はじめに
こんにちは、セキュリティチームのむろです。
今回はNetskopeの一部のCloud Appで必要になる「アクティビティ検知の有効化申請」についてお話しします。
「特定のアプリだけアクティビティがSkope ITにうまく記録されない」という事象に遭遇し、調べていくと「そもそも申請しないとアクティビティ検知が有効にならないアプリがある」ことが分かったので、同じところでハマる方が減るようにブログ化してみました。
はじめにまとめ
- 一部のCloud Appは「アクティビティ検知がデフォルトで無効」になっている
- 有効化は管理コンソール上の設定では完結せず、「サポートへの申請」が必要
- 対象かどうかはApp Catalog（旧CCI）の注記で判別する
- 注記は有効化後も消えないため、有効化の成否はApplication Eventsで確認する
- 申請前でもUniversal Connectorによるベストエフォート検出で一部のアクティビティだけ記録されることがある（中途半端に見えるので設定ミスと勘違いしやすい）
- App Connectorの対応状況は日々変わっていくため、定期的な見直しが必要
どんな状態だったか
- Claudeの利用を始めた当初は専用のApp Connector（アプリごとに作り込まれた検知ロジック）が提供されていなかったため、「claude.ai」などのドメインを指定したカスタムアプリ定義（Custom App）を作成し、可視化と制御を暫定対応していた
- その後、社内でClaudeの利用推進が進むにつれて、「会社契約のテナントのみ許可して個人アカウントは制御したい」というテナント識別（Instance Detection）の要件から対応を検討することに
- テナント識別はカスタムアプリ定義では実現できないため、暫定対応のカスタムアプリ定義を削除したが、それでもアクティビティの識別は改善しなかった
特に迷ったポイント
カスタムアプリ定義を削除しても、以下のような状態になっていました。
- Skope ITのApplication EventsにLogin Successfulが一切記録されない
- Login Attemptは記録されるが、App Instance（テナント識別のためのインスタンスID）が検出されない
- 一方で、なぜかUploadやDownloadは記録されている
「まったく見えない」のではなく「中途半端に見える」のが厄介なポイントで、一瞬「どういうこと？」と混乱しました。
原因：アクティビティ検知がデフォルト無効のアプリがある
どういうことなんだ？？という状態でしたが基本に忠実にApp Catalogを確認します。
App CatalogでClaudeを開くと、右ペインに以下の注記が記載されていました。
The activities detection for this Cloud App is disabled by default. If you want to enable it, please reach out to our support team. Please note that this message will not disappear once the App Connector is enabled.
つまり「このアプリのアクティビティ検知はデフォルトで無効です。有効化したい場合はサポートチームに連絡してください」ということが示されています。
実は最初にApp Catalogを開いたときはこの注記に気づかず、15分くらいApplication Eventsと睨めっこしていました。
なお、注記の末尾にある通りこのメッセージは有効化後も消えません。
「申請したのにまだ注記が出ている」と混乱しないようにしましょう。
有効化の成否はApplication Eventsの記録で確認する必要があります。
実はリリースノートにも書いてある
App ConnectorリリースノートのAC-136.0.0（2026年4月）を見るとちゃんと記載されていました。「Controlled Rollout」として方針が明文化されています。
ただ、新規App Connectorでアクティビティ検知が「デフォルト無効」でリリースされるというのは当時は初耳でした。
なぜ一部のアクティビティだけ記録されたのか
「特に迷ったポイント」でも記載したように中途半端にアクティビティが記録される理由については、サポートから「Universal Connectorによる検出」との回答を得ています。
Netskopeのアクティビティ検知には以下の2種類があります。
- App Connector（専用コネクタ）：アプリごとに作り込まれた検知ロジック。アクティビティの網羅性が高く、App Instanceによるテナント識別に対応するものも多い
- Universal Connector：専用コネクタがないWebアプリ全般を対象としたヒューリスティックベースのベストエフォート検知。検出できるアクティビティはLogin系 / Formpost / Upload / Downloadなどに限定され、実際に検出できるかはアプリ次第
なお、「専用コネクタが無効化されている間はUniversal Connectorにフォールバックする」と明記された公式ドキュメントは見つけられていません。
ただ、弊社のケースでは前述のサポート回答に加えて、実際にUpload / Downloadだけが記録される（Universal Connectorが対応しているはずのLogin Successfulは記録されない）状態を確認しています。
