セキュリティポリシールールの追加と管理

名前

スペースを含まない最大63文字の英数字を含む名前を入力します。名前には、ダッシュ(-)とアンダースコア(_)を含めることができます。

名前を入力しない場合、ルールは Juniper Security Directorによって割り当てられたデフォルト名で保存されます。

説明

最大900文字を含むポリシールールの説明を入力します。説明には、アンパサンド(&)、角ブラケット(<、>)、改行などの特殊文字を含めることはできません。

ソース

+をクリックして、セキュリティポリシールールを適用するゾーン、アドレス、ユーザーのリストから送信元エンドポイントを選択します。

• ゾーン—SRXシリーズファイアウォールの送信元ゾーンを選択して、ポリシーのコンテキストを定義します。ゾーンポリシーは、送信元ゾーンから宛先ゾーンに入るトラフィックに適用されます。

• アドレス—セキュリティポリシールールに含めるIPv4またはIPv6アドレスまたはアドレスグループを入力します。アドレスを追加するには 任意 を選択し、アドレスを選択するには 特定 を選択します。

• アドレスを除外—セキュリティポリシールールから除外するIPv4アドレスを選択します。この設定は、アドレスで特定を選択した場合にのみ使用できます。

• ID—ポリシーの一致基準として使用する送信元IDを選択します。ユーザーロールとユーザーグループに基づいて、異なるポリシールールを作成できます。

宛先

+をクリックして、セキュリティポリシールールを適用するゾーン、アドレス、URLカテゴリのリストから宛先エンドポイントを選択します。

• ゾーン—SRXシリーズファイアウォールの宛先ゾーンを選択して、ポリシーのコンテキストを定義します。ゾーンポリシーは、送信元ゾーンから宛先ゾーンに入るトラフィックに適用されます。

• アドレス—セキュリティポリシールールに含めるIPv4またはIPv6アドレスまたはアドレスグループを入力します。アドレスを追加するには 任意 を選択し、アドレスを選択するには 特定 を選択します。

• アドレスを除外—セキュリティポリシールールから除外するIPv4アドレスを選択します。この設定は、アドレスで特定を選択した場合にのみ使用できます。

• URLカテゴリ—セキュリティポリシールールに任意のURLを追加するには 任意 を選択し、URLを選択するには 特定 、 またはなしを選択します。

アプリケーション/サービス

+をクリックしてアプリケーションとサービスを選択します。

• アプリケーション—アプリケーションを追加するには 任意 、アプリケーションを選択するには 特定 、または なしを選択します。検索フィールドを使用して、特定のアプリケーションを検索します。

• サービス—サービスを追加するには 任意 を選択し、サービスを選択するには 特定 を選択し、Junosデフォルトサービスを追加するには デフォルト を選択します。サービスのチェックボックスを選択し、矢印(>)をクリックして、選択した列に転送します。各列の上部にある検索フィールドを使用して、特定のサービスを検索します。

セキュアWebプロキシ機能は、統合ポリシーをサポートしていません。セキュアなWebプロキシプロファイルをルールに関連付ける場合は、 アプリケーションを無効にする必要があります。セキュアWebプロキシプロファイルを設定する際、必要なアプリケーションを選択できます。

アクション

ドロップダウンリストから送信元と宛先間のトラフィックに対するアクションを選択します。

• 許可—デバイスがトラフィックを許可します。
• 拒否—デバイスは、セッションのすべてのパケットをサイレントにドロップし、TCPリセットやICMP到達不能などのアクティブな制御メッセージを送信しません。
• 拒否—デバイスはパケットをドロップし、トラフィックタイプに基づいて以下のメッセージを送信します。
  • TCPトラフィック:デバイスは、TCPリセットメッセージを送信元ホストに送信します。
  • UDPトラフィック:デバイスは、宛先に到達できないポートに到達できないICMPメッセージを送信します。
  • その他のすべてのトラフィックの場合: デバイスは、送信元ホストに通知せずにパケットをドロップします。

