ファイアウォール ポリシー ルールの作成
始める前に
「ファイアウォールポリシーの概要」トピックをお読みください。
現在のデータセットについては、ファイアウォールルールのメインページを確認してください。フィールドの説明については、 ファイアウォールポリシールールのメインページのフィールド を参照してください。
[ルールの作成(Create Rule)] ページを使用して、コンテキスト内(送信元ゾーンから宛先ゾーン)内のトランジット トラフィックを制御するファイアウォール ルールを設定します。トラフィックは、送信元と宛先のゾーン、送信元と宛先のアドレス、およびトラフィックがプロトコル ヘッダーで伝送するアプリケーションをポリシー データベースと照合することによって分類されます。
Security Directorでは、デバイスにデバイス固有のポリシーを設定し、複数のグループポリシーの一部にすることができます。デバイスのルールは、次の順序で更新されます。
「デバイス固有のポリシー」の前に適用されるポリシー内のルール
デバイス固有のポリシー内のルール
「デバイス固有のポリシー」の後に適用されるポリシー内のルール
「デバイス固有のポリシー」が優先される前に適用されるポリシー内のルールが優先され、上書きできません。ただし、「デバイス固有のポリシー」に上書きルールを追加することで、「デバイス固有のポリシー」の後に適用されるポリシー内のルールを上書きできます。エンタープライズシナリオでは、「common-must-enforce」ルールは「デバイス固有ポリシー」の前に適用されるポリシーからデバイスに割り当てることができ、「common-nice-to-have」ルールは「デバイス固有ポリシー」の後に適用されるポリシーからデバイスに割り当てることができます。
例外は、「デバイス固有のポリシー」でデバイスごとに追加できます。デバイスに適用されるルールの完全なリストについては、デバイス >>ファイアウォールポリシーを構成するを選択します。デバイスを選択すると、そのデバイスに関連付けられているルールが表示されます。
ファイアウォールポリシールールを設定するには:
設定 |
ガイドライン |
|---|---|
General Information |
|
ルール名 |
英数字、コロン、ピリオド、ダッシュ、アンダースコアの一意の文字列を入力します。スペースは許可されておらず、;最大長は 63 文字です。 |
形容 |
ポリシー・ルールの説明を入力します。最大長は 1024 文字です。このフィールドに入力されたコメントは、デバイスに送信されます。 |
Identify the traffic that the rule applies to |
|
(出典)ゾーン |
SRXシリーズデバイスでは、送信元ゾーン(from-zone)を指定してポリシーのコンテキストを定義します。ゾーンポリシーは、あるセキュリティゾーン(送信元ゾーン)から別のセキュリティゾーン(宛先ゾーン)に入るトラフィックに適用されます。この送信元ゾーンと宛先ゾーンの組み合わせをコンテキストと呼びます。 Junos Space Security Directorリリース16.2以降、MXシリーズルーターでは、送信元ゾーンフィールドは、パケットが入るイングレスインターフェイスとして機能します。パケットがインターフェイスに入る場合、一致方向が入力されます。パケットがインターフェイスを離れる場合、一致方向が出力されます。集約されたマルチサービス (AMS) 値を選択して、イングレス キーを構成します。 Junos Space Security Directorリリース16.2以降、SRXシリーズデバイスとMXシリーズルーターを同じグループポリシーに割り当てると、ポリモーフィックゾーンを送信元ゾーンおよび宛先ゾーンとして使用できます。 |
(出典)住所 |
1 つ以上のアドレス名またはアドレス セット名を入力します。[ 選択 ] をクリックして、送信元アドレスを追加します。 [送信元アドレス] ページで、次の操作を行います。
アドレスとアドレス グループの作成を参照してください。 |
(出典)ユーザーID |
ポリシーの一致条件として使用するソースID(ユーザーおよびロール)を指定します。ユーザーロールとユーザーグループに基づいて異なるポリシールールを設定できます。 [ 選択 ] をクリックして、許可または拒否するソース ID を指定します。「ユーザー ID」ページで、使用可能なリストからユーザー ID を選択するか、「 新規ユーザー ID の追加」をクリックして新しい ID を追加できます。 Security DirectorデータベースからユーザIDを削除するには、[ ユーザーの削除 ]をクリックし、どのポリシーにも設定されていない値をドロップダウンリストから選択します。ポリシーで設定されたユーザー ID を削除しようとすると、参照 ID とユーザー ID が記載されたメッセージが表示されます。
手記：
Security Directorでのみ作成されたユーザIDがドロップダウンリストに表示されます。 |
(出典)エンドユーザープロファイル |
リストからエンド ユーザー プロファイルを選択します。ファイアウォールポリシールールが適用されます。 デバイスAからのトラフィックがSRXシリーズデバイスに到達すると、SRXシリーズは最初のトラフィックパケットからデバイスAのIPアドレスを取得し、それを使用してデバイスアイデンティティ認証テーブルで一致するデバイスアイデンティティエントリーを検索します。次に、そのデバイス アイデンティティ プロファイルを、エンド ユーザ プロファイル フィールドでデバイス アイデンティティ プロファイル名が指定されているセキュリティ ポリシーと照合します。一致が見つかった場合、デバイスAから発行されるトラフィックにセキュリティポリシーが適用されます。 |
(宛先)ゾーン |
