【SSE】[Zscaler] [ZIA] [設計] [個別] [インライン] File Type control

はじめに

前回の記事では、Cloud Application Controlについて紹介しました。

Cloud Application Controlが「どのクラウドアプリケーションで、どのような操作を行おうとしているか」を制御する機能であるのに対し、File Type Controlはファイル形式を条件にアップロード・ダウンロードを制御する機能です。

一見するとシンプルな機能ですが、設計を誤ると業務影響が大きくなりやすく、Cloud Application ControlやDLPとの役割分担も重要になります。

また、File Type ControlはSSL Inspectionとも密接に関係しており、この点を理解していないと「ポリシーを設定したのに期待どおり動作しない」といった問題にもつながります。

本記事では、以下について解説します。

• File Type Controlとは
• 利用できるクライテリア
• 利用できるアクション
• 初期状態で用意されている推奨ルール
• SSL Inspectionとの関係
• 設計時に意識したいポイント

File Type Controlとは

File Type Controlは、ファイル形式（File Type）を条件にアップロード・ダウンロードを制御する機能です。

例えば、exe、dll、msi、zip、pdf、Microsoft Officeファイル等のファイル形式を識別し、それぞれに対してポリシーを設定できます。

Cloud Application Controlが「Google Driveへアップロードする」「Boxからダウンロードする」といったアプリケーション単位・操作単位で制御するのに対し、File Type Controlはどのファイル形式なのかだけを見て制御する点が大きな違いです。

利用できる主なクライテリア

File Type Controlでは、以下のような条件を組み合わせてポリシーを作成できます。

• Users / Groups
• Departments
• Locations
• URL Category
• Cloud Application
• File Type
• Upload / Download

これらを組み合わせて以下のような柔軟な制御が可能です。

• 全社員がexeファイルをダウンロードすることを禁止する
• 特定部署のみISOファイルのダウンロードを許可する
• 特定カテゴリのWebサイトからZIPファイルのダウンロードを禁止する

利用できるアクション

File Type Controlでは主に以下のアクションを利用できます。

• Allow
• Block
• Caution

Cautionは利用者へ警告画面を表示した上で、利用者自身が通信を継続するか判断できるアクションです。

初期状態で用意されている推奨ルール

ZIAでは、初期状態から推奨されるFile Type Controlポリシー（Recommended File Type Control Policy）が用意されています。

• 実行ファイル（Executable）のダウンロードに対する警告（Caution）
• 実行ファイル（Executable）のアップロードを拒否（Block）

実行ファイルはマルウェア感染の起点となるケースも多いため、利用者へ注意喚起を行うことを目的としています。

業務で利用するケースがほとんど無いのであれば、ダウンロードもBlockとする設計も十分検討に値します。

一方で、開発部門やシステム管理者では必要となるケースもあるため、ユーザーグループや部署ごとの例外設計を組み合わせることが重要です。

SSL InspectionをしないとFile Type Controlは動作しない

File Type Controlは実際のファイルの中身（ペイロード）を確認してファイル形式を判定します。

そのため、HTTPS通信ではSSL Inspectionを行わなければ暗号化されたままとなり、ファイル形式を識別できません。

つまり、SSL Inspectionを行っていないHTTPS通信では、File Type Controlは実質的に機能しません。

そのため、File Type Controlを有効活用するには、SSL Inspectionとの組み合わせが前提となります。

Cloud Application Controlとの役割分担

Cloud Application ControlとFile Type Controlは似ているようで役割が異なります。

Cloud Application Controlは、「Google Driveへのアップロード禁止」「Boxからのダウンロードのみ許可といったアプリケーションの操作を制御します。

一方、File Type Controlは、「exeだから禁止」「zipだから許可」というように、ファイル形式だけを見て判断します。

そのため、Cloud Application Controlでアップロードを許可していても、後続のFile Type Controlでブロックされることがあります。

インラインプロセスでは各機能が順番に評価されるため、それぞれが独立してポリシーを適用することを理解しておく必要があります。

設計で重要なこと

File Type Controlは非常にシンプルな機能ですが、その分、副作用も大きい機能です。

例えば、「PDFを禁止する」「ZIPを禁止する」といった設定を行うと、業務で必要なファイルまで利用できなくなる可能性があります。

また、Cloud Application ControlやDLPで実現できる制御までFile Type Controlへ任せようとすると、本来制御したくない通信までブロックしてしまうケースも少なくありません。

そのため、

• Cloud Application Control：クラウドアプリケーションの操作を制御する
• DLP：機密情報やファイル内容を制御する
• File Type Control：ファイル形式だけで判断したいケースを制御する

というように、それぞれの役割を明確に分けて設計することが重要です。

私自身は、File Type Controlは「最後の保険」として利用する機能だと考えています。

例えば、exe、dll、msi、ps1など、一般利用者が通常ダウンロードする必要のない実行ファイルを制御する用途では非常に有効です。

一方で、OfficeファイルやPDF、ZIPなど日常的に利用されるファイル形式まで広く制御してしまうと、業務影響が大きくなるため慎重な設計が求められます。

おわりに

本記事では、File Type Controlについて紹介しました。

File Type Controlはファイル形式を条件に制御するシンプルな機能ですが、SSL Inspectionを前提として動作すること、そしてCloud Application ControlやDLPとは役割が異なることを理解して設計することが重要です。

特に、Cloud Application Controlで許可した通信であっても、後続のFile Type Controlでブロックされる場合がある点は、運用時に見落とされやすいポイントです。

File Type Controlを万能な制御機能として利用するのではなく、**「ファイル形式だけで判断したいケースに限定して利用する」**という考え方を持つことで、副作用を抑えながら効果的なセキュリティ対策を実現できます。

➡【次の記事へ】【SSE】[Zscaler] [ZIA] [設計] [個別] [インライン] Data loss Prevention

管理人

自称SASEエンジニアです。 2児の父親をやりながら、日々エンタープライズ向けの次世代ネットワークインフラと格闘しています。一日一投稿を目標に投稿頑張りますので、是非読んでください！