Always-Onセキュリティでユーザーを保護

この記事では、アカウント内のユーザーのインターネットセキュリティを向上させるための常時オンポリシーの構成方法について説明します。

概観

常時オンポリシーは、ユーザーまたはユーザーグループが常にカトクラウドに接続するルールを定義することで、インターネットセキュリティを強化します。これにより、すべてのトラフィックがPoPを通過し、Catoのセキュリティエンジンがトラフィックを検査してセキュリティポリシーに準拠していることを保証します。

ユースケース - 常時オンポリシーを従業員および第三者契約者向けにカスタマイズ

会社ABCのネットワークは、企業資源にアクセスできる従業員と、企業資源にアクセスできない第三者契約者によって使用されています。従業員のために常時オンを有効にするルールを作成し、第三者契約者はインターネットに直接アクセスできます。これにより、会社の従業員からのすべてのトラフィックがCatoクラウドを通過し、セキュリティポリシーによって保護されます。

ユースケース - 管理デバイス専用の常時オンポリシーを有効化する

会社ABCは、すべての管理デバイスにCatoクライアントをインストールし、必要に応じて従業員が個人デバイスにクライアントをインストールして会社のリソースにアクセスできるようにしています。企業のセキュリティポリシーによれば、管理されたデバイスは常にネットワークに接続されていることが要求されます。

ITチームはデバイス姿勢プロファイルを作成し、署名証明書がデバイスにインストールされていることを確認するデバイスチェックを使用します。

次に、証明書に対するデバイスポスチャープロファイルに一致するデバイスにのみ常時オンを要求するルールを常時オンポリシーに作成します。

順序付けられた常時オンポリシーの作成

常時オンポリシーは順序付けられたルールベースです。ポリシー内のルールは、ユーザーまたはグループに対して次のように適用されます:

ルールに合致すると、クライアントはルールに設定された構成に従います
何のルールも満たさない場合、ネットワークから切断できます

常時オンポリシーの前提条件

Linuxクライアントでは常時強制はサポートされていません

管理デバイスでの常時オン

このセクションでは、署名証明書のデバイスチェックを使用して管理デバイスに対してのみ常時オンポリシーを適用するための設定フローを説明します。

署名証明書のデバイスチェックを使用するためにデバイスを準備します。
- 証明書を管理されたデバイスに配布します。デバイス証明書の配布とインストールの参考記事を参照してください。
- 証明書をCMAにアップロードします。リモートアクセスのための署名証明書管理を参照してください。
インストールされた証明書に基づいて管理されたデバイスを識別するために、デバイスチェックを設定し、それをデバイスポスチャープロファイルに割り当てます。デバイス姿勢プロファイルとデバイスチェックの作成を参照してください。
常時オンポリシーで、管理されたデバイスが常にネットワークに接続することを要求する新しいルールを作成します。
1. ユーザー/グループ - ユーザーグループまたはユーザーを管理デバイスに割り当てます。
2. デバイスポスチャープロファイル - ステップ2で作成したデバイスプロファイルを選択します。
3. 接続済み - 常時強制を選択します。
ステップ3のルールを複製し、接続設定を<オンデマンド>に変更します。
常時オンポリシーを公開します。

インターネットアクセスを常時オンポリシーで提供

常時オンポリシーが有効になっている場合でも、以下の手段でユーザーにインターネットへの直接アクセスを提供できます。

一時的なバイパス方法の使用
オンデマンド接続ステータスを持つルールの作成
リカバリモードでのインターネットアクセスの許可

安全なインターネットアクセスの一時的バイパス

状況によっては、ユーザーがカトクラウドを一時的にバイパスして直接インターネットにアクセスする必要があります。たとえば、インターネットファイアウォールルールによってブロックされたウェブサイトに一時的にアクセスするためです。各ルールごとに、ユーザーが一時的にカトクラウドをバイパスする方法を設定できます。

Windows v5.9以降では、ユーザーがカトクラウドをバイパスできる時間を設定することもできます。この期間中、インターネットトラフィックはカトクラウドを通過せず、安全ではありません。

クライアントが一時的に切断されると、ユーザーの詳細とクライアントが切断されていた時間の期間を表示するイベントが生成されます。これらのイベントを表示するには、イベントページで、サブタイプVPN常時オフバイパスにフィルターを適用します。イベント内のバイパス方法には、クライアントのバイパスに使用された方法が表示されます。アカウント内のイベントの詳細については、ネットワーク内のイベントの分析を参照してください。

