Catoクラウド製品アップデート情報（2024年12月版）

Product Update Dec 2024

Safe TLS Inspection Early Availability

The Need for TLS inspection Risk Exposure: インターネットトラフィックの90%以上は暗号化され ており、潜在的な脅威は暗号化された経路に隠されている。 Blind Spots: クラウドアプリケーションに対する可視性がないため、セ キュリティギャップが⽣じる。 Essential for Advanced Security: CASB、DLP、ATPなどのサービ スは、TLSインスペクションに依存している。 “When TLS inspection is enabled, Organizations are better protected.”

Why Enterprises Do Not Enable TLS Inspection Too Risky and Costly to Handle Complex Implementation 従来のソリューションはリソースを⼤量に必要 とし、導⼊も複雑だった。 User Experience Disruptions 暗号化されたトラフィックをすべて検査すると、 予測できないアプリケーションの問題が発⽣し、 ⽣産性が低下することがよくあります。 High Operational Burden Compliance Challenges バイパスリストの維持と更新は、ITチームに継 医療、官公庁、⾦融などの機微な領域では、 続的な⼿作業を強いる。 検査の厳格な取り扱いが求められる

Introducing Cato Safe TLS inspection Automated DataDriven Approach CatoのSafe TLS Inspectionは、リアルタイム のトラフィックデータを使⽤して、 安全なアプリケーションとドメイ ンのみを⾃動的に検査し、他 のアプリケーションをバイパスし て混乱を回避します。 Simple and Quick No Operational Overhead 直感的なベストプラクティス ウィザードを使⽤すれば、数 回のクリックで検査が可能に なります。 ⼿作業によるバイパス管理 の必要性をなくし、メンテナ ンスを軽減し、ITリソースを 解放します。

Prevent Threats Real-Time Contextual Data-Driven Threat Prevention Crowdsourcing Post TLS Flows • Catoのデータレイクとクラウドソーシングを利⽤して、検査しても安全な公共アプ リケーションとドメインにラベルを付ける。 • • • • • すでに暗黙のバイパス 検査に成功したアプリケーション/ドメイン (⼈気) 検査に成功したアプリケーション/ドメイン (中程度の⼈気) 悪質なフィッシング、SPAM、マルウェア、未分類など。 デフォルトでは、プライベートアプリケーションはTLS検査からバイパスされます。 |6

Global TLS Bypass Policy Enhanced Visibility TLS Inspection Policy • きめ細かな検査またはバイパス・ルールの定義が可能 • デフォルトのグローバルバイパスポリシーを搭載 • Cato Security Contentチームが管理 • CMAでも表⽰されるように bypass_rule.json

Safe TLS Inspection Data-Driven Rule Recommendations Safe TLS Inspection • 埋め込み型（ページ内）推奨ルール • ベストプラクティスとそのマッチング状況を可視化

Safe TLS Inspection Enhanced Visibility Safe TLS Inspection • デフォルトのTLSポリシーをオプトインに変更（ANYをバイパス） • ポリシー・ウィザードによるステップ・バイ・ステップの合理的な実装 • ユーザー、サイト、デバイスの属性に基づくルールのスコープが可能 • Cato管理のルールについては据え置きのままである

Safe TLS Inspection unlocks the full potential of Cato’s Advanced Security Services Secure Cloud Application Access (CASB) Compliance-Driven Data Protection (DLP) Advanced Threat Prevention (ATP) クラウドアプリケーションの使⽤状況やユー 暗号化されたトラフィックフローを検査するこ 暗号化されたトラフィック内の悪意のある ザーアクティビティを可視化し、Office 365 とで規制基準を満たし、⾦融、医療、政府 コンテンツを検出してブロックし、従来の防御 やSalesforceなどの⼀般的なSaaSアプリ などの業界におけるコンプライアンスを確保し を回避するために暗号化を使⽤する⾼度な ケーションへの安全でコンプライアンスに準拠 ながら、データ漏えいを防ぎます。 脅威に対する保護を強化します。 したアクセスを保証します。 Safe TLS inspection

DEM: Identifying Underlay Issues

Cato Last Mile Background Cato Cloud ISP ISP IPsec Site Socket Site IPsec ISP Remote user Socket Router LAN LAN LAN WAN App Wi-Fi Wi-Fi Wi-Fi Office User host host Office User host host Remote User | 12

Cato Last Mile Background Cato Cloud Cato Tunnel IPsec Site Cato Tunnel ISP A ISP B ISP C ISP D WAN1 WAN2 WAN1 WAN2 IPsec Socket Site Socket ISP E Remote user Remote User | 13

