Netskope Security Hands-on Lab

Cómo entregar una demo exitosa de

Netskope SSE
Lab Demo Guide

2023

2021 © Netskope Confidential. All rights reserved.

Objetivo
Esta guía de laboratorio tiene como objetivo guiar el desarrollo de los principales casos de uso
de una arquitectura de SSE, los cuales pueden ser utilizados en demostraciones y pruebas de
concepto para clientes y prospectos, y de esta forma, mostrar los grandes diferenciales del
Netskope SSE Intelligent.

Prerrequisitos

1. Tener acceso a un tenant de Netskope. Para el desarrollo de esta guía se le entregara

acceso a un tenant de laboratorio.
2. Una máquina cliente (Windows, MacOS) con privilegios de administrador para instalar el
agente de Netskope.
3. Instalar el agente de Netskope, en la máquina cliente que se usará en este laboratorio

Amazon Workspace

Se habilitará un escritorio remoto en Amazon Workspace para utilizarlo como maquina cliente e
instalar Netskope client. Se recomienda instalar el cliente de Amazon Workspaces para tener
una mejor experiencia en la interacción con el escritorio. Lo puede descargar del siguiente
enlace:

Amazon WorkSpaces Client Download

Las credenciales de acceso a su Workspace serán asignados por el instructor.

Despliegue del cliente de Netskope vía Email invitation

El cliente de Netskope puede ser instalado vía email invitation desde la consola de
administración del tenant.

Para crear la invitación vía correo seguir las siguientes instrucciones:

1. Navegue a Settings > Security Cloud Platform > Netskope Client > Users page
2. Click en New Users
3. Adicione la dirección de correo y asegúrese de activar la opción Send Email invite.

2021 © Netskope Confidential. All rights reserved.

 4. Click en Add.

Verificación de steering de todo el tráfico web en el

tenant
Para garantizar que el cliente de Netskope este redirigiendo todo el tráfico web, valide el
steering configuration que está aplicando a los usuarios en el tenant.

1. Navegue a Settings > Security Cloud Platform > Steering Configuration

2. Identifique el steering configuration utilizado por su usuario, y valide que tenga
habilitado el steering para All Traffic.
3. Si no se encuentra de esta manera, habilite esta opción.

1. Caso de Uso – Visibilidad & Control de Aplicaciones

Nube por riesgo

Prevenir la subida y descarga de archivos hacia y desde cualquier

aplicación con un CCI Low, Poor & Unknown.

Configuración User Notification template

1.1. Navegue a Policies > Templates > User Notification

1.2. Click en Add Template > Cloud Apps and Web
1.3. Complete el asistente de la plantilla con la siguiente información

Campo Valor
Template Name <Usuario> NetskopeSSE - Activities control of Risky Apps
Logo Seleccione uno existente, o seleccione Create New
Title Control de Actividades en Aplicaciones Riesgosas

Mensaje Esta intentanto hacer un {{NS_ACTIVITY}} en una

aplicación con un bajo nivel de confianza. Esta actividad se
bloqueó por considerarse como una actividad riesgosa de
acuerdo a la política de seguridad de la organización.

Action Buttons Configure actions to: Block

2021 © Netskope Confidential. All rights reserved.

 Acknowledge Button: OK

1.4. Click Save

1.5. Aplique cambios.

Configuración de la política Real Time

1.6. Navegue a Policies > Real-Time Protection

1.7. Click en New Policy > Web Access
1.8. Complete el asistente de la política con los siguientes valores:

Campo Valor
Source Usuario asignado
Destination > Category Cloud Backup, Cloud Storage,
Collaboration, HR, Social, Consumer,
Web mail, File/Software Download Sites,
Files Repositories, File Converter
Activities & Constraints Upload, Download
Criteria> CCL Low, Poor & Unknown
Profile & Action > Action Block
Profile & Action > Template <Usuario> NetskopeSSE - Activities
control of Risky Apps
Set Policy <usuario> SSE -Prevent uploads
downloads from untrusted apps

1.9. Click Save

1.10. En Move Policy, seleccione To the bottom. Luego, click Save
1.11. Aplique cambios.
1.12. Verifique la política: Ingrese a los siguientes sitios e intente subir o descargar
archivos.