ユーザーは次のいずれかの方法でカトクラウドを一時的にバイパスできます:

バイパスコードを使用した管理者制御のバイパス
ユーザー制御の迂回

バイパスコードを使用した管理者制御のバイパス

Note:
注意： Windows, Android, iOS クライアント、および macOSクライアント v5.4以上でサポートされています

このオプションを使用して、ユーザーに一時的にクライアントの接続を切断するためのワンタイムパスワード (OTP) をカト管理アプリケーションで生成できます。 Windowsクライアントのバージョン5.9未満およびその他のサポートされているオペレーティングシステムでは、クライアントは1回につき最大15分間バイパスされます。各コードは最大15分まで有効です。

さらに、Google Authenticatorのような認証アプリを使用してこの画面のQRコードをスキャンすることができます。その後、認証アプリから常にユーザーのためのOTPを入手できます。認証アプリは30秒ごとにコードを更新するため、各コードは30秒間のみ有効です。

コードが有効であり続ける限り、同じバイパスコードを複数のユーザーに使用できます。

ユーザー制御の迂回

Note:
サポートは以下から:
Windowsクライアント v5.9以降
macOSクライアント v5.5以降
iOSクライアント v5.6 以上

このオプションでは、ユーザーが要求に応じてクライアントを一時的に切断できます。クライアントで、ユーザーはクライアントを切断する理由を自由記述フィールドで提供する必要があります。そしてすぐにインターネットに直接アクセスできます。この理由はイベントに含まれます。

切断期間で設定された時間にクライアントを切断することができます。

ユースケース - 特定のチームへのインターネット事前承認アクセス

小売会社のエンジニアリングチームは、ウェブサイトがオンライン注文を受け取るために常に100%の可用性を維持する責任があります。これにより、問題のトラブルシューティングに必要なオンラインSaaSアプリケーションに常にアクセスする必要があります。勤務時間外やリモートで作業する際には、アプリケーションへのアクセスが必要です。会社のセキュリティポリシーでは、すべてのインターネットアクセスは安全である必要があります。

セキュリティポリシーに従うために、ITは常時オンを有効にします。予防措置として、潜在的な障害の際にクライアントがカトクラウドに接続できない状況を避けるため、ITチームはインターネットへの即時アクセス方法をエンジニアに提供します。 ITチームは、エンジニアユーザーグループ向けに、要求に応じて一時的に切断できるように設定されたバイパスモードの常時オンポリシー内にルールを作成しました。

もしエンジニアが夜中にウェブサイトの問題のトラブルシューティングが必要な場合、ITチームはクライアントに何らかの問題があっても、それでもトラブルシューティングSaaSアプリケーションにアクセスできることを確信しています。エンジニアはカトクラウドのバイパスを待ってウェブサイト問題のトラブルシューティングを始める必要がありません。

オンデマンド接続ステータスを持つルールの作成

定期的にインターネットへの直接アクセスが必要なユーザーがいる場合、<オンデマンド>接続ステータスを持つルールに追加できます。この設定により、ユーザーは必要に応じてクライアントを接続または切断できます。

クライアントの回復モード

Note:
サポートは以下から:
Windowsクライアント v5.9以降
macOSクライアント v5.5以降
iOSクライアント v5.6 以上

カトクラウドに接続できないシナリオでのクライアント動作を選択することもできます。クライアントは次のように設定できます:

インターネットアクセスを許可（デフォルト設定）: ユーザーはインターネットおよびLANにアクセスできます。カトクラウドが確立されるまで、トラフィックはカトクラウドを通過せず、安全ではありません。
インターネットアクセスの制限: カトクラウドと安全なインターネット接続が確立されるまで、ユーザーはインターネットにアクセスできません。

ユースケース - 旅行中のインターネット接続

会社ABCはすべてのユーザーに対して常時オンを有効にしています。彼らのC-suite幹部は頻繁に旅行し、空港やホテルからインターネットに接続します。時折、クライアントはキャプティブポータルを検出できず、暗号化されたトンネルを確立できません。 C-suiteが旅行中でも作業を続けられるようにするため、ITチームはC-suiteユーザーグループの常時オンルールでリカバリモードを設定し、インターネットへのアクセスを許可します。

