Astin

[Netskope] OKTA SSO 연동

Astin — Fri, 3 May 2024 17:23:03 +0900

오늘은 IDaaS 서비스 중의 하나인 OKTA를 Netskope에 연동하고자 합니다.그에 앞서 대략적인 개념을 짚고 넘어가고자 합니다.

IDaaS (Identity-as-a-Service)

아이덴티티 서비스의 목적은 사용자의 신원을 확인하여 소프트웨어 애플리케이션, 파일 또는 기타 리소스에 따라 적합한 액세스 권한을 적시에 제공하는 것입니다.

SSO는 Single Sign On의 약자로, 한번의 로그인으로 여러 시스템에 접근할 수 있는 인증 방식입니다.

SCIM은 사용자 프로비저닝을 자동화할 수 있는 개방형 표준입니다. 이를 통해 사용자 계정을 생성, 수정, 삭제할 수 있으며, 이러한 작업을 수동으로 수행하는 것보다 효율적으로 할 수 있습니다.

오늘은 Netskope 에서 OKTA(IDaaS)를 연동하여 SSO 로그인시연을 해보겠습니다.

SCIM은 다음 포스팅에서 다루도록 하겠습니다.

우선 OKTA는 개발자를 위한 무료 서비스를 제공하고 있습니다.

https://developer.okta.com/signup/

Workforce Identity Cloud Free Edition을 통해 회원가입을 진행합니다.

위와 같이 회원가입을 진행하여 테스트를 진행 하였습니다.

회원가입을 완료하고 나면 개발자 도메인으로 로그인이 가능합니다.

Netskope 연동을 위해ㅏ Applications 메뉴에서 Browse App Catalog 메뉴로 진입 합니다.

Netskope 검색해보면 여러가지 어플리케이션을 제공하고 있습니다.

그 중 Admin Console 를 Add Integration 해줍니다.

테넌츠 도메인을 넣어서 설정을 진행해 줍니다.

연동을 위해 넣어야할 파라미터는

Settings - Administration- SSO - Netskope Settings 에서 복사하면됩니다.

위의 내용을 참고하여 아래 빈칸을 채워주면됩니다.

Username format 까지 설정을 마무리해주고 나면,

아래와 같이 Metadata URL에 표기 됩니다.

이 값들을 복사해 Netskope에서 설정을 마무리 해줍니다.

Settings - Administration- SSO - SSO/SLO Settings 에서 Edit Settings 메뉴로 들어갑니다.

앞서 복사한 파라미터를 넣어 설정 합니다.

여기 까지 진행 하셨다면, 테넌츠 UI로 접근시 OKTA 로그인 페이지가 나오는것이 확인되고,

로그인시도시 아래와 같이 오류가 나타나게 됩니다.

이는 어플리케이션에 유저가 추가 되지 않아 나타나는 현상으로 아래와 같이 유저를 조인 해주어야 합니다.

Directory People에서 Add person 버튼 클릭

유저 정보를 입력하고 Activation 까지 해줍니다.

다시 Netskope Admin Console 가서 Assign to People 메뉴로 진입

원하는 유저를 Assign 해줍니다.

해당 유저의 메일로 가보면 Invite 메일이 도착해 있고,

절차에 따라 SSO에 조인 완료 하였다면,

해당 계정으로 로그인을 할 수 있게 됩니다.

[Netskope] Remote Browser Isolation (RBI)

Astin — Thu, 18 Apr 2024 15:50:29 +0900

RBI 기능은 크게 2개의 버킷으로 분류됨.

1. Threat Protection 관점

프록시 인스턴스에서 수행 후 픽셀 렌더링을 통해 페이지를 엑세스 하기 때문에,

클라이언트에서 스크립트가 구동되지 않아 멀웨어로부터 안전.

2. Access Control 관점

파일 업로드/다운로드를 차단하며, 복사/붙여넣기/인쇄 사용자 활동을 제한합니다.