4shared.com - almacenamiento y uso compartido de archivos gratis

https://www.freepdfconvert.com/

1.13. Verifique las alertas y registro de actividades bloqueadas en SkopeIT. Identifique a

qué categoría pertenecen los sitios y el CCL (Cloud Confidence Level).

2. Caso de Uso – Control de propagación de datos

sensibles

2021 © Netskope Confidential. All rights reserved.

Para demostrar este caso de control de movimiento de datos sensibles por diferentes
aplicaciones o medios no autorizados por la organización, siendo la instancia corporativa la única
aplicación aprobada para almacenar datos sensibles, se utilizarán los siguientes elementos:

§ Aplicación de File Storage como OneDrive o GDrive, sobre la cual tenga una cuenta de
tipo corporativa y una cuenta personal.
§ Aplicaciones nube adicionales a utilizar como posibles medio de exfiltración de datos
sensibles; Microsoft Teams, Slack, LinkedIn.
§ Archivos de prueba con datos sensibles para disparar incidentes de DLP, descargar
desde:

https://drive.google.com/drive/folders/1KHOwPXpPmJ7Ua9h7nbMhZ1HxGG9p73_4?usp=share_link

§ Perfil de DLP predefinido:

§ Payment Card Industry Data Security Standard PCI
§ Perfil de DLP Custom:
§ ML Image Classifier
§ Constrain asociado al dominio corporativo

Para controlar las acciones que los usuarios pueden ejecutar en instancias nube no corporativas
se utilizara un Constrain para definir instancias no corporativas.

Configuración del Constraint

2.1. Navegue a Policies > Profiles > Constraint> User

2.2. Click en New User Constraint Profile.
2.3. En Constrains Profile Name agregue: <usuario>SSE Corporativo
2.4. En Emails, seleccione, Matches: agregue su dominio corporativo. Ej: *@netskope.com

2021 © Netskope Confidential. All rights reserved.

 2.5. Click en Save
2.6. Aplique Cambios

Configuración de la política Real Time para permitir movimiento de cualquier documento

en instancias corporativas

2.7. Navegue a Policies > Real-Time Protection

2.8. Click en New Policy > Cloud App Access
2.9. Complete el asistente de la política con los siguientes valores:

Nota. En Destination Cloud App, utilice una aplicación cloud Storage, donde tenga
acceso a una instancia corporativa y una personal. Gdrive, Microsoft Office 365
OneDrive for Business, Box, etc.

Campo Valor
Source User =Usuario asignado
Destination > Cloud Google Drive, Microsoft Office 365 OneDrive for Business
App
Activities & Constraints Activity= All > From User = <usuario>SSE Corporativo
Profile & Action Action: Allow
Set Policy <usuario> SSE- Monitoring activities Corporate Instances

2.10. Click en Save

2.11. En Move Policy, seleccione To the Top. Luego, click Save
2.12. Aplique cambios.

Nota: Recuerde las mejores prácticas respecto al orden de las políticas, realice los
ajustes que sean necesario en el orden de las políticas en caso de que se requiera,
para que esta política de excepción de instancias corporativas esté en la parte superior
antes de cualquier Bloqueo general.

Creación del perfil de DLP Personalizado

2.13. Navegue a Policies > Profiles > DLP

2.14. Clic en New Profile
2.15. En la pestaña de File Profiles, seleccione Matches y clic en next

2021 © Netskope Confidential. All rights reserved.

 2.16. En Rule|Classification, en Classifier, ubique la opción Miscellaneous> Screenshot,
Whiteboard. Luego ubique la opción Financial y seleccione Payment Card (Credit,Debit).
De clic en Next
2.17. Asigne el nombre <usuario> ML Image Classifier
2.18. Clic en Save y aplique los cambios.

Configuración de la política Real Time para bloqueo de movimiento de cualquier

documento con datos sensibles haciendo uso de los perfiles de DLP de PCI y
Clasificación de Imágenes con ML.