クライアントがキャプティブポータルを検知しない場合、C-suiteのユーザーは作業を続けることができます。なぜなら、クライアントはAlways-Onポリシーに従ってインターネットアクセスを許可するからです。クライアントがトンネルを再確立するとすぐ、予想通りにトラフィックがCato Cloudを通じて流れます。

Always-Onポリシーの実装準備

Always-Onポリシーを有効にする前に、Always-Onが環境内の他の機能とクライアントバージョンとどのように相互作用するかを検討してください。このセクションでは、SSO、クライアント接続、デバイス認証、およびWindowsクライアントをAlways-Onポリシーで使用するための推奨事項を提供します。

Always-On および SSO の使用

ユーザーに対してシングルサインオン認証を使用するアカウントでは、サポートされているクライアントを常にCato Cloudに接続するように設定することができます（Always-On）。この設定により、ユーザーはSSOの簡単さとAlways-Onのセキュリティを提供されます。クライアントはIdPプロバイダーにアクセスでき、他のリソースへのアクセスはセキュリティポリシーに従います。

注記:
ユーザーがクライアントへの認証ができない場合に支援するために、Cato Cloudをバイパスするメソッドを有効にし、バイパスイベントを確認することをお勧めします。そうしないと、認証されていないデバイスはインターネットまたはCato Cloudに接続できません。

常時オンとSSOの実装

このセクションでは、アカウント内でAlways-OnをSSOとともに実装するためのベストプラクティスと推奨事項を提供します。

アカウントへの影響を最小限に抑えるために、少数のユーザーに対してAlways-OnおよびSSOの有効化から始めてください。
バイパスイベントを確認し、組織内でバイパスコードの使用状況を監視してください。
認証されていないユーザーがインターネットに接続できないため、ユーザーがインターネットに依存せずにデバイスにログインできることを確認してください。
すべてのクライアントが関連するOSのサポートされた最低バージョンに更新されていることを確認してください。サポートされていないバージョンのクライアントが使用される場合、クライアントは再認証できず、インターネットへのトラフィックはブロックされます。
サードパーティプロキシを使用する展開では、クライアント内のブラウザ認証のみが常時強制およびSSOのサポート対象です（ブラウザ認証の詳細については、Catoクライアントの認証ポリシーの設定を参照してください）。

Always-Onを使用したクライアント接続ポリシーとデバイス認証の使用

クライアント接続ポリシーおよびデバイス認証の設定は、ユーザーのデバイスで実行されたデバイスポスチャーとチェックを適用します。デバイスがプロファイル用に設定されたポリシーに準拠していない場合、ユーザーはCato Cloudに接続できません。クライアント接続ポリシーおよびデバイス認証設定は、常時オンポリシーよりも優先されます。

Windowsクライアントと常時強制のインストール

ITチーム向けに、新しいデバイスを利用者に配送・出荷する際、常時強制セキュリティを標準で提供できます。

Windowsクライアントv5.6以降では、ユーザーがCatoに認証する前にインターネットセキュリティを強化できます。常時オンポリシーは標準で利用可能で、ユーザーがCatoアカウントに認証するまでインターネットアクセスは許可されません。

この機能を有効にするには、Windowsデバイスにレジストリキーを追加して常時強制を有効化します。ユーザーがクライアントに追加されると、Cato管理アプリケーションで定義された常時強制設定がそのユーザーに適用されます。

WindowsプレログインとSDPクライアントを使用するプレログイン機能を使用するアカウントについて、デバイスはユーザーがクライアントに追加される前に許可された送信先へのアクセスのみが許可されます。その他のインターネットアクセスはすべてブロックされます。

開始時にクライアントが起動するレジストリキーを追加することをお勧めします。詳細情報は、Catoクライアントのインストール準備。

これをインストールパラメータとして設定することも可能です。クライアントをMDMで導入する際に利用します。さらに詳しくは、Intune（Windows）を使用したCatoクライアントのデプロイを参照してください。

注：
ユーザーがクライアントに追加される前に、Cato Cloudをバイパスすることはできません。

Windowsレジストリを設定して常時強制を適用する方法：

レジストリキーに移動: HKEY_LOCAL_MACHINE\SOFTWARE\CatoNetworksVPN
このキーを定義：
- InitialAlwaysOn=1 (DWORD)

