動的アドレスグループを使用した SSL 復号化のトラブルシューティング

Created On 09/25/18 19:10 PM - Last Modified 06/12/23 08:18 AM

Resolution

概要

このドキュメントでは、パロアルトネットワークファイアウォールと動的アドレスグループ (dag) を使用して自動化の例を説明します。dag を使用すると、セキュリティポリシーに自動化をもたらす強力な方法です。このアイデアは、動的アドレスグループを利用するファイアウォール上で事前設定されたポリシーを構成することです。ホストの条件が変化すると、DAG に動的に移動される可能性があるため、rulebase では異なるポリシーが適用されます。そのホストに対してもう一度条件が変更された場合、別の DAG に移動し、別のポリシーを完全に押すことができます。管理者が新しいルールを追加および展開したり、変更をコミットしたりすることなく、すべてがプッシュアウトされます。

監視されるかもしれない条件は広大である!この例では、dag を使用して、トラブルシューティングのために、SSL 復号化グループとの間でホストを動的に移動します。ただし、使用例は実質的に無限大です。

要件

必須項目	ノート
パロアルトネットワークファイアウォール	VM50、パノス8.1.0 でテスト
ブラウザを使用したホスト	Windows 7 64 ビット VM でテスト済み

ネットワークダイアグラム

ユースケース図

設定

動的アドレスグループ

まず、動的アドレスグループによって使用されるタグを作成します。SSL 復号化を無効にするためのタグを作成します。

オブジェクト > タグ > 追加

復号化ポリシー内で使用する DAG を作成します。

オブジェクト > アドレスグループ > 追加

アドレスグループに名前を指定する
タイプを「動的」に変更
[一致条件の追加] をクリックし、前の手順で作成したタグを選択して SSL 暗号化を行わないようにします

SSL 復号化ポリシー

SSL 復号化ポリシーを構成して、(dag の外部にあるホストの) 暗号化を解除し、暗号化解除 (dag 内のホスト) を除外します。

ポリシー > 復号化 > 追加

この順序で2つのポリシーを追加する
- 復号化しない
  - ソースアドレスとして DAG を復号化しないを使用します。
  - アクション ' なし復号化 ' を行う
- 他のすべての復号化
  - ソース/宛先アドレスに対して任意の使用
  - アクション ' 復号化 ' を行う
  - タイプが「ssl フォワードプロキシ」であることを確認します。

注: このドキュメントは、復号化を実行するために、ファイアウォールとクライアントに証明書があることを前提としています。必要に応じて、ここで指示を参照してください: https://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-Implement-and-Test-SSL-Decryption/ta-p/59719

復号化ポリシーには、次の内容が反映されます。

脆弱性の署名

ロギング条件を追加する前に、条件をトリガする方法が必要です。この例では、特定の URI パスを監視するカスタムの脆弱性シグネチャを作成します。ホストを DAG に移動する方法として、URI パスを使用します。

'/kw-nodecrypt/' の URI パスを検索する脆弱性シグネチャを作成します。

オブジェクト > カスタムオブジェクト > 脆弱性 > 追加

[構成] タブの場合:

スレッド ID をカスタム署名番号に割り当てる
アラートの重大度を情報とアクションに設定することをお勧めします。
- ライブ環境では、インシデント対応チームと協力して、この特定のアラートを無視するようにしてください。
方向は client2server

[署名] タブの場合:

標準の署名を追加する (新しいウィンドウを開く)
スコープをトランザクションとして残す
緑のプラスボタンを使用して追加し、条件 (新しいウィンドウを開きます)
コンテキストの変更: http-必須-uri パス
パターンについては、復号化を無効にする私たちのカスタムコマンドを入力してください:/kw-nodecrypt/

[OK] をクリックして結果を表示します。

[OK] を2回クリックして保存します。

'/kw-nodecrypt-remove/' の URI パスを検索する脆弱性シグネチャを作成します。これにより、SSL バイパス DAG からホストを削除し、もう一度復号化を開始するようにファイアウォールに指示します。これについては、構成のログ転送部分でさらに説明します。

オブジェクト > カスタムオブジェクト > 脆弱性 > 追加

[構成] タブの場合:

スレッド ID をカスタム署名番号に割り当てる
アラートの重大度を情報とアクションに設定することをお勧めします。
- ライブ環境では、インシデント対応チームと協力して、この特定のアラートを無視するようにしてください。
方向は client2server

[署名] タブの場合:

標準の署名を追加する (新しいウィンドウを開く)
スコープをトランザクションとして残す
緑のプラスボタンを使用して追加し、条件 (新しいウィンドウを開きます)
コンテキストを http-必須 uri パスに変更する
パターンについては、復号化を無効にする私たちのカスタムコマンドを入力してください:/kw-nodecrypt-remove/

[OK] をクリックして結果を表示します。

[OK] を2回クリックして保存します。

次のような2つのカスタム脆弱性シグネチャがあります。

ログ転送プロファイル

サポート構成を使用すると、カスタム署名を監視してアクションを実行するようにファイアウォールを構成できるようになりました (ホストを DAG に移動またはチェックアウトする)。

カスタムログ転送プロファイルを作成します。

オブジェクト > ログ転送 > 追加

ログ転送プロファイルに名前を指定する
[追加] を選択して新しい一致リストを作成します (新しいウィンドウを開きます)。
マッチリストに名前を指定する
ログの種類として [脅威] を選択
フィルター使用のため: (名前の-threatid eq 41000)
- 最初の脆弱性の署名を作成するときに入力した threatID を使用する
- 注: このフィールドの下向き矢印を選択してフィルタビルダを選択すると、フィルタを手動で作成することもできます
[組み込みアクション] ウィンドウで [追加] を選択します (新しいウィンドウが開きます)。
アクションに名前を指定する
アクションタイプとしてタグを選択
ターゲットはソースアドレス
アクションはタグを追加する
登録はローカルユーザー ID
[タグ] ドロップダウンで、最初のステップで作成したタグを選択します。

[OK] を2回クリックして、ログ転送プロファイルに戻ります。あまりにも遠くに終了する場合は、ログ転送プロファイルをクリックして、別の一致リストを追加することができます。

[追加] を選択して2番目の一致リストを作成します (新しいウィンドウを開きます)。
マッチリストに名前を指定する
ログの種類として [脅威] を選択
フィルター使用のため: (名前の-threatid eq 41001)
- 2番目の脆弱性の署名を作成するときに入力した threatID を使用する
- 注: このフィールドの下向き矢印を選択してフィルタビルダを選択すると、フィルタを手動で作成することもできます
[組み込みアクション] ウィンドウで [追加] を選択します (新しいウィンドウが開きます)。
アクションに名前を指定する
アクションタイプとしてタグを選択
ターゲットはソースアドレス
アクションはタグを削除する
登録はローカルユーザー ID
[タグ] ドロップダウンで、最初のステップで作成したタグを選択します。