この記事では、DLPポリシー違反イベントから法医学的証拠を表示する方法を説明します。
概要
DLPポリシー違反を調査するには、Cato管理アプリケーション（CMA）で違反証拠を安全に表示できます。 これにより、セキュリティチームはインシデントの背景を迅速に理解し、潜在的なデータ漏洩を評価し、偽陽性を確認し、DLPポリシーを自信を持って微調整できます。
DLPポリシーイベントが生成されると、証拠ファイルは暗号化され、設定された安全なストレージ先に送信されます。 データ露出を最小限に抑え、法令遵守を確保するために、これらのファイルは関連する権限を持つ管理者による要求でのみ表示可能です。
注意: 画像ファイルタイプはサポートされていません
使用例: Slackを経由して露出したPIIの調査
販売担当者が顧客への返金を処理する必要があります。 彼らは顧客住所を含む返金承認を求めるSlackメッセージをマネージャーに送信します。 PIIを検出するように設定されたDLPルールが顧客の住所を認識し、メッセージをブロックしてイベントをトリガーします。 Slackメッセージは暗号化され、証拠としてAmazon S3バケットに安全に保存されます。
セキュリティアナリストが、証拠を表示する権限を持ってイベントの調査を開始します。 調査の一環として、Slackの会話を安全に表示し、PIIデータが露出されたことを確認します。
確実にポリシー違反が発生したと確認することで、セキュリティアナリストは関与した従業員に連絡し、会社のデータ保護ポリシーについて教育することができます。
法医学的証拠の表示を有効にする
法医学的証拠を表示できるようにするには、以下のことが必要です：
証拠の安全保管のための好みのオプションを有効にしてください。
法医学的証拠設定を構成
管理者が証拠を表示できるように権限を付与
ステップ1: 証拠の安全保管の有効化
法医学的証拠は、Catoとは外部の任意のストレージ先に保存されます。 証拠の保管を有効にするには、Catoとサポートされるストレージサービスとの間で統合を作成する必要があります。 この統合により、ポリシーがトリガーされたときにCatoが暗号化された証拠ファイルを安全に指定されたストレージに書き込めます。 統合を設定する手順については、以下のリンクを参照してください。 サポートされるストレージサービスは次の通りです：
ステップ2: 法医学的証拠設定の構成
法医学的証拠の保存を開始するには、CMAで機能を有効にする必要があります。 証拠のスニペットを表示するか、調査中に元のファイルを保存してダウンロードできるようにすることができます。
注意: すべての法医学的証拠は常に暗号化されており、設定された宛先に保存する証拠を暗号化するチェックボックスをオフにすることはできません
法医学的証拠の設定方法：
ナビゲーションメニューでセキュリティ > データタイプ & プロファイルをクリック。
設定タブで、 DLP証拠を保存トグルを有効にします。
イベントから元の証拠ファイルをダウンロードできるようにするには、一致時に元のファイルを保存チェックボックスを選択します。 このオプションがチェックされていない場合、調査中は証拠のスニペットのみが利用可能です。
証拠の保存場所を選択。
保存をクリック。
ステップ3: 管理者への権限付与
DLP法医学の権限を持つ管理者だけがイベント内で法医学的証拠を表示できます。 この権限を既存のカスタムロールに追加するか、新しいカスタムロールを作成して関連する管理者に適用可能です。 ロール & 権限の詳細については、Role-based Access Controlを使用した管理者ロールの管理を参照。
法医学的証拠の表示
法医学的証拠はデータインシデントパネルから表示され、DLPルール違反後に生成されたイベントからアクセス可能です。
注意: イベントが生成された後、ファイルがダウンロード可能になるまで数分かかることがあります。
法医学的証拠を表示するには：
ナビゲーションメニューからセキュリティ > データ保護をクリックして、データ保護ダッシュボードを表示します。
トップ違反ルールで調査したいルールをクリックします。
イベントページには、このルールによって生成されたイベントの定義済みフィルターが表示されます。 詳細については、ネットワークのイベント分析を参照してください。
イベントを展開し、証拠フィールドで、法医学を表示をクリックします。
データインシデントパネルが開きます。法医学セクションで、証拠を表示をクリックし、ポップアップボックスで確認をクリックします。
法医学的証拠がスニペットに表示されます。 完全なファイルにアクセスするには、ファイルをダウンロードをクリックします。 このオプションは、ステップ2で一致時に元のファイルを保存チェックボックスがオフにされていた場合はグレーアウトされます。
