【Paloalto】SSL復号化除外の設定と動作確認　PANOS 10.0.8

2020.11.04

SSL 復号化（SSL Forward Proxy）は、SSL の暗号化を解いてデータの中身を検査できるため、脅威防御を目的としたセキュリティ制御に大きな効果があります。ただし、問題もあります。

1つ目は、パフォーマンスです。SSL 復号化（SSL Forward Proxy）は負荷の高い処理なので、すべての通信を復号すると、パフォーマンスに影響が出る可能性があります。

2つ目は、機密情報の保護です。たとえば、クレジットカードの番号などは SSL の暗号化で通信経路上の漏洩を防いでいるのに、経路上で一度復号されていることに利用者は気付けません。場合によっては、事前の告知も検討が必要です。また、個人の趣味・嗜好や健康に関するプライバシー情報も復号されてしまいます。

そこで、一部のサイトは SSL 復号化の対象外にできます。この記事では、ホスト名で指定する「SSL 復号化例外」と、URL カテゴリで指定する「復号ポリシー」の2つの方法で、復号の対象外にするサイトを登録し、動作を確かめます。

この記事でわかること
  1. あらかじめ登録されている SSL 復号化例外と、その動き
  2. ホスト名を SSL 復号化例外に追加して、復号の対象外にする
  3. 復号ポリシーで、URL カテゴリ単位に復号の対象外にする

次の記事の構成をもとに設定しますので、先にお読みいただくことをおすすめします。

>> 参考記事 : SSL復号化（SSL Forward Proxy）の設定と動作確認

クライアントPaloaltoHTTPS復号するサイト証明書は Paloalto が発行復号しないサイト証明書はサーバーのもの除外復号除外の方法1SSL 復号化例外（ホスト名）2復号ポリシー（URL カテゴリ）
図1　SSL 復号化を除外する2つの方法
検証環境

PAN-OS 10.0.8 で検証しています（初版は 9.0.9 で検証。9.0 と設定項目の差はほとんどありません）。端末のブラウザは Microsoft Edge です。PAN-OS 10.0 は 2022年7月16日でサポートが終了（End-of-Life）しています。画面の項目の並びや表記は、バージョンによって変わります。

SSL 復号化例外の設定

あらかじめ登録されている例外を見る

Paloalto には、SSL 復号化の対象外にするサイトが、あらかじめ登録されています。DEVICE ›› 証明書の管理 ›› SSL 復号化例外 を開くと、SSL 復号化の対象外のサイトが一覧で表示されます。

画面イメージについて

この記事の画面は、実際の画面ではなく、検証時の画面から設定する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。

Paloalto 設定画面（Web UI）画面イメージ
DEVICE ›› 証明書の管理 ›› SSL 復号化例外
検索：*.icloud.com　（1/265）
ホスト名場所内容復号化からの除外
1*.icloud.com事前定義済み2icloud: pinned-cert☑
追加削除コピー有効化無効化☐ 廃止された機能を表示
図2　SSL 復号化例外の一覧を *.icloud.com で検索した結果。一覧には 264 個の項目が登録されています（実際の画面ではなく、表示のポイントを示したイメージです）
No.表示意味
1ホスト名復号の対象外にするサイトです。場所が「事前定義済み」のものは、Palo Alto Networks が登録したものです。
2内容復号できない理由です。pinned-cert は、アプリケーションが特定の証明書だけを信頼する（証明書のピン留め）ため、Paloalto が発行した証明書では通信できないことを示します。

復号されるサイト・されないサイトを比べる

たとえば、端末から Google にアクセスすると、SSL 復号化されていることがわかります。証明書の発行者が、Paloalto で作った証明書（hirotanoblog.com）になっています。

一方、SSL 復号化の対象外として登録されている icloud.com にアクセスすると、SSL 復号化されていないことがわかります。証明書の発行者は、本来の認証局（Apple Public EV Server RSA CA 2 – G1）のままです。

クライアントのブラウザ（証明書の表示）画面イメージ
https://www.google.com/?gws_rd=ssl
発行先：www.google.com
1発行者：hirotanoblog.com
有効期間：2021/12/27 から 2022/03/21SSL 復号化されている
https://www.icloud.com
発行先：www.icloud.com
2発行者：Apple Public EV Server RSA CA 2 – G1
有効期間：2021/06/16 から 2022/07/16SSL 復号化されていない
図3　Google と iCloud の証明書（実際の画面ではなく、表示結果のイメージです）

MONITOR ›› ログ ›› トラフィック のトラフィックログでも、iCloud へのアクセスは復号化されておらず（no）、Google は SSL 復号化されている（yes）ことがわかります。

