詳細設定

同じMACアドレスに割り当てられたIPアドレスがARPスプーフィング攻撃を示す期間（秒単位）

［脅威対策］>［アンチスパムの例外］ページで手動で許可されたEメールを追跡するオプションです。

スキャンするEメールのコンテンツの最大サイズ (KB) を表示します。

IPレピュテーション テストの結果を待つタイムアウト (秒) 時間を表示します。

検索エンジンによって作成されたキャッシュ ページおよび変換ページのURL分類を行うかどうかを表示します。

URLフィルタリング ポリシーがユーザのブラウザのセーフサーチ設定を上書きするかどうかを表示します。ユーザの設定に関わらず厳格なセーフサーチ設定は適用されます。明白に性的なコンテンツは検索エンジンの結果から除去されます。

HTTPセッション中にユーザが様々なサイトおよびアプリケーションに接続していた合計時間のログを表示します。

一部のWebベースの保護は検出時にエラー ページを表示できます。このエラー ページは設定可能です。

次のエラー ページがサポートされます。

• マリシャス コード プロテクタ

• クロスサイト スクリプティング

• LDAPインジェクション

• SQLインジェクション

• コマンド インジェクション

• ディレクトリ トラバーサル

• ディレクトリ リスティング

• エラー コンシールメント

• HTTPフォーマット サイズ

• ASCIIオンリー リクエスト

• ASCIIオンリー レスポンス ヘッダ

• HTTPメソッド

これらのオプションからすべての保護に適用するオプションを1つ選択します。

• 表示しない

• ［事前定義されたHTMLエラー ページの表示］ - 攻撃を検出したときに開くHTMLページを設定できます。ページを設定するには、［詳細設定］>［IPSエンジン設定］>［HTMLエラー ページ設定］に移動します。

• ［別のURLにリダイレクト］ - 攻撃を検出したときにユーザをリダイレクトするURLを入力します。検出した攻撃の詳細な情報を提供するエラー コードを追加することもできます。ただし、情報が攻撃者によって悪用される可能性があるため推奨されません。

ブロックされたMACアドレスをログに記録するかどうかを示します。

ペアリング コードの期限が切れるまでの期間 (時間)。

タイプ: 整数

IPプールは、ゲートウェイがルーティングできるIPアドレス (アドレス範囲、それらのオブジェクトのひとつのネットワークまたはグループ) の範囲です。サーバへの接続が開かれると、ゲートウェイはソースIPアドレスの代わりにIPプールからIPアドレスを使用します。サーバからのリプライ パケットがゲートウェイに返されるときは、元のソースIPアドレスが復元されてからパケットがソースに転送されます。

IPプールNATを使用する場合は、既存のIPアドレス範囲オブジェクトを選択します。ただし、［ユーザ&オブジェクト］>［ネットワーク オブジェクト］ページで事前に定義する必要があります。IPプールNATメカニズムにより、この範囲からIPアドレスの割り当てが行われます。

• VPNクライアント接続にIPプールNATを使用 - VPNリモート アクセス クライアントからゲートウェイへの接続に適用します。

• IPプールNATをゲートウェイ間の接続に使用 - サイト間のVPN接続に適用します。

• Hide NATよりIPプールNATを優先 - 両者が同じ接続をマッチしたときIPプールNATがHide NATより優先するように指定します。IPプールが使い尽くされている場合は、Hide NATのみが適用されます。

