行されるアクションです。次のアクションを使用できます。 重要 ブラックリストポリシーとホワイトリストポリシーでは機能が異なるため、それぞれのアクションが適用される対象も異なります。 ホワイトリストポリシーとブラックリストポリシーのユースケースを理解するには、「例: インターネットアクセス制御の設定」をご参照ください。 ブラックリストポリシー：ポリシーの適用範囲内のユーザーが、指定されたブラックリストタイプのドメイン名にアクセスする場合にアクションが適用されます。 ホワイトリストポリシー：ポリシーの適用範囲内のユーザーが、指定されたホワイトリストタイプに含まれないドメイン名にアクセスする場合にアクションが適用されます。 [Block and Warn]: ユーザーのアクセスをブロックし、ポップアップ通知を表示します。 [Block Only]：ユーザーに通知せずに、ポリシーに一致するリクエストをブロックします。 [Monitor]: ログエントリを記録するのみです。ユーザーは通常どおりウェブサイトにアクセスできます。
      [Validity Period]	ポリシーが有効な期間です。 [Permanently Valid] [Business Days in Each Week]
      [Policy Status]	ポリシーはデフォルトで有効になっています。
      [Blacklist Type]/[Whitelist Type]	リストライブラリで設定されたカスタムドメイン名タイプを選択します。
      [Effective Scope]	ポリシーを適用するユーザーグループです。複数のユーザーグループを選択できます。
      [Approval Process Configuration]	アクションをBlock and Warnに設定すると、従業員が一時的なアクセスをリクエストすることを許可するかどうかを指定できます。 従業員のリクエストを許可する場合は、適切な承認プロセスを選択する必要があります。承認プロセスの作成方法については、「承認プロセスの設定」をご参照ください。
      [Prompt Display Configuration]	アクセスがブロックされたときに表示されるプロンプトメッセージを設定します。中国語と英語の両方でメッセージを設定できます。

   2. 設定が完了したら、OK をクリックします。

例: インターネットアクセス制御の設定

この例では、企業がWhitelist、[ブラックリストポリシー]、[ホワイトリストポリシー]を設定して、以下を実現する方法を示します。

• すべての従業員が会社のメインドメイン名にアクセスできるようにして、通常の日常業務を確保します。

• 人事部門の従業員のアクセスを、採用関連のウェブサイトのみに制限します。

• 研究開発部門の従業員が特定のフォーラムウェブサイトにアクセスできないようにします。

グローバルホワイトリストの設定

ユーザー、ユーザーグループ、およびドメイン名をグローバルホワイトリストに追加できます。ユーザー、ユーザーグループ、またはドメイン名がグローバルホワイトリストに追加されると、SASE はそれらのインターネット活動や指定されたドメイン名へのアクセスを制御またはブロックしなくなります。

1. [行動管理] ページに移動し、右上隅にある Configure Whitelist をクリックすると、Settings > Whitelist > Internet Behavior Management タブにリダイレクトされます。

2. User Whitelist、User Group Whitelist、およびExceptional Domain Nameのリストを設定し、Submitをクリックします。

監査ログの表示

SASE はインターネットアクセス行動を監査し、イベント追跡とコンプライアンス調査のための信頼できる根拠となるログを提供します。