About hshirai

※この記事は以下の記事の日本語訳です。 How to Configure Dynamic Routing over IPSec against Cisco routers https://live.paloaltonetworks.com/t5/Documentation-Articles/How-to-Configure-Dynamic-Routing-over-IPSec-against-Cisco/ta-p/60523     添付の技術文書は、Palo Alto NetworksファイアウォールとCiscoルーター間での、IPSecトンネルを使用したダイナミック ルーティング プロトコルを設定、実行するために必要な手順を説明しています。 この中では、Palo Alto Networksと互換性のあるCisco IPSec VTIインターフェイスの設定方法を説明しています。また、CiscoとPalo Alto Networksの両方のデバイスのための設定を含んでいます。 記載例はOSPFに基づきますが、RIPやBGPに対しても拡張できます。     著者：jdiaz ... View more

※この記事は以下の記事の日本語訳です。 PAN-OS 6.0 CEF Configuration Guide https://live.paloaltonetworks.com/t5/Configuration-Articles/PAN-OS-6-0-CEF-Configuration-Guide/ta-p/59938     こちらの文書は、 CEFフォーマットでSyslogイベントを収集するために、 PAN-OS 6.0を搭載したPalo Alto Networks 次世代ファイアウォールを 設定する情報を記載しています。PAN-OSバージョン6.0.0、あるいはそれ以降のバージョンをサポートしています。 最終更新日 2014年5月22日。   訳注：上記の通り原文はPAN-OS 6.0用の文書ですが、その後により新しいPAN-OSバージョン向けの文書も発行しております。以下よりご使用のPAN-OSバージョンに一致するCommon Event Format (CEF) Configuration Guidesをご参照ください。   Common Event Format (CEF) Configuration Guides       以下は、CEFスタイルのログ フォーマットのHTML版となっており、コピー＆ペーストしていただけます：   トラフィック CEF:0|Palo Alto Networks|PAN-OS|6.0.0|$subtype|$type|1|rt=$cef-formatted-receive_time deviceExternalId=$serial src=$src dst=$dst sourceTranslatedAddress=$natsrc destinationTranslatedAddress=$natdst cs1Label=Rule cs1=$rule suser=$srcuser duser=$dstuser app=$app cs3Label=Virtual System cs3=$vsys cs4Label=Source Zone cs4=$from cs5Label=Destination Zone cs5=$to deviceInboundInterface=$inbound_if deviceOutboundInterface=$outbound_if cs6Label=LogProfile cs6=$logset cn1Label=SessionID cn1=$sessionid cnt=$repeatcnt spt=$sport dpt=$dport sourceTranslatedPort=$natsport destinationTranslatedPort=$natdport flexString1Label=Flags flexString1=$flags proto=$proto act=$action flexNumber1Label=Total bytes flexNumber1=$bytes in=$bytes_sent out=$bytes_received cn2Label=Packets cn2=$packets PanOSPacketsReceived=$pkts_received PanOSPacketsSent=$pkts_sent start=$cef-formatted-time_generated cn3Label=Elapsed time in seconds cn3=$elapsed cs2Label=URL Category cs2=$category externalId=$seqno   脅威 CEF:0|Palo Alto Networks|PAN-OS|6.0.0|$subtype|$type|$number-of-severity|rt=$cef-formatted-receive_time deviceExternalId=$serial src=$src dst=$dst sourceTranslatedAddress=$natsrc destinationTranslatedAddress=$natdst cs1Label=Rule cs1=$rule suser=$srcuser duser=$dstuser app=$app cs3Label=Virtual System cs3=$vsys cs4Label=Source Zone cs4=$from cs5Label=Destination Zone cs5=$to deviceInboundInterface=$inbound_if deviceOutboundInterface=$outbound_if cs6Label=LogProfile cs6=$logset cn1Label=SessionID cn1=$sessionid cnt=$repeatcnt spt=$sport dpt=$dport sourceTranslatedPort=$natsport destinationTranslatedPort=$natdport flexString1Label=Flags flexString1=$flags proto=$proto act=$action request=$misc cs2Label=URL Category cs2=$category flexString2Label=Direction flexString2=$direction externalId=$seqno requestContext=$contenttype cat=$threatid filePath=$cloud fileId=$pcap_id fileHash=$filedigest   設定 CEF:0|Palo Alto Networks|PAN-OS|6.0.0|$result|$type|1|rt=$cef-formatted-receive_time deviceExternalId=$serial dvchost=$host cs3Label=Virtual System cs3=$vsys act=$cmd duser=$admin destinationServiceName=$client msg=$path externalId=$seqno   注：設定に追加することができるオプション フィールドは以下のとおりです： cs1Label=Before Change Detail cs1=$before-change-detail cs2Label=After Change Detail cs2=$after-change-detail   例えば、すべての文字列を設定に追加するには、以下のように設定します: CEF:0|Palo Alto Networks|PAN-OS|6.0.0|$result|$type|1|rt=$cef-formatted-receive_time deviceExternalId=$serial dvchost=$host cs3Label=Virtual System cs3=$vsys act=$cmd duser=$admin destinationServiceName=$client msg=$path externalId=$seqno cs1Label=Before Change Detail cs1=$before-change-detail cs2Label=After Change Detail cs2=$after-change-detail   システム マッチ CEF:0|Palo Alto Networks|PAN-OS|6.0.0|$subtype|$type|$number-of-severity|rt=$cef-formatted-receive_time deviceExternalId=$serial cs3Label=Virtual System cs3=$vsys fname=$object flexString2Label=Module flexString2=$module msg=$opaque externalId=$seqno cat=$eventid   HIP マッチ CEF:0|Palo Alto Networks|PAN-OS|6.0.0|$matchtype|$type|1|rt=$cef-formatted-receive_time deviceExternalId=$serial suser=$srcuser cs3Label=Virtual System cs3=$vsys shost=$machinename src=$src cnt=$repeatcnt externalId=$seqno cat=$matchname cs2Label=Operating System cs2=$os     著者：TechPubs ... View more

※この記事は以下の記事の日本語訳です。 How to Create Subordinate CA Certificates with Microsoft Certificate Server https://live.paloaltonetworks.com/t5/Learning-Articles/How-to-Create-Subordinate-CA-Certificates-with-Microsoft/ta-p/58046   概要 この文書はMicrosoft Certificate Serverを使用した下位CA証明書の作成方法について記載します。 " http:// <IPアドレスまたはサーバー名>/certsrv"をブラウザで開き、サーバーの画面にアクセスします。 "Welcome"画面にて、"Request a Certificate"を選択します。 次の画面で"advanced certificate request"を選択します。 "Create and Submit a request to the CA"を選択します。 次の画面のフォームで、"Certificate Template"のプルダウン メニューから"Subordinate Certification Authority"を選択します。証明書のための必要事項を入力します（名前、連絡先など）。申請を行うとローカル システムに証明書をダウンロードするためのリンクが表示されます。 ダウンロード後、ローカルの証明書ストアから証明書をエクスポートします。"Internet Options"画面にて"Content"タブを選択し、"Certificates"ボタンをクリックします。新しい証明書をPersonal証明書ストアからエスクポートすることができます。 "Certificate Export Wizard"を表示するには、"Export"ボタンをクリックします。 "Certificate Export Wizard"画面にて、"Yes, export the private key"を選択し、続いてフォーマットを選択します。パスワードとファイル名、保存場所を指定します。   Microsoft Certificate Serverは、おそらく証明書をPFXフォーマット(PKCS #12)で提供しています。 証明書をPEMフォーマットでエクスポートするには、以下の手順で行います。 openSSLを使い、 openssl pkcs12 –in pfxfilename.pfx –out tempfile.pem と入力します。 "tempfile.pem"をテキスト エディターで開きます。 -----BEGIN RSA PRIVATE KEY----- で始まっているセクションを見つけます。 -----END RSA PRIVATE KEY----- までの全テキストを選択し、新しいファイルに貼り付けて、拡張子".key"をつけて保存します。 ".pem"ファイルからそれ以外のテキストをコピーし、別のファイルに貼り付け、拡張子".crt"をつけて保存します。 上記の手順により、keyファイルと証明書をインポートすることができます。   CLIコマンド お客様のルートCAがWebインターフェイスを備えていない場合もあり、その場合はCLIを通して 同じ操作を 行うことができます。 Microsoft CAにおけるコマンド：   certreq -submit -attrib "CertificateTemplate:SubCA" <certificate-signing-request>.csr   このコマンドを入力することでGUIプロンプトが表示され、そのプロンプトで申請するCAを選択します。通常、同じサーバ上にはルートCAは1つだけなので、表示されているCAを選択します。 その後、該当する申請がCAサーバーの保留中の申請の中に表示されます。     著者：panagent ... View more

※この記事は以下の記事の日本語訳です。 Zone Protection Recommendations https://live.paloaltonetworks.com/t5/Learning-Articles/Zone-Protection-Recommendations/ta-p/55850     以下の記事は、Palo Alto NetworksのエンジニアであるGraham Garrisonによって執筆されました。   PAN-OSを実行しているPalo Alto Networksデバイスは、ユーザーやネットワーク、クリティカルなシステムを守るために、App-IDやUser-IDのような数々の次世代ファイアウォールの機能を提供しています。これらの強力な技術に加え、PAN-OSはネットワーク及びトランスポートレイヤーでの悪意ある活動に対して、ゾーン プロテクション プロファイルを使用した防御も提供します。セキュリティ ゾーンに対してこれらのプロファイルを適用は、フラッド攻撃や偵察行為、その他のパケット ベースの攻撃への防御の一助となります。   ゾーン プロテクションを設定する際、それがシステムによりどのように適用されるのかを理解することや、パケット処理のどのステージで適用されるのかを理解することが重要です。ゾーン プロテクションは常に入力インターフェイスに適用されるため、インターネットからのフラッド攻撃や偵察行為から防御したい場合、信頼されないインターネットのインターフェイスを含むゾーンに対してプロファイルを設定して適用します。ネットワークをより強化したいと思われるセキュリティの管理者は、防御する手段がすべての環境に適用されていることを確実にするために、さらに内外両方のすべてのインターフェイスに対してゾーン プロテクションを適用することができます。このタイプのゼロ トラスト アプローチは、企業におけるモビリティが増大し続ける中で、ますます推奨されるようになってきました。   また各ネットワーク環境は各々異なり、それゆえ防御措置を適用するにあたってフラッドの閾値を調整する必要があることへの理解も重要です。設定されたフラッドの閾値を超えた場合は脅威ログが生成され、Syslogを使用している場合は外部に転送することができます。ご利用の環境においてどのような設定が適切かを決めるために、ベースラインを確立するためのピーク時間中の平均的なネットワークの稼働状態を決めることから始めてください。そして、ネットワークの稼働状態に通常の範囲の変動の余地を残しつつ、セキュリティの目標を満たすポイントに達するまで、閾値を徐々に下げて調整してます。正当なトラフィックを通すために防御を有効化したり最大の閾値が低くなりすぎるのを避けたいでしょうが、望まないトラフィック量のスパイクを緩和に効果的になるように高すぎるのも避けたいはずです。   その一方で、いくつかのパケット ベースの攻撃保護は、組織全体に多少は等しく適用されます。例えば、「不明」や「異常な形式」のIPオプションは一般的に不要であり、ドロップできます。「重複するTCPセグメントの不一致」や「TCP タイムスタンプの削除」をドロップするためにオプションの選択は、ファイアウォールを通過する回避技術を防ぎ、一般的にすべてのお客様に推奨されます。さらに、「スプーフされたIPアドレス」に対する防御を有効にすることで、セキュリティ ゾーンにおけるアドレス詐称を防ぐことができます。このことが、パケット入力においてファイアウォールのルーティング テーブルに合致する送信元アドレスを持つトラフィックだけ許可されることを確実にします。   上記の推奨事項の従うことで、所属する組織をより安全にすることとなります。その他の有益な秘訣やコツについては、Live Communityを継続して閲覧の上、確認するようにしてください。   追加資料： Threat Prevention Deployment Tech Note Understanding DoS Protection What Are The Differences Between Dos Protection and Zone Protection?     著者：Graham Garrison ... View more

※この記事は以下の記事の日本語訳です。 Policy-based forwarding doesn't work for traffic sourced from the Palo Alto Networks firewall https://live.paloaltonetworks.com/t5/Management-Articles/Policy-based-forwarding-doesn-t-work-for-traffic-sourced-from/ta-p/58821     問題 あるゾーンからISP経由でインターネットへ向かうすべてのトラフィックを転送するためにポリシー ベース フォワーディング (PBF) ルールを設定している場合、そのルールは、Palo Alto Networksファイアウォールの背後にある端末にだけ適用されるが、ファイアウォール自身を送信元とするトラフィックには適用されない。   原因 PBFルールに加えてルートがルーティング テーブルにある場合、最初にPBFルールだけが上から順番に評価されます。しかし、これはファイアウォールの背後にある端末にだけ適用されます。PBFがTrustゾーンからUntrustゾーンへ向かうすべてのトラフィックを転送するよう設定されていると、Palo Alto Networksファイアウォールの背後にある端末を送信元とするトラフィックにのみ、ルールが適用されます。しかしファイアウォールを送信元とするトラフィックは、PBFテーブルの評価をバイパスし、代わりに出力インターフェイスからトラフィックを転送するルートに合致するかのルーティング テーブルの評価が開始されます。   WebGUIから、[ Network ] > [ インターフェイス ] > [ Ethernet ] を開きます。続くシナリオでは、インターフェイスは以下の通り設定されています：   [ Network ] > [ 仮想ルーター ] > [ スタティック ルート ] 内に、デフォルト ルートが以下の通り設定されています：   端末から来ているトラフィックである場合、セッション情報は以下の通り表示されます：   WebGUIから、[ Policies ] > [ ポリシー ベース フォワーディング ] を開き、以下のデフォルト ルートと同じPBFルールを作成します：   端末から来ているトラフィックの場合、セッション情報は以下の通り表示されます(デフォルト ルートがあるにもかかわらず、PBFルールだけがまず評価されています)：   ファイアウォールの背後にある端末からや、ファイアウォールの信頼済みインターフェイスから、パブリックなIPアドレス 4.2.2.2 へ継続的なPingをすると、どちらもPingは成功しました。これはPBFルールを使用する端末からのトラフィックであるため、そしてルーティング テーブルを使用しているファイアウォールからのトラフィックであるためです：   デフォルト ルートだけが削除し、端末からのトラフィックはPBFルールを使用して通過することに成功していますが、デフォルト ルートが削除されたため以下の通りファイアウォールからのトラフィックは失敗しました：   PBFは、ファイアウォールの背後にいる端末からのトラフィックに対してのみ動作し、ファイアウォールからのトラフィックに対しては動作しません。   以下が既知の制限事項となります： PBFは、Palo Alto NetworksファイアウォールへのIPsecトンネルのトラフィックには機能しません。 PBFは、フェーズ1トンネルに対して機能しないので、IKEを開始するためにルーティング テーブルのデフォルト ルートを使用する必要があります。 PBFは、GlobalProtect接続に対して機能しません。 PBFルールのためにアプリケーションを使用している場合、TCPトラフィックに合致するアプリケーションのシグネチャは、3ウェイ ハンドシェイクの後に識別されます。そのため、PBFルールは、最初の3ウェイ ハンドシェイクには合致しないかもしれず、ルート探索にだけ基づいてファイアウォールを通過します。   著者：dantony ... View more

