着信メッセージと発信メッセージ（添付ファイルを含む）に含まれる URL が評価されます。URL を表す有効な文字列（次を含む文字列）が評価されます。

• http、https、www
• ドメインまたは IP アドレス
• コロン（:）が先頭に付いたポート番号
• 大文字または小文字

メッセージがスパムであるかどうかを判定するために URL を評価するときに、これがロード管理に必要である場合は、着信メッセージのスクリーニングが発信メッセージよりも優先されます。

URL フィルタリングをイネーブルにする他に、必要な機能に応じてその他の機能をイネーブルにする必要があります。

スパムに対する保護の強化：

• スパム対策スキャンは、グローバルにイネーブルにするか、または該当するメール ポリシーごとにイネーブルにする必要があります。これには IronPort Anti-Spam 機能またはインテリジェント マルチスキャン機能のいずれかを使用できます。スパム対策の章を参照してください。

  マルウェアに対する保護の強化：

• アウトブレイク フィルタ機能はグローバルにイネーブルにするか、または該当するメール ポリシーごとにイネーブルにする必要があります。アウトブレイク フィルタに関する章を参照してください。

  URL のレピュテーションに基づいてアクションを実行するか、またはメッセージ フィルタとコンテンツ フィルタを使用してアクセプタブル ユース ポリシーを適用する場合：

• アウトブレイク フィルタ機能はグローバルにイネーブルにする必要があります。アウトブレイク フィルタに関する章を参照してください。

URL レピュテーションとカテゴリは、クラウドベースの Cisco Web セキュリティ サービスによって提供されます。

E メール セキュリティ アプライアンスは、ファイアウォール情報で URL フィルタリング サービス用に指定したポートを使用して、Cisco Web セキュリティ サービスに直接または Web プロキシ経由で接続します。通信は HTTPS 経由で相互証明書認証を使用して行われます。証明書は自動的に更新されます（サービス アップデートを参照）。必要な証明書の詳細については、URL フィルタリング機能の証明書に示されている場所から入手できるリリース ノートを参照してください。

[セキュリティサービス（Security Services）] > [サービスのアップデート（Service Updates）] ページで HTTP または HTTPS プロキシを設定している場合は、E メール セキュリティ アプライアンスが Cisco Web セキュリティ サービスとの通信時にそのプロキシ設定を使用します。プロキシ サーバの使用の詳細については、アップグレードおよびアップデートをダウンロードするためのサーバ設定を参照してください。

FIPS モードでは、Cisco Web セキュリティ サービスとの通信で FIPS 暗号方式が使用されます。

（注）	証明書はコンフィギュレーション ファイルには保存されません。

Web インタラクション トラッキング機能は、書き換えられた URL をクリックしたエンド ユーザおよび各ユーザ クリックに関連するアクション（許可、ブロック、不明）に関する情報を提供します。この機能をイネーブルにすると、Web インタラクション トラッキング レポートを使用して、クリックされた悪意のある上位 URL、悪意のある URL をクリックした上位ユーザなどの情報を確認できます。Web インタラクション トラッキング レポートの詳細については、[Web インタラクション トラッキング（Web Interaction Tracking）] ページを参照してください。

Web インタラクション トラッキング データは、クラウドベースの Cisco Aggregator Server によって提供されます。

• URL フィルタリングは、マシンごと、グループごと、またはクラスタごとに有効にできます。
• URL フィルタリングがマシン レベルでイネーブルになっている場合、URL ホワイトリストおよび Web インタラクション トラッキングをマシン、グループ、またはクラスタ レベルで設定できます。
• URL フィルタリングがグループ レベルでイネーブルになっている場合、URL ホワイトリストおよび Web インタラクション トラッキングをグループまたはクラスタ レベルで設定する必要があります。
• URL フィルタリングがクラスタ レベルでイネーブルになっている場合、URL ホワイトリストおよび Web インタラクション トラッキングをクラスタ レベルで設定する必要があります。
• メッセージ フィルタとコンテンツ フィルタのクラスタの標準ルールが適用されます。

