拡張Webフィルタリング
Forcepoint(旧Websense)を使用した拡張Webフィルタリング(EWF)は、統合されたURLフィルタリングソリューションです。デバイス上でソリューションを有効にすると、HTTPとHTTPSのリクエストを傍受し、HTTP URLまたはHTTPS送信元IPをWebsense ThreatSeeker Cloud(TSC)に送信します。TSCは、URLを事前定義された1つ以上のカテゴリに分類し、サイトのレピュテーション情報も提供します。さらに、TSCはURLカテゴリとサイトのレピュテーション情報をデバイスに返します。デバイスは、TSCから提供された情報に基づいて、リクエストを許可またはブロックできるかどうかを判断します。
機能エクスプローラーを使用して、特定の機能のプラットフォームとリリースのサポートを確認します。
プラットフォームに関連する注意事項については、「プラットフォーム固有の拡張Webフィルタリング動作」セクションを参照してください。
拡張Webフィルタリングを理解する
Webフィルタリングを使用すると、インターネットアクセスを管理し、不適切なWebコンテンツへのアクセスを防止できます。
拡張Webフィルタリングの仕組み
拡張Webフィルタリング(EWF)機能は、HTTPまたはHTTPSトラフィックを傍受、スキャンし、それに対応します。HTTPメソッドは次のとおりです。
-
取得
-
投稿
-
オプション
-
ヘッド
-
プット
-
削除
-
トレース
-
接続
以下は、EWFプロセスを理解するための手順です。
デバイスは、Websense ThreatSeeker Cloud(TSC)へのTCPソケット接続を作成します。
- デバイスは、HTTPまたはHTTPS接続を傍受し、URL、ホスト名、またはIPアドレスを抽出して、Webフィルタリングを実行します。HTTPS接続の場合、EWFはSSLフォワードプロキシを介してサポートされます。また、SSLフォワードプロキシがトラフィックの復号化に使用されていない場合は、サーバー名表示(SNI)を使用してサポートされます。
Junos OSリリース12.3X48-D25およびJunos OSリリース17.3R1以降、SSLフォワードプロキシを介した拡張Webフィルタリング(EWF)はHTTPSトラフィックをサポートします。
デバイスは、ユーザーが設定したブロックリストまたは許可リストでURLを探します。
ブロックリストまたは許可リストアクションタイプは、ユーザーが定義したカテゴリで、すべてのURLまたはIPアドレスが常にブロックまたは許可され、オプションでログに記録されます。
URLがユーザー設定のブロックリストに含まれている場合、デバイスはURLをブロックします。
URLがユーザー設定の許可リスト内にある場合、デバイスはURLを許可します。
デバイスは、ユーザー定義のカテゴリをチェックし、カテゴリに対するユーザー指定のアクションに基づいてURLをブロックまたは許可します。
デバイスは、ローカルキャッシュまたはクラウドサービスから定義済みのカテゴリを探します。
URLフィルタリングキャッシュでURLが利用できない場合、デバイスは分類をリクエストしてHTTP形式でURLをTSCに送信します。デバイスは、TSCで使用可能になった接続の1つを使用してリクエストを送信します。
TSCは、分類とレピュテーションスコアでデバイスに応答します。
デバイスは、識別されたカテゴリに基づいて以下のアクションを実行します。
URLが許可されている場合、デバイスはHTTPリクエストをHTTPサーバーに転送します。
URLがブロックされている場合、デバイスはHTTPクライアントに拒否ページを送信し、HTTPサーバーにもリセットメッセージを送信して接続を閉じます
URLが隔離されている場合、デバイスはset-cookieを含む隔離ページをHTTPクライアントに送信します。クライアントが続行することを決定した場合、デバイスは Cookie を使用して新しいリクエストを許可します。
カテゴリが設定されていて、カテゴリアクションが使用可能な場合、デバイスはカテゴリアクションに基づいてURLを許可またはブロックします。
カテゴリが設定されていない場合、デバイスはグローバルレピュテーションアクションに基づいてURLを許可またはブロックします。
グローバルレピュテーションが設定されていない場合、デバイスはWebフィルタリングプロファイルで設定されたデフォルトアクションに基づいてURLを許可またはブロックします。
デフォルトでは、EWFはブロックリスト、許可リスト、カスタムカテゴリ、割り当て済みカテゴリの順にURLを処理します。
ユーザーメッセージとリダイレクトURL
リリース15.1X49-D110 Junos OS、custom-objectsコマンドに新しいオプションcustom-messageが追加され、各EWFカテゴリでURLがブロックまたは隔離された場合に、ユーザーメッセージとリダイレクトURLを設定してユーザーに通知できます。custom-messageオプションには、以下の必須属性があります。
-
名前: カスタムメッセージの名前。最大長は59バイトです。
-
タイプ: カスタムメッセージのタイプ:
user-messageまたはredirect-url。 -
コンテンツ: カスタムメッセージの内容。最大長は1024バイトです。
ユーザーメッセージまたはリダイレクトURLをカスタムオブジェクトとして設定し、カスタムオブジェクトをEWFカテゴリに割り当てます。
-
ユーザーメッセージは、Webサイトへのアクセスが組織のアクセスポリシーによってブロックされたことを示します。ユーザーメッセージを設定するには、
[edit security utm custom-objects custom-message message]階層レベルでtype user-message content message-textステートメントを含めます。 -
リダイレクトURLは、ブロックまたは隔離されたURLをユーザー定義のURLにリダイレクトします。リダイレクトURLを設定するには、
[edit security utm custom-objects custom-message message]階層レベルでtype redirect-url content redirect-urlステートメントを含めます。
custom-messageオプションには、次の利点があります。
-
EWFカテゴリごとに個別のカスタムメッセージまたはリダイレクトURLを設定できます。
-
custom-messageオプションでは、ポリシーをサポートするようにメッセージを微調整し、どのURLがブロックまたは隔離されているかを知ることができます。各カテゴリに適用される
custom-message設定オプションは1つだけです。custom-message設定は、拡張Webフィルタリング(EWF)でのみサポートされています。そのため、サポートされるのはジュニパー EWF エンジン タイプのみです。
Junos OSリリース17.4R1以降、ローカルおよびWebsenseリダイレクトプロファイルでカスタムカテゴリ設定のサポートが利用可能になりました。
機能要件
拡張Webフィルタリング(EWF)を使用するには、以下の項目が必要です。
License key— EWFソリューションをアクティブ化して使用するには、新しいライセンスが必要です。
「'wf_key_websense_ewf' ライセンスが必要です」という警告メッセージは、定期的な EWF ライセンス検証チェックによって生成されるため、無視してかまいません。
ライセンスキーの有効期限が切れた後は、他のコンテンツセキュリティ機能と同様に、EWF機能には30日間の猶予期間が設けられます。
この機能にはライセンスが必要です。ライセンス管理の一般的な情報については、 ライセンスガイド を参照してください。詳細については、 SRXシリーズファイアウォール の製品データシートを参照するか、ジュニパーアカウントチームまたはジュニパーパートナーにお問い合わせください。
EWF 機能の猶予期間が過ぎた場合(または機能がインストールされていない場合)、Webフィルタリングが無効になり、すべてのHTTP要求がWebフィルタリングをバイパスされ、TSCへのすべての接続が無効になります。有効なライセンスをインストールすると、サーバーへの接続が再び確立されます。
debugコマンドは、デバイスで利用可能な各TCP接続に以下の情報を提供します。処理されたリクエスト数
保留中のリクエスト数
エラー数(リクエストのドロップまたはタイムアウト)
TCP connection between a Web client and a webserver—アプリケーション識別(APPID)モジュールは、HTTP接続を識別するために使用されます。EWFソリューションは、デバイスが最初のSYNパケットを受信した後にHTTP接続を識別します。HTTPリクエストをブロックする必要がある場合、EWFはデバイスからWebクライアントにブロックメッセージを送信します。さらに、EWFはTCP FINリクエストをクライアントに送信し、TCPリセット(RST)をサーバーに送信して接続を無効にします。デバイスは、フローセッションを介してすべてのメッセージを送信します。メッセージはサービスチェーン全体を追跡します。