Enhanced Underlay Performance Monitoring in Socket Last Mile Probe PoP IP out of tunnel • 接続されたPoPへの定期的なトンネル外(インターネット経由)プローブ • より多くのトンネル内プローブでDEMパスを充実させる out-of-tun nel Probe to to nel Probe n u t fo tu o PoP IP PoP IP New

Enhanced Underlay Performance Monitoring in Client And Sockets Last Mile Probe PoP IP out of tunnel • アンダーレイ上(Internet回線側)の⾼いパケットロスや遅延を容易に特定可能 Experience Monitoring > User> Last Mile New

Enhanced Underlay Performance Monitoring in Client And Sockets Last Mile Probe PoP IP out of tunnel • アンダーレイ上(Internet回線側)の⾼いパケットロスや遅延を容易に特定可能 Experience Monitoring > Site > Last Mile New

DEM: Identify Underlay Issues Misc • Prerequisites § Socket version 21.1 § Client versions § Check out the KB • To learn more § Search for "Connection Details" in the Cato Knowledge base

Introducing IoT/OT Security

You can’t Protect the Unknown

2010: Stuxnet 2016: Blackenergy 2016: Mirai 2017: Reaper 2016: Industroyer 2024年の観測から • IoTマルウェア攻撃が400％増加 • OT分野におけるランサムウェア攻撃の80％増加 • OT分野で最も⼀般的な攻撃対象 - インターネットに露出したOT機器 2020: Mozi 2017: Triton 2020: Kaiji

Problem Space Visibility どのデバイスが接続されているか︖ その機能は︖ 脆弱性はあるか︖ IT管理されているか︖ ポートは開いているか︖ エージェントがインストールされているか︖ どのメーカーか︖ これらのデバイスは何に接続しているか︖ 組織は、IoT/OTデバイスの量や多様性について基本的な可視 性を⽋いており、これが重⼤なビジネスリスクとなる可能性がありま す。 Classification 従来のデバイス分類アプローチは複雑で精度に⽋ける Control IoT/OTデバイスのアクセス制御には、現場でのゲートウェイの展 開や様々なタイプの統合が必要である。 しかし、完全な可視性とコントロールは同じくらい重要である

Cato IoT/OT Security Product

Device Discovery, Classification, and Enforcement Cato SASE Cloud Platform Device Visibility • • 発⾒と分類 相関 Threat Prevention Policy Enforcement • • イベントエンリッチメント デバイス属性に基づく ファイアウォールルール • • デバイスアウェア IPS/SAM Rule Enforcement

Device Discovery & Classification

Device Discovery and Classification Assets Service RT Identification Device Classification Data Lake DWH Enrichment Adaptive Risk Assessment Assets Correlation Device Inventory CMA PoP Enforcement Security Policies SPACE Active Query SNMP Cato ZTNA User Device Cato Site Devices Behind Socket IT/IoT OT Supported protocols include: GE SRTP, HART IP, DNP3, Modbus, OPC UA, BACnet, CIP

Device Dashboard

Device Inventory

Device Enforcement & Enrichment

Level 4/5 Enterprise Enterprise Apps Level 3 Operations Operations Apps Level 1 Process SCADA Servers Control Center HMI RTU HMI RTU HMI RTU Level 0 Physical Process Remote Site 1 Remote Site 2 Remote Site X Operational Technology Level 2 Control Information Technology Device Enforcement – Distributed network

Device Enforcement – Centralized network Level 4/5 Enterprise Information Technology Enterprise Apps OT/IT Segmentation Level 2 Control Level 1 Process Level 0 Physical Process Print server Jump server File server SCADA Servers Control Center HMI Field device HMI PLC Sensor Historian Field device PLC Sensor HMI PLC Field device Sensor Operational Technology Level 3 Operations

Firewall enforcement with device attributes

Firewall enforcement with device attributes – Industrial Protocols

Events enrichment with device attributes

Device Threat Prevention

Device Aware Threat Prevention/Detection IPS/SAM Data Collection Billions of Flows and Events per day

