※この記事は以下の記事の日本語訳です。 How to Configure Dynamic Routing over IPSec against Cisco routers https://live.paloaltonetworks.com/t5/Documentation-Articles/How-to-Configure-Dynamic-Routing-over-IPSec-against-Cisco/ta-p/60523     添付の技術文書は、Palo Alto NetworksファイアウォールとCiscoルーター間での、IPSecトンネルを使用したダイナミック ルーティング プロトコルを設定、実行するために必要な手順を説明しています。 この中では、Palo Alto Networksと互換性のあるCisco IPSec VTIインターフェイスの設定方法を説明しています。また、CiscoとPalo Alto Networksの両方のデバイスのための設定を含んでいます。 記載例はOSPFに基づきますが、RIPやBGPに対しても拡張できます。     著者：jdiaz ... View more

※この記事は以下の記事の日本語訳です。 PAN-OS 6.0 CEF Configuration Guide https://live.paloaltonetworks.com/t5/Configuration-Articles/PAN-OS-6-0-CEF-Configuration-Guide/ta-p/59938     こちらの文書は、 CEFフォーマットでSyslogイベントを収集するために、 PAN-OS 6.0を搭載したPalo Alto Networks 次世代ファイアウォールを 設定する情報を記載しています。PAN-OSバージョン6.0.0、あるいはそれ以降のバージョンをサポートしています。 最終更新日 2014年5月22日。   訳注：上記の通り原文はPAN-OS 6.0用の文書ですが、その後により新しいPAN-OSバージョン向けの文書も発行しております。以下よりご使用のPAN-OSバージョンに一致するCommon Event Format (CEF) Configuration Guidesをご参照ください。   Common Event Format (CEF) Configuration Guides       以下は、CEFスタイルのログ フォーマットのHTML版となっており、コピー＆ペーストしていただけます：   トラフィック CEF:0|Palo Alto Networks|PAN-OS|6.0.0|$subtype|$type|1|rt=$cef-formatted-receive_time deviceExternalId=$serial src=$src dst=$dst sourceTranslatedAddress=$natsrc destinationTranslatedAddress=$natdst cs1Label=Rule cs1=$rule suser=$srcuser duser=$dstuser app=$app cs3Label=Virtual System cs3=$vsys cs4Label=Source Zone cs4=$from cs5Label=Destination Zone cs5=$to deviceInboundInterface=$inbound_if deviceOutboundInterface=$outbound_if cs6Label=LogProfile cs6=$logset cn1Label=SessionID cn1=$sessionid cnt=$repeatcnt spt=$sport dpt=$dport sourceTranslatedPort=$natsport destinationTranslatedPort=$natdport flexString1Label=Flags flexString1=$flags proto=$proto act=$action flexNumber1Label=Total bytes flexNumber1=$bytes in=$bytes_sent out=$bytes_received cn2Label=Packets cn2=$packets PanOSPacketsReceived=$pkts_received PanOSPacketsSent=$pkts_sent start=$cef-formatted-time_generated cn3Label=Elapsed time in seconds cn3=$elapsed cs2Label=URL Category cs2=$category externalId=$seqno   脅威 CEF:0|Palo Alto Networks|PAN-OS|6.0.0|$subtype|$type|$number-of-severity|rt=$cef-formatted-receive_time deviceExternalId=$serial src=$src dst=$dst sourceTranslatedAddress=$natsrc destinationTranslatedAddress=$natdst cs1Label=Rule cs1=$rule suser=$srcuser duser=$dstuser app=$app cs3Label=Virtual System cs3=$vsys cs4Label=Source Zone cs4=$from cs5Label=Destination Zone cs5=$to deviceInboundInterface=$inbound_if deviceOutboundInterface=$outbound_if cs6Label=LogProfile cs6=$logset cn1Label=SessionID cn1=$sessionid cnt=$repeatcnt spt=$sport dpt=$dport sourceTranslatedPort=$natsport destinationTranslatedPort=$natdport flexString1Label=Flags flexString1=$flags proto=$proto act=$action request=$misc cs2Label=URL Category cs2=$category flexString2Label=Direction flexString2=$direction externalId=$seqno requestContext=$contenttype cat=$threatid filePath=$cloud fileId=$pcap_id fileHash=$filedigest   設定 CEF:0|Palo Alto Networks|PAN-OS|6.0.0|$result|$type|1|rt=$cef-formatted-receive_time deviceExternalId=$serial dvchost=$host cs3Label=Virtual System cs3=$vsys act=$cmd duser=$admin destinationServiceName=$client msg=$path externalId=$seqno   注：設定に追加することができるオプション フィールドは以下のとおりです： cs1Label=Before Change Detail cs1=$before-change-detail cs2Label=After Change Detail cs2=$after-change-detail   例えば、すべての文字列を設定に追加するには、以下のように設定します: CEF:0|Palo Alto Networks|PAN-OS|6.0.0|$result|$type|1|rt=$cef-formatted-receive_time deviceExternalId=$serial dvchost=$host cs3Label=Virtual System cs3=$vsys act=$cmd duser=$admin destinationServiceName=$client msg=$path externalId=$seqno cs1Label=Before Change Detail cs1=$before-change-detail cs2Label=After Change Detail cs2=$after-change-detail   システム マッチ CEF:0|Palo Alto Networks|PAN-OS|6.0.0|$subtype|$type|$number-of-severity|rt=$cef-formatted-receive_time deviceExternalId=$serial cs3Label=Virtual System cs3=$vsys fname=$object flexString2Label=Module flexString2=$module msg=$opaque externalId=$seqno cat=$eventid   HIP マッチ CEF:0|Palo Alto Networks|PAN-OS|6.0.0|$matchtype|$type|1|rt=$cef-formatted-receive_time deviceExternalId=$serial suser=$srcuser cs3Label=Virtual System cs3=$vsys shost=$machinename src=$src cnt=$repeatcnt externalId=$seqno cat=$matchname cs2Label=Operating System cs2=$os     著者：TechPubs ... View more

