WSM

WatchGuard System Manager

基本設定ガイド

ウォッチガード・テクノロジー・ジャパン株式会社
2019 年 5 月 Rev-5

目次
はじめに ....................................................................................................................................5
第一章

Firebox のセキュリティ概念 ～ Firebox マニアになろう！ ..................................................6

Firebox のネットワーク概念 .......................................................................................................6
ネットワーク設定に見る Firebox の概念....................................................................................7
ポリシーマネージャに見る XMT の概念 ....................................................................................8
Firebox で実現可能なセキュリティ範囲 ........................................................................................9
WatchGuard System Manager の概要...................................................................................... 10
WatchGuard System Manager ............................................................................................. 11
ポリシーマネージャ(Policy Manager) ..................................................................................... 12
Firebox System Manager .................................................................................................... 13
第二章 初期設定 ～ Firebox を一から設定しよう！ ...................................................................... 14
事前準備 .............................................................................................................................. 14
ファクトリーリセット.................................................................................................................. 17
結線 ................................................................................................................................. 17
Firebox T シリーズ .............................................................................................................. 18
Firebox M470/570 のリセット................................................................................................ 19
Firebox M440 のリセット ...................................................................................................... 20
ファクトリーリセット後の設定 ................................................................................................. 21
Quick Setup Wizard ............................................................................................................... 22
第三章 ネットワークの設定 ～ まずはルーターとして構成しよう！ ................................................... 26
設定の保存 ........................................................................................................................... 29
DNS/WINS 設定 .................................................................................................................... 31
DNS の設定 ....................................................................................................................... 31
WINS の設定 ..................................................................................................................... 31
外部ネットワークの設定 .......................................................................................................... 32
インターフェイス名............................................................................................................... 33
固定 IP の設定 ................................................................................................................... 33
DHCP の設定 ..................................................................................................................... 34
2

PPPoE の設定 .................................................................................................................... 35
複数の固定 IP がある場合 ................................................................................................... 36
内部ネットワークの設定 .......................................................................................................... 37
Trusted インターフェイスの設定 ............................................................................................ 38
DHCP サーバーの使用 ........................................................................................................ 38
ブリッジの構成 ................................................................................................................... 41
DMZ を設定する ................................................................................................................. 44
NAT 設定 (1-1NAT) ........................................................................................................... 44
ルーティング設定 ................................................................................................................ 46
第四章 ファイアウォールの設定 ～ パケットを自在に操ろう！ ......................................................... 48
ポリシーマネージャついて........................................................................................................ 48
ポリシーマネージャの画面構成 ............................................................................................. 48
ポリシーの変更/追加/保存 ................................................................................................... 49
ポリシーの保存 .................................................................................................................. 49
ポリシーの追加...................................................................................................................... 50
ポリシー追加 (内側から外側へ) ........................................................................................... 50
ポリシー追加 (外側から内側へ) ........................................................................................... 52
ポリシー追加 (SNAT で外側から内側へ)................................................................................ 57
テンプレートにないポリシーを追加する ................................................................................... 60
ポリシーの編集...................................................................................................................... 63
一時的に無効にする ........................................................................................................... 63
ログを記録する................................................................................................................... 64
運用スケジュールを設定する ................................................................................................ 65
ポリシー以外のファイアウォール設定 ........................................................................................ 66
Default Threat Protection ................................................................................................... 66
Blocked Sites ..................................................................................................................... 67
Blocked Ports .................................................................................................................... 67
第五章 UTM の設定 ～ あらゆる脅威に対応しよう........................................................................ 68
プロキシポリシーの追加 .......................................................................................................... 69

3

Web Blocker の設定 .............................................................................................................. 72
Web Blocker を有効にする................................................................................................... 72
Web Blocker を構成する...................................................................................................... 75
Gateway Anti-Virus の設定 ..................................................................................................... 80
Gateway Anti-Virus を有効にする ......................................................................................... 80
Gateway Anti-Virus を構成する ............................................................................................ 82
spamBlocker の設定 .............................................................................................................. 89
POP-Proxy を追加する......................................................................................................... 89
spamBlocker を有効にする .................................................................................................. 90
spamBlocker を構成する ..................................................................................................... 92
Intrusion Prevention Service .................................................................................................. 94
構成例 .............................................................................................................................. 94
IPS の設定 ........................................................................................................................ 95
ポリシー設定...................................................................................................................... 98
IPS の調整 ........................................................................................................................ 99
例外の設定 ..................................................................................................................... 104
Reputation Enabled Defense ................................................................................................ 106
RED 構成時の注意点 ........................................................................................................ 106
ポリシーの追加 ................................................................................................................ 107
RED の構成 ..................................................................................................................... 108
おわりに ................................................................................................................................ 111

4

はじめに
この度はウォッチガード製品を選定していただきありがとうございます。
本書は、WatchGuard Firebox を設定するための強力なツールである WSM (WatchGuard System
Manager) による設定方法を解説するものです。
具体的なケースに基づき、手順を追いながら解説していますので、本書に沿って一通り設定してみるなら、Firebox の日常的な管理は難なくできるようになるでしょう。
なお、本書で使用されている設定画面は、2019 年 5 月時点での最新バージョン Fireware OS v12.4 のものです。
このガイドが、Firebox を自在に使いこなす一助になれば幸いです。

5

第一章 Firebox のセキュリティ概念 ～ Firebox マニアになろう！
この章では、WatchGuard 伝統のネットワーク概念と設定ツールの特徴を説明します。これらを知っておくな
ら、設定の習得は容易になり、製品に対する理解も深まるでしょう。
このガイドをお読みの方には、Firebox の設定について理解を深めていただき、ぜひマニアの域にまで足を踏み入れていただきたいと思います。

Firebox のネットワーク概念
Firebox はネットワークの設定をする上で、基本的に以下の 3 つのゾーンが定義されています。
エイリアス

日本語標記

意味

External

外部

WAN、インターネット側

Trusted信頼済み

内部ネットワーク、LAN 側

Optional

任意

DMZ などこの「三角関係」、すなわち 3 種類のネットワークのゾーンを意識するなら、Firebox の設定は非常に容易です。

【豆知識】 「三角形」は WatchGuard の象徴だった
初期の製品 WatchGuard Firebox II には、このネットワークの概念がフロントパネルに具象化されていました。古くからの WatchGuard
ファンには馴染み深いものです。

6ネットワーク設定に見る Firebox の概念
Firebox は、物理ポートごとに External/Trusted/Optional を設定します。
またそれらは固定ではなく自由に設定できます。

以下のネットワーク構成画面では、0 が Optional、1-3 が Trusted、4,5 を External として設定しています。

初期設定の External は 0 番ポートですが、それにとらわれる必要はまったくない、ということです。

7

ポリシーマネージャに見る XMT の概念
以下はポリシーマネージャのポリシー編集実際の画面です。（後ほど詳しく解説します）
前述のネットワークの方向に従って設定されることが分かるでしょう。

