2024 首次尝试即可轻松成功通过 Netskope NSK200 考试 [Q15-Q29]

8 月 9, 2024 管理 0 条评论

4/5 - (1 选票)

2024 初次尝试即可轻松成功通过 Netskope NSK200 考试

准备最新考试问题的最佳 NSK200 考试试卷

Q15. 贵公司需要保留被 DLP 策略触发的隔离文件。在这种情况下，哪种说法是正确的？

文件将被远程存放在数据中心的隔离区配置文件中。

文件存储在隔离配置文件中指定的 Netskope 数据中心。

文件存储在隔离配置文件中指定的云提供商中。

文件存储在隔离配置文件中指定的管理员控制面板电脑上。

说明
当一个策略标记了一个要隔离的文件时，该文件会被放置在一个隔离文件夹中，并在其原来的位置放置一个墓碑文件。隔离文件夹位于隔离配置文件中指定的 Netskope 数据中心。隔离配置文件在 "设置">"威胁防护">"启用 API 的防护 "中配置。隔离文件被压缩并用密码保护，以防止用户无意中下载文件。然后，Netskope 通知配置文件中指定的管理员1。因此，选项 B 正确，其他选项不正确。参考资料：隔离 - Netskope 知识门户，威胁保护 - Netskope 知识门户

Q16. 您注意到 Netskope 客户端图标上有一个红点，将鼠标悬停在图标上时看到 "由于错误已禁用"。出现此信息的两个原因是什么？

手动停止客户服务。

转向例外是不正确的。

客户机健康检查失败。

客户端流量通过 iPsec 传输。

说明
将鼠标悬停在 Netskope 客户端图标上时，出现 "因错误而禁用 "消息的两个原因是：A. 客户端服务被手动停止；C. 客户端健康检查失败。客户端服务是在用户设备上运行 Netskope 客户端并与 Netskope 云通信的后台进程。如果客户端服务被用户或其他程序手动停止，Netskope客户端将被禁用，并在图标上显示一个红点1。客户端健康检查是一项监控Netskope客户端状态的功能，如果检测到任何问题，会执行自我修复操作。如果客户端健康检查失败，意味着Netskope客户端遇到了无法自动修复的严重错误，如文件或注册表项损坏。在这种情况下，Netskope 客户端将被禁用，并在图标上显示一个红点2。因此，选项 A 和 C 是正确的，其他选项是错误的。参考资料Netskope 客户端故障排除 - Netskope 知识门户，客户端健康检查 - Netskope 知识门户

Q17. 一位客户希望使用 Netskope 防止 PCI 数据离开企业认可的 OneDrive 实例。在这种情况下，哪两种解决方案有助于防止数据外泄？(选择两个）。

API 数据保护

云防火墙 (CFW)

SaaS 安全态势管理 (SSPM)

实时保护

说明
为防止 PCI 数据离开企业认可的 OneDrive 实例，客户可以使用 API 数据保护和实时保护。API 数据保护是一项允许您发现、分类和保护已驻留在 OneDrive 等云服务中的数据的功能。您可以根据用户、内容、活动或 DLP 配置文件等标准创建与 PCI 数据相匹配的策略。然后，您可以选择一种操作来防止 PCI 数据被共享或外流，如删除外部协作者、删除公开链接或隔离3。实时保护是一项允许您检查和控制用户与云服务（如 OneDrive）之间传输中数据的功能。您可以根据用户、设备、位置、类别或 DLP 配置文件等条件创建与 PCI 数据相匹配的策略。然后，您可以选择阻止上传或下载 PCI 数据的操作，如阻止、警告、加密或水印4。因此，选项 A 和 D 正确，其他选项不正确。参考资料：API 数据保护 - Netskope 知识门户，实时保护 - Netskope 知识门户

Q18. 您希望使用 Netskope 确保 Microsoft Exchange 和 Gmail SMTP 流量的 DLP 安全。在使用 Netskope 客户端时，关于这种情况的哪种说法是正确的？

Netskope 可检测 Microsoft Exchange 和 Gmail 的出站 SMTP 流量。

启用云防火墙检查 Microsoft Exchange 和 Gmail 的入站 SMTP 流量。

Netskope 可检测 Microsoft Exchange 和 Gmail 的入站和出站 SMTP 流量。

启用 REST API v2，检查 Microsoft Exchange 和 Gmail 的 SMTP 入站流量。

说明
Netskope可以使用Netskope客户端检测Microsoft Exchange和Gmail的出站SMTP流量。
Netskope客户端拦截来自用户设备的SMTP流量，并将其转发到Netskope云端进行DLP扫描。Netskope客户端不检查入站SMTP流量，因为这是由云电子邮件服务或MTA处理的。因此，选项A正确，其他选项不正确。参考：使用微软O365 Exchange配置Netskope SMTP代理、使用Gmail配置Netskope SMTP代理、SMTP DLP、使用SMTP代理的电子邮件安全最佳实践