HTTP request interception—EWFはデバイス上の最初のHTTPリクエストを傍受し、HTTP 1.0およびHTTP 1.1で定義されたすべてのメソッドでURLフィルタリングを実行します。デバイスは、TSCからの応答を待っている間、元のリクエストを保持します。HTTP URLの最初のパケットがフラグメント化されている場合、または何らかの理由でデバイスがURLを抽出できない場合、宛先IPアドレスが分類に使用されます。
http-reassembleをオンにすると、EWFはリクエスト全体をフラグメントから復元し、URLを取得できます。HTTP 1.1 永続接続の場合、そのセッションの後続の要求は EWF モジュールによって無視されます。
デバイスが元のリクエストを長時間保持している場合、クライアントはリクエストを再送信します。URLフィルタリングコードは、再送信されたパケットを検出します。元のHTTPリクエストがすでに転送されている場合、EWFは再送信されたパケットをサーバーに転送します。ただし、EWFが最初のパケット処理の途中にある場合、またはセッションをブロックする計算を行う場合、ソリューションは再送信されたパケットを破棄します。カウンターは、デバイスが受信した再送信パケットの数を追跡します。
TSC がデバイスからの分類要求に間に合うように応答しない場合、タイムアウト フォールバック設定に従って元のクライアント要求がブロックまたは許可されます。
HTTPS request interception—Junos OS 15.1X49-D40およびJunos OSリリース17.3R1以降、EWFはSRXシリーズファイアウォールを通過するHTTPSトラフィックを傍受します。デバイスからのセキュリティチャネルは、クライアントとデバイス間のSSLチャネルと、デバイスとHTTPSサーバー間のSSLチャネルとして分割されます。SSLフォワードプロキシは、両方のチャネルの端末として機能し、クリアテキストのトラフィックをコンテンツセキュリティに転送します。コンテンツセキュリティは、HTTPリクエストメッセージからURLを抽出します。
Blocking message—Webクライアントに送信されるブロッキングメッセージは、ユーザーが設定可能で、以下のタイプがあります。
ジュニパーネットワークスのブロックメッセージは、デバイスで定義されているデフォルトメッセージであり、ユーザーが変更できます。デフォルトのブロックメッセージには、リクエストがブロックされた理由とカテゴリ名(カテゴリが原因でブロックされた場合)が含まれています。
Syslogメッセージ。
例えば、Enhanced_Search_Engines_and_Portalsにブロックするアクションを設定しているときに www.example.com にアクセスしようとすると、ブロックメッセージは次のような形式になります。 Juniper Web Filtering:Juniper Web Filtering has been set to block this site. CATEGORY: Enhanced_Search_Engines_and_Portals REASON: BY_PRE_DEFINED 。ただし、DUT(テスト対象デバイス)上の対応するsyslogメッセージは WEBFILTER_URL_BLOCKED: WebFilter: ACTION="URL Blocked" 56.56.56.2(59418)->74.125.224.48(80) CATEGORY="Enhanced_Search_Engines_and_Portals" REASON="by predefined category" PROFILE="web-ewf" URL=www.example.com OBJ=/ です。
Monitoring the Websense server—URLフィルタリングモジュールは、TSCがアクティブかどうかを判断するために、ソケット接続とハートビートの2つの方法を使用します。EWF は、TSC への永続的な TCP ソケットを維持します。有効になっている場合、サーバーはTCP ACKで応答します。EWFは、アプリケーション層NOOPキープアライブをTSCに送信します。デバイスが特定の期間に 3 回連続して NOOP キープアライブに対する応答を受信しない場合、ソケットは非アクティブであると判断します。EWF モジュールは、TSC への新しい接続を開こうとします。すべてのソケットが非アクティブの場合、TSC は非アクティブと見なされます。そのため、エラーが発生します。エラーが表示され、ログに記録されます。後続の要求と保留中の要求は、TSC への新しい接続が再び開かれるまで、サーバー接続フォールバック設定に従ってブロックされるか、渡されます。
HTTP protocol communication with the TSC—EWFは、HTTP 1.1プロトコルを使用してTSCと通信します。これにより、永続的な接続と、同じ接続を介した複数のHTTPリクエストの送信が保証されます。クライアントまたはサーバー通信には、単一のHTTPリクエストまたはレスポンスが使用されます。TSC はキューに入れられたリクエストを処理できます。最適なパフォーマンスを得るには、非同期の要求または応答メカニズムが使用されます。リクエストはTCP経由で送信されるため、リクエストまたはレスポンスの配信を確実にするためにTCP再送信が使用されます。また、TCPは、正常かつ再送信されない有効なHTTPストリームデータが、デバイス上のHTTPクライアントに送信されることを保証します。
Responses—応答は基本的なHTTP規則に準拠しています。成功した応答には、20x応答コード(通常は200)が含まれます。エラー応答には、4xx または 5xx コードが含まれます。4xx シリーズのエラー応答は、カスタム コードに問題があることを示しています。5xx シリーズのエラー応答は、サービスに問題があることを示しています。
エラーコードと意味は次のとおりです。
400 - 不正なリクエスト
403 - 禁止
404–見つかりません
408 - リクエストのキャンセルまたは null 応答
500 - 内部サーバーエラー
400シリーズのエラーは、リクエストに問題があることを示しています。500シリーズのエラーは、TSCサービスに問題があることを示しています。Websenseは、これらのエラーを自動的に通知し、それに応じて対応します。
デフォルトのフォールバック設定を構成して、リクエストをパスするかブロックするかを決定できます。
set security utm feature-profile web-filtering juniper-enhanced profile juniper-enhanced fallback-settings default ?応答には、サイトの分類とサイトのレピュテーション情報も含まれています。
Categories—カテゴリリストがデバイス上で使用可能です。このリストはカテゴリで構成されており、各カテゴリにはカテゴリコード、名前、親IDが含まれています。カテゴリはユーザーが定義することもできます。各カテゴリは、URLまたはIPアドレスのリストで構成されています。カテゴリは動的に更新されず、Junos OSイメージにコンパイルする必要があるため、Junos OSリリースに関連付けられています。カテゴリ内の更新は、Junos OSのリリースサイクルと同期する必要があります。
Junos OSリリース17.4R1以降、新しいEWFカテゴリをダウンロードして動的に読み込むことができるようになりました。新しいEWFカテゴリのダウンロードと動的読み込みに、ソフトウェアのアップグレードは必要ありません。Websenseは、新しいEWFカテゴリをリリースすることがあります。EWFは、Webサイトをホスト、URL、またはIPアドレスに従ってカテゴリに分類し、カテゴリに基づいてフィルタリングを実行します。
プライマリデバイスとセカンダリデバイス間のカテゴリファイル転送に失敗した場合、ファイル転送でアップグレードエラーが発生し、エラーログが生成されます。
新しいカテゴリファイルのインストール中に、カテゴリファイル名が変更されると、新しいカテゴリファイルが内部システム内の古いカテゴリファイルを上書きし、関連するすべての出力情報が新しいカテゴリ名に置き換えられます。
Junos OSリリース17.4R1以降、カテゴリファイルで定義された定義済みの基本フィルターが、個々のEWFカテゴリでサポートされるようになりました。各 EWF カテゴリには、バックアップ フィルターとして機能するためにユーザー プロファイルにアタッチされたベース フィルター内のデフォルト アクションがあります。カテゴリがユーザープロファイルで設定されていない場合は、ベースフィルターがアクションを実行します。
ベースフィルターは、カテゴリファイルで定義されたすべてのカテゴリのカテゴリとアクションのペアを含むオブジェクトです。基本フィルターは構造化されたオブジェクトであり、フィルター名とカテゴリとアクションのペアの配列を使用して定義されます。
以下に、カテゴリとアクションのペアの配列を含む基本フィルターの例を示します。Enhanced_Adult_Materialカテゴリの場合、アクションはブロックです。Enhanced_Blog_Postingカテゴリの場合、アクションは許可です。一式です。
