【Netskope】アプリケーションが繋がらない場合の対処法 - Certificate Pinned Applications

はじめに

こんにちは、ネクストモードのSaaS事業部hagiです。

SaaSは入れて終わりではありません。

本業の邪魔をしないように配慮しながら、メンバー各位と対話しつつ現場と共存していく工夫が肝心です。(工夫が出来る製品を選ぶのも大事)

今回はそんなユースケースについて書いていきます。

Netskopeとは

Netskopeは、クラウドサービスの利用時に生じる情報漏洩のリスク(シャドーIT)や、外部の第三者による不正アクセス、マルウェアの感染といった脅威から機密情報を守り、SaaS環境のセキュリティを強化することができるSASEソリューションです。

開発環境が繋がらない！

Netskope Clientが常駐した端末上で、Android StudioやDockerなどの仮想環境を展開した場合、インターネット通信がうまくいかないことがあります。

これは、疑似環境上でNetskope Clientが動作していないが故に起こり得る仕様ですが、素直に疑似環境上にNetskope ClientやNetskopeのルート証明書を入れてくださいと言ったところで、開発サイドからは透かさず「開発環境なのに、最初から手を加えた状態で開始せよという前提は如何なものか」と言われてしまうのは必然です。私もそう思います。

如何なものかと言われる総人口を減らしたいので、以下に回避手順を記載していきたいと思います。

3ステップで完了します。

手順

①まず、利用しているアプリケーションのプロセスを特定します。

プロセス名は、Netskopeのnsdebuglog.logを確認します。

検索しても良いですが、macOSの場合は/Library/Logs/Netskopeに、Windowsの場合はC:\Users\Public\Netskope等に格納されています。
(最もインスタントなアクセス動線は、Client ConfigurationでINSTALL & TROUBLESHOOT→Advanced→Enable advanced debug optionにチェックオンした上で、タスクバーからAdvanced Debbuging→Log Management→Reveal Logsと辿ることです)

process:の構文を探します。場合によって、複数のプロセスが確認できる場合もあります。
※tunnel.cppのTunneling flow 〜 構文だとNetskope経由、bypassAppMgr.cppのbypassing flow〜 構文だと通信除外がかかっている状態のため、grepをかけるなどして工夫してください

②プロセスが分かったらhttps://xxxxxx.goskope.com/ns#/settings?view=manage_custom_apps&subview=cert_pinned_appsを開きます。

下記をクリックしましょう。

任意名で、プロセス名をカンマ区切りで入力します。(RegExも利用可能ですが、半端な定義で後々誤爆するのも怖いので、私はあまり使いません。)

③次に、Security Cloud Platform > Traffic Steering > EXEPTIONS より、Certificate Pinned Applicationsを選択します。

最後に、先ほど定義したApplicationを指定して、Custom App Domains に除外したいドメインを記載します。(ワイルドカード可)

以上です。

健やかな開発環境をお過ごし下さい。

ご参考: https://docs.netskope.com/en/netskope-help/traffic-steering/app-definitions/certificate-pinned-applications/

さいごに

NetskopeはCASB機能で名を馳せている業界引っ張りだこな印象がまず強いですが、管理のし易さや、細かい運用の気が利く所こそ真のNetskopeの強みであり、長く使っていても苦にならない、沼らない、エンジニア比率が7割を占めているNetskope社のNetkopeを是非とも多くの方々に触っていただきたいと、私個人日々祈っております。