こんにちは、 ネクストモード株式会社 の sobar です。Netskope運用におけるTips（小ネタ）をご紹介します。
Netskope は、柔軟性とアジリティを兼ね備えた DevOps型のセキュリティ製品です。使いながら必要な機能を追加していくことで継続的に改善し、変化に迅速に対応できる点が非常に優れています。詳細はこちらをご覧ください。
Netskopeのログを確認することでセキュリティインシデントの特定、ポリシー違反の監視、不正行為の特定、そして法律、規則、規制へのコンプライアンス確保を実現できます。業界やセキュリティコンプライアンスの要件によって、ログの保持期間も異なりますので保持期間も重要なパラメータとなってきます。
今回はNetskopeの主要なログ確認機能である Skope IT のEventsログ（Application Events、Page Events、Network Events）と、Alerts ログについてそれぞれの通信内容と確認方法、データ保持期間、出力条件などを整理しましたのでご紹介いたします。
管理者がNetskope テナントにログインし確認が可能なSkope IT のユーザー通信ログは以下のようなものがあります。いずれも直感的に確認が可能なものとなっています。
※Network Eventsのユーザー通信 NPA（Netskope Private Access）、CFW（Cloud Firewall）はそれぞれライセンス契約が必要となります。
※保持期間に関しては標準がデフォルトでの期間となりますが、拡張の期間まで延長をご希望の場合はオプションライセンスで延長が可能となります。
※上記のログ（Application Events、Page Events、Network Events、Alerts）を統計として確認する場合、Advanced Analytics（ライセンス契約が必要）で確認が可能です。Advanced Analytics のログはデフォルトは7日のデータ保持となりますが、こちらも追加オプションによりそれぞれ最大で13カ月まで延長が可能となります。Advanced Analytics に関しましては必要に応じて以下のブログもご参照ください。
上記いずれにつきましてもご不明点やご興味がある場合は弊社までお気軽にお問合せください。
以下、それぞれのログについて簡単にご紹介いたします。
（Skope IT > Application Events）
Application Events では SaaS向けのユーザー通信（CASB）ログが確認できます。Netskopeで記録した内部HTTPログを解析し出力します。Login、Logout、View、Upload、Download、Post等、ユーザのSaaS操作（アクティビティ）単位のログを出力します。識別できる操作はアプリ（Application Connector）に依存します。
各行の左端の虫眼鏡マーククリックし詳細の確認が可能です。
以下はGemini にてファイル投稿時のログとなります。イベント発生日時、ユーザー情報、アプリケーション情報、アクション、ヒットポリシー等の通信内容の詳細が確認できます。
（Skope IT > Page Events）
Page Events ではユーザが見ているブラウザページ毎のアクセスログ（SWG）を出力します。数百のログを解析することなく、特定サイトやページへのアクセスを容易に把握することが可能です。
Page Eventsの出力条件は以下となります。
各行の左端の虫眼鏡マーククリックし詳細の確認が可能です。
以下はAntropic Claude のサイトアクセス時のログとなります。イベント発生日時、ユーザー情報、アプリケーション情報、通信内容の詳細等が確認できます。
（Skope IT > Network Events）
Network Events ではNPA（Netskope Private Access）やCFW（Cloud Firewall）通信のログが表示されます。
Network Events の出力条件は以下となります。
各行の左端の虫眼鏡マーククリックし詳細の確認が可能です。
以下はNPA通信時の参考ログとなります。イベント発生日時、合致する作成ポリシー、ユーザーの情報、宛先との利用通信情報、セッション情報等が確認できます。宛先との利用通信情報では合致するPrivate Apps、宛先ホスト名、ポート、プロトコル情報、使用Publisherの情報が確認できます。セッション情報ではユーザー使用ポップに加えて、Publisher の使用ポップも確認ができます。
（Skope IT > Alerts）
通信がブロックされた際のログや、ユーザーアラート (User Alert) として検知されたログが出力されます。
※ACTION = Proceed のログはユーザーアラートとして検知後、続行をユーザが選択し次項の処理を継続したことを表すものとしてこちらも Alerts にログが出力されてきます。ユーザーアラートがどういったものか確認が必要な場合は以下もご参照ください
以下は主なアラートの出力例となります。
※生成AI 制御するポリシー作成については以下ブログでもご紹介しておりますので必要に応じてご参照ください。
今回はNetskope のログ確認において一番最初に確認するベーシックなSkope ITのEvents & Alertsログについて整理してみました。各ログの仕様や出力条件の確認に、本ブログをお役立ていただけますと幸いです。
この記事によってなにか新たな気づきがあり、皆さまの Netskope運用の一助となれば幸いです。