※この記事は以下の記事の日本語訳です。 Split Tunneling for VPNC Client on Linux Distributions https://live.paloaltonetworks.com/t5/Configuration-Articles/Split-Tunneling-for-VPNC-Client-on-Linux-Distributions/ta-p/57244     概要 VPNCはオープンソースのサードパーティ IPsec VPNクライアントで拡張認証 (X-Auth) をサポートしており、組織内部ののネットワークへのアクセス用としてGlobalProtectゲートウェイへのVPNトンネルを確立します。PAN-OS 5.0.xから、以下のVPNクライアントがGlobalProtectのVPNアクセスのサポート対象となっています（訳注）。 Ubuntu Linux 10.04 LTS VPNC CentOS 6 VPNC この文書は、VPNCクライアントがGlobalProtectゲートウェイに接続される際、どのようにスプリット トンネリングが動作するのかを説明します。   詳細 VPNCクライアントから接続することができるネットワークを定義するために、あるいはVPN接続上で送られるトラフィックのため、(スプリット トンネリングとしても知られている) アクセス ルートを、GlobalProtectゲートウェイのクライアントの設定(訳注1：PAN-OS 7.1以降では[エージェント] > [クライアントの設定])に追加する必要があります。参照： GlobalProtect Configuration Tech Note アクセス ルートがGlobalProtectゲートウェイに設定されている時、すべてのアクセス ルートの内の1つの集約ルートが、VPNCクライアントに送られます。DNSサーバーのアドレスが含まれている場合、ルートを集約する際にはそれも考慮に入れなければなりません。   例： アクセス ルートが 10.66.22.0/23 と 192.168.87.0/24 のネットワークを含む場合、サードパーティのVPNCクライアントに送られる集約ルートは、デフォルト ルート 0.0.0.0/0 で、以下のように表示されます。 > show global-protect-gateway gateway name test_vpnc   GlobalProtect Gateway: test_vpnc (0 users) Tunnel Type          : remote user tunnel Tunnel Name          : test_vpnc-N         Tunnel ID                 : 7         Tunnel Interface          : tunnel.1         Encap Interface           : ethernet1/3         Inheritance From          :         Local Address             : 10.66.24.87         SSL Server Port           : 443         IPSec Encap               : yes         Tunnel Negotiation        : ssl,ike         HTTP Redirect             : no         UDP Port                  : 4501         Max Users                 : 0         IP Pool Ranges            : 172.16.7.1 - 172.16.7.7;         IP Pool index             : 0         Next IP                   : 0.0.0.0         DNS Servers               : 4.2.2.2                                   : 0.0.0.0         WINS Servers              : 0.0.0.0                                   : 0.0.0.0         Access Routes             : 10.66.22.0/23; 192.168.87.0/24;         Access Route For Third Party Client: 0.0.0.0/0         VSYS                      : vsys1 (id 1)         SSL Server Cert           : SERVER_CERT         Auth Profile              : vpnc_auth         Client Cert Profile       :         Lifetime                  : 2592000 seconds         Idle Timeout              : 10800 seconds   アクセス ルートが 10.66.22.0/23 と 10.66.12.0/23 のネットワークを含む場合、サードパーティのVPNCクライアントに送られる集約ルートは 10.66.0.0/19 で、以下のように表示されます。 > show global-protect-gateway gateway name test_vpnc   GlobalProtect Gateway: test_vpnc (0 users) Tunnel Type          : remote user tunnel Tunnel Name          : test_vpnc-N         Tunnel ID                 : 7         Tunnel Interface          : tunnel.1         Encap Interface           : ethernet1/3         Inheritance From          :         Local Address             : 10.66.24.87         SSL Server Port           : 443         IPSec Encap               : yes         Tunnel Negotiation        : ssl,ike         HTTP Redirect             : no         UDP Port                  : 4501         Max Users                 : 0         IP Pool Ranges            : 172.16.7.1 - 172.16.7.7;         IP Pool index             : 0         Next IP                   : 0.0.0.0         DNS Servers               : 10.66.22.77                                   : 0.0.0.0         WINS Servers              : 0.0.0.0                                   : 0.0.0.0         Access Routes             : 10.66.22.0/23; 10.66.12.0/23;         Access Route For Third Party Client: 10.66.0.0/19         VSYS                      : vsys1 (id 1)         SSL Server Cert           : SERVER_CERT         Auth Profile              : vpnc_auth         Client Cert Profile       :         Lifetime                  : 2592000 seconds         Idle Timeout              : 10800 seconds   注：VPNCクライアントに送られる集約ルートが、デフォルト ルート (0.0.0.0/0) である場合、VPNCクライアントは以下に表示されているように、スプリット トンネリングの設定をする必要があります。   VPNCクライアントを開き、[ IPv4設定] > [ ルート ] ボタンをクリックします。   必要なアクセス ルートを追加し、「そのネットワーク上のリソースのためにのみこの接続を使用」のチェックボックスにチェックが入っていることを確認します。 GlobalProtectによって送られた集約ルートは 0.0.0.0/0 ですが、接続は以下に表示されているように、10.66.22.0/23 ネットワークに対してのみ許可されます。 Linux ホストのターミナルからの出力結果： t un0   Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00        inet addr:172.16.7.1 P-t-P:172.16.7.1 ask:255.255.255.255        UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1412 Metric:1        RX packets:0 errors:0 dropped:0 overruns:0 frame:0        TX packets:0 errors:0 dropped:0 overruns:0 carrier:0        collisions:0 txqueue1en:500        RX bytes:0 (0.0 B) TX bytes:0 (0.0 B) VPNCクライアントに送られた集約ルートは 0.0.0.0/0 でしたが、192.168.87.0/24 のためのアクセス ルートは追加されませんでした。 tobby@VirtualBox:~$ ping 192.168.87.1 PING 192.168.87.1 (192.168.87.1) 56(84) bytes of data.   --- 192.168.87.1 ping statistics --- 3 packets transmitted, 0 received, 100% packet loss, time 2014ms   VPNCクライアントで、10.66.22.0/23 のために追加されたアクセス ルート tobby@VirtualBox:~$ ping 10.66.22.87 PING 16.66.22.87 (16.66.22.87) 56(84) bytes of data. 64 bytes from 10.66.22.87: icmp_req=1 ttl=61 time=6.87 ms 64 bytes from 10.66.22.87: icmp_req=2 ttl=61 time=2.02 ms   --- 16.66.22.87 ping statistics --- 2 packets transmitted, 2 received, 0% packet loss, time 1001ms rtt min/avg/max/mdev = 2.021/4.450/6.879/2.429 ms   訳注：原文執筆時点の情報です。最新版の GlobalProtect(TM) Administrator's Guideご参照の上、都度現在のサポートバージョンをご確認ください。   著者：gchandrasekaran ... View more

※この記事は以下の記事の日本語訳です。 How to Add and Verify Address Objects to Address Group and Security Policy through the CLI https://live.paloaltonetworks.com/t5/Management-Articles/How-to-Add-and-Verify-Address-Objects-to-Address-Group-and/ta-p/61627     複数のアドレス オブジェクトを作成し、それをグループやポリシーに追加する方法を説明します。   手順 アドレス オブジェクト "test" を作成し、それをアドレス グループ "test-group" に割り当てます。 設定モードに入ります。 > configure IPアドレスを持つアドレス オブジェクトを作成します。 # set address test ip-netmask 10.30.14.96/32 そのアドレス オブジェクトをアドレス グループに割り当てます。 # set address-group test-group test その変更をコミットします。 # commit   アドレス グループ "test-group" をセキュリティ ポリシーに追加します。 設定モードに入ります。 > configure そのアドレス グループをセキュリティ ポリシーに割り当てます。 # set rulebase security rules trust-DMZ action allow source test-group その変更をコミットします。 # commit   以下のコマンドで、先ほど定義した "test-group" の内容を表示できます。 > configure # show rulebase security rules DMZ-Trust DMZ-Trust {   source test-group ;   destination any;   service any;   application any;   action allow;   source-user any;   option {     disable-server-response-inspection no;   }   negate-source no;   negate-destination no;   log-start no;   log-end yes;   from DMZ;   to L3-Trust;   disabled no;   category any;   hip-profiles any; }   CLI上でアドレス オブジェクトやグループ オブジェクトを確認するには、以下のコマンドを実行します。 # show address-group address-group {   test-group {     static [ test1 test1-1 test2 test2-1 test3];   } }   個別のアドレスを確認するには、以下のコマンドを実行します。 # show address   注：CLIに関する情報をさらに知りたい場合は、Live Community 内でCLI リファレンス ガイドをご参照ください。     著者：djoksimovic ... View more

※この記事は以下の記事の日本語訳です。 How to Verify DNS Sinkhole Function is Working https://live.paloaltonetworks.com/t5/Management-Articles/How-to-Verify-DNS-Sinkhole-Function-is-Working/ta-p/65864     詳細 この資料では、DNSシンクホール機能がPAを経由して正しく動作しているかどうか確認する方法について説明します。 以下の2つのシナリオに対応しています： クライアントが外部DNSサーバーを使用している クライアントが内部DNSサーバーを使用している   DNSシンクホールのコンフィグレーション DNSシンクホールの設定方法についてはこちらを参照して下さい。 How to Configure DNS Sinkhole   また、DNSシンクホールの設定方法について、ビデオでのチュートリアルが以下に公開されています。 Video Tutorial: How to Configure DNS Sinkhole   クライアントが外部DNSサーバーを使用している 注：DNSシンクホールのIPアドレスは、ファイアウォールとクライアントの経路上にある必要があります。それにより、ログを見ることができます。例えば、Palo Alto Networksファイアウォールは感染したクライアントとデータ センターの間に位置していますが、インターネットへ向かうトラフィックはファイアウォールを通過しない環境だとします。そのシナリオでは、DNSシンクホールがインターネットのIPアドレスで設定されている場合、ファイアウォールは、感染したクライアントがC&C(コマンド＆コントロール)サーバーに接続しようとしているのを見ることは出来ません。   DNSシンクホールの機能がPalo Alto Networksファイアウォールで設定されており、クライアント システムが外部DNSサーバーを使用している時、クライアントからのDNSクエリは、Palo Alto Networksファイアウォールを通って、外部DNSサーバーに向かいます (クライアントとDNSサーバーは異なるサブネットに属しています)。期待したとおりに、ユーザーは送信元としてのクライアントのIPアドレスを含む脅威ログを見ることができます。   ユーザーは感染したウェブサイトにアクセスしようとしています。クライアント システムは、感染したウェブサイトのIPアドレスを取得するために、DNSクエリを外部DNSサーバーへ送ります。ファイアウォールは、クライアント システムから直接DNSクエリを受け取ります。 ファイアウォールはDNSクエリを乗っ取り、DNSシンクホール IPアドレスがクライアントに渡されることで、送信元としてのIPアドレスを含む脅威ログを見ることができます。   クライアントのTCP/IPプロパティの設定 以下の設定例をご覧ください。   脅威ログ 外部DNSサーバーを使用している際、脅威ログでは、感染したウェブサイトにアクセスしようとしているクライアントのIPアドレス "10.50.240.131" を送信元として表示しています。   外部DNSサーバーを使用している時のクライアントの出力   上記のスクリーンショットは、ホスト マシン "10.50.240.131" が "sp-storage.spccint.com(疑わしいURL)" に対してDNSリクエストをしていることを示しており、それが "1.1.1.1" であることを表示しています。このように、DNSシンクホールは期待した通りに動作していることを示しています。   クライアントが内部DNSサーバーを使用している クライアント システムが内部DNSサーバーを使用している場合(クライアントとDNSサーバーは同じサブネットに所属しています)、クライアントからのDNSクエリは内部DNSサーバーに向かいます。内部DNSサーバーがこのクエリを外部DNSサーバーに転送することで、送信元としての内部DNSサーバーのIPアドレスを含む脅威ログを見ることができます。   現在、Palo Alto Networksファイアウォールでは、脅威ログを利用したとしても、どのエンドのクライアントが感染したウェブサイトにアクセスしようとしているのかを特定することはできません。なぜなら、すべての脅威ログは送信元として、内部DNSサーバーのIPアドレスが表示されるためです。しかしながら、ファイアウォールはトラフィック ログを利用することでエンドのクライアントのIPアドレスを特定することができます。   以下の例は、ユーザーが感染したウェブサイトにアクセスしようとしているところです。クライアント システムは、感染したウェブサイトのIPアドレスを取得するために、DNSクエリを内部DNSサーバーに送ります。そして、内部DNSサーバーは、そのDNSクエリを外部DNSサーバーに転送します。ファイアウォールは、外部DNSサーバーからDNSクエリを受け取ります。   ファイアウォールはDNSクエリを乗っ取り、内部DNSサーバーにDNSシンクホールのIPアドレスを渡します。内部DNSサーバーがクライアント システムに返答を転送することで、送信元としての内部DNSサーバーのIPアドレスを含む脅威ログを見ることができます。しかし以下のスクリーンショットのように、クライアントがDNSシンクホールのIPアドレスを使ってウェブサイトにアクセスしようとするため、Palo Alto Networksファイアウォールは、トラフィック ログにおいてクライアントのIPアドレスを見ることができます。   クライアントのTCP/IPプロパティの設定   脅威ログ 脅威ログでは、ファイアウォールは、送信元として "10.50.240.101" という内部DNSサーバーのIPアドレスだけを表示しています。なぜなら、クライアント システムが内部DNSサーバーのIPアドレスを使用しているからです。そのため、ファイアウォールはどのエンドのクライアントがウェブサイトにアクセスしようとしているのかを特定することができません。   トラフィック ログ しかし、クライアントがDNSサーバーからIPアドレスを取得するとすぐに、DNSシンクホールのIPアドレスに対してトラフィックを生成します。そのため、ファイアウォールは、以下に表示されているように、トラフィック ログの中でエンドのクライアントのIPアドレス "10.50.240.131" を表示することになります。   内部DNSサーバーを使用している時のクライアントの出力 上記のスクリーンショットは、ホスト マシン "10.50.240.131" が "sp-storage.spccint.com(疑わしいURL)" に対してDNSリクエストを実行していることを示しており、それが "1.1.1.1" であることを表示しています。このことから、DNSシンクホールが期待通りに動いていることが確認できます。   参照 How to Configure DNS Sinkhole Video Tutorial: How to Configure DNS Sinkhole     著者：sbabu ... View more

