HTTPSインスペクション

アウトバウンド HTTPS 接続

アウトバウンド接続は、内部クライアントから到着し、外部サーバに接続するHTTPS接続です。

アウトバウンド接続フロー

1. HTTPS リクエスト（内部クライアントから外部サーバへ）がセキュリティゲートウェイに到着する。

2. セキュリティゲートウェイは、HTTPSリクエストを検査する。

3. セキュリティゲートウェイは、HTTPSリクエストが既存のHTTPS検査ルール 通信セッションに対して指定されたアクションが実行されるようにする、ルールベース内のトラフィックパラメータおよびその他の条件のセット。に一致するかどうかを判断します。

   • HTTPS リクエストがルールに一致しない場合、セキュリティゲートウェイは HTTPS ペイロードを検査しない。

   • HTTPS リクエストがルールに一致する場合、Security Gateway は次のステップに進みます。

4. Security Gateway は、外部サーバからの HTTPS 証明書を検証する。

   Security Gateway は、OCSP (Online Certificate Status Protocol)規格を使用する。

5. Security Gatewayは、外部サーバとの接続のために新しい証明書を作成する。

6. セキュリティゲートウェイは、HTTPS接続を復号化する。

7. セキュリティゲートウェイは、復号化されたHTTPS接続を検査する。

8. セキュリティポリシーでこのトラフィックが許可されている場合、セキュリティゲートウェイはHTTPS接続を暗号化します。

9. セキュリティゲートウェイは外部サーバに HTTPS リクエストを送信する。

インバウンド HTTPS 接続

インバウンド接続は、外部クライアントから到着し、DMZまたは内部ネットワーク ファイアウォールによって保護され、認証されたユーザによってアクセスされるコンピュータとリソース。内のサーバに接続するHTTPS接続です。

インバウンドコネクションフロー

1. HTTPS リクエスト（外部クライアントから内部サーバへ）が Security Gateway に到着する。

2. セキュリティゲートウェイは、HTTPSリクエストを検査する。

3. セキュリティゲートウェイは、HTTPSリクエストが既存のHTTPS検査ルールに一致するかどうかを判断します。

   • HTTPS リクエストがルールに一致しない場合、セキュリティゲートウェイは HTTPS ペイロードを検査しない。

   • HTTPS リクエストがルールに一致する場合、Security Gateway は次のステップに進みます。

4. Security Gateway は、内部サーバの証明書を使用して、外部クライアントとの HTTPS 接続を作成する。

5. Security Gateway は内部サーバとの HTTPS 接続を新規に作成する。

6. セキュリティゲートウェイは、HTTPS接続を復号化する。

7. セキュリティゲートウェイは、復号化されたHTTPS接続を検査する。

8. セキュリティポリシーでこのトラフィックを許可すると、セキュリティゲートウェイはHTTPS接続を暗号化し、内部サーバに送信します。

アウトバウンドおよびインバウンドのHTTPSトラフィックを検査するためのセキュリティゲートウェイの設定

このセクションでは、送信および受信の HTTPS トラフィックを検査するために Security Gateway を設定する方法の例を示します。

ワークフローの概要

ステップ	手順
1	セキュリティゲートウェイでHTTPSインスペクションを有効にする。
2	Security Gatewayが証明書を使用するように設定します。 Outbound Inspection- Security Gateway用の新しい証明書を生成します。 インバウンドインスペクション- 内部サーバ用の証明書をインポート
3	HTTPS 検査ルールベース 特定のセキュリティポリシーで構成されているすべてのルール。同義語:ルールベース。を設定します。
4	アクセスコントロールポリシーをインストールします。

HTTPSインスペクションの有効化

各 Security Gateway で HTTPS インスペクションを有効にする必要があります。

セキュリティゲートウェイで HTTPS インスペクションを有効にするには

ステップ	手順
1	SmartConsole Check Point 環境の管理に使用される Check Point GUI アプリケーション-セキュリティポリシーの構成、デバイスの構成、製品とイベントの監視、アップデートのインストールなど。のGateways& Serversビューから、Security Gatewayオブジェクトを編集します。
2	HTTPS インスペクション> Step 3 をクリックします。
3	Enable HTTPS Inspectionを選択します。