동작 방식

1. 정책에 부합되면, Netskope Secure Web Gateway 로 접속.

2. 웹페이지가 원격 브라우저에 로드됩니다.

3. 원격 브라우저는 요청된 페이지의 렌더링(픽셀 스트림)을 사용자에게 제공합니다. 최종 사용자는 원격 브라우저가 최종 사용자 장치 브라우저에 전체 HTML이 아닌 픽셀만 전달한다는 점을 제외하고 평소와 같이 페이지를 봅니다.

이 프로세스는 맬웨어를 포함하여 원격 웹 사이트의 활성 콘텐츠가 엔드포인트 장치에 다운로드되지 않도록 합니다. 이렇게 하면 엔드포인트 장치가 안전하게 유지됩니다.

- 참고 자료

https://docs.netskope.com/en/netskope-help/data-security/remote-browser-isolation/introduction-to-remote-browser-isolation-rbi/

Introduction to Remote Browser Isolation (RBI) - Netskope Knowledge Portal

Introduction to Remote Browser Isolation (RBI) Netskope RBI use cases are grouped into two buckets: Threat Protection and Access Control. Netskope RBI is focused on the threat protection use case. It delivers Targeted RBI, isolation of users web browsing o

docs.netskope.com

RBI Category Definitions

https://docs.netskope.com/en/netskope-help/data-security/remote-browser-isolation/rbi-category-definitions/

RBI Category Definitions - Netskope Knowledge Portal

RBI Category Definitions The following table lists the category name/type and required license to use the functionality to create policies. Category License Targeted RBI Targeted RBI Extended RBI Targeted RBI + Extended RBI Cloud Apps Targeted RBI + Extend

docs.netskope.com

Predefined Categories / 데모 페이지

https://docs.netskope.com/en/netskope-help/data-security/netskope-secure-web-gateway/category-definitions/

About Predefined Categories - Netskope Knowledge Portal

About Predefined Categories The application and web categories shown in the UI are explained below. Category Description Sample URLs Abortion Web pages that discuss abortion from a historical, medical, legal, or other not overtly biased point of view. Exam

docs.netskope.com

테스트 자료.

신규 템플릿 생성

Policies > Templates RBI

프로파일을 적용하여 policy 생성

페이지 접근시 넷스코프가 대신 브라우징 진행.

브라우징 결과 확인.

복사/잘라내기 차단 확인

붙여넣기 차단 확인.

인쇄 시도시 차단 확인.

업로드 차단 확인.

다운로드 차단 확인.

POP-UP 차단 확인

프록시 인스턴스를 사용하기 때문에 Session timeout 이 존재함.

[Netskope] Chat GPT Activity control.

Astin — Tue, 9 Apr 2024 12:45:38 +0900

오늘은 많이사용하시는 Chat GPT에 대해서

Netskope의 CASB 기능제어 범위를 확인해 보고자 합니다.

우선 CCI 에서 조회해보면 아래와 같이 액티비티 제어가 가능함을 확인 할 수 있습니다.

ACTIVITIES

Activities that support DLP and Threat Protection

Download , Upload

Activities that support only DLP

Edit , Post

Activities that do not support DLP and Threat Protection

Delete , Logout , Share , Login Attempt , Copy , Preview

APP INSTANCE

User E-Mail Domain is used as Instance_id for ChatGPT Example: in abcd@gmail.com, gmail.com is instance_id.

허가된 사용자가 아니면 로그인을 block 처리하기 위해

아래와 같은 정책을 만들어 보았습니다.

Constraint profile 에서 위와 같이

Astin@astin.com 이 아니사용자용 프로파일을 만들었습니다.

그리고 위와 같이 ChatGPT 로그인시도시

Constraint 프로파일을 사용하여 Block 적용 하였습니다.

google 계정으로 로그인 해보았는데요.

