製品ドキュメント
ADC
14.1 - Current Release 13.1 13.0 12.1

ユースケース:企業のインターネットアクセスをコンプライアンスとセキュリティで保護する

March 20, 2024
寄稿者: 
C

金融機関のネットワークセキュリティのディレクターは、マルウェアの形で Web から来る外部の脅威からエンタープライズネットワークを保護したいと考えています。そのためには、director はバイパスされた暗号化トラフィックを可視化し、悪意のある Web サイトへのアクセスを制御する必要があります。ディレクターは、次のことをする必要があります。

  • エンタープライズネットワークに出入りするすべてのトラフィック（SSL/TLS（暗号化トラフィック）を含む）を傍受して検査します。
  • ユーザーの財務情報やメールなどの機密情報を含むWebサイトへのリクエストの傍受を回避します。
  • 有害またはアダルトコンテンツを提供していると識別された有害な URL へのアクセスをブロックします。
  • 悪意のある Web サイトにアクセスしている企業内のエンドユーザー (従業員) を特定し、これらのユーザーのインターネットアクセスをブロックするか、有害な URL をブロックします。

上記のすべてを実現するために、director はプロキシサーバーをセットアップできます。プロキシサーバは、企業ネットワークを通過する暗号化および暗号化されていないすべてのトラフィックを代行受信します。ユーザ認証を要求し、トラフィックをユーザに関連付けます。URL カテゴリを指定して、違法/有害、アダルト、マルウェア、スパム Web サイトへのアクセスをブロックできます。

次のエンティティを構成します。

  • ホスト名を解決するための DNS ネームサーバー。
  • オリジンサーバーとの接続を確立するためのサブネット IP (SNIP) アドレス。SNIP アドレスにはインターネットアクセスが必要です。
  • すべてのアウトバウンド HTTP および HTTPS トラフィックをインターセプトする明示モードのプロキシサーバー。
  • SSL プロファイルは、接続の暗号やパラメータなどの SSL 設定を定義します。
  • SSL インターセプトのサーバ証明書に署名するための CA 証明書とキーのペア。
  • 傍受およびバイパスする Web サイトを定義する SSL ポリシー。
  • 認証仮想サーバー、ポリシー、およびアクションを使用して、有効なユーザーのみがアクセスを許可されるようにします。
  • AppFlowコレクター。NetScaler Application Delivery Management（ADM）にデータを送信します。

この設定例では、CLI と GUI の両方の手順がリストされています。次のサンプル値が使用されます。IP アドレス、SSL 証明書とキー、および LDAP パラメータの有効なデータに置き換えます。

名前 サンプル設定で使用される値
NSIPアドレス 192.0.2.5
サブネットIPアドレス 198.51.100.5
LDAP 仮想サーバの IP アドレス 192.0.2.116
DNS ネームサーバの IP アドレス 203.0.113.2
プロキシサーバーの IP アドレス 192.0.2.100
MAS IP アドレス 192.0.2.41
SSL インターセプト用の CA 証明書 ns-swg-ca-certkey (certificate: ns_swg_ca.crt and key: ns_swg_ca.key)
LDAP ベース DN cn=Users、DC=CTXNSSFB、DC=COM
LDAPバインド DN cn=Administrator、cn=Users、DC=CTXNSSFB、DC=COM
LDAPバインド DN パスワード zzzzz

SSL Forward Proxy ウィザードを使用して、企業ネットワークとの間で送受信されるトラフィックの代行受信と検査を構成する

ネットワークとの間で送受信される他のトラフィックに加えて、暗号化されたトラフィックを傍受および検査するための設定を作成するには、プロキシ、SSL 代行受信、ユーザ認証、および URL フィルタリングの設定を構成する必要があります。次に、入力した値の例を示します。