Configuración User Notification template

2.19. Navegue a Policies > Templates > User Notification

2.20. Click en Add Template > Cloud Apps and Web
2.21. Complete el asistente de la plantilla con la siguiente información

Campo Valor
Template Name <Usuario> Netskope SSE - Block sensitive data movement
Logo Seleccione uno existente, o seleccione Create New
Title Notificación movimiento de datos sensibles no autorizado
Subtitle {{NS_ACTIVITY}} {{NS_FILENAME}} using {{NS_APP}}
Mensaje Está intentando hacer un movimiento no autorizado de
datos sensibles fuera de la organización. Esta solicitud ha
sido bloqueada y un incidente de DLP se ha generado.
Action Buttons Configure actions to: Block

Acknowledge Button: OK

2021 © Netskope Confidential. All rights reserved.

 2.22. Click en Save
2.23. Aplique cambios.

Configuración Custom Category - All Categories

2.24. Navegue a Policies > Profiles > Web

2.25. Click en New Custom Category
2.26. Ingrese como Custom category name: <usuario> All Categories
2.27. Click en Select All
2.28. Click en Save
2.29. Aplique cambios

Configuración de la política Real Time

2.30. Navegue a Policies > Real-Time Protection

2.31. Click en New Policy > Web Access
2.32. Complete el asistente de la política con los siguientes valores:

Campo Valor
Source Usuario asignado
Destination > Category <usuario>All Categories
Activities & Constraints Activity= Upload, FormPost
Profile & Action DLP Profile= Payment Card Industry Data Security
Standard PCI-DSS (predefined), ML Image Classifier
(custom)
Profile & Action Action: Block Template: <Usuario> Netskope SSE - Block
sensitive data movement
Set Policy <usuario> Netskope SSE - Block sensitive data movement

2.33. Click en Save

2.34. En Move Policy, seleccione To the Bottom. Luego, click Save

2021 © Netskope Confidential. All rights reserved.

 2.35. Aplique cambios.

Configuración de la política Real Time para bloqueo de post de datos sensibles haciendo
uso de los perfiles de DLP de PCI y Clasificación de Imágenes con ML.

Configuración de la política Real Time

2.30. Navegue a Policies > Real-Time Protection

2.31. Click en New Policy > Cloud App Access
2.32. Complete el asistente de la política con los siguientes valores:

Campo Valor
Source Usuario asignado
Destination > Slack, Microsoft Teams, LinkedIn, Facebook, Twitter
Application
Activities & Constraints Activity= Upload, Post
Profile & Action DLP Profile= Payment Card Industry Data Security
Standard PCI-DSS (predefined), ML Image Classifier
(custom)
Profile & Action Action: Block Template: <Usuario> Netskope SSE - Block
sensitive data movement
Set Policy <usuario> Netskope SSE - Block Sensitive Data post

2.33. Click en Save

2.34. En Move Policy, seleccione To the Bottom. Luego, click Save
2.35. Aplique cambios.

Nota: Asegúrese que esta política quede antes que la política general de control de
movimiento de datos sensibles creada previamente.

Verifique las políticas configuradas:

2.36. Ingrese a una instancia personal de One Drive/ Gdrive e intente cargar el archivo
Factura Uber.pdf. Esta acción deberá ser bloqueada.
2.37. Ingrese a instancia corporativa de One Drive/ Gdrive e intente cargar el archivo
Factura Uber.pdf. Esta acción deberá ser permitida
2.38. Abre el PDF y copie la información sensible, nombre del usuario y todos los datos de
la tarjeta de crédito INCLUIDA la fecha y código de seguridad,

2021 © Netskope Confidential. All rights reserved.

 e intente pegarlos en el chat de las aplicaciones de Microsoft Teams, LinkedIn o Facebook.
Esta acción deberá ser bloqueada.
2.39. Tome la imagen Whats In your Wallet.png e intente cargarla vía Slack, Twitter,
LinkedIn esta acción deberá ser bloqueada.
2.40. Verifique las alertas generadas en Skope IT y valide el incidente DLP generado.
Obtenga el detalle que información sensible contenía el documento y que perfil de DLP se
activó, en la sección de Incidents > DLP

3. Caso de Uso – Protección contra amenazas

avanzadas

Este caso de uso utiliza las políticas de protección de malware y

acceso a sitios peligrosos las cuales se deberán configurar siempre
como línea base en cualquier tenant de Netskope

Aplicar el perfil de Default Malware Scan a todas las descargas del

tráfico web.

