データ保護APIとは何ですか？

この資料は、Catoのバンド外データ保護APIサービスの概要と背景情報を提供し、承認済みSaaSクラウドアプリへのトラフィックを監視および制御します。

注：
SaaSecAPI@catonetworks.comまたは公式なCatoリセラーに、データ保護APIポリシーの使用に関する詳細情報を問い合わせてください。

データ保護APIの概要

データ保護APIは、承認済みクラウドアプリのためのバンド外の可視性と制御を提供します。その他のセキュリティ機能（CASBなど）は、Cato Cloudを通過するトラフィックのみを制御および監視することができます。データ保護APIは、クラウドアプリに直接接続するリモートユーザーからのトラフィックを監視し、反応する能力を提供します。これは、彼らがSDPクライアントを使用してCato Cloudを介してトラフィックを送信していない場合にも当てはまります。

データ保護APIは、TLS検査を使用せずに接続内容を検査します。これは、TLSインスペクションが有効化されていないアカウントに特に有益です。しかし、TLSインスペクションを使用しているアカウントでも、証明書ピニング関連の問題により、一部のクラウドアプリの検査はできません。データ保護APIは、CatoのインラインCASBおよびDLPソリューションを補完して、最適なセキュリティカバレッジを提供します。

一部のアプリでは、コネクタ用の脅威保護ルールを作成し、ファイルや添付ファイルをマルウェアとウイルスについてスキャンすることで、バンド外のアンチマルウェア保護を提供できます。データ保護APIエンジンはコネクタのトラフィックをスキャンし、あなたがルールのために設定したアクションとトラッキングオプションを適用します。

前提条件

コネクタを追加するためには、統合（リソースセクション）の編集権限とアプリ&データAPI保護（アプリ&データ制御セクション）の権限が必要です。詳細については、RBACを使用した管理者ロールの管理を参照してください。

あなたのアカウントにおけるデータ保護APIの実装

これは、データ保護APIを実装するためのステップのハイレベルの概要です。

関連するクラウドアプリのコネクタを作成します。
Microsoftアプリに対しては、まずMicrosoft 365の親コネクタを作成し、その後各アプリごとに子コネクタを作成する必要があります。
データ保護APIがスキャンする機密データを定義するDLPコンテンツプロファイルを作成（またはレビュー）します（DLPコンテンツプロファイルの作成を参照）。
データ保護ポリシーのためのルールを作成します。

対応するデータ保護APIコネクタ

Catoは幅広いアプリケーションをサポートしており、リストを絶えず拡大しています。サポートされているアプリケーションの完全なリストを見るには、データ保護APIをご覧ください。

既知のデータ保護APIの制限

これらは、データ保護ポリシーで使用されるすべてのコネクタに適用される制限です。特定のSaaSアプリに関連する制限については、以下の特定のコネクタ用の既知の制限を参照してください。

データ保護APIコネクタを編集できません。
ワークアラウンド - コネクタを削除して必要な設定で新しいコネクタを作成します。
ファイルの変更を検出するまでに最大15分かかることがあります。
アンチマルウェアスキャンの場合、ファイルハッシュによるホワイトリストはサポートされていません。
フォルダーやディレクトリの権限の変更はスキャンされません。
グループ用のアクション（グループへのファイル共有など）はスキャンされません。
DLPおよびアンチマルウェアスキャンでサポートされる最大ファイルサイズは500MBです。
DLPおよびアンチマルウェアスキャンの場合、データ保護APIはCato DLPおよびアンチマルウェアエンジンでサポートされるファイルタイプのみをサポートします。
データ保護APIルールが作成、削除、または編集されると、変更は監査証跡に追跡されますが、ルール内容に関する詳細は表示されません
.logファイル拡張子はサポートされていません
GitHubコネクタに対してはバイナリファイルはサポートされていません。

特定のコネクタの既知の制限

これらは、特定のデータ保護APIコネクタの制限です。

Azure
- コネクタが作成された後に追加された新規ユーザーはスキャンされません。
  ワークアラウンド - コネクタ用の新しいルールを作成するか、データ保護APIポリシーを無効にしてから再有効化します。
Box
- コネクタが作成された後に追加された新規ユーザーはスキャンされません。
  ワークアラウンド - コネクタ用の新しいルールを作成するか、データ保護APIポリシーを無効にしてから再有効化します。
- ルートフォルダーに追加された新しいファイルは、スキャンされ、ルールアクションが適用される前に最大24時間かかる場合があります。サブフォルダーのファイルはアップロード後すぐにスキャンされます。
- テナントあたり1つのコネクタのみがサポートされています。（MicrosoftおよびGoogleコネクタは、テナントあたりの複数コネクタをサポートします。）
Exchange
- メールアクティビティをスキャンするルールでは、イベントに添付ファイルが含まれることがあります（ファイルがポリシーに一致しない場合でも）。
Google Drive
- Google Driveコネクタに対しては商業アカウントのみがサポートされています。
OneDrive
- 同じリソースにSharePointとOneDriveのコネクタがある場合、各コネクタは同じアクションに対して個別のイベントを作成します。
- OneDriveがファイルの変更を示すまで、最大5分かかることがあり、イベントの生成に遅延が生じることがあります。
SharePoint
- Documentsディレクトリのみがスキャンされます。
- 同じリソースにSharePointとOneDriveのコネクタがある場合、各コネクタは同じアクションに対して個別のイベントを作成します。
Slack
- テナントあたり1つのコネクタのみがサポートされています。（MicrosoftおよびGoogleコネクタは、テナントあたりの複数コネクタをサポートします。）
- 公募チャンネルと共有チャンネルのみがサポートされています。