セキュリティゲートウェイの1つでHTTPS検査を初めて有効にする場合、HTTPS検査用の送信CA証明書を作成するか、組織内にすでに配備されているCA証明書をインポートする必要があります。この送信用証明書は、Security Management Server Check Pointソフトウェアを実行して、単一の管理ドメイン内のCheck Point環境のオブジェクトとポリシーを管理する専用Check Pointサーバ。同義語:単一ドメインセキュリティ管理サーバ。で管理されるすべてのSecurity Gatewayで使用されます。

アウトバウンドCA証明書の作成

送信用CA証明書は、拡張子CERで保存され、パスワードを使ってファイルの秘密鍵を暗号化します。セキュリティゲートウェイは、このパスワードを使って、アクセスしたサイトの証明書に署名する。パスワードは、CA証明書をインポートする他のSecurity Management Server Check Point シングルドメインセキュリティ管理サーバまたはマルチドメインセキュリティ管理サーバ。がファイルを復号化する際にも使用されるため、必ず保管しておく必要があります。

送信用CA証明書を作成した後、クライアントに配布できるようにエクスポートする必要があります。生成された送信用CA証明書をクライアントに配備しない場合、HTTPSサイトへの接続時に、ユーザはブラウザでTLSエラーメッセージを受け取ることになります。このような接続をログに記録するトラブルシューティングオプションを設定することができます。

送信用CA証明書を作成すると、Outbound Certificateという名前の証明書オブジェクトが作成されます。このオブジェクトは、HTTPS 検査ルールベースの送信 HTTPS トラフィックを検査するルールで使用します。

送信用CA証明書をインポートする

組織内にすでに配備されているCA証明書をインポートしたり、あるSecurity Management Serverで作成したCA証明書を別のSecurity Management Serverにインポートしたりすることができます。

HTTPS検査でセキュリティゲートウェイを有効にしている各Security Management Serverについて、以下を行う必要があります。

• CA証明書をインポートする。

• Security Management ServerがCA証明書ファイルを復号化し、ユーザの証明書に署名するために使用するパスワードを入力します。このパスワードは、新しい Security Management Server に証明書をインポートするときのみ使用します。

Security Management Serverから証明書をエクスポートする

export_https_cert 組織で複数のSecurity Management Serverを使用している場合、他のSecurity Management Serverにインポートする前に、CA証明書が作成されたSecurity Management Serverからfirst CLIコマンドでエクスポートする必要があります。

コマンドの構文

export_https_cert [-local] | [-s server] [-f certificate file name under FWDIR/tmp][-help]

CA証明書をエクスポートするには

Security Management Serverで、次のコマンドを実行します。

$FWDIR/bin/export_https_cert -local -f [certificate file name under FWDIR/tmp]

例:

$FWDIR/bin/export_https_cert -local -f mycompany.cer

生成したCAのエクスポートとデプロイ

HTTPS Inspectionが使用する生成されたCA証明書に関する警告がユーザに表示されないようにするため、HTTPS Inspectionが使用する生成されたCA証明書を信頼できるCAとしてインストールします。Windows GPOなど、さまざまな配布メカニズムでCAを配布することができます。これにより、生成されたCAがクライアントコンピュータ上の信頼できるルート証明書リポジトリに追加されます。

ユーザが標準アップデートを実行すると、生成されたCAがCAリストに登録され、ブラウザ証明書の警告が表示されなくなります。

GPOで証明書を配布するには

ステップ	手順
1	Security Gateway のHTTPS Inspection ウィンドウから、Export certificate をクリックします。
2	CA証明書ファイルを保存します。
3	グループポリシー管理コンソールを使用して、証明書をTrusted Root Certification Authoritiesの証明書ストアに追加します（「グループポリシーを利用した証明書の配備」を参照）。
4	組織内のクライアントコンピュータにPolicyをプッシュする。 注 - CA証明書がクライアントコンピュータの組織単位にプッシュされていることを確認してください。
5	クライアントの1つからHTTPSのサイトを閲覧して、配布をテストします。また、CA証明書に、作成したCA証明書に入力した名前がIssued by のフィールドに表示されていることを確認します。

グループポリシーを利用した証明書の配備

Active Directory Domain ServicesとGroup Policy Object（GPO）を使用して、複数のクライアントマシンに証明書を配備する手順です。GPOは複数の設定オプションを含むことができ、GPOの適用範囲内のすべてのコンピュータに適用されます。

