Cato WANファイアウォールとは何ですか？

この記事は、アカウントのWANファイアウォールに関する背景情報を提供します。

WANファイアウォールを使用する際の詳細については、WANファイアウォールポリシーの管理を参照してください。

Cato WANファイアウォールの概要

Cato CloudのWANファイアウォールは、広域ネットワーク (WAN) 内のオブジェクトとエンティティへのアクセスを制御します。 WANファイアウォールルールベースを設定して、安全なアクセス制御ポリシーを作成し、ネットワークを保護します。

WANファイアウォールは、Cato Cloudに統合された次世代ファイアウォール (NGFW) の一部で、ネットワークへの不正アクセスを防止するためにルールを作成できます。 WANファイアウォールはホワイトリスト方式を採用しており、ルールベースに明示的に許可されていないすべての接続を拒否するデフォルトのANY-ANYブロックルールがあります。

ルールを使用してファイアウォールを設定し、すべての接続を検査して設定された条件と一致するもののみを許可します。ファイアウォールは順序付けられたルールベースを使用します。これは、接続を検査し、最初のルールと一致するかどうかを確認することで始まることを意味します。一致しない場合、接続が一致するルールが見つかるまで順番に各ルールを適用し続けます。

WANファイアウォールには、ユーザー認識を備えた完全なレイヤー7機能が含まれており、WAN上の特定のアプリケーションに対するゼロトラストアクセスポリシーを許可します。

ユースケース - 承認済みのビデオ会議デバイスメーカーのみを許可

セキュリティ管理者は、ロンドン支店オフィスの会議室のセキュリティ体制を確認するためのタスクを受け取ります。管理者は、デバイスインベントリページに移動し、フィールド - デバイスタイプ、オペレーター - 含む、値 - ビデオ会議でフィルタをかけ、ロンドンサイトのすべてのビデオ会議デバイスを確認します。管理者は、さまざまなメーカーからのビデオ会議デバイスがあることに気付き、これが組織のセキュリティポリシーを満たしていません。 ITチームはすでにIoTセキュリティライセンスを持っており、デバイス属性設定を使用してビデオ会議デバイスの2つの承認されたメーカーのみを許可する新しいルールをWANおよびインターネットファイアウォールポリシーで作成します。ロンドンサイトの一部のビデオ会議デバイスは、承認されたメーカーの新しいデバイスに交換されるまでファイアウォールポリシーによってブロックされるため、動作しなくなります。

自律型ファイアウォールインサイトの理解

WANファイアウォール.png

WAN自律型ファイアウォールインサイトは、WANファイアウォールポリシーを評価し、Catoの推奨事項にどのように準拠しているかを示す姿勢チェックのリストです。これらの推奨事項に従うことで、ファイアウォール設定が最適化され、セキュリティ体制が向上します。

インサイトには2種類あります：

星型アイコン (AI駆動): WANファイアウォールポリシーで有効になっているルールは、人工知能 (AI) によって自動的に分析され、例として削除または変更が可能なルールを検出します。
- 一時的なルール: 差し迫ったニーズに対応するために短期間で導入される解決策です。これらのルールは、適切または永続的な解決策が導入または開発されている間、一時的に機能するために作成されます。
- テストルール: 特定の機能やシナリオの検証、デバッグ、実験のために作成されたルールです。
- 期限切れのルールまたは将来の有効期限日のルール: 特定の必要性に対応するために作成され、既に切れてしまったか、まだ到達していない望ましい締切日があります。
- 過度に許容的なルール: ルールに定義されたユーザー、ホスト、アプリ、またはプロトコルに基づいて過度に許容されている可能性のあるルールです。このインサイトは、トポロジカルヒューリスティクスを使用して、ゼロトラスト戦略により適合するようにルールから余分な項目を削除することを推奨します。
  たとえば: 特定のゼロトラストデバイスポスチャプロファイルにより、sampleAdminのみにユーザーアクセスを制限し、アプリケーションをRDPのみに制限し、プロトコルをTCPのみに制限します。
- 未使用のルール:過去60日間にイベントを生成していない許可アクションのファイアウォールルールを特定します
設定ベース: インターネットファイアウォールポリシーの設定と構成がベストプラクティスに従っていることを確認します。

