ルールおよびルールセットについて
プロキシ ポリシーまたは ALG を構成する場合 (アプリケーション レイヤー ゲートウェイ)、使用するプロキシ アクションを選択する必要があります。事前定義プロキシ アクションを使用するかまたは新しいプロキシ アクションを作成することができます。各プロキシ アクションはルールを含みます。ルールは、プロキシでトラフィックを比較する条件のセットです。
パケット コンテンツのコンポーネントがそのコンテンツ、パターン、式と一致する場合、ルールにはコンテンツ、パターン、式のタイプ、および Firebox が実行するアクションが含まれます。また、ルールには、Firebox がいつアラームを送信するか、またはログ エントリを作成するかに関する設定も含まれます。ルールセットは、プロキシの 1 つの機能 (コンテンツの種類または電子メールの添付ファイルのファイル名など) に基づいたルールのグループです。
Firebox 構成には、各プロキシ ポリシーで使用されるプロキシ アクションの既定のルールセットが含まれます。信頼するユーザーおよびパブリック サーバーの両方を保護するために、クライアントとサーバーにはそれぞれ別のルールセットが提供されます。これらのルールでは、既定の構成を使用するか、または特定の事業目的のために、カスタマイズすることができます。事前定義 プロキシ アクションを変更または削除することはできません。事前定義プロキシ アクションを変更したい場合、それに新しいプロキシ アクションをクローンし、その新しい プロキシ アクションに必要な変更を加えることができます。
ルールおよびルールセットの使用方法
プロキシ アクションを編集する場合、 ルールセットのリストを表示し、そのプロキシ アクションに適用することができます。各ルールセットを展開して そのプロキシ アクションのルールを表示し編集することができます。
WatchGuardプロキシには、ほとんどのインストール環境でセキュリティと可用性の適切なバランスを実現する、事前定義のルールセットがあります。既定のルールセットがビジネス ニーズを満たさない場合は、以下を実行することができます： ルールを追加、削除、または変更する。
ルールセットを構成するには：
- ファイアウォール > プロキシ アクション の順に選択します。
プロキシ アクション ページが表示されます。 - プロキシ アクションダブルクリックして編集します。
プロキシ アクション / 編集 ページが表示されます。 - ルールを追加、削除、または変更する.
Policy Manager における簡易ビューおよび詳細ビュー
プロキシ定義内のルールは、2 通りの方法で表示できます：簡易ビューおよび詳細ビュー
- 簡易ビュー — 単純な正規表現を使用してワイルドカード パターン マッチを構成する際に選択します。
- 詳細ビュー — このビューには、各ルールのアクションが表示されます。このビューは、ルールの編集、クローン (既存のルール定義を使用して新規ルールを作成する)、削除、またはリセットする場合に選択します。完全一致および Perl 互換の正規表現を構成するには、詳細ビューを使用します。
詳細ビューを使用した後、有効にしたすべてのルールは同じアクション、アラーム、またはログがあれば、簡易ビューに変更できます。たとえば、5 つのルールがあり、その内の 4 つのルールが 許可 に設定されていて、1 つが 拒否 に設定されている場合は、詳細ビューを使用する必要があります。
Policy Manager でルールセットを構成して、ビューを変更する
ポリシーのルールセットを構成するには、Policy Manager から以下の手順を実行します：
- ポリシーをダブルクリックして、または新しいポリシー追加します。
ポリシー タブが選択された状態でポリシー プロパティ ダイアログ ボックスが表示されます。 - プロキシ アクション ドロップダウン リストの横で
をクリックします。
プロキシ アクションの構成 ダイアログ ボックスが表示されます。 - ビューを変更するには、表示の変更 をクリックします。
- ルールを追加、削除、または変更する.
プロキシ アクションにおけるルールセットの優先順位
同じトラフィックに対する許可、AV スキャン、拒否などの異なるアクションが指定されているルールセットがプロキシ アクションに含まれている場合は、Firebox では以下のように実行するアクションが決定されます。
- トランザクション データが利用可能になると、Firebox でトラフィックとルールセットが比較されます。たとえば、HTTP プロキシ アクションの場合は、HTTP 要求データが最初に利用できるようになるため、Firebox では、HTTP 応答ルールセットの前に HTTP 要求ルールセットがチェックされます。
- トラフィックがルールセットと一致し、指定されているアクションがブロック、ドロップ、拒否のいずれかである場合は、Firebox でそのアクションが実行され、プロキシ アクションの他のルールセットはチェックされません。指定されているアクションがブロック、ドロップ、拒否のいずれかでない場合は、Firebox で他のルールセットのチェックが続けられます。
- ブロック、ドロップ、拒否のいずれかのアクションを指定するルールセットがない場合は、Firebox では、トラフィックに一致するルールセットから優先順位が最も高いアクションが実行されます。アクションを優先順位の高い順に並べると、ブロック、ドロップ、拒否、ストリップ、検疫、ロック、AV スキャン、許可の順序となります。
たとえば、以下のルールセットで SMTP プロキシ アクションを構成することができます。
- ファイル名ルールセット — benefits.docx という名前の 許可 ファイルに構成されます
- コンテンツ タイプ ルールセット — コンテンツ タイプが application/msword の AV スキャン ファイルに構成されます
これらのルールセットが設定されている場合は、benefits.docx という名前の Word 文書が添付された電子メールがネットワークに入ると、SMTP プロキシにより添付ファイルのウイルスがスキャンされます。これは、コンテンツ タイプ ルールセットの AV スキャン アクションのほうが、ファイル名ルールセットの 許可 アクションよりも優先されるためです。