この記事では、ウェブベースの脅威から保護するためにリモートブラウザ分離（RBI）サービスを設定する方法を説明します。
概要
RBIは、デバイスをインターネットのサイトやサービスに埋め込まれる可能性のあるWebターゲット型の脅威や悪意のあるコンテンツから保護します。 RBIは、隔離されたCatoサービスとして実行され、ユーザーのブラウジング活動をエミュレートし、その後エミュレートされたトラフィックをユーザーデバイスにストリームします。 これにより、すべてのブラウザ内のコードがリモートで実行され、デバイス上では決して実行されないため、デバイスをマルウェアの脅威から安全に保ちます。
RBIサービスがトラフィックをエミュレートできない状況のために、トラフィックの処理方法を決定するフォールバック動作を設定できます。 例えば、RBIサービスを一時的に無効化する場合や、サービスが一時的に到達不能な場合など。
RBIサービスについての詳細は、RBIを通じたブラウジングセッションの保護をご覧ください。
注: RBI機能は、中国に位置するCato PoPsでは利用できません。 これらのPoPは、常に関連するトラフィックに対してフォールバック動作を適用します。
RBIプロファイルの理解
RBIセッションのセキュリティ設定を、さまざまなブラウジング隔離設定を構成できる詳細なプロファイルでカスタマイズできます。 これらは、ユーザーがサイトで実行できるアクションを定義します。 たとえば、ユーザーがウェブフォームにテキストを入力したり貼り付けたりすることをブロックし、資格情報やその他の機密データの漏洩を防止できます。
各RBIプロファイルには以下が含まれています：
許可またはブロックするアクション
各プロファイルに対して、許可またはブロックする詳細アクションを定義できます：
アップロード - いかなるファイルのアップロード（ドラッグアンドドロップ機能を使用したアップロードはサポートされていません）
ダウンロード - いかなるファイルのダウンロード
印刷 - ウェブコンテンツの印刷
コピー/ペースト - サイトからデータをコピーしたり、サイトにデータを貼り付けたりすること
タイピング - サイト内でのテキストの入力
注：RBIの制限は、隔離されたブラウザセッション内でのみ適用されます。 RBIコンテナの外部で開始されたアクション（例：ホストブラウザメニューやOSレベルのショートカットを介して）は、RBIコントロールをバイパスします。 これらのコントロールを完全に適用するために、ブラウザまたはエンドポイントレベルのポリシー（例：Chrome GPO、DLPツール）をRBI設定と併せて適用してください。
RBIバナーテキスト
RBIセッションでは、ユーザーがRBIセッション内にいることを通知するために、エンドユーザーにバナーが表示されます。 このバナーのブランディングは、アカウント全体でグローバルに定義できます。 詳細情報については、ユーザーエクスペリエンスのカスタマイズを参照してください。
各RBIプロファイルでは、バナーのテキストを上書きし、プロファイル用にカスタムテキストを作成できます。
連続的なRBIセッション
ブラウジングのセキュリティを向上させ、エンドユーザーの体験を向上させるために、ユーザーが同じRBIセッション内で複数の宛先をブラウジングし続けることを許可するプロファイルを設定できます。 これにより、定義した宛先が非隔離セッションや異なるRBIセッションで開かれないことを保証します。 これらは連続的なRBIセッションのための使用事例の例です：
リスキードメインへの非隔離ブラウジングを防ぐ - ユーザーが未分類または未定義のドメインから離れる場合でも、ブラウジングセッション全体が隔離環境で行われることを保証するために、ワイルドカードを使用して広範なドメインリストを作成
サイトへの認証 - ファイル共有アプリのすべてのサブドメインを含むドメインリストを設定し、異なるドメインにリダイレクトされた際にユーザーがサインインできるようにします
フェイルオーバーアクション
フォールバック動作 は、RBIアクションが実行できない場合の対処方法を定義します。 このシナリオでは、アクションをブロックするか、確認ページを表示するかを選択できます。
インターネットファイアウォールでのRBIの使用
RBIセッションは、ルール内でRBIアクションを使用してインターネットファイアウォールを通じて実施されます。 トラフィックがルールに一致すると、自動的にRBIセッションが開始されます。 デフォルトでは、デフォルトのRBIプロファイルが適用されます。 セキュリティおよびアクセス要件に適合するように、異なるRBIプロファイルを割り当てることができます。
アプリケーションカテゴリ 未分類 または 未定義、またはカスタムカテゴリ のルールのみがリモートブラウジング用に設定できます。 その他のすべてのトラフィックは、Catoの広範な追加のセキュリティサービスによって保護されています。
注: これらはRBIがサポートするコンテンツタイプです。 他のコンテンツタイプを含むカスタムカテゴリはサポートされていません：
|
|
RBIサービスの前提条件