→ 何のプロトコルを？

→ 許可？拒否？
→ どこから？

方向！
→ どこへ？

8

Firebox で実現可能なセキュリティ範囲
Firebox は通常のファイアウォールで実現可能な L3 までのセキュリティに加え、L7 までの高レイヤーまでのセキュリティを提供する UTM アプライアンスです。

レイヤー7 までカバーするのが UTM です。
アプリケーション層

7

プレゼンテーション層

6

セッション層5

トランスポート層

4

ネットワーク層

3

データリンク層

2

物理層

1

UTM
パケットフィルタ

： ポートベース

ファイアウォール

： ステートフルパケットインスペクション

UTM： コンテンツフィルタリング、IPS、アンチウイルスなどのプロキシ機能

9WatchGuard System Manager の概要
WatchGuard System Manager (WSM<ダブリュエスエム>と呼んでください) は、Firebox でネットワーク管
理とセキュリティ設定を、容易に且つ効率的に行なうためのソフトウェアです。
WSM の基本コンポーネントは、Firebox を管理するためのクライアントソフトウェアと、Firebox と連携して動作するサーバーソフトウェアに分かれています。
クライアントソフトウェアは、WatchGuard System Manager ウィンドウであり、そこから Firebox デバイスに接続したり、Policy Manager などの設定ツールや FSM（Firebox System Manager）などのモニタリングツー
ルを起動できます。
WSM でデバイスに接続

Policy Manager を起動

サーバーソフトウェアは Firebox を複数台まとめて管理できる Management Server、可視化ツールの Log
Server および Report Server、メールの隔離ができる Quarantine Server などを含んでいます。

10

WatchGuard System Manager
WatchGuard System Manager (以下 WSM) は、Firebox および WatchGuard Management Server に接続し、管理するためのアプリケーションです。
WSM は後方互換性をサポートしており、異なるバージョンのファームウェアの Firebox も一括管理できます。

111.222.111.222

管理用のインターフェイスとしては Web UI も用意されています。通常の設定管理業務では、この Web UI
で問題なく行なえます。しかし Firebox マニアの方には是非この WSM を使っていただきたいと思います。
Web UI には設定する上での制約がいくらかあるのに対して WSM ではすべての設定が可能です。加えてWSM には設定やモニタリングする上で役立つ、数々の有用なツールと連携できるからです。
以下にそのツールのいくつかをご紹介します。

11

ポリシーマネージャ(Policy Manager)
Policy Manager は、ファイアウォールおよび UTM の構成に使用するインターフェイスです。実際、設定時の大半はこのツールを使うことになります。
Policy Manager には、デフォルトで様々なプロトコルのパケットフィルタおよびプロキシのテンプレートが含まれています。また、カスタムでポート、プロトコル、およびその他のパラメータを指定して任意のフィルタを作成することもできます。起動方法は、
1.

WSM で Firebox へ接続します

2.

メニューのツール ― Policy Manager をクリックします

詳細表示で表示された上から順番にポリシーが評価されます。
ポリシーマネージャ上で設定した内容は Firebox へ保存するまで反映されません。そのため、実機がない環境でも事前に PC でコンフィグを作成しファイルとして保存しておくことが可能です。
またコンフィグファイルを後から Firebox に流し込むことも可能です。

12

Firebox System Manager
Firebox System Manager は、Firebox をリアルタイムでモニタリングするためのインターフェイスです。このツールから、Firebox の構成と状態をリアルタイムで確認することができます。

たとえばトラフィックモニタータブをクリックすると、リアルタイムで Firebox を通過するパケットのログを見ることができます。

13

第二章 初期設定 ～ Firebox を一から設定しよう！
事前準備
事前準備としてセットアップに必要なソフトウェアをインストールします。製品アクティベート後、WatchGuard
Support (US) サイト内の『ソフトウェアダウンロード』より必要なソフトウェアを取得します。
WatchGuard サポート(US)： https://watchguard.force.com/customers/CustomerCommunityHome

WatchGuard サポートセンター(US)のログイン後、MY WATCHGUARD からドロップダウンリストでDownload Software のページにアクセスできます。
サポートサイト（ログイン後）

ここからソフトウェアダウンロードのページにアクセスできます

必要なソフトウェアは、以下の 2 つです。


WatchGuard System Manager

FirewareFireware はモデルに対応したものをダウンロードしてください。また WSM は Fireware と同じか上位のバージョンをお使いください。

14

Software Download のページで、WSM とモデルに対応した Fireware をダウンロードします。

モデルごとのFireware

最新の WSM

ソフトウェアがダウンロードできたら、まず WatchGuard System Manager のインストールを行います。
初期セットアップではデフォルトでインストールします。途中、インストールするソフトウェアを選択する画面が表示されますが、追加せずそのまま進めます。
次に Fireware をインストールします。こちらのインストールウィザードもすべてデフォルトで進めてください。
以上でソフトウェア側の準備は完了です。

15

合わせてライセンスキー(Feature Key) も取得しておきます。上記 URL の『Manage Products』から、該当機器の Feature Key を取得し、テキストファイルなどで保存しておきます。

サポートサイト（ログイン後）

ここからフィーチャーキーが取得できます16

ファクトリーリセット
購入した状態からの設定手順を記述するのが普通のマニュアルですが、Firebox マニアの皆さんにはこのファクトリーリセットのステップからマスターしていただきたいと思います。
これは Firebox を、工場出荷時の既定の設定に戻す手段です。リセットして起動すると Firebox は「セーフモード」というモードで動作します。
リセット後にはセットアップ ウィザードを実行できますので、設定する本体と PC を LAN ケーブルで結線しておきましょう。

結線
どのモデルも 1 番ポートがデフォルトで設定可能な Trusted ポートとなりますので、PC と Firebox の 1 番
ポートを LAN ケーブルで接続しておきます。

Firebox M シリーズ

1 番ポート： Trusted
Firebox T シリーズ

1 番ポート： Trusted
次にシリーズごとのリセット方法を解説します。

17

Firebox T シリーズ
1.

電源を投入します。

Firebox T シリーズは電源スイッチがあるので、AC アダプタを挿し、Reset ボタンを押しながら電源スイッチを入れます。Reset ボタンは押したままにします。

AC アダプタを挿し、リセットボ
タンを押しながら電源スイッチ
を入れます

2.

Attn インジケーターが点滅し始めたらリセットボタンを離します。

Attn インジケーター

点滅は 30 秒から 60 秒続きます(機種によっては点滅しないものもあります)。

3.

Attn インジケーターが点滅しない場合は、点灯するまでリセットボタンを押し続けます。点灯したらリセッ
トボタンを離します

4.

点灯した状態がリセットされたことを表わします。

18

Firebox M470/570 のリセット
1.

本体背面の電源スイッチを入れ、電源を投入します2.

デバイス前面の電源ボタンを 3 秒間長押しして、一旦電源を切ります3.

デバイス前面のリセットボタンを押した状態で、電源ボタンを短く押して電源を入れます

M470/570 の電源ボタンとリセットボタンの位置

リセットボタン

Arm インジケーター

電源ボタン
4.

Arm インジケーターが赤い間、リセットボタンを押し続けます5.