※この記事は以下の記事の日本語訳です。 How to Create Subordinate CA Certificates with Microsoft Certificate Server https://live.paloaltonetworks.com/t5/Learning-Articles/How-to-Create-Subordinate-CA-Certificates-with-Microsoft/ta-p/58046   概要 この文書はMicrosoft Certificate Serverを使用した下位CA証明書の作成方法について記載します。 " http:// <IPアドレスまたはサーバー名>/certsrv"をブラウザで開き、サーバーの画面にアクセスします。 "Welcome"画面にて、"Request a Certificate"を選択します。 次の画面で"advanced certificate request"を選択します。 "Create and Submit a request to the CA"を選択します。 次の画面のフォームで、"Certificate Template"のプルダウン メニューから"Subordinate Certification Authority"を選択します。証明書のための必要事項を入力します（名前、連絡先など）。申請を行うとローカル システムに証明書をダウンロードするためのリンクが表示されます。 ダウンロード後、ローカルの証明書ストアから証明書をエクスポートします。"Internet Options"画面にて"Content"タブを選択し、"Certificates"ボタンをクリックします。新しい証明書をPersonal証明書ストアからエスクポートすることができます。 "Certificate Export Wizard"を表示するには、"Export"ボタンをクリックします。 "Certificate Export Wizard"画面にて、"Yes, export the private key"を選択し、続いてフォーマットを選択します。パスワードとファイル名、保存場所を指定します。   Microsoft Certificate Serverは、おそらく証明書をPFXフォーマット(PKCS #12)で提供しています。 証明書をPEMフォーマットでエクスポートするには、以下の手順で行います。 openSSLを使い、 openssl pkcs12 –in pfxfilename.pfx –out tempfile.pem と入力します。 "tempfile.pem"をテキスト エディターで開きます。 -----BEGIN RSA PRIVATE KEY----- で始まっているセクションを見つけます。 -----END RSA PRIVATE KEY----- までの全テキストを選択し、新しいファイルに貼り付けて、拡張子".key"をつけて保存します。 ".pem"ファイルからそれ以外のテキストをコピーし、別のファイルに貼り付け、拡張子".crt"をつけて保存します。 上記の手順により、keyファイルと証明書をインポートすることができます。   CLIコマンド お客様のルートCAがWebインターフェイスを備えていない場合もあり、その場合はCLIを通して 同じ操作を 行うことができます。 Microsoft CAにおけるコマンド：   certreq -submit -attrib "CertificateTemplate:SubCA" <certificate-signing-request>.csr   このコマンドを入力することでGUIプロンプトが表示され、そのプロンプトで申請するCAを選択します。通常、同じサーバ上にはルートCAは1つだけなので、表示されているCAを選択します。 その後、該当する申請がCAサーバーの保留中の申請の中に表示されます。     著者：panagent ... View more

※この記事は以下の記事の日本語訳です。 Zone Protection Recommendations https://live.paloaltonetworks.com/t5/Learning-Articles/Zone-Protection-Recommendations/ta-p/55850     以下の記事は、Palo Alto NetworksのエンジニアであるGraham Garrisonによって執筆されました。   PAN-OSを実行しているPalo Alto Networksデバイスは、ユーザーやネットワーク、クリティカルなシステムを守るために、App-IDやUser-IDのような数々の次世代ファイアウォールの機能を提供しています。これらの強力な技術に加え、PAN-OSはネットワーク及びトランスポートレイヤーでの悪意ある活動に対して、ゾーン プロテクション プロファイルを使用した防御も提供します。セキュリティ ゾーンに対してこれらのプロファイルを適用は、フラッド攻撃や偵察行為、その他のパケット ベースの攻撃への防御の一助となります。   ゾーン プロテクションを設定する際、それがシステムによりどのように適用されるのかを理解することや、パケット処理のどのステージで適用されるのかを理解することが重要です。ゾーン プロテクションは常に入力インターフェイスに適用されるため、インターネットからのフラッド攻撃や偵察行為から防御したい場合、信頼されないインターネットのインターフェイスを含むゾーンに対してプロファイルを設定して適用します。ネットワークをより強化したいと思われるセキュリティの管理者は、防御する手段がすべての環境に適用されていることを確実にするために、さらに内外両方のすべてのインターフェイスに対してゾーン プロテクションを適用することができます。このタイプのゼロ トラスト アプローチは、企業におけるモビリティが増大し続ける中で、ますます推奨されるようになってきました。   また各ネットワーク環境は各々異なり、それゆえ防御措置を適用するにあたってフラッドの閾値を調整する必要があることへの理解も重要です。設定されたフラッドの閾値を超えた場合は脅威ログが生成され、Syslogを使用している場合は外部に転送することができます。ご利用の環境においてどのような設定が適切かを決めるために、ベースラインを確立するためのピーク時間中の平均的なネットワークの稼働状態を決めることから始めてください。そして、ネットワークの稼働状態に通常の範囲の変動の余地を残しつつ、セキュリティの目標を満たすポイントに達するまで、閾値を徐々に下げて調整してます。正当なトラフィックを通すために防御を有効化したり最大の閾値が低くなりすぎるのを避けたいでしょうが、望まないトラフィック量のスパイクを緩和に効果的になるように高すぎるのも避けたいはずです。   その一方で、いくつかのパケット ベースの攻撃保護は、組織全体に多少は等しく適用されます。例えば、「不明」や「異常な形式」のIPオプションは一般的に不要であり、ドロップできます。「重複するTCPセグメントの不一致」や「TCP タイムスタンプの削除」をドロップするためにオプションの選択は、ファイアウォールを通過する回避技術を防ぎ、一般的にすべてのお客様に推奨されます。さらに、「スプーフされたIPアドレス」に対する防御を有効にすることで、セキュリティ ゾーンにおけるアドレス詐称を防ぐことができます。このことが、パケット入力においてファイアウォールのルーティング テーブルに合致する送信元アドレスを持つトラフィックだけ許可されることを確実にします。   上記の推奨事項の従うことで、所属する組織をより安全にすることとなります。その他の有益な秘訣やコツについては、Live Communityを継続して閲覧の上、確認するようにしてください。   追加資料： Threat Prevention Deployment Tech Note Understanding DoS Protection What Are The Differences Between Dos Protection and Zone Protection?     著者：Graham Garrison ... View more

※この記事は以下の記事の日本語訳です。 Policy-based forwarding doesn't work for traffic sourced from the Palo Alto Networks firewall https://live.paloaltonetworks.com/t5/Management-Articles/Policy-based-forwarding-doesn-t-work-for-traffic-sourced-from/ta-p/58821     問題 あるゾーンからISP経由でインターネットへ向かうすべてのトラフィックを転送するためにポリシー ベース フォワーディング (PBF) ルールを設定している場合、そのルールは、Palo Alto Networksファイアウォールの背後にある端末にだけ適用されるが、ファイアウォール自身を送信元とするトラフィックには適用されない。   原因 PBFルールに加えてルートがルーティング テーブルにある場合、最初にPBFルールだけが上から順番に評価されます。しかし、これはファイアウォールの背後にある端末にだけ適用されます。PBFがTrustゾーンからUntrustゾーンへ向かうすべてのトラフィックを転送するよう設定されていると、Palo Alto Networksファイアウォールの背後にある端末を送信元とするトラフィックにのみ、ルールが適用されます。しかしファイアウォールを送信元とするトラフィックは、PBFテーブルの評価をバイパスし、代わりに出力インターフェイスからトラフィックを転送するルートに合致するかのルーティング テーブルの評価が開始されます。   WebGUIから、[ Network ] > [ インターフェイス ] > [ Ethernet ] を開きます。続くシナリオでは、インターフェイスは以下の通り設定されています：   [ Network ] > [ 仮想ルーター ] > [ スタティック ルート ] 内に、デフォルト ルートが以下の通り設定されています：   端末から来ているトラフィックである場合、セッション情報は以下の通り表示されます：   WebGUIから、[ Policies ] > [ ポリシー ベース フォワーディング ] を開き、以下のデフォルト ルートと同じPBFルールを作成します：   端末から来ているトラフィックの場合、セッション情報は以下の通り表示されます(デフォルト ルートがあるにもかかわらず、PBFルールだけがまず評価されています)：   ファイアウォールの背後にある端末からや、ファイアウォールの信頼済みインターフェイスから、パブリックなIPアドレス 4.2.2.2 へ継続的なPingをすると、どちらもPingは成功しました。これはPBFルールを使用する端末からのトラフィックであるため、そしてルーティング テーブルを使用しているファイアウォールからのトラフィックであるためです：   デフォルト ルートだけが削除し、端末からのトラフィックはPBFルールを使用して通過することに成功していますが、デフォルト ルートが削除されたため以下の通りファイアウォールからのトラフィックは失敗しました：   PBFは、ファイアウォールの背後にいる端末からのトラフィックに対してのみ動作し、ファイアウォールからのトラフィックに対しては動作しません。   以下が既知の制限事項となります： PBFは、Palo Alto NetworksファイアウォールへのIPsecトンネルのトラフィックには機能しません。 PBFは、フェーズ1トンネルに対して機能しないので、IKEを開始するためにルーティング テーブルのデフォルト ルートを使用する必要があります。 PBFは、GlobalProtect接続に対して機能しません。 PBFルールのためにアプリケーションを使用している場合、TCPトラフィックに合致するアプリケーションのシグネチャは、3ウェイ ハンドシェイクの後に識別されます。そのため、PBFルールは、最初の3ウェイ ハンドシェイクには合致しないかもしれず、ルート探索にだけ基づいてファイアウォールを通過します。   著者：dantony ... View more

