SSL/TLS インスペクションルール

SSL/TLS インスペクションルールを使用すると、TCP の SSL および TLS 接続を捉えて復号化し、クライアントおよび Web サーバー間の接続を確実に保護できます。

SSL/TLS インスペクションにより、暗号化された接続を介して送信されるマルウェアを防止できます。

トラフィックおよびリスクレベルに基づいて、着信および発信 SSL/TLS トラフィックに対してポリシーベースの接続および復号化を強制できます。

SSL/TLS インスペクションルールは、Web プロキシによって処理されるトラフィックの復号化には影響しません。ファイアウォールルールで Web フィルタリングの方法 (Web プロキシまたは DPI エンジン) を指定します。Sophos Firewall では、デフォルトで DPI エンジンを使用し、ファイアウォールルールに一致するトラフィックに SSL/TLS インスペクションルールを適用します。

新規インストールの場合、SSL/TLS インスペクションルールはデフォルトでオンになっています。SFOS 17.5 以前から移行した場合は、デフォルトでオフになっています。オン/オフは手動で切り替えられます。

自己署名証明書と、信頼できる CA 証明書の違い

Sophos Firewall では、TLS 接続を許可するときに、TLS サーバー証明書の信頼レベルを維持します。これにより、ファイアウォールの内側にあるエンドポイントが、ファイアウォールによって信頼されていないサーバー証明書を信頼してしまうことを回避できます。

自己署名証明書

サーバーによっては、CA によって署名された証明書ではなく、自己署名証明書を使用している場合があります。自己署名証明書は、エンドツーエンドの暗号化に対応しますが、Web サイトの出所を保証するものではありません。Sophos Firewall では、このような接続の証明書の鍵を、復号化・検査済みのコンテンツを再暗号化するための鍵と置き換え、その鍵で証明書に署名します。CA としてこの証明書に再署名はしません。したがって、クライアント (例: ブラウザ) は引き続き、この証明書を自己署名証明書と見なします。

ブラウザには、Web サイトの証明書が信頼できる CA に発行されていないという警告が表示されます。これによって、ユーザーは、元の証明書が自己署名された、信頼できないものであることがわかります。

信頼できる CA によって署名された証明書

Sophos Firewall は、コンテンツを復号化・検査した後、CA として証明書に署名し、元の証明機関が信頼できる CA であること、ならびに、SSL/TLS インスペクションが実行されたことをユーザーに示します。

ある接続の信頼チェーンが、ファイアウォールによって信頼されている CA につながっていない場合、Sophos Firewall はローカル CA を使用してその証明書に再署名しません。完全な信頼チェーンがない証明書は、システムが生成した証明書によって署名されます。この証明書の CN には、問題の説明が含まれます。

ルールテーブルのアクション

• ルールは、送信元、宛先、およびルール ID でフィルタリングできます。
• ルールフィルタをリセットするには、「フィルタのリセット」を選択します。

「その他のオプション」 をクリックして、以下の操作を行えます。

• ルールを編集または削除するには、該当するボタンを選択します。
• 既存のルールの横にルールを複製または追加するには、アクションを選択します。
• ルールをオンまたはオフにするには、スイッチを選択します。

ルールの位置を変更するには、ルールハンドル () をクリックしてドラッグします。Sophos Firewall は、一致するルールが見つかるまで、上から下に向かってルールを評価します。パケットの一致が見つかると、後続のルールは評価されません。特定のルールを、より具体的でないルールよりも上に配置します。

SSL/TLS インスペクションルール

SSL/TLS インスペクションは、任意の TCP ポートの SSL/TLS トラフィックを検出します。検出された SSL/TLS 接続には、インスペクションルールが適用されます。インスペクションルールでは、送信元、宛先、ユーザーとグループ、サービス、Web サイト、Web カテゴリを指定して、トラフィックを復号化できます。指定したすべての条件に一致するトラフィックに、ルールが適用されます。

ルールごとに復号化プロファイルを選択して、セキュリティ保護されていないプロトコルバージョン、SSL 圧縮、識別できない暗号化スイート、ブロックする暗号アルゴリズム、証明書エラー、ファイアウォールの復号化機能を超える接続など、問題のあるトラフィックに対するアクションを指定する必要があります。トラフィックを復号化および検査した後、Sophos Firewall は指定された再署名認証機関を使用してトラフィックを再暗号化します。