Configuración User Notification template

3.1. Navegue a Policies > Templates > User Notification

3.2. Click en Add Template > Cloud Apps and Web
3.3. Complete el asistente de la plantilla con la siguiente información

Campo Valor
Template Name <Usuario> Netskope SSE- Block Malware
Logo Seleccione uno existente, o seleccione Create New
Title Malware Detected
Subtitle {{NS_ACTIVITY}} {{NS_FILENAME}} using {{NS_APP}}

2021 © Netskope Confidential. All rights reserved.

 Mensaje Se ha detectado malware en su solicitud y esta ha sido
detenida. Por favor, notifique al equipo de TI acerca de este
incidente para investigarlo.

Action Buttons Configure actions to: Block

Acknowledge Button: OK

3.4. Click Save

3.5. Aplique cambios.

Configuración de la política Real Time

3.6. Navegue a Policies > Real-Time Protection

3.7. Click en New Policy > Threat Protection
3.8. Complete el asistente de la política con los siguientes valores:

Campo Valor
Source Usuario asignado
Destination > Category All Categories
Activities & Constraints Download, Upload
Profile & Action > Default Malware Scan (pre-defined)
Threat Protection
Profile
Profile & Action > Low Severity > Action: Block > Template:<Usuario>
Threat Protection Netskope SSE- Block Malware Remediation: None
Profile Medium Severity > Action: Block > Template:<Usuario
Netskope SSE- Block Malware Remediation: None
High Severity > Action: Block > Template: <Usuario
Netskope SSE- Block Malware Remediation: None
Set Policy <usuario> SSE - Block Malware Internet

3.9. Click en Save

3.10. En Move Policy, seleccione To the Top. Luego, click Save
3.11. Aplique cambios.
3.12. Verifique la política: Intente descargar alguno de los archivos en Word de muestra
generado por Netskope en el Gdrive compartido a continuación

https://drive.google.com/drive/folders/1tqsR64ujOFw_KvIqkDml-
uPqVmzHCYOX?usp=sharing

2021 © Netskope Confidential. All rights reserved.

 3.13. Verifique los incidentes y tipos de Malware detectados en la sección de Incidents >
Malware.

Bloquear el acceso a cualquier sitio potencialmente peligroso o

identificado de alto riesgo, por actividades como C&C, botnets,
phishing, actividad ilegal, etc.

Configuración User Notification template

3.14. Navegue a Policies > Templates > User Notification

3.15. Click en Add Template > Cloud Apps and Web
3.16. Complete el asistente de la plantilla con la siguiente información

Campo Valor
Template Name <Usuario> Netskope SSE - High Risk Activity Detected
Logo Seleccione uno existente, o seleccione Create New
Title Actividad de Alto Riesgo Detectada
Mensaje Se ha bloqueado el acceso hacia el sitio web solicitado por
considerarse como un sitio de alto riesgo que pertenece a la
categoria de {{NS_CATEGORY}}.

Action Buttons Configure actions to: Block

Acknowledge Button: OK

3.17. Click Save

3.18. Aplique cambios.

Configuración de la política Real Time

3.19. Navegue a Policies > Real-Time Protection

3.20. Click en New Policy > Web Access
3.21. Complete el asistente de la política con los siguientes valores:

Campo Valor
Source Usuario asignado
Destination > Category Seleccione todas las categorías de Security Risk
Activities & Constraints Browse
Profile & Action Action: Block Template: <Usuario> Netskope SSE – High
Risk Activity Detected

2021 © Netskope Confidential. All rights reserved.