Arm インジケーターがゆっくり緑色に点滅している間も押し続けます6.

緑色の点滅が早くなったら手を離し、点滅が赤になるまで待ちますArm インジケーターが赤の点滅になったらリセットされたことを意味します。

19

Firebox M440 のリセット
1.

本体背面の電源スイッチを入れ、電源を投入します2.

デバイス前面の電源ボタンを 3 秒間長押しして、一旦電源を切ります3.

デバイス前面のリセットボタンを押した状態で、電源ボタンを短く押して電源を入れますM440 の電源ボタンとリセットボタンの位置

電源ボタン

リセットボタン
4.

リセットボタンを押し続け、Attn インジケーターが点滅したら手を離します5.

Attn インジケーターが点滅から点灯に変わるまで待ちます

Attn インジケーターが点灯になったらリセットされたことを意味します

6.

電源ボタンを短く押して電源を入れます20ファクトリーリセット後の設定
以下のデフォルト設定になります。設定する PC は Trusted のネットワークにあわせます。
External(0 番ポート)の IP アドレス

DHCP

Trusted(1 番ポート)の IP アドレス

10.0.1.1

設定する PC 側の設定は、以下のように固定 IP アドレスを設定しておいてください。
IP アドレス

10.0.1.2

サブネットマスク255.255.255.0

デフォルトゲートウェイ

10.0.1.1

Firebox の 1 番ポートと PC を接続しておいてください。
リセット後、PC 側から 10.0.1.1 に ping コマンドを実行して、疎通を確認して下さい。

1 番ポート 10.0.1.1

10.0.1.2【豆知識】 どんなときに初期化が必要？


構成パスフレーズを忘れてしまった

検証フェーズ終了後、本番設置前にきれいに一から設定したい

ある拠点から Firebox を引き上げてきて、別の拠点で使うために一から設定したいFireware をアップグレードしたが、元のバージョンに戻したい

初期化をすればいつでも新品を箱から出したのと同じ状態からセットアップできます。

21

Quick Setup Wizard
機器を Safe Mode で起動したら、Quick Setup Wizard で初期設定を行ないます。
スタートメニューから WatchGuard System Manager を起動し、ツール ― Quick Setup Wizard をクリックします。

ようこそ、の画面は[次へ]。

22「はい、デバイスは認識される準備ができています」を選び[次へ]。

※他のオプションは機種の選択やセーフモード起動の方法を指示してくれるウィザードになります

インターフェイスが複数あるとリストが表示されます。
Firebox と接続しているインターフェイスを選んで[次へ]。

デバイスが発見されたら次へ。

23

デバイス名を任意で入力します。

デバイスの外部インターフェイス、内部インターフェイス、DNS、Management Server、リモート管理 の画面
ではデフォルトのまま次へ進みます。

デバイスのアクティベートの画面では、あらかじめ取得しておいた Feature Key をテキストボックスにコピー&
ペーストするか、[参照]をクリックし、保存しておいた Feature Key を指定して読み込みます。

24

次にパスワードを設定します。8 文字以上が要求されます。ステータスパスフレーズと構成パスフレーズに同一のものは設定できません。
ステータスパスフレーズはユーザー権限で、設定の閲覧や通信のモニタリングに使用します。構成パスフ
レーズは管理者用で、主に設定の保存時に使用します。

「デバイスの構成を確認します」画面で設定のサマリーが表示されたら、そのまま[次へ]。
「ウィザードがデバイスを構成しています」の画面の後に「正常に完了しました」の画面になれば初期設定の完了です。

このあと自動的に再起動がかかり、通常モードで起動します。

25

第三章 ネットワークの設定 ～ まずはルーターとして構成しよう！
それでは前章で初期設定を施した Firebox に、WSM で接続してみましょう。
ツールバーの[接続]ボタンをクリックすると接続のダイアログが表示されます。IP Address は Trusted ポートのアドレス、Passphrase はステータスパスフレーズを入力し、[Login]をクリックします。

以下のように接続した Firebox が表示されます。

26

ネットワーク インターフェイスの構成はすべてポリシーマネージャから行ないます。機器を選択した状態でツールバーの[Policy Manager]ボタンをクリックします。

② Policy Manager
ボタンをクリック① デバイスを選択した状態でポリシーマネージャが起動します。

27インターフェイスを設定するには、ネットワーク ― 構成 をクリックします。

ネットワークの構成画面が開きます。

28

設定の保存先に設定の保存方法を説明しておきます。
ポリシーマネージャの[Firebox に保存する]ボタンをクリックします。

構成パスフレーズを入力して[OK]をクリックします。

コンフィグをファイルに保存するためのダイアログも開きます。

29

設定のバックアップのため、ファイルも保存しておくことをおすすめします。
保存をクリックすると、設定が本体に反映されます。

最後にダイアログが出て完了です。

以降は設定したらその都度、この方法で保存してください。 1

1

保存された構成ファイルは[ファイル] [開く] [構成ファイル]から読み込ませることができます。
30

DNS/WINS 設定
ネットワーク設定の手始めに DNS の設定をしてみましょう。
しかし何故、ネットワーク機器である Firebox 自身に DNS を設定する必要があるのでしょうか？以下のような理由があります。
ゲートウェイアンチウィルスや IPS のシグネチャ更新時の名前解決

Wi-Fi Cloud や TDR の Threat Sync のクラウドにアクセスする際の名前解決

スパムブロッカーサーバーへの問い合わせの際の名前解決

NTP サーバーを FQDN で設定した際の名前解決

Branch Office VPN(拠点間 VPN)でドメイン名を使用した場合の名前解決

DNS の設定
ポリシーマネージャの ネットワーク ― 構成 をクリックし、ネットワーク構成の WINS/DNS タブを選択します。囲みのテキストエリアに DNS サーバーの IP アドレスを入力して、追加ボタンをクリックで追加できます。

WINS の設定

31

社内に WINS サーバーがあれば、下にある WINS サーバーの欄に IP アドレスを入力します。

外部ネットワークの設定
次にインターフェイスの設定です。まずは外部インターフェイスから設定しましょう。
該当のインターフェイスを選択して、右の[構成]をクリックします。

インターフェイスの詳細を設定できる画面が開きます。

32

インターフェイス名
すべてのインターフェイス名(エイリアス)は任意で命名できます。外部インターフェイスだからといって必ずExternal でなければならない、というわけではありません。
たとえばマルチ WAN で 2 ポートの External がある場合、それぞれに External-1、External-2 というエイリ
アスをつけることができます。

固定 IP の設定

33

静的 IP の使用にチェックを入れ、IP アドレスにスラッシュ区切りでサブネットマスクのビット数、デフォルト
ゲートウェイを入力します。

DHCP の設定「DHCP クライアントの使用」にチェックを入れるだけです。

ISP 又は DHCP サーバーがクライアントを識別するために、MAC アドレスやホスト名の情報が必要になる場
合があります。その際には、指示に従ってクライアント/ホスト欄に入力してください。