※この記事は以下の記事の日本語訳です。 Split Tunneling for VPNC Client on Linux Distributions https://live.paloaltonetworks.com/t5/Configuration-Articles/Split-Tunneling-for-VPNC-Client-on-Linux-Distributions/ta-p/57244     概要 VPNCはオープンソースのサードパーティ IPsec VPNクライアントで拡張認証 (X-Auth) をサポートしており、組織内部ののネットワークへのアクセス用としてGlobalProtectゲートウェイへのVPNトンネルを確立します。PAN-OS 5.0.xから、以下のVPNクライアントがGlobalProtectのVPNアクセスのサポート対象となっています（訳注）。 Ubuntu Linux 10.04 LTS VPNC CentOS 6 VPNC この文書は、VPNCクライアントがGlobalProtectゲートウェイに接続される際、どのようにスプリット トンネリングが動作するのかを説明します。   詳細 VPNCクライアントから接続することができるネットワークを定義するために、あるいはVPN接続上で送られるトラフィックのため、(スプリット トンネリングとしても知られている) アクセス ルートを、GlobalProtectゲートウェイのクライアントの設定(訳注1：PAN-OS 7.1以降では[エージェント] > [クライアントの設定])に追加する必要があります。参照： GlobalProtect Configuration Tech Note アクセス ルートがGlobalProtectゲートウェイに設定されている時、すべてのアクセス ルートの内の1つの集約ルートが、VPNCクライアントに送られます。DNSサーバーのアドレスが含まれている場合、ルートを集約する際にはそれも考慮に入れなければなりません。   例： アクセス ルートが 10.66.22.0/23 と 192.168.87.0/24 のネットワークを含む場合、サードパーティのVPNCクライアントに送られる集約ルートは、デフォルト ルート 0.0.0.0/0 で、以下のように表示されます。 > show global-protect-gateway gateway name test_vpnc   GlobalProtect Gateway: test_vpnc (0 users) Tunnel Type          : remote user tunnel Tunnel Name          : test_vpnc-N         Tunnel ID                 : 7         Tunnel Interface          : tunnel.1         Encap Interface           : ethernet1/3         Inheritance From          :         Local Address             : 10.66.24.87         SSL Server Port           : 443         IPSec Encap               : yes         Tunnel Negotiation        : ssl,ike         HTTP Redirect             : no         UDP Port                  : 4501         Max Users                 : 0         IP Pool Ranges            : 172.16.7.1 - 172.16.7.7;         IP Pool index             : 0         Next IP                   : 0.0.0.0         DNS Servers               : 4.2.2.2                                   : 0.0.0.0         WINS Servers              : 0.0.0.0                                   : 0.0.0.0         Access Routes             : 10.66.22.0/23; 192.168.87.0/24;         Access Route For Third Party Client: 0.0.0.0/0         VSYS                      : vsys1 (id 1)         SSL Server Cert           : SERVER_CERT         Auth Profile              : vpnc_auth         Client Cert Profile       :         Lifetime                  : 2592000 seconds         Idle Timeout              : 10800 seconds   アクセス ルートが 10.66.22.0/23 と 10.66.12.0/23 のネットワークを含む場合、サードパーティのVPNCクライアントに送られる集約ルートは 10.66.0.0/19 で、以下のように表示されます。 > show global-protect-gateway gateway name test_vpnc   GlobalProtect Gateway: test_vpnc (0 users) Tunnel Type          : remote user tunnel Tunnel Name          : test_vpnc-N         Tunnel ID                 : 7         Tunnel Interface          : tunnel.1         Encap Interface           : ethernet1/3         Inheritance From          :         Local Address             : 10.66.24.87         SSL Server Port           : 443         IPSec Encap               : yes         Tunnel Negotiation        : ssl,ike         HTTP Redirect             : no         UDP Port                  : 4501         Max Users                 : 0         IP Pool Ranges            : 172.16.7.1 - 172.16.7.7;         IP Pool index             : 0         Next IP                   : 0.0.0.0         DNS Servers               : 10.66.22.77                                   : 0.0.0.0         WINS Servers              : 0.0.0.0                                   : 0.0.0.0         Access Routes             : 10.66.22.0/23; 10.66.12.0/23;         Access Route For Third Party Client: 10.66.0.0/19         VSYS                      : vsys1 (id 1)         SSL Server Cert           : SERVER_CERT         Auth Profile              : vpnc_auth         Client Cert Profile       :         Lifetime                  : 2592000 seconds         Idle Timeout              : 10800 seconds   注：VPNCクライアントに送られる集約ルートが、デフォルト ルート (0.0.0.0/0) である場合、VPNCクライアントは以下に表示されているように、スプリット トンネリングの設定をする必要があります。   