コンテンツ フィルタを使用するには、メール ポリシーにそのフィルタを指定する必要があります。

たとえば、[成人向け（Adult）] カテゴリの URL が含まれているすべてのメッセージに対して [ドロップする（最終アクション）（Drop (Final Action)）] アクションを適用するには、[成人向け（Adult）] カテゴリが選択されている [URL カテゴリ（URL Category）] タイプの条件を追加します。

カテゴリを指定しない場合、選択したアクションはすべてのメッセージに適用されます。

クリーンな URL、ニュートラルな URL、および悪意のある URL の URL レピュテーション スコア範囲が事前定義されており、編集できません。ただし、代わりにカスタム範囲を指定できます。指定されたエンドポイントは、指定した範囲に含まれます。たとえば、-8 から -10 までのカスタム範囲を作成する場合、-8 と -10 はこの範囲に含まれます。レピュテーション スコアを判断できない URL には「スコアなし」を使用します。

（注）	ニュートラルな URL レピュテーションとは、URL は現在はクリーンであるが、攻撃に陥りやすいため、今後悪意のある URL に変化する可能性があることを示します。このような URL に対して、管理者はノンブロッキング ポリシー（クリック時の安全性評価のために Cisco Web セキュリティ プロキシにリダイレクトするなど）を作成できます

選択した URL ホワイトリストまたはグローバル URL ホワイトリストに含まれている URL は評価されません。

この条件と組み合わせるアクションは、メッセージに含まれる URL が、レピュテーション スコアまたは条件に指定されているカテゴリに一致する場合に実行されます。

メッセージに含まれる URL またはその動作を変更するには、URL レピュテーションまたは URL カテゴリのアクションのみを設定します。この目的のための別個の URL レピュテーションまたは URL カテゴリの条件またはルールは不要です。

（注）	URL レピュテーションの条件をバウンス アクションと組み合わせないでください。

ヒント	特定の URL カテゴリを確認するには、未分類の URL と誤って分類された URL の報告のリンクを参照してください。

URL レピュテーションまたは URL カテゴリのアクションを使用し、URL のレピュテーションまたはカテゴリに基づいて、メッセージに含まれる URL またはその動作を変更します。

URL レピュテーションおよび URL カテゴリのアクションには、個別の条件は必要ありません。代わりに、URL レピュテーションまたは URL カテゴリのアクションで選択するレピュテーションまたはカテゴリに基づいて、選択したアクションが適用されます。

アクションは、そのアクションに指定された条件に一致する URL だけに適用されます。メッセージに含まれるその他の URL は変更されません。

カテゴリを指定しない場合、選択したアクションはすべてのメッセージに適用されます。

クリーンな URL、ニュートラルな URL、および悪意のある URL の URL レピュテーション スコア範囲が事前定義されており、編集できません。ただし、代わりにカスタム範囲を指定できます。指定されたエンドポイントは、指定した範囲に含まれます。たとえば、-8 から -10 までのカスタム範囲を作成する場合、-8 と -10 はこの範囲に含まれます。レピュテーション スコアを判断できない URL には「スコアなし」を使用します。

（注）	ニュートラルな URL レピュテーションとは、URL は現在はクリーンであるが、攻撃に陥りやすいため、今後悪意のある URL に変化する可能性があることを示します。このような URL に対して、管理者はノンブロッキング ポリシー（クリック時の安全性評価のために Cisco Web セキュリティ プロキシにリダイレクトするなど）を作成できます

• URL を無効化して、クリックできないようにします。メッセージ受信者は、引き続きその URL を表示およびコピーできます。

• メッセージ受信者がリンクをクリックすると、トランザクションがクラウド内の Cisco Web セキュリティ プロキシにルーティングされるように URL をリダイレクトします。このプロキシでは、悪意のあるサイトである場合はアクセスがブロックされます。

