拡張 Web フィルタリング
Webフィルタリングは、ローカルのWebsenseサーバーまたはインターネットベースのSurfControlサーバーのいずれかを使用して、URLフィルタリング機能を提供します。詳細については、次のトピックを参照してください。
拡張 Web フィルタリングの概要
Websenseによる拡張Webフィルタリング(EWF)は、統合されたURLフィルタリングソリューションです。デバイスでソリューションを有効にすると、サーバーはHTTPおよびHTTPSリクエストをインターセプトし、HTTP URLまたはHTTPSソースIPをWebsense ThreatSeekerクラウド(TSC)に送信します。TSCは、URLを事前定義された1つ以上のカテゴリに分類し、サイトのレピュテーション情報も提供します。TSC はさらに、URL カテゴリとサイトレピュテーション情報をデバイスに返します。デバイスは、TSC によって提供される情報に基づいて、要求を許可またはブロックできるかどうかを判断します。
Junos OSリリース15.1X49-D40およびJunos OSリリース17.3R1以降、EWFはSRXシリーズファイアウォールを通過するHTTPSトラフィックを傍受することでHTTPSトラフィックをサポートします。デバイスからのセキュリティ チャネルは、クライアントとデバイス間の 1 つの SSL チャネルと、デバイスと HTTPS サーバー間の別の SSL チャネルに分割されます。SSL 転送プロキシは、両方のチャネルの端末として機能し、クリアテキスト トラフィックをコンテンツ セキュリティに転送します。コンテンツセキュリティは、HTTPリクエストメッセージからURLを抽出します。
EWFソリューションは、既存のサーフコントロールソリューションをベースにした次世代のURLフィルタリングソリューションと考えることができます。
拡張 Web フィルタリングでは、次の HTTP メソッドがサポートされています。
取得
投稿
オプション
頭
置く
削除
跡
繋ぐ
拡張Webフィルタリング(EWF)向けのユーザーメッセージとリダイレクトURL
Junos OSリリース15.1X49-D110以降、custom-objectsコマンドに新しいオプションcustom-messageが追加され、EWFカテゴリごとにURLがブロックまたは隔離されたときにユーザーメッセージとリダイレクトURLを設定してユーザーに通知することができます。custom-message オプションには、以下の必須属性があります。
名前: カスタムメッセージの名前。最大長は 59 バイトです。
種類: カスタム メッセージの種類:
user-messageまたはredirect-url。コンテンツ: カスタムメッセージの内容。最大長は 1024 バイトです。
ユーザメッセージまたはリダイレクトURLをカスタムオブジェクトとして設定し、カスタムオブジェクトをEWFカテゴリに割り当てます。
ユーザーメッセージは、Web サイトへのアクセスが組織のアクセスポリシーによってブロックされていることを示します。ユーザーメッセージを設定するには、
[edit security utm custom-objects custom-message message]階層レベルでtype user-message content message-textステートメントを含めます。リダイレクト URL は、ブロックまたは検疫された URL をユーザー定義の URL にリダイレクトします。リダイレクト URL を設定するには、
[edit security utm custom-objects custom-message message]階層レベルでtype redirect-url content redirect-urlステートメントを含めます。
custom-message オプションには、次の利点があります。
EWF カテゴリごとに個別のカスタム メッセージまたはリダイレクト URL を構成できます。
custom-messageオプションを使用すると、メッセージを微調整してポリシーをサポートし、どの URL がブロックまたは検疫されているかを把握できます。カテゴリごとに適用される
custom-message構成オプションは 1 つだけです。custom-message構成は、拡張 Web フィルタリング(EWF)でのみサポートされます。そのため、Juniper EWFエンジンタイプのみがサポートされます。
Junos OSリリース17.4R1以降、ローカルおよびWebsenseリダイレクトプロファイルでカスタムカテゴリ設定のサポートが利用できます。
関連項目
拡張 Web フィルタリング プロセスについて
Web フィルタリングを使用すると、インターネット アクセスを管理して、不適切な Web コンテンツへのアクセスを防ぐことができます。拡張 Web フィルタリング(EWF)機能は、HTTP または HTTPS トラフィックを次の方法で傍受、スキャンし、それに対して処理を行います。
デバイスは、Websense ThreatSeeker Cloud(TSC)へのTCPソケット接続を作成します。
デバイスは、HTTP または HTTPS 接続を傍受し、URL またはホスト名または IP アドレスを抽出して Web フィルタリングを実行します。HTTPS 接続の場合、EWF は SSL フォワード プロキシ経由でサポートされます。
Junos OSリリース12.3X48-D25およびJunos OSリリース17.3R1以降、SSLフォワードプロキシを介した拡張Webフィルタリング(EWF)により、HTTPSトラフィックがサポートされます。
デバイスは、ユーザーが構成したブロックリストまたは許可リストで URL を探します。
ブロックリストまたは許可リストのアクションタイプは、すべての URL または IP アドレスが常にブロックまたは許可され、オプションでログに記録されるユーザー定義のカテゴリです。
URL がユーザー構成のブロックリストに含まれている場合、デバイスは URL をブロックします。
URL がユーザー構成の許可リストに含まれている場合、デバイスは URL を許可します。
デバイスはユーザー定義のカテゴリをチェックし、カテゴリのユーザー指定のアクションに基づいて URL をブロックまたは許可します。
デバイスは、ローカル キャッシュ内またはクラウド サービスから定義値カテゴリを探します。
URL が URL フィルタリング キャッシュで使用できない場合、デバイスは分類の要求とともに HTTP 形式の URL を TSC に送信します。デバイスは、TSC で使用可能になった接続の 1 つを使用して要求を送信します。
TSC は、分類とレピュテーション スコアでデバイスに応答します。
デバイスは、識別されたカテゴリに基づいて次のアクションを実行します。
URL が許可されている場合、デバイスは HTTP 要求を HTTP サーバーに転送します。
URL がブロックされている場合、デバイスは HTTP クライアントに拒否ページを送信し、HTTP サーバーにリセット メッセージを送信して接続を閉じます
URL が隔離されている場合、デバイスは set-cookie を含む隔離ページを HTTP クライアントに送信します。クライアントが続行することを決定した場合、デバイスは Cookie を使用して新しい要求を許可します。
カテゴリが設定され、カテゴリアクションが使用可能な場合、デバイスはカテゴリアクションに基づいてURLを許可またはブロックします。
カテゴリが設定されていない場合、デバイスはグローバルレピュテーションアクションに基づいて URL を許可またはブロックします。
グローバルレピュテーションが設定されていない場合、デバイスはWebフィルタリングプロファイルで設定されたデフォルトアクションに基づいてURLを許可またはブロックします。
デフォルトでは、EWF はブロックリスト、許可リスト、カスタムカテゴリ、定義済みカテゴリの順に URL を処理します。
- 拡張 Web フィルタリングの機能要件
- 拡張Webフィルタリングのためのキャッシュプリロード
- 拡張Webフィルタリング(EWF)向けのユーザーメッセージとリダイレクトURL
- インテリジェントWebフィルタリングプロファイル選択
拡張 Web フィルタリングの機能要件
拡張 Web フィルタリング(EWF)を使用するには、以下のアイテムが必要です。
License key— EWFソリューションにアップグレードするには、新しいライセンスをインストールする必要があります。
「'wf_key_websense_ewf' ライセンスが必要です」という警告メッセージは、定期的な EWF ライセンス検証チェックによって生成されるため、無視してかまいません。
ライセンス キーの有効期限が切れた後、EWF 機能には、他のコンテンツ セキュリティ機能と一致する 30 日間の猶予期間が提供されます。
この機能にはライセンスが必要です。ライセンス管理に関する一般的な情報については、 ライセンスガイド を参照してください。詳細については、 SRXシリーズファイアウォール の製品データシートを参照するか、ジュニパーアカウントチームまたはジュニパーパートナーにお問い合わせください。
EWF 機能の猶予期間が経過すると (または機能がインストールされていない場合)、Web フィルタリングは無効になり、すべての HTTP 要求は Web フィルタリングをバイパスし、TSC への接続はすべて無効になります。有効なライセンスをインストールすると、サーバーへの接続が再度確立されます。
debugコマンドは、デバイスで使用可能な各 TCP 接続に次の情報を提供します。処理された要求の数
保留中の要求の数
エラー (ドロップまたはタイムアウトした要求) の数
