どうも、Catoクラウドを担当している佐々木です。
Catoを使っていると、業務でアクセスするドメインが、CatoのSWG（Secure Web Gateway）機能でブロックしているカテゴリに
誤って分類され、通信できない！ということが時々ありますよね。
今回は、そんな問題が発生した場合の新しい回避策 カテゴリの手動修正 を紹介します。
CatoのSWG（Secure Web Gateway）について
CatoのSWGでは、フィッシング、マルウェア、その他のインターネット経由の脅威からユーザーを保護します。
具体的には以下のような機能を提供しています。
- 70個以上の組み込みカテゴリと事前定義されたセキュリティポリシーによる即時保護
- フィッシングサイトやマルウェア配信サイトに対する防御
- 検索エンジンによるポリシー回避の防止
- カスタマイズ可能な通知によるエンドユーザーエクスペリエンスの最適化
- SWGイベントのロギングとレポートによる完全な可視性
次世代L7Firewallと同じで、CMA上の「Security」＞「Internet Firewall」で設定できます。
なにが問題か
CatoのSWGでは、特定のアプリケーションやドメインをジャンルごとに分類した「カテゴリ」で通信制御できます。
※危なさそうなサイトやアプリケーションをまとめた「カテゴリ」でまとめて通信をブロックするなどが可能です。
※どのアプリケーションがどのカテゴリに分類されるかは、Assets＞App Catalogで確認できます。
デフォルトでいくつかのカテゴリをブロックするルールが設定されており、また、個別に特定のアプリケーションカテゴリの
ブロックルールを作成している場合もあるかと思います。
この時、ブロックしたくない通信が誤ってブロックするカテゴリに分類されてしまい、
通信ができないという事象が発生することがありました。
これまでの対策
これまでは、こういう問題が発覚すると都度Catoに申告し、カテゴリの修正を依頼していました。
（xxxx.comは○○というカテゴリではありません。△△に修正してください、など）
だいたい3営業日程度で対応してくれましたが、それでも修正までタイムラグがあること、英語での依頼になることから、
運用担当者からすると修正までの一時対応含め、面倒な対応だったかもしれません。
これからの対策～カテゴリの手動修正～
2024年1月29日に以下機能がリリースされました。
「Manually Override Default Domain Categorization（デフォルトのカテゴリ分類を手動で上書きする機能）」
この機能を利用すると 自身のテナント限定で特定のドメインを任意のカテゴリに登録することができます。
設定方法
「Assets」＞「App Catalog」から「Domain Lookup」タブをクリックください。
検索ウィンドウでカテゴリを変更したいドメイン or URLを入力されると、ドメインが属するカテゴリが表示されます。
▼scsk.jpで検索した結果
「Categories」の右横にある「Edit」をクリックすると、任意のカテゴリに変更できます。
最後に「Save Changes」をクリックして完了です。
ちなみに、変更すると以下のような Audit Trail ログが残ります。
動作確認
今回は「scsk.jp」のカテゴリを「BusinessInformation」から「Beauty」に変更してみました。
そして、Internet Firewallでアプリケーションカテゴリ「Beauty」をブロックしてみます。
結果、以下のように「Beauty」に分類され、ブロックされました。
カテゴリを元に戻す方法
手動でカテゴリを変更したものの、元に戻したい場合は以下の方法で対応可能です。
Assets＞App Catalogから「Domain Lookup」タブをクリックください。
右端に表示されている「Show Account Overridden Domains」をクリックすると、上書きしたドメイン一覧が表示されます。
削除したいドメインの右端にある「ゴミ箱 アイコン」をクリックすると、上書き設定が削除されます。
※該当ドメインのカテゴリは初期設定に戻ります。
注意点
2024年2月時点ですべてのカテゴリが編集可能なわけではないようです。
＜＜KBより抜粋＞＞
Only categories based on URL filtering services are editable. System categories defined by the Cato Security Research team can’t be edited.
Only categories based on URL filtering services are editable. System categories defined by the Cato Security Research team can’t be edited.
“Catoセキュリティリサーチチームが定義したシステムカテゴリは編集できません”
実際何が変更できないかCatoにも確認してみましたが、現時点ではリストのようなものを提示することができないようで、
自分で設定変更しようとしてできないものがあれば、Catoに変更を依頼する必要があるとのことです。
まとめ
今回のポイントです。
・ドメインのカテゴリを手動で変更できるようになった（Assets＞App Catalog＞Domain Lookupから）
・カテゴリ誤分類による通信トラブルが発生してもすぐに修正できるようになった
・ただし、仕様としてカテゴリ修正できない場合もある（この場合はCatoに変更依頼が必要）
・Catoの運用がちょっと楽になったかも！？
上記以外の情報についても弊社の「Catoに関するFAQサイト」に多数情報ございますのでご参考にください。
最後に、SCSKではPoCから導入、運用まで幅広くCatoに関する支援を行っております。
本番構成への移行を見据えたPoC構成や、PoCでつまづきやすい点のサポートなど、豊富な導入実績を基にご支援いたします。
ぜひお声がけください！