VPNCクライアントを開き、[ IPv4設定] > [ ルート ] ボタンをクリックします。   必要なアクセス ルートを追加し、「そのネットワーク上のリソースのためにのみこの接続を使用」のチェックボックスにチェックが入っていることを確認します。 GlobalProtectによって送られた集約ルートは 0.0.0.0/0 ですが、接続は以下に表示されているように、10.66.22.0/23 ネットワークに対してのみ許可されます。 Linux ホストのターミナルからの出力結果： t un0   Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00        inet addr:172.16.7.1 P-t-P:172.16.7.1 ask:255.255.255.255        UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1412 Metric:1        RX packets:0 errors:0 dropped:0 overruns:0 frame:0        TX packets:0 errors:0 dropped:0 overruns:0 carrier:0        collisions:0 txqueue1en:500        RX bytes:0 (0.0 B) TX bytes:0 (0.0 B) VPNCクライアントに送られた集約ルートは 0.0.0.0/0 でしたが、192.168.87.0/24 のためのアクセス ルートは追加されませんでした。 tobby@VirtualBox:~$ ping 192.168.87.1 PING 192.168.87.1 (192.168.87.1) 56(84) bytes of data.   --- 192.168.87.1 ping statistics --- 3 packets transmitted, 0 received, 100% packet loss, time 2014ms   VPNCクライアントで、10.66.22.0/23 のために追加されたアクセス ルート tobby@VirtualBox:~$ ping 10.66.22.87 PING 16.66.22.87 (16.66.22.87) 56(84) bytes of data. 64 bytes from 10.66.22.87: icmp_req=1 ttl=61 time=6.87 ms 64 bytes from 10.66.22.87: icmp_req=2 ttl=61 time=2.02 ms   --- 16.66.22.87 ping statistics --- 2 packets transmitted, 2 received, 0% packet loss, time 1001ms rtt min/avg/max/mdev = 2.021/4.450/6.879/2.429 ms   訳注：原文執筆時点の情報です。最新版の GlobalProtect(TM) Administrator's Guideご参照の上、都度現在のサポートバージョンをご確認ください。   著者：gchandrasekaran ... View more

※この記事は以下の記事の日本語訳です。 How to Add and Verify Address Objects to Address Group and Security Policy through the CLI https://live.paloaltonetworks.com/t5/Management-Articles/How-to-Add-and-Verify-Address-Objects-to-Address-Group-and/ta-p/61627     複数のアドレス オブジェクトを作成し、それをグループやポリシーに追加する方法を説明します。   手順 アドレス オブジェクト "test" を作成し、それをアドレス グループ "test-group" に割り当てます。 設定モードに入ります。 > configure IPアドレスを持つアドレス オブジェクトを作成します。 # set address test ip-netmask 10.30.14.96/32 そのアドレス オブジェクトをアドレス グループに割り当てます。 # set address-group test-group test その変更をコミットします。 # commit   アドレス グループ "test-group" をセキュリティ ポリシーに追加します。 設定モードに入ります。 > configure そのアドレス グループをセキュリティ ポリシーに割り当てます。 # set rulebase security rules trust-DMZ action allow source test-group その変更をコミットします。 # commit   以下のコマンドで、先ほど定義した "test-group" の内容を表示できます。 > configure # show rulebase security rules DMZ-Trust DMZ-Trust {   source test-group ;   destination any;   service any;   application any;   action allow;   source-user any;   option {     disable-server-response-inspection no;   }   negate-source no;   negate-destination no;   log-start no;   log-end yes;   from DMZ;   to L3-Trust;   disabled no;   category any;   hip-profiles any; }   CLI上でアドレス オブジェクトやグループ オブジェクトを確認するには、以下のコマンドを実行します。 # show address-group address-group {   test-group {     static [ test1 test1-1 test2 test2-1 test3];   } }   個別のアドレスを確認するには、以下のコマンドを実行します。 # show address   注：CLIに関する情報をさらに知りたい場合は、Live Community 内でCLI リファレンス ガイドをご参照ください。     著者：djoksimovic ... View more

※この記事は以下の記事の日本語訳です。 How to Verify DNS Sinkhole Function is Working https://live.paloaltonetworks.com/t5/Management-Articles/How-to-Verify-DNS-Sinkhole-Function-is-Working/ta-p/65864     詳細 この資料では、DNSシンクホール機能がPAを経由して正しく動作しているかどうか確認する方法について説明します。 以下の2つのシナリオに対応しています： クライアントが外部DNSサーバーを使用している クライアントが内部DNSサーバーを使用している   DNSシンクホールのコンフィグレーション DNSシンクホールの設定方法についてはこちらを参照して下さい。 How to Configure DNS Sinkhole   また、DNSシンクホールの設定方法について、ビデオでのチュートリアルが以下に公開されています。 Video Tutorial: How to Configure DNS Sinkhole   クライアントが外部DNSサーバーを使用している 注：DNSシンクホールのIPアドレスは、ファイアウォールとクライアントの経路上にある必要があります。それにより、ログを見ることができます。例えば、Palo Alto Networksファイアウォールは感染したクライアントとデータ センターの間に位置していますが、インターネットへ向かうトラフィックはファイアウォールを通過しない環境だとします。そのシナリオでは、DNSシンクホールがインターネットのIPアドレスで設定されている場合、ファイアウォールは、感染したクライアントがC&C(コマンド＆コントロール)サーバーに接続しようとしているのを見ることは出来ません。   DNSシンクホールの機能がPalo Alto Networksファイアウォールで設定されており、クライアント システムが外部DNSサーバーを使用している時、クライアントからのDNSクエリは、Palo Alto Networksファイアウォールを通って、外部DNSサーバーに向かいます (クライアントとDNSサーバーは異なるサブネットに属しています)。期待したとおりに、ユーザーは送信元としてのクライアントのIPアドレスを含む脅威ログを見ることができます。   ユーザーは感染したウェブサイトにアクセスしようとしています。クライアント システムは、感染したウェブサイトのIPアドレスを取得するために、DNSクエリを外部DNSサーバーへ送ります。ファイアウォールは、クライアント システムから直接DNSクエリを受け取ります。 ファイアウォールはDNSクエリを乗っ取り、DNSシンクホール IPアドレスがクライアントに渡されることで、送信元としてのIPアドレスを含む脅威ログを見ることができます。   クライアントのTCP/IPプロパティの設定 以下の設定例をご覧ください。   脅威ログ 外部DNSサーバーを使用している際、脅威ログでは、感染したウェブサイトにアクセスしようとしているクライアントのIPアドレス "10.50.240.131" を送信元として表示しています。   外部DNSサーバーを使用している時のクライアントの出力   上記のスクリーンショットは、ホスト マシン "10.50.240.131" が "sp-storage.spccint.com(疑わしいURL)" に対してDNSリクエストをしていることを示しており、それが "1.1.1.1" であることを表示しています。このように、DNSシンクホールは期待した通りに動作していることを示しています。   