※この記事は以下の記事の日本語訳です。 How to Block Web Browsing while Allowing Microsoft Update https://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-Block-Web-Browsing-while-Allowing-Microsoft-Updates/ta-p/58399     以下の手順を行うことで、Microsoftのアップデートを許可しながら、Webブラウジングをブロックすることができます。   すべてのURLカテゴリをブロックするために、URLフィルタを作成します ( [ Objects ] > [ セキュリティ プロファイル ] > [ URL フィルタリング ] )。 許可リストに以下のサイトを追加します。 windowsupdate.microsoft.com *.microsoft.com download.windowsupdate.com *.windowsupdate.com 以下のアプリケーションを許可するためのセキュリティ ポリシーを作成します。 [ Policies ] > [ セキュリティ ] を開き、新しいルールを追加します。アプリケーション タブ内にて、 ms-update と web-browsing を追加します。 アクション タブ内のプロファイル設定にて、 ms-update 用に作成したURL フィルタリングを追加します。   著者：panagent ... View more

※この記事は以下の記事の日本語訳です。 Can I Put a Wildcard in the Traffic Log Filter to View All Hits on a Subnet? https://live.paloaltonetworks.com/t5/Management-Articles/Can-I-Put-a-Wildcard-in-the-Traffic-Log-Filter-to-View-All-Hits/ta-p/62997     ワイルド カードをフィルタの中で使用することはできませんが、フィルタの中でサブネットをまとめたり、特定したりすることができます。   以下の使用例をご覧ください： 送信元フィルタ、/24 サブネット： ( addr.src in 192.168.10.0/24 ) 宛先フィルタ、/24 サブネット： (addr.dst in 192.168.10.0/24)   著者：mrajdev ... View more

※この記事は以下の記事の日本語訳です。 What are Universal, Intrazone and Interzone Rules? https://live.paloaltonetworks.com/t5/Management-Articles/What-are-Universal-Intrazone-and-Interzone-Rules/ta-p/57491     詳細 セキュリティ ポリシーを設定する時、ルールベースを見ても、どのルールにも合致していないトラフィックがどうなるのか明確にはわかりません。さらに、明示的にルールを作成する以外にそのトラフィックに対する扱い方を変える方法はありません。多くの場合、ユーザーは単にこれらのトラフィックに対してロギングすることだけを必要とすることが多いでしょう。あるいはイントラ ゾーンのトラフィックの処理を簡単に変更することを要求するユーザもいるかもしれません。現時点では、これらの要求に対しては各ゾーンに対して明示的なルールを設定する必要があります。   PAN-OS 6.1より前のリリースでは、セキュリティ ポリシーの中にはルール タイプという分類はありませんでした。ルール タイプは、PAN-OSのバージョン6.1から組み込まれた新しい機能です。この機能により、"interzone"や"intrazone"、"universal"というパラメータに基づいてルールを作成するオプションが提供されるようになりました。この機能を利用すると、どのルールがネットワーク内のゾーンに基づいて作られているか管理者が制御することができ、監査をしている最中にも役立ちます。   PAN-OS 6.1以降のバージョンでは、デフォルトのセキュリティ ルールは、以下に示されているように通常のセキュリティ ルールの最後に付与されています。 "intrazone-default"ルール名の隣にある緑色の歯車アイコンは、そのルールは事前定義済みのものか、あるいはPanoramaからきているものであることを示しています。歯車アイコンにカーソルを合わせると、ツール チップが表示されます。 "interzone-default"ルール名の隣にある二重の歯車イメージは、ルールが現在のVSYSにあり、事前定義済みあるいはPanoramaからプッシュされた別のルールの値をオーバーライドしていることを示しています。 "intrazone-default"ルールのアクションは許可です。 "interzone-default"ルールのアクションは拒否です。   下記の表は、ルール タイプとその説明を詳細に記載しています。 ルール タイプ 説明 Universal デフォルトではこのルール タイプの場合、2つのゾーン間のすべてのトラフィックは、同じゾーンまたは異なるゾーンに関係なく、指定された送信元ゾーンおよび宛先ゾーンにマッチする全てのトラフィックに適用されます。 例えば、送信元ゾーンをAとB、宛先ゾーンをAとBと設定したUniversalルールを作成した場合、そのルールはゾーンA間(ゾーンAからゾーンA)のすべてのトラフィック、ゾーンB間(ゾーンBからゾーンB)のすべてのトラフィック、そしてゾーンAからゾーンBへのすべてのトラフィック、ゾーンBからゾーンAへのすべてのトラフィックに適用されます。 Intrazone 同じゾーン間のトラフィックを許可するセキュリティ ポリシーです。このルール タイプでは指定された送信元ゾーン内のマッチする全てのトラフィックに適用されます。 (intrazoneルールでは、宛先ゾーンを特定することはできません)。 例えば、送信元ゾーンをAとBに設定する場合、そのルールは、ゾーンA間(ゾーンAからゾーンA)のすべてのトラフィックとゾーンB間(ゾーンBからゾーンB)のすべてのトラフィックに対して適用されますが、ゾーンAとゾーンB間のトラフィックには適用されません。 Interzone 2つの異なるゾーン間のトラフィックを許可するセキュリティ ポリシーです。しかしこのタイプが指定された場合、同じゾーン間のトラフィックは許可されません。このルール タイプでは、指定された異なるゾーン間の全てのマッチするトラフィックに適用されます。 例えば、送信元ゾーンをAとBとCに、宛先ゾーンをAとBに設定する場合、そのルールは、ゾーンAからゾーンBへ、ゾーンBからゾーンAへ、ゾーンCからゾーンAへ、ゾーンCからゾーンBへのトラフィックに適用されますが、同じゾーン間(AやBやC)のトラフィックには適用されません。   ユーザーが定義したセキュリティ ルールは、以下のように"universal"や"intrazone"、"interzone”として設定することができます。   あるルールが"intrazone"として設定されている時、宛先ゾーンは変更することができません (グレーアウトしています)。その値は、送信元ゾーンから来ています。   事前定義済みであったり、Panoramaからの"intrazone-default"と"interzone-default"ルール名、あるいは機能は、変更することができません。 画面の縁が緑色で囲われ、タイトルに「読み取り専用」と書かれていることが、変更できないことを示しています。 事前定義済みのものや、Panoramaからの"intrazone-default"と"interzone-default"ルールを変更するためには、ユーザーは、これらのルールをオーバーライドしなければなりません。 "intrazone-default"と"interzone-default"ルールは、ルール名の隣に二重になっていない緑色の歯車アイコンがある場合にはオーバーライドできます。 「オーバーライド」をクリックすると、2つのタブだけを持つ、セキュリティ ルールの編集画面が表示されます。 全般タブでは、タグだけを変更することができます。   アクション タブにて、プロファイル設定とログ設定だけを変更することができます。   事前定義済みのものや、Panoramaがプッシュした値を元に戻すには、「戻す」アクションにより行うことができます。Panoramaでは、デフォルトのルールはセキュリティのノードの中にあり、プレ ルールとポスト ルールの下にあります。 ルール名の隣にある緑色の歯車アイコンは、そのルールは"ancestor"デバイス グループや"shared"、"Predefined"から来ていることを示しています。 ルール名の隣にある二重の歯車アイコンは、そのルールは"ancestor"デバイス グループのルールや"shared"ルール、"Predefined"ルールをオーバーライドしていることを示しています。 ユーザーは、以下のように、"intrazone-default"、あるいは"interzone-default" ルールをオーバーライドすることができます。   Panorama VMとM-100 Panoramaは新しい機能をサポートしています。新しいデフォルト ルールは、ポスト ルールの下に表示されています。   Panoramaについての詳細： デフォルトのルールは、デバイスのデータプレーンにプッシュされると、他のどのルールよりも後に実行されることになります。 Palo Alto Networksデバイス上で、ローカルに"interzone-default"や"intrazone-default"に行われた変更は、Panoramaからプッシュされたどの変更よりも優先されます。   Panorama 6.1 と 5.x/6.0 PAN-OSデバイスとの相互作用： バージョン6.1のPanorama からバージョン6.1より前のPANOSデバイスへセキュリティ ルールをプッシュする場合、期待される動作は以下のとおりです。 事前定義済みのデフォルト ルールは、プッシュされるルールベースから削除される。 "intrazone"や"interzone"タイプのルールはプッシュされるルールベースから削除される。 "universal"タイプのルールは、バージョン6.1以前のルールに変換される。 Panoramaは、すべてのルールがバージョン6.1以前のデバイスにプッシュされるわけではないという警告を出す。 admin@Panorama> show jobs id 25970   Enqueued            ID Type      Status    Result     Completed -------------------------------------------------------------------------- 2014/07/22 22:03:38 25970        CommitAll FIN        OK 100 %    Warnings: 001606007416 is below 6.1, removing intrazone and interzone rules - 010401000006                   commit succeeded     OK 22:03:39 22:03:57 - 001606007416                   commit succeeded     OK 22:03:39 22:05:15   アップグレード／ダウングレード： アップグレード："intrazone-default"や"interzone-default"という名前のルールが既にある場合、"custom-intrazone-default"や"custom-interzone-default"に名前を変更する必要があります。 注：PAN-OS 6.1にアップグレードする時、セキュリティ ルールベースの中にあるすべての既存のルールは、"universal"ルールに変換されます。 ダウングレード：全ての"universal"ルールから「ルール タイプ」を削除します。全ての"intrazone"や"interzone"ルールを削除します。   参照 PAN-OS 6.1 Administrator's Guide     著者：jdelio ... View more

