Cato SPACEアーキテクチャにおけるパケットフローの理解

このセクションでは、パケットフローの異なるフェーズに適用されるPoPのネットワークおよびセキュリティサービスとエンジンを一覧します。

これはSlackアプリケーションを含むルールのトラフィックフローの例で、各段階で利用可能な情報を示しています。

WANファイアウォール、インターネットファイアウォール、およびネットワークルールポリシーは、しばしば最初のパケットでトラフィックフローを評価できます。 例えば、5タプルからのデータに基づいたルールです。 しかし、AzureやSlackなどの特定のアプリケーションにマッチするルールの場合、エンジンがフローを評価するにはトラフィックフローからの追加データが必要です。 これは、エンジンがフローを評価するフェーズが特定のルールの設定に依存することを意味します。

ファイアウォールルールの種類に関する詳細は、インターネットとWANファイアウォールポリシー–ベストプラクティスを参照してください。

単純なネットワークルールと複雑なファイアウォールルールに対する最初のパケットの例

この例では、PoPエンジンがIPアドレスとポートを使用する単純なネットワークルールと、Azureアプリのための複雑なファイアウォールルールでトラフィックフローをどのように異なる評価するかを示しています。 ネットワークエンジンは最初のパケットに基づいてフローを評価できますが、PoPはファイアウォールエンジンの分析を完了するために追加のデータを待ちます。

サンプルネットワークルール

次のネットワークルールは、ポート範囲8000 - 8010のIP範囲としての送信元であり、トラフィックはロンドンPoPロケーション経由で流出します。

ネットワークエンジンは、5タプルに基づいてトラフィックフローのルーティング決定を評価できます。

サンプルWANファイアウォールルール

次のWANファイアウォールルールは、上記のネットワークルールのIP範囲と同じ送信元であり、RnDユーザーグループのメンバーであるユーザーに対するトラフィックを許可します。 さらに、ルールはHTTP(S)、TLS、FTP、およびTFTPサービスのAzureアプリケーション用です。

ファイアウォールエンジンは最初のパケットでトラフィックを評価できません。なぜなら、フローのユーザーID、Azureアプリケーション、およびサービスを確認する必要があるからです。 エンジンが評価を完了し、フローがすべての基準を満たした後、エンジンはフローを許可します。 PoPはまた、最初のパケットに基づいてルーティング決定を適用します。

URLフィルタリングサービスはウェブサイトのURLを分析し、既知または疑わしい悪意や不適切なウェブサイトのデータベースと比較することで機能します。 このサービスは、成人向けコンテンツ、ギャンブル、ソーシャルネットワーキング、またはストリーミングメディアなど、そのカテゴリーを決定するためにウェブサイト自体のコンテンツを分析する場合もあります。

カテゴリについて詳しくは、カテゴリの操作を参照してください。

TLSインスペクションエンジンは、パケットフローのtls_handshakeフェーズ中に関与します。 フローを検査するかどうかは不可逆的な決定であり、2段階で行われます。

HTTPSフローの場合、第1段階に基づいてパケットをブロックする決定が下される可能性があります。 しかし、エンジンは引き続き通信し、エンドユーザーに正しいファイアウォールまたはIPSブロックページを提示するためにTLS接続を確立します。

IPSエンジンはトラフィックフローのライフサイクル中実行し続けます。 特定のアイテムを異なる段階で検査し、その段階でIPS保護に一致するコンテンツに対処します。 IPSは虫眼鏡のように機能し、常にフローで確認されたトラフィックからの更新を待ち、エンジンに情報を提供し続けます。

次の例は、フローの異なる段階で利用可能なさまざまな情報を示しています。

異なるIPS保護は、上記のアイテムのいずれかに一致し、その段階でトラフィックフローに対処できます。

DNSの保護はIPSエンジンの一部であり、（TCPやUDPのようなトランスポートとの接続なしに）リクエストとレスポンスのDNSフローで動作します。

DNSリクエスト中に、ドメイン名はドメインの評判と静的フィードに基づいて分析および評価されます。 次にDNSレスポンス中に、解決されたIPとコンテンツが潜在的に悪意のあるコンテンツについて分析されます。 DNS保護ポリシーは、ブロックまたは許可のトラフィックフローに一致する任意のコンテンツに適用されます。

アプリケーション制御エンジンはトラフィックを検査し、アプリケーション制御ポリシーのアクションを適用し、各新しいHTTPトランザクション（リクエストとレスポンス）で評価されます。

gen2アプリには、アプリ識別を完了するためにTLSとHTTPプロキシが必要です。

セキュリティとコンプライアンス要件を含むルール：

DLPエンジンはトラフィックフローのコンテンツを検査し、アプリ制御エンジンの拡張版です。 ポリシーにファイルタイプまたはファイルサイズが指定されている場合、エンジンはこれらのファイル特性をアプリケーションメタデータとペイロードを検査する必要があります。

アンチマルウェアとSentinelOne次世代アンチマルウェアエンジンは、受信トラフィック（ファイルダウンロード）のファイル添付を既知および未知のマルウェアについてスキャンします。 file_typeはHTTPレスポンス、またはFTPトラフィックのリクエストに基づいています。

HTTP、HTTPS、およびFTPアプリケーションとサービスのみがスキャンされます。