J-Webを使用してWebサイトを許可またはブロックする統合コンテンツセキュリティWebフィルタリング |SRXシリーズ22.3向けJ-Web |ジュニパーネットワークス

コンテンツセキュリティ URL フィルタリングの概要

今日、私たちのほとんどは Web に多くの時間を費やしています。私たちは、お気に入りのサイトを閲覧し、電子メールで送られてきた興味深いリンクをたどり、オフィスネットワークにさまざまな Web ベースのアプリケーションを使用します。このようにネットワークの利用が増えたことは、個人的にも仕事上でも役立っています。しかしながら、それはまた、潜在的なデータ損失、コンプライアンスの欠如、マルウェアやウイルスなどの脅威など、さまざまなセキュリティおよびビジネスリスクに組織をさらすことになります。リスクが高まるこの環境では、企業はWebまたはURLフィルターを実装してネットワークの脅威を制御するのが賢明です。Web フィルタまたは URL フィルタを使用して、インターネット上の Web サイトを分類し、ユーザアクセスを許可またはブロックできます。

以下は、オフィスネットワークのユーザーがブロックされたWebサイトにアクセスできる典型的な状況の例です。

Web ブラウザーで、ユーザーは人気のあるゲームサイト「 www.game.co.uk」と入力します。ユーザーは、 Access Denied や The Website is blocked などのメッセージを受信します。このようなメッセージが表示されるということは、組織がゲーム Web サイトのフィルターを挿入しており、職場からサイトにアクセスできないことを意味します。

Juniper Web(J-Web)デバイスマネージャーは、SRXシリーズファイアウォールでコンテンツセキュリティWebフィルタリングをサポートします。

手記：

Junos OS 22.2R1以降:

J-Web GUI では、UTM という用語は「コンテンツセキュリティ」に置き換えられています。
Junos CLIコマンドでは、コンテンツセキュリティを表す従来の用語UTMを引き続き使用します。

J-Web では、Webフィルタリングプロファイルが、Web サイトのカテゴリで事前に定義された Web 接続に基づいて、一連の権限とアクションを定義します。また、Webフィルタリングプロファイル用のカスタム URL カテゴリと URL パターンリストを作成することもできます。

手記：

J-Web Content Security Webフィルタリングを使用してメール内のURLを検査することはできません。

コンテンツセキュリティのメリット Web フィルタリング

ローカル Webフィルタリング:
- ライセンスは必要ありません。
- ポリシーを適用する許可サイト(許可リスト)またはブロックされたサイト(ブロックリスト)の独自のリストを定義できます。
拡張Webフィルタリング:
- 最も強力な統合フィルタリング方法であり、URL カテゴリの詳細なリスト、Google セーフサーチのサポート、評価エンジンが含まれています。
- 追加のサーバーコンポーネントは必要ありません。
- 各 URL の脅威スコアをリアルタイムで提供します。
- ブロックされた URL へのユーザーアクセスを単に禁止するのではなく、ブロックされた URL からユーザー定義の URL にユーザーをリダイレクトできます。
リダイレクトWebフィルタリング:
- すべてのクエリをローカルで追跡するため、インターネット接続は必要ありません。
- スタンドアロンの Websense ソリューションのログ機能とレポート機能を使用します。

スコープ

この例では、次のことを行います。

独自のカスタムURLパターンリストとURLカテゴリを作成します。
ローカルエンジンタイプを使用して Webフィルタリングプロファイルを作成します。ここでは、SRXシリーズファイアウォールで評価される許可サイト(許可リスト)またはブロックされたサイト(ブロックリスト)にできる独自のURLカテゴリを定義します。ブロックされたサイトに追加されたすべての URL は拒否されますが、許可されたサイトに追加されたすべての URL は許可されます。
不適切なゲーム Web サイトをブロックし、適切な Web サイト( www.juniper.net など)を許可します。
ユーザーがゲーム Web サイトにアクセスしようとしたときに表示するカスタムメッセージを定義します。
Webフィルタリングプロファイルをコンテンツセキュリティポリシーに適用します。
コンテンツセキュリティポリシーをセキュリティポリシールールに割り当てます。