※この記事は以下の記事の日本語訳です。 CLI Commands to View Hardware Status https://live.paloaltonetworks.com/t5/Learning-Articles/CLI-Commands-to-View-Hardware-Status/ta-p/61027     概要 この資料では、Palo Alto Networksデバイスのハードウェアの状態についての情報を提供する、CLIコマンドについて記載しています。   注：PAN-OS 5.0以降のバージョンに対応しています。この資料に記載のコマンドは、Palo Alto Networks VM-Seriesプラットフォームには対応していません。   詳細： ハードウェアのアラームを確認する ("False"は"no alarm"を示しています)： > show system state | match alarm chassis.alarm: { } chassis.leds: { 'alarm': Off, 'fans': Green, 'ha': Off, 'status': Green, 'temp': Green, } env.s0.fan.0: { 'alarm': False, 'avg': True, 'desc': Fan #1 Operational, 'min': 1, } env.s0.fan.1: { 'alarm': False, 'avg': True, 'desc': Fan #2 Operational, 'min': 1, } env.s0.power.0: { 'alarm': False, 'avg': 1.051, 'desc': 1.05V Power Rail, 'hyst': 0.007, 'max': 1.130, 'min': 0.980, 'samples': [ 1.045, 1.055, 1.055, ], } env.s0.power.1: { 'alarm': False, 'avg': 1.094, 'desc': 1.1V Power Rail, 'hyst': 0.007, 'max': 1.180, 'min': 1.030, 'samples': [ 1.104, 1.084, 1.094, ], } env.s0.power.2: { 'alarm': False, 'avg': 1.214, 'desc': 1.2V Power Rail, 'hyst': 0.014, 'max': 1.350, 'min': 1.080, 'samples': [ 1.211, 1.221, 1.211, ], } env.s0.power.3: { 'alarm': False, 'avg': 1.807, 'desc': 1.8V Power Rail, 'hyst': 0.018, 'max': 1.980, 'min': 1.620, 'samples': [ 1.807, 1.807, 1.807, ], } env.s0.power.4: { 'alarm': False, 'avg': 2.490, 'desc': 2.5V Power Rail, 'hyst': 0.025, 'max': 2.750, 'min': 2.250, 'samples': [ 2.490, 2.490, 2.490, ], } env.s0.power.5: { 'alarm': False, 'avg': 3.340, 'desc': 3.3V Power Rail, 'hyst': 0.033, 'max': 3.630, 'min': 2.970, 'samples': [ 3.340, 3.340, 3.340, ], } env.s0.power.6: { 'alarm': False, 'avg': 4.980, 'desc': 5.0V Power Rail, 'hyst': 0.050, 'max': 5.500, 'min': 4.500, 'samples': [ 4.980, 4.980, 4.980, ], } env.s0.power.7: { 'alarm': False, 'avg': 2.490, 'desc': 3.0V RTC Battery, 'hyst': 0.175, 'max': 3.500, 'samples': [ 2.490, 2.490, 2.490, ], } env.s0.thermal.0: { 'alarm': False, 'avg': 30.500, 'desc': Temperature at MP [U6], 'hyst': 2.250, 'max': 50.000, 'min': 5.000, 'samples': [ 30.500, 30.500, 30.500, ], } env.s0.thermal.1: { 'alarm': False, 'avg': 34.500, 'desc': Temperature at DP [U7], 'hyst': 2.250, 'max': 50.000, 'min': 5.000, 'samples': [ 34.500, 34.500, 34.500, ], } ha.runtime.device.alarm: False hw.slot0.leds: { 'alarm': Off, 'fans': Green, 'ha': Off, 'status': Green, 'temp': Green, }   その他のコマンド例：     > show system state filter env.* | match alarm     > show system state | match fan     > show system state | match power   直近のクリティカルなハードウェアのアラームを確認する (イタリック体の文字のオプションを決めるために、tabキーを使用します：Backward = 直近の日時、forward = 最も古い日時) > show log system severity greater-than-or-equal critical direction equal backward Time          Severity Subtype Object EventID ID Description =============================================================================== 01/20 06:51:58 critical ha            unknown 0  HA Group 1: commit on local device with running configuration not synchronized; synchronize manually 12/23 14:29:21 critical ha            unknown 0  HA Group 1: moved from state Passive to state Active 12/23 14:29:12 critical ha            unknown 0  HA Group 1: moved from state Non-Functional to state Passive 12/23 14:27:15 critical general        unknown 0  Chassis Master Alarm: HA-event 12/23 14:27:15 critical ha            unknown 0  HA Group 1: moved from state Active to state Non-Functional 12/23 14:27:15 critical ha            unknown 0  HA Group 1: dataplane is down 12/23 14:27:01 critical general        unknown 0  Heartbeat triggering a restart of 'data-plane' from the control-plane 11/09 17:39:44 critical general        unknown 0  Chassis Master Alarm: Fans 11/09 17:39:44 critical general        unknown 0  Fan #3 Speed: 5778.70 above high-limit 5750.00 09/29 08:52:26 critical ha            unknown 0  HA Group 1: commit on local device with running configuration not synchronized; synchronize manually 09/20 09:09:44 critical general        unknown 0  Fan #3 Speed: 5778.70 above high-limit 5750.00 09/20 09:09:44 critical general        unknown 0  Chassis Master Alarm: Fans 09/20 09:09:04 critical general        unknown 0  Chassis Master Alarm: Fans 09/20 09:09:04 critical general        unknown 0  Fan #3 Speed: 5776.98 above high-limit 5750.00 06/20 12:37:04 critical general        unknown 0  Chassis Master Alarm: Fans 06/20 12:37:04 critical general        unknown 0  Fan #1 Speed: 5845.59 above high-limit 5750.00   温度、ファン、電源の状態を確認する： > show system environmentals ----Thermal---- Slot   Description                         Alarm      Degrees C S0    Temperature at 3830 [U85]           False      43.33 S0    Temperature at LION [U86]           False      43.83 S0    Temperature at Phy [U87]            False      38.33 S0    Temperature at CPLD [U88]           False      44.50   ----Fans---- Slot   Description                         Alarm      RPMs S0    Fan #1 RPM                          False      14673 S0    Fan #2 RPM                          False      14465 S0    Fan #3 RPM                          False      14261 S0    Fan #4 RPM                          False      15004   ----Power---- Slot   Description                         Alarm      Volts S0    1.0V Power Rail                     False      0.98 S0    1.2V Power Rail                     False      1.20 S0    1.5V Power Rail                     False      1.51 S0    1.8V Power Rail                     False      1.80 S0    2.5V Power Rail                     False      2.48 S0    3.3V Power Rail                     False      3.31 S0    5.0V Power Rail                     False      5.02 S0    3.3V RTC Battery                    False      3.22   ログの中でハードウェアのアラームを確認する： > less mp-log ehmon.log * * Ehmon (v3.0) * Jan 07 01:54:26 Start time. Jan 07 01:54:28 Loading: libfans.so... done Jan 07 01:54:28 Loading: libpower.so... done Jan 07 01:54:28 Loading: libthermal.so... done Jan 07 01:55:28 Sensor Alarm [True ]: Fan #1 RPM = 8472 Jan 07 01:55:48 Sensor Alarm [False]: Fan #1 RPM = 8509 Jan 07 01:56:48 Sensor Alarm [True ]: Fan #1 RPM = 8437 Jan 07 01:57:28 Sensor Alarm [False]: Fan #1 RPM = 8544   注：アラームのトリガーとなった状態が解消されることで、アラームを示していたLEDは消えているはずです。     著者：panagent ... View more

※この記事は以下の記事の日本語訳です。 How to Send a Test Email to Verify Email Profile Settings https://live.paloaltonetworks.com/t5/Learning-Articles/How-to-Send-a-Test-Email-to-Verify-Email-Profile-Settings/ta-p/60956     概要 電子メール サーバー プロファイル ( [ Device ] > [ サーバー プロファイル ] > [ 電子メール ] )を設定する際、この資料に記載されている手順によって、以下の設定が正しいかどうかを確認する方法を記載しています。 SMTP設定が正しいかどうか サーバーに到達できるかどうか   手順 [ Monitor ] > [ PDF レポート ] > [ レポート グループ ] を開き、事前定義済みレポートを追加します。今回の例では、"risky-users"を選択しています。 [ Monitor ] > [ PDF レポート ] > [ 電子メール スケジューラ ] を開き、追加ボタンを押して名前を入力します。テストするために、作成したレポート グループと電子メール プロファイルを選択します。 「テスト電子メールの送信」をクリックして、SMTPの設定を確認します。 SMTPの設定を確認する電子メールが送られます。   無効な受信者(Recipient) RCPT TO が外部のメールアドレスである場合、エラーが表示されることなく、テスト電子メールが失敗することがあります。多くのSMTPサーバーは、認証されていない送信元からの電子メールを中継しないように設定されています。   以下の手順に従い、受信者 (Recipient) のうちの1つが対応していないのかどうかを確認します。 ターミナルから (Linux, Mac)、あるいはコマンドプロンプトから (Windows)、SMTPサーバーにtelnet接続します。telnetはPAN-OS上では利用できないため、このテストはお手持ちのコンピュータから行う必要があります。 $ telnet <server_ip_or_fwdn> 25 注：接続が拒否される場合、サーバーが25番ポートで待ち受けていないか、接続を拒否する何らかのセキュリティ デバイスがあることを示します。 接続ができる場合、以下のコマンドを使用します。 HELO <server_ip_or_fwdn>       (250 - Hello messages and subsequent 250 messages expected) MAIL FROM: <you @ yourcompany.com>       (250 2.1.0 Sender OK expected) RCPT TO: <recipient1 @ yourcompany.com>        (250 2.1.5 Recipient OK expected) RCPT TO: <recipient2 @ othercompany.com>       (550 5.7.1 Unable to relay expected)   例：   注1： SMTPのトラブルシューティングに関する詳しい資料については、こちらを参照してください： Not authorized to view the specified document 1065 注2：現時点では、SMTP 認証には対応しておりません。     著者：mivaldi ... View more

※この記事は以下の記事の日本語訳です。 Data Filtering Best Practices https://live.paloaltonetworks.com/t5/Configuration-Articles/Data-Filtering-Best-Practices/ta-p/58093     初期設定では、データ フィルタリングにはシグネチャが2つあります： クレジットカード：デバイスは16桁（訳注1）の番号を探し、ハッシュ アルゴリズムの検証を進めます。クレジットカードの番号として検出する前に、ハッシュ アルゴリズムに合致しなければなりません。この手法により、偽陽性（False Positive）を減らしています。 社会保障番号（訳注2）：形式に関わらず、あらゆる9桁の番号が社会保障番号として検出されます。こちらは偽陽性となる傾向があります。 どのようなドキュメントのタイプに対して、クレジットカードと社会保障番号を検知するかを定義することが重要です。この記事に添付している2つのPDFを使用して、ポリシーでの定義を検証することができます。1つはダミーの社会保障番号で、もう1つはダミーのクレジットカード番号です。   2種類のキーワードを見つけ、アラートを生成するプロファイルを設定します。さらなる条件として、10個の9桁の番号または10個のクレジットカードの番号、あるいは9桁の番号とクレジットカード番号が合計で10個の組み合わせを持つファイルを確認することとします。 カスタムのデータ パターンを設定します。 作成したデータ パターンをプロファイルを設定します。 作成したデータパターンをセキュリティ プロファイルに設定します。   カスタムのデータ パターンは以下の方法で設定します： カスタムのデータ パターンの重みを、10で設定します。 社会保障 (CC#) とクレジットカード (SSN#) には、1を設定します (以下のスクリーンショットをご覧ください)。 データ フィルタリング プロファイルを、アラートしきい値を10に設定します (以下のスクリーンショットをご覧ください)。 Data Filtering Profile このプロファイルをセキュリティ ルールに追加します。このルールは該当のデータ パターンを見つけると、上記で設定した条件でアラートを挙げます。この設定をすることで、いくつかの誤検出を防ぐことができます。   データ フィルタリング ログのモニタ ログの各エントリーに表示される緑色の矢印をクリックすることで、データ フィルタリングをトリガーしたパケットのキャプチャを見ることができます。 パケットキャプチャには保護すべき内容を含むため、データ保護を有効にしパケットキャプチャの閲覧にパスワードを保護をかけることができます。パスワードは[Device] > [セットアップ] > [コンテンツ ID] > [コンテンツ ID 機能] > [データ保護の管理]で設定します 。   注：このKB記事には2つのテストファイルを添付しており、ポリシーが動作しているかを確認に使用できます。 訳注1：一部のクレジットカード発行元によっては、13桁など16桁以外のクレジットカード番号への対応もあります。  訳注2：アメリカ合衆国において社会保障法に基づき市民・永住者・外国人就労者に対して発行される9桁の番号。   著者：wtam ... View more

※この記事は以下の記事の日本語訳です。 Slow or Failed Commits https://live.paloaltonetworks.com/t5/Management-Articles/Slow-or-Failed-Commits/ta-p/61172     問題 時折、コミットが遅くなったり、完全に失敗することがあります。以下の" devsrv.log"の例では、"pan_util.c"のコールが"devsrv"への接続に失敗し、"phase1"処理に合流していないことを意味します。 2181 root 20 0 975m 11m 1468 S 2 1.2 196:53.46 cryptod 9620 root 20 0 798m 127m 39m S 2 12.9 97:40.63 devsrvr 1 root 20 0 1832 560 532 S 0 0.1 0:12.83 init mp\devsrv.log 10-17 17:20:15 Error: pan_util_connect_server(pan_util.c:1776): Failed to connect to server: Connection refused mp\devsrv.log 10-17 17:20:15 Error: pan_util_connect_server(pan_util.c:1776): Failed to connect to server: Connection refused mp\devsrv.log 10-17 17:20:15 Error: pan_util_connect_server(pan_util.c:1776): Failed to connect to server: Connection refused mp\devsrv.log 10-17 17:20:21 Error: pan_util_connect_server(pan_util.c:1776): Failed to connect to server: Connection refused mp\devsrv.log 10-17 17:20:21 Error: pan_util_connect_server(pan_util.c:1776): Failed to connect to server: Connection refused mp\devsrv.log 10-17 17:20:21 Error: pan_util_connect_server(pan_util.c:1776): Failed to connect to server: Connection refused mp\devsrv.log 10-17 17:20:23 SIGTERM triggered mp\devsrv.log 10-17 17:20:23 DEVSRV: connection to MS terminated mp\devsrv.log 10-17 17:21:00 BrightCloud URL engine startup... mp\devsrv.log 10-17 17:21:01 pan_shmgr_merge_with_peer(runtime.user-idmgr) begin mp\devsrv.log 10-17 17:21:35 BrightCloud URL filtering engine started mp\devsrv.log 10-17 17:22:05 Config commit phase1 started   解決方法 以下のコマンドを使用して、"devsrvr"プロセスによって使用されているメモリの使用量の多さを確認します： > show system resources | match devsr 2672       20   0  172m  67m  13m S    0  1.7   7:00.84 devsrvr   必要に応じて、以下のコマンドを使用してdevice serverを再起動します： > debug software restart device-server プロセスが再起動した後、"phase1"が伝えられると、コミットを完了することができます。   注："devsrvr"プロセスは、管理プレーン上で実行されており、データ プレーンに設定を流すことについては注意が必要です。該当のプロセスは、URLフィルタリングの要求や応答のような、管理プレーンとデータ プレーン間のいくつかの通信も担当しています。     著者：rkalugdan ... View more

※この記事は以下の記事の日本語訳です。 After Allowing ICMP, Ping is Still Denied https://live.paloaltonetworks.com/t5/Configuration-Articles/After-Allowing-ICMP-Ping-is-Still-Denied/ta-p/61589     症状 ICMPを許可するルールを作成した後でも、ホストへPingしようとすると拒否されてしまう。   問題 ICMP タイプ 8 メッセージ (ping) は独自のものであり、ICMPを利用する、よく使用される「アプリケーション」です。そのため、1つの別のアプリケーションとして定義されています。   解決方法 セキュリティ ルールを使用してPingを許可するためには、アプリケーションとして"ping"を選択します。ICMPを許可するだけでは、Pingを許可したことにはなりません。pingプリケーションはICMPへの依存性はなく、単独で正しく動作します。   注：TracerouteはPingを使用しているので、アプリケーションとしてPingを許可することは、Tracerouteも同様に許可することになります。       著者：gwesson ... View more

