IPスプーフィングを防止する

内部インタフェースを含む、Security GatewayのすべてのインタフェースにAnti-Spoofing protectionを設定することを確認してください。

インターフェイスにアンチスプーフィングを設定するには、次のようにします。

1. SmartConsole Check Point 環境の管理に使用される Check Point GUI アプリケーション-セキュリティポリシーの構成、デバイスの構成、製品とイベントの監視、アップデートのインストールなど。の左側のナビゲーションパネルから、Gateways & Servers をクリックし、Security Gatewayオブジェクトをダブルクリックします。

   Gateway Propertiesウィンドウが開きます。

2. ナビゲーションツリーで、Network Managementを選択します。

3. Get Interfacesをクリックします。

4. Acceptをクリックします。

   Security Gatewayのネットワークトポロジーを示す。SmartConsoleがトポロジーを自動的に取得できない場合は、General Properties セクションの内容が正しいか、Security Gateway、Security Management Server Check Pointソフトウェアを実行して、単一の管理ドメイン内のCheck Point環境のオブジェクトとポリシーを管理する専用Check Pointサーバ。同義語:単一ドメインセキュリティ管理サーバ。、SmartConsoleが互いに通信できるかを確認します。

5. インタフェースを選択してEditをクリックします。

   インタフェースのプロパティウィンドウが表示されます。

6. ナビゲーションツリーでGeneralをクリックします。

7. ページのTopology セクションで、Modify をクリックします。

   Topology Settingsウィンドウが開きます。

8. Leads To セクションで、このインタフェースが接続するネットワークの種類を選択します。

   • Internet (External) - これはデフォルトの設定です。Security Gatewayのトポロジから自動的に算出されます。スタティックルートを変更した後に内部ネットワーク ファイアウォールによって保護され、認証されたユーザによってアクセスされるコンピュータとリソース。のトポロジーを更新するには、Gateway Properties ウィンドウで、Network Management > Get Interfaces をクリックします。
   • Override - デフォルト設定をオーバーライドします。

   Override 初期設定の場合。

   • Internet (External) - すべての外部/インターネットアドレス

   • This Network (Internal) -

     • Not Defined - このインタフェースの背後にあるすべてのIPアドレスは、このインタフェースに接続する内部ネットワークの一部とみなされる
     • Network defined by the interface IP and Net Mask - この内部インタフェースに直接接続するネットワークのみ
     • Network defined by routes - セキュリティゲートウェイ Check Point ソフトウェアを実行してトラフィックを検査し、接続されたネットワークリソースにセキュリティポリシーを適用する専用Check Pointサーバ。は、このインタフェースの背後にあるトポロジーを動的に計算する。このインターフェイスのネットワークが変更された場合、Get Interfaces をクリックしてポリシーをインストールする必要はありません。詳しくはセキュリティゲートウェイのトポロジーを動的に更新するを参照してください。
     • Specific - この内部インタフェースの背後にある特定のオブジェクト（Network、Host、Address Range、Network Group）。
     • Interface leads to DMZ - この内部インタフェースに直接接続するDMZ

9. オプション:Security Zone セクションで、User defined を選択し、Specify Security Zone にチェックを入れ、インターフェイスのゾーンを選択します。

10. Anti-Spoofing オプションを設定する（「なりすまし防止オプション」を参照）。Perform Anti-Spoofing based on interface topology が選択されていることを確認します。

11. Anti-Spoofing action を選択します。

    • Prevent - なりすましパケットをドロップ
    • Detect - なりすましパケットを許可する。トラフィックを監視し、パケットをドロップせずにネットワークのトポロジーを知るには、このオプションをSpoof Tracking Log オプションと一緒に選択します。

12. アンチ・スプーフィング例外を設定する（オプション）。例えば、Anti-Spoofingによってパケットを検査しないアドレスを設定することができます。

    1. Don't check packets fromを選択します。

    2. ドロップダウン・リストからオブジェクトを選択するか、New をクリックして新規オブジェクトを作成します。

13. ConfigureSpoof Tracking - スプーフィングされたパケットが検出されたときに実行される追跡アクションを選択します。

    • Log - ログエントリーを作成する（デフォルト）
    • Alert - アラートを表示する
    • None - ログやアラートを出さない

14. OKをクリックします。 を2回押して、インターフェースのAnti-Spoofingの設定を保存します。

各インタフェースについて、設定手順を繰り返します。終了したら、アクセスコントロールポリシーをインストールします。