{ "predefined-filter": [ { "filter-name": "ewf-default-filter", "cat-action-table": [ {"name":"Enhanced_Adult_Material","action":"block"}, {"name":"Enhanced_Blog_Posting","action":"permit"}, {"name":"Enhanced_Blog_Commenting","action":"permit"} ] } ] }EWFは、最大16個の基本フィルターをサポートします。Junos OSリリース17.4R1では、ベースフィルターのオンラインアップグレードもサポートされています。
ユーザープロファイルの名前がベースフィルターと同じ場合、Webフィルターは間違ったプロファイルを使用しています。
Caching—正常に分類された応答がデバイスにキャッシュされます。未分類のURLはキャッシュされません。キャッシュのサイズは、ユーザーが設定できます。
Safe search (HTTP support only, not HTTPS)—安全な検索ソリューションを使用して、検索エンジンから受信したURL上の画像などの埋め込みオブジェクトが安全であり、望ましくないコンテンツがクライアントに返されないようにします。
分類情報を提供するためのURLがTSCに提供されます。検索URLの場合、TSCは安全な検索文字列も返します。例えば、セーフサーチ文字列は safe=activeです。この安全な検索文字列がURLに追加され、安全な検索でクライアントのクエリをリダイレクトするためのリダイレクト応答がオンになります。これにより、安全でないコンテンツがクライアントに返されることはありません。TSCがセーフサーチが必要であることを示している場合は、セーフサーチリダイレクトを実行できます。
たとえば、クライアントが EWF プロファイルで許可されている URL https://www.google.com/search?q=test にリクエストを行うとします。パケットモードでは、DUT上のEWFはリダイレクトURL https://www.google.com/search?q=test&safe=active のHTTP 302応答を生成します。この応答はクライアントに戻ります。クライアントは、このURLへの安全なリダイレクト要求を送信します。ストリームモードでは、DUT上のEWFがURLを https://www.google.com/search?q=test&safe=active に書き換えて転送します。
注:セーフ検索リダイレクトは、HTTPのみをサポートします。HTTPSのURLを抽出することはできません。そのため、HTTPS検索URLのリダイレクト応答を生成することはできません。セーフサーチリダイレクトは、CLIオプション
no-safe-searchを使用して無効にできます。Site reputation—TSCは、サイトのレピュテーション情報を提供します。これらのレピュテーションに基づいて、ブロックまたは許可アクションを選択できます。URLが許可リストまたはブロックリストで処理されておらず、ユーザーまたは事前定義されたカテゴリに該当しない場合、レピュテーションを使用してURLフィルタリングの決定を実行できます。
Junos OSリリース17.4R1以降、レピュテーションのベーススコアを設定できるようになりました。ユーザーは、Websense ThreatSeeker Cloud(TSC)が提供するグローバルレピュテーション値を適用できます。非カテゴリURLについては、グローバルレピュテーション値を使用してフィルタリングを実行します。
レピュテーションスコアは次のとおりです。
100-90–サイトは非常に安全であると考えられています。
80-89–サイトは中程度の安全性と見なされています。
70-79–サイトはかなり安全であると考えられています。
60-69 - サイトは疑わしいと見なされます。
0-59–サイトは有害と見なされます。
デバイスは、サイトのレピュテーションスコアに基づいてブロックまたは許可されたURLのログを保持します。
Profiles—URLフィルタリングプロファイルは、カテゴリのリストとして定義され、各プロファイルにはアクションタイプ(許可、ログアンド許可、ブロック、隔離)が関連付けられています。事前定義されたプロファイル junos-wf-enhanced-defaultは、ユーザーが独自のプロファイルを定義しないことを選択した場合に提供されます。
また、プロファイル内のサイトレピュテーションに基づいてアクションを定義し、受信URLがプロファイルで定義されたカテゴリのいずれにも属しない場合のアクションを指定することもできます。サイトのレピュテーション処理情報を設定しない場合は、デフォルトのアクションを定義できます。プロファイルに定義されたカテゴリまたは定義されたレピュテーションアクションがないすべてのURLは、プロファイルで明示的に定義されたデフォルトのアクションに対するブロックまたは許可の処理に応じて、ブロック、許可、ログ記録および許可、または隔離されます。デフォルトのアクションを指定しない場合、URLが許可されます。検索エンジンリクエストの場合、明示的なユーザー定義設定がなく、URLリクエストにセーフサーチオプションがない場合、EWFはリダイレクト応答を生成してクライアントに送信します。クライアントは、セーフサーチオプションを有効にした新しい検索リクエストを生成します。
URLフィルタリングプロファイルには、以下の項目を含めることができます。
複数のユーザー定義および事前定義されたカテゴリ(それぞれに許可またはブロックアクションあり)
複数のサイトレピュテーション処理カテゴリ(それぞれに許可またはブロックアクションあり)
許可またはブロックアクションを含む1つのデフォルトアクション
検索の順序は、ブロックリスト、許可リスト、ユーザー定義カテゴリ、事前定義カテゴリ、セーフサーチ、サイトレピュテーション、デフォルトアクションです。
キャッシュのプリロード
Junos OS リリース 23.2R1 以降、キャッシュには、システム起動段階の分類情報とともに、よくアクセスされる上位の URL リストがロードされます。これは、インターネット接続が遅く、リモート分類サービスによりWebへのアクセス中に高い遅延が発生するユーザーにとって便利です。Webフィルターポリシーは、キャッシュにプリロードされているURLカテゴリ情報に基づいて決定されるため、最初のリクエストが行われた場合でも遅延はありません。
キャッシュはデフォルトでは有効になっていません。この機能を使用するには、キャッシュが有効になっていることを確認してください。拡張Webフィルタリング(EWF)のキャッシュを有効にするには、以下の設定が必要であり、SRXシリーズファイアウォールで使用できます。
-
security utm default-configuration web-filtering juniper-enhanced cache timeout -
security utm default-configuration web-filtering juniper-enhanced cache size
拡張Webフィルタリング用のキャッシュプリロードには、以下のCLI設定ステートメントオプションを使用します。
security {
utm {
default-configuration {
web-filtering {
juniper-enhanced {
cache-preload {
feed-url <URL>;
automatic {
interval 1;
retry 1;
feed-type <server-names-feed>;
}
}
}
}
}
}
}
| フィードURL | デフォルトのハードコードされたファイルの代わりに代替ファイルをダウンロードするために使用します。必須ではありません。設定されていない場合は、ハードコードされたデフォルトが使用されます。 デフォルトのフィードURL: https://update.juniper-updates.net/EWF-CACHE-PRELOAD/ フィードタイプに基づいて、以下のデフォルトのいずれかが使用されます。 https://update.juniper-updates.net/EWF-CACHE-PRELOAD/abs_urls_feed.tgz https://update.juniper-updates.net/EWF-CACHE-PRELOAD/server_names_feed.tgz |
| 自動 | ユーザーの操作なしに、ダウンロードとプリロードキャッシュを自動的に設定するために使用します。 |
| 自動間隔<時間単位> | 自動キャッシュのプリロードをスケジュールするために使用します。自動オプションが指定されている場合は必須です。 |
| 自動再試行<時間単位> | 何らかの理由で自動キャッシュのプリロードが失敗した場合の再試行をスケジュールするために使用します。自動オプションが指定されている場合は必須です。 |
| 自動フィードタイプ<abs-urls-feedまたはserver-names-feed> | 自動ダウンロードやプリロード機能で使用するフィードの種類を指定するために使用します。自動オプションが指定されている場合は必須です。 |
次のコマンドを使用して、キャッシュ内のエントリーの最大数を制限できます。
set security utm default-configuration web-filtering juniper-enhanced cache size ?
