チュートリアル: コンテンツ ポリシーを構成する

Microsoft Entra Internet Accessのネットワーク コンテンツ フィルタリングを使用すると、管理者はコンテンツ ポリシーを使用して、ネットワーク経由で特定の種類のファイルが転送されないようにすることができます。 この機能は、ChatGPT、Gmail、ファイル共有アプリなどの Web アプリケーションとの間での特定のファイル形式 (.doc、.docx、.pdf、.zipなど) のアップロードとダウンロードをブロックすることで、機密データを保護するのに役立ちます。 また、Microsoft Purviewを使用してファイルをスキャンし、ドキュメントの秘密度ラベルに基づいてネットワーク レベルのポリシーを適用することもできます。

このチュートリアルでは、以下の内容を学習します。

  • 特定のファイルの種類のアップロードをブロックするコンテンツ ポリシーを作成します。
  • コンテンツ ポリシーをセキュリティ プロファイルにリンクします。
  • ファイルアップロードのブロックが想定どおりに動作することを確認します。

主な概念

コンテンツ ポリシーが重要な理由

コンテンツ ポリシーは、重要なデータ流出ベクトルに対処します。これは、機密性の高いファイルを意図的または誤って未承認の宛先にアップロードしたユーザーです。

脅威のシナリオ 例 コンテンツ ポリシー ソリューション
シャドウ AI データ漏えい 従業員は機密契約を ChatGPT に貼り付けます。 *.oaiusercontent.comへのドキュメントのアップロードをブロックします。
個人用メール流出 従業員が顧客データベースに個人用 Gmail に電子メールを送信します。 mail.google.comへのアップロードをブロックします。
未承認のクラウド ストレージ 従業員は仕事用ファイルを個人用 Dropbox に同期します。 *.dropbox.comへのアップロードをブロックします。
内部脅威 悪意のある従業員は、退職する前に機密性の高いファイルをダウンロードします。 特定のファイルの種類のダウンロードをブロックします。

コンテンツ ポリシーと TLS 検査の連携方法

User attempts upload     GSA client      SSE with TLS inspection     Destination
         │                    │                     │                      │
         │  Upload file.pdf   │                     │                      │
         ├───────────────────>│                     │                      │
         │                    │  Tunnel traffic     │                      │
         │                    ├────────────────────>│                      │
         │                    │                     │  Decrypt & inspect   │
         │                    │                     │  ┌───────────────┐   │
         │                    │                     │  │ File type: PDF│   │
         │                    │                     │  │ Action: Upload│   │
         │                    │                     │  │ Dest: chatgpt │   │
         │                    │                     │  │ → BLOCK       │   │
         │                    │                     │  └───────────────┘   │
         │    Block message   │                     │                      │
         │<───────────────────┤                     │                      │

コンテンツ ポリシーでは、トランスポート層セキュリティ (TLS) 検査を有効にする必要があります。 セキュリティ サービス エッジ (SSE) は、トラフィックが復号化されない限り、暗号化されたアップロード内のファイルの種類を検出できません。

サンプルチュートリアルビデオ

次のビデオでは、コンテンツ ポリシーを構成する方法を示します。

手順 1: コンテンツ ポリシーを作成する

  1. Microsoft Entra admin centerから、Global Secure Access>Secure>Content policies に移動します。

  2. [ポリシーの作成] を選択します。

  3. ポリシーの名前と説明を入力します。 次へを選択します。

  4. [規則の追加] を選択します。

  5. 次の情報を入力してください。

    • ルール名:「ChatGPT と Gmail へのアップロードをブロックする」と入力します。
    • 説明： 説明を入力します (省略可能)。
    • 優先 順位：120 を選択します。
    • ステータス：[有効] を選択します。
    • アクション： [ ブロック] を選択します。
    • 活動： [ アップロード] のチェック ボックスをオンにします。
    • Content types:Word (97-2003)、Word Document、および PDF のチェック ボックスをオンにします。

  6. [ 宛先の追加] を選択し、[ FQDN] を選択し、次の完全修飾ドメイン名 (FQDN) を入力します。

    • *.oaiusercontent.com
    • mail.google.com
    • clients6.google.com
    • *.clients6.google.com

