Supported domains

Any

User roles

• Admin

• Access Admin

• Network Admin

復号ポリシーのデフォルト アクションは、ポリシーのモニター以外のルールと一致しない復号可能な暗号化トラフィックについてシステムがどのように処理するかを決定します。decryption rules がまったく含まれない 復号ポリシー を展開する場合、ネットワーク上のすべての復号可能トラフィックの処理方法が、デフォルトアクションで決定されます。デフォルト アクションでブロックされた暗号化トラフィックに対しては、システムはいかなる種類のインスペクションも行わないことに注意してください。

ポリシーのデフォルト アクションを設定する方法：

1. まだ Secure Firewall Management Center にログインしていない場合は、ログインします。

2. Policies > Access Control heading > Decryption をクリックします。

3. decryption policyの名前の横にある Edit () をクリックします。

4. [デフォルトアクション（Default Action）] 行で、リストから次のいずれかのアクションをクリックします。

a decryption policyを最初に作成する場合、デフォルトアクションによって処理される接続のログは、デフォルトでは無効化されています。復号化できないトラフィックの処理ではデフォルト アクションのログ設定も適用されるため、復号化できないトラフィック用のアクションで処理される接続のログは、デフォルトでは無効化されています。

ブラウザが証明書ピニングを使用してサーバ証明書を確認する場合は、サーバ証明書に再署名しても、このトラフィックを復号できないことに注意してください。詳細については、復号ルール 注意事項と制約事項を参照してください。

復号ポリシーが TCP ステートバイパスを使用するアクセス コントロール ポリシーに関連付けられている場合、一致するトラフィックは、ポリシーで設定されている [ハンドシェイクエラー（Handshake Errors）] に対する [復号不可のアクション（Undecryptable Actions）] に基づいて処理されます。

たとえば、復号ポリシーの [ハンドシェイクエラー（Handshake Errors）] が [ブロック（Block）] に設定されている場合、ルールに一致するトラフィックはブロックされ、接続イベントのアクションはハンドシェイクエラーとして報告されます。

TCP ステートバイパスの詳細については、次を参照してください。

• TCP ステート バイパスの設定

• Bypass TCP state checks for asymetrical routing (TCP state bypass)

復号ポリシー の [詳細設定（Advanced Settings）] ページには、ポリシーが適用される Snort 3 用に設定されたすべての管理対象デバイスに適用されるグローバル設定があります。

復号ポリシー 詳細設定は、以下を実行する管理対象デバイスではすべて無視されます。

• 7.1 より前のバージョン

• Snort 2

[ESNIを要求するフローをブロックする（Block flows requesting ESNI）]

Encrypted Server Name Indication（ESNI（提案の草案へのリンク））は、クライアントが要求している内容を TLS 1.3 サーバーに伝える方法です。https://tools.ietf.org/html/draft-ietf-tls-esniSNI は暗号化されており、システムではサーバーを判別できないため、SNI 接続は必要に応じてブロックできます。

HTTP/3 アドバタイズメントを無効にする

このオプションを選択すると、TCP 接続の ClientHello から HTTP/3（RFC 9114）が削除されます。HTTP/3 は QUIC トランスポートプロトコルの一部であり、TCP トランスポートプロトコルではありません。クライアントによる HTTP/3 のアドバタイジングをブロックすると、QUIC 接続に埋め込まれている可能性のある攻撃や回避の試行に対する保護が提供されます。

信頼できないサーバー証明書をクライアントに伝播する

これは、[復号-再署名（Decrypt - Resign）] ルールアクションに一致するトラフィックにのみ適用されます。

このオプションを有効にすると、サーバー証明書が信頼されていない場合に、管理対象デバイスの認証局（CA）がサーバーの証明書の代わりに使用されます。信頼されていないサーバー証明書とは、Secure Firewall Management Center で信頼できる CA としてリストされていない証明書です。（Objects > Object Management > PKI > Trusted CAs）。

TLS 1.3復号の有効化

TLS 1.3 接続に復号ルールを適用するかどうか。このオプションを有効にしない場合、復号ルールは TLS 1.2 以下のトラフィックにのみ適用されます。「TLS 1.3 復号のベストプラクティス」を参照してください。

[適応型TLSサーバーアイデンティティプローブの有効化（Enable adaptive TLS server identity probe）]