TCP connection between a Web client and a webserver- アプリケーション識別(APPID)モジュールは、HTTP 接続を識別するために使用されます。EWF ソリューションは、デバイスが最初の SYN パケットを受信した後に HTTP 接続を識別します。HTTP 要求をブロックする必要がある場合、EWF はデバイスから Web クライアントにブロック メッセージを送信します。さらに、EWFはTCP FINリクエストをクライアントに送信し、TCPリセット(RST)をサーバーに送信して接続を無効にします。デバイスは、フロー セッションを通じてすべてのメッセージを送信します。メッセージは、サービス チェーン全体に従います。
HTTP request interception- EWF はデバイス上の最初の HTTP リクエストをインターセプトし、HTTP 1.0 および HTTP 1.1 で定義されているすべてのメソッドに対して URL フィルタリングを実行します。デバイスは、TSC からの応答を待機している間、元の要求を保持します。HTTP URL の最初のパケットがフラグメント化されている場合、またはデバイスが何らかの理由で URL を抽出できない場合は、宛先 IP アドレスが分類に使用されます。
http-reassembleを有効にすると、EWF はフラグメントから要求全体を回復し、URL を取得できます。HTTP 1.1 持続接続の場合、そのセッションでの後続の要求は EWF モジュールによって無視されます。
デバイスが元の要求を長時間保持している場合、クライアントは要求を再送信します。URLフィルタリングコードは、再送信されたパケットを検出します。元の HTTP 要求が既に転送されている場合、EWF は再送信されたパケットをサーバーに転送します。ただし、EWF が最初のパケット処理の途中であるか、セッションをブロックする計算を行う場合、ソリューションは再送信されたパケットをドロップします。カウンターは、デバイスが受信した再送信されたパケットの数を追跡します。
TSC がデバイスからの分類要求に時間内に応答しない場合、元のクライアント要求はタイムアウト フォールバック設定に従ってブロックまたは許可されます。
HTTPS request interception—Junos OS 15.1X49-D40およびJunos OSリリース17.3R1以降、EWFはSRXシリーズファイアウォールを通過するHTTPSトラフィックを傍受します。デバイスからのセキュリティ チャネルは、クライアントとデバイス間の 1 つの SSL チャネルと、デバイスと HTTPS サーバー間の別の SSL チャネルに分割されます。SSL 転送プロキシは、両方のチャネルの端末として機能し、クリアテキスト トラフィックをコンテンツ セキュリティに転送します。コンテンツセキュリティは、HTTPリクエストメッセージからURLを抽出します。
Blocking message- Web クライアントに送信されるブロッキング メッセージは、ユーザーが構成でき、次のタイプがあります。
ジュニパーネットワークスのブロックメッセージは、デバイスに定義されているデフォルトのメッセージで、ユーザーが変更できます。既定のブロック メッセージには、要求がブロックされた理由とカテゴリ名 (カテゴリが原因でブロックされた場合) が含まれています。
Syslog メッセージ。
たとえば、Enhanced_Search_Engines_and_Portals のアクションをブロックに設定し、www.example.com にアクセスしようとすると、ブロック メッセージの形式は次のようになります Juniper Web Filtering:Juniper Web Filtering has been set to block this site. CATEGORY: Enhanced_Search_Engines_and_Portals REASON: BY_PRE_DEFINED 。ただし、被試験デバイス(DUT)の対応するsyslogメッセージは次のとおりです: WEBFILTER_URL_BLOCKED: WebFilter: ACTION="URL Blocked" 56.56.56.2(59418)->74.125.224.48(80) CATEGORY="Enhanced_Search_Engines_and_Portals" REASON="by predefined category" PROFILE="web-ewf" URL=www.example.com OBJ=/ 。
Monitoring the Websense server- URL フィルタリング モジュールは、TSC がアクティブかどうかを判断するために、ソケット接続とハートビートの 2 つの方法を使用します。EWF は、TSC への永続的な TCP ソケットを維持します。サーバーが有効になっている場合、サーバーは TCP ACK で応答します。EWF は、アプリケーション層の NOOP キープアライブを TSC に送信します。デバイスが特定の期間内に 3 回連続して NOOP キープアライブに対する応答を受信しない場合、デバイスはソケットを非アクティブと判断します。EWF モジュールは、TSC への新しい接続を開こうとします。すべてのソケットが非アクティブである場合、TSC は非アクティブと見なされます。したがって、エラーが発生します。エラーが表示され、ログに記録されます。後続の要求と保留中の要求は、TSC への新しい接続が再び開かれるまで、サーバー接続フォールバック設定に従ってブロックされるか、渡されます。
HTTP protocol communication with the TSC- EWF は HTTP 1.1 プロトコルを使用して TSC と通信します。これにより、永続的な接続と、同じ接続を介した複数の HTTP 要求の送信が保証されます。1 つの HTTP 要求または応答がクライアントまたはサーバーの通信に使用されます。TSC はキューに入れられた要求を処理できます。最適なパフォーマンスを得るには、非同期の要求または応答メカニズムが使用されます。要求は TCP 経由で送信されるため、TCP 再送信を使用して要求または応答を確実に配信します。また、TCP は、有効な順序どおりの再送信されていない HTTP ストリーム データがデバイス上の HTTP クライアントに送信されることを保証します。
Responses- 応答は基本的な HTTP 規則に従います。成功した応答には、20x 応答コード (通常は 200) が含まれます。エラー応答には、4xx または 5xx コードが含まれます。4xx シリーズのエラー応答は、カスタム コードの問題を示します。5xx シリーズのエラー応答は、サービスの問題を示します。
エラーコードと意味は次のとおりです。
400 - 要求が正しくありません
403 - 許可されていません
404–見つかりません
408 – 要求が取り消されたか、応答が null です
500 - 内部サーバー エラー
400 シリーズのエラーは、要求に問題があることを示します。500 シリーズのエラーは、TSC サービスに問題があることを示します。Websenseはこれらのエラーを自動的に通知され、それに応じて応答します。
既定のフォールバック設定を構成して、要求を渡すかブロックするかを決定できます。
set security utm feature-profile web-filtering juniper-enhanced profile juniper-enhanced fallback-settings default ?応答には、サイトの分類とサイトの評価情報も含まれます。
Categories- カテゴリ リストはデバイスで使用できます。このリストはカテゴリで構成され、それぞれにカテゴリ コード、名前、および親 ID が含まれています。カテゴリは、ユーザーが定義することもできます。各カテゴリは、URL または IP アドレスの一覧で構成されます。カテゴリーは動的に更新されず、Junos OSイメージにコンパイルする必要があるため、Junos OSリリースに関連付けられます。カテゴリー内の更新は、Junos OSのリリースサイクルと同期させる必要があります。
Junos OSリリース17.4R1以降、新しいEWFカテゴリをダウンロードして動的に読み込むことができます。新しい EWF カテゴリのダウンロードと動的読み込みには、ソフトウェアのアップグレードは必要ありません。Websenseは時折、新しいEWFカテゴリをリリースしています。EWFは、ホスト、URL、またはIPアドレスに従ってWebサイトをカテゴリに分類し、カテゴリに基づいてフィルタリングを実行します。
1 次装置と 2 次装置の間でカテゴリー・ファイル転送が失敗すると、ファイル転送の結果、アップグレード・エラーが発生し、エラー・ログが生成されます。
新しいカテゴリ ファイルのインストール中にカテゴリ ファイル名が変更されると、新しいカテゴリ ファイルによって内部システムの古いカテゴリ ファイルが上書きされ、関連するすべての出力情報が新しいカテゴリ名に置き換えられます。
Junos OSリリース17.4R1以降、カテゴリファイルで定義された定義済みベースフィルタが、個々のEWFカテゴリに対してサポートされます。各 EWF カテゴリには、バックアップ フィルタとして機能するユーザー プロファイルにアタッチされたベース フィルタの既定のアクションがあります。カテゴリーがユーザー・プロファイルで構成されていない場合は、基本フィルターがアクションを実行します。
基本フィルターは、カテゴリ ファイルで定義されているすべてのカテゴリのカテゴリとアクションのペアを含むオブジェクトです。基本フィルターは構造化されたオブジェクトであり、フィルター名とカテゴリとアクションのペアの配列を使用して定義されます。
カテゴリとアクションのペアの配列を持つ基本フィルターの例を次に示します。Enhanced_Adult_Materialカテゴリの場合、アクションはブロックです。Enhanced_Blog_Posting カテゴリーの場合、アクションは許可です。などなど。
