Cato SPACEアーキテクチャによるパケットフローの理解

このセクションでは、パケットフローの異なるフェーズに適用されるPoP内のネットワークおよびセキュリティサービスとエンジンを一覧表示します。

これは、Slackアプリケーションを含む規則のトラフィックフローの例であり、各ステージで利用可能な情報を示しています。

WAN ファイアウォール、インターネット ファイアウォール、および ネットワーク ルールの ポリシー は、通常、最初の パケット で トラフィック フロー を評価できます。 たとえば、5-タプル データ に基づく ルールです。 ただし、Azure や Slack などの 特定の アプリケーション に一致する ルールの場合、エンジン が フロー を評価するためには、トラフィック フロー からの追加データ が必要です。 これは、エンジンがフローを評価する段階が、特定ルールの設定に依存することを意味します。

ファイアウォールルールの種類に関する詳細は、インターネットとWANファイアウォールポリシー–ベストプラクティスを参照してください。

シンプルなネットワークルールと複雑なファイアウォールルールの最初のパケットの例

この例では、PoPエンジンがIPアドレスとポートを利用したシンプルなネットワークルールとAzureアプリケーションの複雑なファイアウォールルールに対して、それぞれ異なる方法でトラフィックフローを評価する方法を示しています。 ネットワークエンジンは最初のパケットに基づいてフローを評価できますが、ファイアウォールエンジンが分析を完了するためにPoPは追加データを待ちます。

サンプルネットワークルール

以下のネットワークルールは、送信元がIP範囲で、ポート範囲8000 - 8010を持つトラフィックに適用され、ロンドンPoPの拠点を経由して送信されます。

ネットワーク機器エンジンは5-タプルに基づいてトラフィックフローのルーティング決定を評価できます。

サンプルWANファイアウォールルール

以下のWANファイアウォールルールは、上記のネットワークルールのIP範囲と同じ送信元であり、RnDユーザグループのメンバーであるユーザーのトラフィックを許可します。 さらに、このルールはHTTP(S)、TLS、FTP、TFTPサービスのためのAzureアプリケーションに適用されます。

ファイアウォールエンジンは最初のパケットでトラフィックを評価できません。ユーザーのアイデンティティ、Azureアプリケーション、フローのサービスを確認する必要があるためです。 エンジンが評価を完了し、フローがすべての基準を満たした後、エンジンはフローを許可します。 PoPも最初のパケットに基づいてルーティング決定を適用します。

URLフィルタリングサービスは、ウェブサイトのURLを分析し、既知または疑わしい悪意または不適切なウェブサイトのデータベースと比較して機能します。 このサービスは、成人向けコンテンツ、ギャンブル、ソーシャルネットワーキング、ストリーミングメディアなどのカテゴリを決定するためにウェブサイト自体のコンテンツも分析する場合があります。

カテゴリについて詳しくは、カテゴリの操作を参照してください。

TLSインスペクションエンジンは、パケットフローのtls_handshakeフェーズで関与します。 フローを検査するかどうかの決定は不可逆であり、2段階で行われます：

HTTPSフローでは、ステージ1に基づいてパケットをブロックする決定がされる可能性があります。 ただし、エンジンは通信を続けてTLS接続を確立し、エンドユーザーに適切なファイアウォールまたはIPSブロックページを提示します。

IPSエンジンはトラフィックフローの存続期間中、動作を続けます。 利用可能な特定のアイテムをさまざまな段階で検査し、IPS保護に一致するコンテンツに対処します。 IPSは虫眼鏡のように機能し、常にトラフィックからの更新を待ち受け、フローに見られた情報をエンジンに継続的に提供します。

以下の例は、フローの異なる段階で利用可能なさまざまな情報を示しています：

異なるIPS保護は、上記のアイテムのいずれかに一致し、その段階でトラフィックフローに対してアクションを取ることができます。

DNSプロテクションはIPSエンジンの一部であり、リクエストとレスポンスのためにDNSフローで動作します（たとえば、TCPやUDPなどのトランスポートには接続されていない）。

DNSリクエスト中に、ドメイン名が分析され、ドメインの評判と静的フィードの評価が行われます。 その後、DNSレスポンス中に、解決されたIPとコンテンツが潜在的な悪意のあるコンテンツとして分析されます。 一致するコンテンツに対してDNSプロテクションポリシーが適用されます（トラフィックフローをブロックまたは許可）。

アプリ制御エンジンはトラフィックを検査し、アプリケーション制御ポリシーのアクションを適用し、新しいHTTPトランザクションごと（リクエストとレスポンス）で評価されます。

第2世代アプリには、アプリケーションの識別を完了するためにTLSとHTTPプロキシが必要です。

セキュリティとコンプライアンスの要件を含むルールの場合：

DLPエンジンはトラフィックフローの内容を検査し、アプリ制御エンジンの拡張機能です。 ポリシーがファイルタイプやファイルサイズを指定する場合、エンジンはこれらのファイル特徴のためにアプリメタデータとペイロードを検査する必要があります：

アンチマルウェアエンジンと次世代アンチマルウェアエンジンは、インバウンドトラフィック（ファイルダウンロード）の添付ファイルを、既知または未知のマルウェアに対してスキャンします。 ファイルタイプはHTTPプロトコルの応答またはFTPトラフィックのリクエストに基づいています。

HTTPプロトコル、HTTPS、およびFTPのアプリケーションとサービスのみがスキャンされます。