※この記事は以下の記事の日本語訳です。 GlobalProtect Client Unable to Connect on Newly Installed Machine https://live.paloaltonetworks.com/t5/Management-Articles/GlobalProtect-Client-Unable-to-Connect-on-Newly-Installed/ta-p/60421     問題 新規インストールしたGlobalProtectクライアントが接続できない。   トラブルシューティング クライアント端末上でログを有効にするために、[ トラブルシューティング ] > [ ログ ] を選択し、"PanGP サービス"を選択してから"開始"ボタンをクリックします。   以下のようなログを見ることができるようになります： (T788) 10/14/14 09:14:09:488 Info ( 341): InitConnection ... (T788) 10/14/14 09:14:09:488 Info ( 349): Connecting to Pan MS Service end (T788) 10/14/14 09:14:14:474 Info ( 341): InitConnection ... (T788) 10/14/14 09:14:14:474 Info ( 349): Connecting to Pan MS Service end (T788) 10/14/14 09:14:19:481 Info ( 341): InitConnection ... (T788) 10/14/14 09:14:19:481 Info ( 349): Connecting to Pan MS Service end (T788) 10/14/14 09:14:24:003 Debug(  71): CTranslate: xxxxxxxxxxxx is 24 (T788) 10/14/14 09:14:24:003 Debug(  73): CTranslate: sid is xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx (T788) 10/14/14 09:14:24:003 Debug(  71): CTranslate: xxxxxxxxx is 24 (T788) 10/14/14 09:14:24:003 Debug(  73): CTranslate: sid is xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx (T788) 10/14/14 09:14:24:008 Debug( 297): CPanGASetting:OnBnClickedSave - resend credentials (T788) 10/14/14 09:14:24:488 Info ( 341): InitConnection ... (T788) 10/14/14 09:14:24:488 Info ( 349): Connecting to Pan MS Service end (T788) 10/14/14 09:14:29:474 Info ( 341): InitConnection ...   この問題を解決する方法が2つあります： 解決方法 1 PanGPSサービスの状態が実行中であることを、タスク マネジャーのサービス タブで確認します。   解決方法 2 PanGPSサービスが、タスク マネジャーのサービス タブ内に存在しない場合、GlobalProtectクライアントを再インストールします。     著者：mbutt ... View more

※この記事は以下の記事の日本語訳です。 How to Configure a High Availability Replacement Device https://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-Configure-a-High-Availability-Replacement-Device/ta-p/60397     概要 この文書は、高可用性 (HA) システム中のデバイスをRMAする場合の、交換デバイスの設定方法について記載します。   手順 設定のバックアップを収集 故障したデバイスの設定のバックアップを取得する： [ Device ] > [セットアップ ] > [ 操作 ] > [ 設定の管理 ] > [ デバイス状態のエクスポート ] をクリックします。 デバイス状態には、デバイスの設定が含みます。 注： Panoramaからデバイスのバックアップを取得するには、[ Panorama ] > [ 管理対象デバイス ] を開き、適切なデバイスのバックアップ欄の中の「Manage...」をクリックします。あるいは、CLIからSCPやTFTPを使用してコンピュータにデバイス状態をエクスポートできます。 > scp export device-state device to username@serverip:/path/ 以下のコマンドを使用して、故障した機器をシャットダウンします： > request shutdown system 新しい機器をラックに載せ、機器の管理インターフェイスに接続します。   新しいデバイス上で、基本的な設定を実施 ライセンスを転送します。参照：How to Transfer Licenses to a Spare Device (任意) 古いファイアウォールの操作モードに合わせるために、新しいファイアウォールのモードを設定します。この作業にはシリアルポートでの接続が必要です。 以下のCLIコマンドを入力して、ファイアウォールのメンテナンスモードに入ります： > debug system maintenance-mode メンテナンス パーティションに入ってブートするために、ブート シーケンス中に"maint"と入力します。 メイン メニューから、操作モードとして"Set FIPS Mode"または"Set CCEAL 4 Mode"を選択します。 交換したデバイスへの管理アクセスを設定します。 コンソールに接続し、初期の資格情報を使用してログインします： ユーザー名：admin パスワード：admin 以下のCLIコマンドを使用して管理IPアドレス、ネットマスク、ゲートウェイ、DNS、そして更新サーバーを設定します： > configure # set deviceconfig system ip-address <value> netmask <value> default-gateway <value> # set deviceconfig system dns-setting servers primary 4.2.2.2 # set deviceconfig system update-server updates.paloaltonetworks.com # commit # exit テストとしてドメインに対してPingをします。例：（訳注1） > ping host paloaltonetworks.com ライセンス サーバーからライセンスを取得します。 [ Device ] > [ ライセンス ] を開きます。 「ライセンス サーバーからライセンス キーを取得」をクリックします。 URLフィルタリングのライセンスを所有していることを確認し、URLフィルタリングが有効化されていることと、そのデータベースのダウンロードに成功していることを確認します。 注：「今すぐダウンロード」というリンクが表示されている場合、データベースはダウンロードされていません。 交換したデバイスに、既存の対となるHAデバイスと同じGlobalProtectクライアントと、同じバージョンのPAN-OSをインストールします。 GlobalProtectクライアントのインストール [ Device ] > [ GlobalProtectクライアント ] を開きます。 適切なバージョンのクライアントをダウンロードして有効にします。 PAN-OSのインストール [ Device ] > [ ソフトウェア ] を開きます。 適切なイメージをダウンロードしてインストールします。 再起動します。 ダイナミック更新が、対となるHAとして同じバージョンを保持していることを確認します。同じバージョンではない場合、適切なバージョンをダウンロードしてインストールします： [ Device ] > [ ダイナミック更新 ] > [ ダウンロード ] > [ インストール ] デバイスがPanoramaから管理されている場合、古いシリアルナンバーを新しいシリアルナンバーと置き換えます： > replace device old <Old Serial #> new <New Serial #>   設定の復元 [ Dev ice ] > [ セットアップ ] > [ 操作 ] を開きます。 「デバイス状態のインポート」をクリックして、故障したデバイスから、以前バックアップしておいた設定をインポートします。 コミットをクリックし、デバイス状態のインポートを完了させます。 (任意) 新しいファイアウォールの操作状態を古いファイアウォールに合わせます。例えば、マルチ仮想システム (multi-vsys) 機能 を有効にしていたファイアウォールのために multi-vsys機能 を有効に します。 > set system setting multi-vsys on > set system setting jumbo-frame on 新しいデバイスが、アクティブなデバイスに設定をプッシュしないように、確実にパッシブ状態にしておきます。 新しい機器を一時停止させるために、CLIにて以下のコマンドを実行します： > request high-availability state suspend あるいは GUIから、[ Device ] > [ 高可用性 ] > [ 操作コマンド ] > [ ローカル デバイスの一時停止（訳注2）] あるいは 設定変更を実施： [ Device ] > [ 高可用性 ] > [ 全般 ] > [ セットアップ ] を開き、"設定の同期化の有効化"オプションのチェックボックスのチェックを外す。 [ 選択設定 ] 内のプリエンプティブを無効にする。 もっとも大きいデバイスのプライオリティ値 (255) でデバイスを設定する。 コミットを実行する。 注：デバイスは、この設定ではアクティブにはなりません。参照：High Availability Synchronization 交換したデバイスが、アクティブなデバイスと同じ設定を保持していることを確認します。 [ Dashboard ] タブを開き、高可用性ウィジェットを確認します。 注：高可用性ウィジェットが表示されていない場合、[ ウィジェット ] > [ システム ] > [ 高可用性 ] をクリックします。 設定が同じでない場合、[ Device ] > [ 高可用性 ] を開き、アクティブなデバイスから"Push configuration to peer"をクリックします。    アクティブな機器にログインします。[ Device ] > [ 設定監査 ] を開き、"Running Config"と "Peers Running Config"間で設定監査を行います。両方の設定が同じであることを確認します。相違が見られる場合、パッシブな機器を手動にて設定を試みます。 故障したデバイスの設定のバックアップが取得されていなかった場合、設定に相違が起きる可能性があり、新しいデバイスはアクティブな機器と同じ設定を持たないことになります。このような場合、手動による設定が必要となります。 交換したデバイスにて、設定の同期を有効にし ( [ Device ] > [ 高可用性 ] > [ 全般 ] > [ セットアップ ] )、プリエンプティブを有効にします ( [ Device ] > [ 高可用性 ] > [ 全般 ] > [ 選択設定 ] )。 コミットをクリックして、変更を反映します。   コミット後、残りのケーブルを新しいデバイスに接続します。     訳注1：2016/10/31現在、paloaltonetworks.comや更新サーバーはPingに対して応答を返さなくなっています。更新サーバーへの接続確認は、WebUIでは、[Device] > [ソフトウェア]から[今すぐチェック]をクリックし接続エラー出ないことを確認するなどの方法で行ってください。 訳注2：[Suspend local デバイス]の表記となっている場合もあります。   著者：hshah ... View more

※この記事は以下の記事の日本語訳です。 How to Restart the "mgmtsrvr" Process https://live.paloaltonetworks.com/t5/Management-Articles/How-to-Restart-the-quot-mgmtsrvr-quot-Process/ta-p/63119     問題 WebGUIの応答が遅い、あるいは反応がない。 管理者アカウントが、すでにログアウトしている状態なのに、ログインしていると表示されている。 ライセンスの認証コードは入力されているが、ライセンスを有効化したり更新できたりしない。 WebGUIにてログが表示されない。 " show system resources"コマンドの出力結果は、" mgmtsrvr"プロセスが、異常にメモリを消費していることを示している。     Resolution これらの問題を解決するには、Management serverのプロセス"mgmtsrvr"の再起動を推奨します。 以下の手順に従い、Managment serverのプロセスを再起動してください。   CLIでコマンドを入力します: PAN-OS 5.0, 6.0, 6.1, 7.0 > debug software restart management -server   PAN-OS 7.1 > debug software restart  process  management -server 注： これにより"mgmtsrvr"プロセスが再起動します。ログインしている管理者がいる場合、WebGUIとCLIから切断されます。 数分後にWebGUI、あるいはCLIに、再度ログインします。 Management serverのプロセス以下をチェックするために、以下のCLIコマンドを実行します。 > s how system resources | match mgmtsrvr このコマンドの出力結果は、"mgmtsrvr"プロセスは、再起動前に比べてほとんどメモリを消費していないことを示すでしょう。WebGUIも正しく機能しているはずです。 > show system resources | match mgmt       2140       20   0  708m 484m 9828 S    2 12.9   8:13.06 mgmtsrvr   著者：jdavis   ... View more

※この記事は以下の記事の日本語訳です。 Unable to Connect to or Ping a Firewall Interface https://live.paloaltonetworks.com/t5/Management-Articles/Unable-to-Connect-to-or-Ping-a-Firewall-Interface/ta-p/62505     問題 あるサービスを利用するために、ファイアウォールのインターフェイスのIPアドレスに接続しようとした際に、あるいはそのインターフェイスにPingしようとした際に、その通信が失敗してしまう。HTTPSやSSHでデバイスを管理しようとしたり、GlobalProtect ポータルやNetConnect webポータルに接続しようとしたり、あるいは単にインターフェイスにPingしようとしているだけでも起きる可能性があります。   解決方法 インターフェイスが必要なサービスを有効にしたり、接続元からのIPアドレスを許可する適切な管理プロファイルを持っていることを確認します。 管理プロファイルが疑われる場合、以下の"counter"コマンドを実行し、"counter"の増加を確認します： > show counter global name flow_host_service_deny トラフィック ログを確認することにより、インターフェイスに向かうトラフィックをブロックしているセキュリティ ポリシーがないことを確認します。宛先アドレスにファイアウォールのインターフェイスのIPアドレスとなるようにフィルタ対象となるように設定をします。一般的に、セキュリティ ポリシーは接続をブロックしませんが、ブロックしてしまう可能性はあります。 パケットが到達するインターフェイスが、開始パケットがファイアウォールに入っていくインターフェイスと異なり、それら2つのインターフェイスが異なるゾーンにある場合、それはインター ゾーン（ゾーン間）のセッションだと考えられるため、そのセッションを許可するセキュリティ ポリシーが必要です。 パケットが到達するインターフェイスが、開始パケットがファイアウォールに入っていくインターフェイスと同じ場合、それはイントラ ゾーンのセッションだと考えられ、イントラ ゾーン（ゾーン内）のセッションはデフォルトで許可されているので、セキュリティ ポリシーは必要ありません。しかし、明示的に定義された"deny any to any zone"のセキュリティ ポリシーがあると、デフォルトの許可を上書きしてしまいます。そのため、ファイアウォールのインターフェイスに対して初期化セッションを許可する、より明確なポリシーを保持する必要があります。 注：インターフェイスのセッションのログが何も観測されていない場合、デフォルトのアクションがインター ゾーンやイントラ ゾーンのセッションで取られている時、拒否、許可のどちらについても、トラフィック ログは生成されない動作によることが考えられます。 問題がまだ解決できない場合は別の可能性として、送信元NATで開始パケットの送信元アドレスを、パケットが到達するインターフェイスのアドレスへ変換していることが考えられます。これはファイアウォールに、パケット処理の早い段階でのパケットのドロップを引き起こします。なぜならアドレス変換後にそのパケットは、送信元と宛先が同じとなるLAND攻撃のように見えてしまうからです。 これは外部インターフェイスと検証機が内部ネットワークにあり、GlobalProtectポータルへの接続を検証している時によく見られる振る舞いです。開始パケットは外部ゾーンにアクセスするための送信元NATによって外部インターフェイスに変換されてしまいます。 ログ プロセスの前にこの仕組みが動き出すため、この場合はトラフィックのログは何も見られません。 以下のコマンドを入力して、これが問題なのかどうかを確認するためにカウンタの増加分を確認します： > show counter global name flow_policy_nat_land この問題を解決するために、原因となるNATポリシーのクローンを作成し、[送信元アドレスの変換]を"none"に変更し、[宛先アドレス]を該当のインターフェイスのIPアドレスに変更します。そして問題のNATポリシーの直上に新しいポリシーを置きます。この措置により、宛先が該当インターフェイスの場合のみ、新しいNATポリシーが適用されます。 NATポリシーによって引き起こされる別の問題は、宛先NATが、サーバーのアドレスに向かう該当のインターフェイスのアドレスを宛先アドレスを持つパケットを、変換する場合です。一般的にこの宛先NATは、外部インターフェイスのパブリックなIPアドレスを含みます。この問題を引き起こす可能性のあるNATの設定は2つ考えられます。 宛先NATをすべてのサービスのために設定している場合、該当するインターフェイスの宛先アドレスを持ちNATポリシーに該当するパケットはすべて変換されます。たとえその意図がリモート ホストではなく、該当インターフェイスにパケットを到達させるためであったとしてもです。以下の方法で、この問題を解決できる可能性があります： サーバーが特定のサービス、あるいはファイアウォールのインターフェイスに届く必要のあるポートとは異なるポートを使用する場合、必要なサービスだけを変換してサーバーへ転送するために、NATポリシーの適用範囲を狭くします。 その宛先NAT用に特定のサービスが指定して、それらのサービスの宛先ポートに合致するパケットだけが宛先変換されますが、443番ポートの変換を例として挙げると、宛先NATポリシーに合致するパケットであるからといって、ファイアウォールのインターフェイスの443番ポートへ接続されることはありません。以下の方法で、この問題を解決できる可能性があります： 利用可能なアドレスがある場合、別のアドレスをファイアウォールのインターフェイスに追加します。同じサブネット内にアドレスを追加する場合、そのサブネット マスクは"/32"である必要があります。 ファイアウォールのインターフェイスのアドレスは変更するか、サーバーのアドレスを変更するべきです。 上記の選択肢のどちらも相応しいアクションでない場合、問題は、サービスが提供されるために十分なパブリックなアドレスを持っていないことである可能性があります。より手の掛かる解決策ではありますが、パブリックなアドレスを追加で入手する必要があるかもしれないということです。 上記の解決方法でも問題を解決できない場合、通信を開始するコンピュータとファイアウォールのインターフェイス間において、ネットワーク上のルートを確認する価値は大いにあります。他のコンピュータがファイアウォールに接続できるかどうかを確認します。必要に応じて、開始パケットがファイアウォールに届いているかどうかを確認するために、ファイアウォール上でパケット キャプチャをします。   Trustゾーンのホストが、外部インターフェイスのIPアドレスへの接続を防ぐ送信元NATの例： インターネットからの外部インターフェイスのIPアドレスへのすべての接続を防ぐ宛先NATの例：   注：この解決方法は、ファイアウォールの管理インターフェイスには適用されません。     著者：astanton ... View more