 Set Policy <usuario> SSE - Block Malicious Sites

3.22. Click en Save

3.23. En Move Policy, seleccione To the Bottom. Luego, click Save
3.24. Aplique cambios.
3.25. Verifique la política: Posterior a la descarga del script en PowerShell
malsite_demo.ps1 y del archivo con el listado de sitios malicioso
netskope_malicious_site_overview.csv que encontrara en la siguiente ruta:

https://drive.google.com/drive/folders/1IgOjhYMjohw3mFBGKlgEJuFl7jjkJwnc?usp=share_link

Ingresar al command prompt de la máquina cliente, desde línea de comandos acceda a la

ruta donde se almacenaron estos dos archivos y ejecute el siguiente comando:

powershell.exe -ExecutionPolicy ByPass -File ./malsite_demo.ps1

netskope_malicious_site_overview.csv

3.26. Verifique los sitios maliciosos bloqueados en la sección de Incidents > Malicious Sites

4. Acceso Seguro a sitios potencialmente peligrosos

2021 © Netskope Confidential. All rights reserved.

Proveer una navegación 100% segura hacia sitios web no
categorizados o nuevos dominios registrados evitando el compromiso
de un usuario o maquina cuando se accede a estos sitios de reputación
desconocida.

Configuración de la política de real time para aislar tráfico web

4.1. Ingrese al tenant de Netskope, luego a Policies > Profiles > Web > URL Lists y de
clic en New URL List
4.2. Asigne el nombre a la lista usando la convención <user> Isolation URLs y adicione
las siguientes URLs: cnet.com y *.cnet.com. Adicione cualquier otro sitio con el que
quiera hacer pruebas. Save y Apply Changes.

4.3. Clic en Custom Categories, luego seleccione New Custom category. Asigne un
nombre haciendo uso de la convención <user> Isolation Categories. Adicione la
URL list creada en el paso anterior en la sección URL List (Include). Clic en Save y
Apply Changes.

2021 © Netskope Confidential. All rights reserved.

4.4. Vuelva de nuevo a Policies > Real Time Policies > New Policy > Web Access.
Defina la política de acuerdo con los siguientes parámetros:

Campo Valor
User <su usuario>
Destination>Category Uncategorized, Newly Registered Domain,
Parked Domains, No Content, <user>
Isolation Categories
Profile & Action Isolate
Set Policy SSE - Browser Isolation Uncategorized
WebSites
Status Enabled

Clic en Save y Apply Changes.

Nota. Recibirá una alerta al usar una categoría personalizada, omita la advertencia
y continue con la configuración de la política.

4.5. Pruebe la política desde una maquina donde se encuentre instalado el cliente de
Netskope, con el steering de Web Traffic habilitado. Valide los siguientes casos de
uso de la tecnología de aislamiento:

§ Descarga de archivos deshabilitada: Ingrese a las siguientes URLs e intente

realizar la descarga de cualquier archivo. Evidencie el resultado de esta acción.

2021 © Netskope Confidential. All rights reserved.

 § https://download.cnet.com

§ Acciones restringidas (Printing & Clipboard limitado): Intente imprimir la página

con el comando (win: ctrl + P, mac: Command + P). Igualmente, realice clic
derecho sobre una página aislada, verifique que opciones están disponibles en
clipboard en comparación a una página sin aislar. Evidencie el resultado de esta
acción.

5. Caso de Uso – Control de acceso granular en

aplicaciones nube como YouTube

Asegurarse que solo cierto contenido pueda ser consumido en canales

de YouTube, en casos donde no se puede bloquear su acceso por la
necesidad de consumir canales corporativos.

Configuración User Notification template

5.1. Navegue a Policies > Templates > User Notification

5.2. Click en Add Template > Cloud Apps and Web
5.3. Complete el asistente de la plantilla con la siguiente información

Campo Valor
Template Name <Usuario> Netskope SSE - Control de Navegacion Youtube
Logo Seleccione uno existente, o seleccione Create New
Title Acceso a contenido no corporativo
Mensaje El acceso al contenido de este tipo de canales en
{{NS_APP}} está prohibido y ha sido bloqueado por la
política {{NS_POLICY_NAME}}

Consulte la política de uso aceptable corporativa

Action Buttons Configure actions to: Block

Acknoledge Button: OK

5.4. Click en Save

5.5. Aplique cambios.

Configuración de la política Real Time para bloqueo de YouTube

2021 © Netskope Confidential. All rights reserved.