手記：

WebフィルタリングとURLフィルタリングは同じ意味です。この例では、 Webフィルタリング という用語を使用します。

始める前に

デバイスが基本構成で設定されていることを前提としています。そうでない場合は、「セットアップウィザードの構成」を参照してください。
ローカルエンジンタイプを使用する場合、Webフィルタリングプロファイルを設定するためのライセンスは必要ありません。これは、独自の URL パターンリストと URL カテゴリを定義する必要があるためです。
WebフィルタリングプロファイルのJuniper Enhancedエンジンタイプを試す場合は、有効なライセンス(wf_key_websense_ewf)が必要です。リダイレクト Webフィルタリングにライセンスは必要ありません。
この例で使用するSRXシリーズファイアウォールが、Junos OS リリース22.2R1以降を実行していることを確認します。
手記：
Junos OS 22.2R1以降:
- J-Web GUI では、「コンテンツセキュリティ」という用語は「コンテンツセキュリティ」に置き換えられます。
- Junos CLIコマンドでは、コンテンツセキュリティに従来の「コンテンツセキュリティ」という用語を引き続き使用します。

位相幾何学

このトポロジーでは、インターネットにアクセスできるコンテンツセキュリティ対応のSRXシリーズファイアウォールに接続されたPCがあります。J-Webを使用して、この簡単なセットアップを使用して、インターネットに送信されるHTTP/HTTPSリクエストをフィルタリングしてみましょう。

スニークピーク – J-WebコンテンツセキュリティのWebフィルタリング手順

Sneak Peek – J-Web Content Security Web Filtering Steps

ステップ 1: 許可またはブロックする URL を一覧表示する

このステップでは、カスタムオブジェクト(URLとパターン)を定義して、許可またはブロックするURLを処理します。

現在地(J-Web UI): セキュリティサービス>Content Security>Custom Objects。

URL を一覧表示するには:

「URL パターンリスト」タブをクリックします。
追加アイコン(+)をクリックして、URLパターンリストを追加します。

[Add URL パターン List] ページが表示されます。図 1 を参照してください。

次の表の「アクション」列にリストされているタスクを実行します。

畑	アクション
名前	「 `allowed-sites` 」または「 `blocked-sites`」と入力します。手記：文字またはアンダースコアで始まり、英数字とダッシュやアンダースコアなどの特殊文字で構成される文字列を使用します。最大長は 29 文字です。
価値	[+] をクリックして URL パターン値を追加します。次のように入力します。 allowed-sites の場合 - `www.juniper.net` および `www.google.com` ブロックされたサイトの場合—`www.gematsu.com` と `www.game.co.uk` チェックマークアイコンをクリックします。

図 1: URL パターンリストの追加 Add URL Pattern List

[ OK ] をクリックして変更を保存します。

よく出来ました！設定の結果は次のとおりです。

手順 2: 許可またはブロックする URL を分類する

次に、作成したURLパターンをURLカテゴリリストに割り当てます。カテゴリリストは、関連付けられた URL に関連付けられたアクションを定義します。たとえば、 ギャンブル カテゴリはブロックする必要があります。

現在地: セキュリティサービス>Content Security>Custom Objects.