{ "predefined-filter": [ { "filter-name": "ewf-default-filter", "cat-action-table": [ {"name":"Enhanced_Adult_Material","action":"block"}, {"name":"Enhanced_Blog_Posting","action":"permit"}, {"name":"Enhanced_Blog_Commenting","action":"permit"} ] } ] }EWF は最大 16 個のベース フィルターをサポートします。Junos OSリリース17.4R1は、ベースフィルターのオンラインアップグレードもサポートしています。
ユーザー プロファイルの名前がベース フィルターと同じ場合、Web フィルターは間違ったプロファイルを使用します。
Caching- 正常に分類された回答は、デバイスにキャッシュされます。未分類の URL はキャッシュされません。キャッシュのサイズはユーザーが構成できます。
Safe search (HTTP support only, not HTTPS)- セーフサーチ ソリューションを使用して、検索エンジンから受信した URL の画像などの埋め込みオブジェクトが安全であり、望ましくないコンテンツがクライアントに返されないようにします。
分類情報を提供するために、TSC に URL が提供されます。検索 URL の場合、TSC はセーフサーチ文字列も返します。たとえば、セーフサーチ文字列は safe=active です。このセーフサーチ文字列が URL に追加され、セーフサーチを使用してクライアントのクエリをリダイレクトするためのリダイレクト応答が有効になります。これにより、安全でないコンテンツがクライアントに返されなくなります。TSC がセーフサーチが必要であることを示している場合は、セーフサーチリダイレクトを実行できます。
たとえば、クライアントは、EWF プロファイルで許可されている URL https://www.google.com/search?q=test に要求を行います。パケット モードでは、DUT 上の EWF はリダイレクト URL https://www.google.com/search?q=test&safe=active で HTTP 302 応答を生成します。この応答はクライアントに返されます。これで、クライアントはこの URL に安全なリダイレクト要求を送信します。ストリーム モードでは、DUT 上の EWF が URL を https://www.google.com/search?q=test&safe=active に書き換えて転送します。
手記：セーフサーチリダイレクトはHTTPのみをサポートします。HTTPS の URL を抽出することはできません。そのため、HTTPS 検索 URL のリダイレクト応答を生成することはできません。セーフサーチリダイレクトは、CLI オプション
no-safe-searchを使用して無効にできます。Site reputation- TSC はサイトのレピュテーション情報を提供します。これらのレピュテーションに基づいて、ブロックまたは許可アクションを選択できます。URL が許可リストまたはブロックリストによって処理されず、ユーザーまたは事前定義されたカテゴリに該当しない場合は、レピュテーションを使用して URL フィルタリングの決定を実行できます。
Junos OS リリース 17.4R1 以降、レピュテーションベーススコアは設定可能です。ユーザーは、Websense ThreatSeekerクラウド(TSC)によって提供されるグローバルレピュテーション値を適用できます。非カテゴリURLの場合、グローバルレピュテーション値を使用してフィルタリングが実行されます。
レピュテーションスコアは次のとおりです。
100-90 - サイトは非常に安全であると見なされます。
80-89 - サイトは中程度の安全性があると見なされます。
70-79 - サイトはかなり安全であると見なされます。
60-69:サイトは不審と見なされます。
0-59 - サイトは有害と見なされます。
デバイスは、サイトのレピュテーションスコアに基づいてブロックまたは許可された URL のログを保持します。
Profiles- URL フィルタリング プロファイルは、カテゴリのリストとして定義され、各プロファイルにはアクション タイプ(許可、ログアンド許可、ブロック、隔離)が関連付けられています。定義済みプロファイル junos-wf-enhanced-default は、ユーザーが独自のプロファイルを定義しないことを選択した場合にユーザーに提供されます。
また、プロファイル内のサイトのレピュテーションに基づいてアクションを定義して、受信 URL がプロファイルで定義されているどのカテゴリにも属していない場合のアクションを指定することもできます。サイトのレピュテーション処理情報を構成しない場合は、既定のアクションを定義できます。プロファイルに定義されたカテゴリまたは定義されたレピュテーションアクションがないすべてのURLは、プロファイルで明示的に定義されたデフォルトアクションのブロックまたは許可処理に応じて、ブロック、許可、ログに記録および許可、または隔離されます。デフォルト・アクションを指定しない場合、URL は許可されます。検索エンジン要求の場合、明示的なユーザー定義の構成がなく、URL 要求にセーフサーチオプションがない場合、EWF はリダイレクト応答を生成してクライアントに送信します。クライアントは、セーフサーチオプションを有効にして新しい検索要求を生成します。
URL フィルタリングプロファイルには、次の項目を含めることができます。
複数のユーザー定義および定義済みカテゴリ(それぞれに許可アクションまたはブロックアクションあり)
複数のサイトレピュテーション処理カテゴリ (それぞれに許可またはブロックアクションあり)
許可アクションまたはブロックアクションを含む1つのデフォルトアクション
検索の順序は、ブロックリスト、許可リスト、ユーザー定義カテゴリ、定義済みカテゴリ、セーフサーチ、サイトレピュテーション、およびデフォルトアクションです。
拡張Webフィルタリングのためのキャッシュプリロード
Junos OSリリース23.2R1以降、キャッシュには、システム起動段階で分類情報とともに、高評価で頻繁にアクセスするURLリストがロードされます。これは、インターネット接続が遅いユーザーが、リモート分類サービスのために Web へのアクセス中に高い待機時間が発生する場合に便利です。Web フィルタ ポリシーの決定はキャッシュに事前に読み込まれた URL カテゴリ情報に基づいているため、最初の要求が行われた場合でも遅延が発生しないようにします。
キャッシュはデフォルトでは有効になっていません。この機能を使用するには、キャッシュが有効になっていることを確認します。拡張Webフィルタリング(EWF)のキャッシュを有効にするには、以下の設定が必要で、SRXシリーズファイアウォールで使用できます。
-
security utm default-configuration web-filtering juniper-enhanced cache timeout -
security utm default-configuration web-filtering juniper-enhanced cache size
拡張Webフィルタリング用キャッシュプリロードには、次のCLI設定ステートメントオプションを使用します。
security {
utm {
default-configuration {
web-filtering {
juniper-enhanced {
cache-preload {
feed-url <URL>;
automatic {
interval 1;
retry 1;
feed-type <server-names-feed>;
}
}
}
}
}
}
}
| フィードURL | 既定のハードコードされたファイルの代わりに代替ファイルをダウンロードするために使用されます。必須ではありません。設定されていない場合は、ハードコーディングされた既定値が使用されます。 デフォルトのフィード URL: https://update.juniper-updates.net/EWF-CACHE-PRELOAD/ フィードタイプに基づいて、次のいずれかのデフォルトが使用されます。 https://update.juniper-updates.net/EWF-CACHE-PRELOAD/abs_urls_feed.tgz https://update.juniper-updates.net/EWF-CACHE-PRELOAD/server_names_feed.tgz |
| 自動 | ダウンロードとプリロードキャッシュをユーザーの操作なしで自動的に設定するために使用されます。 |
| 自動インターバル<時間単位> | 自動キャッシュ プリロードをスケジュールするために使用されます。自動オプションが指定されている場合は必須です。 |
| 自動再試行<時間単位> | 何らかの理由で自動キャッシュプリロードが失敗した場合の再試行をスケジュールするために使用されます。自動オプションが指定されている場合は必須です。 |
| 自動フィードタイプ<abs-urls-feedまたはサーバー名フィード> | 自動ダウンロードおよびプリロード機能で使用するフィードタイプを指定するために使用します。自動オプションが指定されている場合は必須です。 |
キャッシュ内のエントリの最大数は、次のコマンドを使用して制限できます。
set security utm default-configuration web-filtering juniper-enhanced cache size ?
