概要
ファイアウォールは企業のネットワークを保護し、内部リソースを守るために重要な役割を果たします。 この記事には、組織の最強のセキュリティポリシーを作成するための推奨事項およびベストプラクティスが含まれています。 さらに、ファイアウォールポリシーをクリーンで管理しやすい状態に保つ方法についても説明します。
インターネットファイアウォールは、ネットワーク内のユーザーやデバイスが多種多様なウェブサービス、アプリケーション、コンテンツにアクセスするのを管理するのに役立ちます。 WANファイアウォールは、内部リソースおよびユーザー間やサイト間のWANトラフィックを管理することを可能にします。 このガイドは、セキュリティポリシーの効果を最大化するために、各ファイアウォールのルールを設定および微調整する方法を支援します。
特定のルールの設定に関する詳細は、規則オブジェクトのリファレンスを参照してください。
Cato管理アプリケーション (CMA) のベストプラクティスページには、いくつかのファイアウォールチェックが表示され、アカウントがそれらに準拠している場合、詳細についてはCMAでのアカウントベストプラクティスの確認を参照してください。
ファイアウォールセキュリティ方針の計画
ファイアウォールルールベースには、許可リストとブロックリストの2つのアプローチがあります。 ファイアウォールのルールベースを許可リストにすることは、ファイアウォールが許可するトラフィックをルールが定義することを意味します。 その他のすべてのトラフィックはファイアウォールによってブロックされます。 ファイアウォールのルールベースをブロックリストにすることはその逆で、ルールがブロックされるトラフィックを定義します。 その他のすべてのトラフィックはファイアウォールによって許可されます。 組織は、自分の特定のニーズや状況に最も適したアプローチを選択します。
許可リストのセキュリティポリシーは、許可ルールと一致しないすべてのトラフィックをブロックするために、最終ルールとしてANY ANYブロックルールを持っています。
ブロックリストのセキュリティポリシーは、ブロックルールと一致しないすべてのトラフィックを許可するために、最終ルールとしてANY ANY許可ルールを持っています。
各アプローチに関する推奨事項は、以下のそれぞれのセクションでインターネットおよびWANファイアウォールについて説明されています。
従来型 vs. NG ファイアウォールルール
CatoのインターネットおよびWANファイアウォールは、2つの異なるタイプのファイアウォールルールを使用します：
従来のファイアウォールルール（単純ルールとも呼ばれる）
次世代（NG）ファイアウォールルール（複雑ルールとも呼ばれる）
このセクションでは、これらのルールタイプ間の違いと、ファイアウォールがそれらをネットワークトラフィックに適用する際に使用するロジックについて説明します。
従来型ファイアウォールルール - ファーストパケットの検査
Catoは、ネットワークの受信および発信トラフィックを制御するために、ネットワークセキュリティポリシーを定義し、従来のファイアウォールルールを設定することができます。 カトの従来のファイアウォールルールには、次の設定のいずれかまたは複数のみがあります：
IP 範囲
ASN
国
サイト
ホスト
プロトコル/ポート
利用可能なプロトコル：TCP、UDP、TCP/UDP、およびICMP
従来のファイアウォールエンジンは、最初のパケットでトラフィックを評価します。 例えば、ネットワーク管理者はプロトコルとポートに基づいてファイアウォールのルールを設定できます。 この種のルールの場合、ファイアウォールは最初のパケットに基づいてトラフィックを許可またはブロックすることを決定します。
次のスクリーンショットは、ポート80でTCPトラフィックをブロックする従来のWANファイアウォールルールの例を示しています：
次の図は、ホストAからホストBへのTCP接続の例と、従来のファイアウォールエンジンがブロックルールを評価するポイントを示しています：
注記:
従来のファイアウォールエンジンはパケットを削除しません。 PoPは、宛先（ホストB）にパケットを送信せずにTCPハンドシェイクを完了します。 その理由は、ブロックまたはプロンプト操作のためのインターネットリダイレクトページを表示するためです。 リダイレクトページの詳細については、リダイレクトページカスタマイズを参照してください。
NG ファイアウォールルール - 深層パケット検査