可能な補完:
<size> Juniper enhanced cache size (0..4096 kilobytes)
拡張Webフィルタリングキャッシュプリロード機能用の新しい操作コマンドをCLIから使用できます。
操作コマンドを使用して、リモートサーバーから選択したURLフィードをダウンロードできます。フィードURLオプションは、デフォルトのハードコードされたファイルの代わりに代替ファイルをダウンロードする場合に便利です。Feed-URLオプションを使用しても、server-names-feedオプションとabs-urls-feedオプションは、指定したパッケージで利用可能なフィードのタイプを示すために必要です。
-
request security utm web-filtering cache-preload download abs-urls-feed -
request security utm web-filtering cache-preload download server-names-feed -
request security utm web-filtering cache-preload download server-names-feed feed-url https://update.juniper-updates.net/EWF-CACHE-PRELOAD/server_names_fp_feed.tgz -
request security utm web-filtering cache-preload download abs-urls-feed feed-url https://update.juniper-updates.net/EWF-CACHE-PRELOAD/abs_urls_fp_feed.tgz
タイプ server-names-feed のユーザー指定パッケージには、 server_names_feed.csv ファイルと server_names_feed.ver ファイルが含まれている必要があります。
タイプ abs-urls-feed must のユーザー指定パッケージには、 abs_urls_feed.csv ファイルと abs_urls_feed.ver ファイルが含まれています。
以下はハードコードされたリンクです。プログラムは、フィードタイプに基づいてリンクを選択します。
https://update.juniper-updates.net/EWF-CACHE-PRELOAD/abs_urls_feed.tgz
https://update.juniper-updates.net/EWF-CACHE-PRELOAD/server_names_feed.tgz
システム内の既存のURLフィードを使用してキャッシュのプリロードをトリガーするには、次の操作コマンドを使用します。ダウンロード用のコマンドを使用してパッケージが既にインストールされている場合、これらのコマンドはキャッシュを読み込みます。server-names-feedオプションを使用して、分類されたサーバー名をプリロードします。abs-urls-feedを使用して、分類されたURLフィードをプリロードします。
-
request security utm web-filtering cache-preload load-active-local server-names-feed -
request security utm web-filtering cache-preload load-active-local abs-urls-feed
以下を使用して、リモートサーバーからデフォルトのURLフィードをダウンロードしてインストールし、キャッシュをロードします。server-names-feedオプションを使用して、分類されたサーバー名をダウンロードします。abs-urls-feedを使用して、分類されたURLフィードをダウンロードします。
-
request security utm web-filtering cache-preload load-active server-names-feed -
request security utm web-filtering cache-preload load-active abs-urls-feed
キャッシュプリロード機能の状態を確認するには、次のコマンドを使用します。
user@host> show security utm web-filtering cache-preload status
インテリジェントなWebフィルタリングプロファイルの選択
Junos OSリリース23.2R1以降、最終的なポリシー一致が完了する前に、JDPIからの動的アプリ情報を使用してポリシー情報を取得するようになりました。Webフィルタープロファイルは、最終的なアプリケーション一致に基づいて最終的なポリシー選択後に再度更新されます。
動的アプリ情報に基づいて取得されるコンテンツ セキュリティ プロファイルは、以前のアプローチであった既定のプロファイルを適用するよりも正確です。
動的なアプリベースのポリシー検出がデフォルトの動作になりました。
コンテンツセキュリティポリシーの1つをデフォルトとして設定するために、以下のコマンドが導入されます。
set security utm default-policy <pol_name>
このコマンドを使用すると、デフォルトのポリシーとして任意のコンテンツセキュリティポリシーを選択できます。統合されたマルチポリシー設定シナリオでデフォルトポリシーが設定されている場合、デフォルトのコンテンツセキュリティWebフィルタリングポリシーが使用されます。設定されていない場合は、junos-default-utm-policyがデフォルトポリシーとして使用されます。
デフォルトポリシーの変更は、Webフィルタリングにのみ適用され、コンテンツフィルタリング、アンチウィルス、アンチスパムには適用されません。
dynapp-profile-selectionの設定を表示するには、以下のCLIコマンドを使用します。
show security utm web-filtering status
コンテンツセキュリティWebフィルタリングステータス:
Server status: Juniper Enhanced using Websense server UP JDPI Parser : Enabled Dynapp-profile-selection: Enabled
ポリシー ルックアップ アクティビティのデバッグ カウンター値を表示するには、次のコマンドを使用します。
show security utm l7-app-policy statistics
新しいカウンターが、デバッグ用のWebフィルタリング統計に追加されます。
| dynappポリシーと一致するセッション |
uf_ngセッションに関連するポリシーが、新しく識別されたapp-idに基づいて変更されるたびに増加します。 |
| デフォルトポリシーに一致したセッション |
接続に対して実行されたコンテンツセキュリティポリシーのアクションが、ユーザーが設定したデフォルトポリシーに基づいている場合に増加します。このカウンターは、ユーザーが設定したデフォルトポリシーが新しいダイナミックアプリで識別されるポリシーと同じ場合、またはユーザーが設定したデフォルトポリシーに有効なコンテンツセキュリティWebフィルタリングプロファイルがあり、既存のファイアウォールポリシーと一致するポリシーがない場合に増加します。 |
| 最終ポリシーと一致したセッション数 |
ポリシーの競合なしにコンテンツセキュリティポリシーに対してアクションが実行された場合に増加します。 |
show services application-identification application-system-cacheコマンドを使用して、AppIDモジュールで識別される動的アプリケーションを確認します。
関連項目
事前定義されたカテゴリのアップグレードとベースフィルター設定の概要
ソフトウェアをアップグレードすることなく、新しい拡張Webフィルタリング(EWF)カテゴリをダウンロードして動的に読み込むことができます。カテゴリ ファイルで定義されている定義済みの基本フィルターは、個々の EWF カテゴリでサポートされています。
ソフトウェアアップグレードなしで定義済みのカテゴリアップグレードを設定するには:
show security utm custom-objects
category-package{
automatic{
interval 60;
enable;
start-time "2017-09-05.08.08.08";
}
route-instance;
}
show security utm feature-profile web-filtering juniper-enhanced
server {
host rp.cloud.threatseeker.com;
}
sockets 8;
profile ewf_p1 {
+ base-filter gov-filter;
default log-and-permit;
timeout 15;
}
+reputation {
reputation-very-safe 90;
reputation-moderately-safe 80;
reputation-fairly-safe 70;
reputation-suspicious 60;
}
関連項目
例:拡張Webフィルタリングの設定
この例では、Webサイトへのアクセスを管理するためにEnhanced Webフィルタリング(EWF)を設定する方法を示しています。この機能は、すべてのSRXシリーズファイアウォールでサポートされています。EWFソリューションは、HTTPとHTTPSリクエストを傍受し、HTTP URLまたはHTTPS送信元IPをWebsense ThreatSeeker Cloud(TSC)に送信します。TSCは、URLを1つ以上の定義済みカテゴリに分類し、サイトのレピュテーション情報も提供します。さらに、TSCはURLカテゴリとサイトのレピュテーション情報をデバイスに返します。SRXシリーズファイアウォールは、TSCから提供された情報に基づいて、リクエストを許可またはブロックできるかどうかを判断します。
要件
この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。
SRX5600デバイス
Junos OSリリース12.1X46-D10以降
開始する前に、Webフィルタリングと拡張Webフィルタリング(EWF)について理解しておく必要があります。 Webフィルタリングの概要 と 拡張Webフィルタリングについて理解するを参照してください。
概要
Webフィルタリングは、ユーザーがHTTPおよびHTTPS経由でWebサイトにアクセスする方法を監視および制御するために使用されます。この例では、迂回するURLまたはアドレスのURLパターンリスト(許可リスト)を設定します。URLパターンリストを作成した後、カスタムオブジェクトを定義します。カスタムオブジェクトを定義した後、それらを機能プロファイルに適用して各プロファイルのアクティビティを定義し、機能プロファイルをコンテンツセキュリティポリシーに適用し、最後にWebフィルタリングコンテンツセキュリティポリシーをセキュリティポリシーにアタッチします。 表3は 、この例で使用されているEWF設定タイプ、手順、パラメーターに関する情報を示しています。
設定タイプ |
設定手順 |
設定パラメータ |
|---|---|---|
URL pattern and custom objects |
迂回するURLまたはアドレスのURLパターンリスト(許可リスト)を設定します。 1.2.3.4 http://www.example.net パターンを含む urllist3 というカスタムオブジェクトを作成します |
|
urllist3カスタムオブジェクトをカスタムURLカテゴリcusturl3に追加します。 |
|
|
Feature profiles |
Webフィルタリング機能プロファイルを設定します。 |
|
|
|
|
|
|
|
|
|
|
|
|
設定
この例では、カスタムURLパターン、カスタムオブジェクト、機能プロファイル、セキュリティポリシーを設定する方法を示しています。
- 拡張WebフィルタリングのカスタムオブジェクトとURLパターンの設定
- 拡張Webフィルタリング機能プロファイルの設定
- Webフィルタリングコンテンツセキュリティポリシーをセキュリティポリシーに添付する
拡張WebフィルタリングのカスタムオブジェクトとURLパターンの設定
CLIクイックコンフィグレーション
この例のセクションを迅速に設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。
set security utm custom-objects url-pattern urllist3 value http://www.example.net set security utm custom-objects url-pattern urllist3 value 1.2.3.4 set security utm custom-objects url-pattern urllistblack value http://www.untrusted.com set security utm custom-objects url-pattern urllistblack value 13.13.13.13 set security utm custom-objects url-pattern urllistwhite value http://www.trusted.com set security utm custom-objects url-pattern urllistwhite value 11.11.11.11 set security utm custom-objects custom-url-category custurl3 value urllist3 set security utm custom-objects custom-url-category custblacklist value urllistblack set security utm custom-objects custom-url-category custwhiltelist value urllistwhite