RBIサービスを有効にするにはRBIライセンスが必要です。 RBIライセンスの購入に関する詳細は、Catoの担当者にお問い合わせください。
RBIに設定されたトラフィックにはTLSインスペクションが有効である必要があります。
RBIサービスが正しく機能するためには、インターネットファイアウォールがこれらのURLへのアクセスを許可する必要があります。 インターネットファイアウォールの最下部にANY-ANYブロックルールがある場合は、トラフィックをこれらのURLに許可するために、より高い優先度の明示的なルールを追加します：
http://securebrowsing.catonetworks.com/
https://authentic8.com/
Catoを使用してDNSサーバーとして使用しない場合は、http://rbi.catonetworks.com/ を10.254.254.161に解決するためのレコードをローカルDNSサーバーに追加します。
既知の制限
フラグメント識別子（“#”）を含むURLはRBIリダイレクションでサポートされていません
RBIを設定
このセクションでは、エンドユーザーに安全なウェブブラウジングを提供するためにRBIサービスを設定する方法を説明します。
以下はRBIの実装のためのサンプルワークフローです：
RBIサービスを有効にする
RBIプロファイルを作成する
リモートブラウジングアクションを使用して、インターネットファイアウォールルールを設定する
ステップ 1: RBI サービスの有効化と無効化
RBIサービスを有効にすると、インターネットファイアウォール用のリモートブラウジングアクションが利用可能になり、その後トラフィックをサービスに誘導するためのルールを作成できます。 デフォルトではRBIは無効です。
アカウントでRBIを有効または無効にするには：
ナビゲーションパネルから、セキュリティ > RBIを選択します。
スライダーをクリックしてアカウントのRBIサービスを有効（緑）または無効（灰色）にします。
新規をクリックします。
ステップ 2: RBIプロファイルの作成
各RBIプロファイルには、インターネットファイアウォールのルールに適用できる詳細なRBI設定が含まれています。
RBIプロファイルを作成するには：
ナビゲーションパネルから、セキュリティ > RBIを選択します。
新規をクリックします。
要件を満たすようにプロファイルを設定します。
適用をクリックします。
ステップ 3: リモートブラウジング用のインターネットファイアウォールルールの作成
インターネットファイアウォールルールを使用して、CatoがいつトラフィックをRBIサービスに導くかを定義します。 ルールは、アプリケーションカテゴリが未分類、未定義、または他のアプリやカテゴリが設定されていないカスタムカテゴリに設定されている必要があります。 インターネットファイアウォールルールの設定に関する詳細は、インターネットファイアウォールポリシーの管理を参照してください。
リモートブラウジング用のインターネットファイアウォールルールを作成するには：
ナビゲーションメニューから、セキュリティ > インターネットファイアウォールを選択します。
新規をクリックします。
ルールの名前を入力してください。
スライダーを使用してルールを有効（緑）または無効（灰色）にします。
このルールのルール順序を設定します。
新しいルールはルールベースの最下部に追加されます。 このルールが適用される順序を変更できます。
ソース を展開し、ソースタイプを選択します。
タイプ（例：ホスト、ネットワークインタフェース、IP、ユーザー、ユーザーグループ、Any）を選択します。 デフォルト値は Any です。
必要に応じて、そのタイプの特定のオブジェクトをドロップダウンリストから選択します。
アプリ/カテゴリ セクションを展開し、アプリケーションカテゴリを選択します。
未分類、未定義、またはカスタムカテゴリのいずれかをアプリケーションカテゴリのドロップダウンリストから選択します。 ルールに複数のアプリ/カテゴリオブジェクトがある場合、それらの間にはOR関係があります。
このルールのアクションをリモートブラウジング (RBI)として設定し、必要なプロファイルを選択します。
（オプション） トラッキングオプションを設定して、イベントを生成し、通知を送信します。 頻度は、最初の通知が送信された後にカウントを開始します。
通知に関する詳細情報は、アラート セクションのサブスクリプショングループ、メーリングリスト、アラート統合に関する記事を参照してください。
適用をクリックします。 新しいルールがルールベースに追加されます。
保存をクリックします。
ルールが保存されました。
インターネットファイアウォールによるRBI実施のベストプラクティス
RBIのポリシールールがmisconfigurationによる宛先への直接アクセスを避けるために、特定のスコープで徐々に導入することをお勧めします。 これらは、RBIを導入するための推奨されるベストプラクティスの例です。
未分類および未定義の宛先におけるRBI実施のベストプラクティス：
