概観
SaaSアプリケーションは、顧客記録やソースコード、財務ドキュメント、内部コミュニケーションなど、組織の最も機密性の高いデータの一部を保持しています。それを保護するには、従業員が使用できるアプリケーションを決定する以上のことが必要であり、構成、ユーザー、活動、接続された統合に対する継続的な可視性が求められます。
SaaSセキュリティは、Cato CASBライセンスに含まれる一連の機能です。これにより、SaaSアプリケーションがどのように使用されているかを管理し、構成がどのように評価され、強化され、サードパーティアプリのレビューと活動の監視が可能になります。
SaaSセキュリティは、Cato管理アプリケーション（CMA）のセキュリティ > クラウドアプリから管理されます。
SaaSセキュリティにはCASBライセンスが必要です。
インラインおよびアウトバウンド（API）のカバレッジの理解
SaaSセキュリティは、アプリケーションを確認するための二つの補完的な方法を使用します。認可済みおよび未認可のアプリケーション、管理されているおよび管理されていないユーザーの包括的なカバレッジを得るために、両方を使用することをお勧めします。
インライン（アプリケーションコントロール）は、Cato Cloudを通過する際のトラフィックを分析し、Catoクライアントで接続されたサイトとリモートユーザーからのものです。 Catoはこのトラフィック内のアプリケーションを、構成なしで特定し、どのアプリケーションが誰によって使用されているか、どれだけのデータがアップロードおよびダウンロードされ、どの程度のリスクがあるかを確認できます。アプリケーション内の活動を確認および制御するためには、アップロードや共有など、企業のテナントと個人のテナントを区別できるように、アプリケーション制御とTLSインスペクションを有効にします。インラインコントロールは、リアルタイムで活動をブロックすることができます。
APIコネクタ（SaaSポスチャーマネジメント、相互接続されたアプリ、アプリアクティビティ）は、クラウドアプリから直接データにアクセスし分析します。例えば、その設定、サードパーティの権限、および監査ログなどです。彼らは、Cato Cloud を経由せずにアプリケーションに接続するユーザーや、管理されていないデバイス上の契約社員を含む、すべてのユーザーのアクティビティの可視化を提供します。コネクタは TLS インスペクションを必須とせず、リアルタイムでのアクティビティのブロックを行いません。
SaaS セキュリティ機能の理解
SaaS セキュリティは、SaaS アプリを保護する以下の機能を含みます。
機能 | 目的 | 有効化する方法 |
|---|---|---|
使用されているアプリケーション、使用者、およびユーザーがアプリ内で行えることを見直し、管理しますか？ | Cato Cloud を通過するインライン トラフィックを分析するには、アプリケーション制御ポリシーを有効化してください。 アクティビティレベルとテナントレベルの管理には、TLS インスペクションが必須です。 | |
承認済みアプリが正しく設定され、セキュリティのベストプラクティスに従っているかを理解する | 各 SaaS アプリのための API コネクタ | |
どのサードパーティ アプリがデータにアクセスできるか、どの権限でアクセスできるかを理解する | 各 SaaS アプリのための API コネクタ | |
アプリ設定の変更によりセキュリティ体制が弱まることを特定する | 各SaaSアプリ用のAPIコネクタ | |
ユーザーや管理者がアプリ内で何をしているかを確認し、攻撃に使用されているかを特定する | 各 SaaS アプリのための API コネクタ |
ユースケース: Microsoft 365 のセキュリティ確保
会社ABCは、電子メール、ファイル共有、コラボレーションのために Microsoft 365 を使用しています。セキュリティチームは、クラウドアプリケーションの利用を管理し、Microsoft 365 データを保護するために Cato SaaS セキュリティを使用しています。
チームはクラウドアプリダッシュボードでアプリケーションの使用状況を確認し、アプリケーションのリスク、アップロードとダウンロードの量を含む使用状況を開始します。 Microsoft 365を承認済みとして分類し、いくつかの高リスクのファイル共有アプリケーションを非承認として分類します。インターネットファイアウォールルールは非承認のアプリケーションをブロックします。
Microsoft 365への大量アップロードを特定した後、チームはアプリケーション制御とTLSインスペクションを有効にして企業テナントと個人テナントを区別します。アプリケーション制御ルールを設定して、企業のMicrosoft 365テナントへのアップロードを許可し、個人テナントへのアップロードをブロックします。
次に、チームはMicrosoft 365のためにSaaSポスチャー、相互接続アプリケーション、アプリアクティビティのコネクタを作成します。 CIS Benchmarkに基づくポスチャーチェックにより、SharePointでの外部共有設定が過度に寛容であることが特定されました。セキュリティ管理者は失敗したチェックからJiraチケットを作成し、Microsoft 365の所有者が設定を修正します。
相互接続アプリケーションで、アプリケーションレベルの権限で全てのメールボックスを読む権限を持っている第三者アプリケーションを特定しますが、必要なのはカレンダーへのアクセスのみです。 Microsoft 365の管理者は過剰な権限を削除します。