Junos OSリリース15.1X49-D110以降、WebフィルタリングプロファイルのURLパターンを作成するために必要なワイルドカード構文の「* 」は、すべてのサブドメインに一致します。例えば、*.example.net は以下に一致します。
http://a.example.net
http://example.net
a.b.example.net
カスタムカテゴリは、定義済みカテゴリの1つと同じ名前を持つ場合、定義済みカテゴリよりも優先されません。カスタムカテゴリには、定義済みのカテゴリに使用した名前と同じ名前を使用しないでください。
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『CLIユーザーガイド』の「構成モードでのCLIエディターの使用」を参照してください。
拡張WebフィルタリングでカスタムオブジェクトとURLパターンを設定するには:
迂回するURLまたはアドレスのURLパターンリスト(許可リスト)を設定します。URLパターンリストを作成した後、カスタムURLカテゴリリストを作成し、それにパターンリストを追加します。リスト名を作成し、次のように値を追加して、URLパターンリストカスタムオブジェクトを設定します。
注:URLパターンリストを使用してカスタムURLカテゴリリストを作成するため、カスタムURLカテゴリリストを設定する前にURLパターンリストカスタムオブジェクトを設定する必要があります。
[edit security utm] user@host# set custom-objects url-pattern urllist3 value [http://www. example.net 1.2.3.4]
注:URLパターンワイルドカードを使用するガイドラインは次のとおりです 。\*\.[]を使用します。\?* すべてのワイルドカードURLの前に http:// を付けます。「*」は、URLの先頭にあり、その後に「.」が続く場合にのみ使用できます。「?」はURLの末尾でのみ使用できます。
次のワイルドカード構文がサポートされています: http://*。example.net、 http://www.example.ne?、 http://www.example.n??。*.example.???,、http://*example.net、http://?のワイルドカード構文はサポートされていません。
パターン http://www.example.net を含むurllist3というカスタムオブジェクトを作成し、urllist3カスタムオブジェクトをカスタムURLカテゴリcusturl3に追加します。
[edit security utm] user@host# set custom-objects custom-url-category custurl3 value urllist3
信頼できないサイトと信頼できるサイトのリストを作成します。
[edit security utm] user@host# set custom-objects url-pattern urllistblack value [http://www.untrusted.com 13.13.13.13] user@host# set custom-objects url-pattern urllistwhite value [http://www.trusted.com 11.11.11.11]
信頼できないサイトと信頼できるサイトのURLパターンリストを使用して、カスタムURLカテゴリリストカスタムオブジェクトを設定します。
[edit security utm] user@host# set custom-objects custom-url-category custblacklist value urllistblack user@host# set custom-objects custom-url-category custwhitelist value urllistwhite
結果
設定モードから、 show security utm custom-objects コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の指示を繰り返して修正します。
[edit]
user@host# show security utm custom-objects
url-pattern {
urllist3 {
value [ 1.2.3.4 http://www.example.net ];
}
urllistblack {
value [ 13.13.13.13 http://www.untrusted.com ];
}
urllistwhite {
value [ 11.11.11.11 http://www.trusted.com ];
}
}
custom-url-category {
custurl3 {
value urllist3;
}
custblacklist {
value urllistblack;
}
custwhiltelist {
value urllistwhite;
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
拡張Webフィルタリング機能プロファイルの設定
CLIクイックコンフィグレーション
この例のセクションを迅速に設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。
Junos OSリリース12.3X48-D25以降、新しいCLIオプションが利用可能になります。 http-reassemble オプションと http-persist オプションが show security utm feature-profile web-filtering コマンドに追加されます。
set security utm default-configuration web-filtering juniper-enhanced set security utm default-configuration web-filtering juniper-enhanced cache size set security utm default-configuration web-filtering juniper-enhanced cache timeout set security utm default-configuration web-filtering juniper-enhanced server host rp.cloud.threatseeker.com set security utm default-configuration web-filtering juniper-enhanced server port 80 set security utm default-configuration web-filtering http-reassemble set security utm default-configuration web-filtering http-persist set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile category Enhanced_Hacking action log-and-permit set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile category Enhanced_Government action quarantine set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile site-reputation-action very-safe permit set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile default block set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile fallback-settings server-connectivity block set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile fallback-settings timeout block set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile fallback-settings too-many-requests block set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile timeout 10 set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile no-safe-search set security utm utm-policy mypolicy web-filtering http-profile ewf_my_profile set security policies from-zone utm_clients to-zone mgmt policy 1 then permit application-services utm-policy mypolicy
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『CLIユーザーガイド』の「構成モードでのCLIエディターの使用」を参照してください。
EWF機能プロファイルを設定するには:
EWFエンジンを構成し、キャッシュサイズとキャッシュタイムアウトパラメーターを設定します。
[edit security utm default-configuration web-filtering] user@host# set juniper-enhanced cache size user@host# set juniper-enhanced cache timeout
サーバーと通信するためのサーバー名またはIPアドレスとポート番号を設定します。システムのデフォルトホスト値は rp.cloud.threatseeker.com です。
[edit security utm default-configuration web-filtering] user@host# set juniper-enhanced server host rp.cloud.threatseeker.com user@host# set juniper-enhanced server port 80
http-reassembleステートメントを設定して要求されたパケットを再構築し、http-persistステートメントを設定して、同じセッション内のすべての HTTP 要求パケットをチェックします。http-reassembleステートメントがクリアテキストHTTPトラフィック用に設定されていない場合、EWFはパケットベースの検査での不完全な解析を避けるために、フラグメント化されたHTTPリクエストを再構築しません。http-persistステートメントがクリアテキストHTTPトラフィック用に設定されていない場合、EWFは同じセッション内のすべてのHTTPリクエストパケットをチェックしません。[edit security utm default-configuration web-filtering] user@host# set http-reassemble user@host# set http-persist
カテゴリに一致するものが見つからない場合に、URLに対して返されたサイトのレピュテーションに応じて実行するアクションを指定します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf_my_profile site-reputation-action very-safe permit
明示的に設定された他のアクションが一致しない場合のプロファイルのデフォルトアクションを指定します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf_my_profile default block
このプロファイルのフォールバック設定(ブロックまたはログに記録して許可)を構成します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf_my_profile fallback-settings default block user@host# set juniper-enhanced profile ewf_my_profile fallback-settings server-connectivity block user@host# set juniper-enhanced profile ewf_my_profile fallback-settings timeout block user@host# set juniper-enhanced profile ewf_my_profile fallback-settings too-many-requests block
タイムアウト値を秒単位で入力します。この制限に達すると、フォールバック設定が適用されます。この例では、タイムアウト値を 10 に設定します。セーフサーチ機能を無効にすることもできます。デフォルトでは、検索要求には安全な検索文字列が添付され、すべての検索要求が安全または厳密であることを確認するためにリダイレクト応答が送信されます。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf_my_profile timeout 10 user@host# set juniper-enhanced profile ewf_my_profile no-safe-search
WebフィルタリングHTTPプロトコル用のコンテンツセキュリティポリシー
mypolicyを設定し、ewf_my_profileをコンテンツセキュリティポリシーに関連付け、このポリシーをセキュリティプロファイルに添付して実装します。[edit security utm] user@host# set utm-policy mypolicy web-filtering http-profile ewf_my_profile
セキュリティポリシー