• プールのIPアドレスを別の宛先に再利用 - 異なる宛先にはプールからIPアドレスを再利用するには、このオプションを選択します。

• 未使用アドレスの間隔 - 使用されていないアドレスをIPアドレス プールに戻すまでの間隔を分単位で指定します。

• アドレス枯渇の追跡 - IPプールが尽きたときに発行するログのタイプを指定します。

• アドレスの割り当てと解放の追跡 - IPプールからのIPアドレスの各割り当ておよび解放を記録するかどうかを指定します。

Hide NAT容量に追加容量を加えるかどうかを表示します。

NATキャッシュ エントリの有効期限を分単位で表示します。

NATテーブルのハッシュ バケット サイズを表示します。

ローカルIPアドレスをクラスタIPアドレスで隠すか（該当する場合）、または逆に各クラスタ メンバの物理IPアドレスを隠すのかを表示します。

通知がモバイル アプリケーションに送信されたかどうか

レポートPDFの生成に使われるクラウド サーバURL

データが送信される前にクライアントが終了した接続をログに記録します。これは、クライアントがCA証明書をインストールしていない可能性があることを表示します。

SSLインスペクションの検証を追跡するかどうか。

期限切れ証明書の接続をSSLインスペクション メカニズムで破棄するかどうかを表示します。

ルール ベースによって許可された非ICMP接続 (継続中のTCPまたはUDP接続など) を参照するICMPエラー パケットを許可します。

不明なサービスに対するステートフルUDP応答を許可するかどうかを指定します。各UDPサービス オブジェクトについて、サービスがトラフィックを許可するルールに合致する場合に、それに対するUDPリプライを許可するかどうかを設定できます。このパラメータはサービス オブジェクトが対象としないすべての接続を参照します。

内部ネットワークとDMZネットワーク間のトラフィックでのディープ パケット インスペクションを許可します。

注 - DMZは1530/1550アプライアンスではサポートされていません。

"バーチャル セッション" にはないICMPパケットを破棄します。

破棄されたステート外ICMPパケットをログ記録するかどうかを表示します。"ステート外ICMPパケットの破棄" パラメータを参照してください。

この時間 (秒) を過ぎたTCP、UDPまたはICMP以外のバーチャル ッションはタイムアウトしたと見なされます。

TCPセッションのタイムアウト (秒) 時間を表示します。この時間 (秒) 以上にアイドリングが続いたTCPセッションはタイムアウトします。

ゲートウェイを通過する各TCPセグメントについて、ゲートウェイはセグメント受信通知を受けるまでセグメントのコピーを保持します。これによりバッファされたデータはゲートウェイのメモリの容量を占有します。このパラメータはバッファするセグメントの数とサイズを接続ごとに制限します。接続がこれらの制限のいずれかに達すると、ゲートウェイはバッファされたセグメントが認知されるまでその接続の新たなセグメントを受け付けなくなります。

ゲートウェイを通過する各TCPセグメントについて、ゲートウェイはセグメント受信通知を受けるまでセグメントのコピーを保持します。通知の受信がない場合、ソース マシンはセグメントを再送信し、ゲートウェイがコピーと比較して新しいパケットが元のパケットと一致しているか確認します。元のセグメントと一致しない再送信を通すことにより、未検査データを目的のアプリケーションに届けることができます。これにより、元のセグメントと異なるセグメントの再送信がブロックされ、ゲートウェイが受信側アプリケーションで処理されるすべてのデータを確実に検査できるようになります。検出するように設定した場合、このような再送信によってトラフィックがブレードの詳細な検査をバイパスします。

IPSが検査していない接続を開始しようとして、変更されたシーケンス番号でTCP SYNパケットが再送信されることがあります。このため、シーケンス番号が変更されたSYNの再送信をブロックします。検出するように設定した場合、このような再送信によってトラフィックがブレードの詳細な検査をバイパスします。

ネストされたMIMEコンテンツを含むメールに対して、ThreatSpectエンジンがどのネスト レベルのメールまでスキャンするかを示す最大ネスト レベル数を設定します。

スキャンを最適化するために、セキュリティとパフォーマンスの優先度に従ってスキャンします。

POP3でのThreat Emulationエンジンのモード:

• バックグラウンド - ファイルのエミュレーションが完了するまで許可 (必要な場合)

• ホールド - ファイルのエミュレーションが完了するまでブロック

Public ThreatCloudまたはリモート (プライベート) SandBlastでエミュレーションを実行するかどうかを示します。

内部システムエラーまたはオーバーロードが起きた場合、トラフィックに対して実行するアクション（［すべてのリクエストを許可］または［すべてのリクエストをブロック］）を示します。

警告:［フル］に設定変更すると、セキュリティに重大な影響を与えます。

HTTP接続はさまざまなセッションで構成されていることがあります。1つのHTTP接続の一部のファイルはHTTPセッションを通過します。

［検査するファイル サイズの制限］の設定が0でない場合、［HTTP検査のスキップ方法］を［デフォルト］に設定すると、ファイルの検査がそのセッションの終わりまでスキップされ、次のHTTPセッションから再開されます。