 5.6. Navegue a Policies > Real-Time Protection
5.7. Click en New Policy > Cloud App Access
5.8. Complete el asistente de la política con los siguientes valores:

Campo Valor
Source Usuario asignado
Destination > Application YouTube
Activities & Constraints Activity= View
Profile & Action Action: Block Template: <Usuario> Netskope SSE -
Control de Navegacion Youtube
Set Policy <usuario> SSE - Block Cloud Apps prohibited

5.9. Click en Save

5.10. En Move Policy, seleccione To the Bottom. Luego, click Save
5.11. Aplique cambios.

Configuración de la política Real Time para Excepción canales Educación de YouTube

5.12. Navegue a Policies > Real-Time Protection

5.13. Click en New Policy > Cloud App Access
5.14. Complete el asistente de la política con los siguientes valores:

Campo Valor
Source Usuario asignado
Destination > Application YouTube
Activities & Constraints Activity= View Object Type: Education
Profile & Action Action: Allow
Set Policy <usuario> SSE - Granular Access to Youtube

2021 © Netskope Confidential. All rights reserved.

5.15. Click en Save
5.16. En Move Policy, seleccione To the Top. Luego, click Save
5.17. Aplique cambios. Asegúrese que esta política quede justo debajo de la política de
bloqueo de sitios maliciosos

5.18. Verifique la política: Ingrese a YouTube e intente acceder a cualquier video

relacionado con temáticas diferentes a Educación. Esta acción debe ser bloqueada y no
debe tener acceso a este contenido.

5.19. Desde la búsqueda de YouTube escriba el nombre de cualquier universidad para

ingresar a sus respectivos canales. El contenido de estos canales de YouTube debe
permitirse por estar relacionado con Educación.

2021 © Netskope Confidential. All rights reserved.

 5.20. Verifique las alertas generadas en SkopeIT > Alerts. Identifique el ID de los canales
de educación y cree una política para solo permitir el acceso a este canal especifico.

6. Caso de Uso – Zero Trust Network Access

Acceso remoto seguro bajo el modelo de Zero Trust hacia una

aplicación privada.

Este escenario va a trabajar con una arquitectura sobre la nube de AWS, en la cual se encuentran
recursos privados del dominio DogCorp.local, a los cuales se pretende tener acceso remoto
seguro a través de ZTNA.

Validación de la política Real Time para solo permitir acceso hacia aplicaciones internas
autorizadas

6.1. Navegue a Policies > Real time Protection y adicione su usuario a la políticas de Acceso
remoto -Windows Administrator. Esta política solo da acceso a los sitios web publicados en
dos servidores privados (Uno con OS Windows Server y otro con OS Ubuntu), así como
acceso administrador vía RDP al servidor de Windows.

2021 © Netskope Confidential. All rights reserved.

6.2. Click en Save
6.3. Aplique cambios.
6.4. Verifique las aplicaciones privadas mencionadas en la política de real time, para
identificar a que dirección IP privada y puerto mapean. Diríjase a Settings> Security Cloud
Platform> App Definition> Private Apps

2021 © Netskope Confidential. All rights reserved.

 6.5. Pruebe la política: asegurándose que su configuración de steering tiene habilitada las
aplicaciones privadas, intente ingresar a los sitios web internos, y de igual forma intente
abrir una conexión RDP al servidor de Windows. Estas acciones serán permitidas.
6.6. Intente ingresar vía SSH al servidor de Ubuntu y esta acción debe ser bloqueada.
6.7. Verifique las alertas generadas en SkopeIT > Network Events.

7. Caso de Uso – Asegurando tráfico no web hacia

Internet

Bloquear tráfico generado por aplicaciones no autorizadas como Tor

Browser hacia Internet en protocolos diferentes al web.

Este caso va a requerir la licencia de Cloud Firewall activa en su tenant.

7.1. Navegue a Settings > Security Cloud Platform

7.2. Click en Traffic Steering > Steering Configuration y edite la configuracion default
7.3. Seleccione la opción de All Traffic y de click en Save.

7.4. Revise su Netskope Client y de clic en la actualización pendiente para tomar la nueva
configuración de steering.

2021 © Netskope Confidential. All rights reserved.

 7.5. Vuelva a la sección de políticas en Real Time y valide que, en la parte inferior de las
políticas, la acción por defecto para el tráfico Non-Web sea Blocked.