CatoのNGファイアウォールエンジンはステートフルで、アプリケーション層データ解析を使用してアプリケーションとサービスの完全な認識と管理を行います。 これにより、DPI（ディープ・パケット・インスペクション）と複数のセキュリティエンジンを適用してトラフィックを検査します。 NGファイアウォールエンジンの重要な要素はアプリケーション認識であり、これによりアプリケーションやサービスに基づいてトラフィックを許可またはブロックするルールを定義できます。 NGファイアウォールエンジンは、アプリケーション、カスタムアプリケーション、カテゴリ、カスタムカテゴリ、サービス、FQDN、ドメインなどに基づいてパケット内容をインスペクションします。 例えば、ネットワーク内でuTorrentアプリケーショントラフィックをブロックするためのルールを定義できます。 通信フローのデータ内容を検査するために、ファイアウォールはフロー内の複数のパケットを評価し、アプリケーションとコンテンツペイロードの他の属性を特定するのに役立つパケットも含めます。
次の図は、ホストAからホストBへのTCP接続の例とブロックルールを評価するためのNGファイアウォールのポイントを示しています：
インターネットおよびWANトラフィックに関するベストプラクティス
このセクションには、インターネットおよびWANファイアウォールに関連する堅牢なセキュリティポリシーのベストプラクティスが含まれています。
ファイアウォールルールの整理
Cato NetworksのWANとインターネットファイアウォールは、順序が指定されたファイアウォールです。 ファイアウォールは接続を順番に検査し、接続がルールに一致するかどうかを確認します。 例えば、接続がルール3に一致する場合、アクションが接続に適用され、ファイアウォールはそれ以上検査を行いません。 ファイアウォールは接続に対してルール4以降を適用し続けません。
ファイアウォールルールの順序が間違っていると、誤ってトラフィックをブロックまたは許可してしまう可能性があります。 これは悪いユーザーエクスペリエンスやセキュリティリスクを生む可能性があります。 ファイアウォールルールの順序についてさらに詳しくは、ファイアウォールナレッジベース記事を参照してください。
これはほとんどのケースで推奨されるルールベースの順序です：
特定のブロックルール
一般的な許可ルール
特定の許可ルール
ANY ANYルール
許可リスト（デフォルトのWANファイアウォール）は最終ブロックルールを使用します
ブロックリスト（デフォルトのインターネットファイアウォール）ユーザーは最終許可ルールを使用します
従来型ファイアウォールルールの優先順位付け
Catoファイアウォールは順序化されたルールベースに従うため、従来のファイアウォールルールよりも前にNGファイアウォールルールを構成すると、DPIエンジンがトラフィックを検査してアプリケーションやサービスを特定してからアクションを適用します。 これにより、最初のパケットは通過して宛先に到達することができるということです。 したがって、従来のルールがネットワークを適切に保護し、最初のパケットにアクションを適用するためには、優先度が高くなり、ルールベース（NGファイアウォールルールよりも前）で上位に配置される必要があります。 すべての従来のファイアウォールルールをNGファイアウォールルールの前にルールベースの最上部に配置することをお勧めします。
詳細については、上記の従来のファイアウォールルールとNGの比較を参照してください。
WANおよびインターネットファイアウォールのDNSセキュリティ
Catoはまた、DNSトラフィックに関連するリスクをさらに軽減するために、WANとインターネットファイアウォールに対してこれらの構成を推奨しています：
ファイアウォールポリシーでDNS over HTTPS - DoHサービスを制限してDNSの回避的使用をブロックします
インターネットファイアウォールでDNSトラフィックに対する駐車ドメイン アプリケーションカテゴリーをブロックします。
DNSリバインディング攻撃をブロックするためにWANセグメンテーションを正しく定義します
ファイアウォールルールごとの最大数の述語
WANおよびインターネットファイアウォールポリシーは、それぞれのルールにつき最大で128の述語をサポートします。
述語はルールに定義された設定の種類であり、要素はアイテムの総数です。 例えば、100 人のユーザーと 10 のサイトを持つルールには、110 の要素と 2 つの述語（ユーザーとサイト）があります。
グループと高度な設定のグループは、それぞれ1つの述語として数えられます。
