姿勢のさすらいの検出と修正

概観

姿勢の逸れは、接続済アプリケーションの安全設定を弱体化させる構成変更です。失敗したSaaSの姿勢チェックを修正した後、管理者は短期的な問題を解決するために設定を変更できます。また、新しい機能を寛容なデフォルトと共にアプリケーションが導入することや、統合が新しいアクセスを要求することもあります。各変更は、チームがアプリケーションを強化した作業を密かに元に戻す可能性があります。例えば、緩和された共有ポリシーやオフにされたMFA要件などがあります。 Catoは、アプリ活動コネクタによって収集された監査ログ内のこれらの変更を検出します。アプリケーションにSaaS姿勢コネクタがある場合、Catoは変更によって失敗を引き起こした姿勢チェックに各軌道をリンクし、修正ガイダンスを提供します。

姿勢の逸れは、脅威検出もサポートします。攻撃者が管理者アクセスを取得すると、しばしばそのアクセスを保持するためにセキュリティ制御を弱体化します。例えば、MFA要件を無効にしたり、条件付きアクセスポリシーに信頼される場所を追加することがあります。これらの変更は、チームの誰もそれを行っていない場合でも軌道として現れます。

姿勢の逸れの検出には、アプリ活動コネクタが必要です。アプリにSaaS姿勢コネクタを追加すると、各軌道が姿勢チェックにリンクされます。

姿勢の逸れの検出にはCASBライセンスが必要です。 CASBライセンスの購入について詳しくは、Catoの担当者にお問い合わせください。

姿勢の逸れの表示

次の場所から姿勢の逸れを表示できます：

• クラウドアプリダッシュボード：ハイライトバーの姿勢の逸れタイルは、重大度ごとにグループ化された姿勢の逸れ数を示します。 SaaSセキュリティの姿勢セクションにあるトップ姿勢の逸れウィジェットはそれらをリストします。詳細情報は、Cloud Apps Dashboardの使用を参照してください

• 姿勢ページ: SaaSセキュリティタブで、ドリフトしたチェックを表示するようにフィルタリングします

• イベントページ: ポスチャードリフトはSSPM Driftのラベルでイベントを作成

Use Case

会社ABCのセキュリティチームはMicrosoft 365の外部共有をセキュアにし、それ以来関連のポスチャーチェックが合格しています。プロジェクトマネージャーがベンダープロジェクトのために匿名共有リンクを許可するようSharePoint管理者に依頼し、管理者は設定を変更します。

CatoはMicrosoft 365の監査ログにおける変更を検出しました。その変更はクラウドアプリダッシュボードのポスチャードリフトタイルに表示され、外部共有ポスチャーチェックにリンクされています。セキュリティ管理者はドリフトを確認し、変更が承認されていないことを確認して、サービスNowチケットを作成し、SharePoint管理者に設定を復元し、ベンダーとゲストアカウントでファイルを共有するように依頼します。

ポスチャードリフトの修正には、CMAでドリフトを特定し、サードパーティアプリ内での設定の更新が含まれます。

ポスチャードリフトを修正するには：

1. ホーム > ポスチャーに移動して、ドリフトを特定してください。

2. どのような設定の変更が行われたかを確認してください：

   • 誰が変更を行ったかを特定するには、変更が行われたときの管理設定活動のために、ホーム > イベントページをフィルターしてください。

3. 変更が承認されていたかどうかを確認してください：

   • もしそうでなかった場合は、それを可能性のあるセキュリティインシデントとして扱い、変更を行ったアカウントのSaaSアラートを確認してください。

   • もし承認されていたがセキュリティを弱める場合、アプリケーション所有者と協力して安全な代替案を見つけてください。

4. チェックの指導に従うか、アプリケーション所有者のためにチケットを作成してください。詳細については、失敗したポスチャーチェック用チケットの作成を参照してください。
   設定が復元されると、次のポスチャー評価でチェックが合格し、ドリフトは表示されなくなります。