TLSトラフィックの検査

高度なTLSトラフィック検査を有効にする

• これにより、TLS資格情報を手動で設定する必要がなくなります。
• SSLインスペクションよりも多くの暗号をサポートしており、Perfect Forward Secrecy (PFS) 暗号も含まれます。詳細については、サポートされている暗号スイートを参照してください。

• [受信TLS/SSLトラフィックの監視]は受信トラフィックに対してデフォルトで有効になっています。
• [送信TLS/SSLトラフィックの監視]は送信トラフィックに対してデフォルトで有効になっており、Deep Security Agentリリース20.0.1-12510 (20 LTS Update 2024-06-19) 以降でサポートされています。

受信トラフィックおよび送信トラフィックに対して高度なTLSトラフィック検査を使用する

SSLインスペクションを設定する（レガシー）

1. Deep Security Managerで、設定するコンピュータを選択し、[詳細]をクリックしてコンピュータエディタを開きます。
2. コンピュータエディタの左ペインで[侵入防御]→ [詳細]→ [SSL設定]をクリックし、[SSL設定]をクリックしてSSLコンピュータ構成ウィンドウを開きます。
3. [新規] をクリックして、SSL設定ウィザードを開きます。
4. このコンピュータで設定を適用するインタフェースを指定します。

   • このコンピュータのすべてのインタフェースに適用するには、[すべてのインタフェース] を選択します。
   • 特定のインタフェースに適用するには、[特定のインタフェース] を選択します。
5. [ポート]または[ポートリスト]を選択し、リストを選択してから[次へ]をクリックしてください。
6. [IP選択] 画面で、[すべてのIP] を選択するか、SSLインスペクションを実行する [特定のIP] を指定し、[次へ] をクリックします。
7. [資格情報] 画面で、資格情報を指定する方法を選択します。

   • 今すぐ資格情報をアップロードします
   • 資格情報はコンピュータにあります

   注意 資格情報ファイルには、秘密鍵が含まれている必要があります。

8. 今すぐ資格情報をアップロードするオプションを選択する場合、資格情報の種類、格納場所、および必要に応じてパスフレーズを入力します。
   資格情報がコンピュータにある場合、資格情報の詳細を指定します:
   • コンピュータに格納されているPEMまたはPKCS#12資格情報形式を使用する場合は、その資格情報ファイルの格納場所と必要に応じてファイルのパスフレーズを入力します。
   • Windows CryptoAPI資格情報を使用する場合は、コンピュータで見つかった資格情報のリストから対象の資格情報を選択します。
9. この設定の名前と説明を入力します。
10. 概要を確認して、SSL設定ウィザードを閉じます。設定操作の概要を読んで、[完了] をクリックしてウィザードを閉じます。

ポート設定を変更する

1. コンピュータの [詳細] 画面の [IPSルール] へ進み、このコンピュータに適用されている侵入防御ルールのリストを参照します。
2. ルールを [アプリケーションの種類] 別にソートし、「Webサーバ共通」のアプリケーションの種類を探します (同様のアプリケーションの種類に対しても、これらの変更を加えることができます)
3. アプリケーションタイプのルールを右クリックし、[アプリケーションの種類プロパティ]をクリックします。
4. 継承された「HTTP」ポートリストをオーバーライドして、SSLの設定時に定義したポートとポート80をこのポートリストに追加します。ポートはカンマ区切りの値として入力します。たとえば、SSLの設定でポート9090を使用する場合は、「9090, 80」と入力します。
5. パフォーマンスを向上させるには、[設定]タブで[Webサーバから継承されたモニタ応答]の選択を解除します。
6. [OK] をクリックして、ダイアログを閉じます。

トラフィックがPerfect Forward Secrecy (PFS)で暗号化されている場合に侵入防御を使用する

注意 高度なTLSトラフィック検査を使用することで、侵入防御モジュールは追加の設定なしでPFS暗号で暗号化されたトラフィックを分析できます。

1. インターネットとロードバランサまたはリバースプロキシ間のTLSトラフィックにPerfect Forward Secrecyを使用します。
2. ロードバランサまたはリバースプロキシでPerfect Forward Secrecyセッションを終了します。
3. ロードバランサ (またはリバースプロキシ) とWebサーバまたはアプリケーションサーバの間のトラフィックには、非PFS暗号化スイート (サポートされている暗号化スイートを参照) を使用して、サーバ上の侵入防御モジュールがTLSセッションを復号して検査できるようにします。
4. Perfect Forward Secrecyを使用しないアプリケーションサーバポートのトラフィックをWebサーバに制限します。

SSLインスペクションを使用する際のDiffie-Hellman暗号に関する特別な考慮事項

1. サーバの設定ファイルを開きます。Webサーバ設定ファイルのファイル名と場所は、OSおよびディストリビューションによって異なります。たとえば、次のようなパスになります。

   • RHELの初期インストールの場合::/etc/httpd/conf.d/ssl.conf
   • Red Hat Linux上のApache 2.2.2::/apache2/conf/extra/httpd-ssl.conf
2. ファイル内で「SSLCipherSuite」変数を見つけます。
3. 「!DH:!EDH:!ADH:」をこれらのフィールドに追加します (この文字列がまだ表示されていない場合)。(「!」: この暗号化をApacheで「使用しない」ように指定するものです)
4. たとえば、Apache設定ファイルの暗号化スイートを次のように編集します。

サポートされている暗号化スイート

サポートされるプロトコル

• TLS 1.0
• TLS 1.1
• TLS 1.2
• TLS 1.3 (Linuxのみ)