1にコンテンツセキュリティポリシーmypolicyを添付します。[edit] user@host# set security policies from-zone utm_clients to-zone mgmt policy 1 then permit application-services utm-policy mypolicy
結果
設定モードから、 show security utm feature-profile コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の指示を繰り返して修正します。
[edit]
user@host# show security utm
default-configuration {
web-filtering {
http-reassemble;
http-persist;
juniper-enhanced {
cache {
timeout;
size;
}
server {
host rp.cloud.threatseeker.com;
port 80;
}
}
}
}
feature-profile {
web-filtering {
http-reassemble;
http-persist;
juniper-enhanced {
profile ewf_my_profile {
category {
Enhanced_Hacking {
action log-and-permit;
}
Enhanced_Government {
action quarantine;
}
}
site-reputation-action {
very-safe permit;
}
default block;
fallback-settings {
server-connectivity block;
timeout block;
too-many-requests block;
}
timeout 10;
no-safe-search;
}
utm-policy mypolicy {
web-filtering {
http-profile ewf_my_profile;
}
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
Webフィルタリングコンテンツセキュリティポリシーをセキュリティポリシーに添付する
CLIクイックコンフィグレーション
この例のセクションを迅速に設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。
set security policies from-zone trust to-zone untrust policy sec_policy match source-address any set security policies from-zone trust to-zone untrust policy sec_policy match destination-address any set security policies from-zone trust to-zone untrust policy sec_policy match application any set security policies from-zone trust to-zone untrust policy sec_policy then permit application-services utm-policy mypolicy
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『CLIユーザーガイド』の「構成モードでのCLIエディターの使用」を参照してください。
コンテンツセキュリティポリシーをセキュリティポリシーに添付するには:
セキュリティポリシー sec_policyを作成します。
[edit] user@host# set security policies from-zone trust to-zone untrust policy sec_policy
sec-policyの一致条件を指定します。
[edit security policies from-zone trust to-zone untrust policy sec_policy] user@host# set match source-address any user@host# set match destination-address any user@host# set match application any
コンテンツセキュリティポリシーmypolicyをセキュリティポリシー sec_policyに添付します。
[edit security policies from-zone trust to-zone untrust policy sec_policy] user@host# set then permit application-services utm-policy mypolicy
結果
設定モードから、 show security policies コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
[edit]
user@host# show security policies
from-zone trust to-zone untrust {
sec_policy {
match {
source-address any;
destination-address any;
application any;
}
then {
permit {
application-services {
utm-policy mypolicy;
}
}
}
}
}
default-policy {
permit-all;
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定が正常に機能していることを確認するには、以下のタスクを実行します。
- Webフィルタリングサーバーの状態の検証
- Webフィルタリング統計が増加していることを確認する
- Webフィルタリングコンテンツセキュリティポリシーがセキュリティポリシーに添付されていることを確認する
- プラットフォーム固有の拡張Webフィルタリング動作
Webフィルタリングサーバーの状態の検証
目的
Webフィルタリングサーバーの状態を確認します。
アクション
動作モードの設定の先頭から、 show security utm web-filtering status コマンドを入力します。
user@host> show security utm web-filtering status
UTM web-filtering status:
Server status: Juniper Enhanced using Websense server UP
意味
コマンド出力は、Webフィルタリングサーバー接続が稼働していることを示しています。
Webフィルタリング統計が増加していることを確認する
目的
Webフィルタリング統計の増加を確認します。初期カウンタ値は 0 です。HTTPリクエストURLヒットがある場合、Webフィルタリング統計が増加します。
アクション
動作モードの設定の先頭から、 show security utm web-filtering statistics コマンドを入力します。
user@host> show security utm web-filtering statistics
UTM web-filtering statistics:
Total requests: 0
white list hit: 0
Black list hit: 0
Queries to server: 0
Server reply permit: 0
Server reply block: 0
Server reply quarantine: 0
Server reply quarantine block: 0
Server reply quarantine permit: 0
Custom category permit: 0
Custom category block: 0
Custom category quarantine: 0
Custom category qurantine block: 0
Custom category quarantine permit: 0
Site reputation permit: 0
Site reputation block: 0
Site reputation quarantine: 0
Site reputation quarantine block: 0
Site reputation quarantine permit: 0
Site reputation by Category 0
Site reputation by Global 0
Cache hit permit: 0
Cache hit block: 0
Cache hit quarantine: 0
Cache hit quarantine block: 0
Cache hit quarantine permit: 0
Safe-search redirect: 0
SNI pre-check queries to server: 1
SNI pre-check server responses: 1
Web-filtering sessions in total: 128000
Web-filtering sessions in use: 0
Fallback: log-and-permit block
Default 0 0
Timeout 0 0
Connectivity 0 0
Too-many-requests 0 0
意味
出力には、許可リストやブロックリストのヒット、カスタムカテゴリのヒットなど、接続のWebフィルタリング統計が表示されます。HTTPリクエストURLヒットがある場合、Webフィルタリング統計は以前の値から増加しています。
Webフィルタリングコンテンツセキュリティポリシーがセキュリティポリシーに添付されていることを確認する
目的
Webフィルタリングコンテンツセキュリティポリシーmypolicyがセキュリティポリシー sec_policyに添付されていることを確認します。
アクション
動作モードから、 show security policy コマンドを入力します。
user@host> show security policies global policy-name mypolicy detail
node0:
-
Global policies:
Policy: mypolicy, State: enabled, Index: 5, Scope Policy: 0, Sequence number: 1
From zones: zone1, zone2
To zones: zone3, zone4
Source addresses: any
Destination addresses: any
Applications: any
Action: permit
Unified Threat Management: enabled
意味
出力には、デバイスに設定されたすべてのセキュリティポリシーの概要が表示されます。特定のポリシーが指定されている場合は、そのポリシーに固有の情報が表示されます。コンテンツセキュリティが有効になっている場合、mypolicyがsec_policyにアタッチされます。
プラットフォーム固有の拡張Webフィルタリング動作
機能エクスプローラーを使用して、特定の機能のプラットフォームとリリースのサポートを確認します。
お使いのプラットフォームに固有の動作を確認するには、以下の表を使用してください。
プラットフォーム |
違い |
|---|---|
SRXシリーズファイアウォール |
SRX210、SRX220、SRX240、SRX300、SRX320、SRX345、SRX380、SRX400、SRX440、SRX440-2AC、SRX550、SRX1500、SRX4100、SRX4200の[ |
拡張Webフィルタリングの隔離アクションについて
コンテンツセキュリティ強化Webフィルタリングは、HTTP/HTTPSリクエストのブロック、ログアンド許可、許可アクションをサポートします。これに加えて、コンテンツセキュリティ強化Webフィルタリングは、メッセージに対するユーザーの応答に基づいてブロックされたサイトへのアクセスを許可または拒否する隔離アクションをサポートするようになりました。
次のシーケンスは、HTTPまたはHTTPsリクエストが隔離アクションによってどのように傍受され、リダイレクトされ、アクションされるかを説明します。
HTTPクライアントがURLアクセスを要求します。
デバイスはHTTPリクエストを傍受し、抽出されたURLをWebsense Thread Seeker Cloud(TSC)に送信します。
TSCは、URLカテゴリとサイトのレピュテーション情報をデバイスに返します。
カテゴリに設定されたアクションが隔離である場合、デバイスは隔離アクションを記録し、HTTPクライアントにリダイレクト応答を送信します。
URLはリダイレクトのためにHTTPサーバーに送信されます。
デバイスは、組織のセキュリティポリシーに従ってURLへのアクセスがブロックされていることを示す警告メッセージを表示し、ユーザーに応答するように求めます。
ユーザーの回答が「いいえ」の場合、セッションは終了します。ユーザーの回答が「はい」の場合、ユーザーはサイトへのアクセスを許可され、そのようなアクセスはログに記録され、管理者に報告されます。
隔離アクションは、コンテンツセキュリティ拡張Webフィルタリングまたはジュニパー拡張タイプのWebフィルタリングでのみサポートされています。
Quarantine Message
HTTPクライアントに送信される隔離メッセージは、ユーザーが設定可能で、以下のタイプがあります。
デフォルトメッセージ
デフォルトの隔離メッセージは、ユーザーが隔離されたWebサイトにアクセスしようとすると表示され、以下の情報が含まれています。
URL名
隔離理由
カテゴリ(利用可能な場合)
サイトレピュテーション(利用可能な場合)
例えば、Enhanced_Search_Engines_and_Portalsにアクションを隔離に設定し、www.search.example.com にアクセスしようとすると、隔離メッセージは次のようになります。
