【Catoクラウド】Posture Check機能を活用したCMAの設定棚卸実践

こんにちは、Catoクラウド担当SEの中川です。

今回はPosture Check機能の解説をしていきます！

Posture Checkとは、CMA上で設定しているポリシーや設定を評価し、Catoの推奨事項への準拠レベルを確認できる機能です。
実はこの機能自体は以前から、2023年8月ごろからBest Practicesという名前で提供されていました。Posture Check はその後継にあたります。

前身の Best Practice の内容が気になる方は下記のブログをご参照ください。
Catoクラウドの新機能 “Best Practices” – TechHarmony

機能のポイント
具体的なチェック項目内容
運用のイメージ
ご参考情報
最後に

機能のポイント

前身のBest Practice では、FirewallやThreat Prevention などの設定に対して、機能が有効になっているか、Cato社がブロックを推奨するアプリカテゴリがブロックされる設定がされているか、をチェックするだけの機能にとどまっていました。

そこから、今回ご説明するPosture Checkでは特に下記のポイントが可能になっています。

アカウント全体のセキュリティ・コンプライアンスを測定
リスクレベル(Critical/High/Medium/Low)に基づく動的なスコアリング
CASBやDLPに加え、モバイルユーザの認証やネットワークルールなどもチェック可能に
不適合項目に対する具体的な修正手順の説明

Best Practice では、チェック項目ごとのPassed/Failedの判定しかありませんでしたが、不適合の項目のリスクレベルで動的にチェックされ、どのように修正したらいいのかを提示し説明してくれるようになっているので、運用管理者にとって設定がセキュリティ準拠できているかの確認に充分な機能になってきていると思います。

具体的なチェック項目内容

ここではPosture 機能でチェックされているポリシーの一覧をカテゴリごとに記載します。

2026年7月現在は118のチェック項目がありました。
ボリュームが多いのとチェック項目は随時増えていくものでもありますので、ここでは主要な項目のみピックアップします。

気になる方はご自身のCMAアカウントにてご確認いただければと思います。
Home > Posture Checkの実際の評価ページではなく、Resource > Posture Check Catalog の方がどういった評価をしているのかまでDescriptionで書かれているので、評価項目の一覧として見るにはコチラの方がわかりやすいです。

Security

Internet Firewall

リスクの高いサービス・アプリケーション・カテゴリのブロック
QUIC/GQUICプロトコルのブロック（TLS検査を有効にするため)
期限切れ・テスト・一時的なルールのレビュー

WAN Firewall

リスクの高いサービスのブロック
モバイルデバイスからのWANアクセスブロック

LAN Firewall

リスクの高いサービスのブロック
最小限のアクセス権限でのルール定義

Threat Prevention

IPS (侵入防止システム) の有効化と設定
NG Anti-Malwareの有効化
Sandboxとフォレンジック分析の有効化
DNS Protectionの有効化

TLS Inspection

TLS Inspectionポリシーの有効化
機密カテゴリのバイパス

Application Control

Application Controlの有効化
クラウドアプリケーションの詳細なアクティビティログ

Data Loss Prevention

DLPの有効化
ファイル共有・ストレージアプリへの暗号化ファイルアップロードブロック

Remote Port Forwarding

過度に許可的なサービス露出の制限

🌐 Network

Network Rules

Network Rulesの有効化
インターネットEgressルールの特定ソース/アプリ/カテゴリ定義
NATルールにおける複数のPoP/IP設定

Account Level Networking Settings

セカンダリDNSサーバーの定義
Link Health Rulesの定義
DHCPリース時間の設定（1日以内）

👤 Access (モバイルユーザ)