Q19. 您被要求调查 Netskope DLP 策略中哪些策略造成的事件最多。在这种情况下，哪两种说法是正确的？(选择两项）。

Skope IT 应用程序选项卡将列出前五项 DLP 策略。

您可以查看使用分析功能触发的最高 Ave DLP 策略

您可以使用 "报告 "或 "高级分析 "创建报告。

Skope IT 警报选项卡将列出前五项 DLP 策略。

说明
要调查哪些 Netskope DLP 策略造成的事件最多，以下两种说法是正确的：
您可以查看使用分析功能触发的前五大 DLP 策略。通过分析功能，您可以创建自定义仪表盘和窗口小部件，以直观地显示和探索数据。您可以使用 DLP 策略窗口小部件查看特定时间段内引发事件最多的前五个 DLP 策略3。
您可以使用报告或高级分析功能创建报告。报告功能允许您根据预定义模板或自定义查询创建计划报告或临时报告。您可以使用 "按策略分列的 DLP 事件 "模板生成报告，显示每个 DLP 策略的事件数4。高级分析功能允许您对数据运行 SQL 查询，并将结果导出为 CSV 或 JSON 文件。您可以使用 DLP_INCIDENTS 表，按策略名称和事件数量查询数据5。
另外两个说法不正确，因为
Skope IT 应用选项卡不会列出前五大 DLP 策略。Skope IT 应用程序选项卡会显示贵组织的云应用程序使用情况和风险摘要。它不会显示任何有关 DLP 策略或事件的信息6。
Skope IT 警报选项卡不会列出前五大 DLP 策略。Skope IT 警报选项卡显示各种策略和配置文件（如 DLP、威胁防护、IPS 等）生成的警报。它不显示每个策略的事件数，只显示每个事件的警报数7。

Q20. 最近，贵公司实施了用于协作目的的 Zoom，您正试图使用 Netskope 检查流量。初步尝试表明，您看不到所有用户使用的 Zoom 客户端的流量。您必须确保 Netskope 可以看到这些流量。
在这种情况下，必须完成哪两个步骤才能满足这一要求？(选择两个）。

为 Zoom 创建转向异常，以确保流量到达 Netskope。

为 Zoom 应用程序套件创建不解密 SSL 策略。

从默认转向配置中移除 Zoom 证书固定应用程序。

删除网络会议类别的默认转向例外。

说明
为确保来自 Zoom 客户端的流量对 Netskope 可见，您需要从默认转向配置中移除 Zoom 证书固定应用程序，并移除网络会议类别的默认转向异常。证书固定应用程序是一种根据应用程序中的硬编码验证服务器证书的应用程序。这是一种安全技术，用于防止中间人攻击和确保应用程序的访问安全。默认情况下，Netskope 会绕过来自证书固定应用程序的流量，不对其进行解密或检查3。Zoom是Netskope支持的预定义证书固定应用程序之一4。要启用 Netskope 检查来自 Zoom 的流量，您需要将其从适用于您的用户的转向配置中移除5。此外，您还需要删除网络会议类别的默认指导例外，其中包括 Zoom 和其他类似应用程序。转向例外是一种规则，用于指定您希望绕过 Netskope 并直接到达目的地的流量6。通过移除该例外，您可以允许 Netskope 引导和分析来自网络会议应用程序的流量。因此，选项 C 和 D 正确，其他选项不正确。参考资料：证书固定应用程序 - Netskope 知识门户，证书固定应用程序 (CPA) - Netskope 社区，引导配置 - Netskope 知识门户，引导异常
- Netskope 知识门户