常時オンポリシーの設定

このセクションでは、常時オンポリシーの作成方法について説明します。

常時オンポリシーの作成

常時オンポリシーにより、ネットワークに常時接続する必要のあるクライアントのユーザーまたはユーザーグループを定義できます。

常時オンポリシーを作成するために：

ナビゲーションメニューからアクセス > 常時オンポリシーをクリックします。
新規をクリックします。
新規ルールパネルが開きます。
名前を入力し、ルール順序を設定します。
ユーザー & グループ、プラットフォームを定義します。
常時強制の接続済みステータスとバイパスモードを定義します。
SDP改ざん防止の場合、ユーザーが変更を試みたときのアクションを決定します。デフォルトでは、変更は許可されています。ユーザーが変更を行うのを防ぐためには、有効化するを選択します。
詳細については、Catoクライアントの改ざん防止機能の使用を参照してください。
常時強制と改ざん防止が無効にされる期間を切断 & 改ざん操作期間で決定します。
各バイパスのタイマーは、コードが入力されると開始されます。たとえば、期間は60分に設定されています。改ざん防止のバイパスコードが12:30に入力されると、タイマーが開始され、13:30に改ざん防止が再度有効になります。常時オンのバイパスコードが13:00に入力され、それは14:00に期限切れになります。
クライアントがリカバリモードになったときの動作を設定します。
適用をクリックします。
各ルールに対して、ステップ2〜5を繰り返します。
常時オンポリシーを有効にしてから、保存をクリックします。
ルールが有効の場合のスライダーは緑色で、無効の場合は灰色です。

デフォルト設定の構成

注：
サポート開始：
すべてのWindowsクライアント
Linuxクライアントv5.2以降

クライアントを起動時に自動的に接続することにより、オンデマンド接続済みステータスと追加のセキュリティを提供できます。接続後、ユーザーは必要に応じてクライアントを切断および再接続することができます。 常時強制接続ステータスを持つユーザーの場合、クライアントはこの設定なしで自動的に接続します。

Cato管理アプリケーションで起動時に接続または最小化して開始オプションが選択されている場合：
- これは、すべてのクライアントに適用されます。
- ユーザーはクライアントからこの設定を無効にできません。

Cato管理アプリケーションで起動時に接続または最小化して開始オプションがオフになっている場合：
- ユーザーはクライアントの設定タブでこれらの機能を有効にできます。

注: 起動時に接続が有効な場合、ユーザーがWindowsセッションからログアウトすると、クライアントがCato Cloudに接続します。これは、ユーザーが再度ログインできるようにするために、ドメインコントローラへのアクセスを提供するためです。

クライアントのデフォルト設定を構成するには：

ナビゲーションメニューからアクセス > 常時オンポリシーをクリックします。
設定タブを開きます。
起動時に接続セクションで、Windowsクライアントのデフォルト設定を定義します。
保存をクリックします。

Catoサイトで認証を強制する

注：
サポート開始：
Windowsクライアントv5.8以降
Linuxクライアントv5.2以降

ユーザーがCato SocketまたはIPsecサイトの背後で接続する際、クライアントは自動的にそのサイトにOfficeモードで接続します。オフィスモードに関する詳細情報はオフィスモードの設定を参照してください。

常時強制が有効なユーザーが、クライアントがオフィスモードで接続されているときにCatoへの認証を要求されるかどうかを設定できます。この設定はセキュリティポリシーに影響を与えません。

このオプションが有効な場合:

クライアントは、SDPコントロールトンネルを接続されたPoPに対して確立し、認証、キープアライブ、その他の制御通信を行います。
ユーザーデータトラフィックは、SDPトンネルを通過しません。その代わり、デバイスのネットワークインタフェース（NIC）を通じて継続的に出力され、ローカルCatoサイトによって転送されます。

Catoサイトでの認証を強制するには

ナビゲーションメニューからアクセス > 常時オンポリシーをクリックします。
設定タブを開きます。
オフィスで常時オンを強制セクションで、オフィスでの認証を必須にするを選択します。
保存をクリックします。

バイパスコードの生成

バイパスコードはクライアントに入力される6桁のコードで、ユーザーが一時的にCato Cloudから切断できるようにします。

バイパスコードを生成するには：

ナビゲーションメニューからアクセス > 常時オンポリシーをクリックします。
設定タブを開きます。
バイパスコードを表示または認証アプリ用のQRコードを表示セクションを展開します。
バイパスコードが期限切れになるまでの期間を決定します。
注：Windowsクライアント5.18およびmacOSクライアント5.10.6からサポートされています。
バイパスコードまたはQRコードをユーザーに送信できます。