Access Policy

Client Connectivity Policyの有効化
Always-Onポリシーの有効化
Device Posture Checksの設定

Authentication

SSOまたはMFAの有効化
SSOプロバイダーの設定

🔧 Setup

Resiliency & Recovery

WAN Recoveryの有効化
Off Cloud Trafficの有効化

運用のイメージ

さて、ここではPosture Check 機能を使った具体的な運用イメージを考えてみたいと思います。おおよそこんな流れでしょうか。

修正対象のピックアップ
Cato推奨の修正内容を確認
自社に適用できるかを判断
ポリシー等の修正

修正対象のピックアップ

チェック項目が118個もあると、指摘されても何から手を付けたら良いのか判断に迷うかと思います。そこでまずはCMA上の表示を調整して修正すべきものの優先度をつけてみたいと思います。

Posture Check 画面に遷移すると、デフォルトでは下画像のように Status is Failed でフィルターされ、Severity(深刻度)で降順に並んだ状態で表示されます。

このフィルタと表示順でもある程度の優先順位の判断はつきますが、
例えば下画像のように、フィルタにSeverity is Highを追加し、Group By で”Category”を選択すると、深刻度の高い項のみを各カテゴリごとにまとめられるので見やすくなるかと思います。

画像は私たちの検証環境の様子ですが、不合格が37個あるうちSeverityの高いもの13個に絞り、各カテゴリごとに順々に対処していくことができます。

Cato推奨の修正内容を確認

上記で修正対象の検討が付いたら、具体的にCatoで何がNGと判断されているのか見ていきます。

今回は例として、Internet FWのBlock Risky Categoriesを表示してみますと、下画像のように右側に詳細が現れます。

簡単に項目を列挙してみます。

ステータス
- Status : Failed
- Severity : High
- Findings : 3
  追加すべきブロック推奨のカテゴリが3つあるという意味です。
  Findings(3)のタブを押下すると、下画像のようにQuestionable、Keyloggers、Spywareの3つが対象であることがわかります。
- Last Checked：2026年7月14日 11:52 ※24時間おきにチェックされています。
Check Overview
- Description：リスクの高いカテゴリには、ユーザーやネットワークにセキュリティ上のリスクをもたらす可能性のあるオンライン活動に関連するウェブサイトなどが含まれます
- Labels : ラベルには、①どのコンプライアンス基準や規制要件に対応しているか、②セキュリティ的に強化すべき特定のユースケースの2種類があります。
  - ①でサポートされている基準は、GDPR / ISO 27001:2022 / NIST SP 800-53 Rev. 5 の3つとなっています。
  - ②は、今回は「Risky Internet Access」に該当し、言葉通りリスクの高いインターネットアクセスに関連するセキュリティチェックが行われラベリングされています。そのほかに「Encrypted Traffic Control(暗号化通信の制御)」や「Data Exfiltration(データ漏洩)」といったラベリングがあります。
Industry Comparison
自身のテナントが属する業界での合格率が表示されています。
- 実際の記述：コンサルティング業界であなたと同じような立場にある人の49％がこの審査に合格しました
- この業界判定は具体的にどういった基準でされているのかドキュメントにはありませんでした。
  また、業界内で合格率が低いからといって不適合のまま放置していいといった判断をするわけではないと思いますので、参考程度にとらえておくのがよさそうです。
- なお、業界判定を修正されたい場合は、Account Scoreの「Have a recommendation to add? Share feedback」リンクからフィードバックとして修正依頼が可能なようです。
Recommended Action
- 推奨される対応：推奨されるリスクの高いカテゴリをすべてブロックするインターネット・ファイアウォールのルールを定義する
- Guide Me：クリックすると画像のように自動でAsk AIへ、具体的な対処案を求めるメッセージが送られ、具体的にどういった手順でルールを作成すべきかアドバイスが得られます。
  今回ピックアップしたのがInternet Firewallのため悩まれる方は少ないかもしれませんが、その他のTLS Inspectionなどあまり設定変更する場面が少ない設定を変更される場合には、AIはかなり有効な機能と感じます。