WANファイアウォール構成ウィザードの使用

WANファイアウォール構成ウィザードは、これらのチェックとインサイトを使用してポリシーを自律的にレビューします。チェックが失敗した場合、個々のルールを編集することなく、ウィザード内で直接ポリシーをレビューして更新できます。これにより、ポリシー管理を簡素化しながらセキュリティを確保することができます。詳細については、構成ウィザードの使用をご覧ください。

Catoファイアウォールにおけるアンチスプーフィング保護

One of the basic functionalities of an NGFW is to protect against anti-spoofing attacks. The security engines in the Cato Cloud implicitly drop any connection where the source IP is outside the scope of the configured entity (such as site, network range, device, or user). This blocks anti-spoofing attacks and prevents violations of the configured logical topology.

順序化されたルールの使用

WANファイアウォールは接続を順次検査し、ルールに一致するかを確認します。ルールに一致しない場合、ファイナルルールであるデフォルトのANY-ANYブロックルールによって接続は遮断されます。強力なアクセス制御ポリシーには、特定の接続とトラフィックをWANで許可するファイアウォールルールが含まれます。

ルールベースの最後のデフォルトルールセクションでデフォルトルールの設定を確認できます。これらのルール設定は編集できません。

ルールベースのトップにあるルールは、上位の優先順位を持ちます。これは、接続前に上の接続に適用されるためです。たとえば、接続がルール#3に一致すると、アクションが接続に適用され、ファイアウォールの検査が停止します。ファイアウォールは接続に対してルール#4以下を適用し続けることはありません。 WANファイアウォールの効率を高め、最も多くの接続に一致するルールに優先順位を付けることができます。

単一のルールで複数のオブジェクトを使用する

アプリケーションやサービスなど、複数の列にオブジェクトを含むルールがある場合、それらの間にはAND関係があります。たとえば、バックアップサービスアプリケーションがポート443を許可するルールがある場合、トラフィックはアプリケーションとポートの両方に一致したときに許可されます。

複数のオブジェクトを単一の列で使用するルールでは、複数のポートのように、それらにはOR関係があります。例えば、メールサーバーへのアクセスを許可するルールでサービスとしてSMTPとポート25、265、587、および2525が指定されている場合、SMTPサービスまたは任意のポートに一致するときにトラフィックが許可されます。

注: 各ルールはAND関係で最大64の条件を持つことができ、ルールの例外はこの上限に含まれます。たとえば、ソースおよびサービスなどの2つのAND条件を持つルールがあり、そのルールには25の例外とそれぞれソース、アプリ、サービスという3つのAND条件がある場合、そのルールは77の条件があります。これはサポート上限の64条件を超えているため、ルールが正常に機能しない可能性があります。ただし、OR関係があるため、ルールの同じ列内で64以上のオブジェクトを割り当てることができます。たとえば、1つのルールに64以上のアプリを割り当てることができます。

ヒット数の理解

ヒット数は、ポリシーから削除可能な未使用のルールを認識し、必要なトラフィックスコープにより適したルール構成を最適化するのに役立ちます。ルールのヒット数は、ルールによって生成されるイベントの数に基づいています。ルールがイベントを生成しない場合、ヒット数はゼロです。

ヒット数には2つの数値が含まれています：

ポリシー内の各ルールによって生成されるイベントのおおよその数
他のルールに比べてどれだけ頻繁にルールがヒットされるか (パーセンタイル別にランク付け)

ステータスバーの色に基づいて、最も高いヒット数と最も低いヒット数のルールをすぐに識別できます。この色は、他のルールに比べてルールがどのくらい頻繁にヒットされるかを反映します：

ブルー: 0 - 24パーセンタイル
グリーン: 25 - 49パーセンタイル
オレンジ: 50 - 74パーセンタイル
レッド: 75 - 100パーセンタイル

ヒットカウンターのリセットおよび更新

リセット.png

ヒット数は過去14日間のトラフィックに基づいて自動的に24時間ごとに更新されます。各ルールの末尾にある3つのドットから、最新の可視性を得るためにヒット数をリセットまたは更新できます。これにより、ルールの有効性を正確に測定し、ルールのアクティビティを即座に検証できます。