7.3. Valide la política de bloqueo default. Instale la aplicación de Tor Browser en su

maquina cliente donde tiene el cliente de Netskope instalado, e intente iniciar comunicación
con los TOR Proxies. La aplicación debe arrojar un mensaje de error de comunicación.

7.4. Verifique el tráfico bloqueado por Cloud Firewall en SkopeIT > Network Events.

8. Caso de Uso – Controlando usuarios riesgosos

Uno de los grandes diferenciales de Netskope SSE es la incorporación de
tecnologías especializadas en la gestión de riesgos propio de la nube, donde bajo
el concepto de cero confianza se fortalece la postura de seguridad a través del
monitoreo continuo del comportamiento de los usuarios y de esa forma la
evaluación del riesgo que este representa será el principal driver de la política de
seguridad.

8.1. Verifique las nuevas reglas de anomalías de comportamiento que se incorporaron en los
últimos releases de la plataforma, ingrese a Policies> Behavior Analytics. Actividades de alto
riesgo como Descarga de malware, acceso a sitios maliciosos e incidentes de DLP se encuentran
incluidos en este set de reglas, por lo cual muchas de las actividades que se han realizado en el

2021 © Netskope Confidential. All rights reserved.

transcurso de este laboratorio han tenido un efecto directo en la reducción del score de confianza
del usuario.

8.2. Verifique cual es el score de confianza de su usuario en este momento. Ingrese a Incidents>
Behavior Analytics. Verifique cuantos eventos y que tipo de eventos han reducido su score de
confianza.

2021 © Netskope Confidential. All rights reserved.

Monitorear continuamente el comportamiento de los usuarios y
evaluar su score riesgo para construir una política de seguridad
adaptativa es la forma de implementar un modelo de cero confianza.

Teniendo en cuenta que el escenario anterior nos permitió decrementar de manera importante el
score de confianza de un usuario, utilizaremos este score como criterio para definir si se bloquea
el acceso a las instancias corporativas.

Configuración User Notification template

8.3. Navegue a Policies > Templates > User Notification

8.4. Click en Add Template > Cloud Apps and Web
8.5. Complete el asistente de la plantilla con la siguiente información

Campo Valor
Template Name <Usuario> Netskope SSE Risky user detected
Logo Seleccione uno existente, o seleccione Create New
Title Detección de Usuario potencialmente riesgoso
Mensaje Se ha bloqueado el download y share de archivos en
instancias corporativas debido al score de riesgo reportado
por el usuario.

Comuníquese con el Administrador de TI para verificar este

incidente
Action Buttons Configure actions to: Block

Acknoledge Button: OK

8.6. Click en Save

8.7. Aplique cambios.

Configuración de la política Real Time

Configure la política de acuerdo con los siguientes valores:

Campo Valor
Source Add Criterio > Seleccione menor al valor del actual score de confianza de
User Confidence su usuario.
Destination > App OneDrive o GDrive corporativo previamente definido
Instance
Activities & Constraints Download, Share

2021 © Netskope Confidential. All rights reserved.

 Profile & Action Action: Block Template: <Usuario> Netskope SSE Risky
User detected
Set Policy <usuario> SSE - Block downloads risky user to corporate
instances

8.8. Click en Save

8.9. En Move Policy, seleccione To the Bottom. Luego, click Save
8.10. Aplique cambios.
8.11. Verifique la política: En su instancia corporativa, intente realizar actividades como
descargar archivos, compartir, etc.
8.12. Valide las actividades en Skope IT> Application Events

¡¡¡Extra Challenge!!!

9. Caso de Uso – Gobierno de SaaS & IaaS

2021 © Netskope Confidential. All rights reserved.

Se requiere recuperar visibilidad y ejercer gobierno a nivel de
cumplimiento de estándares de seguridad sobre aplicaciones SaaS
corporativas como Office 365, Salesforce, Github, así como en nube
publica como AWS, Azure y GCP.

Solicitar una cuenta de Salesforce Developer diríjase https://developer.salesforce.com/signup

Diligencie el formulario con los datos solicitados

Una vez reciba el correo de confirmación de Salesforce, de clic en Verify Account.