URL を分類するには:

[URL カテゴリリスト(URL Category List)] タブをクリックします。
追加アイコン(+)をクリックして、URLカテゴリリストを追加します。

[Add URL Category List] ページが表示されます。図 2 を参照してください。

次の表の「アクション」列にリストされているタスクを実行します。

畑	アクション
名前	許可されたサイトの URL パターンの場合は `good-sites` 、ブロックされたサイトの URL パターンの場合は `stop-sites` として、URLカテゴリリスト名を入力します。手記：文字またはアンダースコアで始まり、英数字とダッシュやアンダースコアなどの特殊文字で構成される文字列を使用します。最大長は 59 文字です。
URL パターン	[使用可能(Available)] 列から URL パターン値の [allowed-sites ] または [blocked-sites] を選択して、URL パターン値を URL カテゴリの good-sites または stop-sites にそれぞれ関連付けます。右矢印をクリックして、URL パターン値を [選択済み] 列に移動します。

畑

アクション

名前

許可されたサイトの URL パターンの場合は good-sites 、ブロックされたサイトの URL パターンの場合は stop-sites として、URLカテゴリリスト名を入力します。

手記：

文字またはアンダースコアで始まり、英数字とダッシュやアンダースコアなどの特殊文字で構成される文字列を使用します。最大長は 59 文字です。

URL パターン

[使用可能(Available)] 列から URL パターン値の [allowed-sites ] または [blocked-sites] を選択して、URL パターン値を URL カテゴリの good-sites または stop-sites にそれぞれ関連付けます。
右矢印をクリックして、URL パターン値を [選択済み] 列に移動します。

図 2: [Add URL Category List]

[ OK ] をクリックして変更を保存します。

よく出来ました！設定の結果は次のとおりです。

ステップ 3:Web フィルタリングプロファイルを追加する

それでは、作成したURLオブジェクト(パターンとカテゴリー)をContent Security Webフィルタリングプロファイルにリンクします。このマッピングにより、フィルタリング動作に異なる値を設定できます。

現在地: セキュリティサービス>Content Security>Web フィルタリングプロファイル。

Webフィルタリングプロファイルを作成するには、次の手順に従います。

追加アイコン(+)をクリックして、Webフィルタリングプロファイルを追加します。

[Create Web Filtering Profiles] ページが表示されます。図 3 を参照してください。

次の表の「アクション」列にリストされているタスクを実行します。

畑	アクション
全般
名前	Webフィルタリングプロファイルに「 `wf-local` 」と入力します。手記：最大長は 29 文字です。
タイムアウト	`30`(秒単位)を入力して、ローカルエンジンからの応答を待ちます。最大値は 1800 秒です。デフォルト値は 15 秒です。
エンジン型式	Webフィルタリングのローカルエンジンタイプを選択します。「次へ」をクリックします。手記：デフォルト値は Juniper Enhanced です。
URL カテゴリ
+	追加アイコンをクリックして、[URL カテゴリの選択(URL カテゴリを選択)] ウィンドウを開きます。
リストに適用する URL カテゴリを選択します	good-sites または stop-sites を選択します。
アクション	リストから [good-sites] カテゴリの [Log and Permit ] を選択します。リストから [stop-sites] カテゴリの [ブロック ] を選択します。

図3:Web フィルタリングプロファイルの作成 Create Web Filtering Profile

「終了」をクリックします。設定の概要を確認し、[ OK ] をクリックして変更を保存します。

よく出来ました！設定の結果は次のとおりです。
構成に成功したというメッセージが表示されたら、[ 閉じる ] をクリックします。

手順 4: コンテンツセキュリティセキュリティポリシーで Web フィルタリングプロファイルを参照する

次に、Webフィルタリングプロファイル(wf-local)を、セキュリティポリシーに適用できるコンテンツセキュリティポリシーに割り当てる必要があります。

現在地: セキュリティサービス>コンテンツセキュリティ>コンテンツセキュリティポリシー。

コンテンツセキュリティポリシーを作成するには:

追加アイコン(+)をクリックして、コンテンツセキュリティポリシーを追加します。

「コンテンツセキュリティポリシーの作成」ページが表示されます。

次の表の「アクション」列にリストされているタスクを実行します。

畑	アクション
一般 – 一般情報
名前	コンテンツセキュリティポリシーに「 `wf-custom-policy` 」と入力します。手記：最大長は 29 文字です。 [ 次へ ] をクリックし、[ 次へ ] をクリックしてウイルス対策の構成をスキップします。
Web フィルタリング:トラフィックプロトコルによる Web フィルタリングプロファイル
HTTP	リストから「 wf-local 」を選択し、ワークフローが終了するまで「次へ」をクリックします。

「終了」をクリックします。設定の概要を確認し、[OK] をクリックして変更を保存します。

もうすぐです！設定の結果は次のとおりです。
成功メッセージが表示されたら、[閉じる] をクリックします。

もう少しで完了です。ここで、正常サイトと停止サイトのリストを参照するデフォルトの UTM Web フィルタリングポリシーを作成します。

現在地: セキュリティサービス>コンテンツセキュリティ>デフォルト設定>Webフィルタリング。
編集アイコンをクリックして、デフォルトの Web フィルタリングポリシーを変更します。

[Web フィルタリング(Web Filtering)] ページが表示されます。

次の表の「アクション」列にリストされているタスクを実行します。

畑	アクション
種類	リストから [Juniper Local] を選択して、ローカルのコンテンツセキュリティフィルタリングデータベースの使用を設定します。
URL ブロックリスト	リストから stop-sites を選択して、許可されていない (ブロックされている) URL のリストにリンクします。
URL許可リスト	リストから good-sites を選択して、許可された URL のリストにリンクします。
ジュニパーのローカル>グローバル
カスタムブロックメッセージ	「Juniper Web Filtering has been set to block this site」と入力します。
デフォルトアクション	リストから [ ブロック ] を選択します。他のフィールドをスキップして、「 OK」をクリックします。

「OK」をクリックして変更を保存します。

もうすぐです！以下は、コンテンツセキュリティの既定の Web Webフィルタリング設定の結果です。

いい知らせ！これで、Content Security の Web Webフィルタリングの設定は完了です。

手順 5: コンテンツセキュリティポリシーをセキュリティポリシーに割り当てる

コンテンツセキュリティ構成を TRUST ゾーンから INTERNET ゾーンのセキュリティポリシーにまだ割り当てていません。フィルタリングアクションは、一致条件として機能するセキュリティポリシールールにコンテンツセキュリティポリシーを割り当てた後にのみ実行されます。

手記：

セキュリティポリシールールが許可されている場合、SRXシリーズファイアウォールは以下を実行します。

HTTP/HTTPS接続をインターセプトし、(HTTP/HTTPSリクエスト内の)各URLまたはIPアドレスを抽出します。

手記：
HTTPS接続の場合、WebフィルタリングはSSLフォワードプロキシを介してサポートされます。
Webフィルタリング(セキュリティサービス>コンテンツセキュリティ>デフォルト設定)で、ユーザーが設定したブロックリストまたは許可リストでURLを検索します。次に、URLが次の場所にある場合:
1. ユーザーが構成したブロックリストの場合、デバイスはURLをブロックします。
2. ユーザーが構成した許可リストでは、デバイスはURLを許可します。
ユーザー定義のカテゴリをチェックし、カテゴリに対してユーザーが指定したアクションに基づいて URL をブロックまたは許可します。
Webフィルタリングプロファイルで設定されたデフォルトのアクションに基づいて、URLを許可またはブロックします(カテゴリが設定されていない場合)。

You are here: セキュリティポリシーとオブジェクト>セキュリティポリシー.