後に、管理者はSharePointの共有ポリシーを弱化させます。変更はクラウドアプリダッシュボードにポスチャードリフトとして表示され、この変更によって失敗したポスチャーチェックにリンクされています。チームは発見をレビューし、アプリケーションの所有者と調整して修復を行います。
SaaSアラートは、外部アドレスへのメール転送ルールを特定します。チームは関連するアプリアクティビティを調査し、そのルールが未承認であったことをユーザーと確認します。ルールを削除し、ユーザーの資格情報をリセットします。
SaaSセキュリティ機能がどのように連携しているかを理解する
以下の機能は一緒に機能し、SaaSの使用状況を管理し、アプリケーションのセキュリティを評価し、調査または修復が必要な変更を特定します。
クラウドアプリダッシュボードのレビュー
クラウドアプリダッシュボードはすべてのSaaSセキュリティ機能の開始点です。ハイライトバーには、現在注意が必要なアイテムが表示されます: リスクのあるアプリ、重大度の高いSaaSアラート、重大度の高い失敗したポスチャーチェック、およびポスチャードリフト。アプリケーションカバレッジセクションでは、使用する各アプリケーションで有効化されている機能を表示します。
クラウドアプリダッシュボードは、アプリケーション使用状況、ポスチャーの発見、SaaSアラートの確認を開始するための共通の出発点を提供します。ダッシュボードを使用して、未承認のアプリの使用を特定し、是正措置が必要なポスチャーの所見を優先付けを行うか、アプリケーションの活動と並行してサードパーティの接続を評価し、ビジネスデータがどのように露出されるかを理解します。関連する所見やアラートを開いてリスクを調査し、どのアプリケーション所有者が行動が必要か判断します。
詳細情報については、クラウドアプリダッシュボードの使用を参照してください。
アプリケーション制御（CASB）
アプリケーション制御は、環境内で使用されているクラウドアプリを発見し、そのリスクを評価し、承認済みまたは未承認として分類できるようにします。探索は、Catoクラウドをトラフィックが通過した時点で開始されます（TLSインスペクションなし）。その後、各アプリへのアクセスを制御する方法を選択できます。
ファイアウォールポリシーを適用してリスクの高いアプリケーション またはアプリケーションカテゴリをブロックします。
TLSインスペクションは必須ではありません
許可されたアプリケーション内のアクティビティを制御するためにアプリケーション制御ポリシーのルールを適用します。たとえば、アップロード、ダウンロード、または共有をブロックできます。対応アプリケーションでは、企業と個人のテナントを区別するテナント対応制御により、ユーザーがどこで業務データにアクセスまたは共有できるかを制限することができます。例えば、クラウドストレージアプリケーションを組織で承認して、コラボレーションに利用する場合。企業のテナントでは、サポートされているアップロードとダウンロードのアクティビティを許可しつつ、個人のテナントへのアクセスをブロックできます。
TLSインスペクションは必須です
詳細については、 アプリケーション制御ポリシーの管理 と SaaS アプリケーションテナントへのアクセス制限 を参照してください。
SaaSポスチャー管理
SaaS セキュリティ姿勢管理 (SSPM) は、接続された SaaS アプリケーションの設定とセキュリティ設定を継続的に評価し、Cato の調査チームが定義した推奨設定と比較します。 MFA 強制のようなベストプラクティスに従わない誤設定は、アプリケーションへのアクセスが厳しく制御されている場合でも、ビジネスデータを危険にさらす可能性があります。
Salesforce の業界ベンチマークや Microsoft 365 および Google Workspace の CIS ベンチマークに対して、設定を評価することができます。
各失敗したチェックは、問題に関する情報と推奨される修正を提供します。チケットの統合を構成した後、Jira または ServiceNow のチケットを CMA で失敗したチェックから直接作成することができます。チケットには検出の詳細、重大度、推奨されるアクション、およびチェックへのリンクが含まれます。アプリケーション所有者は、この情報を使用して必要な変更を加えることができます。
詳細情報はSaaSアプリケーションのセキュリティ姿勢をレビューする および 失敗した姿勢チェックのためのチケット作成 を参照してください
相互接続アプリケーションをレビュする
サードパーティアプリケーション、拡張機能、プラグインは、承認済み SaaS アプリケーションにリスクをもたらす可能性があります。ユーザーは、OAuthを通じて、承認済みアプリケーションにアクセスするサードパーティのアプリ、拡張機能、プラグインを認可することがよくあります。これらのアプリは、ユーザーが使用をやめた後もアクセスを保持し、広範な権限を持ち、通常はセキュリティチェックを受けずにインストールされます。それらのどれかが危険にさらされると、アプリケーション自体が安全に構成されていても、データを暴露することがあります。
各承認済みアプリに対して、Interconnected Appsは、サードパーティ統合、その承認者のユーザー、それらが持つ権限、およびそのリスクに関する可視性を提供します。各権限について、権限が委任されているのか、アプリケーションレベルなのかが示されます：