特定のファイアウォールルールのヒットカウンターをリセットすると、ヒット数が0に戻ります
ヒットカウンターの更新は、すべてのファイアウォールルールのヒット数をオンデマンドで更新します

ポリシーリビジョンと複数管理者による同時編集

WANファイアウォールは、異なる管理者がポリシーを並行して編集できるようにします。各管理者は、自分のプライベート改訂でルールを編集し、ルールベースへの変更を保存し、その後、アカウントポリシーに公開バージョンとして公開できます。ポリシーリビジョンの管理方法について詳しくは、ポリシーリビジョンの扱いを参照してください。

ルールの時間設定の構成

ルールの時間設定を構成して、設定された日付と時刻で有効または無効にすることができます。時間ドロップダウンで、日次スケジュールおよび/またはアクティブ期間を構成できます。

これらのオプションを両方とも構成して、たとえば2025年5月の平日にルールがアクティブになるようにできます。あるいは、それぞれのオプションを個別に設定してニーズに応じることもできます。

日次スケジュールの理解

日次スケジュールは、ルールがアクティブになるスケジュールを定義します。ルールにスケジュールが構成されている場合、ルールテーブルのアクション列に時計記号が表示されます。

日次スケジュールのオプションは以下のとおりです：

時間制約なし: ルールにはスケジュールがありません。これはルールのデフォルトの動作です。
勤務時間内に制限: ルールは、Cato管理アプリケーションで設定された勤務時間内のみアクティブです。勤務時間の詳細については、アカウントのデフォルト勤務時間の定義を参照してください。
カスタム: ルールがアクティブな曜日および曜日を選択します。 繰り返すオプションをオフにし、ルールの時間設定の日付を選択します。
- 繰り返す: 時間設定が複数回適用されます（例: 毎週火曜日の午前9時から午後5時まで）。

アクティブ期間の理解

アクティブ期間は、ルールがUTCでアクティブな日付と時間期間を定義します。 有効開始日フィールドが選択されていない場合、ルールが保存および公開された後すぐにルールはアクティブになります。

ルールテーブル上で、アクティブ期間が定義されている場合、砂時計のシンボルがアクション列に表示されます。シンボルの色は、ステータスを反映しています：

ブラック: ルールはアクティブではなく、将来的にアクティブになります
グリーン: ルールはアクティブです
レッド: ルールは期限切れです

WANファイアウォールルールの設定の理解

このセクションでは、WANファイアウォールルールベースのルールに対するフィールドと設定を説明します。 WANファイアウォールを深く理解することで、企業ネットワークのアクセス制御を成功裏に管理できます。

ルールアクション

次の表は、各ファイアウォールルールがネットワークトラフィックに適用できるアクションを説明しています。イベントを生成するアクションについては、ホーム > イベントでイベントログを表示できます。

アイテム	説明
許可	ファイアウォールは一致するトラフィックを許可します。
ブロック	ファイアウォールは一致するトラフィックをブロックします。
プロンプト	ファイアウォールは、一致するトラフィックをメッセージ付きのウェブページにリダイレクトします。ユーザーは続行すべきかどうか判断するよう促されます。ウェブページのプロンプトをカスタマイズできます。詳細は警告/ブロックページのカスタマイズをご覧ください。 Cato のプロンプトページは、JavaScriptとセッションcookieを使用してユーザーの同意を管理するHTMLページです。これらのcookieはドメインに特有で一時的であり、多くの場合ブラウザーを閉じたときに削除されます。 Catoは現在、3つのcookie名のプレフィックスを使用しています (`tls_cert_err`, `fw_wan`, および `fw_inet`)。 Cookieの取り扱いとセッションの持続性は、ユーザー設定、ブラウザー、オペレーティングシステムに依存します。プロンプトページの後にユーザーが進行を選択したときのイベントを確認するには、イベントページで確認アクションフィールドに進行するという値を設定したイベントを表示するフィルターをかけてください。