Posterior a ser redirigido a Salesforce, realice el cambio de su contraseña.

2021 © Netskope Confidential. All rights reserved.

Configuración del perfil y usuario API en Salesforce

9.1. Ingrese a Salesforce con el usuario administrador creado y en la parte derecha superior
de la página de Inicio, de clic en el User Menu y seleccione Switch to Lightning
Experience.

9.2. En el menú de navegación de la izquierda, diríjase a Administration > Users > Profiles.
Clone un perfil de usuario. Seleccione el perfil Custom:Support Profile. (Puede elegir
cualquier perfil siempre que este tenga una licencia “Salesforce”.

2021 © Netskope Confidential. All rights reserved.

9.3. Asigne el nombre al perfil de Netskope API

9.4. Posterior a crear el perfil, edítelo y baje hasta la sección de Administrative Permissions
y habilite los siguientes permisos:

2021 © Netskope Confidential. All rights reserved.

 De clic en Save

9.5. En el menú de la izquierda, diríjase a Administration>Users>Users. Clic en Edit para

modificar un usuario existente, o cree u nuevo usuario. Edite el usuario, en la sección de
General Information del usuario, defina el perfil creado previamente y asegúrese de
habilitar la opción Salesforce CRM Content User. Finalice con clic en Save.

9.6. Asegúrese de configurar los rangos de direcciones públicas de Netskope en Salesforce.

Esta definición asegura que los eventos y notificaciones sean intercambiados entre
Salesforce y Netskope sin ningún tipo de restricción.

Vaya a Settings > Security > Network Access. De clic en New y agregue cada uno de
los rangos de Netskope. Finalice con clic en Save.

2021 © Netskope Confidential. All rights reserved.

Configuración en el tenant de Netskope

9.7. Ingrese al tenant de Netskope, vaya a Settings > API-Enabled Protection > SaaS.
Seleccione Salesforce y luego clic en Setup Instance

9.8. En la configuración de la instancia, ingrese el nombre de la cuenta de Salesforce.

Localice el nombre de su cuenta en Salesforce > Setup> Setting> Company Settings
> Company Information y tome nota del Organization Name.

2021 © Netskope Confidential. All rights reserved.

9.9. En tipo de instancia asegúrese de seleccionar Security Posture. Policy Interval 15
minutes. Seleccione el tipo de cuenta de Salesforce como production. En Admin User,
ingrese el username del usuario que definió previamente en Salesforce para realizar la
integración API. Clic en Save, luego clic en Grant Access.

9.10. Aparecerá una nueva ventana para realizar el login del usuario en Salesforce, luego de
clic en Grant. Una vez se validen los permisos deberá recibir el siguiente mensaje. Clic
en Close.

2021 © Netskope Confidential. All rights reserved.

9.11. Haga un refresh en la página de configuración y valide el estado de la instancia
configurada.

Configuración de la política de postura de seguridad

9.12. Ingrese a la sección de Policies del tenant de Netskope> Security Posture> New
Policy. Defina los siguientes valores.

Campo Valor
Instances Salesforce
Instance <Su instancia de Salesforce>
Profile PCI-DSS, NIST 800-53 r4, ISO 27002, Salesforce Best
Practices
Action Alert
Policy Name SSPM Security Posture Salesforce <nombre instancia>
Status Enabled

2021 © Netskope Confidential. All rights reserved.

9.13. Clic en Save. Apply Changes.

9.14. Espere unos minutos, luego clic en la sección del tenant de Netskope, API-enabled
Protection > Compliance > Security Posture y valide el resultado del assessment de
seguridad de la instancia de Salesforce.

2021 © Netskope Confidential. All rights reserved.

Para la configuración de este mismo caso de uso sobre instancias IaaS en AWS, Azure o
GCP, siga la documentación de integración vía API con cada nube.

AWS

https://docs.netskope.com/en/enabling-security-posture-management-for-aws.html

Azure

https://docs.netskope.com/en/enabling-security-posture-management-for-azure.html

GCP

https://docs.netskope.com/en/enabling-security-posture-management-for-gcp.html

2021 © Netskope Confidential. All rights reserved.