展開のセキュリティ SAML 保護

Created On 06/23/20 18:12 PM - Last Modified 03/26/21 18:26 PM

Objective

パロアルトネットワークの顧客で SAML NGFW 、シリーズ VM- 、デバイス、または上でを使用していない Panorama Prisma Access 場合は NOT IMPACTED CVE-2020、-2021 PAN-OS : SAML 認証のバイパスを実行します。

使用しているかどうかを確認する SAML
を使用している場合は SAML 、ID プロバイダでの対応策を SAML 適用します。
NGFWの最新のメンテナンス Panorama バージョンに、およびシリーズファイアウォールをすぐにアップグレードすることを検討してください VM- 。 PAN-OS

Environment

NGFW、 VM- シリーズ
Panorama
GlobalProtect ポータル/ゲートウェイ
Prisma Access
SAML

Procedure

Panoramaの NGFW 場合、、 VM- シリーズ顧客 (を含む GlobalProtect )
構成	次のステップ
構成 SAML NOT されている場合 [設定を確認 ]	アクションは必要ありません。停止。
構成 SAML されている場合	ソリューション - アップグレードを伴う	ソリューション - アップグレードなし
構成 SAML されている場合	アップグレードする前に ID プロバイダの署名証明書を SAML ID プロバイダ証明書として設定していることを確認します。 SAMLIdP が署名付き SAML の応答、アサーション、またはその両方を送信することを確認します。 PAN-OS8.1.15、9.0.9、9.1.3(該当する場合)、またはそれ以降のリリースに直ちにアップグレードします。他のファイアウォールのアップグレードよりもグローバル保護ゲートウェイとポータルの優先順位を付けることが推奨されます Panorama 。アップグレード後以前に発行された GlobalProtect 認証オーバーライド Cookie を無効にするキャプティブポータル/認証ポータルを通じて以前に認証されたユーザを無効化する	IdP は CA- 、発行された証明書がこれらの緩和策を適用し、リスクを軽減することを許可する必要があります。先に進む前に、IdP 管理者に確認してください。 SAMLIdP が署名付き SAML の応答、アサーション、またはその両方を送信することを確認します。 ID プロバイダーの署名証明書を SAML ID プロバイダー証明書として構成していることを確認します。 ID プロバイダー証明書の検証が有効になっていることを確認 PAN-OS する /Panorama 以前に発行された GlobalProtect 認証オーバーライド Cookie を無効にする管理者認証を使用して以前に認証された管理者のセッションを無効 SAML にします。キャプティブポータル/認証ポータルを通じて以前に認証されたユーザを無効化する

Prisma Accessお客様向け
構成	次のステップ
構成 SAML NOT されている場合 [設定を確認 ]	アクションは必要ありません。停止。
構成 SAML されている場合	Prisma Access アップグレードは 2020 年 6 月 29 日に完了しました - 05:01 UTC アップグレード後: Prisma Access Panorama 管理対象用以前に発行された GlobalProtect 認証オーバーライド Cookie を無効にする Prisma Accessクラウド管理用アクションは必要ありません。停止。
構成 SAML されている場合

技術的な詳細と方法

1. SAML構成されているかどうかを確認する

使用時 Panorama

ステップ 1

SAML管理者認証に対して認証が有効になっているかどうかを確認します Panorama 。 ID Panorama プロバイダー >>サーバープロファイルSAMLに移動します。

プロファイルが表示されない場合は、を構成していません SAML 。 ステップ2に進みます。
プロファイルが表示された場合は、 SAML を使用しています。最新のメンテナンスリリースにアップグレードするか、アップグレードが不可能な場合に軽減するために推奨される構成を適用するには、すぐに対処する必要があります。

ステップ 2

SAMLによって管理されるファイアウォールで認証が有効になっているかどうかを確認 Panorama します。 [デバイス> [テンプレート] >サーバープロファイル> IDSAMLプロバイダに移動します。各テンプレートを確認します。

