この記事では、SSL インスペクション（deep-inspection）を有効にした状態で、FortiGate のアプリケーションコントロールの動作を確認します。オンラインストレージの Box を例に、アプリケーションの識別とブロックを試します。検証時の FortiOS は 6.2.4 です。
先に、次の記事を読んでおくことをおすすめします。
>> 参考記事：【Fortigate】SSLインスペクション（deep-inspection）設定と動作確認 FortiOS6.2.4
- アプリケーションコントロールの default プロファイルと、カテゴリ内のシグネチャの確認方法
- deep-inspection が必要なクラウドアプリケーションと、ポリシーの設定
- カテゴリをブロックにしたときの動作とログ
検証の構成
端末からインターネットへの HTTPS の通信を、FortiGate が deep-inspection で復号し、通信の中身から使っているアプリケーションを識別して制御します。
アプリケーションコントロールの設定
default プロファイルを確認する
セキュリティプロファイル ›› アプリケーションコントロール を開き、default プロファイルの設定を確認します。アプリケーションのシグネチャはカテゴリごとにまとめられていて、カテゴリごとにアクションを決められます。default プロファイルでは、各カテゴリが モニタ（許可してログを取る）になっています。
この記事の画面は、実際の画面ではなく、検証時の画面から設定する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。
| 名前 | default |
| コメント | Monitor all applications. |
| モニタ Business (147, 雲 6) | モニタ Cloud.IT (47, 雲 1) |
| モニタ Collaboration (260, 雲 16) | モニタ Email (77, 雲 12) |
| モニタ Game (84) | モニタ General.Interest (226, 雲 7) |
| モニタ Mobile (3) | モニタ Network.Service (330) |
| モニタ P2P (56) | モニタ Proxy (168) |
| モニタ Remote.Access (86) | モニタ Social.Media (115, 雲 32) |
| 2モニタ Storage.Backup (164, 雲 16) | モニタ Update (49) |
| モニタ Video/Audio (155, 雲 16) | モニタ VoIP (24) |
| モニタ Web.Client (24) | ✓ 不明なアプリケーション |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | 注意書き | このプロファイルのカテゴリには、識別にディープインスペクション（deep-inspection）が必要なクラウドアプリケーションが 106 個含まれます。今回は SSL インスペクションをカスタムの設定にして一部を検査から外しているので、これらのアプリケーションを識別するには、ポリシーの SSL インスペクションを deep-inspection にして、すべての通信を検査する必要があります。 |
| 2 | Storage.Backup | オンラインストレージやバックアップのカテゴリです。今回はこのカテゴリで動作を確認します。 |
カテゴリ内のシグネチャを確認する
カテゴリの中のアプリケーションは、カテゴリ名の左のアイコンをクリックし、シグネチャを表示 または クラウドシグネチャを表示 を選ぶと確認できます。例として、Storage.Backup の クラウドシグネチャを表示 をクリックすると、次のアプリケーションが登録されています。
| アクション | ◉ モニタ○ 許可○ ブロック○ 隔離 |
| 1表示 | シグネチャを表示(164) クラウドシグネチャを表示(16) |
| 名前 | カテゴリ | テクノロジー |
|---|---|---|
| Amazon.Cloud.Drive_File.Download | Storage.Backup | Browser-Based |
| Amazon.Cloud.Drive_File.Upload | Storage.Backup | Browser-Based |
| 2Box_File.Download | Storage.Backup | Browser-Based |
| Box_File.Upload | Storage.Backup | Browser-Based |
| Box_Login | Storage.Backup | Browser-Based |
| Dropbox_File.Download | Storage.Backup | Browser-Based |
| Dropbox_File.Upload | Storage.Backup | Browser-Based |
| Dropbox_Login | Storage.Backup | Browser-Based |
| ⋮（Google.Drive、OneDrive、iCloud など、ほかに 8 個） | ||
ポリシーの SSL インスペクションを deep-inspection にする
ポリシー&オブジェクト ›› ファイアウォールポリシー で、内部から外部へのポリシーを編集し、アプリケーションコントロール（default）を有効にしたうえで、SSLインスペクション を deep-inspection にします。
| アンチウイルス | ON default |
| Webフィルタ | ON default |
| DNSフィルタ | OFF |
| 1アプリケーションコントロール | ON default |
| IPS | ON default |
| ファイルフィルタ | OFF |
| 2SSLインスペクション | deep-inspection |
| 復号トラフィックミラー | OFF |
動作確認
Box にアクセスして識別を確認する
端末から Box（www.box.com）にアクセスします。サーバ証明書を見ると、FortiGate が発行した証明書で接続していて、SSL インスペクションが働いていることがわかります。
www.box.com
This connection to the server is encrypted.
ログ＆レポート ›› アプリケーションコントロール を見ると、Box のアプリケーションとして識別され、アクションは pass（通過）になっています。
| 日付/時刻 | 送信元 | 宛先 | アプリケーション名 | アクション |
|---|---|---|---|---|
| 2020/10/03 22:06:35 | 10.0.1.10 | （伏せています） | 1Box | pass |
| 2020/10/03 22:06:34 | 10.0.1.10 | （伏せています） | Box | pass |
| 2020/10/03 22:06:34 | 10.0.1.10 | （伏せています） | Box | pass |
Storage.Backup カテゴリをブロックする
次に、Storage.Backup カテゴリのアプリケーションをブロックします。default プロファイルで、Storage.Backup のアイコンをクリックしてプルダウンから ブロック を選び、OK をクリックします。
プルダウンで選べるアクションは、次のとおりです。
| アクション | 動作 |
|---|---|
| モニタ | 通信を許可し、ログに記録します。 |
| 許可 | 通信を許可します。 |
| ブロック | 通信を止めます。 |
| 隔離 | 通信を止め、送信元の IP アドレスを一定時間隔離します。 |
Box にアクセスできないことを確認する
もう一度、端末から Box にアクセスすると、ページが表示されなくなります。
ログ＆レポート ›› アプリケーションコントロール を見ると、Box のアプリケーションのアクションが block になっていることを確認できます。
| 日付/時刻 | 送信元 | 宛先 | アプリケーション名 | アクション |
|---|---|---|---|---|
| 2020/10/03 22:20:07 | 10.0.1.10 | （伏せています） | Box | 1block |
| 2020/10/03 22:20:07 | 10.0.1.10 | （伏せています） | Box | block |
| 2020/10/03 22:19:46 | 10.0.1.10 | （伏せています） | Box | block |
| ⋮（以下略） | ||||
まとめ
| 設定・確認 | 内容 |
|---|---|
| プロファイル | セキュリティプロファイル ›› アプリケーションコントロール の default（カテゴリはモニタ） |
| シグネチャの確認 | カテゴリのアイコンから シグネチャを表示／クラウドシグネチャを表示 |
| ポリシー | アプリケーションコントロールを有効にし、SSL インスペクションを deep-inspection（クラウドアプリケーションの識別に必要） |
| ブロック | Storage.Backup をブロックにすると Box に接続できず、ログのアクションは block |
コメント