クライアントが内部DNSサーバーを使用している クライアント システムが内部DNSサーバーを使用している場合(クライアントとDNSサーバーは同じサブネットに所属しています)、クライアントからのDNSクエリは内部DNSサーバーに向かいます。内部DNSサーバーがこのクエリを外部DNSサーバーに転送することで、送信元としての内部DNSサーバーのIPアドレスを含む脅威ログを見ることができます。   現在、Palo Alto Networksファイアウォールでは、脅威ログを利用したとしても、どのエンドのクライアントが感染したウェブサイトにアクセスしようとしているのかを特定することはできません。なぜなら、すべての脅威ログは送信元として、内部DNSサーバーのIPアドレスが表示されるためです。しかしながら、ファイアウォールはトラフィック ログを利用することでエンドのクライアントのIPアドレスを特定することができます。   以下の例は、ユーザーが感染したウェブサイトにアクセスしようとしているところです。クライアント システムは、感染したウェブサイトのIPアドレスを取得するために、DNSクエリを内部DNSサーバーに送ります。そして、内部DNSサーバーは、そのDNSクエリを外部DNSサーバーに転送します。ファイアウォールは、外部DNSサーバーからDNSクエリを受け取ります。   ファイアウォールはDNSクエリを乗っ取り、内部DNSサーバーにDNSシンクホールのIPアドレスを渡します。内部DNSサーバーがクライアント システムに返答を転送することで、送信元としての内部DNSサーバーのIPアドレスを含む脅威ログを見ることができます。しかし以下のスクリーンショットのように、クライアントがDNSシンクホールのIPアドレスを使ってウェブサイトにアクセスしようとするため、Palo Alto Networksファイアウォールは、トラフィック ログにおいてクライアントのIPアドレスを見ることができます。   クライアントのTCP/IPプロパティの設定   脅威ログ 脅威ログでは、ファイアウォールは、送信元として "10.50.240.101" という内部DNSサーバーのIPアドレスだけを表示しています。なぜなら、クライアント システムが内部DNSサーバーのIPアドレスを使用しているからです。そのため、ファイアウォールはどのエンドのクライアントがウェブサイトにアクセスしようとしているのかを特定することができません。   トラフィック ログ しかし、クライアントがDNSサーバーからIPアドレスを取得するとすぐに、DNSシンクホールのIPアドレスに対してトラフィックを生成します。そのため、ファイアウォールは、以下に表示されているように、トラフィック ログの中でエンドのクライアントのIPアドレス "10.50.240.131" を表示することになります。   内部DNSサーバーを使用している時のクライアントの出力 上記のスクリーンショットは、ホスト マシン "10.50.240.131" が "sp-storage.spccint.com(疑わしいURL)" に対してDNSリクエストを実行していることを示しており、それが "1.1.1.1" であることを表示しています。このことから、DNSシンクホールが期待通りに動いていることが確認できます。   参照 How to Configure DNS Sinkhole Video Tutorial: How to Configure DNS Sinkhole     著者：sbabu ... View more

※この記事は以下の記事の日本語訳です。 How to Block Web Browsing while Allowing Microsoft Update https://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-Block-Web-Browsing-while-Allowing-Microsoft-Updates/ta-p/58399     以下の手順を行うことで、Microsoftのアップデートを許可しながら、Webブラウジングをブロックすることができます。   すべてのURLカテゴリをブロックするために、URLフィルタを作成します ( [ Objects ] > [ セキュリティ プロファイル ] > [ URL フィルタリング ] )。 許可リストに以下のサイトを追加します。 windowsupdate.microsoft.com *.microsoft.com download.windowsupdate.com *.windowsupdate.com 以下のアプリケーションを許可するためのセキュリティ ポリシーを作成します。 [ Policies ] > [ セキュリティ ] を開き、新しいルールを追加します。アプリケーション タブ内にて、 ms-update と web-browsing を追加します。 アクション タブ内のプロファイル設定にて、 ms-update 用に作成したURL フィルタリングを追加します。   著者：panagent ... View more

※この記事は以下の記事の日本語訳です。 Can I Put a Wildcard in the Traffic Log Filter to View All Hits on a Subnet? https://live.paloaltonetworks.com/t5/Management-Articles/Can-I-Put-a-Wildcard-in-the-Traffic-Log-Filter-to-View-All-Hits/ta-p/62997     ワイルド カードをフィルタの中で使用することはできませんが、フィルタの中でサブネットをまとめたり、特定したりすることができます。   以下の使用例をご覧ください： 送信元フィルタ、/24 サブネット： ( addr.src in 192.168.10.0/24 ) 宛先フィルタ、/24 サブネット： (addr.dst in 192.168.10.0/24)   著者：mrajdev ... View more

※この記事は以下の記事の日本語訳です。 What are Universal, Intrazone and Interzone Rules? https://live.paloaltonetworks.com/t5/Management-Articles/What-are-Universal-Intrazone-and-Interzone-Rules/ta-p/57491     詳細 セキュリティ ポリシーを設定する時、ルールベースを見ても、どのルールにも合致していないトラフィックがどうなるのか明確にはわかりません。さらに、明示的にルールを作成する以外にそのトラフィックに対する扱い方を変える方法はありません。多くの場合、ユーザーは単にこれらのトラフィックに対してロギングすることだけを必要とすることが多いでしょう。あるいはイントラ ゾーンのトラフィックの処理を簡単に変更することを要求するユーザもいるかもしれません。現時点では、これらの要求に対しては各ゾーンに対して明示的なルールを設定する必要があります。   PAN-OS 6.1より前のリリースでは、セキュリティ ポリシーの中にはルール タイプという分類はありませんでした。ルール タイプは、PAN-OSのバージョン6.1から組み込まれた新しい機能です。この機能により、"interzone"や"intrazone"、"universal"というパラメータに基づいてルールを作成するオプションが提供されるようになりました。この機能を利用すると、どのルールがネットワーク内のゾーンに基づいて作られているか管理者が制御することができ、監査をしている最中にも役立ちます。   PAN-OS 6.1以降のバージョンでは、デフォルトのセキュリティ ルールは、以下に示されているように通常のセキュリティ ルールの最後に付与されています。 "intrazone-default"ルール名の隣にある緑色の歯車アイコンは、そのルールは事前定義済みのものか、あるいはPanoramaからきているものであることを示しています。歯車アイコンにカーソルを合わせると、ツール チップが表示されます。 "interzone-default"ルール名の隣にある二重の歯車イメージは、ルールが現在のVSYSにあり、事前定義済みあるいはPanoramaからプッシュされた別のルールの値をオーバーライドしていることを示しています。 "intrazone-default"ルールのアクションは許可です。 "interzone-default"ルールのアクションは拒否です。   下記の表は、ルール タイプとその説明を詳細に記載しています。 ルール タイプ 説明 Universal デフォルトではこのルール タイプの場合、2つのゾーン間のすべてのトラフィックは、同じゾーンまたは異なるゾーンに関係なく、指定された送信元ゾーンおよび宛先ゾーンにマッチする全てのトラフィックに適用されます。 例えば、送信元ゾーンをAとB、宛先ゾーンをAとBと設定したUniversalルールを作成した場合、そのルールはゾーンA間(ゾーンAからゾーンA)のすべてのトラフィック、ゾーンB間(ゾーンBからゾーンB)のすべてのトラフィック、そしてゾーンAからゾーンBへのすべてのトラフィック、ゾーンBからゾーンAへのすべてのトラフィックに適用されます。 Intrazone 同じゾーン間のトラフィックを許可するセキュリティ ポリシーです。このルール タイプでは指定された送信元ゾーン内のマッチする全てのトラフィックに適用されます。 (intrazoneルールでは、宛先ゾーンを特定することはできません)。 例えば、送信元ゾーンをAとBに設定する場合、そのルールは、ゾーンA間(ゾーンAからゾーンA)のすべてのトラフィックとゾーンB間(ゾーンBからゾーンB)のすべてのトラフィックに対して適用されますが、ゾーンAとゾーンB間のトラフィックには適用されません。 Interzone 2つの異なるゾーン間のトラフィックを許可するセキュリティ ポリシーです。しかしこのタイプが指定された場合、同じゾーン間のトラフィックは許可されません。このルール タイプでは、指定された異なるゾーン間の全てのマッチするトラフィックに適用されます。 例えば、送信元ゾーンをAとBとCに、宛先ゾーンをAとBに設定する場合、そのルールは、ゾーンAからゾーンBへ、ゾーンBからゾーンAへ、ゾーンCからゾーンAへ、ゾーンCからゾーンBへのトラフィックに適用されますが、同じゾーン間(AやBやC)のトラフィックには適用されません。   