可能な完了:
<size> Juniper enhanced cache size (0..4096 kilobytes)
拡張Webフィルタリングキャッシュプリロード機能の新しい操作コマンドがCLIから利用できます。
操作コマンドを使用して、リモートサーバーから任意のURLフィードをダウンロードできます。Feed-URL オプションは、既定のハードコードされたファイルではなく、代替ファイルをダウンロードする場合に便利です。Feed-URL オプションを使用しても、指定したパッケージで使用可能なフィードのタイプを示すには、サーバー名フィードオプションと abs-urls-feed オプションが必要です。
-
request security utm web-filtering cache-preload download abs-urls-feed -
request security utm web-filtering cache-preload download server-names-feed -
request security utm web-filtering cache-preload download server-names-feed feed-url https://update.juniper-updates.net/EWF-CACHE-PRELOAD/server_names_fp_feed.tgz -
request security utm web-filtering cache-preload download abs-urls-feed feed-url https://update.juniper-updates.net/EWF-CACHE-PRELOAD/abs_urls_fp_feed.tgz
種類が server-names-feed のユーザー指定パッケージには、 server_names_feed.csv ファイルと server_names_feed.ver ファイルが含まれている必要があります。
種類が abs-urls-feed must のユーザー指定パッケージには、 abs_urls_feed.csv ファイルと abs_urls_feed.ver ファイルが含まれています。
ハードコーディングされたリンクを次に示します。プログラムは、フィードタイプに基づいてリンクを選択します。
https://update.juniper-updates.net/EWF-CACHE-PRELOAD/abs_urls_feed.tgz
https://update.juniper-updates.net/EWF-CACHE-PRELOAD/server_names_feed.tgz
以下の操作コマンドを使用して、システム内の既存のURLフィードを使用してキャッシュのプリロードをトリガーします。これらのコマンドは、ダウンロード用のコマンドを使用してパッケージが既にインストールされている場合にキャッシュを読み込みます。サーバー名フィードオプションを使用して、分類されたサーバー名をプリロードします。abs-urls-feed を使用して、分類された URL フィードをプリロードします。
-
request security utm web-filtering cache-preload load-active-local server-names-feed -
request security utm web-filtering cache-preload load-active-local abs-urls-feed
次を使用して、リモート サーバーから既定の URL フィードをダウンロード、インストールし、キャッシュを読み込みます。分類されたサーバー名をダウンロードするには、サーバー名フィードオプションを使用します。abs-urls-feed を使用して、分類された URL フィードをダウンロードします。
-
request security utm web-filtering cache-preload load-active server-names-feed -
request security utm web-filtering cache-preload load-active abs-urls-feed
キャッシュプリロード機能のステータスを確認するには、次のコマンドを使用します。
user@host> show security utm web-filtering cache-preload status
拡張Webフィルタリング(EWF)向けのユーザーメッセージとリダイレクトURL
Junos OSリリース15.1X49-D110以降、custom-objectsステートメントに新しいオプションcustom-messageが追加されています。これにより、EWFカテゴリごとにURLがブロックまたは隔離されたときに、ユーザーメッセージとリダイレクトURLを設定してユーザーに通知することができます。custom-message オプションには、以下の必須属性があります。
名前: カスタムメッセージの名前。最大長は 59 文字の ASCII 文字です。
種類: カスタム メッセージの種類:
user-messageまたはredirect-url。コンテンツ: カスタムメッセージの内容。最大長は 1024 ASCII 文字です。
ユーザメッセージまたはリダイレクトURLをカスタムオブジェクトとして設定し、カスタムオブジェクトをEWFカテゴリに割り当てます。
ユーザーメッセージは、Web サイトへのアクセスが組織のアクセスポリシーによってブロックされていることを示します。ユーザーメッセージを設定するには、
[edit security utm custom-objects custom-message message]階層レベルでtype user-message content message-textステートメントを含めます。リダイレクト URL は、ブロックまたは検疫された URL をユーザー定義の URL にリダイレクトします。リダイレクト URL を設定するには、
[edit security utm custom-objects custom-message message]階層レベルでtype redirect-url content redirect-urlステートメントを含めます。
custom-message オプションには、次の利点があります。
EWF カテゴリごとに個別のカスタム メッセージまたはリダイレクト URL を構成できます。
[
custom-message] オプションを使用すると、メッセージを微調整してポリシーをサポートし、どの URL がブロックまたは検疫されているかを把握できます。カテゴリごとに適用される
custom-message構成オプションは 1 つだけです。custom-message設定は、拡張Webフィルタリング(EWF)でのみサポートされています。そのため、Juniper EWFエンジンタイプのみがサポートされます。
Junos OSリリース17.4R1以降、ローカルおよびWebsenseリダイレクトプロファイルでカスタムカテゴリ設定のサポートが利用できます。
インテリジェントWebフィルタリングプロファイル選択
Junos OSリリース23.2R1以降、ポリシーの最終一致が行われる前に、JDPIからの動的アプリ情報を使用してポリシー情報を取得できるようになりました。Web フィルター プロファイルは、最終的なアプリケーションの一致に基づいて最終的なポリシーが選択された後、再度更新されます。
動的アプリ情報に基づいて取得されるコンテンツセキュリティプロファイルは、以前のアプローチであったデフォルトプロファイルを適用するよりも正確です。
動的なアプリベースのポリシー検出が既定の動作になりました。次のノブが Web フィルタリングのデフォルト設定階層に追加され、必要に応じて動的アプリプロファイル検出機能が無効になります。
set security utm default-configuration web-filtering disable-dynapp-profile-selection
コンテンツセキュリティポリシーの1つをデフォルトにするために、次のコマンドが導入されています。
set security utm default-policy <pol_name>
このコマンドを使用して、任意のコンテンツセキュリティポリシーをデフォルトポリシーとして選択できます。デフォルトポリシーが統一されたマルチポリシー設定シナリオで設定されている場合は、デフォルトのコンテンツセキュリティWebフィルタリングポリシーが使用されます。設定されていない場合は、junos-default-utm-policyがデフォルトポリシーとして使用されます。
デフォルトのポリシー変更は Web フィルタリングにのみ適用され、コンテンツ フィルタリング、アンチウィルス、アンチスパムには適用されません。
次のCLIコマンドを使用して、dynappプロファイル選択の設定を表示します。
show security utm web-filtering status
コンテンツセキュリティ Web フィルタリングのステータス:
Server status: Juniper Enhanced using Websense server UP
JDPI Parser : Enabled
Dynapp-profile-selection: Enabled
次のコマンドを使用して、ポリシー参照アクティビティのデバッグ カウンタ値を表示します。
show security utm l7-app-policy statistics
新しいカウンターがデバッグ用の Web フィルタリング統計に追加されます。
| Dynappポリシーに一致するセッション |
uf_ng セッションに関連付けられているポリシーが、新しく識別された App-ID に基づいて変更されるたびに増加します。 |
| デフォルト・ポリシーに一致するセッション |
接続に対して実行されるコンテンツセキュリティポリシーアクションが、ユーザーが設定したデフォルトポリシーに基づいている場合に増加します。このカウンタは、ユーザが設定したデフォルト ポリシーが new dynamic-app で識別されるポリシーと同じ場合、またはユーザが設定したデフォルト ポリシーに有効なコンテンツ セキュリティ Web フィルタリング プロファイルがあり、ポリシーが no が既存のファイアウォール ポリシーと一致していない場合に増加します。 |
| 最終ポリシーと一致したセッション |
ポリシーの競合なしにコンテンツセキュリティポリシーに対してアクションが実行されると増加します。 |
show services application-identification application-system-cacheコマンドを使用して、AppIDモジュールによって識別される動的アプリケーションを確認します。
関連項目
定義済みカテゴリのアップグレードとベース フィルター設定の概要
ソフトウェアをアップグレードすることなく、新しい拡張Webフィルタリング(EWF)カテゴリをダウンロードして動的にロードすることができます。カテゴリ ファイルで定義されている定義済みベース フィルタは、個々の EWF カテゴリでサポートされています。
ソフトウェアのアップグレードなしで、定義済みのカテゴリのアップグレードを設定するには:
show security utm custom-objects
category-package{
automatic{
interval 60;
enable;
start-time "2017-09-05.08.08.08";
}
route-instance VRF;
url https://update.juniper-updates.net/EWF;
}
show security utm 機能プロファイル Web フィルタリング ジュニパー拡張
server {
host rp.cloud.threatseeker.com;
}
sockets 8;
profile ewf_p1 {
+ base-filter gov-filter;
default log-and-permit;
timeout 15;
}
+reputation {
reputation-very-safe 90;
reputation-moderately-safe 80;
reputation-fairly-safe 70;
reputation-suspicious 60;
}
関連項目
例:拡張 Web フィルタリングの設定
この例では、Web サイト アクセスを管理するための拡張 Web フィルタリング(EWF)を構成する方法を示します。この機能は、すべてのSRXシリーズファイアウォールでサポートされています。EWFソリューションは、HTTPおよびHTTPSリクエストを傍受し、HTTP URLまたはHTTPSソースIPをWebsense ThreatSeeker Cloud(TSC)に送信します。TSC は、URL を 1 つ以上の定義済みカテゴリに分類し、サイトのレピュテーション情報も提供します。TSC はさらに、URL カテゴリとサイトレピュテーション情報をデバイスに返します。SRXシリーズファイアウォールは、TSCから提供された情報に基づいて、リクエストを許可するかブロックできるかを判断します。
必要条件
この例では、以下のハードウェアとソフトウェアのコンポーネントを使用しています。
SRX5600デバイス
Junos OS リリース 12.1X46-D10 以降
開始する前に、Web フィルタリングと拡張 Web フィルタリング (EWF) について理解しておく必要があります。 Web フィルタリングの概要 および 拡張 Web フィルタリング プロセスについてを参照してください。
概要
Webフィルタリングは、ユーザーがHTTPおよびHTTPS経由でWebサイトにアクセスする方法を監視および制御するために使用されます。この例では、バイパスする URL またはアドレスの URL パターンリスト(許可リスト)を設定します。URL パターンリストを作成したら、カスタムオブジェクトを定義します。カスタム オブジェクトを定義した後、カスタム オブジェクトを機能プロファイルに適用して各プロファイルのアクティビティを定義し、機能プロファイルをコンテンツ セキュリティ ポリシーに適用し、最後に Web フィルタリング コンテンツ セキュリティ ポリシーをセキュリティ ポリシーにアタッチします。 表 3 に、この例で使用される EWF 設定タイプ、手順、およびパラメータに関する情報を示します。
構成タイプ |
設定手順 |
設定パラメータ |
|---|---|---|
URL pattern and custom objects |
バイパスする URL またはアドレスの URL パターンリスト(許可リスト)を設定します。 1.2.3.4 http://www.example.net パターンを含む urllist3 というカスタムオブジェクトを作成します。 |
|
urllist3 カスタムオブジェクトをカスタムURLカテゴリcusturl3に追加します。 |
|
|
Feature profiles |
Web フィルタリング機能プロファイルを設定します。 |
|
|
|
|
|
|
|
|
|
|
|
|
構成
この例では、カスタム URL パターン、カスタム オブジェクト、機能プロファイル、およびセキュリティ ポリシーを設定する方法を示します。
- 拡張 Web フィルタリングのカスタムオブジェクトと URL パターンの設定
- 拡張 Web フィルタリング機能プロファイルの設定
- Webフィルタリングコンテンツセキュリティポリシーのセキュリティポリシーのセキュリティポリシーの適用
拡張 Web フィルタリングのカスタムオブジェクトと URL パターンの設定
CLIクイック構成