コンテンツセキュリティポリシーのセキュリティポリシールールを作成するには:

追加アイコン(+)をクリックします。

表 1 の「アクション」列にリストされているタスクを実行します。

表 1: ルール設定
畑	アクション
一般 – 一般情報
ルール名	セキュリティポリシーに「 `wf-local-policy` 」と入力し、good-sites カテゴリを許可し、stop-sites カテゴリを拒否します。
ルールの説明	セキュリティポリシールールの説明を入力します。
送信元ゾーン	[+] をクリックします。 [ソースの選択(Select Sources)] ページが表示されます。 [ゾーン(Zone)]:リストから [TRUST ] を選択します。 [アドレス(Addresses)]:このフィールドはデフォルト値の [任意(Any)] のままにします。 [OK] をクリックします。
ゾーンと宛先	[+] をクリックします。 [Select Destination] ページが表示されます。 [ゾーン(Zone)]:リストから [インターネット(INTERNET )] を選択します。 [アドレス(Addresses)]:このフィールドはデフォルト値の [任意(Any)] のままにします。 [サービス(Services)]:このフィールドはデフォルト値の [任意(Any)] のままにします。 [URL Category]:このフィールドは空白のままにします。 [OK] をクリックします。
アクション	デフォルトでは、[ 許可] が選択されています。そのままにしておきます。
先進のセキュリティ	[+] をクリックします。 [高度なセキュリティの選択] ページが表示されます。 [コンテンツセキュリティ(Content Security)]:リストから [wf-custom-policy ] を選択します。 [OK] をクリックします。

手記：

[Security Policies & Objects]>[Zones/Screens]に移動して、ゾーンを作成します。ゾーンの作成は、このドキュメントの範囲外です。

チェックマークアイコンをクリックし、「保存」をクリックして変更を保存します。

手記：
新しいルールの作成時にインラインチェックマークとキャンセルアイコンが使用できない場合は、水平バーをスクロールして戻します。

よく出来ました！設定の結果は次のとおりです。
コミットアイコン (上部のバナーの右側) をクリックし、[ コミット] を選択します。

「successful-commit」メッセージが表示されます。

万丈！URLリクエストをフィルタリングする準備が整いました。

手順 6: URL がサーバーから許可またはブロックされていることを確認する

設定とセキュリティポリシーが、トポロジで定義されたURLで正常に機能することを確認しましょう。

www.gematsu.com と www.game.co.uk を入力すると、SRXシリーズファイアウォールによって URL がブロックされ、構成されたブロックされたサイトメッセージが送信されます。

手記：
ほとんどのサイトではHTTPSを使用しています。ブロックされたサイトメッセージは、HTTPサイトでのみ表示されます。HTTPS の場合、 An error occurred during a connection to <blocked-siteurl> PR_CONNECT_RESET_ERROR などの「セキュア接続に失敗しました」というエラーメッセージが表示されることがあります。
www.juniper.net と www.google.com を入力すると、SRXシリーズファイアウォールはホームページが表示されたURLを許可する必要があります。

次のステップ

何をすべきか?	どこ。
コンテンツセキュリティ Webフィルタリングの情報と統計を監視します。	J-Web で、[ 監視>セキュリティサービス>コンテンツセキュリティ>Web フィルタリング] に移動します。
許可およびブロックされたURLに関するレポートを生成して表示します。	J-Web で [レポート] に移動します。Webfilterログを介して、脅威評価レポートと上位ブロックアプリケーションのレポートを生成します。
詳しくは、コンテンツセキュリティ機能についての記事をご覧ください。	コンテンツセキュリティユーザーガイド

設定出力の例

このセクションでは、この例で定義された Web サイトを許可およびブロックする構成の例を示します。

[edit security utm] 階層レベルで、以下のコンテンツセキュリティ設定を行います。

カスタムオブジェクトの作成:

Webフィルタリングプロファイルの作成:

コンテンツセキュリティポリシーの作成:

セキュリティポリシールールは、 [edit security policies] 階層レベルで設定します。

セキュリティポリシーのルールの作成:

項目一覧

J-Web 統合コンテンツセキュリティ Web フィルタリングを使用して Web サイトを許可またはブロックする

コンテンツセキュリティ URL フィルタリングの概要

コンテンツセキュリティのメリット Web フィルタリング

Web フィルタリングワークフロー