ユーザーが定義したセキュリティ ルールは、以下のように"universal"や"intrazone"、"interzone”として設定することができます。   あるルールが"intrazone"として設定されている時、宛先ゾーンは変更することができません (グレーアウトしています)。その値は、送信元ゾーンから来ています。   事前定義済みであったり、Panoramaからの"intrazone-default"と"interzone-default"ルール名、あるいは機能は、変更することができません。 画面の縁が緑色で囲われ、タイトルに「読み取り専用」と書かれていることが、変更できないことを示しています。 事前定義済みのものや、Panoramaからの"intrazone-default"と"interzone-default"ルールを変更するためには、ユーザーは、これらのルールをオーバーライドしなければなりません。 "intrazone-default"と"interzone-default"ルールは、ルール名の隣に二重になっていない緑色の歯車アイコンがある場合にはオーバーライドできます。 「オーバーライド」をクリックすると、2つのタブだけを持つ、セキュリティ ルールの編集画面が表示されます。 全般タブでは、タグだけを変更することができます。   アクション タブにて、プロファイル設定とログ設定だけを変更することができます。   事前定義済みのものや、Panoramaがプッシュした値を元に戻すには、「戻す」アクションにより行うことができます。Panoramaでは、デフォルトのルールはセキュリティのノードの中にあり、プレ ルールとポスト ルールの下にあります。 ルール名の隣にある緑色の歯車アイコンは、そのルールは"ancestor"デバイス グループや"shared"、"Predefined"から来ていることを示しています。 ルール名の隣にある二重の歯車アイコンは、そのルールは"ancestor"デバイス グループのルールや"shared"ルール、"Predefined"ルールをオーバーライドしていることを示しています。 ユーザーは、以下のように、"intrazone-default"、あるいは"interzone-default" ルールをオーバーライドすることができます。   Panorama VMとM-100 Panoramaは新しい機能をサポートしています。新しいデフォルト ルールは、ポスト ルールの下に表示されています。   Panoramaについての詳細： デフォルトのルールは、デバイスのデータプレーンにプッシュされると、他のどのルールよりも後に実行されることになります。 Palo Alto Networksデバイス上で、ローカルに"interzone-default"や"intrazone-default"に行われた変更は、Panoramaからプッシュされたどの変更よりも優先されます。   Panorama 6.1 と 5.x/6.0 PAN-OSデバイスとの相互作用： バージョン6.1のPanorama からバージョン6.1より前のPANOSデバイスへセキュリティ ルールをプッシュする場合、期待される動作は以下のとおりです。 事前定義済みのデフォルト ルールは、プッシュされるルールベースから削除される。 "intrazone"や"interzone"タイプのルールはプッシュされるルールベースから削除される。 "universal"タイプのルールは、バージョン6.1以前のルールに変換される。 Panoramaは、すべてのルールがバージョン6.1以前のデバイスにプッシュされるわけではないという警告を出す。 admin@Panorama> show jobs id 25970   Enqueued            ID Type      Status    Result     Completed -------------------------------------------------------------------------- 2014/07/22 22:03:38 25970        CommitAll FIN        OK 100 %    Warnings: 001606007416 is below 6.1, removing intrazone and interzone rules - 010401000006                   commit succeeded     OK 22:03:39 22:03:57 - 001606007416                   commit succeeded     OK 22:03:39 22:05:15   アップグレード／ダウングレード： アップグレード："intrazone-default"や"interzone-default"という名前のルールが既にある場合、"custom-intrazone-default"や"custom-interzone-default"に名前を変更する必要があります。 注：PAN-OS 6.1にアップグレードする時、セキュリティ ルールベースの中にあるすべての既存のルールは、"universal"ルールに変換されます。 ダウングレード：全ての"universal"ルールから「ルール タイプ」を削除します。全ての"intrazone"や"interzone"ルールを削除します。   参照 PAN-OS 6.1 Administrator's Guide     著者：jdelio ... View more

※この記事は以下の記事の日本語訳です。 CLI Commands to View Hardware Status https://live.paloaltonetworks.com/t5/Learning-Articles/CLI-Commands-to-View-Hardware-Status/ta-p/61027     概要 この資料では、Palo Alto Networksデバイスのハードウェアの状態についての情報を提供する、CLIコマンドについて記載しています。   注：PAN-OS 5.0以降のバージョンに対応しています。この資料に記載のコマンドは、Palo Alto Networks VM-Seriesプラットフォームには対応していません。   詳細： ハードウェアのアラームを確認する ("False"は"no alarm"を示しています)： > show system state | match alarm chassis.alarm: { } chassis.leds: { 'alarm': Off, 'fans': Green, 'ha': Off, 'status': Green, 'temp': Green, } env.s0.fan.0: { 'alarm': False, 'avg': True, 'desc': Fan #1 Operational, 'min': 1, } env.s0.fan.1: { 'alarm': False, 'avg': True, 'desc': Fan #2 Operational, 'min': 1, } env.s0.power.0: { 'alarm': False, 'avg': 1.051, 'desc': 1.05V Power Rail, 'hyst': 0.007, 'max': 1.130, 'min': 0.980, 'samples': [ 1.045, 1.055, 1.055, ], } env.s0.power.1: { 'alarm': False, 'avg': 1.094, 'desc': 1.1V Power Rail, 'hyst': 0.007, 'max': 1.180, 'min': 1.030, 'samples': [ 1.104, 1.084, 1.094, ], } env.s0.power.2: { 'alarm': False, 'avg': 1.214, 'desc': 1.2V Power Rail, 'hyst': 0.014, 'max': 1.350, 'min': 1.080, 'samples': [ 1.211, 1.221, 1.211, ], } env.s0.power.3: { 'alarm': False, 'avg': 1.807, 'desc': 1.8V Power Rail, 'hyst': 0.018, 'max': 1.980, 'min': 1.620, 'samples': [ 1.807, 1.807, 1.807, ], } env.s0.power.4: { 'alarm': False, 'avg': 2.490, 'desc': 2.5V Power Rail, 'hyst': 0.025, 'max': 2.750, 'min': 2.250, 'samples': [ 2.490, 2.490, 2.490, ], } env.s0.power.5: { 'alarm': False, 'avg': 3.340, 'desc': 3.3V Power Rail, 'hyst': 0.033, 'max': 3.630, 'min': 2.970, 'samples': [ 3.340, 3.340, 3.340, ], } env.s0.power.6: { 'alarm': False, 'avg': 4.980, 'desc': 5.0V Power Rail, 'hyst': 0.050, 'max': 5.500, 'min': 4.500, 'samples': [ 4.980, 4.980, 4.980, ], } env.s0.power.7: { 'alarm': False, 'avg': 2.490, 'desc': 3.0V RTC Battery, 'hyst': 0.175, 'max': 3.500, 'samples': [ 2.490, 2.490, 2.490, ], } env.s0.thermal.0: { 'alarm': False, 'avg': 30.500, 'desc': Temperature at MP [U6], 'hyst': 2.250, 'max': 50.000, 'min': 5.000, 'samples': [ 30.500, 30.500, 30.500, ], } env.s0.thermal.1: { 'alarm': False, 'avg': 34.500, 'desc': Temperature at DP [U7], 'hyst': 2.250, 'max': 50.000, 'min': 5.000, 'samples': [ 34.500, 34.500, 34.500, ], } ha.runtime.device.alarm: False hw.slot0.leds: { 'alarm': Off, 'fans': Green, 'ha': Off, 'status': Green, 'temp': Green, }   その他のコマンド例：     > show system state filter env.