復号ルールとポリシーの例

この章は、このガイドで説明されている概念に基づいて作成されており、ベストプラクティスおよび推奨事項に従う復号ルールを使用した SSL ポリシーの特定の例を提供します。この例を実際の状況に当てはめ、組織のニーズに合わせて調整してください。

要約すると、次のようになります。

信頼できるトラフィック（圧縮された大規模なサーバーバックアップの転送など）の場合は、事前フィルタ処理とフローオフロードを使用して、検査を完全にバイパスします。
特定の IP アドレスに適用されるものなど、迅速に評価できる復号ルールを、「最初」に配置します。
処理（[復号-再署名（Decrypt - Resign）]）を必要とする復号ルールと、安全ではないプロトコルバージョンおよび暗号スイートをブロックするルールを「最後」に配置します。

復号ルールベストプラクティス

この章では、復号ルールを持つ復号ポリシーの例を示し、シスコのベストプラクティスと推奨事項について説明します。まず、復号ポリシーとアクセスコントロールポリシーの設定について説明し、次にすべてのルール、および特定の方法でルールを順序付けすることを推奨する理由について説明します。

一般的なガイドライン

トラフィックの復号には、処理とメモリが必要です。トラフィックを過剰に復号すると、パフォーマンスに影響を与える可能性があります。復号ポリシーとルールを設定する前に、トラフィックを復号する場合としない場合。
復号から除外する必要があるトラフィックの中には、性質上復号不可能なトラフィックがあります。通常、復号不可能なトラフィックは TLS/SSL 証明書ピンニングを使用しています。。

以下は、この章で説明する復号ルールです。

サンプルの SSL ポリシーには、最もシンプルなルールから最も複雑なルールへと順序付けられた複数のルールがあります。そのため、最もシンプルなルールに一致するトラフィックは迅速に処理され、より複雑なルールと一致するトラフィックに多くの時間が費やされます。

プレフィルタとフローオフロードによる検査のバイパス

プレフィルタはアクセス制御の最初のフェーズで、システムがより大きいリソース消費の評価を実行する前に行われます。プレフィルタリングはシンプルかつ高速で、初期に実行されます。プレフィルタリングでは、限定された外部ヘッダーを基準にしてトラフィックを迅速に処理します。内部ヘッダーを使用し、より堅牢なインスペクション機能を備えた後続の評価とこのプレフィルタリングを比較します。

次の目的でプレフィルタリングを設定します。

パフォーマンスの向上：インスペクションを必要としないトラフィックの除外は、早ければ早いほど適切です。特定のタイプのプレーンテキストをファストパスまたはブロックし、カプセル化された接続を検査することなく外側のカプセル化ヘッダーに基づいてトンネルをパススルーします。早期処理のメリットがあるその他の接続についても、ファストパスやブロックをすることができます。
カプセル化トラフィックに合わせたディープインスペクションの調整：同じ検査基準を使用してカプセル化接続を後で処理できるように、特定のタイプのトンネルを再区分できます。アクセス制御はプレフィルタ後に内側のヘッダーを使用するため、再区分は必須です。

Firepower 4100/9300 または Cisco Secure Firewall 3100/4200 が使用可能な場合は、大規模なフローオフロードを使用できます。フローオフロードは、信頼できるトラフィックに検査エンジンをバイパスさせてパフォーマンスを向上させる手法です。たとえば、データセンターでサーバーのバックアップを転送するために使用できます。

[復号しない（Do Not Decrypt）] のベストプラクティス

評価期間中のトラフィックのロギング

通常、[復号しない（Do Not Decrypt）] ルールではロギングを無効化にする必要がありますが、ルールに一致するトラフィックが不明な場合は、ロギングを一時的に有効にすることができます。正しいトラフィックが一致していることを確認したら、それらのルールのロギングを無効にします。

復号できないトラフィックのガイドライン

Web サイト自体が復号できない、または Web サイトで TLS/SSL ピン留めが使用されている場合、特定のトラフィックを復号できないと判断できます。SSL ピン留めでは、ブラウザにエラーが表示されることなく、復号されたサイトへのユーザーアクセスが効果的に阻止されます。

証明書のピン留めの詳細については、TLS/SSL のピニングについてを参照してください。

そのようなサイトのリストは次のように管理されています。

Cisco-Undecryptable-Sites という名前の識別名（DN）グループ
ピン留めされた証明書または復号不可のアプリケーションフィルタ

トラフィックを復号しており、ユーザーが復号されたサイトにアクセスしたときにブラウザにエラーが表示されないようにする場合は、復号ルールの下部に [復号しない（Do Not Decrypt）] ルールを設定することを推奨します。