プロキシ設定を構成する

  1. セキュリティ > SSL フォワードプロキシ > SSL フォワードプロキシウィザードに移動します。

  2. [ 始める ] をクリックし、[ 続行] をクリックします。

  3. [ プロキシ設定 ] ダイアログボックスで、明示的なプロキシサーバーの名前を入力します。

  4. [ キャプチャモード] で [ Explicit] を選択します。

  5. IP アドレスとポート番号を入力します。

    明示的なプロキシ

  6. ［続行］ をクリックします。

SSL インターセプト設定を構成します

  1. [ SSL インターセプトを有効にする] を選択します。

    SSLインターセプト

  2. [ SSL プロファイル] で、[+] をクリックして新しいフロントエンド SSL プロファイルを追加し、このプロファイルで SSL セッションインターセプトを有効にします 。

    SSL プロファイル

  3. 「 OK」 をクリックし、「 完了」をクリックします。

  4. [SSL 代行受信 CA 証明書とキーのペアの選択] で、[+] をクリックして SSL 代行受信用の CA 証明書とキーのペアをインストールします。

    SSL 代行受信証明書とキーのペア

  5. [ インストール ] をクリックし、[ 閉じる] をクリックします。

  6. すべてのトラフィックを代行受信するポリシーを追加します。[ バインド ] をクリックし、[ 追加] をクリックします。

    SSL ポリシーの追加

  7. ポリシーの名前を入力し、[ Advanced] を選択します。エクスプレッションエディタで、true と入力します。

  8. [ アクション] で [ インターセプト] を選択します。

    SSL ポリシーが真

  9. [ 作成 ] をクリックし、[ 追加 ] をクリックして、機密情報をバイパスする別のポリシーを追加します。

  10. ポリシーの名前を入力し、[ URL カテゴリ] で [ 追加] をクリックします。

  11. [ 財務 ] と [ 電子メール ] カテゴリを選択し、[ 構成済み ] リストに移動します。

  12. [ アクション] で [ バイパス] を選択します。

    SSL 代行受信ポリシーバイパス

  13. ［Create］ をクリックします。

  14. 前に作成した 2 つのポリシーを選択し、[ Insert] をクリックします。

    SSLポリシー

  15. ［続行］ をクリックします。

    SSLポリシー

ユーザー認証の設定を構成する

  1. [ ユーザー認証を有効にする] を選択します。[ 認証タイプ ] フィールドで、[ LDAP] を選択します。

    ユーザー認証

  2. LDAP サーバの詳細を追加します。

    LDAPサーバーの詳細

  3. ［Create］ をクリックします。

  4. ［続行］ をクリックします。

URL フィルタリング設定の構成

  1. [ URL 分類を有効にする] を選択し、 [ バインド] をクリックします。

    URLの分類

  2. ［追加］ をクリックします。

    URL 分類ポリシーの追加

  3. ポリシーの名前を入力します。[ アクション] で [ 拒否] を選択します。[ URL カテゴリ] で、[ 違法/有害]、[ 成人]、[ マルウェアとスパム] を選択し、[ 構成済み ] リストに移動します。

    URL 分類ポリシー

  4. ［Create］ をクリックします。

  5. ポリシーを選択し、[ Insert] をクリックします。

    URL 分類ポリシーを挿入する

  6. ［続行］ をクリックします。

    URLの分類

  7. ［続行］ をクリックします。

  8. [アナリティクスの有効化] をクリックします。

  9. NetScalerコンソールのIPアドレスを入力し、[ ポート] に5557を指定します。

    分析を有効にする

  10. ［続行］ をクリックします。

  11. ［完了］ をクリックします。

    ウィザードの最終画面

NetScaler Consoleを使用してユーザーの主要指標を表示し、以下を決定します：

  • エンタープライズ内のユーザーの閲覧動作。
  • 社内ユーザーがアクセスしたURLカテゴリ。
  • URLまたはドメインへのアクセスに使用されたWebブラウザー。

この情報を使用して、ユーザーのシステムがマルウェアに感染しているかどうかを判断したり、ユーザーの帯域幅消費パターンを理解したりします。Citrix SWGアプライアンスのポリシーを微調整して、これらのユーザーを制限したり、さらにいくつかのWebサイトをブロックしたりできます。MAS でのメトリックスの表示の詳細については、 ADM ユースケースの「エンドポイントの検査」ユースケースを参照してください。

