SSL ポリシーの使用を開始するには
ここでは、SSL ポリシーの作成、設定、管理、およびロギングの概要を示します。
- SSL ポリシーの概要
- SSL ポリシーのデフォルト アクション
- 復号できないトラフィックのデフォルト処理オプション
- SSL ポリシーの管理
- 基本 SSL ポリシーの作成
- 復号できないトラフィックのデフォルト処理の設定
- SSL ポリシーの編集
SSL ポリシーの概要
SSL ポリシーは、ネットワーク上の暗号化トラフィックをシステムがどのように処理するかを決定します。SSL ポリシーを、1 つまたは複数設定できます。SSL ポリシーをアクセス コントロール ポリシーに関連付け、そのアクセス コントロール ポリシーを管理対象デバイスに展開します。デバイスで TCP ハンドシェイクが検出されると、アクセス コントロール ポリシーは最初にトラフィックを処理して検査します。次に TCP 接続上で SSL 暗号化セッションが識別された場合は、SSL ポリシーが引き継いで、暗号化トラフィックの処理および復号を行います。
 注意 | SSL ポリシーを追加または削除すると 設定の変更を展開すると Snort プロセスが再起動され、一時的にトラフィックのインスペクションが中断されます。この中断中にトラフィックがドロップされるか、それ以上インスペクションが行われずに受け渡されるかは、管理対象デバイスのモデルおよびトラフィックの処理方法に応じて異なります。詳細については、Snort® の再起動によるトラフィックの動作を参照してください。 |
最も単純な SSL ポリシーは、次の図のように、単一のデフォルト アクションで暗号化トラフィックを処理するように展開先のデバイスに指示します。デフォルト アクションの設定では、それ以上のインスペクションなしで復号可能トラフィックをブロックするか、復号されていない復号可能トラフィックをアクセス コントロールで検査するように指定できます。システムは、暗号化されたトラフィックを許可するか、またはブロックできます。デバイスは復号できないトラフィックを検出すると、トラフィックをそれ以上のインスペクションなしでブロックするか、あるいは復号しないままにして、アクセス コントロールによる検査を行います。
より複雑な SSL ポリシーでは、各種の復号できないトラフィックをさまざまなアクションで処理できます。また、認証局（CA）が証明書を発行したか、または暗号化証明書を信頼するかどうかに応じてトラフィックを制御したり、SSL ルールを使ってきめ細かな暗号化トラフィックの制御およびログの記録を行ったりできます。これらのルールには、単純なものや複雑なものがあり、複数の基準を使用して暗号化トラフィックの照合および検査を行います。
SSL ポリシーのデフォルト アクション
SSL ポリシーのデフォルト アクションは、ポリシーのモニタ以外のルールと一致しない復号可能な暗号化トラフィックについてシステムがどのように処理するかを決定します。SSL ルールがまったく含まれない SSL ポリシーを適用する場合、ネットワーク上のすべての復号可能トラフィックの処理方法を、デフォルト アクションが決定します。デフォルト アクションでブロックされた暗号化トラフィックに対しては、システムはいかなる種類のインスペクションも行わないことに注意してください。
|
デフォルト アクション |
|
|---|---|
復号できないトラフィックのデフォルト処理オプション
SSL ポリシーを最初に作成する場合、デフォルト アクションによって処理される接続のログは、デフォルトでは無効化されています。復号できないトラフィックの処理ではデフォルト アクションのログ設定も適用されるため、復号できないトラフィックのアクションで処理される接続のログは、デフォルトでは無効化されています。
ブラウザが証明書ピニングを使用してサーバ証明書を確認する場合は、サーバ証明書に再署名しても、このトラフィックを復号できないことに注意してください。このトラフィックはアクセス コントロールを使用して引き続き検査できるため、復号できないトラフィック アクションでは処理されません。このトラフィックを許可するには、サーバ証明書の共通名または識別名と一致させるために、[復号しない（Do not decrypt）] アクションを使用して SSL ルールを設定します。
 （注） | クライアントと管理対象デバイスの間に HTTP プロキシがあって、クライアントとサーバが CONNECT HTTP メソッドを使用してトンネル SSL 接続を確立する場合、システムはトラフィックを復号化できません。システムによるこのトラフィックの処理法は、ハンドシェイク エラー（Handshake Errors）の復号できないアクションが決定します。 |
SSL ポリシーの管理
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
すべて（NGIPSv を除く） |
任意（Any） |
