TLSトラフィックの検査

侵入防御モジュールに対して 高度なTLSトラフィック検査 を有効にできます。

高度なTLSトラフィック検査とSSL検査では、圧縮トラフィックはサポートされません。

侵入防御モジュールの概要については、「侵入防御を使用した攻撃コードのブロック」を参照してください。

高度なTLSトラフィック検査を有効にする

高度なTLSトラフィック検査には、従来のSSL検査の実装に比べていくつかの利点があります。

• TLS資格情報を手動で設定する必要がなくなります。
• Perfect Forward Secrecy（PFS）暗号など、SSLインスペクションよりも多くの暗号をサポート

サポートされる暗号の完全なリストについては、サポートされる暗号化スイートを参照してください。

侵入防御モジュールをオンにすると、高度なTLSトラフィック検査が初期設定で有効になります。この機能のステータスを確認するには、ポリシープロパティ[ポリシー]→[侵入防御]→[一般]→[高度なTLSトラフィック検査]ます。

高度なTLSトラフィック検査を使用してトラフィックを検査する

高度なTLSトラフィック検査が機能するための設定は必要ありません。現在、WindowsおよびLinuxプラットフォームの受信トラフィックのみがサポートされています。詳細については、Platform によってサポートされる機能を参照してください。

Windowsでは、高度なTLSトラフィック検査は、WindowsネイティブのTLS通信チャネル（Secure Channel）を使用するトラフィックのみをサポートします。たとえば、次のアプリケーションによって生成されたトラフィックがあるとします。

• IIS
• Microsoft Exchange
• リモートデスクトッププロトコル（RDP）

Linuxでは、高度なTLSトラフィック検査は、人気のあるWebアプリケーションであるNGINX、Apache HTTP Server、およびHAProxyによるトラフィックのみをサポートします。

高度なTLSトラフィック検査でサポートされていないTLSトラフィック、または他のOSのTLSトラフィックを検査する必要がある場合は、代わりに で従来のSSL検査を設定できます。

SSLインスペクションを設定する（レガシー）

保護対象のコンピュータの1つ以上のインタフェースで、特定の資格情報とポートのペアに対してSSLインスペクションを設定できます。

資格情報は、PKCS#12またはPEM形式でインポートできます。資格情報ファイルには、秘密鍵が含まれている必要があります。Windowsコンピュータでは、CryptoAPIを直接使用できます。

1. Workload Security コンソールで、設定するコンピュータを選択し、[ 詳細 ]をクリックしてコンピュータエディタを開きます。
2. コンピュータエディタの左側の画面で、[侵入防御]→[詳細]→[SSL設定の表示] の順にクリックし、[SSL設定の表示] をクリックして [SSL設定] 画面を開きます。
3. [新規] をクリックして、SSL設定ウィザードを開きます。
4. このコンピュータで設定を適用するインタフェースを指定します。
   • このコンピュータのすべてのインタフェースに適用するには、[すべてのインタフェース] を選択します。
   • 特定のインタフェースに適用するには、[特定のインタフェース] を選択します。
5. Port または Ports List を選択してリストを選択し、 Nextをクリックします。
6. [IP選択] 画面で、[すべてのIP] を選択するか、SSLインスペクションを実行する [特定のIP] を指定し、[次へ] をクリックします。

7. [資格情報] 画面で、資格情報を指定する方法を選択します。

   • 今すぐ資格情報をアップロードします

   • 資格情報はコンピュータにあります

     資格情報ファイルには、秘密鍵が含まれている必要があります。

8. 今すぐ資格情報をアップロードするオプションを選択する場合、資格情報の種類、格納場所、および必要に応じてパスフレーズを入力します。
   資格情報がコンピュータにある場合、資格情報の詳細を指定します。

   • コンピュータに格納されているPEMまたはPKCS#12資格情報形式を使用する場合は、その資格情報ファイルの格納場所と必要に応じてファイルのパスフレーズを入力します。
   • Windows CryptoAPI資格情報を使用する場合は、コンピュータで見つかった資格情報のリストから対象の資格情報を選択します。

9. この設定の名前と説明を入力します。

10. 概要を確認して、SSL設定ウィザードを閉じます。設定操作の概要を読み、[ Finish ]をクリックしてウィザードを閉じます。

ポート設定を変更する

エージェント対応ポートのフィルタリングを適切な 侵入防御 を実行していることを保証するために、コンピュータのポート設定を変更します。加えた変更は、Agentコンピュータ上の特定のアプリケーションの種類 (Webサーバ共通など) に適用されます。この変更は、他のコンピュータ上のアプリケーションの種類には影響しません。