※この記事は以下の記事の日本語訳です。 SSL decryption resource list https://live.paloaltonetworks.com/t5/Management-Articles/SSL-decryption-resource-list/ta-p/70397     概要 SSLの復号化により、Palo Alto Networksファイアウォールは、隠されているセキュアなHTTPトラフィックの内部を見ることができます。SSLの復号化は、会社の価値ある知的財産がネットワークを通過している可能性があることを示す、あらゆる兆候をモニタするために使用することができます。Palo Alto Networksファイアウォールは、インスペクション プロセスを経てSSLトラフィックの中身を開くことで、SSLの復号化を実行することができます。   下記の表は、SSL復号化を理解し、設定する際に役立つ資料の一覧です： タイトル 説明 種類 基礎レベル     How to implement and test SSL decryption SSLの復号化の実行方法と検証方法について記載 文書 Limitations and recommendations while implementing SSL decryption SSLの復号化の実行時における制限と推奨事項 文書 How to view SSL decryption information from the CLI CLIでのSSL復号化の情報の見方 文書 Controlling SSL decryption SSLの復号化の制御 文書 List of applications excluded from SSL decryption Palo Alto Networksデバイスでは復号化できないアプリケーションの一覧 文書 How to exclude a URL from SSL decryption SSLの除外リストにURLを追加するためのCLIコマンドの詳細 文書 SSL decryption certificates SSLトラフィックを復号化し、検査するためのSSL証明書の管理方法 文書 How to temporarily disable SSL decryption 復号化ポリシーを修正せずに、一時的にSSLの復号化を無効にする方法 文書 How to enable/reset the opt-out page for SSL decryption オプトアウト ページを有効にする方法 文書 How to serve a URL response page over an HTTPS session without SSL decryption SSLの復号化を行わず、HTTPSセッション上でURLの応答ページを表示するためのデバイスの設定方法 文書 Difference between SSL forward-proxy and inbound inspection decryption mode SSLフォワード プロキシとSSLインバウンド インスペクション モード 文書 How to create a report that includes only SSL decrypted traffic SSLの復号化されたトラフィックだけを含むレポートの作成 文書 How to view decrypted traffic 復号化されたトラフィックの見方 文書 中級レベル     How to configure a decrypt mirror port on PAN-OS 6.0 復号化されたトラフィックのコピーを作成し、ミラー ポートに送信する 文書 上級レベル / トラブル シューティング     How to identify root cause for SSL decryption failure issues サポートしていない暗号スイートによって失敗した復号化を特定する方法 文書 SSL vulnerability non-detection behavior is seen when inbound SSL decryption policy is set セキュリティ プロファイルでのSSLに関連する脆弱性の検出が失敗する 文書 Troubleshooting slowness with traffic, management, or intermittent SSL decryption 断続的なSSL復号化のトラブルシューティング 文書 SSL decryption not working due to unsupported cipher suites 設定後に、インバウンドSSL復号化に必要な証明書のインポートが動作しない 文書 Unable to post pictures on Facebook after enabling SSL decryption SSL復号化を有効にした後、ユーザーがHTTPsを使用したFacebookへの接続ができない 文書 After configuring SSL decryption Mozilla Firefox presents certificate error Mozilla Firefox上で、SSLの復号化が証明書エラーを表示する 文書 SSL decryption policy is decrypting traffic for no-decrypt rules SSL復号化ポリシーが、復号化しないルールのトラフィックを復号化する 文書 SSL decryption rules not matching FQDN SSLの復号化のルールがFQDNに合致しない 文書 Google services do not work in Chrome with SSL decryption SSL復号化をしていると、GoogleがChrome上で動作しない 文書 Commit error received after configuring SSL decryption for certificate generation SSLの復号化を設定 - 証明書エラーを生成した後にコミットが失敗する 文書 Inbound SSL decryption fails when SSL compression is enabled インバウンドSSL復号化が失敗する 文書 SSL decryption stops working on Firefox after changing SSL decryption certificate SSL復号化の証明書を変更後、SSLの復号化がFirefoxブラウザで動作しない 文書 SSL decryption opt-out timeout オプト アウト ページをより頻繁に表示する 文書 Wrong certificate used when SSL decryption is enabled SSL復号化時に、信頼されていない証明書が使用される 文書 How to use URL category-based security policies for SSL websites without SSL decryption SSLを復号化せずにSSLのWebサイト用のURLカテゴリ ベースのセキュリティ ポリシーの使用する方法 文書   訳注：以下の注は元記事に即して翻訳されていますが、コメントについては元記事の方にご投稿をお願いいたします。 注：この一覧表に記載のない記事や動画、論議をお持ちでしたら、以下のコメント欄に投稿してください。一覧表に追記いたします。     著者：syaguma ... View more

※この記事は以下の記事の日本語訳です。 Information Synchronized in an HA Pair https://live.paloaltonetworks.com/t5/Learning-Articles/Information-Synchronized-in-an-HA-Pair/ta-p/57292     概要 この資料は、高可用性 (HA) ペア メンバー間で同期される情報について説明しており、アクティブ-パッシブやアクティブ-アクティブでの構成に対応しています。   詳細 HA1リンクにおけるコントール プレーンの同期 設定：アクティブ、あるいはパッシブなユニットが、対となるデバイスに対して同期される設定の変更 同期されるタブ：[ Policies ]、[ Objects ]、[ Network ] Web証明書を除く、すべての証明書   HA2リンクにおけるデータ プレーンの同期 セッションの状態 IPSec SA MAC テーブル Neighbor Discoveryテーブル MACを返すIPv(4/6) HA2モニタ メッセージ ARPテーブル   以下のコマンドを使用して、HA2リンクにおいて何が同期されるのかを確認します： > show high-availability state-synchronization   同期されないオブジェクト ネットワーク内における、インターフェイスの特定のパラメータ (例：リンク速度やリンク デュプレックス) アプリケーション コマンド センター (ACC) とログのデータ Web証明書 HA間のログ リンクの設定 (参照：How Does the Log Link Feature Work?)   注：[ Device ] タブ内にある各オブジェクトは、すべてが同期されるというわけではありません。同期される全オブジェクトの一覧については、こちらをご覧ください：High Availability Synchronization   同期を手動で行うためのCLIコマンド 現在実行中の設定を同期するコマンド。 >request high-availability sync-to-remote running-config システム設定の一部として保存されていないオブジェクト、例えばカスタム ブロック ページやログオン ページを強制的に同期するコマンド。このプロセスは、HAコントロール リンク上で動作します。 >request high-availability sync-to-remote disk-state 手動でランタイム セッションの状況を同期するコマンド。これは、通常は自動的に行われますが、必要に応じて、以下のコマンドを実行することで、セッション テーブルを強制的に同期することができます。 >request high-availability sync-to-remote runtime-state   参照 High Availability Synchronization.     著者：akawimandan ... View more

※この記事は以下の記事の日本語訳です。 Dual ISP Branch Office Configuration https://live.paloaltonetworks.com/t5/Configuration-Articles/Dual-ISP-Branch-Office-Configuration/ta-p/59346     この資料は、拠点オフィスのデュアル ISPの設定方法について記載します。今回のシナリオでは、外向けの接続に冗長性を持たせるため、オフィスは2つのISPに接続されています。この設定では、スタティック ルーティングやポリシー ベース フォワーディング (PBF)、宛先・送信元NATを使用します。 ISP間でBGPルーティング プロトコルを必要とすることなく、自動的に外向けのインターネットの冗長性を提供します。   注：この資料は、PAN-OS 5.0やそれ以降のバージョン用に更新されています。複数の外部ゾーンは必要ありません。     著者：kbrazil ... View more

※この記事は以下の記事の日本語訳です。 Using Packet Filtering through the WebGUI https://live.paloaltonetworks.com/t5/Management-Articles/Using-Packet-Filtering-through-the-WebGUI/ta-p/56363     訳注：本文書で紹介する機能はPAN-OS：5.0以降で対応しています。   概要 この資料は、WebGUIを利用したPCAPについて詳述しています。ここでは、GUIを利用したフィルターの設定方法を扱っており、パケットのキャプチャ方法や、どのパケットがどのステージへ向かうのかを決める方法について説明しています。   いつパケットをキャプチャを必要があるのか? ネットワーク トラフィックを分析する際にパケットキャプチャを行います。PAN-OSは、3種類のパケット キャプチャに対応しています： フィルター PCAP／デバッグ フィルター 送信元／宛先IPアドレス、および送信元／宛先ポートに基づいてパケットをキャプチャするため。 アプリケーション PCAP 特定のApp-IDのパケットをキャプチャするため (特にApp-IDが該当のアプリケーションを検出せず、アプリケーション欄に"incomplete"と表示されている状況）。 "Incomplete"とは、TCP 3ウェイ ハンド シェイクが完了していないということを意味しています。Palo Alto Networksファイアウォールは、クライアントからのSYNパケットの確認はしたが、サーバーからSYN-ACKを得ることはなかった、ということです。それには、2つの理由が考えられます： サーバーは、SYN-ACKの返答を一度もしなかった。これは、サーバーに問題があるということを意味しています。 サーバーは、SYN-ACKを返答したが、SYN-ACKが異なるルートを通ったため、Palo Alto Networksデバイスを通過しなかった (非対象ルーティングとも呼ばれます)。 この問題を解決するためには、フィルターとキャプチャを設定して、Palo Alto NetworksデバイスがSYN-ACKを確認しているかを判断する必要があります。 Unknown PCAP "unknown-tcp"や"unknown-udp"、"unknown-p2p"のパケットをキャプチャするため。 Palo Alto Networksデバイスが、App-IDを使用してアプリケーションを特定できない場合、パケットは、"unknown-tcp"、"unknown-udp"または"unknown-p2p"に分類されます。 キャプチャしたファイルはハード ディスク上に保存されます。ファイアウォールは、PCAPをログ毎に20MBずつ保存し、1時間ごとにディスクの空き容量を確認しています。ディスクの使用量が90％を超えた場合、パケット キャプチャは、90％以下になるまで、古いものから順番に削除されていきます。 注：ファイルのサイズを制限するために、オフ ピーク時にトラフィックをキャプチャすることの考慮が必要となる場合があります。   キャプチャする前にフィルターを設定することが重要である理由 フィルターに合致するパケットだけがキャプチャされるように、フィルターを定義します。パフォーマンスの低下を最小限に抑えたり、他の不要なデータがキャプチャされないことを保証するために、キャプチャを有効にする前に、フィルターを定義することが重要です。同様に、PCAPを取得後は、フィルターを解除する前にキャプチャを無効にすることが重要です。 そのようにしないと送信元IPアドレスだけをフィルターする代わりに、すべてのトラフィックがフィルターの対象となり、 Palo Alto Networksファイアウォールのパフォーマンスが低下することになります。     フィルターとキャプチャを設定するためのステップ バイ ステップ ガイド   WebGUIを利用したPCAP フィルタリング [ Monitor ] > [ パケット キャプチャ ] を選択します： フィルターを設定する前に、以前の設定が不要である場合、「すべての設定をクリア」を選択して、すべてのPCAP設定を削除します。 最初にフィルターを設定する方がより安全です。それにより、フィルターに合致するパケットだけをキャプチャすることができます。フィルターを設定するために、「フィルタの管理」を選択し、「追加」をクリックして新しいフィルターを設定します。 以下の情報を指定します： ID：フィルターを識別するためのIDを入力します。 入力インターフェイス：ファイアウォールのインターフェイスを入力します。 送信元：送信元IPアドレスを入力します。 宛先：宛先IPアドレスを入力します。 送信元ポート：送信元ポートを入力します。 宛先ポート：宛先ポートを入力します。 非 IP：非 IPトラフィックを扱うためのオプションを1つ選択します。 None：IPフィルターを使用しない。 Exclude Include Only：IPだけを含めるフィルター。 IPv6：IPv6パケットを含めるには、チェックボックスにチェックを入れます。 フィルタリングと事前解析一致を有効にします： 注：事前解析一致は、高度なトラブルシューティングのためのものです。あるパケットが入力インターフェイスに入ってきた際に、何らかの失敗によりそのパケットはフィルタリングのステージまで到達しないことがあります。しかし、この設定を有効にすることで、ファイアウォールはフィルタリングのステージに到達しないパケットもキャプチャします。   キャプチャ キャプチャを有効にする前に、以下のステージを設定します： 「追加」をクリックして、キャプチャされるパケットのステージを設定します。パケットは、以下の4つのステージでキャプチャされます： Drop：エラーが原因で、Palo Alto Networksデバイスによってドロップされたパケットが、Dropステージに入ります。 Firewall：Palo Alto Networksデバイスが、パケットを処理している時のパケットのステージです (キャプチャされたパケットは、ポリシーやIPS機能などを通過していきます)。 Receive：Palo Alto Networksデバイスによって受信されたパケットは、このステージでキャプチャされます。 Transmit：送信元から送出されるパケットは、(Firewallステージ後に) このステージでキャプチャされます。 パケット キャプチャを有効にします。ダイアログが表示されますので、OKをクリックします。 注：特定のトラフィックのパケットだけがキャプチャされるように、キャプチャを有効にする前に、フィルターが有効になっていることを確認します。そうでない場合、作成されたすべての新しいセッションがキャプチャされてしまい、データ プレーンのパフォーマンスを著しく低下させることになります。 パケットをキャプチャするために、送信元からのトラフィックを生成します。 画面を更新して、PCAPファイルがキャプチャされたかどうかを確認します。 パケット キャプチャ画面の右側にPCAPファイルが表示された後、キャプチャとフィルターを無効にします。 注：フィルターを無効にする前に、キャプチャを無効にすることが重要です。さもないと、すべてのトラフィックがフィルターの対象となり、ファイアウォールのパフォーマンスを低下させてしまうことになります。   すべての設定は以下の「すべての設定をクリア」を使用することで削除することができます：   シナリオ例 "10.1.1.1"を使用している端末からのトラフィックをキャプチャします。 送信元が"10.1.1.1"であるフィルターを設定します。 4つのキャプチャ ステージを設定し、各ステージに対して個々にファイル名を付けます (Receive、Firewall、Transmit、Drop)。 フィルタリングと事前解析一致を有効にします。 キャプチャを有効にします。 パケット キャプチャを有効にすると、ファイアウォールのパフォーマンスに影響を与えるという旨のリマインダーとして、警告が表示されます。 必要なトラフィックを生成します。 更新アイコンをクリックします。 PCAPファイルが表示されます。最初にキャプチャを無効にし、次にフィルタリングを無効にします。 4つのキャプチャしたファイル (各ステージにつき1つ) をダウンロードし、Wiresharkを使用して開きます。 注：ステージに関連付けられたファイルは、トラフィックがキャプチャされた場合のみに作成されます。例えば、パケットが1つもドロップしない場合は、そのステージに関連付けられたファイルは何も作成されません。     著者：mvora ... View more