Admin/Access Admin/Network Admin |
マルチドメイン展開では、編集できる現在のドメインで作成されたポリシーが表示されます。また、編集できない先祖ドメインで作成されたポリシーも表示されます。下位のドメインで作成されたポリシーを表示および編集するには、そのドメインに切り替えます。
| ステップ 1 | を選択します。 |
| ステップ 2 | SSL ポリシーを管理します。
|
）をクリックします。
）をクリックします。
）をクリックします。
）が表示される場合、設定は先祖ドメインに属しており、設定を変更する権限がありません。
）をクリックします（基本 SSL ポリシーの作成
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
すべて（NGIPSv を除く） |
任意（Any） |
Admin/Access Admin/Network Admin |
| ステップ 1 | を選択します。 |
| ステップ 2 | [新しいポリシー（New Policy）] をクリックします。 |
| ステップ 3 | [名前（Name）] に一意のポリシー名を入力し、オプションで [説明（Description）] にポリシーの説明を入力します。 |
| ステップ 4 | [デフォルト アクション（Default Action）] を指定します。SSL ポリシーのデフォルト アクションを参照してください。 |
| ステップ 5 | ポリシーのデフォルト アクションによる接続のロギングの説明に従って、デフォルト アクションのロギング オプションを設定します。 |
| ステップ 6 | [保存（Save）] をクリックします。 |
-
SSL ポリシーに追加するルールを設定します。SSL ルールの作成および変更を参照してください。
-
復号化できないトラフィックのデフォルト処理を設定します。復号できないトラフィックのデフォルト処理の設定を参照してください。
-
復号化できないトラフィックのデフォルト処理のロギング オプションを設定します。ポリシーのデフォルト アクションによる接続のロギングを参照してください。
-
アクセス制御への他のポリシーの関連付けの説明に従って、SSL ポリシーをアクセス コントロール ポリシーに関連付けます。
-
設定変更を展開します。設定変更の導入を参照してください。
復号できないトラフィックのデフォルト処理の設定
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
すべて（NGIPSv を除く） |
任意（Any） |
Admin/Access Admin/Network Admin |
システムによる復号や検査ができない特定タイプの暗号化トラフィックの処理については、SSL ポリシー レベルで、復号できないトラフィックのアクションを設定できます。SSL ルールがまったく含まれない SSL ポリシーを展開する場合、ネットワーク上のすべての復号できない暗号化トラフィックの処理方法は、復号できないトラフィックのアクションによって決定されます。
| ステップ 1 | SSL ポリシー エディタで、[復号できないアクション（Undecryptable Actions）] タブをクリックします。 |
| ステップ 2 | 各フィールドで、SSL ポリシーのデフォルト アクションを選択するか、復号できないタイプのトラフィックに対して実行する別のアクションを選択します。詳細については、復号できないトラフィックのデフォルト処理オプションと SSL ポリシーのデフォルト アクションを参照してください。 |
| ステップ 3 | [保存（Save）] をクリックしてポリシーを保存します。 |
次の作業
-
復号できないトラフィックのアクションで処理される接続に関するデフォルト ロギングを設定します。ポリシーのデフォルト アクションによる接続のロギングを参照してください。
-
設定変更を展開します。設定変更の導入を参照してください。
SSL ポリシーの編集
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
任意（Any） |
任意（Any） |
すべて（NGIPSv を除く） |
任意（Any） |
Admin/Access Admin/Network Admin |
| ステップ 1 | を選択します。 |
| ステップ 2 | 設定する SSL ポリシーの横にある編集アイコン（ ）をクリックします。
|
| ステップ 3 | SSL ポリシーを設定します。
|
| ステップ 4 | SSL ポリシー内のルールを編集します。
|
| ステップ 5 | 設定を保存または廃棄します。 |
次の作業
-
SSL ポリシーがアクセス コントロール ポリシーにまだ関連付けられていない場合は、アクセス制御への他のポリシーの関連付けの説明に従って関連付けます。
-
設定変更を展開します。設定変更の導入を参照してください。
フィードバック