トラフィックの監視
ファイアウォールルールのトラッキングオプションを使用すると、ファイアウォールトラフィックイベントや通知を監視および分析できます。 制限されたコンテンツにアクセスしようとするソースを監視しやすくするために、ブロックアクションのためにイベントを生成するルールを設定することをお勧めします。 重大なセキュリティリスクを伴うトラフィックを処理するルールについても、イベントや通知を設定することができます。
ベストプラクティスとして、すべてのインターネットトラフィックを記録するために監視を使用することをお勧めします。 これを実装するには、明示的な任意-任意の許可ルールを最終インターネットファイアウォールルールとして追加し、イベントを生成するように設定してください。 これにより、ネットワーク上のすべてのインターネットトラフィックの可視性が提供され、使いやすさを維持しながら、ネットワークとユーザーをよりよく保護する方法を理解できます。
メール通知とイベントの詳細については、アカウントレベルのアラートおよびシステム通知を参照してください。
ルールの時間制約のスケジュール設定
時間設定を使用して、ファイアウォールルールの特定の時間範囲を定義できます。 時間範囲外では、ファイアウォールはこのルールを無視します。 この機能を使用すると、インターネットアクセスを制限し、ネットワーク内のアクセス制御を改善できます。 例えば、通常の勤務時間中にのみ、ソーシャルカテゴリへのアクセスをブロックするインターネットファイアウォールルールを定義できます。 または、業務時間内のみクラウドデータセンターへのアクセスを許可するWANファイアウォールにルールを作成できます。 ルールのアクションセクションには、勤務時間内に制限するという事前設定オプションがあります。
カスタム時間制約をスケジュールし、ルールを指定された時間に制限することもできます。 From 時間が To 時間よりも早く設定されていることを確認してください。でないと、そのルールは適切に機能しません。 1日の終わりと翌日の始まりにまたがる制約を作成したい場合は、2つのルールを作成し、各日の関連時間に対する制約を定義してください。 例: 1つのルールでは、月曜日の23:00から23:59の制約を定義し、2番目のルールでは、火曜日の00:00から01:00の制約を定義します。
注意：
注意: 時間制限付きファイアウォールルールはユーザーの種類に基づいて分類が異なります：
サイトに関しては、設定されたタイムゾーンが時間制約のあるファイアウォールルールの施行に使用されます
ZTNAユーザーに対しては、時間制約のあるファイアウォールルールは、彼らの公開IPアドレスのジオロケーションに基づいています。 これが利用できない場合は、アカウントのタイムゾーンのジオロケーションが使用されます。
ファイアウォール管理の簡素化
シンプルで理解しやすいファイアウォールルールベースは、管理がしやすく、混乱を減らすことで強力なセキュリティポリシーを実施するのに役立ちます。 このセクションの推奨事項は、明確かつ一貫性のあるセキュリティポリシーの作成やミスを避ける手助けをします。
混乱を避けるためのルール名を避ける
ルールを作成する際は、具体的でユニークな名前を付けます。 自己説明的なルール名は、チームの他の管理者がルールの目的を容易に理解できるようにします。 不適切な名前のルールは、誤解や混乱を引き起こす可能性があります。
例えば、インターネットファイアウォールルールでギャンブルウェブサイトをブロックする場合、ギャンブルをブロックと命名するのが適切で、曖昧なブロックされたウェブサイトとはしないでください。
無効化せず削除する
各個のファイアウォールルールは無効化や有効化が可能です。 ただし、ルールを一時的に無効にするだけにすることをお勧めします。 使用されなくなった古いルールは、無効化せずにルールベースから削除してください。 無効化されたルールは、ルールベースをより複雑にし、管理が困難になります。
グループを使用する
ファイアウォールルールを作成する際は、ユーザーまたはサイトのグループを利用し、このグループのメンバーに対してネットワークアクセスを制限します。 たとえば、ユーザーのグループ（リソース > グループ）を作成し、このグループに対してのみインターネットアクセスをブロックすることができます。
例外のあるルールを明確に命名する
例外は強力なファイアウォールルールツールですが、これによりルールベースの読み取りが難しくなる可能性があります。 ルールで例外を使用する場合は、例外が含まれていることが明らかになるようにルールに名前を付けます。 例えば、Socialをブロック（例外あり）。