注

CLI を使用して、次のパラメータを設定します。

set syslogparams -sslInterception ENABLED

set cacheparameter -memLimit 100

set appflow param -AAAUserName ENABLED
<!--NeedCopy-->

CLI の例

次に、企業ネットワークとの間で送受信されるトラフィックの代行受信および検査の設定に使用されるすべてのコマンドの例を示します。

一般的な設定:

    add ns ip 192.0.2.5 255.255.255.0

    add ns ip 198.51.100.5 255.255.255.0 -type SNIP

    add dns nameServer 203.0.113.2

    add ssl certKey ns-swg-ca-certkey -cert ns_swg_ca.crt -key ns_swg_ca.key

    set syslogparams -sslInterception ENABLED

    set cacheparameter -memLimit 100

    set appflow param -AAAUserName ENABLED
<!--NeedCopy-->

認証設定:

add authentication vserver explicit-auth-vs SSL

bind ssl vserver explicit-auth-vs -certkeyName ns-swg-ca-certkey

add authentication ldapAction swg-auth-action-explicit -serverIP 192.0.2.116 -ldapBase "CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDn "CN=Administrator,CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDnPassword zzzzzz -ldapLoginName sAMAccountName

add authenticationpolicy swg-auth-policy -rule true -action swg-auth-action-explicit

bind authentication vserver explicit-auth-vs -policy swg-auth-policy -priority 1
<!--NeedCopy-->

プロキシサーバーと SSL インターセプトの設定:

add cs vserver explicitswg PROXY 192.0.2.100 80 –Authn401 ENABLED –authnVsName explicit-auth-vs

set ssl parameter -defaultProfile ENABLED

add ssl profile swg_profile -sslInterception ENABLED

bind ssl profile swg_profile -ssliCACertkey ns-swg-ca-certkey

set ssl vserver explicitswg -sslProfile swg_profile

add ssl policy ssli-pol_ssli -rule true -action INTERCEPT

bind ssl vserver explicitswg -policyName ssli-pol_ssli -priority 100 -type INTERCEPT_REQ
<!--NeedCopy-->

URL カテゴリの設定：

add ssl policy cat_pol1_ssli -rule "client.ssl.client_hello.SNI.URL_CATEGORIZE(0,0).GROUP.EQ("Finance") || client.ssl.client_hello.SNI.URL_CATEGORIZE(0,0).GROUP.EQ("Email")" -action BYPASS

bind ssl vserver explicitswg -policyName cat_pol1_ssli -priority 10 -type INTERCEPT_REQ

add ssl policy cat_pol2_ssli -rule "client.ssl.client_hello.sni.url_categorize(0,0).GROUP.EQ("Adult") || client.ssl.client_hello.sni.url_categorize(0,0).GROUP.EQ("Malware and SPAM") || client.ssl.client_hello.SNI.URL_CATEGORIZE(0,0).GROUP.EQ("Illegal/Harmful")" -action RESET

bind ssl vserver explicitswg -policyName cat_pol2_ssli -priority 20 -type INTERCEPT_REQ
<!--NeedCopy-->

データをNetScalerコンソールにプルするためのAppFlow構成：

add appflow collector _swg_testswg_apfw_cl -IPAddress 192.0.2.41 -port 5557 -Transport logstream

set appflow param -templateRefresh 60 -httpUrl ENABLED -AAAUserName ENABLED -httpCookie ENABLED -httpReferer ENABLED -httpMethod ENABLED -httpHost ENABLED -httpUserAgent ENABLED -httpContentType ENABLED -httpVia ENABLED -httpLocation ENABLED -httpDomain ENABLED -cacheInsight ENABLED -urlCategory ENABLED

add appflow action _swg_testswg_apfw_act -collectors _swg_testswg_apfw_cl -distributionAlgorithm ENABLED

add appflow policy _swg_testswg_apfw_pol true _swg_testswg_apfw_act

bind cs vserver explicitswg -policyName _swg_testswg_apfw_pol -priority 1
<!--NeedCopy-->
ユースケース:企業のインターネットアクセスをコンプライアンスとセキュリティで保護する
March 20, 2024
寄稿者: 
C
March 20, 2024
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.