페이지는 로그인성공한것 마냥 넘어져 왔지만,

창에 입력도 되지않고 계속 차단하는 모습을 확인하였습니다.

저 페이지 조차 나오지 않게 차단되었으면 더 깔끔해 보였을것 같은데

어플리케이션에서 저 페이지를 넘겨주는것인지 위와같은 페이지가 나옵니다.

로그로 확인해보면 지속적인 로그인 시도를 계속 차단 했다는것을 확인 할 수 있습니다.

세부항목에서도

ChatGPT 사용시 Gmail.com 계정으로 로그인시도한것이 확인됩니다.

설정을 바꾸어 post를 통채로 차단해 보았습니다.

위와 같이 단순한 포스팅에도 액티비티가 차단는것을 확인 할 수 있습니다.

이번에는 주민번호 양식으로 DLP를 적용하여 차단 테스트를 해보았습니다.

역시나 정상적으로 차단하였습니다.

차단 페이지도 조금 수정해 보았습니다.

로그에서도 정상차단된것 확인 가능합니다.

더불어 기타 Activity도 감시되는 것 확인하였습니다.

Delete, Post, Login Attempt, Logout, Edit, Share

그 외 Activity Copy, Preview, Upload ,Download 는

아무래도 유료 기능에서 사용될 것으로 생각됩니다.

무료로는 chat 기능만 사용하므로 위와 같은 액티비티는

쓸 수 없는 것 같습니다.유료계정이 생기면 기회삼아 테스트 해볼 수 있도록 하겠습니다.

[Netskope] Client Configuration - TAMPERPROOF 설정

Astin — Tue, 23 Jan 2024 06:12:27 +0900

안녕하세요.

오늘은 Netskope Client 프로그램에 대한 설정 중

Tamperproof 설정에 대해서 소개 드리고자 합니다.

설정 할 수 잇는 항목은 아래와 같습니다.

첫번째 옵션은 Allow disabling of Clients 입니다.

Allow disabling of Clients: Prevents end-users from disabling clients in the devices.

말그대로 Client를 사용자가 Disable 하는것을 허용해 줄것인지에 대한 옵션입니다.

해당 옵션을 체크 해제하면 Client 메뉴에서 Disable Netskope Client버튼이 비활성화 됩니다.

두번째 옵션은 Hide Client Icon on System Tray 입니다.

Hide Client Icon on System Tray: Hides the Client icon from end users devices system tray. This will also prevent Client notifications from being displayed to the user.

해당옵션을 활성화 하면 System Tray에서 Netskope Client icon이 사라집니다.

세번째 옵션은 Password protect Client uninstallation 입니다.

Password protection for client uninstallation
: Enable this option to prevent unauthorized uninstallation of the Client from end user devices. The end users need to enter the admin password for uninstalling the Client. Password protected uninstallation is supported in both Windows, macOS, and Linux devices. Service stop option is available only to Windows devices.

해당기능이 활성화 되면 삭제 시 아래와 같이 패스워드 입력을 받게 됩니다.

만약 패스워드가 틀리면 삭제를 할 수 없습니다.

네번째 옵션은 Protect Client configuration and resources 입니다.

Protect Client configuration and resources
: After you select this option, users with elevated permissions are prevented from altering any sub-part (files, folders, and process) of the Netskope Client installation. It prevents users from modifying, renaming, or deleting Netskope processes, folders, files, and registry keys.

해당 옵션을 활성화 하면 Netskope 폴더 및 파일의 권한을 상승시켜, 수정 삭제를 막는다고 합니다.

다섯번째 옵션은 Fail Close 입니다.

Fail Close
: Blocks all traffic when a tunnel to Netskope is not established or a user device is not provisioned in the Netskope Cloud. Domain-based, IP-based, and cert-pinned exceptions will be applied, but category-based exceptions will be blocked. When a user is detected as on-premises, the exceptions will be blocked.

해당 옵션을 활성화 하면 터널링이 활성화 되어 있지 않으면 모든 트레픽을 차단합니다.

