読む前にこの記事のポイントを音声で確認できます。この音声は本記事をもとにAIツール（NotebookLM）で自動生成したもので、発音や言い回しが不自然な箇所や、内容の誤りが含まれる可能性があります。理解の補助としてご利用ください。
Paloalto の URL フィルタリングは、Web アクセスの接続先 URL をカテゴリで判定し、カテゴリごとに許可・ブロックなどを決める機能です。この記事では、ストリーミングメディアのカテゴリをブロックして YouTube へのアクセスを止め、クライアント端末にブロックページ（応答ページ）を表示させます。最後に、高度な URL フィルタリング（Advanced URL Filtering）のリアルタイム分析で、マルウェアサイトがブロックされることも確かめます。
- URL フィルタリング プロファイルを作り、セキュリティポリシーに適用する
- block と continue のときの応答ページとログを確かめる
- SSL 復号化をしないときに応答ページを表示させる設定
- リアルタイム分析（real-time-detection）でマルウェアサイトをブロックする
この記事は、SSL 復号化をする前提で URL フィルタリングの動作を確かめます。構成は次の記事を前提としますので、先にお読みいただくことをおすすめします。クライアント端末には、SSL Forward Proxy で作ったルート証明書が「信頼されたルート証明機関」に登録されているものとします。
>> 参考記事 : SSL復号化（SSL Forward Proxy）の設定と動作確認
PAN-OS 10.0.8 で検証しています（初版は 9.0.9 で検証。9.0 と設定項目の差はほとんどありません）。端末のブラウザは Microsoft Edge です。PAN-OS 10.0 は 2022年7月16日でサポートが終了（End-of-Life）しています。画面の項目の並びや表記は、バージョンによって変わります。
URL フィルタリングのしくみ
PAN-OS 9.0 以降では、URL カテゴリのデータベース（PAN-DB）を筐体にダウンロードしません。Paloalto は PAN-DB のクラウドに直接問い合わせて、結果をキャッシュします。また、従来の URL カテゴリによるフィルタリングに加えて、マルウェアやフィッシングサイトなどの未知の脅威をクラウドのリアルタイム分析で検知する、高度な URL フィルタリング（Advanced URL Filtering）が使えます。Advanced URL Filtering は、URL フィルタリングとは別のサブスクリプション（ライセンス）です。詳しくは、次のガイドを確認してください。
>> 参考 : How Advanced URL Filtering Works
HTTPS の通信では、URL のパス（ドメイン名より後ろ）は暗号化されています。SSL 復号化をすると、Paloalto は通信を復号して接続先の URL を識別し、カテゴリでブロックしたときはクライアントに応答ページを返せます。
URL フィルタリングを設定する（URL カテゴリ）
Paloalto では、URL フィルタリングのプロファイルをセキュリティポリシーに適用すると、フィルタが有効になります。
URL フィルタリング プロファイルを作る
ストリーミングメディアのカテゴリをブロックするプロファイルを作ります。OBJECTS ›› セキュリティ プロファイル ›› URL フィルタリング で「追加」をクリックします。
この記事の画面は、実際の画面ではなく、検証時の画面から設定する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。
| 1名前 | Custom |
| 内容 |
| カテゴリ（73 個の項目） | サイト アクセス | ユーザー証明書送信 |
|---|---|---|
| ⋮ | ||
| society | allow | allow |
| sports | allow | allow |
| stock-advice-and-tools | allow | allow |
| 2☑ streaming-media | 3block | block |
| swimsuits-and-intimate-apparel | allow | allow |
| ⋮ | ||
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 名前 | 任意の名前です。今回は Custom にしました。 |
| 2 | カテゴリ | カテゴリタブで、ブロックしたいカテゴリを選びます。今回は streaming-media（ストリーミングメディア）です。 |
| 3 | サイト アクセス | allow から block に変更します。選べるアクションは alert / allow / block / continue / override です。 |
| 4 | OK | OK をクリックして、プロファイルを保存します。 |
アクションの意味は次のとおりです。
| アクション | 動作 |
|---|---|
| alert | アクセスを許可し、URL フィルタリングのログに記録します。 |
| allow | アクセスを許可します。ログは記録しません。 |
| block | アクセスをブロックし、応答ページを表示します。ユーザーはサイトに進めません。 |
| continue | ポリシーでブロックされたことを示す応答ページを表示します。ユーザーは Continue をクリックするとサイトに進めます。 |
| override | 応答ページでパスワードの入力を求め、正しいパスワードを入れるとサイトに進めます。 |
ほかにどのような URL カテゴリがあるかは、次を参照してください。
>> 参考 : Where Can I Find a Complete List of PAN-DB URL Filtering Categories?
