FortiGate SSL Deep Inspection

2020年4月24日FortiGate

FortiGateでSSL通信のアンチウイルスを行なう場合の設定手順

この記事のコンテンツ

1. 概要
2. 必用なもの
3. FortiGateのCA証明書
4. SSLインスペクションプロファイルの作成
5. ポリシーの作成（修正）
6. CA証明書の配付

概要

FortiGateで社内とインターネット間の通信をスキャンしてマルウェアを除去するのは良くある使い方だが、ポリシーの「アンチウイルス」を有効にしただけでは多くの通信はマルウェアを検出することはできない。

何故なら現在多くのWebサーバーがSSL化されHTTPSによる通信を行なっているからだ。

HTTPSではクライアント～Webサーバー間でSSL(正確にはTLS)による暗号化が行なわれる。経路の中間に位置するFortiGateで通過するパケットの中身を検査しようとも暗号化されているためパケットを解析することはできない。いくら「アンチウイルス」を有効にしても検査は素通りとなっているわけだ。

これに対応するためFortiGateには「Deep Inspection」という方法が用意されているのだが、デフォルトでは「Cerificate Inspection」が選択されるようになっている。「Cerificate Inspection」はWebフィルタリングでは有効に機能するが、それ以外のUTM機能では役に立たない。

では「Deep Inspection」はどのような動作をするのか。

クライアントがWebサーバーへHTTPS通信のリクエストを送信する、するとFortiGateはWebサーバーと自分との間で暗号化通信を行ない（つまり暗号を復号する）パケットの検査をする。そしてパケットを再度暗号化してクライアントへ返す。このとき暗号通信で使われるサーバー証明書は元々のWebサーバーのものではなくFortiGateの証明書が使われる。このためFortiGateの証明書をクライアントが信頼するように構成しないとWebブラウザーに「証明書警告」が表示されてしまうことになる。この点が「Deep Inspection」を使用する上で注意が必要なポイントだ。本記事ではこの点を中心に扱う。