プロファイルが表示されない場合は、を構成していません SAML 。即時のアクションは 必要ありません。早い都合の良い時期に最新のメンテナンスリリースにアップグレードする予定です PAN-OS 。
プロファイルが表示された場合は、 SAML を使用しています。最新のメンテナンスリリースにアップグレードするか、アップグレードが不可能な場合に軽減するために推奨される構成を適用するには、すぐに対処する必要があります。

NGFS のみを使用する場合 (いいえ Panorama )

各 firewall で、ファイアウォールに SAML 対して認証が有効になっているかどうかを確認します。 ID プロバイダー>デバイス > サーバープロファイルに移動 SAML します。

プロファイルが表示されない場合は、を構成していません SAML 。 即時のアクションは必要ありません。早くても最新のメンテナンスリリースにアップグレード PAN-OS する予定です。
プロファイルが表示された場合は、 SAML を使用しています。最新のメンテナンスリリースにアップグレードするか、アップグレードが不可能な場合に軽減するために推奨される構成を適用するには、すぐに対処する必要があります。

2. アップグレードを伴わないソリューション

Panoramaの NGFW 場合、、 VM- シリーズ顧客 (を含む GlobalProtect )

先に進む前に:

この軽減策を適用するには、IdP で使用される署名証明書が証明機関 ( CA ) 発行された証明書である必要があります。
多くの一般的な IdP プロバイダは、既定で自己署名証明書を発行しますが、. CA Azure のような IdP には UI 、発行された証明書をアップロードするオプションが用意されている CA- 場合もありますが、Okta のような他の IdP では API 、呼び出しを行う必要があります。最初に、手順 3 で提供されているリンクを IdP 管理者に確認して、この緩和策の実現可能性を判断することをお勧めします。
CA-IdP がデュオアクセスプロキシまたは Google クラウド ID の場合、発行された証明書は使用できません。の最新のメンテナンスリリースにアップグレードするには、すぐにアクションが必要です PAN-OS 。

ステップ 1 - IdP が SAML 応答またはアサーションに署名していることを確認する

手順 2 - SAML IdP Server プロファイルが IDP 証明書証明書で設定されているかどうかを確認

する手順 3 - 「ID プロバイダー証明書の検証」が有効になっているかどうかを確認

する手順 4 - 以前に発行された GlobalProtect 認証上書き Cookie を無効にします

使用する GlobalProtect 場合認証オーバーライドクッキー、 アップグレード前に発行された認証上書きクッキー PAN-OS は引き続き有効である可能性があります。これらのセッションを終了してユーザーに再ログインを強制するには、ポータルおよびゲートウェイで認証オーバーライド Cookie の暗号化と復号化に使用する証明書を変更 GlobalProtect Panorama firewall し、ポータルとゲートウェイを実行しているファイアウォールに変更をコミットする必要 GlobalProtect があります。
GlobalProtectポータルとゲートウェイを再起動して、既存のセッションを切断します。

ステップ 5 - 管理者認証を使用して以前に認証された管理者ユーザーのセッションを無効に SAML

注意してください: ファイアウォールを再起動し Panorama 、Web インターフェイス上の承認されていないセッションを排除します。を再起動した場合は、 firewall Panorama 次の手順は必要ありません。

SAML管理者認証を使用していて、 / を再起動していない場合 firewall は Panorama 、次のコマンドを実行します。
すべての管理セッションを削除するには:
- 管理セッションの削除
管理者を検索し UI 、これらの管理者セッションを削除するには:
- 管理者を表示する
- 管理者セッションのユーザー名を削除する <admin-username>

ステップ 6 - キャプティブポータル/認証ポータルを通じて以前に認証されたユーザを無効化する

キャプティブポータルまたは認証ポータルを使用している場合は、 次のコマンドを実行します。
- ユーザー IP-ユーザーマッピングすべてのタイプを表示する SSO
- ユーザーキャッシュ-mp アドレスをクリア <above IP- します>
- ユーザーキャッシュアドレスをクリア <above IP- します>

