TLSトラフィックの検査

高度なTLSトラフィック検査を有効にする

• TLS認証情報を手動で設定する必要がなくなります
• Perfect Forward Secrecy (PFS) 暗号を含む、SSL検査よりも多くの暗号をサポート

高度なTLSトラフィック検査を使用してトラフィックを検査する

• IIS
• Microsoft Exchange
• リモートデスクトッププロトコル (RDP)

注意 高度なTLSトラフィック検査でサポートされていないTLSトラフィック、または他のオペレーティングシステムのTLSトラフィックを検査する必要がある場合は、従来のSSL検査の設定代わりに。

SSLインスペクションの設定 (レガシー)

1. Server & Workload Protection コンソールで、設定するコンピュータを選択し、 [詳細] をクリックしてコンピュータエディタを開きます。
2. コンピュータエディタの左側のペインで、[侵入防御] → [詳細] → [SSL設定の表示]をクリックし、 [SSL設定の表示] をクリックして [SSLコンピュータの設定] ウィンドウを開きます。
3. [新規] をクリックして、SSL設定ウィザードを開きます。
4. このコンピュータで設定を適用するインタフェースを指定します。
   • このコンピュータのすべてのインタフェースに適用するには、 [すべてのインタフェース]を選択します。
   • 特定のインタフェースに適用するには、 [特定のインタフェース]を選択します。
5. [ポート] または [ポートリスト] を選択してリストを選択し、 [次へ]をクリックします。
6. [IP Selection] 画面で、 [すべてのIP] を選択するか、SSL検査を実行する [特定のIP] を指定して、 [次へ]をクリックします。
7. [資格情報] 画面で、資格情報を指定する方法を選択します。
   • [今すぐ資格情報をアップロードします]
   • [資格情報はコンピュータにあります]

     注意 資格情報ファイルには、秘密鍵が含まれている必要があります。

8. 認証情報を今すぐアップロードするオプションを選択した場合は、資格情報の種類、場所、およびパスフレーズ (必要な場合) を入力します。認証情報がコンピュータにある場合は、[認証情報の詳細] を入力します。
   • コンピュータに格納されているPEMまたはPKCS#12資格情報形式を使用する場合は、その資格情報ファイルの格納場所と必要に応じてファイルのパスフレーズを入力します。
   • Windows CryptoAPI資格情報を使用する場合は、コンピュータで見つかった資格情報のリストから対象の資格情報を選択します。
9. この設定の名前と説明を入力します。
10. 概要を確認し、SSL設定ウィザードを閉じます。設定操作の概要を確認し、 [完了] をクリックしてウィザードを閉じます。

ポート設定を変更する

1. このコンピュータに適用されている侵入防御ルールのリストを表示するには、コンピュータの [詳細] 画面の [IPSルール] に移動します。
2. ルールを [アプリケーションの種類] で並べ替え、「Webサーバ共通」アプリケーションタイプを見つけます。 (これらの変更は、類似のアプリケーションタイプに対しても実行できます)。
3. アプリケーションの種類でルールを右クリックし、 [アプリケーションの種類プロパティ]をクリックします。
4. 継承された「HTTP」ポートリストをオーバーライドして、SSL設定のセットアップ時に定義したポートとポート80を含めます。ポートはカンマ区切りで入力します。たとえば、SSL設定でポート9090を使用する場合は、「9090, 80」と入力します。
5. パフォーマンスを向上させるには、 [構成] タブで [Webサーバからの継承および監視応答]の選択を解除します。
6. [OK] をクリックしてダイアログを閉じます。

トラフィックがPerfect Forward Secrecy (PFS)で暗号化されている場合に侵入防御を使用する

注意 高度なTLSトラフィック検査機能を使用すると、侵入防御モジュールで、追加の設定を行わなくても、PFS暗号で暗号化されたトラフィックを分析できます。

1. インターネットとロードバランサ (またはリバースプロキシ) の間のTLSトラフィックにPerfect Forward Secrecyを使用します。
2. ロードバランサ (またはリバースプロキシ) でPerfect Forward Secrecyセッションを終了します。
3. ロードバランサ (またはリバースプロキシ) とWebサーバまたはアプリケーションサーバとの間のトラフィックには、PFS以外の暗号化スイートを使用し (「 SSL検査では、次の暗号化スイートをサポートを参照)、サーバ上の侵入防御モジュールがTLSセッションを復号して検査できるようにします。
4. Perfect Forward Secrecyを使用しないアプリケーションサーバポートのトラフィックをWebサーバに制限します。

Diffie-Hellman暗号化の特別な注意事項

注意 このセクションは、高度なTLSトラフィック検査の代わりにSSL検査を使用する場合にのみ適用されます。

1. サーバの設定ファイルを開きます。 Webサーバ設定ファイルのファイル名と場所は、オペレーティングシステム (OS) およびディストリビューションによって異なります。たとえば、パスは次のようになります。
   • [RHEL4での初期設定]:/etc/httpd/conf.d/ssl.conf
   • [Red Hat Linux上のApache 2.2.2]:/apache2/conf/extra/httpd-ssl.conf
2. 設定ファイルで、「SSLCipherSuite"変数です。
3. 追加!DH:!EDH:!ADH:この文字列が表示されていない場合は、これらのフィールドに入力します。 ("!は、Apacheにこの暗号を「使用しない」ように指示します)。
4. たとえば、Apache設定ファイルの暗号化スイートを次のように編集します。

SSLCipherSuite !DH:!EDH:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL!DH:!EDH:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL

サポートされている暗号化スイート

サポートされるプロトコル

• TLS 1.0
• TLS1.1
• TLS 1.2