ルールを非常に多くしないよう避ける
ファイアウォールポリシーに追加できるルールの数には制限がありませんが、極端に多くなるとパフォーマンスの問題が発生したり、ポリシーの管理が難しくなる可能性があります。 非常に多くのルールを必要としないようにルールベースを設計することをお勧めします。
インターネットトラフィックのセキュリティ保護
Catoインターネットファイアウォールはインターネットトラフィックを検査し、インターネットアクセスを制御するためのルールを作成することができます。 インターネットファイアウォールは、サイトやユーザーからウェブサイト、カテゴリ、アプリケーションなどへのアクセスを許可またはブロックするセキュリティルールのセットに基づいています。 インターネットファイアウォールのデフォルトのアプローチはブロックリスト（ANY ANY 許可）です。
以下のスクリーンショットはCMAにおけるインターネットファイアウォールポリシーのサンプルを示しています（セキュリティ > インターネットファイアウォール）：
注: 果システムルールは、インターネットファイアウォールルールベースの最上部にあります。 このルールは、自動的にCato Networksマスターサービス契約（MSA）で定義された潜在的に違法または悪意のあるトラフィックをブロックします。
Catoインターネットファイアウォールポリシーのベストプラクティス
このセクションには、アカウントのインターネットアクセスを保護するためのベストプラクティスが含まれています。
CatoでのQUICトラフィック管理
QUICはUDPの上に構築された新しいマルチプレクストランスポートです。 HTTP/3は、ヘッドオブラインブロッキングがストリーム間でないことを含むQUICの機能を活用するよう設計されています。 The QUIC project started as an alternative to TCP+TLS+HTTP/2, with the goal of improving user experience, particularly page load times. CatoはQUICトラフィックおよびGQUIC（Google QUIC）トラフィックを識別しブロックすることができます。
ファイアウォールまたはネットワークルールでQUICトラフィックを管理するには、関連するルールにサービスQUICとアプリケーションGQUICを使用します。 以下は、アカウントのQUICトラフィックをブロックするインターネットファイアウォールルールの例です：
Since the QUIC protocol works over UDP 443, encapsulated HTTP traffic is not parsed. これは、アプリケーション分析画面がアプリケーション自体ではなくQUICトラフィックのためのエントリのみを示すことを意味します。
したがって、特定のルールを作成してQUICおよびGQUICトラフィックをブロックすることを推奨します。これによりブラウザがデフォルトのHTTPバージョンを使用し、HTTP 3.0およびQUICを避けます。 これにより、QUICサービスまたはGQUICアプリケーションの使用状況のレポートだけでなく、使用されているアプリケーションに関する詳細な分析情報が提供されます。
インターネットルールでANYをソースとして使用しないよう避ける
For rules that allow Internet access, we recommend that you select a specific site, host or user in the Source column, instead of using the option Any. インターネットに対する任意のトラフィックを許可するルールは、予期しないソースからのトラフィックを許可するため、潜在的なセキュリティリスクです。
次のスクリーンショットは、送信元列が全てのサイトおよび全てのSDPユーザーに設定され、すべてではなくなっているルールを示しています：
注記:
注意: アカウントに新しいサイトを追加する場合、それらを関連するインターネットファイアウォールルールにも追加することを忘れないでください。
粒度の高いルールでイベントデータを改善する
