特定のアプリに対する通信に関して、Sanctioned App として登録していないにもかかわらず、イベントログではSanctioned Appとして記録されることがあります。
※フィールド「Is Sanctioned App」が1の場合、Sanctioned Appと判定されています。

■原因
Sanctioned フラグは、当該イベントログの Related Apps に含まれるアプリの分類を継承する仕様となっています。
そのため、 Sanctionedに登録している別のアプリがRelated Appsに含まれている場合、本体アプリが Unsanctionedの場合でもフラグが「1」になりSanctioned Appとして判定されます。

Cato は通信フロー内に含まれるすべてのアプリを対象にしてポリシーを適用します。この挙動とイベントログ上の表示を一致させるため、Sanctioned フラグも同じ基準で判定する仕様となっています。

■Related Appsについて
Related Apps は、1つのトラフィックフロー内で識別されたすべてのアプリケーションを表示するフィールドです。
最終的なアプリケーションに加え、そこに至るまでに使用されたプロトコルやクラウドなども併せて表示されます。

例）Copilotに対する通信フローにて、Related AppsとしてAzureが記録される