委任：アプリは承認したユーザーに代わって動作し、このユーザーがアクセスできるデータにのみ到達可能です
アプリケーションレベル：アプリはユーザーがサインインしていない状態でも自己として機能します。これらの権限は組織内のすべてのユーザーデータに適用されることが多く、リスクが高いため注意が必要です
クラウドアプリダッシュボードの関係グラフは、アプリケーション間の接続を理解するのに役立ちます。専用のポスチャーチェックは、相互接続されているアプリケーションに付与されたリスキープリビレッジや過剰な権限を強調します。
例えば、Salesforceに接続された統合が、その業務機能に必要以上の顧客データにアクセスする権限を持っている場合があります。統合が侵害されると、これらの権限が不要なビジネスデータを露呈することがあります。接続を見直し、アプリケーションの所有者と連携してアクセスを削減してください。
詳細については、接続アプリケーションの閲覧と分析を参照してください。
ポスチャードリフトの検出
管理者はアプリ設定の変更、機能や統合の追加、または新しいアクセスの要求を行います。ポスチャードリフトの検出により、セキュアな設定を弱める設定変更を特定し、変更を見直し設定を復元することができます。これにより、アプリケーションの安全な設定の後で発生するリグレッションを検出するのに役立ちます。失敗したチェックをレビューして変更を理解し、アプリケーションの所有者と調整して修復を行ってください。
Catoは、App Activitiesコネクタが収集した監査ログでポスチャードリフトを検出します。アプリケーションがSaaSポスチャーコネクタも持っている場合は、Catoはその変更が失敗を引き起こしたポスチャーチェックと、その修正ガイダンスをリンクします。ポスチャードリフトは、クラウドアプリダッシュボードのSaaSセキュリティポスチャーセクションで表示されます。
例えば、チームが設定を保護した後で管理者が共有設定を変更します。設定がチェックの要件を満たさなくなった場合、ポスチャードリフトの検出がリグレッションの特定を支援します。
詳細については、ポスチャードリフトの検出と修正を参照してください。
SaaSイベント
SaaSイベントは、接続されているアプリケーションの監査ログをCatoに取り込みます。異なるアプリケーションからのアクティビティは、ダウンロード、共有、管理者設定などの共通のアクティビティカテゴリにマッピングされ、一箇所でレビューできるようになっています。
SaaS アラートは、これらの監査ログで実行される Cato の検出機能です。これらは、実際の攻撃で使用される技術に関連する行動にフラグを立てます。例えば、ユーザーがメールを外部アドレスに転送する受信トレイルールを作成する場合や、ドメインがフェデレーション認証に切り替わり、攻撃者がパスワードやMFAなしで任意のユーザーとしてサインインできるようになる場合です。
詳細は、 SaaSイベントとは何か？。
追加カバレッジのリクエスト
アプリケーションが新機能を導入する際に、CatoのSaaSセキュリティにより組織で使用されるすべてのアプリケーションまたはアクティビティがカバーされていない場合があります。 CMA 内のフォームを使用してカバレッジリクエストを送信できます。このフォームを使用して、欠落しているアプリケーションやアプリケーション内の追加アクティビティのサポートをリクエストしてください。
詳細については、アプリカバレッジのリクエストをご覧ください。
SaaS セキュリティの使い方を始めるには
これらは、アカウントに SaaS セキュリティを実装するために取るべき提案されたステップです。
環境内で使用されているアプリケーションを見直す: Cato は、設定なしに Cato Cloud を通過するトラフィックからアプリケーションを発見します。クラウドアプリダッシュボードで、アプリケーション、そのリスク、使用者をレビューします。
アプリケーションを分類する: アプリケーションを承認済みまたは非承認として設定してください。
リスクの高いアプリケーションをブロックする: 非承認または高リスクのアプリケーションやカテゴリーをブロックするインターネットファイアウォールルールを作成してください。
（オプション）アクティビティとテナントを制御する。アップロードや共有などのアクティビティを制御したり、企業テナントと個人テナントを区別するためには、セキュリティ > アプリ & データ インライン でアプリケーション制御をオンにし、TLSインスペクションを有効にします。すべてのクラウドアクティビティを監視するアプリケーション制御ルールから始めることをお勧めします。詳細は、アプリケーション制御ポリシーの管理をご覧ください。
承認済みアプリケーションのためのコネクタを作成する。ダッシュボードのアプリケーションカバレッジセクションには、コネクタが設定されていないアプリケーションが表示されます。各アプリケーションに対して、SaaSポスチャー、相互接続アプリ、およびアプリアクティビティを有効にするためのエンドポイントコネクタを作成してください
失敗したポスチャーチェックを修正: 高重大度のチェックを優先します。アプリケーションの所有者に是正処置を割り当てるために、チケッティングの統合を設定します。
相互接続アプリケーションを確認する。未使用のサードパーティアプリを削除し、アプリケーションレベルの権限から始めて過剰な権限を削減します。
SaaS アラートとポスチャードリフトを監視する： クラウドアプリダッシュボードからの新規アラートとドリフトを確認します。