セキュリティポリシーに適用する
POLICIES ›› セキュリティ で、LAN からインターネットへのポリシー LAN-to-Internet をクリックします。「アクション」タブの「プロファイル設定」で、URL フィルタリングに先ほど作った Custom を選びます。
| プロファイル タイプ | プロファイル |
| 1URL フィルタリング | Custom |
OK をクリックしてコミットし、クライアント端末で動作を確かめます。
動作確認（SSL 復号化あり・block）
端末から YouTube にアクセスすると、次のようなブロック画面（応答ページ：URL Response Page）が表示されます。カテゴリ streaming-media でブロックされたことがわかります。
（会社のポリシーにより、このページへのアクセスはブロックされた、という説明文）
User: 10.0.2.11
URL: www.youtube.com/?hl=jp%26gl=JP
1Category: streaming-media
MONITOR ›› ログ ›› URL フィルタリング で、ログも確認できます。今回は SSL 復号化をしている（復号化が yes）ことを確認してください。
| 復号化 | カテゴリ | URL カテゴリ リスト | URL | 送信元 | 宛先 | アプリケ ーション | アクション |
|---|---|---|---|---|---|---|---|
| 1yes | streaming-media | streaming-media, | www.youtube.com… | 10.0.2.11 | 216.58.220.142 | youtube-base | 2block-url |
| yes | streaming-media | streaming-media, | www.youtube.com… | 10.0.2.11 | 216.58.220.142 | youtube-base | block-url |
| yes | streaming-media | streaming-media, | www.youtube.com… | 10.0.2.11 | 216.58.220.142 | youtube-base | block-url |
| yes | streaming-media | streaming-media, | www.youtube.com… | 10.0.2.11 | 216.58.220.142 | youtube-base | block-url |
| yes | streaming-media | streaming-media, | www.youtube.com… | 10.0.2.11 | 216.58.220.142 | youtube-base | block-url |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | 復号化 | yes は、SSL 復号化した通信であることを示します。 |
| 2 | アクション | block-url は、URL フィルタリングでブロックしたことを示します。 |
動作確認（SSL 復号化あり・continue）
今度は、Custom プロファイルの streaming-media のアクションを block から continue に変更して、動作を確かめます。
| カテゴリ | サイト アクセス | ユーザー証明書送信 |
|---|---|---|
| ⋮ | ||
| sports | allow | allow |
| stock-advice-and-tools | allow | allow |
| ☑ streaming-media | 1選択肢alert allow block continueoverride | block |
| swimsuits-and-intimate-apparel | allow | allow |
| ⋮ | ||
コミットしたあと YouTube にアクセスすると、次のブロック画面が表示されます。block のときと違い、Continue ボタンがあります。
（会社のポリシーにより、このページへのアクセスはブロックされた、という説明文）
User: 10.0.2.11
URL: https://www.youtube.com/
Category: streaming-media
If you click Continue to proceed to the page, this action will be logged.