아래와 같이 Allow disabling of Clients 은 Diable이되고, Password protect Client uninstallation 는 활성화가 고정됩니다.

더불어 추가적인 두개의 옵션이 제공됩니다.

Exclude Private App Traffic: Use this option to exempt private access traffic while fail close is enabled.

Show Notification:
A fail-close pop-up is displayed whenever the tunneling to Netskope is blocked. You can select the checkbox for Show Notification to alert users why they are unable to access web applications.NoteNetskope recommends to enable the Show Notification option to get notifications.

Exclude Private App Traffic 를 활성화 하면 NPA 에 대해서는 예외 처리 되며,

Show Notification 옵션이 활성화 되면 터널링이 차단될 때마다 차단페이지를 표시해 줍니다.

Captive Portal Detection Timeout (Minutes):
A captive portal is a web page displayed, whenever a user tries to access the network where captive portal is enabled, to let the users authenticate prior to accessing the network. For example, if you are trying to connect to the free Wi-Fi or hotspot in an airport or restaurant where captive portals are enabled, you need to complete a set of actions to access the network.

Captive Portal 을 이용해서 네트워크에 접속하는경우 인증을 받게되고 이때 인증받는 시간에 대해서 timeout을 지정할 수 있습니다. (1~10분 이 설정 가능합니다.)

기간내 인증에 성공하지 못하면 모든 트레픽을 차단합니다.

[Netskope] Tenant Login 관리

Astin — Mon, 22 Jan 2024 06:17:42 +0900

안녕하세요

오늘은 Netskope Tenant Login 관리 설정 부분을 포스팅 하겠습니다.

Settings - Administration - admins - setting에서

아래와 같이 Max Faid Login Attempt 과 같은 Tenant Login 관리가 가능합니다.

GUI에 대한 Idle Timeout 값을 제공하고 패스워드 변경 주기 관리 및 동시접속 허용관리가 가능합니다.

기본값이 최대 로그인 시도 5회 이므로 이를 넘어서면 아래와 같이 차단되어 접근이 되지 않습니다.

또한 이메일로 차단되었다는 내용을 안내받게 됩니다.

다른 관리자 계정으로 로그인하여 audit 로그를 확인해 보면 아래와 같이 로그인 실패한 이력을 확인 할 수 있습니다.

이때 admin 관리 페이지로 가보면 어떤계정이 Lock out 되었는지 확인 가능하며, 좌물쇠 모양의 아이콘을 클릭하여 Lock을 풀어 줄 수 있습니다.

더불어 type에서 로컬 계정인지 SSO연동된 계정인지도 확인 가능합니다.

Okta SCIM 연동관련해서는 다음에 포스팅 하도록 하겠습니다.

Lock out 된 계정 옆의 좌물쇠 모양을 클릭하여 Unlock 가능합니다.

[Netskope] 이슈분석을 위한 Log 및 패킷 수집

Astin — Fri, 19 Jan 2024 14:17:42 +0900

안녕하세요.

오늘은 Netskope 이슈가 있어 분석이 필요할 때 자료수집 방법에 대해서 포스팅 해보겠습니다.

CASE 진행시 Event Log나 증적 스크린샷 만으로도 진행되는경우가 있지만,

수월한 CASE 진행을 위해서 Log 파일은 항상 제공하는 것이 좋습니다.

Netskope Client 아이콘에서 우클릭 후 Save logs 메뉴로 로그를 다운받아 확인 할 수 있습니다.

Save Logs: Use this option to save client logs that can be shared with support team for troubleshooting.

물론 이렇게 로그만으도 이슈가 분석되면 좋겠지만,

때에 따라서 패킷 데이터가 필요한 케이스도 있기 마련입니다.

이때는 Advanced Debugging 메뉴를 통해서 패킷수집을 할 수 있습니다.