* | match alarm     > show system state | match fan     > show system state | match power   直近のクリティカルなハードウェアのアラームを確認する (イタリック体の文字のオプションを決めるために、tabキーを使用します：Backward = 直近の日時、forward = 最も古い日時) > show log system severity greater-than-or-equal critical direction equal backward Time          Severity Subtype Object EventID ID Description =============================================================================== 01/20 06:51:58 critical ha            unknown 0  HA Group 1: commit on local device with running configuration not synchronized; synchronize manually 12/23 14:29:21 critical ha            unknown 0  HA Group 1: moved from state Passive to state Active 12/23 14:29:12 critical ha            unknown 0  HA Group 1: moved from state Non-Functional to state Passive 12/23 14:27:15 critical general        unknown 0  Chassis Master Alarm: HA-event 12/23 14:27:15 critical ha            unknown 0  HA Group 1: moved from state Active to state Non-Functional 12/23 14:27:15 critical ha            unknown 0  HA Group 1: dataplane is down 12/23 14:27:01 critical general        unknown 0  Heartbeat triggering a restart of 'data-plane' from the control-plane 11/09 17:39:44 critical general        unknown 0  Chassis Master Alarm: Fans 11/09 17:39:44 critical general        unknown 0  Fan #3 Speed: 5778.70 above high-limit 5750.00 09/29 08:52:26 critical ha            unknown 0  HA Group 1: commit on local device with running configuration not synchronized; synchronize manually 09/20 09:09:44 critical general        unknown 0  Fan #3 Speed: 5778.70 above high-limit 5750.00 09/20 09:09:44 critical general        unknown 0  Chassis Master Alarm: Fans 09/20 09:09:04 critical general        unknown 0  Chassis Master Alarm: Fans 09/20 09:09:04 critical general        unknown 0  Fan #3 Speed: 5776.98 above high-limit 5750.00 06/20 12:37:04 critical general        unknown 0  Chassis Master Alarm: Fans 06/20 12:37:04 critical general        unknown 0  Fan #1 Speed: 5845.59 above high-limit 5750.00   温度、ファン、電源の状態を確認する： > show system environmentals ----Thermal---- Slot   Description                         Alarm      Degrees C S0    Temperature at 3830 [U85]           False      43.33 S0    Temperature at LION [U86]           False      43.83 S0    Temperature at Phy [U87]            False      38.33 S0    Temperature at CPLD [U88]           False      44.50   ----Fans---- Slot   Description                         Alarm      RPMs S0    Fan #1 RPM                          False      14673 S0    Fan #2 RPM                          False      14465 S0    Fan #3 RPM                          False      14261 S0    Fan #4 RPM                          False      15004   ----Power---- Slot   Description                         Alarm      Volts S0    1.0V Power Rail                     False      0.98 S0    1.2V Power Rail                     False      1.20 S0    1.5V Power Rail                     False      1.51 S0    1.8V Power Rail                     False      1.80 S0    2.5V Power Rail                     False      2.48 S0    3.3V Power Rail                     False      3.31 S0    5.0V Power Rail                     False      5.02 S0    3.3V RTC Battery                    False      3.22   ログの中でハードウェアのアラームを確認する： > less mp-log ehmon.log * * Ehmon (v3.0) * Jan 07 01:54:26 Start time. Jan 07 01:54:28 Loading: libfans.so... done Jan 07 01:54:28 Loading: libpower.so... done Jan 07 01:54:28 Loading: libthermal.so... done Jan 07 01:55:28 Sensor Alarm [True ]: Fan #1 RPM = 8472 Jan 07 01:55:48 Sensor Alarm [False]: Fan #1 RPM = 8509 Jan 07 01:56:48 Sensor Alarm [True ]: Fan #1 RPM = 8437 Jan 07 01:57:28 Sensor Alarm [False]: Fan #1 RPM = 8544   注：アラームのトリガーとなった状態が解消されることで、アラームを示していたLEDは消えているはずです。     著者：panagent ... View more