この例のセクションを迅速に設定するには、以下のコマンドをコピーして、テキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルで CLI にコピー アンド ペーストして、設定モードから commit を入力します。
set security utm custom-objects url-pattern urllist3 value http://www.example.net set security utm custom-objects url-pattern urllist3 value 1.2.3.4 set security utm custom-objects url-pattern urllistblack value http://www.untrusted.com set security utm custom-objects url-pattern urllistblack value 13.13.13.13 set security utm custom-objects url-pattern urllistwhite value http://www.trusted.com set security utm custom-objects url-pattern urllistwhite value 11.11.11.11 set security utm custom-objects custom-url-category custurl3 value urllist3 set security utm custom-objects custom-url-category custblacklist value urllistblack set security utm custom-objects custom-url-category custwhiltelist value urllistwhite
Junos OSリリース15.1X49-D110以降、WebフィルタリングプロファイルのURLパターンファイルを開くために必要なワイルドカード構文の「* 」は、すべてのサブドメインに一致します。たとえば、*.example.net は以下と一致します。
http://a.example.net
http://example.net
a.b.example.net
ユーザー設定カテゴリは、定義済みカテゴリの 1 つと同じ名前を持つ場合、定義済みカテゴリよりも優先されません。ユーザー設定のカテゴリには、定義済みのカテゴリに使用したのと同じ名前を使用しないでください。
手順
次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、 CLIユーザー ガイドの 設定モードでのCLIエディターの使用を参照してください。
拡張 Web フィルタリングでカスタムオブジェクトと URL パターンを設定するには:
バイパスする URL またはアドレスの URL パターンリスト(許可リスト)を設定します。URL パターン リストを作成したら、カスタム URL カテゴリ リストを作成し、それにパターン リストを追加します。URL パターンリストカスタムオブジェクトを設定するには、リスト名を作成し、次のように値を追加します。
手記：URL パターン リストを使用してカスタム URL カテゴリ リストを作成するため、カスタム URL カテゴリ リストを設定する前に、URL パターン リストのカスタム オブジェクトを設定する必要があります。
[edit security utm] user@host# set custom-objects url-pattern urllist3 value [http://www. example.net 1.2.3.4]
手記：URL パターンのワイルドカードを使用するためのガイドラインは次のとおりです。 \*\.[] を使用します。\?* を使用し、すべてのワイルドカード URL の前に http:// を付けます。"*" を使用できるのは、URL の先頭に "." が続く場合のみです。"?" は URL の末尾でのみ使用できます。
次のワイルドカード構文がサポートされています: http://*。example.net, http://www.example.ne?, http://www.example.n??.次のワイルドカード構文はサポートされていません: *.example.???, http://*example.net, http://?。
パターン http://www.example.net を含む urllist3 というカスタムオブジェクトを作成し、urllist3 カスタムオブジェクトをカスタム URL カテゴリ custurl3 に追加します。
[edit security utm] user@host# set custom-objects custom-url-category custurl3 value urllist3
信頼されていないサイトと信頼されているサイトの一覧を作成します。
[edit security utm] user@host# set custom-objects url-pattern urllistblack value [http://www.untrusted.com 13.13.13.13] user@host# set custom-objects url-pattern urllistwhite value [http://www.trusted.com 11.11.11.11]
信頼できないサイトと信頼されているサイトの URL パターン リストを使用して、カスタム URL カテゴリ リストのカスタム オブジェクトを構成します。
[edit security utm] user@host# set custom-objects custom-url-category custblacklist value urllistblack user@host# set custom-objects custom-url-category custwhitelist value urllistwhite
業績
設定モードから、 show security utm custom-objects コマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の手順を繰り返して修正します。
[edit]
user@host# show security utm custom-objects
url-pattern {
urllist3 {
value [ 1.2.3.4 http://www.example.net ];
}
urllistblack {
value [ 13.13.13.13 http://www.untrusted.com ];
}
urllistwhite {
value [ 11.11.11.11 http://www.trusted.com ];
}
}
custom-url-category {
custurl3 {
value urllist3;
}
custblacklist {
value urllistblack;
}
custwhiltelist {
value urllistwhite;
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
拡張 Web フィルタリング機能プロファイルの設定
CLIクイック構成
この例のセクションを迅速に設定するには、以下のコマンドをコピーして、テキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルで CLI にコピー アンド ペーストして、設定モードから commit を入力します。
Junos OS リリース 12.3X48-D25 以降、新しい CLI オプションが使用可能になりました。 http-reassemble オプションと http-persist オプションが show security utm feature-profile web-filtering コマンドに追加されます。
set security utm default-configuration web-filtering juniper-enhanced set security utm default-configuration web-filtering juniper-enhanced cache size 500 set security utm default-configuration web-filtering juniper-enhanced cache timeout 1800 set security utm default-configuration web-filtering juniper-enhanced server host rp.cloud.threatseeker.com set security utm default-configuration web-filtering juniper-enhanced server port 80 set security utm default-configuration web-filtering http-reassemble set security utm default-configuration web-filtering http-persist set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile category Enhanced_Hacking action log-and-permit set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile category Enhanced_Government action quarantine set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile site-reputation-action very-safe permit set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile default block set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile fallback-settings server-connectivity block set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile fallback-settings timeout block set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile fallback-settings too-many-requests block set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile timeout 10 set security utm feature-profile web-filtering juniper-enhanced profile ewf_my_profile no-safe-search set security utm utm-policy mypolicy web-filtering http-profile ewf_my_profile set security policies from-zone utm_clients to-zone mgmt policy 1 then permit application-services utm-policy mypolicy
手順
次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、 CLIユーザー ガイドの 設定モードでのCLIエディターの使用を参照してください。
EWF 機能プロファイルを設定するには、次の手順を実行します。
-
EWF エンジンを構成し、キャッシュ サイズとキャッシュ タイムアウトのパラメーターを設定します。
[edit security utm default-configuration web-filtering] user@host# set juniper-enhanced cache size 500 user@host# set juniper-enhanced cache timeout 1800
サーバー名またはIPアドレスと、サーバーと通信するためのポート番号を設定します。システムのデフォルトのホスト値は rp.cloud.threatseeker.com です。
[edit security utm default-configuration web-filtering] user@host# set juniper-enhanced server host rp.cloud.threatseeker.com user@host# set juniper-enhanced server port 80
要求されたパケットを再構成するには
http-reassembleステートメントを設定し、同じセッション内のすべての HTTP 要求パケットをチェックするにはhttp-persistステートメントを設定します。http-reassembleステートメントがクリアテキスト HTTP トラフィック用に設定されていない場合、EWF はパケットベース インスペクションでの不完全な解析を回避するために、フラグメント化された HTTP 要求を再構成しません。http-persistステートメントがクリアテキスト HTTP トラフィック用に設定されていない場合、EWF は同じセッション内のすべての HTTP 要求パケットをチェックしません。[edit security utm default-configuration web-filtering] user@host# set http-reassemble user@host# set http-persist
カテゴリの一致が見つからない場合に URL に対して返されるサイトレピュテーションに応じて実行するアクションを指定します。
[edit security utm feature-profile web-filtering] user@host#set juniper-enhanced profile ewf_my_profile site-reputation-action very-safe permit
-
明示的に設定された他のアクションが一致しない場合の、プロファイルのデフォルトアクションを指定します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf_my_profile default block
このプロファイルのフォールバック設定 (ブロックまたはログと許可) を構成します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf_my_profile fallback-settings default block user@host# set juniper-enhanced profile ewf_my_profile fallback-settings server-connectivity block user@host# set juniper-enhanced profile ewf_my_profile fallback-settings timeout block user@host# set juniper-enhanced profile ewf_my_profile fallback-settings too-many-requests block