アップグレード Panorama 、、 NGFW または Series VM- (を含む) を含まないソリューションの実装を完了した場合は、ここで停止 GlobalProtect します。

3. アップグレード

を含 Panorama むソリューション、 NGFW 、アップグレード VM- する前にシリーズのお客様 (を含む GlobalProtect ): 手順

1 - IdP が SAML 応答やアサーションに署名していることを確認

する手順 2 - SAML IdP Server プロファイルが IDP 証明書証明書のアップグレードで設定されているかどうかを確認

する PAN-OS :

他のファイアウォールのアップグレードよりもグローバル保護ゲートウェイとポータルのアップグレードを優先することをお勧めします Panorama 。

ステップ3 -の最新のメンテナンスリリースについては、リリースノートを参照 PAN-OS してください。

特定のリリースノートの指示に従って、ご使用 NGFW の製品 VM- 、シリーズ、または Panorama アプライアンスを最新のメンテナンスリリースにアップグレードします。

アップグレード後 PAN-OS :

手順 4 - 以前に発行された GlobalProtect 認証オーバーライド Cookie を無効にする

使用する GlobalProtect 場合認証オーバーライド Cookieを使用すると、アップグレード前に発行された認証オーバーライド Cookie PAN-OS が有効である可能性があります。これらのセッションを終了してユーザーに再ログインを強制するには、ポータルおよびゲートウェイで認証オーバーライド Cookie の暗号化および復号化に使用される証明書を変更 GlobalProtect Panorama し、を使用してポータルとゲートウェイを実行しているファイアウォールに変更をコミットする必要 GlobalProtect があります。
GlobalProtectポータルとゲートウェイを再起動して、既存のセッションを切断します。

ステップ 5 - キャプティブポータル/認証ポータルを通じて以前に認証されたユーザを無効化する

キャプティブポータルまたは認証ポータルを使用している場合は、 次のコマンドを実行します。
- ユーザー IP-ユーザーマッピングすべてのタイプを表示する SSO
- ユーザーキャッシュ-mp アドレスをクリア <above IP- します>
- ユーザーキャッシュアドレスをクリア <above IP- します>

アップグレードするソリューションの実装が完了している場合は、ここで停止 Panorama します NGFW VM- GlobalProtect 。

Prisma Access Panoramaファイアウォールの管理に使用されるお客様 Prisma Access

Prisma Access アップグレードは 2020 年 6 月 29 日に完了しました - 05:01 UTC

後、 Prisma Access アップグレード:

ステップ 1 - 認証 GlobalProtect オーバーライドクッキー

を使用 GlobalProtect する場合、以前に発行された認証優先 Cookie を無効にするアップグレード前に発行された認証上書き Cookie Prisma Access は引き続き有効である可能性があります。これらのセッションを終了してユーザーに再ログインを強制するには、ポータルおよびゲートウェイで認証オーバーライド Cookie の暗号化と復号化に使用する証明書を変更 GlobalProtect Panorama し、変更をコミットしてプッシュする必要があります。

以前の変更を行った後、 Prisma Access 自動的に古いユーザーセッションをログアウト GlobalProtect し、 GlobalProtect エンドポイント上の App は新しい接続を確立するためにユーザーを再認証します。

アップグレードするソリューションの実装が完了している場合は、ここで停止 Panorama します NGFW VM- GlobalProtect 。

参照ドキュメント

IdP が SAML 応答やアサーションに署名していることを確認する

マイクロソフト ADFS 、マイクロソフト Azure、Google クラウド ID、OneLogin、PingFederate、または PingOne を IdP として使用している場合 SAML は、次の手順に進みます。
Okta またはその他の IdP を使用している場合は、IdP が応答やアサーションに署名していることを確認 SAML します。セキュリティのベストプラクティスとして、 SAML 応答、 SAML アサーション、またはその両方に署名するように IdP を構成する必要があります。