34

PPPoE の設定「PPPoE の使用」にチェックを入れます。ユーザー名とパスワードは、ISP から指定されたものを入力します。
IP アドレスが固定であれば「次の IP アドレスを使用」にチェックを入れて、指定の IP アドレスを入力します。

ISP の指定によってはより詳細な設定が必要になることがあります。
[詳細プロパティ]をクリックし、指定の項目を設定してください。

35

複数の固定 IP がある場合
固定 IP でも PPPoE でも、固定 IP アドレスが 2 つ以上ある場合は、インターフェイス設定画面の「セカンダリ」タブから追加します。

【豆知識】 PPPoE は日本法人のリクエストで実現！
今となっては当たり前の PPPoE の機能も、ブロードバンドの回線が広まった当初は搭載されていませんでした。
しかし市場でのニーズを鑑み、日本法人として機能をリクエストした
結果、早急に PPPoE が実装されることとなりました。
WatchGuard はワールドワイドでお客様のニーズを速やかに実現する体制を持っているのです。

36

内部ネットワークの設定
Firebox では内部ネットワークを Trusted(信頼済み)と Optional(任意)として設定します。
設定は外部インターフェイス同様、ポリシーマネージャのネットワーク ― 構成 の画面から行ないます。
インターフェイス一覧より、信頼済みインターフェイスを選択して、ダブルクリックもしくは[構成]ボタンをクリッ
クすることで、インターフェイスの設定画面を開きます。

37

Trusted インターフェイスの設定
設定画面は外部インターフェイスと同様です。インターフェイス名(エイリアス)は任意に設定できます。イン
ターフェイスの種類は「信頼済み」を選択し、このポートに割り当てる IP アドレスと、スラッシュ区切りでサブ
ネットマスクのビット数を入力し設定します。

DHCP サーバーの使用
内部ネットワーク下のクライアント PC に IP アドレスを配布したい場合、DHCP サーバーの使用にチェックを入れます。
アドレスプールの[追加]ボタンをクリックし、配布する IP アドレスの範囲を入力します。
例ではセグメント 4 オクテット目の 100 台をクライアントに割り当てる範囲として設定しています。

38

さらに、クライアントは IP アドレスだけでなく名前解決も必要なので、DNS サーバーの情報も配布します。
(次頁)

39

インターフェイスの設定画面をスクロールバーで下がると、下方に[DNS サーバーと WINS サーバーを構成する]ボタンがあります。これをクリックします。

クライアントに設定したい DNS サーバーの情報を入力します。

以上で DHCP サーバーが構成できました。

40

ブリッジの構成
内部ネットワークを、空いているポートの数だけサブネットを分割しても、管理上複雑になる、クライアントの数がそれほどない、同じサブネットでポートを複数使用し負荷を分散させたい・・・といった場合、複数ポート
をブリッジで束ねることができます。
ネットワーク構成の画面で「ブリッジ」タブから設定することができます。[追加]ボタンをクリックします。

エイリアスや IP アドレス、DHCP サーバーを、Trusted インターフェイスと同じように設定します。

一通り設定したら OK をクリックします。

41

以上でブリッジが定義されました。

それでは 2 番ポート以降のインターフェイスをブリッジに加えてゆきましょう。
インターフェイス 2 の設定を開き、任意のインターフェイス名をつけます。
インターフェイスの種類は「ブリッジ」にします。
ブリッジの一覧が表示されますので、メンバーになるブリッジにチェックを入れます。

この設定を保存すると 2 番ポートはブリッジのメンバーとなります。
42

以上の設定を施すと、Trusted は 1 番ポートの「Trusted-1」と、ブリッジに設定した「Trusted-Bridge」の、2種類が存在することになります。これではポリシーを設定する際に面倒だと思われるかもしれません。しかし、Firebox には Any-Trusted というビルトインのエイリアスが存在します。
これまでの設定でできた 2 つの Trusted ネットワークはこの Any-Trusted で表わされます。
同様に External や Optional が複数あっても、Any-External や Any-Optional を用いてポリシーを適用することができます。

43

DMZ を設定する
メールサーバーやウェブサーバーを Trusted とは別の内部ネットワークに設置する場合、Optional ネット
ワークを定義することができます。
インターフェイスの設定画面の「インターフェイスの種類」を「Optional」(ローカライズされた表記ですと「任意」)を選択します。こうすることによって、Trusted とは違う文字通り任意のネットワーク設定やポリシーを適用することができます。

エイリアスや IP アドレスの設定方法は Trusted の設定と同様です。

NAT 設定 (1-1 NAT)DMZ を設定したら、サーバーへの NAT 設定をしたいと思われるでしょう。その場合、よく用いられるのが 1-1
NAT(ワントゥワンナット)です。
ポリシーマネージャの ネットワーク ― NAT をクリックすると、NAT のセットアップ画面が開きます。
1-1NAT タブを選択し、追加ボタンをクリックしてください。

44

マッピングの追加画面で NAT を設定します。
マップの種類は「単一 IP」(NAT するサーバーが一台)を例にします。

サーバーのローカル IP アドレス
外部インターフェイスの IP アドレス

インターフェイス：Firebox の外部インターフェイスのエイリアスを選択します。
NAT ベース： 外部インターフェイスの IP アドレス
Real ベース： サーバーのローカル IP アドレス

1-1 NAT を設定したら、それに合致したポリシーでアドレス変換の対象となります。たとえば内部のWeb サーバーに外部からアクセスさせるような HTTP-Incoming ポリシーを作成し、それに合致したトラフィックに適用されます。ファイアウォールの章で「ポリシー追加 (外側から内側へ)」をご覧ください。

他にもポートフォワーディングも可能な SNAT (Static Nat)の設定もあります。こちらはポリシーの追加時に設定しますので、ファイアウォールの章で取り上げます。

45

ルーティング設定
Firebox の Trusted の背後に別なルーターを置いて、新たにネットワークを構成した場合、そのままではFirebox はそのネットワークの存在を知らないままです。
その場合、明示的にルートを設定する必要があります。
例：
インターネット

Trusted
別なルーターを設置して作った
192.168.111.0/24 のネットワーク
ルーターの Firebox 側 IP アドレスは 10.0.1.254 とします

ポリシーマネージャの ネットワーク ― ルート をクリックします。
ルートの設定画面が開くので、追加ボタンをクリックします。

ルートの追加画面で、ルーティング先のネットワークとそこに到達するためのゲートウェイとなる IP アドレスを入力します。

46

47

第四章 ファイアウォールの設定 ～ パケットを自在に操ろう！
基本的なネットワークが設定できたら、今度は Firebox をファイアウォールとして構成してゆきましょう。
ファイアウォールとしての観点から、ポリシーマネージャの画面をあらためて解説します。

ポリシーマネージャついて
ポリシーマネージャの画面構成
ファイアウォールおよびプロキシのルールは、すべてこのポリシーマネージャから設定します。
① ツールバー： よく使うメニューは、このツールバーにアイコンで配置されています。