1Continue
Return to previous page
MONITOR ›› ログ ›› URL フィルタリング を見ると、アクションが block-continue でログが記録されています。
| 復号化 | カテゴリ | URL カテゴリ リスト | URL | 送信元 | 宛先 | アプリケ ーション | アクション |
|---|---|---|---|---|---|---|---|
| yes | streaming-media | streaming-media, | www.youtube.c… | 10.0.2.11 | 172.217.175.78 | youtube-base | 1block-continue |
| yes | streaming-media | streaming-media, | www.youtube.c… | 10.0.2.11 | 172.217.175.78 | youtube-base | block-continue |
応答ページで Continue をクリックすると YouTube にアクセスできるようになり、そのときのログのアクションは continue で記録されます。
| 復号化 | カテゴリ | URL カテゴリ リスト | URL | 送信元 | 宛先 | アプリケ ーション | アクション |
|---|---|---|---|---|---|---|---|
| yes | streaming-media | streaming-media, | youtube.com/ | 10.0.2.11 | 172.217.26.238 | youtube-base | 1continue |
| yes | streaming-media | streaming-media, | rr4—sn-ogul7ne… | 10.0.2.11 | 74.125.102.137 | youtube-streaming | continue |
| yes | streaming-media | streaming-media, | www.youtube.c… | 10.0.2.11 | 172.217.175.78 | youtube-base | continue |
動作確認（SSL 復号化なし・block）
SSL 復号化をしない場合の、YouTube へのアクセスを確かめます。プロファイルの streaming-media のアクションは block です。
復号ポリシーを無効にする
POLICIES ›› 復号 で復号ポリシーを選び、「無効化」をクリックします。すべての復号ポリシーを無効にして、コミットします。無効にしたポリシーは、薄い文字で表示されます。
| 名前 | タグ | 送信元ゾーン | 送信元アドレス | |
|---|---|---|---|---|
| 1 | 1SSL_Decryption_Policy | none | LAN | any |
アクセスして確かめる
YouTube にはアクセスできませんが、ブロックページが表示されません。HTTPS のアクセスをブロックするとき、SSL 復号化をしていないと、ブロックページが表示されないことがわかります。
ログを見ると、SSL 復号化をしていない（復号化が no）ことと、アクションが block-url でブロックしていることがわかります。
| 復号化 | カテゴリ | URL カテゴリ リスト | URL | 送信元 | 宛先 | アプリケ ーション | アクション |
|---|---|---|---|---|---|---|---|
| 1no | streaming-media | streaming-media, | www.youtube.com/ | 10.0.2.11 | 216.58.220.142 | youtube-base | 2block-url |
| no | streaming-media | streaming-media, | www.youtube.com/ | 10.0.2.11 | 216.58.220.142 | youtube-base | block-url |
| no | streaming-media | streaming-media, | www.youtube.com/ | 10.0.2.11 | 216.58.220.142 | youtube-base | block-url |
| no | streaming-media | streaming-media, | www.youtube.com/ | 10.0.2.11 | 216.58.220.142 | youtube-base | block-url |
| no | streaming-media | streaming-media, | www.youtube.com/ | 10.0.2.11 | 216.58.220.142 | youtube-base | block-url |
| no | streaming-media | streaming-media, | www.youtube.com/ | 10.0.2.11 | 216.58.220.142 | youtube-base | block-url |
SSL 復号化なしで応答ページを表示させる
SSL 復号化をせずにブロックページ（応答ページ）を表示したい場合は、次のナレッジを参照してください。
>> 参考 : How to Serve a URL Response Page Over an HTTPS Session Without SSL Decryption
ナレッジのとおり、CLI で次のように設定します。
PA-VM
admin@PA-VM> configure
Entering configuration mode
[edit]
admin@PA-VM# set deviceconfig setting ssl-decrypt url-proxy yes
[edit]
admin@PA-VM# commit
ナレッジでは、このほかにも条件が挙がっています。URL フィルタリング プロファイルを許可（allow）のセキュリティポリシーに適用すること、インターフェイス管理プロファイルで応答ページを有効にしてインターフェイスに適用すること、Forward Trust と Forward Untrust の証明書があることです。バーチャルワイヤーのインターフェイスでは使えません。応答ページが表示されないときは、これらも確認してください。