Paloalto 設定画面（Web UI）画面イメージ
MONITOR ›› ログ ›› トラフィック
復号化送信元宛先宛先ポートアプリケーションアクションルール
1no10.0.2.1123.79.174.175443icloud-baseallowLAN-to-Internet
no10.0.2.1117.248.166.83443icloud-baseallowLAN-to-Internet
⋮
2yes10.0.2.11172.217.175.227443google-baseallowLAN-to-Internet
yes10.0.2.11172.217.25.98443google-baseallowLAN-to-Internet
⋮
図4　トラフィックログ。送信元・宛先ゾーン（LAN／Internet）の列と、同じ内容の行の一部を省いています（実際の画面ではなく、表示のポイントを示したイメージです）

Google を SSL 復号化例外に追加する

では、Google へのアクセスを SSL 復号化の対象外にしてみます。DEVICE ›› 証明書の管理 ›› SSL 復号化例外 で「追加」をクリックし、次の画面で設定します。

Paloalto 設定画面（Web UI）画面イメージ
DEVICE ›› 証明書の管理 ›› SSL 復号化例外 ›› 追加
1ホスト名*.google.com
2内容Google
3除外☑ 除外
注: 復号化からエントリを除外するにはチェックします
4OKキャンセル
図5　SSL 復号化例外の追加（実際の画面ではなく、設定項目のポイントを示したイメージです）
No.項目設定内容
1ホスト名復号の対象外にするサイトです。今回は *.google.com にしました。
2内容任意のコメントです。今回は Google と入力しました。
3除外チェックを入れます。
4OKOK をクリックすると、一覧の最後に *.google.com（内容 Google、復号化からの除外 ☑）が登録されます。

動作を確かめる

コミットしたあと、端末から Google にアクセスすると、SSL 復号化されていないことがわかります。証明書の発行者が、本来の認証局（GTS CA 1C3）になっています。

クライアントのブラウザ（証明書の表示）画面イメージ
https://www.google.com/
発行先：*.google.com
1発行者：GTS CA 1C3
有効期間：2021/12/27 から 2022/03/21SSL 復号化されていない
図6　除外を追加したあとの Google の証明書（実際の画面ではなく、表示結果のイメージです）

MONITOR ›› ログ ›› トラフィック のトラフィックログでも、Google へのアクセスが復号化されていない（no）ことがわかります。

Paloalto 設定画面（Web UI）画面イメージ
MONITOR ›› ログ ›› トラフィック
復号化送信元宛先宛先ポートアプリケーションアクションルール
1no10.0.2.11216.58.220.98443google-baseallowLAN-to-Internet
no10.0.2.11142.250.196.110443google-baseallowLAN-to-Internet
no10.0.2.11142.250.196.132443google-baseallowLAN-to-Internet
no10.0.2.11216.58.220.98443google-baseallowLAN-to-Internet
no10.0.2.11216.58.220.98443google-baseallowLAN-to-Internet
no10.0.2.11216.58.197.234443google-baseallowLAN-to-Internet
図7　除外を追加したあとのトラフィックログ。送信元・宛先ゾーン（LAN／Internet）の列は省いています（実際の画面ではなく、表示のポイントを示したイメージです）
SSL 復号化例外の使いどころ

Palo Alto Networks のドキュメントでは、SSL 復号化例外の一覧は、証明書のピン留めやクライアント認証など、技術的な理由で復号できないサイトのためのもの、とされています。事前定義済みの例外は、アプリケーションおよび脅威のコンテンツ更新で追加・更新されます。法律・業務・プライバシーなどの理由で復号しないサイトは、次の「復号ポリシー」で除外することが推奨されています。

URL カテゴリで除外する（復号ポリシー）

復号ポリシーを使うと、URL カテゴリ単位で SSL 復号化を除外できます。今回は、Yahoo! JAPAN へのアクセスを SSL 復号化から除外してみます。

まず、設定する前に Yahoo! JAPAN にアクセスし、SSL 復号化されていることを確かめます。証明書の発行者が、Paloalto で作った証明書（hirotanoblog.com）になっています。

クライアントのブラウザ（証明書の表示）画面イメージ
https://www.yahoo.co.jp
発行先：edge01.yahoo.co.jp
1発行者：hirotanoblog.com
有効期間：2021/12/09 から 2023/01/08SSL 復号化されている
図8　設定前の Yahoo! JAPAN の証明書（実際の画面ではなく、表示結果のイメージです）

Yahoo! JAPAN が URL カテゴリのどれに分類されるかは、次のサイトで検索できます。検証時、Yahoo! JAPAN は Internet Portals（internet-portals）に分類されていました。

