高度なTLSトラフィック検査を有効にする

• これにより、TLS資格情報を手動で設定する必要がなくなります。
• SSLインスペクションよりも多くの暗号をサポートしており、Perfect Forward Secrecy (PFS) 暗号も含まれます。詳細については、サポートされている暗号スイートを参照してください。

• [インバウンドTLS/SSLトラフィックの検査]は、インバウンドトラフィックに対してデフォルトで有効になっています。
• [送信TLS/SSLトラフィックの検査]はデフォルトで送信トラフィックに対して有効になっており、Deep Security Agentバージョン20.0.1-12510 (20 LTS Update 2024-06-19) 以降でサポートされています。

高度なTLSトラフィック監視を使用

SSLインスペクションを設定する（レガシー）

1. Workload Securityコンソールで、設定するコンピュータを選択し、[詳細] をクリックして [コンピュータ] エディタを開きます。
2. [コンピュータ]エディターの左ペインで、[Intrusion Prevention ] → [ Advanced ] → [ View SSL Configurations,]をクリックし、[View SSL Configurations]をクリックして[SSL computer Configurations]ウィンドウを開きます。
3. [New] をクリックして、[SSL Configuration] ウィザードを開きます。
4. このコンピュータで設定を適用するインタフェースを指定します。
   • このコンピュータのすべてのインタフェースに適用するには、[すべてのインタフェース] を選択します。
   • 特定のインタフェースに適用するには、[特定のインタフェース] を選択します。
5. [Port] または [Ports List] を選択してリストを選択し、 [Next]をクリックします。
6. [IP選択] 画面で、[すべてのIP] を選択するか、SSLインスペクションを実行する [特定のIP] を指定し、[次へ] をクリックします。
7. [Credentials] 画面で、認証情報の入力方法を選択します。
   • [今すぐ資格情報をアップロードします]
   • 資格情報はコンピュータにあります]
     資格情報ファイルには、秘密鍵が含まれている必要があります。
8. 今すぐ資格情報をアップロードするオプションを選択した場合、資格情報の種類、場所、およびパスフレーズ (必要な場合) を入力してください。資格情報がコンピュータにある場合は、資格情報の詳細を提供してください。
   • コンピュータに格納されているPEMまたはPKCS#12資格情報形式を使用する場合は、その資格情報ファイルの格納場所と必要に応じてファイルのパスフレーズを入力します。
   • Windows CryptoAPI資格情報を使用する場合は、コンピュータで見つかった資格情報のリストから対象の資格情報を選択します。
9. この設定の名前と説明を入力します。
10. 概要を確認し、[SSL設定]ウィザードを閉じます。設定操作の概要を確認し、[終了]をクリックしてウィザードを閉じます。

ポート設定を変更する

1. コンピュータの [詳細] 画面の [侵入防御ルール] へ進み、このコンピュータに適用されている侵入防御ルールのリストを参照します。
2. ルールを [アプリケーションの種類] で並べ替え、Web Server Commonアプリケーションの種類を見つけます。これらの変更は、類似のアプリケーションタイプに対しても実行できます。
3. アプリケーションの種類のルールを右クリックし、[アプリケーションの種類プロパティ] をクリックします。
4. 継承された [HTTP] ポートリストを上書きして、SSL設定のセットアップ時に定義したポートとポート80を追加します。ポートはカンマ区切りで入力します。たとえば、SSL設定でポート9090を使用する場合は、9090, 80と入力します。
5. パフォーマンスを向上させるために、[設定] タブで、[継承 と Webサーバからの応答を監視] の選択を解除します。
6. [OK] をクリックして画面を閉じます。

トラフィックがPerfect Forward Secrecy (PFS)で暗号化されている場合に侵入防御を使用する

1. インターネットとロードバランサまたはリバースプロキシ間のTLSトラフィックにPerfect Forward Secrecyを使用します。
2. ロードバランサまたはリバースプロキシでPerfect Forward Secrecyセッションを終了します。
3. ロードバランサーまたはリバースプロキシと、Webサーバまたはアプリケーションサーバ間のトラフィックには、非PFS暗号スイートを使用してください (SSLインスペクションがサポートする暗号スイートを参照)。これにより、サーバ上の侵入防御モジュールがTLSセッションを復号して検査することができます。
4. Perfect Forward Secrecyを使用しないアプリケーションサーバポートのトラフィックをWebサーバに制限します。

Diffie-Hellman暗号化の特別な注意事項

1. サーバの設定ファイルを開きます。 Webサーバ設定ファイルのファイル名と場所は、オペレーティングシステムとディストリビューションによって異なります。たとえば、パスは次のようになります。
   • RHEL4での初期インストールの場合: /etc/httpd/conf.d/ssl.conf
   • Red Hat Linux上のApache 2.2.2の場合: /apache2/conf/extra/httpd-ssl.conf
2. 設定ファイルで、"SSLCipherSuite"変数を見つけてください。
3. この文字列が既に表示されていない場合、これらのフィールドに!DH:!EDH:!ADH:を追加します ("!"はApacheにこの暗号を使用しないように指示します)。

SSLCipherSuite !DH:!EDH:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL

サポートされている暗号化スイート

サポートされているプロトコル

• TLS 1.0
• TLS 1.1
• TLS 1.2
• TLS 1.3 (Linuxのみ)