概要
ユーザーは日常業務のためにSaaSアプリケーションに依存しており、データを危険にさらす多くのアクションはこれらのアプリケーション内で発生します。たとえば、ユーザーが大規模な顧客レポートをダウンロードしたり、管理者がセキュリティ設定を変更したり、新しいアカウントに管理者権限が付与されたりします。これらのアクションを検出するには、各アプリケーション内のアクティビティを見る可視性が必要であり、そこに到達するトラフィックだけでは不十分です。
CatoはSaaSイベントの2つのタイプを収集します。
アプリアクティビティ: Catoは各接続されたアプリケーションのAPIに直接接続し、その監査ログを収集します。これにより、ユーザーがCato Cloudに接続していなくても、TLSインスペクションが無効でも、アプリケーション内のすべてのアクティビティをバンド外の可視性で提供します。異なるアプリケーションからのアクティビティを比較しやすくするために、Catoは各アクティビティをアクティビティカテゴリにマップします。
SaaSアラート: Catoはアプリアクティビティに対して検出を実行し、アカウント乗っ取り、持続化、データエクスフィルトレーションなどといった実際の攻撃で使用される技術に関連する行動を特定します。 SaaSアラートコネクタを使用して、他のベンダーからのセキュリティアラートも取り込むことができます。
これらの場所でCMAでSaaSイベントを確認できます。
クラウドアプリダッシュボードのアクティビティタブ。詳細情報は、Cloud Apps Dashboardの使用を参照してください
クラウドアプリダッシュボードの概要タブにあるSaaSイベントセクション、アラートレビューウィジェットを含む。詳細情報は、Cloud Apps Dashboardの使用を参照してください
イベントページ
SaaS イベントには CASB ライセンスが必要です。 CASBライセンスの購入についての詳細は、Catoの担当者にお問い合わせください。
Understanding Posture Drift and SaaS Alerts
Posture drift and SaaS alerts are both detected in the audit logs collected by App Activities connector. They each have a distinct purpose:
Posture Drift: A SaaS Posture check that previously passed, but has now failed, weakening the security posture of the app’s configuration
SaaS Alerts: App Activities detections of suspicious post-breach activity (persistence, privilege escalation, exfiltration)
ユースケース
SaaS イベントのユースケースには以下が含まれます:
疑わしいダウンロード
管理されていないデバイスを使う契約者が、毎週顧客の個人データを含むSalesforceレポートの10MBをダウンロードしています。ある日、契約者が顧客の個人データを5GBダウンロードします。クラウドアプリダッシュボードをレビューすることで、セキュリティチームはこの振る舞いの異常を特定し、それが疑わしいかどうかを分析できます。
従業員離職手続き
個人デバイスを使用する開発者が会社ABCを離れます。彼らは、知的財産を含むプレゼンテーションを持つSharePointにアクセスできます。イベントページでは、開発者によるSharePoint活動をフィルタリングし、会社を去る前に知的財産をダウンロードしていないことを確認できます。
メールボックスの乗っ取り
攻撃者がフィッシングページを使って従業員のMicrosoft 365セッションを盗み、サインインします。攻撃者は注意を引かずに従業員のメールを読むため、メールを外部アドレスに転送する受信トレイルールを作成します。ルールに対してSaaSアラートが発生します。セキュリティチームはアラートを確認し、攻撃者のサインインをアプリアクティビティで見つけて、ルールを削除し、従業員のセッションを取り消し、資格情報をリセットします。
サポートされるアプリケーション
アプリ アクティビティをサポートするアプリケーションの詳細については、アプリ アクティビティ コネクタをご覧ください。 SaaS アラート統合については、SaaS アラート コネクタをご覧ください。
前提条件
コネクタを追加するには、統合（リソースセクション内）とアプリとデータ API保護（アプリとデータ制御セクション内）の編集者権限が必要です。詳細については、RBACを使用して管理者の役割を管理するを参照してください。
インラインおよびAPIの可視性を理解する
アプリ アクティビティは、アプリケーション制御のインライン可視性を補完します。インライン イベントは、Cato Cloud を経由するトラフィックに対応しています。アクティビティレベルのインラインイベントには、アプリケーション制御とTLSインスペクションが必要です。アプリアクティビティは、未管理のユーザーを含め、接続されたアプリケーションのすべてのユーザーをカバーします。これらのイベントは、クラウドアプリダッシュボードとイベントページに一緒に表示されます。
詳細については、SaaSセキュリティとは何か？をご覧ください。
アクティビティカテゴリの理解
異なるSaaSアプリケーションは、同じアクションを異なる用語で説明します。例えば、レポートへのアクセスは、エクスポート、ダウンロード、またはフェッチとして呼ばれることがあります。これにより、ユーザーがどのようなアクションをとっているのかを理解する際の課題が生じます。
アクティビティカテゴリを使用して、CatoはSaaSアプリケーション内のアクティビティを一般的なカテゴリにマッピングします。これにより、各アプリケーションの詳細なプロセスを理解することなく、SaaSアプリケーションのアクティビティを追跡、フィルタリング、視覚化できます。
アクティビティ カテゴリは、アプリケーション制御ポリシーとアプリアクティビティコネクタによって監視されるアクティビティに適用されます。これらはアプリケーションセキュリティ API イベントのフィールドであり、クラウドアプリダッシュボードでアクティビティをフィルタリングするために使用できます。これにより、インラインおよびAPIベースの可視性にわたる一貫したビューが確保されます。
アクティビティカテゴリは次の通りです：
アクティビティカテゴリ | 例示的なアクション |
|---|---|
管理者設定 | ユーザーの作成、隔離、権限の変更 |
APIおよび統合実行 | API経由の自動化、スクリプト |
コミュニケーション & コラボレーション | チャット、ビデオ、音声 |
コンテンツ操作他 | アップロード、ダウンロード、移動 |
削除 | データ削除 |
ダウンロード | レポートのダウンロード |
実行 | 自動化、スクリプト |
ログイン失敗 | ログイン失敗 |
ログインその他 | ログイン、ログアウト |
移動 | レポートのロケーション変更 |
検索および表示 | レポートの表示 |
共有 | リンクを通じての共有 |
アップロード | データのアップロード |