HSMの一般的なワークフロー

このセクションでは、HSM環境における一般的なワークフローを紹介します。

HSM を使用するための Check Point Security Gateway の設定ワークフロー

HSMと連携する必要があるSecurity Gateway / クラスタ閉じた 冗長構成で連携する2つ以上のセキュリティゲートウェイ（ハイアベイラビリティまたは負荷分散）をクラスタ化します。メンバ / Scalable Platform Security Groupでは、以下の手順で作業を行ってください。

注：特定のHSMベンダーに関する説明は、対応するセクションに記載されています。

重要：

ステップ 手順

1

SmartConsole閉じた Check Point 環境の管理に使用される Check Point GUI アプリケーション-セキュリティポリシーの構成、デバイスの構成、製品とイベントの監視、アップデートのインストールなど。で、HTTPSインスペクション閉じた Secure Sockets Layer (SSL) プロトコルによって暗号化されたトラフィックにマルウェアや疑わしいパターンがないか検査する、セキュリティゲートウェイの機能。同義語:SSL 検査。頭字語：HTTPSI、httpSi。の設定を行います。

R81.10 Security Management Administration Guide > 章HTTPS Inspection をご覧ください。

2

Security Gateway /each クラスタメンバ / Security Group で、$FWDIR/conf/hsm_configuration.C ファイルで HSM を無効化します。

  1. コマンドラインに接続します。

  2. エキスパートモード閉じた CheckPoint Gaiaオペレーティングシステムで完全なシステムルート権限を付与する完全なコマンドラインシェルの名前。にログインします。

  3. ファイルを編集します。

    vi $FWDIR/conf/hsm_configuration.C

  4. パラメータ"enabled"に値"no"を設定する。

    :enabled ("no")

  5. 変更内容をファイルに保存し、エディタを終了します。

  6. Scalable Platform Security Group上で、ファイルをすべてのSecurity Groupメンバにコピーします。

    asg_cp2blades $FWDIR/conf/hsm_configuration.C

3

Security Gateway /each Cluster Member / Security Groupにおいて、Check Pointのサービスを再起動します。

cprestart

重要- サービスが開始されるまで、トラフィックは流れてきません。

4

HTTPS InspectionがHSMサーバなしで正しく機能することを確認します。

  1. 社内のコンピュータから、任意のHTTPSのWebサイトに接続します。

  2. 内部コンピュータのWebブラウザで、Security Gateway / Clusterから署名されたCA証明書を受信する必要があります。

重要：

  • クラスタでは、すべてのクラスタメンバを同じ方法で設定する必要があります。

  • VSX 環境では、この手順は VSX ゲートウェイまたはeach VSX クラスタメンバのコンテキスト（VS 0 のコンテキスト） で実行する必要があります。

  • Scalable Platforms (MaestroおよびChassis) では、該当するセキュリティーグループの Gaia Portal に接続する必要があります。。

  • HSMクライアントパッケージは、HSMベンダーから入手する必要があります。
ステップ 手順

1

HSMベンダーが提供するHSMクライアントパッケージを解凍し、インストールします。

2

必要なPKCS#11ライブラリファイルを、/usr/lib/hsm_client/ ディレクトリに転送します。

重要- セキュリティ上の理由から、rootユーザのみがこのディレクトリにアクセスする権限を持っています。

このディレクトリに物理ファイルを転送する必要があります。シンボリックリンクは作成しないでください。

3

PKCS#11 ライブラリを構成するために必要な、HSM ベンダーが提供するその他のツールまたはファイルを転送します。

4

HSMサーバとの必要な接続または信頼関係を設定します。

5

オプション:PKCS#11ライブラリに基づくHSMサーバとの信頼できるリンクがあることを確認します。

注 - HSMベンダーが提供する適切なツールを使用してください。また、Check Point のコマンド "cpstat" を使用して信頼関係を調べることも可能です）。

重要：

  • クラスタでは、すべてのクラスタメンバを同じ方法で設定する必要があります。

  • VSX 環境では、each バーチャルシステム（VSX ゲートウェイ /each VSX クラスタメンバ / セキュリティグループ上）のコンテキストでこの手順を実行する必要がありま す。

注:

設定手順。

ステップ 手順

1

Security Gateway、クラスタメンバ、またはSecurity Group のコマンドラインに接続します。

2

エキスパートモードにログインします。

3

$FWDIR/conf/hsm_configuration.C ファイルをバックアップする。

  • Security Gateway /各クラスタメンバ:

    cp -v $FWDIR/conf/hsm_configuration.C{,_BKP}

  • スケーラブル プラットフォーム セキュリティ グループ:

    g_cp -v $FWDIR/conf/hsm_configuration.C{,_BKP}

4

$FWDIR/conf/hsm_configuration.C ファイルを編集します。

vi $FWDIR/conf/hsm_configuration.C

5

これらの属性に必要な値を設定する

(HSMベンダーの対応するセクションを参照)。

コピー 
(:enabled ("no") # "yes" / "no"
:hsm_vendor_name ("")
:lib_filename ("")
:CA_cert_public_key_handle (0)
:CA_cert_private_key_handle (0)
:CA_cert_buffer_handle (0)
:token_id ("")
)

 

注:

  • :enabled ()" 属性は、"yes" (HSMを有効にする) または "no" (HSMを無効にする) のいずれかの値である必要があります。

  • :hsm_vendor_name ()" 属性には、必要なHSMベンダーの名称を含める必要があります。

  • :lib_filename ()" 属性には、お使いのHSMベンダーのPKCS#11ライブラリの名前（/usr/lib/hsm_client/ ディレクトリにあります）を指定する必要があります。

  • ":CA_cert_<XXX> ()" 属性は、ハンドルに必要な値でなければならない。

  • :token_id ()" 属性には、HSM サーバ上のパーティションのパスワードが含まれている必要があります。

例：

コピー 
(:enabled ("yes")
:hsm_vendor_name ("FutureX HSM")
:lib_filename ("libfxpkcs11.so")
:CA_cert_public_key_handle (2)
:CA_cert_private_key_handle (1)
:CA_cert_buffer_handle (3)
:token_id ("safest")
)

6

Scalable Platform Security Group上で、ファイルをすべてのSecurity Groupメンバにコピーします。

asg_cp2blades $FWDIR/conf/hsm_configuration.C

7

新しい設定を適用するには、このコマンドを使用してすべてのCheck Pointサービスを再起動します。

cprestart

重要- これは、すべてのサービスが再起動するまで、すべてのトラフィックをブロックします。クラスタでは、フェイルオーバーが発生する可能性があります。

8

Security Gateway /each クラスタメンバ / Security Group が HSM サーバに接続でき、送信トラフィックで HTTPS Inspection が正常に有効化されていることを確認します。

  • Security Gateway /各クラスタメンバ:

    cpstat https_inspection -f all

  • スケーラブル プラットフォーム セキュリティ グループ:

    g_all cpstat https_inspection -f all

出力には次が表示される必要があります。

  • HSM partition access (Accessible/Not Accessible): Accessible

  • Outbound status (HSM on/HSM off/HSM error): HSM on

詳細については、CLIでのHSMによるHTTPSインスペクションの監視参照してください。

8

送信トラフィックで HTTPS インスペクションが正常に有効になっていることを確認します。

  1. 社内のコンピュータから、任意のHTTPSのWebサイトに接続します。

  2. 内部コンピュータのウェブブラウザで、HSMサーバから署名されたCA証明書を受け取る必要があります。

HSMクライアントワークステーションの設定のためのワークフロー

HSMクライアントワークステーションは、外部のコンピュータで、HSMベンダーのHSMクライアントソフトウェアをインストールします。

HSMクライアントワークステーションは、Windows、Linux、またはHSMベンダーの要求するその他のオペレーティングシステムで実行することができます。

HSMクライアントワークステーションを使用して、次のことを行います。

  • HSMサーバにCA証明書を作成する。

    Check Point Security Gateways / クラスタメンバ / Security Group は、HSM サーバ上の SSL 鍵を保存し、アクセスする必要がある場合、この CA 証明書を HTTPS 検査のために使用する。

  • Check Point Security Gateway / クラスタメンバ / Security Group で作成された偽の証明書のキーを管理します。

重要- HSMクライアントパッケージは、HSMベンダーから入手する必要があります。