※この記事は以下の記事の日本語訳です。 Basics of Traffic Monitor Filtering https://live.paloaltonetworks.com/t5/Featured-Articles/Basics-of-Traffic-Monitor-Filtering/ta-p/65244     フィルタリングの方法と使用例 この資料では、Palo Alto Networksファイアウォール上で、特定のタイプのトラフィックをフィルタリングしたり、見つけ出す方法をいくつか例を挙げて説明しています。フィルタのカテゴリとして、ホスト、ゾーン、ポート、日付／時間があります。一覧の最後の方では、より包括的に検索するために、様々なフィルタを組み合わせた例をいくつか記載しています。   以下は、手始めとなる基本的なフィルタの例です。   ホストのトラフィック フィルタの例        ホスト a.a.a.a から           (addr.src in a.a.a.a)           例：(addr.src in 1.1.1.1)            説明：IPアドレス 1.1.1.1 に合致するホストからのすべてのトラフィックを表示        ホスト b.b.b.b へ           (addr.dst in b.b.b.b)           例：(addr.dst in 2.2.2.2)            説明：2.2.2.2 に合致するホストの宛先アドレスのすべてのトラフィックを表示       ホスト a.a.a.a からホスト b.b.b.b へ           (addr.src in a.a.a.a) and (addr.dst in b.b.b.b)           例：(addr.src in 1.1.1.1) and (addr.dst in 2.2.2.2)           説明：1.1.1.1 のIPアドレスを持つホストから2.2.2.2 の宛先アドレスを持つホストへのすべてのトラフィックを表示       ホストのIPアドレスの範囲から           注：実際のIPアドレスを特定できませんが、あるアドレスのネットワークの範囲を特定するために、CIDRの表記法を使用することができます。           (addr.src in a.a.a.a/CIDR)           例：(addr.src in 10.10.10.2/30)           説明：10.10.10.1 - 10.10.10.3 の範囲のアドレスからのすべてのトラフィックを表示        送信元／宛先ホスト a.a.a.a           (addr in a.a.a.a)           例：(addr in 1.1.1.1)            説明：1.1.1.1 に合致するホストの送信元アドレス、あるいは宛先アドレスのすべてのトラフィックを表示     ゾーンのトラフィック フィルタの例        zone_a ゾーンから           (zone.src eq zone_a)           例：(zone.src eq PROTECT)           説明：PROTECTゾーンからのすべてのトラフィックを表示        zone_b ゾーンへ           (zone.dst eq zone_b)           例：(zone.dst eq OUTSIDE)           説明：OUTSIDEへのすべてのトラフィックを表示        zone_a から zone_b へ           (zone.src eq zone_a) and (zone.dst eq zone_b)           例：(zone.src eq PROTECT) and (zone.dst eq OUTSIDE)           説明：PROTECTゾーンからOUTSIDEゾーンへ出て行くすべてのトラフィックを表示     ポートのトラフィック フィルタの例        送信元ポート aa から           (port.src eq aa)           例：(port.src eq 22)           説明：送信元ポート22からのすべてのトラフィックを表示        宛先ポート aa へ           (port.dst eq bb)           例：(port.dst eq 25)           説明：宛先ポート25へのすべてのトラフィックを表示        送信元ポート aa から宛先ポート bb へ           (port.src eq aa) and (port.dst eq bb)           例：(port.src eq 23459) and (port.dst eq 22)           説明：送信元ポート23459から宛先ポート22へのすべてのトラフィックを表示        送信元ポート aa 以下のすべてのポートから           (port.src leq aa)           例：(port.src leq 22)           説明：送信元ポート1 - 22からのすべてのポートを表示        送信元ポート aa 以上のすべてのポートから           (port.src geq aa)           例：(port.src geq 1024)           説明：送信元ポート1024 - 65535からのすべてのトラフィックを表示        宛先ポート aa 以下のすべてのポートへ           (port.dst leq aa)           例：(port.dst leq 1024)           説明：宛先ポート1 - 1024へのすべてのトラフィックを表示        宛先ポート aa 以上のすべてのポートへ           (port.dst geq aa)           例：(port.dst geq 1024)           説明：宛先ポート1024 - 65535へのすべてのトラフィックを表示        aa から bb までの送信元ポート範囲から           (port.src geq aa) and (port.src leq bb)           例：(port.src geq 20) and (port.src leq 53)           説明：送信元ポート20 - 53の範囲からのすべてのトラフィックを表示        aa から bb までの宛先ポート範囲へ           (port.dst geq aa) and (port.dst leq bb)           例：(port.dst geq 1024) and (port.dst leq 13002)           説明：宛先ポート1024 - 13002へのすべてのトラフィックを表示     日付／時間のトラフィック フィルタの例        特定の日時のすべてのトラフィック           (receive_time eq 'yyyy/mm/dd hh:mm:ss')           例：(receive_time eq '2015/08/31 08:30:00')           説明：2015年8月31日 午前8時30分に受信したすべてのトラフィックを表示        ある日時か、それ以前に受信したすべてのトラフィック           (receive_time leq 'yyyy/mm/dd hh:mm:ss')           例：(receive_time leq '2015/08/31 08:30:00')           説明：2015年8月31日 午前8時30分か、それより以前に受信したすべてのトラフィックを表示        ある日時か、それ以降に受信したすべてのトラフィック           (receive_time geq 'yyyy/mm/dd hh:mm:ss')           例：(receive_time geq '2015/08/31 08:30:00')           説明：2015年8月31日 午前8時30分か、それ以降に受信したすべてのトラフィックを表示        ある期間に受信したすべてのトラフィック           (receive_time geq 'yyyy/mm/dd hh:mm:ss') and (receive_time leq 'YYYY/MM/DD HH:MM:SS')           例：(receive_time geq '2015/08/30 08:30:00') and (receive_time leq '2015/08/31 01:25:00')           説明：2015年8月30日 午前8時30分から2015年8月31日 午前1時25分の間に受信したすべてのトラフィックを表示     インターフェイスのトラフィック フィルタの例        インターフェイス interface1/x でのインバウントのすべてのトラフィック           (interface.src eq 'ethernet1/x')           例：(interface.src eq 'ethernet1/2')           説明：Palo Alto Networksファイアウォールのインターフェイス Ethernet 1/2 で受信したすべてのトラフィックを表示        インターフェイス interface1/x でのアウトバウンドのすべてのトラフィック           (interface.dst eq 'ethernet1/x')           例：(interface.dst eq 'ethernet1/5')           説明：Palo Alto Networksファイアウォールのインターフェイス Ethernet 1/5 で送信されたすべてのトラフィックを表示     許可／拒否のトラフィック フィルタの例        ファイアウォールのルールによって許可されたすべてのトラフィック           (action eq allow)           OR          (action neq deny)           例：(action eq allow)           説明：ファイアウォールのルールによって許可されたすべてのトラフィックを表示。'eq' の前に 'n' を置くことは、'not equal to' を意味します。そのため、'deny' ではないもの、つまり、許可されたすべてのトラフィックが表示されます。        ファイアウォールのルールによって拒否されたすべてのトラフィック           (action eq deny)           OR          (action neq allow)           例：(action eq deny)           説明：ファイアウォールのルールによって拒否されたすべてのトラフィックを表示。'eq' の前に 'n' を置くことは、'not equal to' を意味します。そのため、'allow' ではないもの、つまり、拒否されたすべてのトラフィックが表示されます。     トラフィック フィルタの組合せ例        送信元がOUTSIDEゾーンで、かつ 10.10.10.0/24 のネットワーク内からで、かつ宛先がホスト 20.20.20.21 で、かつPROTECTゾーンへのすべてのトラフィック：           (zone.src eq OUTSIDE) and (addr.src in 10.10.10.0/24) and (addr.dst in 20.20.20.21) and (zone.dst eq PROTECT)        送信元ホストが 1.2.3.4 で、宛先ホストが 5.6.7.8、かつ2015年8月30日 0時0分から2015年8月31日 23時59分59秒までのすべてのトラフィック           (addr.src in 1.2.3.4) and (addr.dst in 5.6.7.8) and (receive_time geq '2015/08/30 00:00:00') and           (receive_time leq '2015/08/31 23:59:59')     著者：reaper ... View more

※この記事は以下の記事の日本語訳です。 How to Configure Group-Mapping in a Multi-Domain Active Directory Domain Services (AD DS) Forest https://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-Configure-Group-Mapping-in-a-Multi-Domain-Active/ta-p/60784     PAN-OS 6.1にまで対応していますが、以降のバージョンについては、以下をご参照ください。   概要 この資料は、マルチ ドメイン Active Directoryドメイン サービス (AD DS) フォレスト環境下で、クロス ドメイン ユーザーのユーザー名のフォーマットが矛盾しないように、グループ マッピングを正しく設定する方法について記載します。そのフォレストにおいて、他のドメインからすべてのオブジェクト (ユーザーあるいはグループ) を取得する場合、グループ マッピングに際して、「グローバル カタログ」として定義されたADサーバーを使用します。グローバル カタログは分散型のデータの貯蔵庫であり、そのフォレストの各ドメイン メンバーの中の各オブジェクトの検索可能な部分的な属性を保持します。   重要！適切に設定されていない場合、グループ マッピングの中の一部ユーザーが、netbios/domain-name (dummydomain/username) となる代わりに fqdn-domain-name/username (dummy.example.com/username) としてフォーマットされてしまい、User-IDエージェント、あるいはエージェト レスなUser-IDサービスから取得されたIPアドレスとユーザーのマッピングに矛盾を生んでしまう問題を起こす可能性があります。   手順 グローバル カタログ（通常はルート ドメイン）として設定されているADサーバーは、LDAPサーバーのプロファイル内に設定される必要があります。このサーバーの3268（あるいはSSL用の3269）ポートに接続します。 通常、PAN-OSにドメイン名を置き換えさせるために、ドメイン欄を設定します。そうしたくない場合は、空欄のままにします。 注：グローバル カタログに対してこの設定を行うことで、他のドメイン（フォレストのメンバー）も含め、このサーバーから取得されるすべてのユーザーとグループのドメイン名を置き換えてしまいますので、ご注意ください。空欄にしておくことで問題が起きる場合、ドメイン名（訳注：フルFQDNでないNetBIOS名の意）のみをこの欄に入力します。例えばドメインは"acme.local"の場合、"acme"が必要なので、"acme"とドメイン欄に入力します。 グループ マッピングの設定に、このプロファイルを使用します（また必要に応じて、設定済みのリストを使用します)。 ドメイン名が手順2にて手動で設定していない場合、別のLDAPサーバー プロファイルを使用するグループ マッピングの追加が必須であり、同じADサーバーに通常の389（あるいはSSL用の636）ポートの同じADサーバーにクエリを行います。この操作は、ユーザーのフォーマットを netbios_domain_name/username として正規化 するためのドメイン マップを正しく生成するために必要です。 このプロファイルは、ドメイン マップを取得するために使用するため、ドメイン欄を設定する必要はありませんが、空欄のままにしておくこともできます。ここで使用されているADサーバーは、フォレストの別のドメイン コントローラーになることができ、ドメイン マップにクエリするパーティション コンテナは、すべてのドメイン コントローラーで複製されます。手順2の注をご覧ください。 Active Directoryが多数のユーザーやグループを保持している場合、GM-AD設定の中で、それらのためにいくつかの検索フィルタを設定すると良いでしょう。これはこのグループ マッピングでのLDAPのクエリ結果による、管理プレーンのリソース影響を抑えるためです。 このグループ マッピングは、ドメイン マップを決めるためにだけ使用されているので、ユーザーやグループのために結果を取得したり操作したりする必要はありません。   この例では、検索フィルタは"Dummy"という文字列で設定していますが、LDAPのクエリ結果を確実に 0 とするために、ユーザーとグループのDescriptionフィールドにはその文字列"Dummy"が含まれなければいけません。   参照： LDAP Group Mappings in a Mixed 6.x and 7.x Environment with Panorama       著者：nbilly ... View more