Anyを一部の設定で使用するインターネットファイアウォールルールは、重要で有益な情報を含まないイベントを生成する可能性があります。 例えば、全てのアプリケーションで構成されたルールは、トラフィックフロー内のアプリケーションを特定しないイベントを生成する可能性があります。 これは、ファイアウォールがアプリ識別を完了する前にルールをトリガーするために発生します。なぜなら、任意のアプリケーションがルールに一致するからです。 次に、Catoセキュリティスタックがアプリケーション識別プロセスを完了すると、このアプリケーション使用データがアプリケーション分析画面に含まれます。 ただし、イベントはすべて同じ情報を含んでいるわけではないため、アプリケーションの使用状況をさらに調査することが難しい場合があります。
アプリケーション使用の分析を改善するために、ルール条件でのAnyの使用を最小限に抑え、特定のアプリケーション、サービス、ポートなどを使用した詳細なルールをお勧めします。
インターネットトラフィックのアウトバウンド制限
特定のサービスまたはポートのためにインターネットアウトバウンドトラフィックを許可するファイアウォールルールを構成する必要がある場合、潜在的なセキュリティリスクを含むカテゴリまたはアプリケーションをブロックすることをお勧めします。
例えば、すべてのHTTPトラフィックを許可するルールがある場合、次のようなカテゴリに例外を追加してください: チート、ギャンブル、暴力とヘイト、パークドドメイン、ヌード、武器、性教育、カルト、および匿名化ソフト。 これらは悪意のあるコンテンツを含む可能性のあるカテゴリの例であり、例外はこれらのカテゴリへのインターネットアクセスをブロックします。
安全なプロトコルの使用
一般として、インターネットトラフィックを許可するルールでは、通常のプレーンテキストプロトコルではなく、安全で暗号化されたプロトコルを使用することをお勧めします。 例えば、FTPの代わりにFTPSを、TelnetやSNMPの代わりにSSHを使用してください。 安全なプロトコルで許可されたインターネットトラフィックは暗号化されているため、ハッカーが傍受し、解読することは非常に困難です。
リスクのあるウェブサイトへのアクセスをユーザに促す
セキュリティリスクが少ないウェブサイトへのアクセスを許可するルールがある場合、許可の代わりに確認アクションを使用することをお勧めします。 ユーザーがこれらのウェブサイトのいずれかにアクセスしようとすると、確認アクションはユーザーをウェブページにリダイレクトし、続行するかどうかを決定します。 これらのウェブサイトはネットワークにセキュリティリスクを追加するため、このルールに一致するトラフィックのイベントを追跡することをお勧めします。
確認アクションが正しく機能するために、サポートされているすべてのデバイスにCato証明書をインストールすることをお勧めします。
カスタムカテゴリを使用してルール管理を簡素化する
ルールに多くのカテゴリを含めると、ルールベースの管理が難しくなります。 代わりに、すべての関連カテゴリーを含むカスタムカテゴリーを定義し、この単一のカスタムカテゴリーをルールに追加することができます。 1つのカスタムカテゴリを使用するシンプルなルールを定義することで、ルールベースを読みやすく検索しやすくなります。
例えば、すべてのカテゴリ、アプリケーション、サービスを含むインターネットプロファイルというカスタムカテゴリを作成し、関連するインターネットファイアウォールルールにこのカスタムカテゴリを追加できます。 ルールを最新の状態に保つために、単にカスタムカテゴリを編集して、必要な更新を削除または追加することができます。
以下は、カスタムカテゴリを使用してベストプラクティスを実施するための追加の提案です：
確認アクションで定義したいすべてのトラフィックのためにルールを作成します。 その後、すべての関連するURLとカテゴリーを含むプロンプトサイトというカスタムカテゴリーを作成して、ルールに追加します。 確認アクションの推奨カテゴリには、チーティング、ギャンブル、暴力と憎悪、悪趣味、パークドドメイン、武器、性教育、カルト、アノニマイザーが含まれます。 一致するトラフィックのイベントを生成するためにルールのトラッキングを設定します。
ブロックアクションで定義したいすべてのトラフィックのためにルールを作成します。 その後、すべての関連するURLとカテゴリーを含むブロックサイトというカスタムカテゴリーを作成して、ルールに追加します。 ブロックアクションの推奨カテゴリには、ボットネット、危険、ポルノ、キーロガー、マルウェア、フィッシング、スパイウェア、違法薬物、ハッキング、スパム、問題のあるものが含まれます。 一致するトラフィックのイベントを生成するためにルールのトラッキングを設定します。