② ポリシー一覧 ： 設定されたファイアウォールおよびプロキシポリシーはすべて表示されます①②

ポリシー一覧の主なカラムの意味を以下に説明しておきます。

順序

ポリシーの評価順序です。上から順に評価され、マッチしたルールが適用されます

アクション

ポリシーの有効/無効、ログ記録、スケジュールなどが表示されます

ポリシー名

ポリシー作成時、任意で命名できます。後から変更することも可能です

ポリシーの種類

プロトコルまたは通信の種類です

送信元/送信先

送信元/先がエイリアス、IP/ネットワークアドレス、SNAT、ユーザーなどで表示されます

ポートプロトコルとポート番号で表示されます。ポートの 0 はすべてのポート番号が対象です48ポリシーの変更/追加/保存
既存のポリシーを変更する際には、該当のポリシーを選択しダブルクリック、もしくはポリシーの変更ボタン
をクリックします。
ポリシーの追加はボタンをクリックします。

削除は該当のポリシーを選択してボタンをクリックします。

ポリシーの保存
設定したポリシーを本体に反映させたい場合は、Firebox に保存ボタン

をクリックします。2

ポリシーをファイルで保存したい場合は、ファイルとして保存するボタン

をクリックします。

Firebox に保存
ファイルに保存

2

保存の手順は、第三章の「設定の保存」の節をご覧ください49

ポリシーの追加
それでは実際にポリシーを追加してみましょう。
ポリシー追加 (内側から外側へ)
一例として、LAN 側から外にインターネットを見に行けるよう、HTTP 通信を許可するポリシーを作成してみます。ツールバーの[ポリシーの追加]ボタンをクリックします。
※ 実際は「Outgoing」ポリシーがあるため、HTTP の許可ポリシーがなくても Web の閲覧はできます

ポリシーの追加画面が開いたら、目的のプロトコルを選択し、下方の追加ボタンをクリックします。

すると、新規作成ポリシーのプロパティが開きます（次頁）。

50ポリシーの名前は分かりやすいものをつけることができます。
内側から外側への HTTP アクセスを許可するので、以下のデフォルト状態で OK をクリックします。

→ わかりやすい名前を付ける→ 許可？拒否？
→ どこから→ どこへ

ポリシーの追加画面を閉じ、ポリシーマネージャに戻ってみると、新しいポリシーが追加されています。

51

ポリシー追加 (外側から内側へ)
ネットワーク設定の章では DMZ を作るため、最後のポートを Optional にして設定しました。
そこに Web サーバーがある前提で、外側からのアクセスを許可する設定をしてみましょう。
Web サーバーは 10.100.10.110 とします。こちらは 1-1 NAT が設定されていることによって内部のサーバーにアドレス変換してアクセスが行なわれます。
前項と同じようにポリシーの追加画面で HTTP を選び、ポリシーを追加するボタンをクリックし、ポリシーの新規作成画面を開きます。

ポリシー名は分かりやすいものを付けるようおすすめします。すでに同じ HTTP で内→外のポリシーを追加したので、外→内は HTTP-Incoming など区別がつくように命名するとよいでしょう。
送信元は Any-External、送信先は Web サーバーなので、追加ボタンをクリックして、IP アドレスで指定します。

52

→ 同じプロトコルの他のポリシーと区別がつくように命名→ 外部から→今あるものを削除し追加ボタンをクリック →53

アドレスの追加画面では、その他の[追加]ボタンをクリックします。

メンバーの追加画面では種類の選択ではホスト IP、値は External の固定 IP アドレスを入力して[OK]。

OK で抜けてポリシーの新規作成画面に戻ると、以下のように送信先が設定されます。

54

ではこの状態でなぜ内部のサーバーに NAT されるのでしょうか。

詳細タブを選択すると、下方に NAT の項目があり、デフォルトで 1-1 NAT が有効になるようにチェックが付いています。つまりあらかじめ設定しておいた 1-1 NAT の設定に合致するポリシーが存在する場合のみ、内部サーバーへのアドレス変換が行なわれます55

OK で抜けて Policy Manager に戻るとウェブサーバーにアクセス許可するポリシーが作成されています。

次はポートフォワーディングも可能な SNAT (Static NAT) の設定方法について解説します。

56

ポリシー追加 (SNAT で外側から内側へ)
前述の設定は、1-1 NAT が前提の設定でしたが、ポリシー単体で NAT を設定することもできます。
それが SNAT(Static NAT)と呼ばれ、ポートフォワーディングも設定できます。

ポリシーの追加ボタンをクリックし、前項同様に名前や送信元を設定します。
[送信先の追加]ボタンをクリックし、[SNAT の追加]ボタンをクリックします。

SNAT の追加画面で SNAT 名を入力し、[追加]ボタンをクリックします。

57

外部 IP アドレスは IP アドレスかエイリアスを選択します。
内部 IP アドレスは Web サーバーの IP アドレスを入力します。

ポートフォワーディングをしたい場合は「内部ポートを別のポートに設定する」にチェックを入れ、変換後のポートを指定します。(例：80 番ポートで受けて 8080 にフォワーディングするなど)

OK をクリックし、SNAT を追加の画面に戻ると以下のように SNAT メンバーが追加されています。

58

OK で抜けてポリシー新規作成の画面に戻ると以下のように送信先が設定されます。

59

テンプレートにないポリシーを追加する
ポリシーの追加画面では、パケットフィルタの下の代表的なプロトコルテンプレートを元にポリシーを作成しました。しかし、内製の社内システムで使うポート番号での通信を制御する場合など、独自のポリシーを作成しなければならないことがあります。
その場合、カスタムでテンプレートを作成することができます。
ポリシーの追加画面で、「カスタム」 にフォーカスを当てて[カスタムを管理する]ボタンをクリックします。

[カスタムポリシーテンプレートを管理する]画面で[新規作成]ボタンをクリックします。

60

[カスタムポリシーテンプレートを管理する]の新規作成で名前を入力し、[追加]ボタンをクリックします。

61

プロトコルの追加で種類とプロトコル、サーバーポートを指定して[OK]をクリックします。

プロトコルに設定が入ります。

[OK]で抜けてポリシーの追加画面に戻ると、カスタムポリシーがテンプレートとして登録されています。

あとはこのテンプレートを使って、前述の手順でポリシーを追加することができます。
62

ポリシーの編集
ポリシーの新規作成手順で触れなかった詳細な設定について、いくつかご紹介します。
一時的に無効にする
特定のポリシーを一時的に効かせないようにするには、削除するのではなく、一時的に無効にすることができます。ポリシーのプロパティ画面の右上にある、有効のチェックを外します。

するとポリシー一覧でも無効になったことが分かります。

63

ログを記録するポリシーを設定しても、ログ記録を有効にしないとログは出力されません。たとえば ICMP を制御するポリシー「ping」がデフォルトで入っていますが、このままでは ping コマンドを実行してもログは残りません。
ログ記録を有効にするにはポリシーのプロパティの「プロパティ」タブにあるログ記録ボタンをクリックします。

ログ記録と通知画面で「ログメッセージの通信」にチェックを入れます。
64この設定により、トラフィックモニターやログサーバーでこのポリシーのログを見ることができるようになります。