Advanced Debugging: Use this option to allow the Client to collect detailed log files like kernel driver logs, Inner packet capture, external packet capture without the need of a 3rd party software.

원하시는 구간의 패킷을 수집하면 되며,

Advanced Debugging는 아래와 같이 추가적인 Debugging 툴이 있으니 참고하여 사용하면 됩니다.

간혹, 아래와 같이 Advanced Debugging 메뉴가 없는 경우가 있습니다.

이는 client configuration 에서 INSTALL & TROUBLESHOOT 탭의
Enable advanced debug option 이 활성되어 있지 않아서 그렇습니다.

이런경우에는 수동으로 명령어를 통해서 수행 할 수있습니다.

C:\Program Files (x86)\Netskope\STAgent 경로로 진입하여

nsdiag -c start 명령어로 패킷 수집을 시작하고

nsdiag -c stop 명령어를 통해서 종료 합니다.

그러고 나서 Save Logs 메뉴를 통해 자료를 수집하면 압축 파일 안에 pcap 파일이 포함되어 있음을 확인 할 수 있습니다.

좀 더 자세한 내용은 아래의 문서 확인하시기 바랍니다.

https://docs.netskope.com/en/netskope-help/netskope-client/using-netskope-client/

[F5] Error getting auth token from login provider

Astin — Sat, 13 Jan 2024 16:40:13 +0900

F5의 GUI메뉴를 이용하다보면,

아래와 같이 Error getting auth token from login provider 로그를 맞딱드리게 되는 경우가 있습니다.

해당 로그는 GUI이용 사용하는 restjavad에 이슈가 생겨 발생하곤 합니다.

현재는 아래와 같이 버그가 존재하며,

https://cdn.f5.com/product/bugtracker/ID717174.html

Bug ID 717174

Known Affected Versions: 13.1.0, 13.1.0.1, 13.1.0.2, 13.1.0.3, 13.1.0.4, 13.1.0.5, 13.1.0.6, 13.1.0.7, 13.1.0.8, 13.1.1, 13.1.1.2, 13.1.1.3, 13.1.1.4, 13.1.1.5, 13.1.3, 13.1.3.1, 13.1.3.2, 13.1.3.3, 13.1.3.4, 13.1.3.5, 13.1.3.6, 13.1.4, 13.1.4.1, 13.1.5, 1

cdn.f5.com

아래와 같이 restjava 데몬을 재시작해서 해결 할 수 있습니다.

bigstart restart restjavad
bigstart restart restnoded

만약 restjavad와 restnoded 를 재시작하는데 이슈가 있다면

아래와 같이 메모리를 증가시켜 주어야 합니다.

메모리 추가 할당 작업은 해당 데몬을 재시작 시킵니다.

tmsh modify sys db provision.extramb value 1000
tmsh modify sys db provision.tomcat.extramb value 250
tmsh modify sys db restjavad.useextramb value true

Note: For software release v17.1.0, 16.1.4, and 15.1.9 and later, the restjavad.useextramb db key was removed and the below db was added. The default setting is 384. It will use 384 + 80% of provision.extramb. If you raise this value also it would be best to set provision.extramb to a higher value, such as in this scenario to 1536:
tmsh modify sys db provision.restjavad.extramb value 384

bigstart restart restjavad && sleep 20 && bigstart restart restnoded

자세한 내용은 아래 문서 참조하시기 바랍니다.

https://my.f5.com/manage/s/article/K15519229

Error getting auth token from login provider

my.f5.com

[F5] TMOS Performance Graph 수집 주기

Astin — Sun, 17 Dec 2023 06:25:51 +0900

안녕하세요

오늘은 F5 장비의 Performance Graph 관련 이야기 입니다.

BIG-IP Performance Graph는 RRD를 통해 데이터를 수집하여 표기합니다.

간혹 그래프의 interval 수치를 바꾸었을때 그래프 모양의 변화에 대해서 문의를 받는 경우 가 있습니다.