  7. [] を選択し、[] を追加します。

  8. [ 宛先の追加] を選択し、[ URL ] を選択し、次の URL を入力します。

    • https://chatgpt.com/backend-api/files
    • https://chatgpt.com/backend-api/files/process_upload_stream

    コンテンツ ポリシールールの構成を示すスクリーンショット。

    注

    アプリを操作するときに、内部で複数の URL と FQDN を使用する場合があります。 この例では、ChatGPT は *.oaiusercontent.com を使用し、Gmail では mail.google.com を使用します。 コンテンツ ポリシーが適用されていない場合は、開発ツールで確認し、アプリが使用している URL と FQDN を確認します。

  9. 保存を選びます。

  10. [次へ] を選択し、[作成] をもう一度選択します。

  1. ポリシーが作成されたら、グローバルセキュリティで保護されたアクセス>セキュリティで保護された>セキュリティ プロファイルを参照します。
  2. 前のチュートリアルの既存のセキュリティ プロファイルを選択します。
  3. リンクポリシー ペインに移動します。
  4. [ ポリシーのリンク] を選択し、[ 既存のコンテンツ ポリシー] を選択します。
  5. 作成したコンテンツ ポリシーを選択し、[ 追加] を選択します。

注

セキュリティ プロファイルがMicrosoft Entra Conditional Access ポリシーに割り当てられていることを確認します。

手順 3: ファイルのアップロードとダウンロードのブロックを確認する

  1. テスト デバイスでブラウザーを開き、 www.chatgpt.comに移動し、任意のアカウントでサインインします。

  2. PDF またはWordドキュメントを ChatGPT にアップロードして、アップロードが失敗することを確認します。

  3. mail.google.comに移動し、Google アカウントでサインインします。

  4. PDF またはWordドキュメントを Gmail にアップロードして、アップロードが失敗したことを確認します。

    ブロックされたファイルのアップロード試行を示すスクリーンショット。

既知の制限

既知の制限事項の一覧については、 公式ドキュメント を参照してください。

学習した内容

このチュートリアルでは、次のタスクを実行しました。

  • データ流出を防ぐためのコンテンツ ポリシーを作成しました。 特定の種類のドキュメントが AI ツールや個人の電子メールにアップロードされるのをブロックしました。これは、重要なデータ損失ベクトルに対処します。
  • アプリの FQDN 検出を理解しました。 Web アプリケーションでは、多くの場合、複数のバックエンド URL (ChatGPT の *.oaiusercontent.com など) が使用されることを学習しました。
  • セキュリティ プロファイルにリンクされたコンテンツ ポリシー: コンテンツ ポリシーは、条件付きアクセスを使用して特定のユーザーを対象とするために使用できるのと同じセキュリティ プロファイル モデルに従うことを学習しました。
  • 複数のセキュリティコントロールを組み合わせたもの: このチュートリアルでは、包括的なセキュリティ戦略の一環として、コンテンツ ポリシーが Web コンテンツ フィルタリング、TLS 検査、脅威インテリジェンスと共にどのように機能するかを説明しました。

アプリケーションの FQDN を識別する

コンテンツ ポリシーを構成する場合は、アプリケーションで使用される実際の FQDN を把握しておく必要があります。

FQDN を検出するには、 F12 を選択してブラウザー開発者ツールを開きます。

  1. ネットワーク タブを開きます。
  2. ターゲット アプリにファイルをアップロードします。
  3. ファイル コンテンツを含む POST 要求を探します。

アプリケーション検出機能を使用して、使用されているアプリを特定し、対象となるコンテンツ ポリシーを作成します。

1. Discover shadow AI apps.
        ↓
2. Assess risk scores.
        ↓
3. Decide to block entirely or allow with content restrictions.
        ↓
4. Create content policy if allowing with restrictions.

ベスト プラクティス

  • まず、リスクの高い AI アプリ (または承認された例外を持つすべての AI アプリ) へのアップロードをブロックします。
  • 最大保護のために、アップロードとダウンロードの両方をブロックすることを検討してください。
  • 広範な展開の前にパイロット グループでポリシーをテストします。
  • 混乱を避けるために、ユーザーに変更を伝えます。

関連するコンテンツ

詳細については、次のリソースを参照してください。

  • Last updated on