この手順を実行するには、ローカルのAdministratorsグループ、または同等のグループに所属している必要があります。

グループポリシーを使用して証明書を配備するには

ステップ	手順
1	Microsoft Windows Serverで、Group Policy Management Console を開きます。
2	既存のGPOを検索するか、証明書設定を含む新しいGPOを作成します。GPOが、ポリシーの影響を受けさせたいユーザが所属するドメイン、サイト、または組織単位に関連付けられていることを確認します。
3	GPOを右クリックし、Edit を選択します。 Group Policy Management Editor が開き、ポリシーオブジェクトの内容が表示されます。
4	開くComputer Configuration > Policies > Windows Settings > Security Settings > Public Key Policies > Trusted Publishers.
5	Action > Importをクリックします。
6	Certificate Import Wizard にある手順で、SmartConsoleからエクスポートした証明書を探し、インポートしてください。
7	ナビゲーションペインで、Trusted Root Certification Authorities をクリックし、手順5～6を繰り返して、そのストアに証明書のコピーをインストールします。

インバウンド HTTPS インスペクションの設定

インバウンドのHTTPSインスペクションのためにセキュリティゲートウェイを設定します。

受信 HTTPS トラフィックの検査を有効にするには

ステップ	手順
1	SmartConsoleのGateways& Serversビューから、Security Gatewayオブジェクトを編集します。
2	HTTPS Inspection > Step 3をクリックします。
3	Enable HTTPS Inspectionを選択します。
4	組織向けSecurity Gatewayの背後にあるサーバのサーバ証明書をインポートする。
5	HTTPS インスペクションポリシーを定義する。 ルールの作成 各ルールのCertificate 欄に、サーバ証明書を追加します。

HTTPSインバウンドインスペクションのためのサーバ証明書の割り当て

サーバ証明書をSecurity Gatewayに追加します。これにより、サーバ証明書オブジェクトが作成される。

組織外のクライアントが内部サーバへの HTTPS 接続を開始すると、セキュリティゲートウェイがそのトラフィックを遮断する。Security Gatewayは受信トラフィックを検査し、ゲートウェイから内部サーバへの新しいHTTPS接続を作成します。HTTPS 検査を許可するには、Security Gateway がオリジナルのサーバ証明書と秘密鍵を使用する必要があります。Security Gatewayは、この証明書と秘密鍵を内部サーバとのTLS接続に使用する。

サーバ証明書（拡張子がCERファイル）をSecurity Gatewayにインポートした後、HTTPS検査ポリシーにオブジェクトを追加します。

この手順を、組織外のクライアントから接続要求を受けるすべてのサーバに対して行う。

HTTPSインスペクションポリシー

HTTPS 検査ルールは、セキュリティゲートウェイが HTTPS トラフィックを検査する方法を定義します。HTTPS検査ルールは、URLフィルタリングカテゴリを使用して、異なるWebサイトやアプリケーションのトラフィックを識別することができます。例えば、ユーザのプライバシーを保護するために、銀行や金融機関への HTTPS トラフィックを無視するルールを使用することができます。

HTTPS検査ルールは、HTTPS検査を有効にしているすべてのSoftware Blade 特定のセキュリティソリューション (モジュール):(1) セキュリティゲートウェイでは、各ソフトウェアブレードがトラフィックの特定の特性を検査します (2) 管理サーバでは、各ソフトウェアブレードで異なる管理機能を使用できます。に適用されます。

HTTPSインスペクションに対応したSoftware Bladesです。

• アクセス コントロール

  • アプリケーションコントロール セキュリティゲートウェイ上のCheck Point Software Blade。ディープパケットインスペクションを使用して特定のWeb対応アプリケーションをきめ細かく制御できます。頭字語：APPI。

  • URL フィルタリング セキュリティゲートウェイ上のCheck Point Software Bladeにより、特定のユーザ、コンピュータ、またはネットワークのグループがアクセスできるWebサイトをきめ細かく制御できます。頭字語：URLF

  • コンテンツ認識 データの可視性と適用を提供するセキュリティゲートウェイ上のCheck Point Software Blade。sk119715 を参照してください。頭字語：CTNT。