그래프의 interval 을 바꾼다는 것은 그래프의 표기 기간을 바꾼다는 뜻이며,

이때 제공되는 데이터의 수집주기와 data point 갯수가 아래와 같이 달라집니다.

좀더 보기 좋게 정리하면 아래와 같습니다.

< Graph Interval >

3시간 : 10초마다 수집한 실시간 데이터

24시간 : 30초마다 수집한 5초 평균 데이터

7일 : 1분마다 수집한 1분 평균 데이터

30일 : 10분마다 수집한 5분 평균 데이터

30일 Interval 설정으로 Performance Graph를 모니터링 하게되면 5분 평균 데이터값을 가져오게 되어 순간적인 Peak 수치는 누락되거나 실제보다 낮게 그려집니다.

이는 실제로 3시간 Interval 보다 30일 Interval 그래프가 완만하게 보이는 이유입니다.

https://my.f5.com/manage/s/article/K50425247

Overview of the CPU Utilization performance graphs on BIG-IP

my.f5.com

[Netskope] NPA 동작 확인 및 Publisher HA 테스트

Astin — Sat, 16 Dec 2023 22:53:40 +0900

안녕하세요.

오늘은 Netskope 의 NPA 솔루션 설정 가이드를 준비했습니다.

NPA는 VPN까지 대체할 수 있는 보안 솔루션으로,

AWS에 Publisher를 설치하고 App서버의 사설ip로 접근이 되는지

테스트 진행해 보았습니다.

Netskope에서Publisher 생성

AWS에서 IGW,VPC서브넷 생성

ASW에서 서비스할 APP생성

AWS에서 Publisher 생성

Netskope에서 연결 확인

서비스APP 정의

Real time Protection 정책생성

NPA동작 테스트

Publisher 아웃바운드 터널 생성 검증 테스트

Publisher 이중화 테스트

여기까지 Netskope NPA 기능 테스트 및 publisher 이중화 동작 테스트 가이드 였습니다.

Netskope에 기능검증 및 테스트 할 사항들이 많이 있어 앞으로도 많은 테스트 자료를 공유 할 수 있도록 하겠습니다.

[Netskope] 라이센스 체계

Astin — Tue, 12 Dec 2023 10:14:37 +0900

안녕하세요

오늘은 Netskope 솔루션의 라이센스에 대해서 안내 드리려합니다.

Netskope 는 CASB에서 출발한 솔루션으로

가장 우측 Cloud Inline Protection 가 CASB를 의미하며

추가 기능이 필요하면 왼쪽으로 더욱 많은 기능을 포함한 라이센스를 선택하시면 됩니다.

※사용 가능한 클라우앱 예시

파일 공유 및 저장:
- Dropbox
- Box
- Google Drive
- Microsoft OneDrive
커뮤니케이션 및 협업:
- Slack
- Microsoft Teams
- Google Workspace (Google Hangouts, Google Meet 등)
비즈니스 애플리케이션:
- Salesforce
- ServiceNow
- Workday
소셜 미디어 및 콘텐츠 공유:
- Facebook
- LinkedIn
- Twitter
- YouTube
클라우드 기반 이메일 및 협업 도구:
- Microsoft 365 (Office 365)
- Google Workspace (Gmail, Google Calendar 등)
그 외 클라우드 서비스:
- AWS (Amazon Web Services)
- Azure (Microsoft Cloud Platform)
- Slack
- Zoom 등

CSPM은 자원별로 청구됩니다. 100개부터 구입 가능합니다.
스토리지 스캔은 GB 단위로 청구됩니다. 1,000GB부터 구입 가능합니다.

SSPM은 사용하는 앱의 총 사용자 수로 청구됩니다. 예: Box 500ID + Salesforce.com 300ID = 800ID

라이센스는 ID 갯수로만 책정되며,

디바이스 갯수나 트레픽 사용량으로는 추가 과금이 되지 않습니다.