  例：フィッシング攻撃で使用される悪意のあるサイトは、分類が可能となる十分な期間にわたって存在しないことがよくあるため、[未分類（Uncategorized）] カテゴリに含まれるすべての URL を Cisco Cloud Web Security プロキシ サービスにリダイレクトするとします。

  リダイレクト URL：エンドユーザのエクスペリエンスも参照してください。

  URL を別のプロキシにリダイレクトするには、次の箇条書き項目の例を参照してください。

  （注）	このリリースでは、Cisco Cloud Web Security プロキシ サービスには設定可能なオプションがありません。たとえば、調整する脅威スコアのしきい値や、脅威スコアに基づいて指定するアクションがありません。

• URL を任意のテキストで置き換えます。

  メッセージに示されるテキストに元の URL を含めるには、$URL 変数を使用します。

  次に、例を示します。

  • [違法ダウンロード（Illegal Downloads）] カテゴリのすべての URL を次のテキストに置き換えます。

    Message from your system administrator: A link to an illegal downloads web site has been removed from this message.

  • 元の URL と次の警告を組み込みます。

    WARNING! The following URL may contain malware: $URL

    次のようになります。警告：次の URL にはマルウェアが含まれている可能性があります。http://example.com。

  • カスタム プロキシまたは Web セキュリティ サービスにリダイレクトします。

    http://custom_proxy/$URL

    これは http://custom_proxy/http://example.com となります。

選択した URL ホワイトリストまたはグローバル URL ホワイトリストに含まれている URL のレピュテーションまたはカテゴリは評価されません

URL の危険を取り除くか、URL を置き換える場合は、署名メッセージで URL を無視することを選択できます。

URL レピュテーションまたは URL カテゴリのアクションを URL レピュテーションまたは URL カテゴリの条件（またはルール）と組み合わせることは推奨されません。組み合わせる条件(ルール）とアクションに異なるカテゴリが含まれている場合、一致することはありません。

ヒント	特定の URL カテゴリを確認するには、未分類の URL と誤って分類された URL の報告のリンクを参照してください。

Cisco Cloud Web Security プロキシ サービスの評価に基づいて、次の処理が行われます。

• サイトが安全である場合、ユーザはターゲット Web サイトに誘導され、リンクがリダイレクトされたことを認識しません。

• 悪意のあるサイトの場合、そのサイトは悪意のあるサイトであり、アクセスがブロックされたことを示す通知がユーザに対して表示されます。

  エンド ユーザ通知ページの外観をカスタマイズして、企業ロゴ、連絡先情報など、組織のブランディングを表示できます。サイトに悪意がある場合にエンド ユーザに表示する通知のカスタマイズを参照してください。

• Cisco Cloud Web Security プロキシ サービスとの通信がタイムアウトになった場合、ユーザに対しターゲット Web サイトへのアクセスが許可されます。
• その他のエラーが発生した場合、ユーザに対して通知が表示されます。

URL フィルタリング情報は、次のログに書き込まれます。

• メール ログ（mail_logs）。URL のスキャン結果に関する情報は（URL に応じてメッセージに対して実行されるアクション）、このログに書き込まれます。
• URL フィルタリング ログ（web_client）。URL ルックアップの試行時のエラー、タイムアウト、ネットワークの問題などに関する情報は、このログに書き込まれます。

ほとんどの情報は [情報（Info）] または [デバッグ（Debug）] レベルです。

ユーザがメッセージに含まれているリダイレクト リンクをクリックしたときに発生する動作に関する情報は、ログには記録されません。

ログの「SDS」は、URL レピュテーション サービスを示します。

問題

登録クライアント証明書の取得中に発生したエラーに関する情報レベルのアラートを受信します。

ソリューション

この証明書は、次のクラウドベースのサービスに接続する必要があります：Cisco Web セキュリティ サービス（URL レピュテーションおよび URL カテゴリを取得するため）および Cisco Aggregator Server（Web インタラクション トラッキング データを取得するため）。次のことを試してください。