インターネットファイアウォール内の最終ルールは暗黙のAny - Any - Allowルールですが、明示的なAny - Any - Allowルールを最終ルールとして追加することをお勧めします。 この方法により、すべてのルールに対してイベントの追跡を選択するだけで、すべてのインターネットトラフィックを簡単に記録できます。
トップレベルドメイン (TLD) のブロック
Catoのインターネットファイアウォールでは、.shop、.info、または.cg (コンゴ) のような国コードTLDなど、トップレベルドメイン（TLD）全体をシンプルかつ効果的にブロックできます。 この機能により、組織はネットワーク全体で高リスクまたは望ましくないTLDへのアクセスを事前に防ぐことができ、セキュリティが向上します。
TLDをブロックするには、インターネットファイアウォールルールのアプリ/カテゴリのドメインを定義します。 ワイルドカード（例：*.info）を使用する必要はありません。サブドメインは自動的に含まれます。 これにより、infoを追加すると、example.info、subdomain.example.info、および.info TLDの他のすべてのドメインがブロックされます。
インターネットファイアウォールは、指定されたTLDの下にあるドメインへの送信トラフィックをブロックします。 それは受信トラフィックをブロックしません。 国をドメインでブロックすることは、IPベースのフィルタリングではなく、ドメイン名自体に依存しています。
上の例は、この動作でブロックルールに追加できるドメインを示しています。
infoはすべての.infoドメインをブロックします
shopはすべての.shopドメインをブロックします
cgはすべての.cg (コンゴ) ドメインをブロックします
インターネットトラフィックの許可リスト化
許可リスト動作によるインターネットファイアウォールの実装は、ファイアウォールがデフォルトですべてのインターネットトラフィックをブロックすることを意味します。 企業のセキュリティポリシーのニーズに応じて、インターネットトラフィックを特に許可するルールをファイアウォールに追加します。
CMAで許可リストのインターネットファイアウォールを実装するには、ルールベースの一番下の最終ルールが、どのソースからどの宛先へのトラフィックもブロックする明示的なルールである必要があります。 以下の例を参照してください：
ネットワーク上のインターネットトラフィックを監視および分析するのに役立つイベントを生成するために、最終ルールのトラッキングを有効にすることもお勧めします。
許可リストインターネットファイアウォールの推奨ルール
このセクションでは、許可リストアプローチを使用するインターネットファイアウォールのルールベースに含めることをお勧めするルールについて説明します。
ウェブサイトとアプリの制限
HTTPおよびHTTPSトラフィックを許可する場合、リスクがあり不適切なコンテンツを含むウェブサイトをブロックすることをお勧めします。 これらのウェブサイトは通常企業によってブロックされ、またマルウェアの潜在的な原因となる可能性があります。 各カテゴリ（リソース > カテゴリ）には、ルールに簡単に追加できる様々なウェブサイトおよびアプリがあります。 カテゴリーには、例えば、ボットネット、侵害、ポルノ、キーロガー、マルウェア、フィッシング、スパイウェア、違法薬物、ハッキング、スパム、疑わしいなどが含まれます。
DNSトラフィックの許可
ルールベースの最上部に、インターネットトラフィックの一部としてすべてのDNSサービスを許可するルールがあることを確認してください。
次のスクリーンショットはDNSトラフィックを許可するルールの例を示しています：
サービスの許可
アカウントが使用し、インターネットへのアクセスを必要とするサービスを許可するルールを作成します。 さらに、特定のサイトでのみ使用されるサービスがある場合は、それらのサイトへのアクセスのみを許可する別のルールを作成できます。
アプリケーションの許可
組織で使用されているアプリケーションを、事前定義されたアプリケーションリストからインターネットファイアウォールルールに追加します。 Catoはこのリストを新しいアプリケーションで継続的に更新します。 リストに表示されないアプリケーションが必要な場合は、カスタムアプリケーションを定義できます。 カスタムアプリの設定に関する詳細については、カスタムアプリの操作を参照してください。
インターネットトラフィックのブロックリスト化
