Palo Alto Networks 構築実践ガイド 次世代ファイアウォールの機能を徹底活用

従来型ファイアウォールでは昨今の巧妙化するネットワーク脅威に対抗できず、次世代ファイアウォールが注目を集めています。パロアルトネットワークスの次世代ファイアウォールは、ポート番号やプロトコル番号でポリシー制御するだけではなく、流入するトラフィックのアプリケーションを識別したうえでアプリケーションごとにフィルタリングや制御が行えます。本書では、パロアルトネットワークス PA シリーズの機能を詳解しつつ、導入・実践についてまとめています。著者名追加: 株式会社エーピーコミュニケーションズ 伊原 智仁 前川 峻平 内藤 裕之 パロアルトネットワークス合同会社 福井 隆太

『Palo Alto Networks 構築実践ガイド 次世代ファイアウォールの機能を徹底活用』 (パロアルトネットワークス合同会社 監修、三輪賢一 監修 / 著、伊原智仁、前川峻平、内藤裕之、福井隆太 著、技術評論社、2015 年 7 月刊) は、パロアルトネットワークスの次世代ファイアウォールについて、製品の機能と導入から設定までの手順を全 9 章で解説した構築ガイドです。版元の案内では、伊原智仁、前川峻平、内藤裕之の 3 名は株式会社エーピーコミュニケーションズ、福井隆太はパロアルトネットワークス合同会社の所属です。

版元の案内には、従来型のファイアウォールでは巧妙化するネットワークの脅威に対抗できないこと、パロアルトネットワークスの次世代ファイアウォールはポート番号やプロトコル番号によるポリシー制御に加えて、流入するトラフィックのアプリケーションを識別し、アプリケーションごとにフィルタリングや制御を行えることが紹介されています。版元が挙げる読者は、パロアルトネットワークスのユーザーとエンジニア、ネットワークエンジニアです。

第 1 章と第 2 章、製品群と初期設定

第 1 章「パロアルトネットワークスと次世代ファイアウォール」は、ネットワークアプリケーションの台頭による脅威の拡大と従来型ファイアウォールの限界から入り、次世代ファイアウォールの定義と、それを支えるアプリケーション識別、ユーザー識別、コンテンツ識別、SP3 アーキテクチャを説明します。続けて PA-7050、PA-5000 シリーズ、PA-3000 シリーズ、PA-500 と PA-200、VM シリーズのラインナップと販売終了製品の補足、Panorama と M-100、WildFire と WF-500、GlobalProtect と GP-100、Traps の製品群、ライセンスとサブスクリプション、サポートポリシーを取り上げます。第 2 章「準備と初期設定」は、アプライアンスの確認と起動、管理インターフェイスと管理者アカウント、ライセンスのアクティベーション、コンテンツ更新とソフトウェア (PAN-OS) の更新手順、インターフェイスの種別と仮想ルーター、ゾーンとセキュリティポリシー、ネットワークとポリシーの設定を扱います。

App-ID、Content-ID、User-ID の 3 つの識別機能の章

第 3 章「アプリケーション識別 (App-ID)」は、App-ID の概要と処理の流れ、セキュリティポリシーの設定と設定例、設定リファレンス、ログを扱います。第 4 章「脅威防御 (Content-ID)」は、アンチウイルス、アンチスパイウェア、脆弱性防御 (IPS)、URL フィルタリングと PAN-DB の URL カテゴリ変更リクエスト、ファイルブロッキングとデータフィルタリング、WildFire、ゾーンプロテクションと DoS プロテクションの設定を順に取り上げます。第 5 章「ログとレポート」は、Dashboard、ACC (アプリケーションコマンドセンター)、ローカルログ、外部サーバーへのログ転送、アプリケーションスコープ、ボットネットレポート、PDF レポート、カスタムレポートを扱います。第 6 章「ユーザー識別 (User-ID)」は、ユーザー識別の流れ、キャプティブポータル、利用上の注意事項、基本設定と設定リファレンスを扱います。

第 7〜9 章のポリシー制御、GlobalProtect、高可用性

第 7 章「ポリシー制御」は、NAT、QoS、ポリシーベースフォワーディング (PBF)、復号、アプリケーションオーバーライド、キャプティブポータル、DoS プロテクションの各ポリシーを扱います。第 8 章「リモートアクセス (GlobalProtect)」は、GlobalProtect の構成要素、動作の流れ、認証方法、基本設定とリファレンスに続けて、VPN の概要と基本設定を扱います。第 9 章「高可用性 (High Availability)」は、HA モード、設定オプション、フェイルオーバーのトリガー、HA ステータスの遷移、基本設定と、リンクモニタリングおよびパスモニタリングを含む設定リファレンスで終わります。国立国会図書館の書誌では索引ありと記録されています。

ポート番号でなくアプリケーションで制御する仕組み

従来型のファイアウォールは、通信の宛先のポート番号とプロトコルを手がかりに許可と遮断を決めます。同じ 443 番ポートの上を Web の閲覧もファイルの共有もチャットも流れる通信では、ポート番号からアプリケーションを見分けられません。App-ID はトラフィックの中身からアプリケーションを識別し、User-ID は IP アドレスとユーザー名を結び付け、Content-ID は許可した通信の中に含まれるウイルスや脆弱性を突く攻撃を検査します。この 3 つを組み合わせて、ポート番号ではなくアプリケーションとユーザーを単位にポリシーを書くのが次世代ファイアウォールの考え方です。2 台の機器を組にする高可用性の構成では、稼働中の機器に障害が起きると待機側へ処理を引き継ぐ フェイルオーバー によって通信を保ちます。ネットワークの本の選び方は ネットワーク本ガイド にまとめています。

本書は、次世代ファイアウォールの技術と製品群から、初期設定、3 つの識別機能、ログとレポート、ポリシー制御、リモートアクセス、高可用性までを全 9 章に収めています。