Explanation:
1. DLPデータパターン
2. DLP辞書
3. DLPセンサー
4. DLPプロファイル
FortiSASE データ損失防止 (DLP) フレームワークは、階層型オブジェクト指向構造に従います。
正規表現 (Regex) を使用してカスタム DLP ルールを作成する場合、管理者は最も細かいレベルからポリシー レベルまでコンポーネントを構築する必要があります。
* DLPデータパターン：これは、実際の正規表現文字列を定義する最初のステップです。このパターンは、エンジンが検索する特定のデータ文字列（例：特定のクレジットカード形式や従業員ID）を指定します。
* DLP辞書：パターンを作成したら、辞書に追加する必要があります。辞書は、1つまたは複数のデータパターンをグループ化し、管理を容易にするコンテナとして機能します。
* DLPセンサー：辞書はDLPセンサーにリンクされます。センサー内で「ルール」を定義します。ルールでは、使用する辞書と、一致した場合に実行するアクション（ブロック、ログ、隔離など）を指定します。
* DLPプロファイル：最後に、センサーはDLPプロファイルに適用されます。このプロファイルは、トラフィック内の機密データを検査するためにFortiSASEセキュリティポリシー内で最終的に選択される高レベルオブジェクトです。

FortiSASE を使用した SD-WAN オンランプは、ブランチ ユーザーのインターネット トラフィックを FortiSASE クラウドに送信し、ブランチの場所に関係なく、一貫したセキュリティの適用と保護を実現します。

FortiGate ハブがデバイスの姿勢を強制し、トラフィックを直接処理するゼロ トラスト ネットワーク アクセス (ZTNA) を実装するには、FortiGate アプライアンスで特定のアーキテクチャおよび構成手順が必要です。
* ZTNAアクセスプロキシ（B）：FortiGateはZTNAアクセスプロキシとして設定する必要があります。この役割において、FortiGateはリモートユーザーと内部アプリケーション間の接続を仲介するセキュアゲートウェイとして機能します。この設定により、すべてのTCPトラフィックがFortiGateによってインターセプトされ、処理されることが保証され、データプレーンにFortiSASEクラウドPoPをバイパスする直接的な最短パス接続が提供されます。
* ZTNAサーバとポリシー (C): FortiGateの設定において、管理者はZTNAサーバ（保護対象のアプリケーションまたはリソースを識別する）とZTNAポリシーを定義する必要があります。ZTNAポリシーは、リソースへのアクセスを許可する前に、有効なクライアント証明書と特定のZTNAタグ（FortiSASEから同期）を確認する適用ルールです。この設定により、FortiGateはすべてのセッションで継続的なポスチャチェックを実行できます。
* ポスチャチェックメカニズム：ZTNAタグは使用されますが、通常はFortiGate本体で手動で設定するのではなく、FortiSASEエンドポイント管理サービス（EMS）から同期されます。この同期により、FortiGateはFortiClientから報告されるエンドポイントのセキュリティポスチャ（例：アンチウイルスコンプライアンス、OSバージョン）をリアルタイムで把握できます。
* 誤った選択肢の分析:
* オプション A: FortiGate で ZTNA タグを手動で作成することは技術的には可能ですが、タグは EMS によって動的に割り当てられ、ファブリックに同期されることを目的としているため、FortiSASE 展開では推奨される「セットアップ」ではありません。
* オプションD：「FortiSASEにおけるプライベートアクセスポリシー」は、SD-WANセキュアプライベートアクセス（SPA）ユースケースを指します。SD-WAN SPAモデルでは、トラフィックはまずFortiSASE PoPを通過しますが、要件ではTCPトラフィックをZTNAを使用してFortiGateで処理することが明確に求められています。

展示に示されている問題の核心は、暗号化されたトラフィックの可視性の欠如です。
* HTTPS暗号化：eicar.orgウェブサイトはダウンロードにHTTPSプロトコルを使用しています。つまり、テストマルウェアファイルを含むデータペイロードは、ネットワークを通過する際に暗号化されます。
* SSL 検査モード: セキュリティ プロファイル グループ展示 (image_5705fc.jpg) に示されているように、SSL 検査モードは明示的に証明書検査モードに設定されています。
* 可視性ギャップ：証明書検査は、サーバー証明書やSNI（Server Name Indication）といった最初のSSLハンドシェイクのみを分析します。トラフィックのペイロードは復号しません。そのため、FortiSASEのウイルス対策エンジンは、暗号化されたセッション内に隠されたeicar.com-zipファイルを「見る」こともスキャンすることもできません。
* 解決要件：HTTPS経由の悪意のあるファイルを検出してブロックするには、SSLディープインスペクションを有効にする必要があります。ディープインスペクションにより、FortiSASEはプロキシとして機能し、トラフィックを復号化してアンチウイルスエンジンとIPSエンジンによる完全なコンテンツスキャンを実施した後、エンドポイント向けに再暗号化します。
* ログ分析：ウェブフィルタリングのログ（image_5704e5.jpg）では、URLがウェブフィルタのカテゴリでブロックされていないためトラフィックが「許可」されていると表示されていますが、これは検査の最初のステップに過ぎません。ウイルス対策エンジンは存在しますが、詳細な検査が行われていないため暗号化されたコンテンツを認識できず、効果を発揮していません。

FortiSASEエージェントベースクライアントを導入すると、エージェントレスソリューションでは通常利用できないいくつかの機能が利用可能になります。これらの機能により、エンドポイントのセキュリティと管理機能が強化されます。
* 脆弱性スキャン:
* エージェントベースのクライアントは、エンドポイントで脆弱性スキャンを実行し、セキュリティ上の弱点を特定して修正できます。
* このプロアクティブなアプローチは、エンドポイントが安全であり、セキュリティ ポリシーに準拠していることを保証するのに役立ちます。
* SSL検査:
* エージェントベースのクライアントは SSL 検査を実行して、暗号化されたトラフィックを復号化し、脅威がないか検査できます。
* この機能は、SSL/TLS 暗号化トラフィック内に隠された悪意のあるアクティビティを検出するために重要です。
* ウェブフィルター:
* Web フィルタリングはエージェントベースのクライアントで利用できる重要な機能であり、管理者は Web アクセスを制御および監視できます。
* この機能は、許容使用ポリシーを施行し、Web ベースの脅威からユーザーを保護するのに役立ちます。
参考文献:
FortiOS 7.6 管理ガイド: エージェントベースのクライアントを展開する機能と利点について説明します。
FortiSASE 23.2 ドキュメント: エージェントベース ソリューションとエージェントレス ソリューションの違いと、エージェントベースの展開によって提供される追加機能について詳しく説明します。