すでにアプリケーションカテゴリとして未分類および未定義のインターネットファイアウォールルールが設定されている場合：
設定されたルールのイベントを追跡し、ユーザーにとって重要な未分類または未定義の宛先を特定します。
アクションをリモート接続元とした、高優先度のルールを追加し、重要な未分類および未定義サイトに対して特定のスコープを規定します。
未分類および未定義カテゴリに対して設定されたルールがない場合：
未分類および未定義宛先を対象とするルールを追加し、アクションを許可または確認とし、イベントの追跡を設定します。
イベントを追跡し、ユーザーにとって重要な未分類または未定義の宛先を特定します。
許可または確認アクションを用いた高優先度のルールを作成し、特定された重要な宛先を徐々に追加し、すべての重要な宛先が追加されるまで続けます。
高優先度のルールにリモート接続元アクションを設定します。
RBIはブラウザに対してのみサポートされているため、未分類と未定義ドメインへの非ブラウザトラフィックが懸念される場合、インターネットファイアウォール用にブロックルールを作成することをお勧めします。 このルールをこれらのドメインに対するRBIルールよりも低い優先度に配置します。
この方法は、非ブラウザクライアント（例. cURLスクリプト）から発信されるこれらの疑わしいドメインへのトラフィックを保護します。
ユーザー体験のカスタマイズ
隔離されたRBIセッションでは、ユーザーにバナーが表示されます。 ブランド要件を満たすために、グローバルな背景色、テキスト、およびテキストカラーを変更することで、デザインをカスタマイズできます。
ユーザー体験をカスタマイズするには：
ナビゲーションメニューから アカウント > RBIブランディングをクリックします。
背景色を変更するには、ストリップカラーをクリックし、色を選択します。
テキストの色を変更するには、テキストカラーをクリックして色を選択します。
テキストを変更するには、アラートテキストをカスタマイズをクリックしてテキストを更新します。
保存をクリックします。
RBIイベントのレビュー
ホーム > イベントでセキュリティイベントをレビューし、リモート接続元アクションに一致したファイアウォールルールで実行されたRBIエミュレーションセッションに関連するログを見つけます。 これらのイベントは、サブタイプインターネットファイアウォールおよびアクションRBIでラベル付けされています。
RBIセッションが実行できず、フォールバック動作が呼び出された場合、関連イベントはあなたの設定に応じてブロックまたは確認アクションを持ちます。
これは、RBIに関連するイベントを表示するためのフィルターの例です：
RBIセッションに関連するイベントの例は以下です：
RBIサービスのトラブルシューティング
管理者RBIシミュレータを使用して、RBIエミュレーション用に設定された宛先を閲覧しようとする際にエンドユーザーが経験する問題を診断するのに役立ちます。 このユーティリティは問題の原因を特定するのに役立ち、サポートに解決策を見つけるための有用な情報を提供できます。
注意: アイドル状態が5分続いた後、RBIセッションは自動的に終了し、ブラウザタブが閉じます。 閲覧を続けるには、ユーザーは自分のブラウザでサイトを再オープンする必要があります。
URL用のRBIサービスのトラブルシューティング
ユーザーが特定のURLを閲覧する際に問題が発生した場合、管理者RBIシミュレータを使用してそのURLのテストRBIエミュレーションセッションを生成できます。 有効なHTTPまたはHTTPSのURLを入力した後、生成されたリンクに従ってRBIセッションでサイトを表示します。 このユーティリティは、Cato Cloudを通過せずにRBIサービスにトラフィックを直接送ります。 これにより、ユーザーの問題がRBIサービスそのものに関連するか、アカウント設定やCatoインフラストラクチャの接続性によるかを判断するのに役立ちます。 例えば、Catoに接続したユーザーがRBI用に設定された未分類ウェブサイトを閲覧できませんが、管理者がユーティリティを使用してサイトにアクセスできる場合があります。 これは、RBIサービス自体が正常に機能しており、問題がPoPとサービス間の接続に関連していることを示している可能性があります。
管理者RBIシミュレータは、RBIアカウント設定で定義されたRBIセキュリティコントロールを適用します。
ユーティリティでRBIセッションを実行した後、問題を解決するためにサポートに結果を報告できます。
管理者RBIシミュレータでトラブルシューティングを行うには：
ナビゲーションパネルからセキュリティ > RBIを選択します。
管理者RBIシミュレータの下に、有効なHTTPまたはHTTPSのURLを入力します。 例: https://maps.google.com
シミュレートするプロフィールを選択します。
生成するをクリックします。 RBIセッション用のURLが作成されます。
URLの隣にあるリンクをクリックします。 RBIセッションがデフォルトブラウザで開きます。
知られている制限事項
RBIサービスはローカリゼーションに対して限定的なサポートしかありません