1. ネットワークの問題（誤ったプロキシ設定やファイアウォールの問題など）が発生しているかどうかを確認します。
2. URL フィルタリング機能キーが有効であり、アクティブであることを確認します。
3. 問題が解決しない場合は、Cisco TAC にご連絡ください。

問題

無効な SDS の証明書に関する重大なアラートを受信します。

ソリューション

この証明書は、URL レピュテーションとカテゴリを取得する目的でクラウド内の Cisco Cloud Web Security サービスに接続するために必要です。

証明書を取得して手動でインストールする場合は、Cisco Web セキュリティ サービスとの通信用の証明書の手動設定を参照してください。

問題

[セキュリティサービス（Security Services）] > [URLフィルタリング（URL Filtering）] ページに、Cisco Web セキュリティ サービスへの接続の問題が継続的に示されます。

ソリューション

• URL フィルタリングを有効にしているが変更をまだ確定していない場合は、変更を確定します。
• Cisco Web セキュリティ サービスとの接続に関する最新のアラートを確認します。最新アラートの表示を参照してください。該当する場合は、アラート：SDS：登録証明書の取得中のエラー（Error Fetching Enrollment Certificate）およびアラート：SDS：証明書が無効です（Certificate Is Invalid）を参照してください。
• [セキュリティ サービス（Security Services）] > [サービスのアップデート（Service Updates）] で指定されたプロキシを経由して接続している場合は、これが設定されており、正常に機能していることを確認します。
• 接続を妨げている可能性があるネットワークの問題が他にあるかどうかを確認します。
• URL フィルタリング ログで、SDS クライアントへのタイムアウト要求に関連するエラーがある場合は、コマンドライン インターフェイスで websecuritydiagnostics コマンドおよび websecurityadvancedconfig コマンドを使用し、調査して変更を行います。
  • 応答所要時間または DNS ルックアップ時間が、設定されている URL ルックアップ タイムアウト以上である場合は、URL ルックアップ タイムアウトの値を適宜増やします。
  • キャッシュ サイズが高度な構成時の設定に指定されているキャパシティに近づいているかまたは達したことが診断結果として示される場合は、キャッシュ サイズを増やします。
• URL スキャナ、Cisco Web セキュリティ サービス、または SDS との通信でタイムアウト以外のエラーが発生しているかどうかを URL フィルタリング ログで確認します。ログに「SDS」と記録されている場合、これは Cisco Web セキュリティ サービスを示します。このようなログ メッセージを見つけた場合は、TAC にご連絡ください。

問題

次の警告アラートを受信：Cisco Aggregator Server に接続できません。

ソリューション

次の手順を実行します。

1. アプライアンスからサーバのホスト名を ping して、アプライアンスと Cisco Aggregator Server との接続を確認します。CLI で aggregatorconfig コマンドを使用して、Cisco Aggregator Server のホスト名を表示します。
2. [セキュリティサービス（Security Services）] > [サービスのアップデート（Service Updates）] で指定されたプロキシを経由して接続している場合は、これが設定されており、正常に機能していることを確認します。
3. 接続を妨げている可能性があるネットワークの問題が他にあるかどうかを確認します。
4. DNS サービスが実行されているかどうかを確認します。
5. 問題が解決しない場合は、Cisco TAC にご連絡ください。

問題

次の警告アラートを受信：Cisco Aggregator Server から Web インタラクション トラッキング情報を取得できません。

ソリューション

次の手順を実行します。

1. [セキュリティ サービス（Security Services）] > [サービスのアップデート（Service Updates）] で指定されたプロキシを経由して接続している場合は、これが設定されており、正常に機能していることを確認します。
2. 接続を妨げている可能性があるネットワークの問題が他にあるかどうかを確認します。
3. DNS サービスが実行されているかどうかを確認します。
4. 問題が解決しない場合は、Cisco TAC にご連絡ください。

