多くのセキュリティチームは、Microsoft の CASB である Microsoft MCAS（Microsoft Cloud App Security）を使い、インターネット上の脅威の特定とブロック、クラウドアプリケーションへのアクセスの許可またはブロックを行っています。このチュートリアルでは、MCAS を Cloudflare Zero Trust と統合し、Gateway HTTP ポリシーを作成して可視性とデータ制御を確保します。
Microsoft は、ブロックまたは許可とマークされたアプリケーションを照会できる MCAS API エンドポイントを提供しています。MCAS API 呼び出しで、API クエリが返すブロック済み URL を含む URL カテゴリを管理し、その出力から Hostname List を作成して Gateway HTTP ポリシーでブロックできます。
所要時間:
20 分
Microsoft アカウントで、MCAS がブロックした URL を照会するための API トークンと URL エンドポイントを先に作成します。 Managing API tokens for Microsoft Cloud App Security ↗ のガイドに従い、新しい API トークンと、API エンドポイント用のカスタム API URL を生成します。
API トークンと API URL を用意したら、curl で Microsoft MCAS から禁止アプリケーションの一覧を取得します。
curl -v "https://<MCAS API URL>/api/discovery_block_scripts/?format=120&type=banned" -H "Authorization: Token <API token>"禁止ホスト名の一覧が返ります。この例では、Angie's List が禁止アプリケーションです。
禁止ホスト名の先頭には . が付いています。Zero Trust のリストで使うには、テキスト処理が必要です。
-
curl の API 呼び出しを実行し、出力をファイルへ保存します。この例では
mcas.txtです。curl -v "https://<MCAS API URL>/api/discovery_block_scripts/?format=120&type=banned" -H "Authorization: Token <API token>" > mcas.txt -
先頭の
.を削除します。たとえば CLI からsedを実行します。sed -i 's/^.//' mcas.txt -
先頭の
.がないホスト名の一覧になります。 -
ファイルの拡張子を
.txtから.csvに変更します。このファイルを Hostname リストとして Cloudflare Zero Trust にインポートできます。
MCAS の許可アプリケーション一覧が必要な場合は、同じ API クエリで type=banned の代わりに type=allowed を使います。返る一覧はかなり大きくなります。
curl -v "https://<MCAS API URL>/api/discovery_block_scripts/?format=120&type=allowed" -H "Authorization: Token <API token>"- Cloudflare One ↗ で Reusable components > Lists を開きます。
- Upload CSV を選びます。ホスト名リストは CSV 形式ではありませんが、問題なく使えます。
- リスト名を追加し、リストの種類に Hostnames を指定し、説明を入力します。
- API 呼び出しで作成した MCAS 出力ファイルをドラッグ＆ドロップするか、Select a file を選びます。
- Create を選びます。リストに追加されたホスト名が表示されます。
- リストを保存します。
これで、Gateway HTTP ポリシーからこのリストを参照できます。
-
Traffic policies > Traffic policies > HTTP を開きます。
-
Add a policy を選びます。
-
次のポリシーを作成します。
セレクター 演算子 値 アクション Host in list <NEW_HOSTNAME_LIST> Block
MCAS で定義されたサイトを開こうとすると、ユーザーはブロックされます。