• リダイレクト—ポリシーが拒否アクションでHTTPまたはHTTPSトラフィックをブロックした場合に、接続されたクライアントに通知するための応答を統合ポリシーに定義します。

  • メッセージ—ドロップダウンリストからメッセージを選択するか、リダイレクトメッセージを作成をクリックしてメッセージを入力します。

  • URL—ドロップダウンリストからリダイレクトURLを選択するか、リダイレクトURLを追加をクリックしてリダイレクトURLを入力します。

• トンネル—デバイスは、ポリシーに適用されたVPNトンネリングオプションのタイプを使用して、トラフィックを許可します。

セキュリティポリシールールに適用するセキュリティサブスクリプションを選択します。

• IPS—許可アクションを選択すると、リストからプロファイルを選択して、侵入を監視および防止して、IPSプロファイルを指定できます。

• コンテンツセキュリティ—許可アクションを選択すると、リストからプロファイルを選択して、スパムやマルウェアを含む複数の脅威タイプから保護し、未承認のWebサイトやコンテンツへのアクセスを制御することができます。

• 復号化—許可、拒否、またはリダイレクトアクションを選択すると、復号化プロファイルを設定してクライアントとサーバー間でSSL暗号化と復号化を実行し、高度なセキュリティサブスクリプション保護を適用して脅威を検出できる詳細なアプリケーション情報を取得できます。

• フローベースのAV—アクションを許可に設定すると、フローベースのアンチウィルスプロファイルをセキュリティポリシーに割り当て、ペイロードコンテンツ内のパケットをリアルタイムでスキャンして脅威がないか、脅威が検出された場合にコンテンツをブロックできます。

• アンチマルウェア—アクションを許可に設定すると、セキュリティポリシーにアンチマルウェアプロファイルを割り当て、検査のためにATPクラウドに送信するファイルと、マルウェアが検出された場合に実行するアクションを定義できます。

• SecIntel—アクションを許可に設定すると、セキュリティポリシーにSecIntelプロファイルグループを割り当て、C&C、DNS、感染ホストなどのSecIntelプロファイルを追加できます。

• セキュアWebプロキシ—アクションを許可に設定すると、トグルスイッチを有効にしてセキュアWebプロキシプロファイルを割り当て、アプリケーションがプロキシサーバーをバイパスしてWebサーバーに直接接続できるようにすることができます。セキュアWebプロキシプロファイルの詳細については、「セキュアWebプロキシの概要」を参照してください。

• ICAPリダイレクト—許可または拒否アクションを選択すると、HTTPまたはHTTPSトラフィックを復号化し、HTTPメッセージをサードパーティのオンプレミスDLPサーバーにリダイレクトするようにICAPリダイレクトプロファイルを割り当てることができます。

カスタマイズ をクリックして、 セキュリティサブスクリプションプロファイルを設定します。デフォルトプロファイルが設定されていない場合は、カスタマイズオプションを使用して設定するか、グローバルオプションを使用してデフォルトプロファイルを設定できます。「 セキュリティポリシーのグローバルオプションの設定」を参照してください。

この設定は、 許可 または 拒否 アクションを選択した場合にのみ使用できます。

オプション

スケジュール

事前保存されたスケジュールを選択します。スケジュールオプションには、選択したスケジュールデータが入力されます。

ポリシースケジュールでは、ポリシーがアクティブであり、暗黙の一致基準であるタイミングを定義できます。ポリシーがアクティブな曜日と時刻を定義できます。例えば、営業時間に基づいてアクセスを開閉するセキュリティポリシーを定義できます。

セッション開始ログ

このオプションを選択すると、セッションの作成時にイベントのログ記録が有効になります。

セッション終了ログ

このオプションを選択すると、セッションが終了したときにイベントのログ記録が有効になります。

ログ記録が有効になっている場合、システムはデフォルトでセッション終了時にログを記録します。

ルールオプション

宛先アドレス変換または未変換パケットのリダイレクトオプション、認証、TCPオプション、アクションを指定するオブジェクトを作成します。