※この記事は以下の記事の日本語訳です。 How to Collect the User-IP Mappings from a Syslog Sender Using an User-ID Agent https://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-Collect-the-User-IP-Mappings-from-a-Syslog-Sender-Using/ta-p/62085     訳注：本文書で紹介する機能はPAN-OS 6.0から対応しています。   概要 PAN-OS 6.0より、Palo Alto NetworksファイアウォールとUser-IDエージェントを、ネットワーク上の様々なシステムからSyslogのログを収集するためのSyslogリスナーとして使用し、、またユーザーとIPアドレスを対応させることができるようになりました。ユーザーとIPアドレスの対応付けは、セキュリティ ルールとポリシーで使用できます。ファイアウォールのPAN-OSのバージョンとUser-IDエージェントのバージョンは、少なくとも6.0である必要があります。 注：ファイアウォールのPAN-OSのバージョンは、User-IDエージェントのバージョンと同じか、それ以降のバージョンである必要がありますが、同じバージョンである方が望ましいです。   この資料では、WindowsサーバーにインストールされたUser-IDエージェント上で、カスタムSyslog Senderを設定する方法を説明しています。 Palo Alto Networksファイアウォール上での同様の設定については、こちらをご覧ください： How to Configure a Custom Syslog Sender and Test User Mappings.   ファイアウォールは、User-IDエージェント上で、定義済みのフィルターをSyslog Senderとして利用することができますが、管理者は、ネットワーク システムによって生成されるログに応じたフィルターを作成する必要があります。この設定に対する前提条件として、User-IDエージェントはファイアウォールに接続されており、ユーザーIPマッピングが接続したPalo Alto Networksデバイスに送付されている状況を想定します。   追加要件： Syslog Senderのログについての知識 Syslog SenderのIPアドレスについての知識 ログを受信するために使用することができるサーバー上の、利用可能なポートについての知識 ユーザーが接続しているドメイン、ログイン時の"domain\"表記法の知識 フィールド識別子、あるいは正規表現の識別子の用法に関する判断   手順 ログの分析： ログの中を見て、ユーザー IPマッピングに必要なフィールドを見つけます。これらのフィールドは、次の要素を含む必要があります；ユーザー名、IPアドレス、区切り文字、イベントの文字列。イベントの文字列は、、特定のユーザーがログインに成功したこと、そしてそのユーザー名とIPアドレスを収集し、それらをユーザーIPマッピングのデータベースに追加する必要があることをファイアウォールに教えてくれます。   以下のSyslogの例は、Aruba Networks社製のWireless Controllerからのログを表示しています： 2013-03-20 12:56:53 local4.notice Aruba-Local3 authmgr[1568]: <522008> <NOTI> <Aruba-Local3 10.200.10.10>  User Authentication Successful: username=ilija MAC=78:f5:fd:dd:ff:90 IP=10.200.27.67 2013-03-20 12:56:53 local4.notice Aruba-Local3 authmgr[1568]: <522008> <NOTI> <Aruba-Local3 10.200.10.10>  User Authentication Successful: username=jovan MAC=78:f5:fd:dd:ff:90 IP=10.200.27.68 role=MUST-STAFF_UR VLAN=472 AP=00:1a:1e:c5:13:c0 SSID=MUST-DOT1X AAA profile=MUST-DOT1X_AAAP auth method=802.1x auth server=STAFF 2013-03-20 12:56:57 local4.notice Aruba-Local3 authmgr[1568]: <522008> <NOTI> <Aruba-Local3 10.200.10.10>  User Authentication Successful: username=1209853ab111018 MAC=c0:9f:42:b4:c5:78 IP=10.200.36.176 role=Guest VLAN=436 AP=00:1a:1e:c5:13:ee SSID=Guest AAA profile=Guest auth method=Web auth server=Guest 2013-03-20 12:57:13 local4.notice Aruba-Local3 authmgr[1568]: <522008> <NOTI> <Aruba-Local3 10.200.10.10>  User Authentication Successful: username=1109853ab111008 MAC=00:88:65:c4:13:55 IP=10.200.40.201 role=Guest VLAN=440 AP=00:1a:1e:c5:ed:11 SSID=Guest AAA profile=Guest auth method=Web auth server=Guest   上記のログ (Syslogの出力) の分析から、フィールド識別子を使用して解析できることが分かります。 イベントの文字列："User Authentication Successful:" ユーザー名のプレフィックス："username=" ユーザー名の区切り文字：空白スペース アドレス プレフィックス："IP=" アドレスの区切り文字：空白スペース   注： 「空白スペース」というのは、キーボードのスペースキーを押す、ということです。   設定： Syslog解析プロファイルを定義します。これは、ファイアウォールのリスナーに送信されるSyslogのイベントのために使用されます。 User-IDエージェントからSyslogタブを開きます：[ User Identification ] > [ Setup ] > [ Edit ] > [ Syslog ] 新しいSyslogのメッセージのために、待ち受けるポートを選択します。 新しいSyslog解析プロファイルを追加します。 適切なSyslog解析プロファイル名と、必要に応じて内容を入力します。 適切な解析タイプを選択します (今回の例では、フィールド識別子が設定されています)。 先の手順で実施の「ログの分析」に従い、詳細を入力します。 Syslogサービスを有効にすることを忘れないでください 設定をすべて終えた後のSyslogフィルターは以下のように表示されます： モニタするサーバーのリストで、該当のサーバーを設定します： User-IDエージェントから、[ User Identification ] > [ Discovery ] > [ Server ] > [ Add ] にて、新しいサーバーを追加します。 名前とIPアドレスを入力し、サーバー タイプとしてSyslog Senderを選択します。 先の手順で定義したフィルターを選択します。 必要に応じて、デフォルト ドメイン名を入力します（これを入力した場合、このサーバー接続を使用して検出されたすべてのユーザーに対して、ドメイン フィールドが先頭に付与されます）。 User-IDエージェントに対する変更を、コミットをクリックして反映します。 サーバーが、定義されたポートで待ち受けていることを確認します （サーバー上のコマンドプロンプトで、"netstat"コマンドを使用します）。 Server Senderからログを受信しているかどうか、またUser-IDエージェント上でマッピングが生成されているかどうかを確認します。 ファイアウォール上で、User-IDエージェントからマッピングを受信できているかどうかを確認します。これらのマッピングのタイプは、User-IDエージェントから収集されてファイアウォールに渡されたものであるため、Usre-ID エージェントとなります。   著者：ialeksov ... View more

※この記事は以下の記事の日本語訳です。 GUI Error 'opaque: Failed to check content upgrade info due to generic communication error' https://live.paloaltonetworks.com/t5/Management-Articles/GUI-Error-opaque-Failed-to-check-content-upgrade-info-due-to/ta-p/60791     症状 日常的に、ファイアウォールは以下のエラーを報告します： opaque: Failed to check Content content upgrade info due to generic communication error   アップデート サーバーへの接続は確認されましたが、問題は何も見つかりませんでした。   問題 このエラーは、2つ、あるいはそれ以上のコンテンツのアップデートが、同時刻に実行されるように予定が組まれている場合に発生します (例：アンチウィルスやURLデータベース)。   解決方法 [ Device] > [ ダイナミック更新 ] 画面から、コンテンツのデータベース毎に予定を変更し、更新時間が同じか、あるいは近い時間にならないようにします。     著者：rvanderveken ... View more

※この記事は以下の記事の日本語訳です。 Software Download Error: 'Failed to download due to server error. Please try again later. Failed to download file' https://live.paloaltonetworks.com/t5/Management-Articles/Software-Download-Error-Failed-to-download-due-to-server-error/ta-p/57458     訳注：本文書で紹介している内容は、PAN-OS 6.0から対応しています。   問題 Palo Alto Networksファイアウォール上でPAN-OS 6.0、あるいはそれ以降のバージョンをダウンロードする際に、時折ダウンロードが失敗し、以下のエラーが表示されることがあります： "Failed to download due to server error. Please try again later. Failed to download file".   詳細 次の CLI コマンドを使用して "ms.log" を確認します： > less mp-log ms.log 同様のエラー メッセージを探します： "2014-07-18 16:20:15.701 -0600 Error:  _pan_mgmtop_system_upgrade_download_version(pan_ops_common.c:9107): Failed to purge old uploaded files grep: /tmp/pan/downloadprogress.10999: No such file or directory"   下記の画像は、ソフトウェアをダウンロードしている際のエラーを表示しているスクリーンショットです：   下記の画像は、次のCLIコマンドの出力結果です： > less mp-log ms.log     解決方法 この問題を解決するために、以下の手順に従います： WebGUIにて、[ Device ] > [ ソフトウェア ] を開きます。 最新版のソフトウェアを確認するために、「今すぐチェック」をクリックします： ダウンロードするソフトウェアのバージョンを確認し、「ダウンロード」をクリックします：     著者：achalla ... View more

※この記事は以下の記事の日本語訳です。 BrightCloud to PAN-DB Category Mapping https://live.paloaltonetworks.com/t5/Migration-Articles/BrightCloud-to-PAN-DB-Category-Mapping/ta-p/57350   下記の表は、BrightCloud URLのカテゴリとPAN-DB URLのカテゴリの相関関係を表しています。PAN-DBライセンスを有効にする過程の中で、既存のURLフィルタリングのプロファイルが見つかった場合、下記の対応表を基に、PAN-OSは自動的にそれらのプロファイルを新しいPAN-DBのカテゴリに紐付けます。N:1での紐付けを行う場合には、新しいPAN-DBカテゴリに対しては、もっとも厳格なアクションが使用されます。   どのような変更を行う場合であっても、事前に設定を保存しておくのを常に忘れないようにしてください。また、移行後は、URLプロファイルが正しいことをダブルチェックするようにしてください。   PAN-DBのカテゴリ一覧とその説明は、こちらをご覧ください： urlfiltering.paloaltonetworks.com/CategoryList.aspx   BrightCloud カテゴリ PAN-DB カテゴリ Abortion Abortion Abused Drugs Abused Drugs Adult and Pornography Adult Alcohol and Tobacco Alcohol and Tobacco Auctions Auctions Bot Nets Malware Business and Economy Business and Economy Cheating Questionable Computer and Internet Info Computer and Internet Info Computer and Internet Security Computer and Internet Info Confirmed SPAM Sources Malware Content Delivery Networks Content Delivery Networks Cult and Occult Religion Dating Dating Dead Sites N/A Dynamically Generated Content N/A (no mapping as URL will be categorized based on the content) Educational Institutions Educational Institutions Entertainment and Arts Entertainment and Arts Fashion and Beauty Society Financial Services Financial Services Games Games Government Government Gross Questionable Hacking Hacking Hate and Racism Questionable Health and Medicine Health and Medicine Home and Garden Home and Garden Hunting and Fishing Hunting and Fishing Illegal Questionable Image and Video Search Search Engines Individual Stock Advice and Tools Stock advice and tools Internet Communications Internet Communications and Telephony Internet Portals Internet Portals Job Search Job Search Keyloggers and Monitoring Malware Kids Society Legal Legal Local Information Travel Malware Sites Malware Marijuana Abused Drugs Military Military Motor Vehicles Motor Vehicles News and Media News not-resolved Not-resolved Nudity Nudity Online-gambling Gambling Online Greeting cards Entertainment and Arts Online - music Music Online - personal-storage Online storage and backup Open HTTP Proxies Proxy Avoidance and Anonymizers Parked Domains Parked Pay to Surf Web Advertisements Peer to Peer Peer-to-peer Personal sites and Blogs Personal sites and blogs Philosophy and Political Advocacy Philosophy and Political Advocacy Phishing and Other Frauds Phishing Private IP Addresses Private IP Addresses Proxy Avoidance and Anonymizers Proxy Avoidance and Anonymizers Questionable Questionable Real Estate Real Estate Recreation and Hobbies Recreation and Hobbies Reference and Research Reference and Research Religion Religion Search Engines Search Engines Sex Education Sex Education Shareware and Freeware Shareware and Freware Shopping Shopping Social Networking Social Networking Society Society SPAM URLs Malware Sports Sports Spyware and Adware Malware Streaming Media Streaming Media Swimsuits & Intimate Apparel Swimsuits and Intimate Apparel Training and Tools Training and Tools Translation Translation Travel Travel Unconfirmed SPAM Sources Malware Unknown Unknown Violence Questionable Weapons Weapons Web Advertisements Web Advertisements Web based email Web-based Email Web Hosting Web Hosting    著者：dyang ... View more