クラウドアクセスセキュリティブローカー(CASB)

クラウドアクセスセキュリティブローカー(CASB)は、エンタープライズユーザーとクラウドサービスプロバイダの間に位置する重要なセキュリティチェックポイントとして機能します。主な役割は、セキュリティポリシーを適用して、クラウドアプリケーションへのアクセスを保護および制御することです。

CASBは、インラインアプリケーションアクティビティ制御を提供する新しいレイヤー7サービスです。CASBのポリシーエンジンでは、アクセス条件を絞り込むことができます。組織内で使用する一連のクラウドアプリケーションのファイルへのアクセス、ダウンロード、アップロードに関するルールを指定できます。

• 利点
• CASBポリシー設定の例
• 検証オプション

ファイアウォールでCASBを使用するには、CASBポリシーを設定し、セキュリティポリシーにCASBポリシールールを適用する必要があります。

CASB機能を設定する手順:

1. CASBポリシーを設定します。

   1. 以下のいずれかの一致条件でCASBポリシールールを設定します:

      • Dropbox、Google Docs、OneDriveなどのアプリケーション、またはファイル共有、チャット、メールなどのアプリケーショングループ。

      • ログイン、ダウンロード、アップロードなどのアクティビティただし、すべてのアプリケーションがすべてのアクティビティをサポートしているわけではありません。アプリケーションを設定するときは、その特定のアプリケーションでサポートされているアクティビティのみを選択してください。アプリケーションとそれに関連するアクティビティ間のマッピングの包括的なビューについては、表 1 を参照してください。

        表1:アプリケーションとアクティビティのマッピング

        サポートされているアプリケーション	サポートされているアクティビティ
        ボックス	ログイン、アップロード、ダウンロード、共有
        ドロップボックス	ログイン、アップロード、ダウンロード、共有
        Googleドキュメント	ログイン、アップロード、ダウンロード、共有
        Salesforce	ログイン、アップロード、ダウンロード、共有
        OneDrive	ログイン、アップロード、ダウンロード、共有
        SharePoint	ログイン、アップロード、ダウンロード、共有
        たるみ	ログイン、チャット、音声/ビデオ、ファイル転送
        Gmail	ログイン、読み取り、作成、送信、添付ファイルのアップロード、添付ファイルのダウンロード

        共有アクティビティオプションのアクティビティパラメーターを設定できます。このオプションのステートメントを設定することで、トラフィックをより細かく制御することができます。

   2. CASB用のアプリケーションインスタンスを作成します。CASBでは、企業と非企業間のSaaSアプリケーションインスタンスを区別するために、管理者はインスタンスパラメーターを使用してアクセスポリシーを設定する必要があります。インスタンスを識別するために、CASBはインスタンスID、ドメイン、タイプ(オプション)を必要とします。 表2に 、アプリケーションインスタンス設定オプションを示します。

      表2:アプリケーションインスタンスの設定

      設定	ガイドライン
      名前	(必須)アプリケーションインスタンス名。例えば、dropbox123です。
      アプリケーションインスタンスID	(必須)アプリケーションインスタンスIDSaaSサービスにアクセスするための固有のURLを参照します 各アプリケーションは、独自のインスタンスIDを持つことができます。以下のURL例では、アプリケーションのSaaS URLから取得したインスタンスIDとして共通の文字列 acmecorp07 を使用します。 ボックスURL—acmecorp07.app.box.com OneDriveまたはSharePoint URL—acmecorp07ms-my.sharepoint.com Salesforce URL — acmecorp07.my.salesforce.com と acmecorp07.lightning.force.com Slack - Slack URLは acmecorp-zoy8730.slack.com で、インスタンスIDはacmecorp-zoy8730です。 以下のアプリケーションには汎用URLがあり、インスタンスIDは適用されません。 Dropbox—dropbox.com Googleドキュメント—docs.google.com Gmail—mail.google.com
      ドメイン	(必須)ドメインアドレスを入力します。メールドメインを指します。 たとえば、acmecorp07.com は組織ドメインです。Box、Dropbox、Google Docs、Salesforce、Gmail、Slack は、すべてのユーザーに同じドメインを使用します。 OneDrive と SharePoint のドメイン値は acmecorp07ms.onmicrosoft.com です。
      タイプ	(オプション)以下の値のいずれかを入力して、タイプをアプリケーションインスタンスにマップします。 仕事 個人 注: Dropboxの値のタイプを設定する必要があります。他のアプリケーションでは、この設定はオプションです。
      タグ	(オプション)以下の値のいずれかを入力して、タグ付けをアプリケーションインスタンスにマッピングします。 認可—組織によって認可されたアプリケーションインスタンス。 認可されていない—組織によって認可されていないアプリケーションインスタンス。

   3. ポリシーアクションを定義します。各ポリシーには、すべての一致条件が成功したときにシステムが実行する一連のアクション(許可/拒否およびログアクション)があります。

2. デフォルトのルールを設定します。他のどのルールも一致しない場合、またはポリシーに他のルールがない場合、デフォルトのルールが一致します。デフォルトルールの設定は必須です。

3. 許可されたトラフィックのアプリケーションサービスとしてセキュリティポリシーにCASBポリシーを適用します。

CASBルールについては、以下の点に注意してください。

• CASBルールを順番に並べて、アプリケーションまたはアクティビティの特定の一致基準を処理します。

• 統合ポリシー設定用にデフォルトのCASBポリシーを設定します。このデフォルトポリシーは、動的なアプリケーション一致が発生するまでセッションに適用されます。セキュリティポリシーで最終的なアプリケーション一致が利用可能になると、対応するCASBポリシーが適用されます。最終ファイアウォールポリシーでCASBポリシーが明示的に設定されていない場合、CASBサービスはセッションを切断します。

CASBポリシーに対して以下のアクティビティを実行することもできます。

• ログアクティビティ。

• ルールの順序を変更します。

• デフォルトポリシーを設定します。

  統合ポリシーには、デフォルトポリシーが必要です。デフォルトポリシーが設定されていない場合、コミット中にエラーメッセージが表示されます。

CASB機能エクスプローラを使用して、特定の機能のプラットフォームおよびリリースサポートを確認します。

お使いのプラットフォームに固有の動作を確認するには、以下の表を使用して下さい:

CASBをサポートするSRXシリーズファイアウォール	SRX300、SRX320、SRX340、SRX345、SRX400、SRX440、SRX550M	SRX4100、SRX4200、SRX4300、SRX4600、SRX4700、SRX5400、SRX5600、SRX5800
CASBポリシーの最大数	64	256