※この記事は以下の記事の日本語訳です。 How to Send a Test Email to Verify Email Profile Settings https://live.paloaltonetworks.com/t5/Learning-Articles/How-to-Send-a-Test-Email-to-Verify-Email-Profile-Settings/ta-p/60956     概要 電子メール サーバー プロファイル ( [ Device ] > [ サーバー プロファイル ] > [ 電子メール ] )を設定する際、この資料に記載されている手順によって、以下の設定が正しいかどうかを確認する方法を記載しています。 SMTP設定が正しいかどうか サーバーに到達できるかどうか   手順 [ Monitor ] > [ PDF レポート ] > [ レポート グループ ] を開き、事前定義済みレポートを追加します。今回の例では、"risky-users"を選択しています。 [ Monitor ] > [ PDF レポート ] > [ 電子メール スケジューラ ] を開き、追加ボタンを押して名前を入力します。テストするために、作成したレポート グループと電子メール プロファイルを選択します。 「テスト電子メールの送信」をクリックして、SMTPの設定を確認します。 SMTPの設定を確認する電子メールが送られます。   無効な受信者(Recipient) RCPT TO が外部のメールアドレスである場合、エラーが表示されることなく、テスト電子メールが失敗することがあります。多くのSMTPサーバーは、認証されていない送信元からの電子メールを中継しないように設定されています。   以下の手順に従い、受信者 (Recipient) のうちの1つが対応していないのかどうかを確認します。 ターミナルから (Linux, Mac)、あるいはコマンドプロンプトから (Windows)、SMTPサーバーにtelnet接続します。telnetはPAN-OS上では利用できないため、このテストはお手持ちのコンピュータから行う必要があります。 $ telnet <server_ip_or_fwdn> 25 注：接続が拒否される場合、サーバーが25番ポートで待ち受けていないか、接続を拒否する何らかのセキュリティ デバイスがあることを示します。 接続ができる場合、以下のコマンドを使用します。 HELO <server_ip_or_fwdn>       (250 - Hello messages and subsequent 250 messages expected) MAIL FROM: <you @ yourcompany.com>       (250 2.1.0 Sender OK expected) RCPT TO: <recipient1 @ yourcompany.com>        (250 2.1.5 Recipient OK expected) RCPT TO: <recipient2 @ othercompany.com>       (550 5.7.1 Unable to relay expected)   例：   注1： SMTPのトラブルシューティングに関する詳しい資料については、こちらを参照してください： Not authorized to view the specified document 1065 注2：現時点では、SMTP 認証には対応しておりません。     著者：mivaldi ... View more

※この記事は以下の記事の日本語訳です。 Data Filtering Best Practices https://live.paloaltonetworks.com/t5/Configuration-Articles/Data-Filtering-Best-Practices/ta-p/58093     初期設定では、データ フィルタリングにはシグネチャが2つあります： クレジットカード：デバイスは16桁（訳注1）の番号を探し、ハッシュ アルゴリズムの検証を進めます。クレジットカードの番号として検出する前に、ハッシュ アルゴリズムに合致しなければなりません。この手法により、偽陽性（False Positive）を減らしています。 社会保障番号（訳注2）：形式に関わらず、あらゆる9桁の番号が社会保障番号として検出されます。こちらは偽陽性となる傾向があります。 どのようなドキュメントのタイプに対して、クレジットカードと社会保障番号を検知するかを定義することが重要です。この記事に添付している2つのPDFを使用して、ポリシーでの定義を検証することができます。1つはダミーの社会保障番号で、もう1つはダミーのクレジットカード番号です。   2種類のキーワードを見つけ、アラートを生成するプロファイルを設定します。さらなる条件として、10個の9桁の番号または10個のクレジットカードの番号、あるいは9桁の番号とクレジットカード番号が合計で10個の組み合わせを持つファイルを確認することとします。 カスタムのデータ パターンを設定します。 作成したデータ パターンをプロファイルを設定します。 作成したデータパターンをセキュリティ プロファイルに設定します。   カスタムのデータ パターンは以下の方法で設定します： カスタムのデータ パターンの重みを、10で設定します。 社会保障 (CC#) とクレジットカード (SSN#) には、1を設定します (以下のスクリーンショットをご覧ください)。 データ フィルタリング プロファイルを、アラートしきい値を10に設定します (以下のスクリーンショットをご覧ください)。 Data Filtering Profile このプロファイルをセキュリティ ルールに追加します。このルールは該当のデータ パターンを見つけると、上記で設定した条件でアラートを挙げます。この設定をすることで、いくつかの誤検出を防ぐことができます。   データ フィルタリング ログのモニタ ログの各エントリーに表示される緑色の矢印をクリックすることで、データ フィルタリングをトリガーしたパケットのキャプチャを見ることができます。 パケットキャプチャには保護すべき内容を含むため、データ保護を有効にしパケットキャプチャの閲覧にパスワードを保護をかけることができます。パスワードは[Device] > [セットアップ] > [コンテンツ ID] > [コンテンツ ID 機能] > [データ保護の管理]で設定します 。   注：このKB記事には2つのテストファイルを添付しており、ポリシーが動作しているかを確認に使用できます。 訳注1：一部のクレジットカード発行元によっては、13桁など16桁以外のクレジットカード番号への対応もあります。  訳注2：アメリカ合衆国において社会保障法に基づき市民・永住者・外国人就労者に対して発行される9桁の番号。   著者：wtam ... View more

※この記事は以下の記事の日本語訳です。 Slow or Failed Commits https://live.paloaltonetworks.com/t5/Management-Articles/Slow-or-Failed-Commits/ta-p/61172     問題 時折、コミットが遅くなったり、完全に失敗することがあります。以下の" devsrv.log"の例では、"pan_util.c"のコールが"devsrv"への接続に失敗し、"phase1"処理に合流していないことを意味します。 2181 root 20 0 975m 11m 1468 S 2 1.2 196:53.46 cryptod 9620 root 20 0 798m 127m 39m S 2 12.9 97:40.63 devsrvr 1 root 20 0 1832 560 532 S 0 0.1 0:12.83 init mp\devsrv.log 10-17 17:20:15 Error: pan_util_connect_server(pan_util.c:1776): Failed to connect to server: Connection refused mp\devsrv.log 10-17 17:20:15 Error: pan_util_connect_server(pan_util.c:1776): Failed to connect to server: Connection refused mp\devsrv.log 10-17 17:20:15 Error: pan_util_connect_server(pan_util.c:1776): Failed to connect to server: Connection refused mp\devsrv.log 10-17 17:20:21 Error: pan_util_connect_server(pan_util.c:1776): Failed to connect to server: Connection refused mp\devsrv.log 10-17 17:20:21 Error: pan_util_connect_server(pan_util.c:1776): Failed to connect to server: Connection refused mp\devsrv.log 10-17 17:20:21 Error: pan_util_connect_server(pan_util.c:1776): Failed to connect to server: Connection refused mp\devsrv.log 10-17 17:20:23 SIGTERM triggered mp\devsrv.log 10-17 17:20:23 DEVSRV: connection to MS terminated mp\devsrv.log 10-17 17:21:00 BrightCloud URL engine startup... mp\devsrv.log 10-17 17:21:01 pan_shmgr_merge_with_peer(runtime.user-idmgr) begin mp\devsrv.log 10-17 17:21:35 BrightCloud URL filtering engine started mp\devsrv.log 10-17 17:22:05 Config commit phase1 started   解決方法 以下のコマンドを使用して、"devsrvr"プロセスによって使用されているメモリの使用量の多さを確認します： > show system resources | match devsr 2672       20   0  172m  67m  13m S    0  1.7   7:00.84 devsrvr   必要に応じて、以下のコマンドを使用してdevice serverを再起動します： > debug software restart device-server プロセスが再起動した後、"phase1"が伝えられると、コミットを完了することができます。   注："devsrvr"プロセスは、管理プレーン上で実行されており、データ プレーンに設定を流すことについては注意が必要です。該当のプロセスは、URLフィルタリングの要求や応答のような、管理プレーンとデータ プレーン間のいくつかの通信も担当しています。     著者：rkalugdan ... View more