アイテム

説明

許可

ファイアウォールは一致するトラフィックを許可します。

ブロック

ファイアウォールは一致するトラフィックをブロックします。

プロンプト

ファイアウォールは、一致するトラフィックをメッセージ付きのウェブページにリダイレクトします。ユーザーは続行すべきかどうか判断するよう促されます。ウェブページのプロンプトをカスタマイズできます。詳細は警告/ブロックページのカスタマイズをご覧ください。

Cato のプロンプトページは、JavaScriptとセッションcookieを使用してユーザーの同意を管理するHTMLページです。これらのcookieはドメインに特有で一時的であり、多くの場合ブラウザーを閉じたときに削除されます。 Catoは現在、3つのcookie名のプレフィックスを使用しています (tls_cert_err, fw_wan, および fw_inet)。 Cookieの取り扱いとセッションの持続性は、ユーザー設定、ブラウザー、オペレーティングシステムに依存します。

プロンプトページの後にユーザーが進行を選択したときのイベントを確認するには、イベントページで確認アクションフィールドに進行するという値を設定したイベントを表示するフィルターをかけてください。

ルールベースカラム

次の表は、WANファイアウォールルールベース内の各列を説明します。ルールに複数の列が設定されている場合、それらの間にはAND関係があります。

ルールに関する詳細は、ルールオブジェクトの参照を参照してください。

アイテム	説明
#	WANファイアウォールルールベース内のルールの優先度を示します。ルールの順序フィールドを使用して、ルールの優先度を変更します。有効化/無効化トグルを使用して、ルールを有効または無効にします。トグルは有効化時に緑色になります。
名前	ルールの名前を入力します
ソース	このルールのトラフィックのソース
基準	条件付きアクセスを、エンドユーザーやネットワーク上の他のデバイス（IoT/OTなど）の実際のデバイスの属性に基づいて定義します。オプションには以下が含まれます：デバイス属性 - デバイスインベントリ検知エンジンによって特定されたデバイスの属性プラットフォーム - デバイスのオペレーティングシステム (OS) 国 - デバイスの物理的な位置による接続のソース国 (IPアドレスのジオロケーションによる) デバイスポスチャープロファイル - (アクセス > デバイスポスチャーで設定) 接続の出元 - デバイスのジオロケーション (リモートまたはサイトの背後)
方向	ルールの方向を示します。オプションには以下が含まれます：宛先 - このルールによりトラフィックは1方向のみに許可され、ソースから宛先へのみ許可します。例えば、サイトAlphaはサイトBravoに接続することが許可されていますが、サイトBravoはサイトAlphaに接続できません。両方向 - このルールは、トラフィックをソースおよび宛先の両方向に管理します。
宛先	このルールのトラフィックの宛先
アプリ/カテゴリ	特定のアプリケーション、カテゴリ、およびその他のオブジェクトに一致するオブジェクトにのみ適用されます
サービス/ポート	指定されたサービスおよびポートに一致するトラフィックにのみ適用されます
アクション	ルールに一致するトラフィックに指定されたアクションを適用します例えば、トラフィックがブロックされた場合、接続はドロップされ、それ以下の優先度の低いルールはこの接続には適用されません
トラッキング	ルールが一致した場合、イベントが生成されるか、指定されたリストにメール通知が送信されます
ヒット数	このルールのヒット数
	これらのオプションを含むドロップダウンメニューを開きます：上にルールを追加 - 選択したルールの上に新しいルールを追加します下にルールを追加 - 選択したルールの下に新しいルールを追加しますルールを複製: 同じセクションで、選択したオリジナルのルールのすぐ下に新しい同一のルールを作成しますルールを移動 - ルールの順序で異なる位置を定義することにより、ルールの優先度を変更します例外を追加 - 選択したルールに新しい例外を作成します有効/無効 - ルールが無効化されている場合、ファイアウォールはそのルール内の設定について接続を検査しませんルールイベントを表示 - ルールに関連するイベントを事前にフィルタリングされたイベントページを表示しますルールを削除 - 選択したルールを削除します

WANファイアウォールに関する関連リソース

アプリケーションとカテゴリに関する詳細は、カテゴリの操作を参照してください
WANファイアウォールにおける設定の詳細は、WANファイアウォールポリシーの管理を参照してください