>> Palo Alto Networks URL filtering – Test A Site

復号ポリシーを追加する

POLICIES ›› 復号 で「追加」をクリックし、5つのタブ（全般、送信元、宛先、サービス/URL カテゴリ、オプション）を設定します。

Paloalto 設定画面（Web UI）画面イメージ
POLICIES ›› 復号 ›› 追加 ›› 復号ポリシー ルール
全般タブ
1名前NO_SSL_Decryption_Policy
送信元タブ
2送信元ゾーンLAN
送信元アドレス☑ いずれか
宛先タブ
3宛先ゾーンInternet
宛先アドレス☑ いずれか
サービス/URL カテゴリタブ
サービスany
4URL カテゴリ☐ いずれか
☑ internet-portals
オプションタブ
5アクション◉ 復号なし　○ 復号
6タイプSSL フォワード プロキシ
7復号プロファイルNone
ログ設定☐ 成功した SSL ハンドシェイクをログに記録
☑ 失敗した SSL ハンドシェイクをログに記録
8OKキャンセル
図9　復号ポリシー ルールの5つのタブ（実際の画面ではなく、設定項目のポイントを示したイメージです）
No.項目設定内容
1名前任意の名前です。今回は NO_SSL_Decryption_Policy にしました。
2送信元送信元ゾーンに LAN を選びます。送信元アドレスは制限しないので、「いずれか」にチェックを入れます。
3宛先宛先ゾーンに Internet を選びます。宛先アドレスは制限しないので、「いずれか」にチェックを入れます。
4URL カテゴリサービスは any のままにします。URL カテゴリは「追加」をクリックし、internet-portals を選びます。
5アクション「復号なし」にチェックを入れます。
6タイプSSL フォワード プロキシを選びます。
7復号プロファイルNone のままにしました。
8OKOK をクリックすると、復号ポリシーの一覧に NO_SSL_Decryption_Policy が追加されます。

ポリシーを一番上に移動する

復号ポリシーは上から順に照合され、最初に一致したルールが使われます。SSL 復号化を除外するポリシーは、復号するポリシーより先に一致させる必要があるので、一番上に移動します。追加したポリシーを選び、移動 ›› 最上部へ をクリックします。

Paloalto 設定画面（Web UI）画面イメージ
POLICIES ›› 復号（移動のあと）
名前タグ送信元ゾーン送信元アドレスユーザーデバイス
11NO_SSL_Decryption_PolicynoneLANanyanyany
2SSL_Decryption_PolicynoneLANanyanyany
図10　最上部へ移動したあとの復号ポリシー（実際の画面ではなく、表示のポイントを示したイメージです）

NO_SSL_Decryption_Policy が1番目になったことを確かめて、コミットします。

動作を確かめる

端末から Yahoo! JAPAN にアクセスすると、SSL 復号化されていないことがわかります。証明書の発行者が、本来の認証局（Cybertrust Japan SureServer CA G4）になっています。

クライアントのブラウザ（証明書の表示）画面イメージ
https://www.yahoo.co.jp
発行先：edge01.yahoo.co.jp
1発行者：Cybertrust Japan SureServer CA G4
有効期間：2021/12/09 から 2023/01/08SSL 復号化されていない
図11　設定後の Yahoo! JAPAN の証明書（実際の画面ではなく、表示結果のイメージです）

機密情報の観点から、financial-services（金融サービス）や health-and-medicine（健康と医療）のカテゴリは、SSL 復号化の対象外にすることが多いです。SSL 復号化の除外を設定し、こまめに運用することで、機器の負荷を抑えながら、UTM と組み合わせてセキュリティを高められます。

現在の状況

現在のドキュメントでは、復号しないルールにも「復号なし」用の復号プロファイルを付けることが推奨されています（任意）。復号しない通信でも、期限切れの証明書や信頼できない発行者の証明書を使ったセッションをブロックできます。ただし、TLS 1.3 の通信では証明書の情報が暗号化されているため、このプロファイルは付けないように、とされています。

まとめ

方法場所指定のしかた今回の設定
SSL 復号化例外DEVICE ›› 証明書の管理 ›› SSL 復号化例外ホスト名*.google.com を追加（除外 ☑）
復号ポリシーPOLICIES ›› 復号URL カテゴリなどinternet-portals を「復号なし」にして最上部へ移動
確認MONITOR ›› ログ ›› トラフィック復号化の列除外したサイトは no

更新履歴

  • 2020/11/4　初版（バージョン 9.0.9 を使用）
  • 2022/1/23　バージョン 10.0.8 用に更新
    • 画面の更新（9.0.9 → 10.0.8）※ 9.0 と設定項目の差はほとんどありません
    • 端末のブラウザを IE から Edge へ変更

参考

関連記事：SSL 復号化（SSL Forward Proxy）／UTM（URL フィルタリング）／脅威防御（アンチウイルス）／GlobalProtect と UTM

コメント