TLS 1.3 復号が有効な場合、自動的に有効になります。 プローブは、サーバーとの部分的な TLS 接続であり、その目的はサーバー証明書を取得してキャッシュすることです。（証明書がすでにキャッシュされている場合、プローブは確立されません。）

復号ポリシーが関連付けられているアクセス コントロール ポリシーで TLS 1.3 サーバーアイデンティティ検出が無効になっている場合、サーバー名指定（SNI）の使用が試行されますが、これは信頼性が高くありません。

適応型 TLS サーバー アイデンティティ プローブは、以前のリリースのようにすべての接続では発生せず、次のいずれかの条件で発生します。

• 証明書の発行者：復号ルールの DN ルール条件で発行者 DN の値が一致する場合に一致します。

  詳細については、識別名（DN）ルールの条件を参照してください。

• 証明書ステータス：復号ルールでいずれかの証明書ステータス条件が一致する場合に一致します。

  詳細については、証明書ステータスの Decryption rule条件を参照してください。

• 内部/外部証明書：内部証明書は、[復号-既知のキー（Decrypt - Known Key）] ルールアクションで使用される証明書と照合できます。外部証明書は、証明書ルール条件で照合できます。

  詳細については、既知のキーでの復号（着信トラフィック）および証明書ルールの条件を参照してください。

• アプリケーション ID：アクセス コントロール ポリシーまたは復号ポリシーのアプリケーションルール条件と照合できます。

  詳細については、アプリケーションルールの条件を参照してください。

• URL カテゴリ：アクセス コントロール ポリシーの URL ルール条件と照合できます。

  詳細については、URL ルール条件を参照してください。

（注）	[適応型TLSサーバーでの検出モードの有効化（Enable adaptive TLS server discovery mode）] は、AWS に展開されたどの Secure Firewall Threat Defense Virtual でもサポートされていません。Secure Firewall Management Center で管理されているそのような管理対象デバイスがある場合、接続イベント PROBE_FLOW_DROP_BYPASS_PROXY は、デバイスがサーバー証明書の抽出を試みるたびに増加します。

QUIC復号の有効化

QUIC プロトコルを介した HTTP/3 を使用する接続に復号ルールを適用するかどうか。QUIC 接続を復号すると、システムは侵入、マルウェア、またはその他の問題についてセッションの内容を検査できます。また、アクセス コントロール ポリシーの特定の基準に基づいて、復号された QUIC 接続のきめ細かい制御とフィルタリングを適用することもできます。QUIC のサポートは、RFC 9000、9001、9002、9114、9204 に準拠しています。

QUIC 復号を実装する場合は、次の点を考慮してください。

• 高可用性またはクラスタ化されたデバイスでは、QUIC 復号は、接続が同じノード上にとどまっている場合にのみ機能します。接続がフェールオーバーした場合、または別のノードに転送された場合、接続は切断され、再度確立する必要があります。マルチインスタンスは制限なしでサポートされています。

• QUIC トラフィックに適用されるルールには、宛先ポート 443 の UDP プロトコルが含まれます。

• QUIC トラフィックに適用されるアクセス制御ルールには、HTTP/3 または QUIC プロトコルが明示的または暗黙的に含まれます。

QUIC 復号には次の制限が適用されます。

• QUIC 復号は、Firewall Threat Defense 7.6 以降にのみ適用されます。下位リリースを実行しているデバイスは、QUIC 接続を復号できません。

• Chromium スタック（Google Chrome、Opera、Edge）を使用するブラウザからの接続は、アウトバウンドトラフィックに対して復号できません。ただし、同じブラウザからの着信トラフィックは復号できます。

• RFC 9000 に記載されている接続の移行はサポートされません。QUIC の接続 ID の概念により、エンドポイントはアドレスが変更された場合に同じ接続を保持できます。

• キーの更新、セッションの再開、および QUIC バージョン 2 はサポートされません。

• インタラクティブブロックおよびリセット付きインタラクティブブロック（アクセス コントロール ルール内）はサポートされていません。これらのアクションは、[ブロック（Block）] および [リセット付きブロック（Block with Reset）] として機能します。

• 接続ごとのアクティブな接続 ID は 5 に制限されます。必要に応じて、デバイスの CLI で system support quic-tuning および system support quic-tuning-reset コマンドを使用して、これらの制限を変更できます。