ピン留めされた証明書のアプリケーションフィルタの設定例を次に示します。

アプリケーションタイプのピン留めされた証明書を [復号しない（Do Not Decrypt）] ルールで使用して、ユーザーがピン留めされたサイトを参照するときにエラーが表示されないようにします。

[復号-再署名（Decrypt - Resign）] と [復号-既知のキー（Decrypt - Known Key）] のベストプラクティス

このトピックでは、[復号-再署名（Decrypt - Resign）] と [復号-既知のキー（Decrypt - Known Key）] のベストプラクティスについて説明します。復号ルール

バージョンまたは暗号スイートのルール条件を使用しない

重要	[復号 - 再署名（Decrypt - Resign）] または [復号 - 既知のキー（Decrypt - Known Key）] ルールアクションを含むルールでは、[暗号スイート（Cipher Suite）] または [バージョン（Version）] ルール条件を使用しないでください。これらの条件をルールで他のルールアクションとともに使用すると、システムの ClientHello 処理に干渉し、予測できないパフォーマンスが生じる可能性があります。

[復号 - 再署名（Decrypt - Resign）] の証明書のピン留めによるベストプラクティス

一部のアプリケーションでは、アプリケーション自体に元のサーバー証明書のフィンガープリントを埋め込む、ピニングまたは証明書ピニングと呼ばれる技術が使用されます。TLS/SSL そのため、[復号 - 再署名（Decrypt - Resign）] アクションで復号ルールを設定した場合は、アプリケーションが管理対象デバイスから再署名された証明書を受信すると、検証が失敗し、接続が中断されます。

TLS/SSL のピン留めは中間者攻撃を避けるために使用されるため、防止または回避する方法はありません。ピニングトラフィックが復号対象から除外されるように、[復号 - 再署名（Decrypt - Resign）] ルールの前に [復号しない（Do Not Decrypt）] ルールを追加することを推奨します。

証明書のピン留めの詳細については、『Cisco Secure Firewall Management Center デバイス設定ガイド』の TLS/SSL のピニングについて

[復号 - 既知のキー（Decrypt - Known Key）] のベストプラクティス

[復号 - 既知のキー（Decrypt - Known Key）] ルールアクションは、内部サーバーに向かうトラフィックに使用するアクションであるため、常に復号ルール（[ネットワーク（Networks）] ルール条件）に宛先ネットワークを追加するか、アクセスコントロールルール（[ゾーン（Zones）] タブページ）にセキュリティゾーンを追加する必要があります。その結果、サーバーが配置されているネットワークまたはインターフェイスにトラフィックが直接送信され、ネットワーク上のトラフィックが減少します。

最初に配置する復号ルール

パケットの最初の部分に一致するルールを最初に配置します。例として、IP アドレスを参照するルール（[ネットワーク（Networks）] ルール条件）があります。

最後に配置する復号ルール

次のルール条件を持つルールは最後に配置する必要があります。そのようなルールの場合、システムでトラフィックを長時間検査する必要があるためです。

アプリケーション
カテゴリ
証明書
識別名（DN）
証明書ステータス
暗号スイート
バージョン

推奨ポリシーとルールの設定

推奨のポリシー設定は次のとおりです。

復号ポリシー：
- デフォルトアクションは [復号しない（Do Not Decrypt）] です。
- ロギングをイネーブルにします。
- [SSL v2セッション（SSL v2 Session）] と [圧縮されたセッション（Compressed Session）] の両方で、[復号不可のアクション（Undecryptable Actions）] を [ブロック（Block）] に設定します。
- ポリシーの詳細設定で TLS 1.3 復号とを有効にします。
復号ルール：[復号しない（Do Not Decrypt）] ルールアクションが使用されるルールを除く、すべてのルールのロギングを有効にします。（これは任意です。復号されていないトラフィックに関する情報を表示する場合は、そのルールのロギングも有効にします。）
アクセスコントロールポリシー：
- 復号ポリシーをアクセスコントロールポリシーに関連付けます（関連付けをしないと、復号ポリシーとルールは機能しません）。
- デフォルトのポリシーアクションを [侵入防御：バランスの取れたセキュリティと接続（Intrusion Prevention: Balanced Security and Connectivity）] に設定します。
- ロギングをイネーブルにします。