運用スケジュールを設定する
指定の時間にのみポリシーが有効となるように、ポリシーの運用スケジュールを設定することができます。
ポリシーのプロパティの「詳細」タブを選択し、スケジュールの[新規作成/複製]ボタンをクリックします。

名前にはスケジュールの内容が分かるようなスケジュール名を入力します。
稼働時間は「ポリシーが有効な場合」を意味し、非稼働時間は「ポリシーが有効でない場合」を意味します。
青色/白色をクリックまたはドラッグで反転させて、ポリシーの有効/無効の時間帯を設定します。

作成したスケジュールは、複数のポリシーで利用できます。
65

ポリシー以外のファイアウォール設定
Default Threat Protection
ポリシーマネージャのセットアップ ― Default Threat Protection ― 規定のパケット処理 をクリックします。

Firebox はデフォルトで、DDoS、スプーフィング攻撃または SYN フラッド攻撃の一部である可能性のあるパケットなど、セキュリティ リスクとなる可能性のあるパケットを拒否設定になっています。

既定のパケット処理の画面からは、攻撃と判断する閾値が設定できます。

66

Blocked Sites
ポリシーマネージャのセットアップ ― Default Threat Protection ― ブロックされたサイト をクリックします。
この画面から特定のサイトを登録し、そのサイトへのアクセスをブロックすることができます。

Blocked Ports
ポリシーマネージャのセットアップ ― Default Threat Protection ― ブロックされたポートをクリックします。
この画面から特定のポートをブロックする設定ができます。なお、ここで設定されているポートでもポリシー上で許可すればポリシー側の設定が優先されます。

67

第五章 UTM の設定 ～ あらゆる脅威に対応しよう
コンテンツフィルタリングやアンチウイルスなど、アプリケーションレベルの脅威に対応する機能を UTM(Unified Threat Management)といいます。
この章では代表的な UTM の機能である、Web Blocker(コンテンツフィルタリング)、Gateway Anti-Virus、
spamBlocker の設定方法を解説します。

※ 現時点の Fireware v12.4 では、初期セットアップウィザードを実行すると基本的なセキュリティ設定
はすべて済んだ状態になっており、手動で設定する必要はほとんどありませんが、この章の情報はご自身でポリシーの追加や設定済みのポリシーを変更する際に役立ちます。

【豆知識】 一番お得でセキュアなライセンス
セキュリティ機能を有効にするためのライセンスは、現在 Basic Security Suite とTotal Security Suite の 2 種類が存在します。
Basic は AV や IPS などの従来型の脅威に対応するもの、Total はマルウェアやランサムウェアなど未知の脅威、DNS セキュリティ、エンドポイント、クラウドサービス
までカバーする全部入りとなっています。ぜひ Total Security Suite をご選択ください。※ 販売価格は販売店にお問い合わせください68プロキシポリシーの追加
UTM の設定といっても、ポリシー自体はファイアウォール(パケットフィルタ)と同じです。
ポリシーマネージャの追加ボタンをクリックし、ポリシーの追加画面を表示します。

これまでは「パケットフィルタ」ツリーにあるプロトコルを選択していましたが、UTM を設定する場合は「プロキシ」 ツリーにあるテンプレートを選択します。

たとえば、コンテンツフィルタリングを設定する場合は、HTTP 通信上の制御なので、HTTP-proxy を選択し、[ポリシーを追加する]ボタンをクリックします。

69

するとファイアウォール設定と同様のポリシーのプロパティ画面が開きます。
ファイアウォールとプロキシの唯一の違いは、プロパティ画面下方の「プロキシ アクション」です。

つまり、このプロトコルについては基本的には許可ポリシーですが、通過する際には設定されたアクション(すなわちコンテンツフィルタリングやアンチウイルス)を効かせます、という意味になります。3

プロキシアクションの右側の[プロキシの表示/編集」ボタンをクリックすると、それがよく分かります。

3

プロキシという呼び名ですが、キャッシュサーバーのように機能するわけではありません70プロキシアクションの構成画面が開きますが、左側のメニューには WebBlocker やウイルス対策などの項目があり、このポリシーが適用されたときに、UTM の各機能のアクションが働くことが分かります。

HTTP-proxy ポリシーを追加しただけでは、UTM は有効になりません。
次に、Web Blocker の機能を有効にし、設定してみましょう。

71Web Blocker の設定
Web Blocker を有効にする
ポリシーマネージャのセキュリティサービス ― WebBlocker ― アクティブにする をクリックします。

WebBlocker を構成するためのウィザードが始まりますので、[次へ]をクリックします。

アクションを識別するための名前を指定します。
72

カテゴリの指定は後で設定できますので、そのまま次へ進みます。

先に作成した WebBlocker アクションと結びつくプロキシポリシーを選択します73Wizard が終了します。「WebBlocker の中央構成に進みます」にチェックが入ったまま[完了]をクリック。

74

Web Blocker を構成する
項目を選択し、[編集]をクリックします。

カテゴリ タブをクリックします。アダルト、犯罪、ショッピングなど、仕事中に規制したいカテゴリにチェックを入
れます。

75

例外タブでは、規制対象から外したいサイトを登録できます。
例：ショッピングサイトはカテゴリで一律規制するが、Amazon だけは許可する

注意すべき点として、デフォルトではサーバーにアクセスできない時や UTM のライセンスが切れた時に、ユーザーに Web サイトの閲覧を拒否する設定になっています。
76

それが不都合であれば、「詳細」タブの「サーバータイムアウト」と「ライセンスバイパス」の項は許可する設定にしておきます。

以上で WebBlocker の設定は完了です。[OK]で抜けて設定を保存してください。
設定を保存したら、試しにショッピングサイトにアクセスしてみてください。
以下のように拒否画面が表示されます。

この拒否画面は、以下の方法で日本語にカスタマイズすることが可能です。

77

HTTP-proxy のプロキシの表示/編集画面の左メニュー下方にある「拒否メッセージ」で自由に HTML を記述できます。

※%(reason)%など、%記号で囲われた変数部分は日本語化できません
以下が日本語化した画面です。

78

【豆知識】コンテンツフィルタリングのデータベースは FORCEPOINT のもの
WebBlocker のフィルタリング用データベースは、FORCEPOINT 社より供給を受けています。その他の UTM 機能のシグネチャやエンジンも他社製であることを WatchGuard ははばかることなく公表しています。
それは、自社で中途半端なものを開発するよりも、優秀な専門ベンダーから供給を受けることで最高のセキュリティを確保できると確信しているからです。
WatchGuard はそれを Best-in-Class Security もしくは BEST-OF-BREED と表現しています。

79Gateway Anti-Virus の設定
Firebox はネットワークを介して侵入しようとするウイルスを検知し、防御することができます。
Gateway Anti-Virus を有効にする
WebBlocker と同様、ポリシーマネージャのセキュリティサービス ― Gateway Anti-Virus ―アクティブにする をクリックします。