もう一度 YouTube にアクセスすると、ブロックページが表示されるようになりました。このブロックページ（応答ページ）の証明書は、Paloalto で発行した証明書であることがわかります。
User: 10.0.2.11
URL: www.youtube.com/
Category: streaming-media
1発行者：hirotanoblog.com
有効期間：2021/12/27 から 2022/03/21
端末にルート証明書をインストールしていないと、次のようにブロックページが証明書エラーになります。そのため、通常の Web 通信で SSL 復号化をしない場合でも、ブロックページ（応答ページ）を表示するには、クライアントに SSL 復号化用のルート証明書をインストールする必要があります。
高度な URL フィルタリング（リアルタイム分析）
Advanced URL Filtering のリアルタイム分析で、マルウェアサイトがブロックされることを確かめます。ログの復号化が yes になっているとおり、この確認は SSL 復号化を有効にした状態で行っています。
プロファイルを変更する
上で作った Custom プロファイルで、カテゴリ malware のサイト アクセスを allow から block に変更し、OK をクリックします。コミットも行います。
| カテゴリ | サイト アクセス | ユーザー証明書送信 |
|---|---|---|
| ☑ malware | 1選択肢alert allow blockcontinue override | allow |
テストサイトにアクセスする
メーカーが公開しているテストサイトにアクセスします。
>> 参考 : Test URL Filtering Configuration
このページに記載のテストページ（urlfiltering.paloaltonetworks.com/）に HTTPS で接続すると、次のとおりカテゴリ malware でブロックされます。
（会社のポリシーにより、このページへのアクセスはブロックされた、という説明文）
User: 10.0.2.11
URL: urlfiltering.paloaltonetworks.com/
1Category: malware
ログを見る
MONITOR ›› ログ ›› URL フィルタリング で、ログも確認できます。URL カテゴリ リストに real-time-detection（リアルタイム分析による検知）が入っていることがわかります。
| 復号化 | カテゴリ | URL カテゴリ リスト | URL | 送信元 | 宛先 | アプリケ ーション | アクション |
|---|---|---|---|---|---|---|---|
| yes | malware | 1real-time-detection, | urlfiltering.paloa… | 10.0.2.11 | 154.59.123.124 | web-browsing | 2block-url |
| yes | malware | real-time-detection, | urlfiltering.paloa… | 10.0.2.11 | 154.59.123.124 | web-browsing | block-url |
| yes | malware | real-time-detection, | urlfiltering.paloa… | 10.0.2.11 | 154.59.123.124 | web-browsing | block-url |
| yes | malware | real-time-detection, | urlfiltering.paloa… | 10.0.2.11 | 154.59.123.124 | web-browsing | block-url |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | URL カテゴリ リスト | real-time-detection,malware は、リアルタイム分析で検知し、malware カテゴリと判定したことを示します。 |
| 2 | アクション | malware カテゴリを block にしたので、block-url でブロックしています。 |
フィッシング、C&C、グレーウェアなども、マルウェアと同じようにカテゴリの設定を変えることで、リアルタイム分析で検知した通信を止められます。
現在の Advanced URL Filtering のドキュメントでは、テストページの名前が変わっています（例：urlfiltering.paloaltonetworks.com/）。ログは ( url_category_list contains real-time-detection ) のフィルタで確認できます。テストするときは、お使いのバージョンのドキュメントを確認してください。
まとめ
| 設定・確認 | 場所 | 内容 |
|---|---|---|
| プロファイル | OBJECTS ›› セキュリティ プロファイル ›› URL フィルタリング | Custom で streaming-media を block（または continue）、malware を block |
| セキュリティポリシー | POLICIES ›› セキュリティ | LAN-to-Internet のアクションタブで URL フィルタリングに Custom |
| ログ | MONITOR ›› ログ ›› URL フィルタリング | block-url／block-continue／continue、復号化 yes／no、real-time-detection |
| SSL 復号化なしの応答ページ | CLI | set deviceconfig setting ssl-decrypt url-proxy yes（端末にルート証明書が必要） |
更新履歴
- 2020/11/08 初版（バージョン 9.0.9 を使用）
- 2022/1/22 バージョン 10.0.8 用に更新
- 画面の更新（9.0.9 → 10.0.8）※ 9.0 と設定項目の差はほとんどありません
- 端末のブラウザを IE から Edge へ変更
- SSL 復号化なしの場合の応答ページの表示の設定と確認を追加
- Advanced URL Filtering として、マルウェアのリアルタイム分析検知によるブロック動作の確認を追加
コメント