ユーザーエクスペリエンスの理解

改ざん防止バイパスコードの生成

改ざん防止のバイパスコードは、クライアントに入力される6桁のコードで、ユーザーが一時的にCatoクライアントやその操作能力を変更できるようにします（例：関連するレジストリエントリを変更する）。

バイパスコードを生成するには：

ナビゲーションメニューからアクセス > 常時オンポリシーをクリックします。
設定タブを開きます。
改ざん防止バイパスコードを表示または認証アプリ用の改ざん防止QRコードを表示セクションを展開します。各コードは15分間有効です。
改ざん防止バイパスコードまたはQRコードをコピーしてユーザーに送信します。

Cato管理アプリケーションで設定されたバイパスモードに応じて、ユーザーはバイパスコードを使用するか、バイパスする理由を入力することで、一時的にクライアントの接続を切断できます。

バイパスコードの入力

バイパスコードは管理者によって生成され、ユーザーにクライアントに入力するように送られます。有効なコードが入力されると、クライアントは一時的に暗号化トンネルをバイパスし、ユーザーはインターネットにアクセスできます。 Windowsクライアントv5.9未満、macOS、iOS、およびAndroidクライアントは、最大15分間一時的に切断されます。 Windowsクライアントv5.9以降は、切断期間で設定された期間だけ切断されます。

SSOまたはMFAで認証するユーザーは、再接続する際にCatoクライアントへの再認証が必要です。

注：
常時オンの構成をバイパスしても、改ざん防止の保護には影響しません。

バイパスコードを入力するには：

Windowsクライアントでは、ユーザーはシステムトレイのクライアントアイコンを右クリックし、一時的なバイパスを選択します。
macOSクライアントでは、ユーザーはシステムトレイのクライアントアイコンを右クリックし、一時的な切断を選択します。
iOSクライアントでは、クライアントのホーム画面で、常時オンをバイパスを選択します。
Androidクライアントでは、サイドメニューから一時的なバイパスを選択します。

バイパスする理由の入力

注：
サポート開始：
Windowsクライアントv5.9以上
macOSクライアントv5.5以上

ユーザーは理由を提供した後、一時的にクライアントの接続を解除できます。ユーザーが理由を入力した後、クライアントは一時的にCato Cloudをバイパスし、ユーザーはインターネットにアクセスできます。クライアントはCato管理画面で設定された期間だけ切断されます。

SSOやMFAで認証したユーザーは、再接続時にCatoクライアントに再認証が必要です。

バイパス理由を入力するには：

Windowsクライアントでは、ユーザーはシステムトレイのクライアントアイコンを右クリックし、一時的なバイパスを選択します。
クライアントの一時的な切断の理由を提供します。
入力をクリックします。
クライアントは切断されます。

改ざん防止バイパスコードの入力

注：
Windowsクライアントv5.14以上からサポートされています

ユーザーは、管理者からコードを受け取った後、クライアントの改ざん防止保護を一時的に無効にできます。

注：
改ざん防止保護を無効にしても、常時オンの構成には影響しません。

改ざん防止保護を無効にするには：

クライアント内で、設定をクリックします。
デフォルトでバイパスセクションはユーザーから隠されています。項目を表示するには、CTRL + SHIFT + Oのキーシーケンスを使用します。
管理者に連絡して、彼らが受け取ったコードをSDPの改ざん解除項目に入力します。
投稿をクリックします。
管理者によって設定された期間、改ざん防止が無効になります。

特定のユーザー向けの常時強制のカスタマイズ

個々のユーザー向けに常時オンポリシーをカスタマイズできます。

特定のユーザー向けに常時オンポリシーを設定するには：

ナビゲーションメニューから、アクセス > 常時オンポリシーをクリックします。
新規をクリックします。
新規ルールパネルが開きます。
名前を入力し、ルール順序を設定します。
ユーザー＆グループセクションで、SDPユーザーを選択します。
特定のユーザーを選択します。
プラットフォームと接続済みのステータスを定義します。
適用をクリックします。
常時オンポリシーを有効化し、保存をクリックします。
ルールが有効な場合、スライダーは緑色で表示され、無効な場合は灰色で表示されます。