本書で明示的に説明する変更を除き、TAC からの指示を受けずに websecurityadvancedconfig コマンドを使用して変更を行わないでください。

問題

特定のカテゴリの URL が含まれているメッセージが、そのカテゴリでの検索で見つかりませんでした。

ソリューション

予想されるメッセージが検索結果に表示されないを参照してください。

問題

マーケティング リンクを含むメッセージと悪意のある URL が、アンチスパム フィルタまたはアウトブレイク フィルタによってキャプチャされません。

ソリューション

• これは、Web サイトのレピュテーションとカテゴリは、アンチスパム フィルタとアウトブレイク フィルタがサイトについて判定するときに使用する多数の条件の 2 つに過ぎないために発生することがあります。アクション（URL の書き換え、URL のテキストでの置き換え、メッセージの隔離またはドロップなど）の実行に必要なしきい値を低くすることで、これらのフィルタの感度を上げることができます。詳細については、アウトブレイク フィルタ機能とメール ポリシー および スパム対策ポリシーの定義 を参照してください。あるいは、URL レピュテーション スコアに基づくコンテンツ フィルタまたはメッセージ フィルタを作成します。
• これは、E メール セキュリティ アプライアンスが Cisco Web セキュリティ サービスに接続できない場合にも発生することがあります。Cisco Web セキュリティ サービスに接続できないを参照してください。

問題

URL カテゴリに基づくコンテンツ フィルタまたはメッセージ フィルタで定義されているアクションは、適用されません。

ソリューション

• トレース機能を使用してメッセージ処理パスを追跡します（トレース機能についてはトラブルシューティングに関する章で説明します）。
• これは、E メール セキュリティ アプライアンスが Cisco Web セキュリティ サービスに接続できない場合に発生することがあります。Cisco Web セキュリティ サービスに接続できないを参照してください。
• 接続に問題がない場合でも、URL を分類できないか、誤って分類することがあります。未分類の URL と誤って分類された URL の報告を参照してください。URL のカテゴリを判別するときにこのサイトを使用できます。

問題

悪意のある URL が Cisco Web セキュリティ プロキシにリダイレクトされましたが、エンドユーザがそのサイトにアクセスできます。

ソリューション

これは次の場合に発生する可能性があります。

• サイトが悪意のあるサイトとして識別されていない。
• Cisco Web セキュリティ プロキシへの接続がタイムアウトした。このタイムアウトが発生することは非常にまれです。ネットワークの問題が原因で接続が妨げられていないことを確認します。

これらの URL カテゴリは、AsyncOS の最近のリリースで Web セキュリティ アプライアンスに使用されているカテゴリと同じです。

特定の URL のカテゴリを確認するには、未分類の URL と誤って分類された URL の報告に示されているサイトを参照してください。

誤って分類された URL や、未分類だが分類する必要がある URL を報告するには、次のサイトにアクセスしてください。

https://securityhub.cisco.com/web/submit_urls

送信された URL のステータスを確認するには、このページの [送信した URL のステータス（Status on Submitted URLs）] タブをクリックします。

新たな流行やテクノロジーの出現に伴い、URL カテゴリ セットが変更されることがまれにあります。たとえば、カテゴリの追加、削除、名前変更、別のカテゴリとの結合、2 つのカテゴリへの分割などです。このような変更は、既存のフィルタの結果に影響することがあるので、変更が生じた場合は、アプライアンスからアラート（[システム（System）] タイプ、[警告（Warning）] 重大度）が送信されます。このようなアラートを受信したら、コンテンツ フィルタとメッセージ フィルタを評価し、場合によっては、更新されたカテゴリで機能するようにこれらのフィルタを更新する必要があります。既存のフィルタは自動的には変更されません。確実にアラートが届くようにするには、アラート受信者の追加を参照してください。

次の変更では、カテゴリ セットの変更は不要であり、アラートは生成されません。

• 新たに分類されたサイトの定期的な分類。
• 誤って分類されたサイトの再分類