SSL/TLS インスペクションルールは、次の場合に使用できます。

• ポリシードリブンの復号化を実装し、コンプライアンス要件を満たします。
• 暗号化されたトラフィックによるマルウェアの送信を防止します
• 暗号化されたトラフィックに Web コンテンツポリシーを適用して、一般的な閲覧を妨げることなく、不要なアップロードやダウンロードを防止します。

SSL/TLS インスペクションルールにおける除外

Sophos Firewall は、特定の Web サイトへの接続が復号化されないようにするデフォルトの除外ルール「Web サイトまたはカテゴリに基づき除外」を提供します。このルールでは、アクションが「復号化しない」に設定され、復号化のプロファイルが「可能な限り復号化」に設定されています。

このルールは、SSL/TLS インスペクションルールテーブルの一番上に永続的に配置されます。SSL/TLS インスペクションルールは、ルールテーブルで上から下に向かって評価されます。

除外ルールには、次のデフォルトの除外リストが含まれています。

• ローカル TLS 除外リスト: デフォルトでは、リストは空です。「コントロールセンター」または「ログビューア」でトラブルシューティングを行って、このリストに Web サイトを追加できます。このリストを編集するには、「Web > URL グループ」に移動します。

  証明書ピン接続を使用する Web サイトおよびブラウザは、SSL/TLS 検査がオンになっている場合、要求されたページを完全または部分的にブロックします。エラーメッセージが表示された場合、特定可能な理由が表示されないことがあります。SSL/TLS インスペクションを省略するには、ローカル TLS 除外リストを使ってドメインを許可します。

• 管理対象 TLS 除外リスト: このリストには、SSL/TLS インスペクションと互換性がないことがわかっている Web サイトが含まれており、ファームウェアのアップデートによってアップデートされます。

独自の除外ルールを作成し、デフォルトルールのすぐ下に配置することで、Web カテゴリ、URL グループ、ユーーザ、送信元および宛先 IP アドレス、およびネットワークを除外できます。他の SSL/TLS インスペクションルールで復号化しない接続のみを除外ルールに追加します。

SSL/TLS インスペクションルールは、ファイアウォールルールとは独立して適用されます。ファイアウォールルールで Web ポリシーを選択していない場合でも、インスペクションルールは指定された除外を適用し続けます。

接続を復号化の対象外にするには、Web 例外ルールまたは SSL/TLS 除外ルールを使用できます。HTTPS の復号化関連の例外を適用する最の違いの詳細は、次の表を参照してください。

SSL/TLS インスペクションの設定

これらの設定は、すべての SSL/TLS インスペクションルールに適用されます。再署名証明機関 (CA)、復号化しないトラフィックに対するアクション、および TLS ダウングレード設定を指定できます。トラブルシューティングを実行するために、インスペクション設定で SSL/TLS インスペクションをオフにすることもできます。

インスペクションルールに追加した復号化プロファイルは、インスペクション設定よりも優先されます。

ファイアウォールルールと Web プロキシ

Sophos Firewall は、まずファイアウォールルールを適用し、その後 SSL/TLS インスペクションルールを適用します。ファイアウォールルールで選択した Web プロキシに基づいて、透過モードでインスペクションルールが適用されます。

透過モード: ファイアウォールルールで、 Web プロキシによる復号化とスキャンを選択した場合、ポート 80 および 443 を経由するトラフィックは Web プロキシによって復号化されます。SSL/TLS インスペクションルールは、他のポートを経由する Web トラフィックに対してのみ実装されます。

明示モード: 復号化およびスキャンは、Web プロキシによって実行されます。

トラブルシューティング

SSL/TLS 接続が復号化制限を超えているかどうかを確認するには、「コントロールセンター」に移動して、「SSL/TLS 接続」ウィジェットを選択します。

SSL/TLS エラーのトラブルシューティングを行うには、「コントロールセンター」に移動し、「SSL/TLS 接続」ウィジェットを選択して、右上隅の「エラーの修正」を選択します。

コントロールセンターまたはログビューアに接続および復号化の詳細が表示されない場合は、次の項目がオンになっていることを確認します。

• SSL/TLS インスペクションルール: 「ルールとポリシー > SSL/TLS インスペクションルール」に移動し、「SSL/TLS インスペクション」をオンにします。
• SSL/TLS エンジン: 「ルールとポリシー > SSL/TLS インスペクションルール > SSL/TLS インスペクションの設定」に移動します。「詳細設定 > SSL/TLS エンジン」で、「有効」を選択します。

その他のリソース

• 復号化のプロファイル

• ファイアウォールルールの追加