Q21. 贵公司内部有一个赛门铁克 BlueCoat 代理，您希望使用代理链部署 Netskope。在这种情况下，需要首先启用哪两个先决条件？

禁用 SSL 解密。

禁用 X-Authenticated-User 头信息。

启用 SSL 解密。

启用 X-Forwarded-For HTTP 头信息

说明
要在企业内部使用代理链和 Symantec BlueCoat 代理部署 Netskope，您需要首先启用两个先决条件：在您的Symantec BlueCoat代理上启用SSL解密。这是代理链的必要条件，因为Netskope需要检查从您的代理发送到Netskope云的SSL流量。
要启用 SSL 解密，您需要配置 Symantec BlueCoat 代理服务器，使其信任用于 SSL 截取的 Netskope 证书。您可以在 Netskope UI 的设置 > 管理 > 证书 > 签名 CA 中下载证书。在 Symantec BlueCoat 代理服务器上启用 X-Forwarded-For HTTP 头信息。这是代理链所必需的，因为Netskope需要识别代理后面用户的原始源IP地址。X-Forwarded-For 头信息用于将此信息从您的代理传递给 Netskope。要启用此标头，您需要配置您的赛门铁克 BlueCoat 代理，为所有 HTTP 请求发送 X-Forwarded-For HTTP 标头。其他选项不是此方案的有效前提条件。您不需要在赛门铁克BlueCoat代理上禁用SSL解密，因为这将阻止Netskope检查SSL流量。您无需在 Symantec BlueCoat 代理服务器上禁用 X-Authenticated-User 头信息，因为这是一个可选的头信息，可用于从您的代理服务器向 Netskope 传递额外的用户信息。参考资料：代理服务器连锁3，为代理服务器连锁配置 Forcepoint

Q22. 您的客户目前只允许用户使用 Netskope 客户端的 SSO 访问 OneDrive 的企业实例。用户度假时不允许携带笔记本电脑，但有时他们必须在有紧急请求时访问 OneDrive 上的文档。客户希望允许员工从非托管设备远程访问 OneDrive，同时执行 DLP 控制，禁止将敏感文件下载到非托管设备。
哪种转向方法能满足这种情况的要求？

使用与 SSO 集成的反向代理。

与云服务提供商一起使用代理链，并与 SSO 集成。

使用与 SSO 集成的前向代理。

使用与内部代理集成的安全转发器。

说明
与 SSO 集成的反向代理可以满足这种情况的要求。反向代理拦截用户对云应用程序的请求，并根据用户身份、设备状态、应用程序和数据上下文应用策略。它可以执行 DLP 控制，禁止将敏感文件下载到不受管理的设备上。它还可以与客户的 SSO 提供商集成，以验证用户身份，并只允许访问 OneDrive 的企业实例。其他转向方法不适合这种场景，因为它们要么需要 Netskope 客户端，要么不能提供对云应用程序活动的细粒度控制。

Q23. 贵公司的风险团队已决定，Netskope 不应检查从销售团队到自定义 Web 应用程序的流量。所有其他流向 Web 应用程序的流量应继续接受检查。
在这种情况下，您将如何完成这项任务？

在策略页面中使用用户组和域创建不解密策略。

在策略页面中使用应用程序创建 "不解密策略"，并为组创建 "指导例外"。

在策略页面使用目标 IP 和应用程序创建 "不解密策略"。

在策略页面使用源 IP 和应用程序创建 "不解密策略"。

说明
要防止Netskope检查从销售团队到自定义Web应用程序的流量，您需要在策略页面中使用用户组和域创建 "不解密策略"。不解密策略允许您指定要加密的流量，Netskope不会通过实时保护策略进一步分析这些流量3。您可以使用 "用户组 "条件来匹配销售团队成员，使用 "域 "条件来匹配自定义 Web 应用程序。这样，只有从销售团队到自定义 Web 应用程序的流量将免于解密，而到 Web 应用程序的所有其他流量将继续接受检查。

Q24. Netskope 中的文件哈希列表有什么作用？

它可配置自定义恶意软件检测配置文件中引用的 blocklist 和 allowlist 条目。

它提供了 Netskope 可以检查的文件类型。

它用于允许和阻止 URL。

它提供客户端威胁漏洞防范（CTEP）功能。

说明
Netskope 中文件散列列表的目的是配置自定义恶意软件检测配置文件中引用的阻止列表和允许列表条目。文件哈希列表是MD5或SHA-256哈希值的集合，代表您希望在组织中允许或阻止的文件。您可以在添加文件配置文件时创建文件哈希列表，并将其用作组织内文件的允许列表或阻止列表1。然后，您可以在创建恶意软件检测配置文件时选择文件哈希列表2。

Q25. 贵公司已将 Microsoft Azure ADFS 设置为身份提供程序（idP）。您需要在 Windows 笔记本电脑上向公司所有用户部署 Netskope 客户端，而无需用户干预。
在这种情况下，您会使用哪两个部署选项？(选择两个）。