***The requested webpage is blocked by your organization's access policy***.
Syslogメッセージ。
syslogメッセージは、すでに隔離され、ブロックまたは許可としてマークされているWebページをユーザーがアクセスすると、システムによってログに記録されます。
テスト対象デバイス上の対応するsyslogメッセージは次のとおりです。
Jan 25 15:10:40 rodian utmd[3871]: WEBFILTER_URL_BLOCKED: WebFilter: ACTION="URL Blocked" 99.99.99.4(60525)->74.125.224.114(80) CATEGORY="Enhanced_Search_Engines_and_Portals" REASON="by predefined category(quarantine)" PROFILE="ewf-test-profile" URL=www.search.example.com OBJ=/
Junos OS 12.1X47-D40およびJunos OSリリース17.3R1以降、構造化ログのフィールドが変更されました。コンテンツセキュリティWebフィルターログWEBFILTER_URL_BLOCKED、WEBFILTER_URL_REDIRECTED、WEBFILTER_URL_PERMITTEDの構造化ログフィールドの変更は次のとおりです。
name -> categoryerror-message -> reasonprofile-name -> profileobject-name -> urlpathname -> obj
拡張Webフィルタリング(EWF)用のユーザーメッセージとリダイレクトURL
リリース15.1X49-D110 Junos OS、custom-objectsステートメントに新しいオプションcustom-messageが追加され、各EWFカテゴリでURLがブロックまたは隔離された場合に、ユーザーメッセージとリダイレクトURLを設定してユーザーに通知できます。custom-messageオプションには、以下の必須属性があります。
名前: カスタムメッセージの名前。最大長は59ASCII文字です。
タイプ: カスタムメッセージのタイプ:
user-messageまたはredirect-url。コンテンツ: カスタムメッセージの内容。最大長は1024ASCII文字です。
ユーザーメッセージまたはリダイレクトURLをカスタムオブジェクトとして設定し、カスタムオブジェクトをEWFカテゴリに割り当てます。
ユーザーメッセージは、Webサイトへのアクセスが組織のアクセスポリシーによってブロックされたことを示します。ユーザーメッセージを設定するには、
[edit security utm custom-objects custom-message message]階層レベルでtype user-message content message-textステートメントを含めます。リダイレクトURLは、ブロックまたは隔離されたURLをユーザー定義のURLにリダイレクトします。リダイレクトURLを設定するには、
[edit security utm custom-objects custom-message message]階層レベルでtype redirect-url content redirect-urlステートメントを含めます。
custom-messageオプションには、次の利点があります。
EWFカテゴリごとに個別のカスタムメッセージまたはリダイレクトURLを設定できます。
custom-messageオプションでは、ポリシーをサポートするようにメッセージを微調整し、どのURLがブロックまたは隔離されているかを知ることができます。各カテゴリには1つのカスタムメッセージ設定オプションのみが適用されます。カスタムメッセージ設定は、拡張Webフィルタリング(EWF)でのみサポートされています。そのため、サポートされるのはジュニパー EWF エンジン タイプのみです。
Junos OSリリース17.4R1以降、ローカルおよびWebsenseリダイレクトプロファイルでカスタムカテゴリ設定のサポートが利用可能になりました。
関連項目
例:Webフィルタリングを強化するためのサイトレピュテーションアクションの設定
この例では、分類されたURLと未分類のURLの両方に対してサイトレピュテーションアクションを設定する方法を示しています。
要件
開始する前に、Webフィルタリングと拡張Webフィルタリングについて理解しておく必要があります。 Webフィルタリングの概要 および 拡張Webフィルタリングプロセスについてを参照してください。
概要
この例では、サイトレピュテーションアクションを使用して、定義されたカテゴリに従ってURLへのWebフィルタリングプロファイルを設定します。URL許可リストフィルタリングカテゴリを url-cat-white に設定し、Webフィルタリングエンジンのタイプを juniper-enhancedに設定します。次に、Webフィルタリングのキャッシュサイズパラメーターとキャッシュタイムアウトパラメーターを1に設定します。
次に、プロファイルewf-test-profileと呼ばれるjuniper-enhancedプロファイルを作成し、URL許可リストカテゴリをcust-cat-quarantineに設定し、レピュテーションアクションを隔離に設定します。
HTTPリクエストが隔離されたときに送信されるカスタムメッセージを入力します。この例では、次のメッセージが送信されます: The requested webpage is blocked by your organization's access policy。
Enhanced_News_and_MediaカテゴリのURLをブロックし、Enhanced_教育カテゴリのURLを許可します。次に、Enhanced_Streaming_MediaカテゴリのURLを隔離し、次のメッセージを送信するようにデバイスを設定します。 The requested webpage is blocked by your organization's access policy。
この例では、デフォルトのアクションを許可に設定しています。設定された各カテゴリでエラーが発生した場合に備えて、このプロファイルのフォールバック設定(ブロックまたはログに許可)を選択します。最後に、フォールバック設定をブロックに設定します。
設定
サイトレピュテーションアクションの設定
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピー アンド ペーストして、設定モードから commit を入力します。
set security utm feature-profile web-filtering juniper-enhanced cache size set security utm feature-profile web-filtering juniper-enhanced reputation reputation-very-safe 85 set security utm feature-profile web-filtering juniper-enhanced reputation reputation-moderately-safe 75 set security utm feature-profile web-filtering juniper-enhanced reputation reputation-fairly-safe 65 set security utm feature-profile web-filtering juniper-enhanced reputation reputation-suspicious 55 set security utm feature-profile web-filtering juniper-enhanced cache timeout 1 set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile category cust-cat-quarantine action quarantine set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile category Enhanced_News_and_Media action block set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile category Enhanced_Education action permit set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile category Enhanced_Education reputation-action harmful block set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile category Enhanced_Streaming_Media action quarantine set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile default permit set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile default quarantine-message “*** The requested webpage is blocked by your organization’s access policy***”. set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile fallback-settings server-connectivity block set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile fallback-settings timeout block
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『CLIユーザーガイド』の「構成モードでのCLIエディターの使用」を参照してください。
サイトレピュテーションアクションを設定するには:
-
拡張Webフィルタリングエンジンを指定し、キャッシュサイズパラメーターを設定します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced cache size
ベースレピュテーションスコアを設定します。
[edit security utm feature-profile web-filtering] set juniper-enhanced reputation reputation-very-safe 85 set juniper-enhanced reputation reputation-moderately-safe 75 set juniper-enhanced reputation reputation-fairly-safe 65 set juniper-enhanced reputation reputation-suspicious 55
注:ベースレピュテーション値は順序付けする必要があります。
キャッシュタイムアウトパラメーターを設定します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced cache timeout 1
プロファイル名を作成し、許可リストのカテゴリからカテゴリを選択します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf-test-profile category cust-cat-quarantine action quarantine
プロファイル名を作成し、許可リストのカテゴリからカテゴリを選択します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf-test-profile category Enhanced_News_and_Media action block [edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf-test-profile category Enhanced_Education action permit user@host# set juniper-enhanced profile ewf-test-profile category Enhanced_Education action harmful block [edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf-test-profile category Enhanced_Streaming_Media action quarantine
HTTPリクエストが隔離されたときに送信される警告メッセージを入力します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf-test-profile quarantine-custom-message "***The requested webpage is blocked by your organization's access policy ***"
明示的に設定された他のアクション(ブロックリスト、許可リスト、カスタムカテゴリ、事前定義されたカテゴリ、またはサイトレピュテーション)が一致しない場合、プロファイルのデフォルトのアクション(許可、ログアンド許可、ブロック、または隔離)を選択します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf-test-profile default permit
このプロファイルのフォールバック設定(ブロックまたはログに許可)を選択します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf-test-profile fallback-settings server-connectivity block user@host# set juniper-enhanced profile ewf-test-profile fallback-settings timeout block
結果
設定モードから、 show security utm コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の指示を繰り返して修正します。
[edit]
user@host# show security utm
feature-profile{
web-filtering {
type juniper-enhanced;
traceoptions;
flag all;
}
juniper-enhanced {
reputation {
reputation-very-safe 85
reputation-moderately-safe 75
reputation-fairly-safe 65
reputation-suspicious 55
cache {
timeout 1
}
profile ewf-test-profile {
category {
cust-cat-quarantine {
action quarantine;
}
Enhanced_News_and_Media {
action block;
reputation-action;
}
Enhanced_Education {
action permit;
reputation-action;
{
harmful block;
}
}
Enhanced_Streaming_Media {
action quarantine;
}
}
default permit;
quarantine-custom-message "***The requested webpage is blocked by your organization's access policy***".