• 脅威の防止。

  • IPS さまざまなタイプのリスクについてパケットとデータを検査および分析するセキュリティゲートウェイ上のCheck Point Software Blade（侵入防止システム）。

  • アンチウイルス セキュリティゲートウェイ上のCheck Point Software Bladeは、リアルタイムのウイルスシグネチャとThreatCloudからの異常ベースの保護を使用して、ユーザが影響を受ける前にセキュリティゲートウェイでマルウェアを検出してブロックします。頭字語：AV。

  • アンチボット セキュリティゲートウェイ上のCheck Point Software Bladeは、ボットネットの動作とコマンドアンドコントロール（C＆C）センターへの通信をブロックします。頭字語：AB、ABOT。

  • Threat Emulation セキュリティゲートウェイ上のCheck Point Software Bladeは、サンドボックス内のファイルの動作を監視して、悪意のあるファイルかどうかを判断します。頭字語：TE

• データ損失防止 組織外への機密情報の不正送信を検出および防止するCheck Point Software Blade。頭字語：DLP

HTTPSインスペクションルールを設定する

アウトバウンドとインバウンドのトラフィックに対して、異なるHTTPSインスペクションルールを作成します。

送信ルールでは、Security Gateway 用に生成された証明書が使用されます。

インバウンドルールでは、内部サーバごとに異なる証明書を使用します。

また、機密性が高く検査しない方が良いトラフィックに対してバイパスルールを作成することもできます。バイパスルールが HTTPS 検査ルールベースの最上位にあることを確認します。

ルールを作成したら、アクセスコントロールポリシーをインストールします。

ソフトウェア更新サービスにおけるHTTPSインスペクションの回避

Check Point は、コンテンツが常に許可されるサービスの承認済みドメイン名のリストを動的に更新します。このオプションは、Check Pointのアップデートやその他のサードパーティソフトウェアのアップデートがブロックされないようにするためのものです。例えば、マイクロソフト、Java、Adobeのアップデートなどです。

ソフトウェアアップデートのためのHTTPSインスペクションを回避する方法

ステップ	手順
1	SmartConsoleで、「セキュリティポリシー ネットワークトラフィックを制御し、データ保護とパケット検査によるリソースへのアクセスに関する組織のガイドラインを適用するルールのコレクション。」> HTTPS Inspection> HTTPS Tools > Additional Settings > Open HTTPS Inspection Policy in SmartDashboard にアクセスします。
2	SmartDashboardで、HTTPS Inspection タブをクリックします。
3	HTTPS Validationをクリックします。
4	Whitelisting にアクセスし、Bypass HTTPS Inspection of traffic to well-known software update services (list is dynamically updated) を選択します。このオプションはデフォルトで有効になっています。
5	list をクリックすると、承認されたドメイン名のリストが表示されます。

ゲートウェイごとの証明書管理

SmartDashboardのHTTPS InspectionタブのGateways ペインには、HTTPS Inspectionが有効になっているゲートウェイが一覧表示されます。

ゲートウェイ］ペインの下部にある［CA証明書］セクションで、必要に応じて証明書の有効期限をRenew 、組織のクライアントマシンに配布するためにExport 。

選択した Security Gateway を管理する Security Management Server に生成された CA 証明書がインストールされていない場合は、Import certificate from file で追加することができます。

• 組織内にすでに配備されているCA証明書をインポートすることができます。

• 他のSecurity Management ServerからCA証明書をインポートすることができます。インポートする前に、まずそれを作成した Security Management Server からエクスポートする必要があります（「生成したCAのエクスポートとデプロイ」を参照）。

アウトバウンドHTTPSインスペクションのための信頼されたCAの追加

クライアントがウェブサイトサーバへのHTTPS接続を開始すると、セキュリティゲートウェイはその接続を遮断する。Security Gatewayはトラフィックを検査し、Security Gatewayから指定されたサーバへの新しいHTTPS接続を作成します。

セキュリティゲートウェイは、指定されたウェブサイトとのセキュアな接続（TLSトンネル）を確立する際、サイトサーバ証明書を検証する必要があります。

HTTPS インスペクションには、あらかじめ設定された信頼できる CA のリストが付属しています。このリストは、Check Point が必要に応じて更新し、Security Gateway に自動的にダウンロードされます。アップデートをインストールしたら、必ずポリシーをインストールしてください。自動更新オプションを無効にして、信頼済みCAリストを手動で更新することを選択できます。