Device Aware Threat Prevention/Detection

New Access to your Managed Accounts

マネージド・アカウントへの新たなアクセス⽅法 • 2025年1⽉1⽇より、管理する新規顧客ごとにアクセスをリクエストする必要があります。 お客様は、ご⾃⾝のアカウントへのアクセスを承認し、許可する必要があります。 アクセスは⾃動的に⾏われなくなり、CMA内で管理されます。 新しい⽅法の詳細については、録⾳されたデモ、パートナーKB、顧客KBを参照してください。 • 現在アクティブに管理している顧客については、顧客によってアクセス権が取り消されない限り、次回の顧客ライセンス更新ま でアクセス権が保持されます。 • CMAには、顧客が⾃分のアカウントにアクセスできるユーザーを制御できる新しいページがあります。 What is the Impact on my Account? • 2025年1⽉1⽇より、お客様の承認を得るまで、お客様のアカウントにアクセスできなくなります。 • 既存顧客の管理⽅法には影響はありません。 | 38

• https://eur01.safelinks.protection.outlook.com/?url=https://academy.catonetworks.com/external-access-rbac-for-partners/222540&data=05|02|[email protected]|d212741681ee4958047a08dd1e8e7905|d03fe63fee564020a121dd5b65bc7ea3|0|0|638700319437124423|Unknown|TWFpbGZsb3d8eyJFbXB0eU1hcGkiOnRydWUsIlYiOiIwLjAuMDAwMCIsIlAiOiJXaW4zMiIsIkFOIjoiTWFpbCIsIldUIjoyfQ==|0|||&sdata=0oNtaZ/f5w5qHO2j94JMjT2N7lamNNsDoBpGGne0FLo=&reserved=0
• https://eur01.safelinks.protection.outlook.com/?url=https://support.catonetworks.com/hc/en-us/articles/23670394623261-Requesting-Access-to-Managed-Accounts&data=05|02|[email protected]|d212741681ee4958047a08dd1e8e7905|d03fe63fee564020a121dd5b65bc7ea3|0|0|638700319437145234|Unknown|TWFpbGZsb3d8eyJFbXB0eU1hcGkiOnRydWUsIlYiOiIwLjAuMDAwMCIsIlAiOiJXaW4zMiIsIkFOIjoiTWFpbCIsIldUIjoyfQ==|0|||&sdata=WgfdYoufmzfnBiaZyomZzklcJQKL/E1SD1WX4ZXxghQ=&reserved=0
• https://eur01.safelinks.protection.outlook.com/?url=https://support.catonetworks.com/hc/en-us/articles/23670214423837-Managing-Account-Access&data=05|02|[email protected]|d212741681ee4958047a08dd1e8e7905|d03fe63fee564020a121dd5b65bc7ea3|0|0|638700319437159501|Unknown|TWFpbGZsb3d8eyJFbXB0eU1hcGkiOnRydWUsIlYiOiIwLjAuMDAwMCIsIlAiOiJXaW4zMiIsIkFOIjoiTWFpbCIsIldUIjoyfQ==|0|||&sdata=QrwikyV2kEInjc1IDiMfAcXGNB1i+YXTrhBhwWfiyUU=&reserved=0

KB Bot

New experience- Help menu

New UI- same capabilities

KB Bot- Cato Knowledge-baseを⽤いた、 ⾼度なAI機能で質問にお答えします。

KB bot capabilities • • • • 同じセッションで次の質問をすると、最初の質問の⽂脈を考慮し、より正確な回答を提供します。 ボットは、クリア/ Xボタン/戻るを押すたびに更新されます。 AIアシスタントは週に⼀度ナレッジベースを収集し、最新の記事を表⽰します。 アカウント固有の質問には回答しません。

KB bot capabilities • EA︓12⽉22⽇ • GA︓1⽉5⽇

Socket UI Network Tools Enhancements

Available Today • Tracerouteは、ソースと宛先間のルーター （ホップ）を識別するために使⽤されます。 • Pingは、ネットワーク内のデバイスが到達可能かどう かを識別するために使⽤されます。 • この操作はすべてのソケットでサポートされています。 • ネットワークツールを使⽤するには、ソケットのWebUI にアクセスする必要があります。 | 47

Configuration • Today, customers can Ping and Traceroute via: 1. LAN interface 2. WAN interface via Cato 3. WAN interface directly • Default values are assigned• Count = 10 • Interval = 1s 8.8.8.8 Ping/Traceroute | 48

Flexibility for longer ranging test New • 新規にCountとIntervalの値を設定できるようになりました: § Count § Interval • Limitation: § Count x Interval cannot exceed 120s § Count=50 can allow only interval of 2s

Roll-out • X1600 / X1600 LTE, available from Socket Version 21.1.18868 • For all other sockets, available from Socket Version 21.1.18891 • Reminder - To upgrade your socket to version 21, you have to use Upgrade Now option

Cato SASE. Ready for Whatever’s Next. Thank You