fallback-settings {
server-connectivity block;
timeout block;
}
}
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定が正常に機能していることを確認します。
- コンテンツセキュリティサービスの状態の検証
- コンテンツセキュリティセッションのステータスの検証
- コンテンツセキュリティWebフィルタリングのステータスの検証
- コンテンツセキュリティWebフィルタリングの統計情報の検証
- ログファイルを使用してURLステータスを確認する
コンテンツセキュリティサービスの状態の検証
目的
コンテンツセキュリティサービスのステータスを確認します。
アクション
動作モードから、 show security utm status コマンドを入力します。
出力例
コマンド名
user@host>show security utm status UTM service status: Running
コンテンツセキュリティセッションのステータスの検証
目的
コンテンツセキュリティセッションのステータスを確認します。
アクション
動作モードから、 show security utm session コマンドを入力します。
出力例
コマンド名
user@host>show security utm session UTM session info: Maximum sessions: 4000 Total allocated sessions: 0 Total freed sessions: 0 Active sessions: 0
コンテンツセキュリティWebフィルタリングのステータスの検証
目的
コンテンツセキュリティWebフィルタリングステータスを確認します。
アクション
動作モードから、 show security utm web-filtering status コマンドを入力します。
出力例
コマンド名
user@host>show security utm web-filtering status
UTM web-filtering status:
Server status: Juniper Enhanced using Websense server UP
コンテンツセキュリティWebフィルタリングの統計情報の検証
目的
許可リストやブロックリストのヒット、カスタムカテゴリのヒットなど、接続のWebフィルタリング統計を確認します。
アクション
動作モードから、 show security utm web-filtering statistics コマンドを入力します。
出力例
コマンド名
user@host>show security utm web-filtering statistics
UTM web-filtering statistics:
Total requests: 2594
white list hit: 0
Black list hit: 0
Queries to server: 2407
Server reply permit: 1829
Server reply block: 0
Server reply quarantine: 517
Server reply quarantine block: 0
Server reply quarantine permit: 8
Custom category permit: 0
Custom category block: 0
Custom category quarantine: 0
Custom category qurantine block: 0
Custom category quarantine permit: 0
Site reputation permit: 0
Site reputation block: 0
Site reputation quarantine: 0
Site reputation quarantine block: 0
Site reputation quarantine permit: 0
Site reputation by Category 0
Site reputation by Global 0
Cache hit permit: 41
Cache hit block: 0
Cache hit quarantine: 144
Cache hit quarantine block: 0
Cache hit quarantine permit: 1
Safe-search redirect: 0
Web-filtering sessions in total: 16000
Web-filtering sessions in use: 0
Fallback: log-and-permit block
Default 0 0
Timeout 0 0
Connectivity 0 1
Too-many-requests 0 0
ログファイルを使用してURLステータスを確認する
目的
ログファイルを使用して、ブロックURLおよび許可URLのステータスを確認します。
アクション
ブロックされたURLと許可されたURLを確認するには、ストリームモードを使用してコンテンツセキュリティログをsyslogサーバーに送信します。詳細については、「 オフボックス バイナリ セキュリティ ログ ファイルの設定」を参照してください。
動作モードから、 show log messages | match RT_UTM コマンドを入力します。
出力例
コマンド名
user@host>show log messages | match RT_UTM RT_UTM: WEBFILTER_URL_BLOCKED: WebFilter: ACTION="URL Blocked" source-zone="trust" destination-zone="untrust" 4.0.0.3(59466)->5.0.0.3(80) SESSION_ID=268436912 APPLICATION="UNKNOWN" NESTED-APPLICATION="UNKNOWN" CATEGORY="URL_Blacklist" REASON="BY_BLACK_LIST" PROFILE="ewf" URL=www.example1.com OBJ=/ username N/A roles N/A application-sub-category N/A urlcategory-risk 0
コンテンツセキュリティのTAPモードサポート概要
TAPモードでは、SRXシリーズファイアウォールがスイッチのミラーポートに接続され、スイッチを通過するトラフィックのコピーを提供します。TAPモードのSRXシリーズファイアウォールは、TAPインターフェイスからの受信トラフィックを処理し、セキュリティログを生成して、検出された脅威、アプリケーションの使用状況、ユーザーの詳細に関する情報を表示します。
Junos OSリリース19.1R1以降、コンテンツセキュリティモジュールでTAPモードを有効にできるようになりました。コンテンツセキュリティモジュールでTAPモードを有効にすると、SRXシリーズファイアウォールは、ファイアウォールポリシーまたは有効なコンテンツセキュリティサービスと一致する着信および発信トラフィックを検査します。TAPモードではトラフィックをブロックすることはできませんが、セキュリティログ、レポート、統計を生成して、検出された脅威の数、アプリケーションの使用状況、ユーザーの詳細を表示します。TAPインターフェイスで一部のパケットが失われた場合、コンテンツセキュリティは接続を終了し、TAPモードではこの接続のセキュリティログ、レポート、統計は生成されません。コンテンツセキュリティの設定は、非TAPモードと同じです。
SRXシリーズファイアウォールで設定されたコンテンツセキュリティ機能は引き続き機能し、サーバーから情報を交換します。SRXシリーズファイアウォールがTAPモードで設定されている場合にコンテンツセキュリティ機能を使用するには、DNSサーバーを設定してクラウドサーバーのIPアドレスを解決する必要があります。
TAPモードを使用するには、SRXシリーズファイアウォールをスイッチのミラーポートに接続し、スイッチを通過するトラフィックのコピーを提供します。SRXシリーズファイアウォールは、TAPインターフェイスからの受信トラフィックを処理し、セキュリティログ情報を生成して、検出された脅威、アプリケーションの使用状況、ユーザーの詳細に関する情報を表示します。
TAPモードで動作している場合、SRXシリーズファイアウォールは以下を実行します。
ミラーリングされたHTTPトラフィック用の拡張Webフィルタリング(EWF)。
ミラーリングされたHTTP/FTP/SMTP/POP3/IMAPトラフィック用のSophosアンチウィルス(SAV)。
ミラーリングされたSMTPトラフィック用のアンチスパム(AS)。
関連項目
変更履歴テーブル
サポートされる機能は、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がお使いのプラットフォームでサポートされているかどうかを確認します。
custom-objectsステートメントに新しいオプション
custom-messageが追加され、各EWFカテゴリでURLがブロックまたは隔離された場合に、ユーザーメッセージとリダイレクトURLを設定してユーザーに通知できるようになります。
custom-objectsステートメントに新しいオプション
custom-messageが追加され、各EWFカテゴリでURLがブロックまたは隔離された場合に、ユーザーメッセージとリダイレクトURLを設定してユーザーに通知できます。