インバウンドSSL復号化ポリシーが設定されている際にSSLの脆弱性が検知されない

[ymiyashita]

※この記事は以下の記事の日本語訳です。

SSL Vulnerability Non-Detection Behavior is Seen when Inbound SSL Decryption Policy is Set

https://live.paloaltonetworks.com/t5/Threat-Articles/SSL-Vulnerability-Non-Detection-Behavior-is-See...

問題

インバウンドSSL復号化ポリシーが設定されている場合（シングルVSYS、マルチVSYSに関わらず）、SSLに関連した脆弱性の検知に失敗します。

原因

インバウンドSSL復号化ポリシーによって復号化が行われると、脅威エンジンは復号化された後のデータのみを検査することとなります。そのためSSLのハンドシェイクのhelloパケットに含まれているSSLのバージョン番号(SSL3.0)のチェックがされなくなり、SSL v3の脆弱性が検知されなくなります。

詳細

以下に挙げた脆弱性は、本シナリオに当てはまります。

• SSL v3 due to the Poodle SSL vulnerability (CVE-2014-3566)
  https://threatvault.paloaltonetworks.com (Threat ID 36815)
  https://live.paloaltonetworks.com/t5/Threat-Articles/SSL-3-0-MITM-Attack-CVE-2014-3566-PAN-SA-2014-0...
• Poodle Bites TLS (CVS-2014-8730)
  https://threatvault.paloaltonetworks.com (Threat ID 37144)
  https://blog.qualys.com/ssllabs/2014/12/08/poodle-bites-tls

回避策

以下の手順にて、インバウンドSSL復号化ポリシーを無効にします。

1. WebGUIにて、Policies > 復号 へ移動します。
2. 無効にする “Inbound SSL Decryption Policy” を選択します。
3. 「無効化」のボタンを押します。
   
4. コミットします。

著者: khogi