高度なTLSトラフィック検査を有効にする

• TLS認証情報を手動で設定する必要がなくなります
• Perfect Forward Secrecy (PFS) 暗号を含む、SSL検査よりも多くの暗号をサポート

高度なTLSトラフィック検査を使用してトラフィックを検査する

• IIS
• Microsoft Exchange
• リモートデスクトッププロトコル (RDP)

SSLインスペクションの設定 (レガシー)

1. Server & Workload Protection console, select the computer to configure and click [詳細] をクリックしてコンピュータエディタを開きます。
2. コンピュータエディタの左ペインで、[IPS] → [詳細] → [View SSL Configurations,]をクリックし、[View SSL Configurations]をクリックしてSSLコンピュータ設定ウィンドウを開きます。
3. [新規] をクリックして、[SSL Configuration] ウィザードを開きます。
4. このコンピュータで設定を適用するインタフェースを指定します。
   • このコンピュータのすべてのインターフェースに適用するには、[すべてのインターフェース]を選択してください。
   • 特定のインターフェースに適用するには、[Specific Interfaces]を選択してください。
5. [ポート]または[Ports List]を選択し、リストを選択して[次へ]をクリックします。
6. IP選択画面で、[すべてのIP]を選択するか、[Specific IP]を指定してSSL検査を実行し、[次へ]をクリックします。
7. [資格情報] 画面で、資格情報を指定する方法を選択します。
   • I will upload credentials now
   • The credentials are on the computer
     資格情報ファイルには、秘密鍵が含まれている必要があります。
8. 認証情報を今すぐアップロードするオプションを選択した場合は、資格情報の種類、場所、およびパスフレーズ (必要な場合) を入力します。認証情報がコンピュータにある場合は、[認証情報の詳細] を入力します。
   • コンピュータに格納されているPEMまたはPKCS#12資格情報形式を使用する場合は、その資格情報ファイルの格納場所と必要に応じてファイルのパスフレーズを入力します。
   • Windows CryptoAPI資格情報を使用する場合は、コンピュータで見つかった資格情報のリストから対象の資格情報を選択します。
9. この設定の名前と説明を入力します。
10. 要約を確認し、[SSL Configuration]ウィザードを閉じます。構成操作の要約を読み、[完了]をクリックしてウィザードを閉じます。

ポート設定を変更する

1. コンピュータの詳細ウィンドウで[IPSルール]に移動し、このコンピュータに適用されているIPSルールの一覧を確認してください。
2. ルールを[アプリケーションの種類]で並べ替え、Webサーバ共通アプリケーションタイプを見つけます。同様のアプリケーションタイプにもこれらの変更を行うことができます。
3. アプリケーションタイプ内のルールを右クリックし、[Application Type Properties]をクリックします。
4. 継承されたHTTPポートリストを上書きして、SSL設定のセットアップ時に定義したポートとポート80を含めます。ポートはカンマ区切りの値として入力してください。例えば、SSL設定でポート9090を使用する場合は、9090, 80と入力してください。
5. パフォーマンスを向上させるために、[設定] タブで [Inherited and Monitor responses from Web Server] の選択を解除してください。
6. [OK] をクリックしてダイアログを閉じます。

トラフィックがPerfect Forward Secrecy (PFS)で暗号化されている場合に侵入防御を使用する

1. インターネットとロードバランサ (またはリバースプロキシ) の間のTLSトラフィックにPerfect Forward Secrecyを使用します。
2. ロードバランサ (またはリバースプロキシ) でPerfect Forward Secrecyセッションを終了します。
3. ロードバランサー (またはリバースプロキシ) とウェブサーバまたはアプリケーションサーバ間のトラフィックには、非PFS暗号スイートを使用してください (SSLインスペクションがサポートする暗号スイートを参照)。これにより、サーバ上のIPSモジュールがTLSセッションを復号して検査できます。
4. Perfect Forward Secrecyを使用しないアプリケーションサーバポートのトラフィックをWebサーバに制限します。

Diffie-Hellman暗号化の特別な注意事項

1. サーバの設定ファイルを開きます。 Webサーバ設定ファイルのファイル名と場所は、オペレーティングシステムとディストリビューションによって異なります。たとえば、パスは次のようになります。
   • RHEL4でのデフォルトインストール: /etc/httpd/conf.d/ssl.conf
   • Red Hat Linux上のApache 2.2.2: /apache2/conf/extra/httpd-ssl.conf
2. 構成ファイルで、SSLCipherSuite変数を見つけてください。
3. この文字列がまだ表示されていない場合は、これらのフィールドに!DH:!EDH:!ADH:を追加してください。感嘆符!はApacheにこの暗号を使用しないように指示します。
4. たとえば、Apacheの設定ファイルの暗号スイートを次のように編集することができます。

SSLCipherSuite !DH:!EDH:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL

サポートされている暗号化スイート

サポートされるプロトコル

• TLS 1.0
• TLS1.1
• TLS 1.2
• TLS 1.3