Gateway Anti-Virus を構成するためのウィザードが始まりますので、[次へ]ボタンをクリックします。

80

先に作成してあった HTTP-proxy にチェックが入っています。
このチェックが入ったプロキシポリシーの中で Anti-Virus が有効になります。[次へ]をクリックします。

他のプロトコルで Anti-Virus 機能を働かせたい場合はチェックを入れることができます。次へ進みます。

81

以上で Gateway Anti-Virus が有効になり、ウィザードが完了します。

Gateway Anti-Virus を構成する
ポリシーマネージャのセキュリティサービス ― Gateway Anti-Virus ― 構成で中央構成画面を開きます。
中央構成画面では、該当のプロキシポリシーを選択し、[構成]ボタンをクリックします。

構成画面が開きます。

82

全般設定では、ウイルス検出時の基本動作について設定します。
デフォルトでは、ウイルス検出時は「切断」、スキャンエラー発生時は「許可」となっています。

ウイルスを検出する条件を設定するところが、URL パス、コンテンツの種類、本文のコンテンツの種類の3 箇所あります。
URL パスでは、指定した URL のパターンにマッチする又はしないときのアクションを定義します。

83

通常は、URL パスでフィルタ処理を行う場合よりも、ヘッダーまたは本文のコンテンツの種類に基づいてフィルタ処理を行う方が簡単であり、精度も向上します。
コンテンツの種類では、HTTP 通信のヘッダーで判断できるコンテンツの種類により、一致しないものは拒
否、一致するものは許可するが AV スキャンをかけるというアクションになっています。

84もちろんどんなヘッダーであっても、一致してもしなくても AV スキャンをするという選択肢も現実的です。前
述の URL パスと同じように、ルールを空にして、一致なしで AV スキャンという設定です。
本文のコンテンツの種類では、デフォルトで一致なしが拒否、それ以外を AV スキャンになっています。しかし、現実的には ZIP ファイルのダウンロード、ソフトウェアのインストーラー(.exe)のダウンロードなどが発生しますので、一致する場合もしない場合も AV スキャンを選択しておくとよいでしょう。

[OK]をクリックして、中央構成の画面に戻ります。

[File Exceptions]ボタンからは各ファイルに、ファイルのスキャンを許可するかドロップするかを指定します。
[サーバーのアップデート]ボタンからは、シグネチャの更新についての設定ができます。

85

File Exceptions ボタンをクリックすると、スキャンするファイルの例外リストが表示されます。例外ファイルとしてファイルの MD5 ハッシュ値を指定します。

サーバーのアップデートボタンをクリックすると、シグネチャのアップデートについての設定があります。
「自動アップデートを有効にする」に必ずチェックが入っていることを確認してください。
86アップデート間隔はデフォルトで 1 時間に一回です。

87

以上で Gateway Anti-Virus の設定が完了しました。
しばらくするとシグネチャが更新されて、アンチウイルスが機能するようになります。
eicar テストウィルスなどで動作を確認してみてください。

【豆知識】ベスト オブ ブリードを実現している ALL STAR たち
機能

提供元

Gateway Anti-Virus

Bitdefender, Cylance

WebBlocker

FORCEPOINT

spamBlocker

Cyren

IPS

Trend Micro

Application Control

Trend Micro

DLP

SophosAPT Blocker

Lastline88

spamBlocker の設定
spamBlocker では、Cyren 社が開発した特許技術 RPD(Recurrent Pattern Detection)ソリューションを利用して、発見が難しいスパム攻撃を検出します。
また、オプションで VOD(Virus Outbreak Detection)を有効にし、メールを経路にして拡散される新種のウイルスに対処することもできます。

POP-Proxy を追加する
WebBlocker で HTTP-proxy が必要だったように、spamBlocker では POP3-proxy が必要です。
ポリシーの追加画面から、プロキシツリーの POP3-proxy を選択し、[追加]ボタンをクリックします。

SMTP も spamBlocker を使うことができますが、SMTP-proxy は、Firebox の下に SMTP サーバーがある場
合に利用します。

89spamBlocker を有効にする
ポリシーマネージャのセキュリティサービス ― spamBlocker ― アクティブにする をクリックします。

ウィザードが始まります。

POP3-proxy で有効にするよう、チェックが付いていることを確認します。[次へ]。

90SMTP サーバーが内側にあれば、SMTP-proxy でも spamBlocker を有効にできます。[次へ]。

以上で POP3-proxy において spamBlocker が有効になります。

91spamBlocker を構成する
ポリシーマネージャのセキュリティサービス ― spamBlocker ― 構成 をクリックします。
該当のポリシーを選択し、[構成]ボタンをクリックします。

構成画面のアクションタブでは、スパムメールが検知された際の動作を定義できます。
カテゴリは、確認されたスパム、バルク(主に広告メールなど)、未確認(だが疑わしいもの)の 3 種類です。
アクションは、指定の文字列(タグ)をサブジェクトに追加するか、許可するかのどちらかです。

92

例外タブでは、ホワイトリスト/ブラックリストの編集が行なえます。

Virus Outbreak Detection タブでは、ウイルス検出時の動作を定義できます。

ウイルス検出時は「削除」、スキャンエラー時は「許可」がよいでしょう。
設定を保存して動作を確認してください。

93Intrusion Prevention Service
侵入攻撃は主にアプリケーションの脆弱性を利用して行なわれます。代表的なものとして、スパイウエア、
SQL インジェクション、クロスサイト スクリプティング、バッファ オーバーフローなどを挙げることができます。
Firebox の Intrusion Prevention Service (以下 IPS) はこれらの脅威からリアルタイムで保護します。

構成例
DMZ のウェブサーバーに SNAT でアクセス許可する HTTP-proxy ポリシーを設定します。そのポリシーでIPS を有効にするケースを例に解説します。

インターネット

IPS を有効にした
Firebox
DMZ

ウェブサーバー(10.100.10.101)
LAN

94

IPS の設定
ポリシーマネージャの セキュリティサービス － Intrusion Prevention をクリックします。

IPS の構成画面がひらきますので、「Intrusion Prevention を有効にする」のチェックを入れます。

下方の OK ボタンをクリックすると、IPS シグネチャの自動更新の有効化についてのダイアログが出ますので、[OK]をクリックします。

95

※ 重要
このダイアログが出なかった場合、もしくは「いいえ」をクリックしてしまった場合は、以下のように署名の自動更新を有効にしてください。
自動更新を有効にしないといつまで経ってもシグネチャが更新されず、危険にさらされることになります。
有効化についてのダイアログが出ても出なくても、自動更新が有効になっているか、必ずお確かめください。
自動更新を有効にする手順は次のとおりです。
IPS の構成画面を開き、サーバーの更新ボタンをクリックします。

自動アップデートの欄で、「自動アップデートを有効にする」と「Intrusion Prevention と Application Control
署名」にチェックを入れます96次に侵入/攻撃を検知したときのアクションを設定します。
脅威のレベルは 5 段階になっています。
1.

情報

2.

低

3.

中

4.

高

5.