SRXシリーズデバイスでは、宛先ゾーン(to-zone)を指定してポリシーのコンテキストを定義します。ゾーンポリシーは、あるセキュリティゾーン(送信元ゾーン)から別のセキュリティゾーン(宛先ゾーン)に入るトラフィックに適用されます。この送信元ゾーンと宛先ゾーンの組み合わせをコンテキストと呼びます。 Junos Space Security Directorリリース16.2以降、MXシリーズルーターでは、このフィールドはパケットが入るエグレスインターフェイスとして機能します。パケットがインターフェイスに入る場合、一致方向が入力されます。パケットがインターフェイスを離れる場合、一致方向が出力されます。集約されたマルチサービス(AMS)値を選択して、エグレスキーを設定します。 ポリモーフィック ゾーンは、SRXシリーズ デバイスと MXシリーズ ルーターを同じグループ ポリシーに割り当てると、送信元ゾーンおよび宛先ゾーンとして使用できます。 |
(宛先)住所 |
1 つ以上のアドレス名またはアドレス セットを選択します。[ 選択(Select )] をクリックして、宛先アドレスを追加します。 [宛先アドレス] ページで、次の操作を行います。
アドレスとアドレス グループの作成を参照してください。 |
(宛先)URLカテゴリ |
1 つ以上の定義済みまたはカスタム URLカテゴリを一致条件として選択します。URLカテゴリは、Junos OS リリース18.4R3以降を実行しているデバイスでサポートされています。 [ 選択 ] をクリックして、URLカテゴリを選択します。[使用可能(Available)] リストから 1 つ以上の定義済みまたはカスタム URL カテゴリを選択し、[選択済み(Selected)] リストに移動します。[ OK] をクリックします。 |
(サービスプロトコル)サービス |
1 つ以上のサービス (アプリケーション) 名を選択します。「含める」、「任意のサービス」を選択して、サービスリストビルダーの「任意」オプションを無効にします。[サービス リスト ビルダーの使用可能な(Services List Builder available)] 列のサービスを許可または拒否するには、[任意のサービス(Any Service)] チェックボックスをオフにします。「新規サービスの追加」をクリックして、サービスを作成します。 「サービスおよびサービスグループの作成」を参照してください。 |
アプリケーション シグネチャ |
「+」アイコンをクリックして、アプリケーションのシグネチャを追加します。定義済みのアプリケーション シグネチャとカスタム アプリケーション シグネチャの両方を追加できます。 |
Advanced Security |
|
ルール アクション |
アクションは、指定された基準に一致するすべてのトラフィックに適用されます。
|
先進のセキュリティ |
ファイアウォールポリシーは、ネットワークトラフィックがポリシーの一致条件によって指示されたトラフィックのみに制限されるようにする、セキュリティのコアレイヤーを提供します。 ファイアウォールポリシーは、ネットワークトラフィックがポリシーの一致条件によって指示されたトラフィックのみに制限されるようにする、セキュリティのコアレイヤーを提供します。従来のポリシーでは不十分な場合は、アプリケーション識別コンポーネントを選択して、ポリシーの高度なセキュリティプロファイルを作成します。
手記：
インラインアプリケーションファイアウォールポリシー、SSLプロキシプロファイル、およびコンテンツセキュリティを作成するには、ルールアクションを許可する必要があります。 |
脅威プロファイリング |
Juniper ATP Cloudの適応型脅威プロファイリングにより、SRXシリーズデバイスは、独自の高度な検出とポリシー一致イベントに基づいて、脅威フィードを生成、伝送、利用することができます。 Junos Space Security Director リリース 21.2 以降では、送信元アドレスと宛先アドレスを脅威タイプとして設定し、トラフィックがルールに一致すると、送信元 IP アドレスとIP アドレスを選択した脅威フィードに挿入するファイアウォール ポリシーを設定できます。脅威フィードは、他のデバイスから動的アドレスグループ(DAG)として利用できます。 [フィードに元 IPを追加(Add to Feed)]:リストからセキュリティ フィードを選択します。トラフィックがルールに一致すると、送信元 IP アドレスが脅威フィードに追加されます。 [フィードに宛先 IPを追加(Add to Feed)]:リストからセキュリティ フィードを選択します。トラフィックがルールに一致すると、IP アドレスが脅威フィードに追加されます。
手記：
これらのフィールドを使用するには、まずデバイスをATP Cloudに登録してから、ドロップダウンリストにフィードを表示するようにPolicy Enforcerを設定します。 |
Rule Options |
|
プロフィール |
デフォルトプロファイルまたはカスタムプロファイルを選択するか、別のポリシーからポリシープロファイルを継承できます。ポリシープロファイルは、セキュリティポリシーの基本設定を指定します。 ファイアウォールポリシープロファイルの作成をご覧ください。 |
計画 |
ポリシー スケジュールを使用すると、ポリシーをいつアクティブにするかを定義できるため、暗黙的な一致条件になります。ポリシーがアクティブな曜日と時刻を定義できます。たとえば、営業時間に基づいてアクセスを開始または終了するセキュリティ ポリシーを定義できます。複数のスケジューラを異なるポリシーに適用できますが、1 つのポリシーでアクティブにできるスケジューラは 1 つだけです。事前に保存されたスケジュールを選択すると、選択したスケジュールのデータがスケジュール オプションに入力されます。[ 新規 ] をクリックして、別のスケジュールを作成します。 |
Rule Analysis |
|
新しいルール、分析の実行 |
異常を回避するためにルールを分析する場合は、このオプションを選択します。 |
Rule Placement |
|
ロケーション/シーケンス |
シーケンス番号とルールが配置される順序が表示されます。 |
変更履歴
サポートされる機能は、使用しているプラットフォームとリリースによって決まります。特定の機能がお使いのプラットフォームでサポートされているかどうかを確認するには、 Feature Explorer を使用します。