1. このコンピュータに適用されている侵入防御ルールのリストを表示するには、コンピュータの[詳細]画面で 侵入防御ルール に移動します。
2. ルールを [アプリケーションの種類] 別にソートし、「Webサーバ共通」のアプリケーションの種類を探します(同様のアプリケーションの種類に対しても、これらの変更を加えることができます)。
3. アプリケーションの種類のルールを右クリックし、[アプリケーションの種類プロパティ] をクリックします。
4. 継承された「HTTP」ポートリストをオーバーライドして、SSLの設定時に定義したポートとポート80をこのポートリストに追加します。ポートはカンマ区切りの値として入力します。たとえば、SSLの設定でポート9090を使用する場合は、「9090, 80」と入力します。
5. パフォーマンスを向上させるために、[設定] タブで、[継承] と [Webサーバからの応答を監視] の選択を解除します。
6. [OK] をクリックして画面を閉じます。

トラフィックがPerfect Forward Secrecy (PFS)で暗号化されている場合に侵入防御を使用する

Perfect Forward Secrecy (PFS) を使用することで、仮に後でサーバの秘密鍵が侵害された場合に復号できない通信チャネルを作成できます。Perfect Forward Secrecyの目的はセッション終了後の復号化を防ぐことであるため、 侵入防御 モジュールがSSLインスペクションでトラフィックを確認することも防止します。

侵入防御 モジュールは、高度なTLSトラフィック検査機能を使用して、PFS暗号で暗号化されたトラフィックを追加設定なしで分析できます。

代わりにSSLインスペクションでPFS暗号を使用するには、次の手順を実行します。

1. インターネットとロードバランサ (またはリバースプロキシ) の間のTLSトラフィックにPerfect Forward Secrecyを使用します。
2. ロードバランサ (またはリバースプロキシ) でPerfect Forward Secrecyセッションを終了します。
3. ロードバランサ（またはリバースプロキシ）とWebサーバまたはアプリケーションサーバ間のトラフィックに非PFS暗号スイート（以下の SSL検査は次の暗号スイートをサポートします を参照）を使用して、サーバ上の侵入防御モジュールがTLSを復号化できるようにします。セッションを検査し、それらを検査します。
4. Perfect Forward Secrecyを使用しないアプリケーションサーバポートのトラフィックをWebサーバに制限します。

Diffie-Hellman暗号化の特別な注意事項

このセクションは、高度なTLSトラフィック検査ではなくSSL検査を使用する場合にのみ適用されます。

Perfect Forward Secrecyは、Diffie-Hellman鍵交換アルゴリズムに依存しています。初期設定でDiffie-Hellmanが使用されるWebサーバでは、SSLインスペクションが正常に動作しない場足があります。そのため、サーバの設定ファイルを確認して、Webサーバとロードバランサ (またはリバースプロキシ) の間のTLSトラフィックに対してDiffie-Hellman暗号化を無効にすることが重要です。ApacheサーバでDiffie-Hellmanを無効にするには、次の手順を実行します。

1. サーバの設定ファイルを開きます。Webサーバ設定ファイルのファイル名と場所は、OS（OS）と配布方法によって異なります。たとえば、次のようなパスになります。
   • RHEL4での初期インストールの場合: /etc/httpd/conf.d/ssl.conf
   • Red Hat Linux上のApache 2.2.2の場合: /apache2/conf/extra/httpd-ssl.conf
2. 設定ファイルで、「SSLCipherSuite」変数を探します。
3. 「!DH:!EDH:!ADH:」をこれらのフィールドに追加します (この文字列がまだ表示されていない場合)。（ "!"は、この暗号を「使用しない」ようにApacheに指示します。）
4. たとえば、Apache設定ファイルの暗号化スイートを次のように編集します。

SSLCipherSuite !DH:!EDH:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL

詳細については、 SSLCipherSuiteディレクティブのApacheドキュメントを参照してください。

サポートされている暗号化スイート

サポートされているプロトコル

次のプロトコルがサポートされます。

• TLS 1.0
• TLS 1.1
• TLS 1.2

SSL 3.0検査：ないサポートされており、初期設定でブロックされます。