推奨ポリシーとルールの設定

推奨のポリシー設定は次のとおりです。

復号ポリシー：
- デフォルトアクションは [復号しない（Do Not Decrypt）] です。
- ロギングをイネーブルにします。
- [SSL v2セッション（SSL v2 Session）] と [圧縮されたセッション（Compressed Session）] の両方で、[復号不可のアクション（Undecryptable Actions）] を [ブロック（Block）] に設定します。
- ポリシーの詳細設定で TLS 1.3 復号とを有効にします。
復号ルール：[復号しない（Do Not Decrypt）] ルールアクションが使用されるルールを除く、すべてのルールのロギングを有効にします。（これは任意です。復号されていないトラフィックに関する情報を表示する場合は、そのルールのロギングも有効にします。）
アクセスコントロールポリシー：
- 復号ポリシーをアクセスコントロールポリシーに関連付けます（関連付けをしないと、復号ポリシーとルールは機能しません）。
- デフォルトのポリシーアクションを [侵入防御：バランスの取れたセキュリティと接続（Intrusion Prevention: Balanced Security and Connectivity）] に設定します。
- ロギングをイネーブルにします。

復号ポリシーの設定　

復号ポリシーに推奨される次のベストプラクティス設定の設定方法。

デフォルトアクションは [復号しない（Do Not Decrypt）] です。
ロギングをイネーブルにします。
[SSL v2セッション（SSL v2 Session）] と [圧縮されたセッション（Compressed Session）] の両方で、[復号不可のアクション（Undecryptable Actions）] を [ブロック（Block）] に設定します。
ポリシーの詳細設定で TLS 1.3 復号とを有効にします。

手順

ステップ 1	まだ Secure Firewall Management Center にログインしていない場合は、ログインします。
ステップ 2	[ポリシー（Policies）] > [アクセスコントロール（Access Control）] > [復号（Decryption）] をクリックします。
ステップ 3	復号ポリシーの横にある [編集（Edit）]（）をクリックします。
ステップ 4	ページの下部にある [デフォルトのアクション（Default Action）] リストから、[復号しない（Do Not Decrypt）] をクリックします。次の図は例を示しています。
ステップ 5	行の最後で、[ロギング（Logging）]（）をクリックします。
ステップ 6	[接続の終了時にロギングする（Log at End of Connection）] チェックボックスをオンにします。次の図は例を示しています。
ステップ 7	[OK] をクリックします。
ステップ 8	[保存（Save）] をクリックします。
ステップ 9	[復号不可のアクション（Undecryptable Actions）] タブをクリックします。
ステップ 10	[SSLv2セッション（SSLv2 Session）] と [圧縮セッション（Compressed Session）] のアクションは [ブロック（Block）] に設定することを推奨します。ネットワークで SSLv2 を許可しないでください。圧縮された TLS/SSL トラフィックはサポートされていないためブロックする必要があります。各オプションの設定について詳しくは、復号できないトラフィックのデフォルト処理オプション」を参照してください。次の図は例を示しています。
ステップ 11	[詳細設定（Advanced Settings）] タブページをクリックします。
ステップ 12	[TLS 1.3復号の有効化（Enable TLS 1.3 Decryption）] チェックボックスをオンにします。他のオプションの詳細については、復号ポリシーの詳細オプション
ステップ 13	ページの上部にある [保存（Save）] をクリックします。

次のタスク

復号ルールの設定　の説明に従い、復号ルールを設定し、各ルールを設定します。

アクセスコントロールポリシーの設定

アクセスコントロールポリシーに推奨される次のベストプラクティス設定の設定方法：

復号ポリシーをアクセスコントロールポリシーに関連付けます（関連付けをしないと、復号ポリシーとルールは機能しません）。
デフォルトのポリシーアクションを [侵入防御：バランスの取れたセキュリティと接続（Intrusion Prevention: Balanced Security and Connectivity）] に設定します。
ロギングをイネーブルにします。

手順

ステップ 1	まだ Secure Firewall Management Center にログインしていない場合は、ログインします。
ステップ 2	[ポリシー（Policies）] > [アクセス制御（Access Control）] をクリックします。
ステップ 3	アクセスコントロールポリシーの横にある [編集（Edit）]（）をクリックします
ステップ 4	（復号ポリシーがまだ設定されていない場合は、後で設定できます）。次の図に示すように、ページの上部にある [復号（Decryption）] リンクをクリックします。リストから、有効にする復号ポリシーの名前をクリックします [Apply] をクリックします。ページの上部にある [保存（Save）] をクリックします。
ステップ 5	ページの下部にある [Default Action（デフォルトアクション）] リストで、[侵入防御：バランスの取れたセキュリティと接続（Intrusion Prevention: Balanced Security and Connectivity）] をクリックします。次の図は例を示しています。
ステップ 6	[ロギング（Logging）]（）をクリックします。
ステップ 7	[接続の終了時にロギングする（Log at End of Connection）] チェックボックスをオンにして、[OK] をクリックします。
ステップ 8	[保存（Save）] をクリックします。

次のタスク

復号ルール例を参照してください。