ブロックリスト動作を持つインターネットファイアウォールを実装することは、デフォルトでファイアウォールがすべてのインターネットトラフィックを許可することを意味します。 企業のセキュリティポリシーのニーズに応じて、特定のインターネットトラフィックをブロックするルールをファイアウォールに追加してください。 ブロックリストングはインターネットファイアウォールのデフォルト構造で、ルールによってブロックされていないトラフィックを許可します。
さらに、お勧めする方法として、学習期間を利用して不要なインターネットトラフィックを特定することがあります。 この学習期間中には、最下部に任意のソースから任意の宛先へのトラッキングが有効になっているトラフィックを許可するルールを一時的に追加してください。 このルールは、インターネットへのアクセスが許可されたすべての接続に対してイベントを生成します。 アカウントのインターネットトラフィックをレビューした際に不要なトラフィックを識別した場合、それをブロックするためのルールを追加できます。
ファイアウォールイベントに関する詳細については、ネットワークのイベント分析を参照してください。
ブロックリストインターネットファイアウォールの推奨ルール
このセクションでは、ブロックリストアプローチを使用するインターネットファイアウォールのルールベースに含めることをお勧めするルールについて説明します。
既知の脆弱性を持つサービスのブロック
TelnetとSNMP v1 & v2のようなサービスは潜在的なセキュリティリスクであり、インターネットルールベースでブロックできます。 組織がこれらのサービスにアクセスする必要がある場合、特定のユーザーまたはグループに対してブロックルールへの例外を追加することをお勧めします。
以下のスクリーンショットは、Telnet and SNMPトラフィックをブロックするルールのサンプルと、IT部門のアクセスを許可する例外を示しています：
カテゴリ未分類のウェブコンテンツのブロック
カテゴリ未分類には、カテゴリリストの既存のカテゴリに割り当てられていないウェブサイトが含まれています。 これらのウェブサイトは、ネットワークに対する潜在的なセキュリティリスクとなる可能性があります。 すべてのインターネットトラフィックに対して、カテゴリ未分類をブロックするルールを作成してください。
カトのRBIサービスを使用して未分類サイトへの安全なアクセスを有効にすることもできます。 RBIに関する詳細については、リモートブラウザ分離を通じたブラウジングセッションの保護を参照してください。
ジオロケーションを使用して国をブロックする
悪意のあるトラフィックを生成することで知られている国がいくつかあります。 組織がこれらの国とビジネスを行っていない場合、インターネットへのアクセスをブロックし、潜在的な悪意のあるトラフィックを削減することをお勧めします。 アプリ/カテゴリセクションで国設定を使用して、指定された国へのインターネットトラフィックをブロックするルールを作成できます。
特定の国からのトラフィックをブロックしたいが、特定のFQDN へのアクセスを許可したい場合、必須のFQDNと許可アクションを含むルールを作成します。 次に、その国をブロックする低優先度のルールを作成します。
注：
すべてのインターネットアクセスを国に対してブロックするには、ジオロケーションルールが許可または確認アクションを含むルールよりもルールベースで高い位置にあることを確認してください。
WANトラフィックのセキュリティ強化
CatoのWANファイアウォールは、Cato Cloudに接続された異なるネットワーク要素間のトラフィックを制御する責任があります。 WANファイアウォールを使用すると、ネットワーク上のWANトラフィックを制御し、最適なネットワークセキュリティを実現できます。
WANファイアウォールは、デフォルトでANY ANYブロック（許可リスト）アプローチを使用しています。 これは、特定のWANファイアウォールルールを定義しない限り、サイトとユーザー間のすべての接続性がブロックされることを意味します。
次のスクリーンショットは、CMAでの例のWANファイアウォールポリシーを示しています (セキュリティ > WANファイアウォール)
Cato WANファイアウォールポリシーのベストプラクティス
このセクションでは、アカウントのWAN接続性をセキュリティするためのベストプラクティスが含まれています。
特定のトラフィックをサイトとユーザー間で許可