重大

デフォルトでは「低」以上の脅威レベルに一致するトラフィックを切断し、ログに記録するようになっています。

これらの脅威のレベルに対するアクションをコントロールして、自社にふさわしい設定を施します。
詳しい設定については後述します。

97

ポリシー設定
ポリシーの追加で、ポリシーテンプレートの HTTP から、Web サーバーへのアクセス許可ポリシーを作成します。
図は第四章のポリシー追加で SNAT を設定したものです。

「このポリシーの IPS を有効にします」にチェックが付いている状態で OK をクリックし、設定を反映させます。
このように Firebox では、ポリシー単位で IPS を有効/無効に設定することができます。

IPS の設定自体は以上で有効になりました。しかし、デフォルトのアクションではかなり用心深い設定(レベル「低」で「切断」)になっており、問題ないと思える通信も切断する可能性があります。
次にアクションのレベルを調整します。
98

IPS の調整
アクションを調整するためには、
1.

ログを取り、どんな攻撃が多いか現状を知る

2.

その攻撃に合わせたアクションを設定する

3.

特定のアクセスが攻撃として検知され不都合が生じる際には例外を設定するという流れで設定するとよいでしょう。
とはいえ、重大な脅威となる侵入/攻撃については最初から切断にした方がよいでしょう。
例として、高より下のレベルは許可にしながらも、ログを出す設定にしておきます。

ログ：
ログは出す設定にアクション：
最初は「高」以下を許可に99

それではログを見てみましょう。Firebox System Manager のトラフィックモニターで IPS のログに絞り込んでみます。ログサーバーがあればログビューワーで同様に確認できます。

フィルタに IPS を指定して絞り込みます。IPS detected のログを確認することができます

上記のログで検知している侵入/攻撃で、拒否しているものもありますが、かなり多くのものが許可されています。
右スクロールして、ログの詳細を見てみましょう。

100

シグネチャ ID に注目してください。「signature id=1054837」の攻撃がかなり執拗になされていることが分かります。

1054837 という ID をメモし、セキュリティサービスタブに移ります。

101

Application Control および Intrusion Prevention Service の欄の署名の表示ボタンをクリックします。

署名のダイアログが開きますので、テキストエリアに ID を入力して検索します。

102

検索すると、該当の行にフォーカスが当たります。

説明を読むと/etc/passwd ファイルを取り込もうとするアタックであることが分かります。Web サーバーがUnix 系の OS なら、許すわけにはいかないと思われるでしょう。
よって、脅威レベル「高」は拒否する設定にしたほうがよい、という判断になります。
IPS の構成画面を開き、アクションを調整してみましょう。
「高」のアクションを切断に変更します。

103

同じように「中」の脅威レベルのもので、特定の攻撃が執拗に行なわれており、それが実際に脅威になるな
ら、「中」のアクションも切断にした方がよいでしょう。
しかし「高」や「中」レベルを切断すると、本来通過してよいトラフィックまでが拒否される場合もあります。
その場合は例外を設定することにより、意図せずして拒否されるトラフィックを許可することができます。

例外の設定
例外ボタンをクリックします。

署名の例外ウィンドウが開きますので、ID を入力し、追加ボタンをクリックし、例外の一覧に加えます。

104たとえば 1054852 というシグネチャ ID のトラフィックを許可しないと PHP プログラムが正常に動作しない場合(あくまでも例です)には、テキストフィールドに 1054852 を入力し、追加ボタンをクリックします。

すると、次のように一覧に追加され、この ID で検知されるトラフィックは許可されるようになります。

105

Reputation Enabled Defense
Reputation Enabled Defense（以下 RED）は、世界中のデバイスから収集されたレピュテーション（評判）の集合知を利用して、脅威を検知することができます。
RED はクラウドのデータベースを利用するので、ゲートウェイでのパフォーマンスを改善します。Gateway
Anti-Virus を単体で使用した場合と比較すると、Web トラフィック処理の性能は 30～50%向上します。

RED 構成時の注意点
Gateway Anti-Virus が有効な HTTP-proxy ポリシーに対して RED を有効にすると、レピュテーションの良し
悪しが既に分かっているサイトのウイルススキャンをスキップするため、全体的なパフォーマンスが改善します。
しかし Gateway Anti-Virus が有効でない場合に RED を有効にすると、HTTP プロキシはすべての URL でレピュテーションスコアを参照するため、RED が無効な場合と比べて当然負荷は高くなります。
効果とパフォーマンスを最大限にするために、RED と Gateway Anti-Virus の両方を有効にすることをお勧めします。

また、レピュテーションの閾値について理解しておく必要があります。
2 つのレピュテーション スコアを設定できます。
悪いレピュテーションの閾値

URL のスコアが悪いレピュテーションのしきい値より大きい場合、
HTTP プロキシは検査せずにアクセスを拒否します

良いレピュテーションの閾値

URL のスコアが良いレピュテーションのしきい値より小さい場合、
Gateway Anti-Virus が有効に設定されていると、HTTP プロキシによって Gateway AV スキャンがバイパスされます。

たとえば悪いレピュテーションの閾値が 90、良いレピュテーションの閾値が 20 と設定するとします。
90 を越えるサイトは即座に拒否し、20 を下回るサイトはそのまま AV スキャンはバイパスされる、その中間のスコアのサイトは AV スキャンが行なわれるというわけです。

106

ポリシーの追加
最初に HTTP-proxy ポリシーを作成しておく必要があります。
HTTP-proxy ポリシーを作成しないで RED を有効にしようとすると警告が出て設定できませんので、これまで同様、あらかじめ作成しておきます。

そのまま[OK]をクリックし、ポリシーを追加します。

107RED の構成
RED を有効にするために、ポリシーマネージャの セキュリティサービス － Reputation Enabled Defenseをクリックします。

RED の構成画面で先ほど作成した HTTP-proxy ポリシーを選択し、[有効]ボタンをクリックします。

RED が有効になります。

108

[構成]ボタンをクリックします。

評判の悪い URL、良い URL について、それぞれアクションを設定することができます。
デフォルトで、閾値を越えた URL については、ブロックもしくはバイパスするようになっています。

悪い評判と良い評判の閾値は[詳細]ボタンから設定できます。
悪い評判は 60 以上、良い評判は 40 以下を設定できます。

109

あまり極端に値を上下させると、意図せずして AV スキャンをスルーしたり、問題ないと思えるサイトを拒否してしまったりする恐れがあります。ログを確認しながら少しずつ調整することをお勧めします。
Gateway Anti-Virus ではなく RED で検知された場合は、拒否画面の理由に「reputation」と表示されます。

※メッセージは日本語表示にカスタマイズしています

110

おわりに
WSM 基本設定ガイドは以上です。
Firebox がいかに容易に導入・設定でき、且つ高度なセキュリティを確保できるか、実感していただけたかと思います。
Firebox のマニアになっていただいたなら、ぜひ御社のネットワーク・セキュリティを Firebox に統一していた
だき、最高度の機能・性能・安心を手に入れていただきたいと思います。
今後も弊社の製品が、御社のセキュリティの要としてお役に立てれば幸いです。

111