Security Gatewayがサイトから信頼できないサーバ証明書を受け取った場合、デフォルトでユーザは生成された証明書ではなく、自己署名証明書を取得します。Webサイトのセキュリティ証明書に問題があることをユーザに通知し、ユーザがWebサイトにアクセスできるようにするページです。

信頼できないサーバ証明書をブロックするように、デフォルトの設定を変更することができます。

CA証明書の保存

信頼済みCAリストで選択した証明書をローカルファイルシステムに保存することができます。

CA証明書をエクスポートするには

ステップ	手順
1	SmartDashboardで、HTTPS Inspection タブ> Trusted CAs にアクセスします。
2	Actions > Export to fileをクリックします。
3	保存場所を指定して、ファイル名を入力し、Save 。 *.cer ファイルが作成されます。

HTTPSバリデーション

SmartDashboardのHTTPS Validation のページでは、以下のオプションを設定することができます。

• フェイルモード

• HTTPSサイトカテゴライズモード

• サーババリデーション

• 証明書のブラックリスト化

• ホワイトリスト

• トラブルシューティング

これらのオプションについて詳しく知りたい方は、ヘルプをご覧ください。HTTPS Validation のページで? のマークをクリックします。

HTTPSインスペクションのログを表示する

HTTPS 検査の定義済みログクエリは、HTTPS 検査ポリシーに一致し、ログに記録するよう構成されたすべての HTTPS トラフィックを表示します。

HTTPSインスペクションログを見るには

ステップ	手順
1	SmartConsoleLogs & Monitor のビューで、Logs タブを開き、Queries をクリックします。
2	HTTPS Inspection クエリーを選択します。

Logs タブには、HTTP Inspection Action フィールドがあります。フィールド値は、inspect またはbypass とする。トラフィックに対して HTTPS インスペクションが行われなかった場合、このフィールドはログに表示されません。

サイトカテゴライズのためのSNIサポート

Site Categorizationは、HTTPS検査を開始する前にHTTPSサイトを分類し、検査が成功しなかった場合の接続障害を防止することができます。

SNI サポートはデフォルトで有効になっています。

SNIはTLSプロトコルの拡張機能であり、TLSハンドシェイク処理の開始時にホスト名を示す。

この分類は、TLSハンドシェーキングプロセスの最初にあるクライアントHelloメッセージのSNIフィールドを調べることによって実行される。正しいサイトに到達したことを確認するために、SNIは証明書に表示されるホストのサブジェクト代替名と照合されます。

ホストの身元が判明し、検証された後、サイトが分類され、接続を検査すべきかどうかが判断されます。

HTTPS インスペクション機能は、トラフィックを復号化し、高度な脅威、ボット、その他のマルウェアからの保護を強化します。

非標準ポートでのHTTPSインスペクション

HTTPを使用するアプリケーションは、通常、TCPポート80にHTTPトラフィックを送信します。アプリケーションによっては、他のポートにHTTPトラフィックを送信するものもあります。一部の Software Blade では、ポート 80 の HTTP トラフィックのみを検査するように、または非標準ポートの HTTP トラフィックも検査するように設定することができます。

セキュリティポリシーは、非標準のポートを使用して送信された場合であっても、すべてのHTTPトラフィックを検査します。このオプションはデフォルトで有効になっています。このオプションは、「Manage& Settings」ビューで設定できます。> Blades > Threat Prevention > Advanced Settings.

TLS v1.3トラフィックのインスペクション

R81 より、Check Point Security Gateway は、TLS（Transport Layer Security）v1.8446 を参照）に依存するトラフィックを検査することができます。

R81.10以降では、ユーザスペースファイアウォールモード（USFW）を使用するセキュリティゲートウェイ（およびクラスタ 冗長構成で連携する2つ以上のセキュリティゲートウェイ（ハイアベイラビリティまたは負荷分散）をクラスタ化します。メンバ）において、この機能がデフォルトで有効になっています）。

サポートされるプラットフォームの一覧は、 を参照してください。

HTTPS インスペクション機能は、トラフィックを復号化し、高度な脅威、ボット、その他のマルウェアからの保護を強化します。