タイムアウト値を秒単位で入力します。この制限に達すると、フォールバック設定が適用されます。この例では、タイムアウト値を 10 に設定します。セーフサーチ機能を無効にすることもできます。既定では、検索要求にはセーフサーチ文字列が添付されており、すべての検索要求が安全または厳密であることを確認するためにリダイレクト応答が送信されます。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf_my_profile timeout 10 user@host# set juniper-enhanced profile ewf_my_profile no-safe-search
手記：SRX210、SRX220、SRX240、SRX300、SRX320、SRX345、SRX380、SRX550、SRX1500、SRX4100、およびSRX4200のタイムアウト値の範囲は0〜1800秒で、デフォルト値は15秒です。SRX3400 および SRX3600 のタイムアウト値の範囲は 1 から 120 秒で、デフォルト値は 3 秒です。
-
WebフィルタリングHTTPプロトコルのコンテンツセキュリティポリシー
mypolicyを設定し、コンテンツセキュリティポリシーにewf_my_profileを関連付け、このポリシーをセキュリティプロファイルにアタッチして実装します。[edit security utm] user@host# set utm-policy mypolicy web-filtering http-profile ewf_my_profile
-
コンテンツセキュリティポリシー
mypolicyをセキュリティポリシー1にアタッチします。[edit] user@host# set security policies from-zone utm_clients to-zone mgmt policy 1 then permit application-services utm-policy mypolicy
業績
設定モードから、 show security utm feature-profile コマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の手順を繰り返して修正します。
[edit]
user@host# show security utm
default-configuration {
web-filtering {
http-reassemble;
http-persist;
juniper-enhanced {
cache {
timeout 1800;
size 500;
}
server {
host rp.cloud.threatseeker.com;
port 80;
}
}
}
}
feature-profile {
web-filtering {
http-reassemble;
http-persist;
juniper-enhanced {
profile ewf_my_profile {
category {
Enhanced_Hacking {
action log-and-permit;
}
Enhanced_Government {
action quarantine;
}
}
site-reputation-action {
very-safe permit;
}
default block;
fallback-settings {
server-connectivity block;
timeout block;
too-many-requests block;
}
timeout 10;
no-safe-search;
}
utm-policy mypolicy {
web-filtering {
http-profile ewf_my_profile;
}
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
Webフィルタリングコンテンツセキュリティポリシーのセキュリティポリシーのセキュリティポリシーの適用
CLIクイック構成
この例のセクションを迅速に設定するには、以下のコマンドをコピーして、テキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルで CLI にコピー アンド ペーストして、設定モードから commit を入力します。
set security policies from-zone trust to-zone untrust policy sec_policy match source-address any set security policies from-zone trust to-zone untrust policy sec_policy match destination-address any set security policies from-zone trust to-zone untrust policy sec_policy match application any set security policies from-zone trust to-zone untrust policy sec_policy then permit application-services utm-policy mypolicy
手順
次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、 CLIユーザー ガイドの 設定モードでのCLIエディターの使用を参照してください。
コンテンツセキュリティポリシーをセキュリティポリシーにアタッチするには:
セキュリティ ポリシー sec_policyを作成します。
[edit] user@host# set security policies from-zone trust to-zone untrust policy sec_policy
sec-policy の一致条件を指定します。
[edit security policies from-zone trust to-zone untrust policy sec_policy] user@host# set match source-address any user@host# set match destination-address any user@host# set match application any
-
コンテンツセキュリティポリシーmypolicyをセキュリティポリシー sec_policyにアタッチします。
[edit security policies from-zone trust to-zone untrust policy sec_policy] user@host# set then permit application-services utm-policy mypolicy
業績
設定モードから、 show security policies コマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
[edit]
user@host# show security policies
from-zone trust to-zone untrust {
sec_policy {
match {
source-address any;
destination-address any;
application any;
}
then {
permit {
application-services {
utm-policy mypolicy;
}
}
}
}
}
default-policy {
permit-all;
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定が正常に機能していることを確認するには、次のタスクを実行します。
- Web フィルタリング サーバーのステータスの確認
- Web フィルタリング統計が増加していることの検証
- Web フィルタリングコンテンツセキュリティポリシーがセキュリティポリシーにアタッチされていることの確認
Web フィルタリング サーバーのステータスの確認
目的
Web フィルタリング サーバーの状態を確認します。
アクション
動作モードのコンフィギュレーションの上部から、 show security utm web-filtering status コマンドを入力します。
user@host> show security utm web-filtering status
UTM web-filtering status:
Server status: Juniper Enhanced using Websense server UP
意味
このコマンドの出力は、Web フィルタリング サーバーの接続がアップしていることを示しています。
Web フィルタリング統計が増加していることの検証
目的
Web フィルタリング統計の増加を検証します。初期カウンタ値は 0 です。HTTPリクエストURLにヒットした場合、Webフィルタリング統計が増加します。
アクション
動作モードのコンフィギュレーションの上部から、 show security utm web-filtering statistics コマンドを入力します。
user@host> show security utm web-filtering statistics
UTM web-filtering statistics:
Total requests: 0
white list hit: 0
Black list hit: 0
Queries to server: 0
Server reply permit: 0
Server reply block: 0
Server reply quarantine: 0
Server reply quarantine block: 0
Server reply quarantine permit: 0
Custom category permit: 0
Custom category block: 0
Custom category quarantine: 0
Custom category qurantine block: 0
Custom category quarantine permit: 0
Site reputation permit: 0
Site reputation block: 0
Site reputation quarantine: 0
Site reputation quarantine block: 0
Site reputation quarantine permit: 0
Site reputation by Category 0
Site reputation by Global 0
Cache hit permit: 0
Cache hit block: 0
Cache hit quarantine: 0
Cache hit quarantine block: 0
Cache hit quarantine permit: 0
Safe-search redirect: 0
SNI pre-check queries to server: 1
SNI pre-check server responses: 1
Web-filtering sessions in total: 128000
Web-filtering sessions in use: 0
Fallback: log-and-permit block
Default 0 0
Timeout 0 0
Connectivity 0 0
Too-many-requests 0 0
意味
出力には、許可リストとブロックリストのヒット、カスタム カテゴリのヒットなど、接続の Web フィルタリング統計が表示されます。HTTP リクエスト URL にヒットした場合、Web フィルタリング統計は以前の値から増加しています。
Web フィルタリングコンテンツセキュリティポリシーがセキュリティポリシーにアタッチされていることの確認
目的
Web フィルタリング コンテンツ セキュリティ ポリシー mypolicy がセキュリティ ポリシー sec_policy にアタッチされていることを確認します。
アクション
動作モードから、 show security policy コマンドを入力します。
user@host> show security policies global policy-name mypolicy detail
node0:
-
Global policies:
Policy: mypolicy, State: enabled, Index: 5, Scope Policy: 0, Sequence number: 1
From zones: zone1, zone2
To zones: zone3, zone4
Source addresses: any
Destination addresses: any
Applications: any
Action: permit
Unified Threat Management: enabled
意味
出力には、デバイスに設定されているすべてのセキュリティポリシーの概要が表示されます。特定のポリシーが指定されている場合は、そのポリシーに固有の情報が表示されます。コンテンツ セキュリティが有効になっている場合、mypolicy は sec_policy にアタッチされます。
拡張 Web フィルタリングのための隔離アクションについて
コンテンツ セキュリティ拡張 Web フィルタリングは、HTTP/HTTPS リクエストのブロック、ログと許可、許可の各アクションをサポートします。これに加えて、コンテンツ セキュリティ拡張 Web フィルタリングでは、メッセージに対するユーザの応答に基づいてブロックされたサイトへのアクセスを許可または拒否する隔離アクションがサポートされるようになりました。
次のシーケンスでは、検疫アクションによって HTTP または HTTPS 要求がどのようにインターセプト、リダイレクト、および処理されるかについて説明します。
HTTP クライアントが URL アクセスを要求します。
デバイスはHTTPリクエストを傍受し、抽出されたURLをWebsense Thread Seekerクラウド(TSC)に送信します。
TSC は、URL カテゴリとサイトレピュテーション情報をデバイスに返します。
カテゴリに設定されたアクションが検疫の場合、デバイスは検疫アクションをログに記録し、HTTP クライアントにリダイレクト応答を送信します。
URL は、リダイレクトのために HTTP サーバーに送信されます。
デバイスには、組織のセキュリティ ポリシーに従って URL へのアクセスがブロックされていることを示す警告メッセージが表示され、ユーザーに応答を求めるメッセージが表示されます。
ユーザーの応答が "いいえ" の場合、セッションは終了します。ユーザーの応答が "はい" の場合、ユーザーはサイトへのアクセスを許可され、そのようなアクセスがログに記録され、管理者に報告されます。
隔離アクションは、コンテンツセキュリティ拡張Webフィルタリングまたはジュニパー拡張タイプのWebフィルタリングでのみサポートされます。
Quarantine Message
HTTP クライアントに送信される検疫メッセージはユーザーが構成でき、次の種類があります。
既定のメッセージ
既定の検疫メッセージは、ユーザーが検疫された Web サイトにアクセスしようとしたときに表示され、次の情報が含まれています。
URL名
検疫の理由
カテゴリ(利用可能な場合)
サイトレピュテーション(利用可能な場合)
たとえば、Enhanced_Search_Engines_and_Portals のアクションを検疫に設定し、www.search.example.com にアクセスしようとすると、検疫メッセージは次のようになります。