WANファイアウォールの基本原則は、望ましいトラフィックのみを許可することです。 これらの許可ルールに対しては、使用され、強化されたセキュリティ接続性を提供する特定のサービスとポートを追加します。
次のスクリーンショットは、すべてのZTNAユーザーがデータセンターサイトにアクセスできるようにするサンプルのWANファイアウォールルールを示しています。 このルールは、ZTNAユーザー向けにRDPトラフィックのみを許可するため、セキュリティを向上させます。
送信元と宛先の「すべて」を避ける
ANY 送信元または宛先へのアクセスを許可するWANファイアウォールルールは、特定のサイトとユーザーに比べてセキュリティが低くなります。 より具体的な設定により、アカウントのWAN接続性の制御を強化できます。
次のスクリーンショットは、送信元および宛先設定に特定のサイトを使用した例のWANファイアウォールルールを示しています：
細かいルールでイベントデータを向上させる
Anyを使用してWANファイアウォールルールを設定すると、ルールに関連するイベントが関連性のあるすべてのデータを含まないことがあり、アプリケーションの使用を分析するのが難しくなる可能性があります。 Any設定を使用したルールのイベントに関する詳細については、上記の細かいルールでイベントデータを向上させるをご覧ください。 アプリケーションの使用分析を改善するため、ルール条件でAnyの使用を最小限にし、代わりに特定のアプリケーション、サービス、ポートなどを使用した細かいルールを提案します。
WANトラフィックの許可リスト化
許可リスト動作を持つWANファイアウォールを実装すると、デフォルトでサイト、サーバー、ユーザー間のすべてのWAN接続性がブロックされます。 ネットワーク内のWANトラフィック接続性を特に許可するルールをファイアウォールに追加します。 許可リスト化はCato WANファイアウォールのデフォルトの構造であり、WANルールベースの暗黙の最終ルールはANY ANYブロックです。
任意の送信元から任意の宛先への接続を許可するルールを追加しないことを強くお勧めします。 このタイプのANY ANY許可ルールは、ネットワークを重大なセキュリティリスクにさらします。
サービスとアプリケーションによるトラフィックの制限
許可リストWANファイアウォールの強力なセキュリティポリシーには、組織が使用する特定のサービスとアプリケーションのみを許可するルールが含まれています。 サイト間のトラフィックには任意のサービスを許可するルールを使用する代わりに、このルールにサービスやアプリケーションを追加してください。 サービスはポートよりも具体的であるため、可能な限りポートではなくサービスを使用したルールの定義をお勧めします。
組織がよく使用するサービスの例には、DNS、DHCP、SMB、データベース、Citrix、RDP、DCE/RPC、SMTP、FTP、ICMP、NetBIOS、NTP、SNMPなどがあります。
組織がよく使用するアプリケーションの例には、SharePoint、Slack、Citrix ShareFileなどがあります。
WANファイアウォール用のすべてのアプリケーションとサービスを含むカスタムカテゴリを作成し、このカスタムカテゴリを関連するルールに追加できます。 ファイアウォールに事前定義されていないアプリケーションやサービスには、カスタムアプリケーションを使用します。 これにより、イベントにアプリケーション名を含めて、分析をより良くすることができます。
WANトラフィックのブロックリスト化
ブロックリスト動作を持つWANファイアウォールを実装すると、デフォルトでサイト、サーバー、ユーザー間のすべてのWAN接続が許可されます。 企業のセキュリティポリシーのニーズに応じてWANトラフィックを特にブロックするルールをファイアウォールに追加します。 ただし、組織がこれを使用している場合は、望ましくないWANトラフィックをブロックすることを確認してください。 しかし、組織がそれを使用している場合は、不要なWANトラフィックをブロックしていることを確認してください。
ブロックリストWANファイアウォールをCMAに実装するには、ルールベースに最下部にANY ANY許可ルールが含まれます。
ブロックリストファイアウォールによるWANトラフィックのブロック
ブロックリストWANファイアウォールの場合、強力なセキュリティポリシーを作成するための最終ANY ANY許可ルールの上に次のルールを追加することをお勧めします:
セキュリティリスクであり既知の脆弱性を持つサービス（例: SMBv1）をブロックするルール
通信する必要がないサイト間の接続性をブロックするルール