FortiGateの設計/設定ガイドFortiGateの設計/設定ガイドFortiGateの設計・設定方法を詳しく書いたサイトです。FortiGateの基本機能であるFW(ファイアウォール)、IPsec、SSL‐VPN(リモートアクセス)だけでなく、次世代FWとしての機能、セキュリティ機能(アンチウイルス、Webフィルタリング、SPAM対策)、さらにはHA,可視化、レポート設定までも記載します。初期化方法やバージョンアップなどの管理面も書いています。標的型攻撃を守るためのゲートウェイとしても導入されることが多いので、セキュリティ機能に関しては充実した記載を心がけます。以下に例が記載されています。https://archives2011-2018.fortinet.co.jp/security_blog/141016-poodle-faq.htmlHTTPの通信ヘッダを見ると、ブラウザの情報などがわかると思います。それをみて、IEからは通信させないとか、Windows7のOSからは通信させないなどのカスタムシグネチャが作成できるはずです。カスタムシグネチャを作ってみましょう。「カスタムシグネチャ」のメニューから作成する。「seeeko.com」のサイトへの通信をブロックする。以下、マニュアルではあるが、日本語化するといいだろうhttps://help.fortinet.com/fos60hlp/60/Content/FortiOS/fortigate-security-profiles/IPS/Creating%20a%20custom%20signature%20to%20block%20access%20to%20example.com.htm?Highlight=F-SBIDただし、「(」が全角だったり「--」が怪しいので、以下をどうぞ※大文字小文字は区別する。作成したカスタムシグネチャを追加し、アクションの欄で、「デフォルト」になっているところを右クリックで「ブロック」にする。(2)特定のOSやブラウザの通信を止める。古いブラウザやOSはインターネットに接続すると攻撃を受けるリスクがある。Explorer」に未修正の脆弱性、すでに悪用した攻撃を確認」という記事が出ることがある。未修整の脆弱性であるから、カスタムシグネチャというのが対策の一つになりえる。https://internet.watch.impress.co.jp/docs/news/1230236.htmlどうやって作るか。実際に通信させてみて、その通信の中にある固有の情報をつかもう。パケットキャプチャでHTTPヘッダを見るとWindows10の場合、以下のように表示される。Gecko※余談であるが、Mozillaとなっているが、実際に使ったブラウザはIEである。NTに続き表記は以下のようにOSのバージョンを表す。→Windows7など情報は以下https://ja.wikipedia.org/wiki/Windows_NT%E7%B3%BBなので、サポートが終了したWindows7のPCからの通信を止める場合には、このキーワードを入れればよい。→もちろん、誤検知もあるので、しばらくはモニターして、問題がなさそうであればBlockがいいだろう。)テストとしてはわかりにくいので、自分が使っているバージョンのChromeのみを拒否してみよう。IEは許可されるので違いを見てみる。注意点はSSLのサイトはヘッダ部分が暗号化されているのでスルーされる点である。SSLフルインスペクションをすればいいのだが、テストとしてはわかりにくい。http://www.pref.shizuoka.jp/などの暗号化されていないサイトでテストがいいだろう。※最後の「--context」部分は、先ほどの「host」ではなく、「header」である。サーバではなくクライアントに限定する場合に使う。>コメントこのブログにコメントするにはログインが必要です。さんログアウトこの記事には許可ユーザしかコメントができません。(平成30年春・秋)の徹底解説をした本です。(1)お問い合わせこのサイトの管理者は、ITの専門家として、いろいろなところで執筆や講演等をしております。お問い合わせはこちらからお願いします。サイト内検索プライバシーポリシープライバシーポリシーはこちら↑このページのトップヘ。