A+ SSLレーティング分析
注:
準拠していないSSL証明書の一括アップグレードには、タスクのSSL A+レーティングアップグレードを使用できます。
アプリケーションは、SSLトランザクションにセキュアな暗号とプロトコルを使用する必要があります。そうしないと、アプリケーションにアクセスするユーザーのプライバシー、データ整合性、セキュリティに影響を与える可能性があります。NetScaler Consoleは、NetScalerセキュアフロントエンドプロファイルを使用して、アプリケーションの仮想サーバーSSL設定をレビューします。A+レーティングに必要な設定は、セキュアフロントエンドプロファイルにプリロードされています。
アプリケーション所有者は、自身のアプリケーションがA+レーティングであるかどうかを評価できます。また、アプリケーションのプロトコルと暗号スイートのスコアを表示することもできます。アプリケーションがA+レーティングでない場合は、A+レーティングにアップグレードできます。
アプリケーションのSSLレーティングを表示するには:
- アプリケーション > ダッシュボードに移動
-
SSLレーティングに基づいてアプリケーションをフィルタリング
アプリケーションにレーティングがない場合、NAに分類されます。
- GUIから必要なアプリケーショングリッドを選択
-
SSLタブを選択します。このタブには、アプリケーションのSSLレーティングが表示されます。
SSLタブには、アプリケーションのレーティングを変更またはアップグレードするための次のいずれかのオプションが用意されています:
A+ SSLレーティングへのアップグレード
アプリケーションをA+ SSLレーティングにアップグレードすると、NetScalerインスタンス上のデフォルトSSLプロファイルの状態に応じて、次の変更が発生します:
-
デフォルトSSLプロファイルが無効になっている場合、NetScaler ConsoleはSSL仮想サーバーの推奨SSL設定に変更します。
-
デフォルトSSLプロファイルが有効になっている場合、NetScaler Consoleはセキュアプロファイルに基づいて、推奨されるA+設定を持つ新しいSSLプロファイルを作成します。
A+レーティングではないアプリケーションは、影響を受ける仮想サーバーの詳細をSSLタブに表示します。
アプリケーションの詳細では、セキュアフロントエンドプロファイルに準拠していない仮想サーバーの詳細を確認できます。また、推奨事項列には修復策が表示されます。これらの対策は、アプリケーションをセキュアフロントエンドプロファイルに準拠させるために提供されます。
この例では、仮想サーバーにいくつかのセキュリティ問題があります。プロトコルTLSv1.0が有効になっていることが、そのような問題の1つです。アプリケーションの詳細セクションでは、この問題を解決するための適切なアクションが推奨されています。それぞれの推奨事項に従って、これらの問題をすべて解決するには、次の手順を実行します:
-
A+レーティングにアップグレードをクリック
確認メッセージには、仮想サーバーで実行されるコマンドが表示されます。これらのコマンドは、アプリケーションのトラフィックに影響を与える可能性があります。
-
コマンドを確認し、確認をクリック
SSLレーティングのロールバック
注:
アプリケーションをA+ SSLレーティングにアップグレードした場合、アップグレード後7日以内であれば元のレーティングに戻すことができます。
アプリケーションをA+レーティングにアップグレードした後、SSLインサイトで受信トラフィックを分析できます。このページには、SSLトランザクションがネゴシエートされる暗号とプロトコルが表示されます。
ただし、正当なトラフィックがドロップされていることに気づいた場合は、アプリケーションに構成されているセキュアフロントエンドプロファイルをロールバックできます。このアクションにより、SSLレーティングが以前のレーティングに戻ります。
SSLレーティングをロールバックするには、次の手順を実行します:
-
ロールバックをクリック
確認メッセージには、仮想サーバーで実行されるコマンドが表示されます。
-
コマンドを確認し、確認をクリック
SSLレーティングがアプリケーションのトラフィックに与える影響の判断
SSLレーティングをアップグレードすると、アプリケーションのトラフィックに影響が出る可能性があります。SSLメトリックでは、アップグレード後に接続がドロップされているかどうかを確認できます。この情報に基づいて、SSLレーティングを継続するか、ロールバックするかを決定できます。
次のグラフの例では、SSLレーティングをA+にアップグレードした後、一部の接続がドロップされています。