SAML IdP プロバイダー	アクション
ADFS Azure AD Google ワンログインピンフェデレー 1つをpingする	SAML 応答またはアサーションが署名されます。次のステップに進む
Okta	以下のインテグレーションを使用した場合 OIN (Okta 統合ネットワーク) プロファイルを設定する場合は、次の手順に進 SAML みます。パロアルトネットワークス - GlobalProtect パロアルトネットワークス - 管理者 UI パロアルトネットワークス - キャプティブポータル SAML アプリケーション統合ウィザードを使用して Okta で設定を設定した場合、アクションが必要です。署名付きの応答、署名付きアサーション、またはその両方を送信していることを確認します。
デュオアクセスゲートウェイ	Duo Access Gateway でパロアルトネットワークスの統合を使用している場合は、次のステップに進みます。 Duo Access Gateway で SAML 汎用サービスプロバイダ統合を使用してコンフィグレーションを設定した場合に、アクションが必要です。署名付きの応答、署名付きアサーション、またはその両方を送信していることを確認します。
その他の IdP	SAML応答、アサーション、またはその両方に署名するように IdP を構成したことを確認してください。

アップグレードなしでソリューション
に戻る

SAML IdP サーバープロファイルが IDP 証明書で設定されている場合は、

アップグレードを確認してソリューションに戻る IdP 証明書が、キャ SAML firewall Panorama GlobalProtect プティブおよび認証ポータル、および管理 Web インターフェイスへの認証に使用されるすべての IdP プロファイルで設定されていることを確認します。

IdP がメッセージの署名に使用する ID プロバイダー証明書を選択したことを確認します SAML 。
ID プロバイダー (IdP) 証明書がドロップダウンで使用可能でない場合は、証明書を追加する必要があります。このリンクのステップ 2 の手順を使用します。

アップグレードなしでソリューションに戻る
アップグレードを使用してソリューションに戻る

「ID プロバイダー証明書の検証」が有効になっているかどうかを確認します。

ID プロバイダー証明書の検証 が、、 SAML firewall Panorama GlobalProtect キャプティブポータルおよび管理 Web インターフェイスへの認証に使用される、およびで使用されるすべての IdP プロファイルで設定されていることを確認します。これが有効な場合、それ以上の操作は必要ありません。

ID プロバイダ証明書の検証を有効にするには、IdP が使用する署名証明書を証明機関 ( ) によって発行する必要があります CA 。一般的な IdP は既定で自己署名証明書を発行しますが、通常は、によって発行された証明書を使用できます CA 。 Azure のような IdP には UI 、発行された証明書をアップロードするオプションを提供 CA- する場合や、Okta のような IdP では API 、独自の証明書を使用する呼び出しを行う必要があります。 IdP 管理者に相談して、IdP がこれを有効にするように正しく構成されていることを確認してください。

IdP 管理者との会話をガイドする役立つリンクをいくつか紹介します。

SAML IdP プロバイダー	リンク
ADFS	追加ガイダンス
Azure AD	追加ガイダンス
デュオアクセスゲートウェイ	お客様は PAN-OS 、8.1.15、9.0.9、9.1.3以降にアップグレードする必要があります。
グーグルクラウドアイデンティティ	お客様は PAN-OS 、8.1.15、9.0.9、9.1.3以降にアップグレードする必要があります。
Okta	追加ガイダンス
1つをpingする	追加ガイダンス
ワンログイン	追加ガイダンス
その他の IdP	CA-発行された証明書が IdP で構成されたら、IdP をと内に再登録する必要があります PAN-OS Panorama 。これを行うには: IdP 管理者に IdP メタデータを問い合わせてください。 IdP メタデータをにインポート PAN-OS するか、または、またはそのいずれか Panorama を実行して、[ID プロバイダー証明書の検証 ] チェックボックスがオンになっていることを確認し、IdP OK サーバープロファイルを保存する] をクリックします SAML 。 IdP の証明書を発行したのと同じ証明書を使用して、 CA 証明書プロファイルを作成します。新しく作成した IdP サーバープロファイルと証明書プロファイルを SAML 認証プロファイルに追加します。構成を Panorama ファイアウォールにコミットします。