いずれにせよ、検出が完全に無効化されているわけではなく、一部のアクティビティだけが記録される中途半端な状態になるのが今回の事象での挙動であり、厄介なポイントでした。
対象はClaudeだけではない
この「デフォルト無効」はClaudeに限った話ではありません。
直近のApp Connectorリリースノートを見るだけでも、「This feature is not enabled by default. Contact your Netskope Support team to enable this feature in your account.」という注記付きでリリースされた新規App Connectorが多数あります。
- AC-137.0.0（2026年5月）
- Convene
- Google AI Studio
- Meta AI
- Mistral Le Chat AI
- AC-138.0.0（2026年6月）
- Google Antigravity
- QuillBot
- Langdock
- Microsoft Copilot Studio
- Amazon Q
以下はMeta AIの例です。執筆時点でも「disabled by default」の注記が表示されています。
有効化申請の手順
1) App Catalogで注記を確認する
- App Catalogで対象アプリを開き、「disabled by default」の注記があることを確認する
- 注記がなければ申請は不要です（後述の通り、Claudeは現在は申請不要になっています）
- 申請の根拠としてスクリーンショットを控えておく
- あわせてACTIVITY SUPPORTの表で、有効化後に取得できるアクティビティと対応機能（DLP / Instance Detectionなど）も確認しておく
2) サポート窓口へ有効化を申請する
- ライセンス契約のサポート窓口へ連絡する
- 弊社商流の場合はもちろん弊社クラウドネイティブへご連絡ください！
3) 有効化後に動作確認を行う
- 端末から該当のアクティビティが記録される操作を行う
- Skope IT > Application Eventsを対象アプリでフィルタし、事前定義のアプリ名（例：Anthropic Claude）でLogin Successfulをはじめとするアクティビティが記録されていることを確認する
- App Catalogの注記は有効化後も消えないため、確認はあくまでApplication Eventsで行います
- 必要に応じて、App Instance（インスタンスID）が検出されているかも確認する
Claudeは「申請制」から「標準提供」に変わった
とはいえ、ずっと申請が必要というわけでもない様です。
Claudeの例で時系列を示します。
2025年頃
- 専用App Connectorはロードマップ上で、カスタムアプリ定義（Custom App）での暫定対応が公式に案内されていた
- 参考：Anthropic Claude - DLP Controls Activity 'Upload' | Community
2026年4月（AC-136.0.0）
- Claude Chat用の専用App Connectorが新規リリース
- ただし、Controlled Rollout方針によりデフォルト無効で、App Catalogに「disabled by default」の注記があり申請ベースでの有効化が必要だった（弊社は2026年5月に申請して有効化）
2026年7月（AC-139.0.0）
- リリースノートに「the Anthropic Claude connector is now available to all users」と明記され、申請不要の標準提供に変化
- App Catalogからも当該注記が撤去され、ACTIVITY SUPPORTのマトリクスで対応状況が表示されている
App CatalogのAnthropic Claudeの現行表示。「disabled by default」の注記はなく、ACTIVITY SUPPORTのマトリクスが表示される
事象から得られた教訓
- Cloud Appの中にはアクティビティ検知のために申請が必要なケースがある
- カスタムアプリ定義で暫定対応した場合は、専用App Connectorの提供・更新がないかモニターが必要
- App Connectorの状況は日々変わっていく
補足やTips
そもそも申請すべきか？
- 対象アプリの利用を全面ブロックする方針であれば、アクティビティ検知がなくても運用は成立しうると思います
- ただ、その場合でも実態把握（誰がどの程度使おうとしているか）の材料としてアクティビティは有用です
- 対象アプリを可視化・制御を要件とするなら早めに申請しておくのがおすすめです
申請が必要かどうかはどうやって気づけば良いのか
- 新しめのSaaSや生成AI系のアプリを可視化・制御対象に加える際は、まずApp Catalogで対象アプリの注記とACTIVITY SUPPORTを確認する
- ポリシーを作ったら必ずApplication Eventsで期待するアクティビティが記録されるか動作確認する
- リリースノートをサブスクライブして、積極的に内容を追うことも有効
おわりに
今回はNetskopeの一部Cloud Appで必要になるアクティビティ検知の有効化申請について書いてみました。
これを機に自分たちのテナント内のNetskopeの状況を見直してみても良いかもしれません。
以上、むろでした。