使用 SCCM 部署 Netskope 客户端。

使用 Microsoft GPO 部署 Netskope 客户端。

使用 IdP 部署 Netskope 客户端。

使用电子邮件邀请部署 Netskope 客户端。

说明
要在用户不干预的情况下将 Netskope 客户端部署到 Windows 笔记本电脑上的所有公司用户，您可以使用 SCCM 或 GPO。这是两种打包应用程序的方法，使用微软工具将其静默地推送到用户的设备上4。这些方法不要求用户拥有本地管理员权限，也不要求用户自己启动安装。它们还允许通过公司政策强制使用客户端。只要登录用户的 UPN 与目录相匹配，Netskope 客户端就可以使用 Azure ADFS 作为身份提供者来验证用户身份5。

Q26. 回顾展览。

展品中的配置页面有何作用？

使用 SCCM 配置 Netskope 客户端

允许用户通过代理进行身份验证

将 Active Directory 用户加入 Netskope 租户

执行基于角色的行政访问

说明
展品中显示的配置页面用于将 Active Directory 用户加入 Netskope 租户。
具体做法是在 Netskope 平台配置活动目录设置，然后从活动目录导入用户。配置页面允许您指定以下参数：
目录服务：使用的目录服务类型，如 Active Directory 或 LDAP。
域名：Active Directory 域的名称，如 example.com。
域控制器：Active Directory 域控制器的 IP 地址或主机名，如 dc1.example.com。
用户名：具有 Active Directory 读取权限的账户的用户名，如 [email protected]。
密码：可读取 Active Directory 的账户密码。
基本 DN：包含要导入的用户和组的容器或组织单位的基本区分名称，如 OU=Users,DC=example,DC=com。
用户过滤器：LDAP 过滤器：定义选择要导入的用户的标准，如（objectClass=user）。
组过滤器：LDAP 过滤器：定义选择要导入的组的标准的 LDAP 过滤器，如（objectClass=group）。
配置完这些参数后，您可以点击 "测试连接 "来验证与活动目录的连接是否成功。然后点击 "导入用户"，开始将用户和组从活动目录导入 Netskope 租户。
参考资料：将 Active Directory 用户接入 Netskope 租户1

Q27. 回顾展览。

要求您限制用户访问 YouTube 上标记为 "体育 "的内容。您创建了所需的实时策略，但用户仍然可以访问这些内容。

该网站属于指导政策例外情况。

政策变化尚未实施。

YouTube 内容无法控制。

流量符合 "请勿解密 "策略

说明
这种情况下的问题在于流量与 "请勿解密 "策略相匹配。请勿解密策略是一条规则，用于指定您希望加密的流量，Netskope 不会通过实时保护策略对其进行进一步分析1。在展品中，我们可以看到从用户到 YouTube 的流量有一个
"旁路流量 "值为 "是"，"Netskope "值为 "是"。这意味着流量被引导至 Netskope，但未被解密或检查2。因此，为限制用户访问标记为 Sport 的 YouTube 内容而创建的实时策略并不适用，用户仍然可以访问这些内容。要解决这个问题，需要删除或修改与 YouTube 流量相匹配的 "请勿解密 "策略，或者在策略中为 "体育 "类别创建一个例外3。因此，选项 D 正确，其他选项不正确。参考资料：页面事件 - Netskope 知识门户，添加 SSL 解密策略 - Netskope 知识门户，YouTube 内容控制 - Netskope 知识门户

Q28. Netskope 被用作安全 Web 网关。贵组织的 URL 列表经常变化。在这种情况下，如何才能在 Netskope 平台上大规模更新 URL 列表？

REST API v2

断言消费者服务 URL

云威胁交换

SCIM 配置

说明
A. REST API v2。REST API v2是一种允许您使用授权令牌对Netskope API进行授权调用并通过URI路径访问资源的功能5。通过提供现有URL列表的名称和以逗号分隔的URL或IP地址列表，您可以使用REST API v2用新的值更新URL列表6。这可以帮助您自动或脚本化管理 URL 列表，并保持其最新状态。因此，选项 A 正确，其他选项不正确。参考资料：REST API v2 概述 - Netskope 知识门户，更新 URL 列表 - Netskope 知识门户

Q29. 您在定期从域控制器获取用户和组信息并将该信息发布到 Netskope 云中的租户实例时遇到了问题。要开始故障排除过程，在这种情况下您首先要调查什么？

内部日志解析器

目录导入器

DNS 连接器

AD 连接器

说明
目录导入器是Netskope适配器的一个组件，它连接到域控制器并定期获取用户和组信息，然后将这些信息发布到您在Netskope云1中的租户实例中。如果您在此过程中遇到问题，首先应检查目录导入器本身。您可以检查目录导入器服务的状态、配置文件、日志以及与域控制器和 Netskope 云2 的连接。因此，选项 B 正确，其他选项不正确。参考文献配置目录导入器 - Netskope 知识门户，目录导入器故障排除 - Netskope 知识门户

加载中 …