［検査するファイル サイズの制限］の設定が0でない場合に［HTTP検査のスキップ方法］の設定を［フル］に変更すると、ファイルの検査がその接続の終わりまでスキップされ、次の接続から再開されます。これによってその接続の残りの検査が速まり、パフォーマンスが改善されます。しかし、［フル］への設定変更はセキュリティに重大な影響を与えるためお勧めしません。その接続の残りのセッションは検査されないままになります。

インターネット プロービングが有効かつリセット タイプの時、USB モデム ウォッチドッグが有効かどうかを示します。

インターネットをプローブしてもインターネット アクセスがない場合、USB モデム ウォッチドッグを有効にするために、次のリセット オプションのいずれかを選択します。

• ［無効］ - デフォルト。

• ［ハード リセット］ - USBモデムの電源をオフにしてから再投入します。

• ［ゲートウェイ リセット］ - アプライアンスを再起動します。

• ［ハード ゲートウェイ リセット］ - 最初にゲートウェイを再起動します。成功しない場合は、アプライアンスを再起動します。

［ユーザ&オブジェクト］>［ユーザ認識］>［ブラウザ ベース認証］>［認識］タブで［キャプティブ ポータルが利用できない場合は認識できないユーザをブロック］が選択されているとき、認証されないユーザからのDNSトラフィックはブロックされないことを示します。

DNSトラフィックを許可しないと、エンドユーザのブラウザでキャプティブ ポータルを表示できないことがあるためです。

複数のセッションへのログインを許可するかどうかを示します。このオプションが無効の場合、ユーザが同じ認証情報で2度目にログインすると、最初のセッションは切断されます。

リモート クライアントのパスワードの有効性が維持されるのは設定した時間のみかどうかを示します（認証タイムアウトの属性）。

ゲートウェイで隠れている暗号化ドメインからクライアントへの逆向き接続を有効にします。

このダイアログ ボックスを使用して、ビジター モードの特定のインタフェースを設定できます。ビジター モードでは、リモート アクセス クライアントからのIKE接続のバックアップとして、アプライアンスにより指定されたポート（デフォルトはポート443）でTCPTトラフィックの待ち受けをすることができます。

一般に、このモードの使用によって、ホテルなど制約のある環境でのVPNリモート アクセスを可能にします。

特定のインタフェースだけにビジター モードを有効にすることはお勧めしません。

IKEフェーズの1および2に、どのIKE暗号化メソッド（バージョン）が使用されるかを示します。

リモート アクセス クライアントからのIPSecパケットが圧縮されるかどうか

リモート アクセス クライアントを扱う場合、クライアントのアドレスが不明なため、アプライアンスではIKEフェーズ1ネゴシエーションを開始できません。アプライアンスにおいてリモート アクセス クライアントを含むアクティブなSAがある状態で再起動した場合、SAが失われるためアプライアンスではIKEフェーズ1ネゴシエーションを開始できません。しかし、再起動オプションが選択されている場合はトンネルの詳細情報が1分ごとにアプライアンスに保存されます。アプライアンスの再起動後に最初の暗号化パケットが届くと、アプライアンスによってSA削除メッセージが送信されます。これにより、リモート クライアントは古いSAを破棄し、さらに、IKEフェーズ1を開始してトンネルを再構築します。

SSL VPNポータルでサポートする最低限のTLSプロトコル バージョンを示します。 セキュリティ上の理由から、TLS 1.2およびそれ以上のサポートを推奨します。

• ［オフィス モードでアンチスプーフィングを実行］ - このオプションを選択した場合、カプセル化されたパケットのIPアドレスがオフィス モードIPアドレスになっているが、オフィス モードで作業中のクライアントのアドレスから確かに送信されたものかをVPNによって確認します。IPアドレスがDHCPサーバで割り当てられる場合、アンチスプーフィング実行のために、VPNはDHCPスコープから割り当てられたアドレスの範囲を知る必要があります。DHCPスコープを表すネットワーク オブジェクトを定義し、それを選択します。