ポリシー修正

※ここではInternet Firewallへのルール追加の操作は割愛します。

実際にブロックするルールを追加し、最下部にあるReview ＆ Resolveをクリックしてみると、Security ＞ Internet Firewall で Posture Recommendation を展開した際の画面に遷移しました。この画面では不合格の項目のみが表示されるもののため、すでにBlock Risky Categories の項目は合格になったことから表示されていませんでした。

そして、Home > Posture に戻ってみると、下記のようにきちんとPassedに変化していました。ちなみに Review ＆ Resolve をクリックした時刻で Last Checkedの時刻が更新されていました。

なお、Review ＆ Resolve のボタンは現状、Internet Firewall / WAN Firewall / Application Cntrol (CASB) / Data Loss Prevention (DLP) の4つのみで使えるようでした。

そのため、Network Rule やモバイルユーザの認証設定などを変更した際は、もどかしいですが24時間おきの自動チェックを待ってみましょう。

ご参考情報

ここでは、少し注意した方が良さそうな点や、運用における便利機能をご紹介します。

不合格判定されないケースに注意

上記にて、Internet Firewall でブロックのルールを設定した後、Sourceを個別のユーザ指定してQuestionableのアプリカテゴリを許可するルールを追加してみましたが、再び不合格にはなりませんでした。なお、SourceをAnyに変えてみると不合格となりました。

判定の詳しいロジックは公開されておりませんが、個別の例外的なルールまでは判定条件に含まれない場合があるため注意が必要です。

Posture Recommendation でルール作成を簡単に

Review ＆ Resolve のボタンが用意されていた、Internet Firewall / WAN Firewall / Application Cntrol (CASB) / Data Loss Prevention (DLP) の4つは、Posture Recommendation というボタンが各画面にあります。

ここでもPosture Check と同じチェックはされていて、上記のボタンの場合は8個の項目で不合格になっている状態です。

例えばBlock Risky services で不合格が出ていたので、最下のを押してみると自動でルールを作成してくれました。

作成されたルールは、ルールの位置が最上部になっていたり、ActionのTrackでイベントログの出力設定はされていなかったりと若干注意するポイントはありますが、とりあえずルールの作成イメージが知りたい方にとってはかなり便利な機能だと思います。

チェック項目を無効に

チェック項目一覧が確認できるページとしてご紹介したPosture Check Catalogでは、チェックの有効/無効の設定ができます。

例えば「モバイルユーザのSSO認証設定がされていること」がチェック項目のひとつにありますが、お客様によってはSSO認証先の環境用意がないこともあるかと思います。そんな時に下画像のように無効化しておくことで対象外としておくことができます。

Home ＞ Posture の画面では、チェックの総数が118から117になっており、チェック項目一覧にも表示されなくなっていました。

また、一定期間のみ無効化しておきたい場合、チェック項目を展開した右上の…30日または60日の間ミュートにしておくことができます。

ミュートも、無効化同様にチェック項目一覧からは表示されなくなりました。

なお、表示させるにはStatus で Disabled（無効化）やMuted（ミュート）を選択することで、対象のルールを表示させることができます。

セキュリティ機能を有効にしたいが検証期間中のためミュートにしておきたいケースや、お客様環境によっては準拠自体が難しいケースがあるかと思いますが、これらの機能で個別環境に応じたスコアリングが可能です。

最後に

Posture Check は、実際に通信を制御するような機能ではないので、あまり触れたことがない方も多いのではないでしょうか。

Catoクラウドの導入を完了し、その後の運用の中でテストルールを作成したまま残っていたり、まだまだセキュリティ面で強化できるポイントが残っていたりするかと思います。

Catoのベストプラクティスに則った設定となっているか、ぜひ定期的にご確認いただくのが良いかと思います。

また、弊社のマネージドサービスとして、Catoのベストプラクティスに加えて弊社のこれまでの知見をもとにCMAの設定診断を行うサービスもございます。CMAの設定でお困りの際には、ぜひお声がけいただければと思います。