Boxへのファイルアップロードがブロックできません。

Products

Cloud Secure Web Gateway - Cloud SWG

Issue/Introduction

Cloud Secure Web Gateway (SWG) の Group A Policy を使用し、ファイルタイプに基づくアップロードのブロック制御を実施しています。

Boxへファイルをアップロードした際、ブロック対象のファイルタイプであるにもかかわらず、転送がブロックされませんでした。

特定のファイルタイプに限定して、Boxへのファイルアップロードを制御する方法を教えてください。

Environment

Cloud SWG
Cloud SOC

Cause

Boxなどの一部のクラウドサービスでは、巨大なファイルを高速に転送するため、ファイルがチャンク（分割）されてアップロードされます。

Cloud SWG単体の機能（標準のWeb Accessポリシー）では、チャンク分割された通信ストリームを元のファイルとして再構成し、ファイルタイプを正確に分析することはできません。

※Cloud SWG単体の機能であっても、「ファイルタイプを問わず、Boxへのアップロード操作そのものをすべてブロックする」という制御は可能です。

Resolution

チャンク分割されるクラウドアプリの通信やファイルタイプを正確に制御するには、CloudSOC (CASB) 連携、または Full Web Isolation 連携をご検討ください。
※CloudSOC連携を利用するには、「CASB Gateway Advanced」ライセンスのご契約が必要です。

以下に、CASB Gateway連携を利用して、Boxへの実行可能ファイル（例：.exeファイル）のアップロードをブロックする手順を案内致します。
※Full Web Isolation連携でブロックする方法は、こちらのリンクを御参照ください。

CloudSOCでのGatelet有効化
CloudSOCコンソールにログインし、上部メニューの [STORE] > [Gatelets] へ移動します。一覧から「Box」をクリックし、[Activate App] を選択します。
Cloud SWGでのルーティング設定
Cloud SWGポータルにて、[Policy] > [CloudSOC CASB Gateway] へ移動し、[Add Rule] をクリックします。
DestinationsのGateletから「Box」を選択し、判定（Action）を [Inspect]（検査）に設定してポリシーを適用します。
CloudSOCでのポリシー作成開始
CloudSOCコンソールに戻り、[PROTECT] > [Policies] (または Policy Library) > [+ New] より、新しいポリシーの作成を開始します。
Policy Details の設定
以下の通り設定します。
Policy Name: 任意のユニークな名前を設定します。
Description: 任意でポリシーの説明情報を入力します。
Policy Type: Data Transfer via Gatelets を選択します。
Define Rules の設定
以下の通り設定します。
Cloud Service: Selective を選択し、リストアイコンから Box を選択します。
Transfer Type: Upload を選択します。
Device Properties / Users & Groups / Location / Data Profiles: すべてデフォルトのままとします。
File Properties: File Names の [Select] リンクをクリックします。"Type Naming pattern and press enter" の欄に exe と入力し、必ず Enterキーを押下して条件を確定させます。

（※Enterキーを押下しないと上図のように条件として登録されませんのでご注意ください）
Define Response の設定と保存
Block Activity: Block activity にチェックを入れます。
すべての設定が完了したら、画面右上の [Save Policy] をクリックして保存します。

以上の設定が完了しポリシーが反映されると、Boxのチャンク通信がCloudSOC上で正確に解析され、Exeファイルのアップロードが正常にブロックされるようになります。