• ［各サイトにシングル オフィス モード］ - リモート ユーザが接続して、ゲートウェイからオフィス モードIPアドレスを受け取った後は、このゲートウェイ暗号化ドメインに対するすべての接続では、オフィス モードIPが内部の送信元IPとして使用されます。オフィス モードIPは、暗号化ドメインのホストがリモート ユーザのIPアドレスとして認識するアドレスです。特定のゲートウェイが割り当てるオフィス モードIPアドレスは、それ自体の暗号化ドメインと共に、隣接する暗号化ドメインでも使用できます。隣接する暗号化ドメインは、アドレスを割り当てたゲートウェイと同じVPNコミュニティに属すゲートウェイの背後にある必要があります。リモート ホスト接続は、受け取ったオフィス モードIPアドレスに依存しているため、IPを発行したゲートウェイが使用不能になると、このサイトに対するすべての接続が終了します。

オフィス モード（IPアドレスをリモート アクセス クライアントに割り当て）が無効になっているかどうかを示します。このオプションは選択しないことをお勧めします。

IPプールNAT設定をオフィス モードのユーザに適用しない。SecureClientやその他のVPNクライアントを使用する場合、この措置が必要です（sk20251を参照）。

デフォルトのリモート アクセス ポートはポート443番です。このポート番号を使用している別のサーバと競合が生じる場合、別のリモート アクセス ポートに設定します。Check PointのVPNクライアント、Mobileクライアント、SSL VPNリモート アクセス メソッドのいずれかが有効で、ポート443番をデフォルトで使用している場合、デフォルトのリモート アクセス ポートを変更する必要があります。デフォルトのポート番号443を変更する場合、必ず［ポート443番をポート転送に予約］を選択してください。

SSL Network Extenderリモート アクセス ユーザの再認証までの時間（分）を示します。

RC4暗号化アルゴリズムがデフォルト アルゴリズムと同様SSLクライアントでサポートされるかどうか

このパラメータを使用して、SSL Network Extenderクライアントをインストールする条件を設定できます。設定オプションは以下のとおりです。自動的にアップグレードしない、常にアップグレード、アップグレードするかどうかユーザに確認（デフォルト）。

設定したトポロジ アップデートがデフォルトの'週に一度'のポリシーを上書きするかどうか

リモート アクセス クライアントにより、証明書失効リストでデバイス証明書の確認をします。

管理イベント（たとえば、証明書の有効期限が間もなく切れる場合）を記録する方法を示します。

パケット数がこのしきい値に達する場合、他のクラスタ メンバを含む同期SA。

暗号化/復号IPSecパケットへDiffServマークをコピーします。

IKE SAをデッド ピアから削除します。

永続的VPNトンネルが有効でトンネル テストが失敗する場合、該当するピアのトンネルSAを削除します。

有効な場合、アプライアンスからのDNSリクエストは暗号化されません。(DNSサーバがVPNピアの暗号化ドメインにある場合)

CRLの猶予期間は、アプライアンスとリモートCAとのシステム時刻のずれの問題を解決するために必要です。

猶予期間によってCRL有効期間を拡げることができます。

リモート サイトの失効した証明書が失効後も有効とみなされる時間（秒）を示します。

認識しているIPアドレスからのIKE DoSに対する保護がアクティブになっており、潜在的な攻撃者を検出できる方法であるかどうかを示します。

IKEセッションで使われるIPアドレスが、着信接続の応答時の宛先に基づくか、または基本の発信元IPアドレス リンク選択設定に基づくかどうか

暗号化/復号処理中、パケットのDFフラグ（「断片化しない」）が保持されるかどうかを示します。

VPN設定エラーまたは鍵交換エラーのログ記録の方法を示します。

トンネル同時使用の最大数を示します。

発信VPNリンクのログ記録の方法を示します（ログ記録、ログ記録しない、警告）。

VPNパケット処理エラーのログ記録の方法を示します（ログ記録、ログ記録しない、警告）。

トンネルがダウンした場合のログ記録の方法を示します（ログ記録、ログ記録しない、警告）。

RDPパケット応答のタイムアウト（秒）。

キー交換が正常に行われた場合のログ記録の方法を示します（ログ記録、ログ記録しない、警告）。

ローカル ゲートウェイから送られる暗号化接続に、内部インタフェースのIPアドレスを接続ソースとして使います。