検疫とは何ですか？

「検疫」とは、データ損失防止（DLP）およびクラウドアクセスセキュリティブローカー（CASB）による強制措置の一種であり、ポリシー違反に該当するファイルを、宛先へ到達させたり元の場所に留まらせたりすることなく、顧客が管理するクラウドストレージへリダイレクトすることで、機密情報や悪意のあるコンテンツを隔離しつつ、審査のためにその内容を保持するものです。

主なポイント

• 検疫機能では、フラグが立てられたファイルは削除されるのではなく、隔離されたクラウドストレージに移動されます。
• 「ファイルタイプ」、「EDM」、「OCR」などのDLPルールタイプは、隔離処理を引き起こす可能性があります。
• 「トゥームストーン」ファイルが元のファイルに取って代わり、そのファイルが隔離された理由を説明します。
• 検疫プロファイルでは、ストレージアプリ、インスタンス、およびフォルダの所有者を定義します。
• SaaSやIaaSのアプリケーション（Box、AWS、SharePointなど）はいずれも、隔離フォルダをホストすることができます。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ 隔離とVersa · よくある質問

なぜ隔離が重要なのでしょうか？

データ損失防止（DLP）やクラウドアクセスセキュリティブローカー（CASB）のポリシーは、機密情報や悪意のあるコンテンツが宛先に到達するのを阻止しますが、完全にブロックしたり削除したりするのは、あまりにも強引すぎる場合があります。証拠が失われてしまう上、データが消去される前に誤検知かどうかを確認する機会が失われてしまうからです。隔離機能はこの課題を解決します。DLPルールに一致したファイルを削除する代わりに、そのファイルは顧客が管理するクラウドストレージの場所に移動されます。これにより、ファイルは本来の受信者からは隔離されますが、管理者はそのファイルを検査、復元、または上層部へのエスカレーションを行うことが可能になります。

この可逆性は運用上、重要な意味を持ちます。過度に広範なルールによって誤って捕捉された正当なファイルも、永久に失われることなく復元することができ、隔離されたコピーは、単純に削除した場合に消去されてしまうフォレンジック上の痕跡を保持します。SaaSやIaaSアプリケーションを大規模に運用している組織にとって、隔離機能があるからこそ、気付かないうちに取り返しのつかないデータ損失を招くリスクを冒すことなく、DLP対策を安全に有効化できるのです。

検疫とは何ですか？

隔離は、「ファイルタイプ」、「完全データ一致（EDM）」、「光学文字認識（OCR）」といった特定のDLPルールタイプ、および不審または悪意があると判定されたファイルを隔離できる「高度な脅威対策（ATP）」で利用可能な強制措置です。一致したファイルは、許可、ブロック、または拒否されるのではなく、クラウドサービスに送信され、隔離プロファイルで定義された宛先に移動されます。

管理者は、そのプロファイルに対して、ストレージアプリケーション（Box、Dropbox、Google Drive、OneDrive、SharePointなど）、そのインスタンス、およびフォルダが作成されるユーザーのメールアドレスを設定します。通常、元のファイルは「トゥームストーン」（削除された理由を説明するプレースホルダー）に置き換えられます。プロファイルを作成するには、選択したクラウドアプリケーション用のアプリケーションコネクタがすでに存在している必要があります。

検疫先の種類

検疫プロファイルは、APIベースのデータ保護が対象とするアプリケーションファミリーに合わせて、大きく2つの保存先カテゴリに分類されます。SaaSの保存先（Box、Citrix ShareFile、Dropbox、Egnyte、Google Drive、OneDrive、SharePoint）では、指定されたユーザーアカウントの下にフォルダが作成されます。IaaSの保存先（AWS、Google Cloud Platform、Azure、Oracle Cloud Infrastructure）では、管理者のみがアクセスできるオブジェクトストレージのコンテナまたはバケットが使用されます。

2つ目の違いは、隔離処理のトリガーとなる要因です。DLPによってトリガーされる隔離処理は、「ファイルタイプ」、「EDM」、または「OCR」ルールに一致した場合に実行されます。一方、ATPによってトリガーされる隔離処理は、マルウェアの判定結果が「不審」または「悪意あり」と判定された場合に実行されます。両者とも同じプロファイル機構を使用していますが、その理由は異なります。

検疫とVersa

Versa Concerto では、隔離の設定は [Configure] > [Security Service Edge] > [Profiles and Connectors] > [Quarantine Profile] で行います。 プロファイルでは、名前、説明、有効/無効の切り替え、宛先アプリケーションおよびインスタンス、ならびにDLPおよびATPの両ケースにおける「トームストーン」テキストを指定します。管理者は、Versaのデフォルトの文言をそのまま使用することも、独自のテキストを作成することもできます。プロファイルを作成するには、アプリケーションコネクタがすでに存在している必要があります。各コネクタインスタンスは、APIベースのデータ保護、フォレンジック、リーガルホールド、および隔離のどのサービスをサポートするかも宣言します。

その後、ポリシールールから隔離プロファイルが参照されます。DLPルールでは、ファイルタイプ、EDM、またはOCRの一致に対して「隔離」をアクションとして指定でき、ATPルールでも不審なファイルに対して同様に指定できます。この機能はリリース12.2.1でサポートされました。詳細な手順については、「Concertoでの隔離プロファイルの設定」および「APIベースのデータ保護で使用するクラウドアプリケーションの設定」を参照してください。

よくある質問

どのような場合に隔離措置が講じられるのですか？

「ファイルの種類」、「データの完全一致」、「光学式文字認識」などのDLPルールタイプでは、一致時のアクションとして「隔離」を指定することができ、また「高度な脅威対策」では、スキャン中に不審または悪意があると判定されたファイルを、完全にブロックまたは拒否する代わりに、その場で隔離することができます。

隔離されたファイルはどこへ移動するのですか？

検疫プロファイルで設定された宛先アプリケーションおよびインスタンスによって指定された、顧客が提供するクラウドアプリケーション（Box、Dropbox、Google Drive、OneDrive、SharePoint、またはAWS、Azure、GCP、OCI上のIaaSバケット）内のフォルダまたはオブジェクトストレージの保存先。

「トゥームストーン・ファイル」とは何ですか？

「トゥームストーン」とは、隔離されたファイルの元の場所に置き換えられるファイルのことで、そのファイルが削除されたこととその理由を説明します。管理者は、Versaのデフォルトのトゥームストーンテキストをそのまま使用することも、DLPおよびATPの隔離ケースごとに個別に設定して、独自の文言を記述することもできます。

「隔離」と「削除」は同じ意味ですか？

いいえ。検疫機能では、一致したファイルを即座に削除するのではなく、アクセスが制限された隔離されたクラウド上の場所に移動させます。これにより、根本的な証拠を永久に、かつ取り返しのつかない形で破棄することなく、管理者の確認、フォレンジック調査、または法的保存のためにその内容を保持することができます。

検疫フォルダには誰がアクセスできますか？

アクセス権限は常に管理者のみに制限する必要があります。SaaS 先の場合、フォルダは指定されたユーザーアカウントの下に作成されます。IaaS 先の場合、Versaの公式隔離ガイドラインに従い、ストレージコンテナまたはバケットへのアクセスは管理者に厳格に制限する必要があります。

検疫に関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

隔離に関する記事を読んでいるなら、次はこれらもぜひチェックしてみてください。