***The requested webpage is blocked by your organization's access policy***.
Syslog メッセージ。
syslogメッセージは、ユーザーがすでに隔離され、ブロックまたは許可としてマークされているWebページにアクセスしたときにシステムによってログに記録されます。
テスト対象デバイス上の対応する syslog メッセージは次のとおりです。
Jan 25 15:10:40 rodian utmd[3871]: WEBFILTER_URL_BLOCKED: WebFilter: ACTION="URL Blocked" 99.99.99.4(60525)->74.125.224.114(80) CATEGORY="Enhanced_Search_Engines_and_Portals" REASON="by predefined category(quarantine)" PROFILE="ewf-test-profile" URL=www.search.example.com OBJ=/
Junos OS 12.1X47-D40およびJunos OSリリース17.3R1から、構造化ログフィールドが変更されました。コンテンツ セキュリティ Web フィルタ ログ WEBFILTER_URL_BLOCKED、WEBFILTER_URL_REDIRECTED、および WEBFILTER_URL_PERMITTED の構造化ログ フィールドの変更は次のとおりです。
name -> categoryerror-message -> reasonprofile-name -> profileobject-name -> urlpathname -> obj
拡張Webフィルタリング(EWF)向けのユーザーメッセージとリダイレクトURL
Junos OSリリース15.1X49-D110以降、custom-objectsステートメントに新しいオプションcustom-messageが追加されています。これにより、EWFカテゴリごとにURLがブロックまたは隔離されたときに、ユーザーメッセージとリダイレクトURLを設定してユーザーに通知することができます。custom-message オプションには、以下の必須属性があります。
名前: カスタムメッセージの名前。最大長は 59 文字の ASCII 文字です。
種類: カスタム メッセージの種類:
user-messageまたはredirect-url。コンテンツ: カスタムメッセージの内容。最大長は 1024 ASCII 文字です。
ユーザメッセージまたはリダイレクトURLをカスタムオブジェクトとして設定し、カスタムオブジェクトをEWFカテゴリに割り当てます。
ユーザーメッセージは、Web サイトへのアクセスが組織のアクセスポリシーによってブロックされていることを示します。ユーザーメッセージを設定するには、
[edit security utm custom-objects custom-message message]階層レベルでtype user-message content message-textステートメントを含めます。リダイレクト URL は、ブロックまたは検疫された URL をユーザー定義の URL にリダイレクトします。リダイレクト URL を設定するには、
[edit security utm custom-objects custom-message message]階層レベルでtype redirect-url content redirect-urlステートメントを含めます。
custom-message オプションには、次の利点があります。
EWF カテゴリごとに個別のカスタム メッセージまたはリダイレクト URL を構成できます。
custom-messageオプションを使用すると、メッセージを微調整してポリシーをサポートし、どの URL がブロックまたは検疫されているかを把握できます。各カテゴリに適用されるカスタム メッセージ構成オプションは 1 つだけです。カスタム メッセージ設定は、拡張 Web フィルタリング(EWF)でのみサポートされます。そのため、Juniper EWFエンジンタイプのみがサポートされます。
Junos OSリリース17.4R1以降、ローカルおよびWebsenseリダイレクトプロファイルでカスタムカテゴリ設定のサポートが利用できます。
関連項目
例:拡張 Web フィルタリングに対するサイトレピュテーション処理の設定
この例では、分類済み URL と未分類 URL の両方に対してサイトレピュテーション処理を設定する方法を示しています。
必要条件
開始する前に、Web フィルタリングと拡張 Web フィルタリングについて理解しておいてください。 Web フィルタリングの概要 および 拡張 Web フィルタリング プロセスについてを参照してください。
概要
この例では、サイトレピュテーションアクションを使用して、定義されたカテゴリに従ってURLにWebフィルタリングプロファイルを設定します。URL 許可リストフィルタリングカテゴリを url-cat-white に設定し、Web フィルタリングエンジンのタイプを juniper-enhanced に設定します。次に、Web フィルタリングのキャッシュ サイズ パラメータとキャッシュ タイムアウト パラメータを 1 に設定します。
次に、プロファイル ewf-test-profile というjuniper-enhancedプロファイルを作成し、URL 許可リスト カテゴリを cust-cat-quarantine に設定し、レピュテーション アクションを検疫に設定します。
HTTP 要求が検疫されたときに送信されるカスタム メッセージを入力します。この例では、次のメッセージが送信されます: The requested webpage is blocked by your organization's access policy。
Enhanced_News_and_Media カテゴリの URL をブロックし、Enhanced_Educationカテゴリの URL を許可します。次に、Enhanced_Streaming_Media カテゴリの URL を検疫し、次のメッセージを送信するようにデバイスを構成します。 The requested webpage is blocked by your organization's access policy。
この例では、既定のアクションを許可に設定します。このプロファイルのフォールバック設定 (ブロックまたはログと許可) は、構成された各カテゴリでエラーが発生した場合に選択します。最後に、フォールバック設定を [ブロック] に設定します。
構成
サイトレピュテーション処理の設定
CLIクイック構成
この例を迅速に設定するには、以下のコマンドをコピーして、テキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルで CLI にコピー アンド ペーストして、設定モードから commit を入力します。
set security utm feature-profile web-filtering juniper-enhanced cache size set security utm feature-profile web-filtering juniper-enhanced reputation reputation-very-safe 85 set security utm feature-profile web-filtering juniper-enhanced reputation reputation-moderately-safe 75 set security utm feature-profile web-filtering juniper-enhanced reputation reputation-fairly-safe 65 set security utm feature-profile web-filtering juniper-enhanced reputation reputation-suspicious 55 set security utm feature-profile web-filtering juniper-enhanced cache timeout 1 set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile category cust-cat-quarantine action quarantine set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile category Enhanced_News_and_Media action block set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile category Enhanced_Education action permit set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile category Enhanced_Education reputation-action harmful block set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile category Enhanced_Streaming_Media action quarantine set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile default permit set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile default quarantine-message “*** The requested webpage is blocked by your organization’s access policy***”. set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile fallback-settings server-connectivity block set security utm feature-profile web-filtering juniper-enhanced profile ewf-test-profile fallback-settings timeout block
手順
次の例では、設定階層のいくつかのレベルに移動する必要があります。その方法の詳細については、 CLIユーザー ガイドの 設定モードでのCLIエディターの使用を参照してください。
サイトレピュテーション処理を設定するには:
-
拡張 Web フィルタリング エンジンを指定し、キャッシュ サイズ パラメータを設定します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced cache size
基本レピュテーションスコアを設定します。
[edit security utm feature-profile web-filtering] set juniper-enhanced reputation reputation-very-safe 85 set juniper-enhanced reputation reputation-moderately-safe 75 set juniper-enhanced reputation reputation-fairly-safe 65 set juniper-enhanced reputation reputation-suspicious 55
手記：基準レピュテーション値を順序付けする必要があります。
キャッシュ タイムアウト パラメーターを設定します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced cache timeout 1
プロファイル名を作成し、許可リストのカテゴリからカテゴリを選択します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf-test-profile category cust-cat-quarantine action quarantine
プロファイル名を作成し、許可リストのカテゴリからカテゴリを選択します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf-test-profile category Enhanced_News_and_Media action block [edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf-test-profile category Enhanced_Education action permit user@host# set juniper-enhanced profile ewf-test-profile category Enhanced_Education action harmful block [edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf-test-profile category Enhanced_Streaming_Media action quarantine
HTTP 要求が検疫されたときに送信される警告メッセージを入力します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf-test-profile quarantine-custom-message "***The requested webpage is blocked by your organization's access policy ***"
明示的に設定された他のアクション(ブロックリスト、許可リスト、カスタムカテゴリ、定義済みカテゴリ、またはサイトレピュテーション)が一致しない場合、プロファイルのデフォルトアクション(許可、ログアンド許可、ブロック、または隔離)を選択します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf-test-profile default permit
このプロファイルのフォールバック設定 (ブロックまたはログと許可) を選択します。
[edit security utm feature-profile web-filtering] user@host# set juniper-enhanced profile ewf-test-profile fallback-settings server-connectivity block user@host# set juniper-enhanced profile ewf-test-profile fallback-settings timeout block
業績
設定モードから、 show security utm コマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の手順を繰り返して修正します。
[edit]
user@host# show security utm
feature-profile{
web-filtering {
type juniper-enhanced;
traceoptions;
flag all;
}
juniper-enhanced {
reputation {
reputation-very-safe 85
reputation-moderately-safe 75
reputation-fairly-safe 65
reputation-suspicious 55
cache {
timeout 1
}
profile ewf-test-profile {
category {
cust-cat-quarantine {
action quarantine;
}
Enhanced_News_and_Media {
action block;
reputation-action;
}
Enhanced_Education {
action permit;
reputation-action;
{
harmful block;
}
}
Enhanced_Streaming_Media {
action quarantine;
}
}
default permit;
quarantine-custom-message "***The requested webpage is blocked by your organization's access policy***".
fallback-settings {
server-connectivity block;
timeout block;
}
}
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定が正常に機能していることを確認します。
- コンテンツセキュリティサービスのステータスの確認
- コンテンツセキュリティセッションのステータスの確認
- コンテンツセキュリティWebフィルタリングのステータスの確認
- コンテンツ セキュリティ Web フィルタリングの統計情報の検証
- ログファイルを使用したURLステータスの検証
コンテンツセキュリティサービスのステータスの確認
目的
コンテンツセキュリティサービスのステータスを確認します。
アクション
動作モードから、 show security utm status コマンドを入力します。
サンプル出力
コマンド名
user@host>show security utm status UTM service status: Running
コンテンツセキュリティセッションのステータスの確認
目的
コンテンツセキュリティセッションのステータスを確認します。
アクション
動作モードから、 show security utm session コマンドを入力します。
サンプル出力
コマンド名
user@host>show security utm session UTM session info: Maximum sessions: 4000 Total allocated sessions: 0 Total freed sessions: 0 Active sessions: 0
コンテンツセキュリティWebフィルタリングのステータスの確認
目的
コンテンツ セキュリティ Web フィルタリングの状態を確認します。
アクション
動作モードから、 show security utm web-filtering status コマンドを入力します。
サンプル出力
コマンド名
user@host>show security utm web-filtering status
UTM web-filtering status:
Server status: Juniper Enhanced using Websense server UP
コンテンツ セキュリティ Web フィルタリングの統計情報の検証
目的
許可リストとブロックリストのヒット、カスタム カテゴリのヒットなど、接続の Web フィルタリング統計を確認します。
アクション
動作モードから、 show security utm web-filtering statistics コマンドを入力します。
サンプル出力
コマンド名
user@host>show security utm web-filtering statistics
UTM web-filtering statistics:
Total requests: 2594
white list hit: 0
Black list hit: 0
Queries to server: 2407
Server reply permit: 1829
Server reply block: 0
Server reply quarantine: 517
Server reply quarantine block: 0
Server reply quarantine permit: 8
Custom category permit: 0
Custom category block: 0
Custom category quarantine: 0
Custom category qurantine block: 0
Custom category quarantine permit: 0
Site reputation permit: 0
Site reputation block: 0
Site reputation quarantine: 0
Site reputation quarantine block: 0
Site reputation quarantine permit: 0
Site reputation by Category 0
Site reputation by Global 0
Cache hit permit: 41
Cache hit block: 0
Cache hit quarantine: 144
Cache hit quarantine block: 0
Cache hit quarantine permit: 1
Safe-search redirect: 0
Web-filtering sessions in total: 16000
Web-filtering sessions in use: 0
Fallback: log-and-permit block
Default 0 0
Timeout 0 0
Connectivity 0 1
Too-many-requests 0 0
ログファイルを使用したURLステータスの検証
目的
ログファイルを使用して、ブロックされたURLと許可されたURLのステータスを確認します。
アクション
ブロックされたURLと許可されたURLを確認するには、ストリームモードを使用してコンテンツセキュリティログをsyslogサーバーに送信します。詳細については、「 オフボックス バイナリ セキュリティ ログ ファイルの構成」を参照してください。
動作モードから、 show log messages | match RT_UTM コマンドを入力します。
サンプル出力
コマンド名
user@host>show log messages | match RT_UTM RT_UTM: WEBFILTER_URL_BLOCKED: WebFilter: ACTION="URL Blocked" source-zone="trust" destination-zone="untrust" 4.0.0.3(59466)->5.0.0.3(80) SESSION_ID=268436912 APPLICATION="UNKNOWN" NESTED-APPLICATION="UNKNOWN" CATEGORY="URL_Blacklist" REASON="BY_BLACK_LIST" PROFILE="ewf" URL=www.example1.com OBJ=/ username N/A roles N/A application-sub-category N/A urlcategory-risk 0
コンテンツセキュリティのTAPモードサポートの概要
TAPモードでは、SRXシリーズのファイアウォールがスイッチのミラーポートに接続され、スイッチを通過するトラフィックのコピーが提供されます。TAPモードのSRXシリーズファイアウォールは、TAPインターフェイスからの着信トラフィックを処理し、セキュリティログを生成して、検知された脅威、アプリケーションの使用状況、およびユーザーの詳細情報に関する情報を表示します。
Junos OSリリース19.1R1以降、コンテンツセキュリティモジュールでTAPモードを有効にできます。コンテンツセキュリティモジュールでTAPモードを有効にすると、SRXシリーズファイアウォールは、ファイアウォールポリシーまたは有効なコンテンツセキュリティサービスのポリシーに一致する着信トラフィックと発信トラフィックを検査します。TAPモードではトラフィックをブロックできませんが、セキュリティログ、レポート、統計を生成して、検出された脅威の数、アプリケーションの使用状況、およびユーザーの詳細を示します。一部のパケットが TAP インターフェイスで失われた場合、コンテンツ セキュリティは接続を終了し、TAP モードではこの接続のセキュリティ ログ、レポート、および統計情報は生成されません。コンテンツセキュリティの設定は、非TAPモードと同じままです。
SRXシリーズファイアウォールに設定されたコンテンツセキュリティ機能は引き続き機能し、サーバーから情報を交換します。SRXシリーズファイアウォールがTAPモードで設定されている場合にコンテンツセキュリティ機能を使用するには、クラウドサーバーのIPアドレスを解決するようにDNSサーバーを設定する必要があります。
TAPモードを使用するには、SRXシリーズのファイアウォールをスイッチのミラーポートに接続し、スイッチを通過するトラフィックのコピーを提供します。SRXシリーズファイアウォールは、TAPインターフェイスからの着信トラフィックを処理し、セキュリティログ情報を生成して、検知された脅威、アプリケーションの使用状況、およびユーザーの詳細情報に関する情報を表示します。
TAPモードで動作している場合、SRXシリーズファイアウォールは以下を実行します。
ミラーリングされたHTTPトラフィック用の拡張Webフィルタリング(EWF)。
ミラーリングされた HTTP/FTP/SMTP/POP3/IMAP トラフィック用のソフォスのアンチウィルス (SAV)。
ミラーリングされたSMTPトラフィックのアンチスパム(AS)。
関連項目
変更履歴テーブル
機能のサポートは、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がプラットフォームでサポートされているかどうかを判断します。
custom-objectsコマンドに新しいオプション
custom-messageが追加されています。これにより、EWFカテゴリごとにURLがブロックまたは隔離されたときに、ユーザーメッセージとリダイレクトURLを設定してユーザーに通知することができます。
custom-objectsステートメントに新しいオプション
custom-messageが追加されています。これにより、EWFカテゴリごとにURLがブロックまたは隔離されたときに、ユーザーメッセージとリダイレクトURLを設定してユーザーに通知することができます。
custom-objectsステートメントに新しいオプション
custom-messageが追加されています。これにより、EWFカテゴリごとにURLがブロックまたは隔離されたときに、ユーザーメッセージとリダイレクトURLを設定してユーザーに通知することができます。