第7章 管理設定の構成
システム ＞ 管理
「システム ＞ 管理」ページでは、ＳｏｎｉｃＷＡＬＬセキュリティ装置の安全性の確保とリモート管理のための設定が可能です。ＳｏｎｉｃＷＡＬＬは、ＨＴＴＰＳ、ＳＮＭＰ、ＳｏｎｉｃＷＡＬＬグローバル管理システム （ＳｏｎｉｃＷＡＬＬ ＧＭＳ） など、さまざまな方法を使用して管理できます。この章は、次のセクションで構成されています。
ファイアウォール名
管理者名とパスワード
管理者パスワードの変更
ＳｏｎｉｃＷＡＬＬ管理インターフェースへのアクセス用に新しいパスワードを設定するには、「古いパスワード」フィールドに古いパスワードを入力し、「新しいパスワード」フィールドに新しいパスワードを入力します。「パスワードの確認」フィールドにもう一度新しいパスワードを入力し、「適用」を選択します。ＳｏｎｉｃＷＡＬＬセキュリティ装置が更新された後、ブラウザ ウィンドウの一番下に更新を確認するメッセージが表示されます。
ヒント 既定のパスワード （password） は、独自の個別パスワードに変更することを推奨します。
ワンタイム パスワード （ＯＴＰ） は、標準的なユーザ名とパスワードの資格情報に加えて、システムが生成したランダムなパスワードを利用する、２要素認証スキーマです。 ユーザが正しい基本ログイン資格情報を提出すると、システムはユーザが事前に定義した電子メールアドレス宛てに送るためのワンタイム パスワードを生成します。 ユーザは電子メールからワンタイム パスワードを取り出して、ログイン画面で入力する必要があります。
ログイン セキュリティの設定
内部ＳｏｎｉｃＷＡＬＬウェブ サーバでは現在、ＨＴＴＰＳ管理セッションとネゴシエートする場合に、ＳＳＬバージョン３.０およびＴＬＳを強力な暗号 （１２ビット以上） と組み合わせて使用しています。バージョン３.０より前のＳＳＬ実装および脆弱な暗号 （１２８ビット未満の対称暗号） はサポートされません。この強化されたＨＴＴＰＳセキュリティにより、潜在的なＳＳＬｖ２ロールバックの脆弱性を防御し、ＰＣＩ （Ｐａｙｍｅｎｔ Ｃａｒｄ Ｉｎｄｕｓｔｒｙ） をはじめとするセキュリティおよびリスク管理の標準規格に確実に準拠します。
ヒント Ｍｏｚｉｌｌａ Ｆｉｒｅｆｏｘ ２.０およびマイクロソフト インターネット エクスプローラ７.０の既定では、ＳＳＬ ３.０およびＴＬＳが有効になり、ＳＳＬ ２.０は無効になります。これらのウェブ ブラウザの最新リリースを使用することを推奨します。これらのブラウザの以前のリリースを使用する場合は、ＳＳＬ ３.０およびＴＬＳを有効にし、ＳＳＬ ２.０を無効にする必要があります。インターネット エクスプローラでは、「ツール ＞ インターネット オプション」を選択して「詳細設定」タブを選択し、「設定」メニューの一番下までスクロールします。Ｆｉｒｅｆｏｘでは、「ツール ＞ オプション」を選択して「詳細」タブを選択し、「暗号化」タブを選択します。
ＳｏｎｉｃＯＳ ５.０では、パスワードの制約の強制が導入されています。管理者およびユーザが使用するパスワードの安全性が確保されるように設定できます。このパスワードの制約の強制により、現在の情報セキュリティ管理システムで定義されている機密保持の要件、および情報セキュリティ国際評価基準やＰＣＩ （Ｐａｙｍｅｎｔ Ｃａｒｄ Ｉｎｄｕｓｔｒｙ） などの標準に準拠するための要件を満たすことができます。
「パスワードの強制変更間隔 (日数) 」設定が適用されている場合、ユーザは指定された日数が経過するたびにパスワードを変更する必要があります。有効期限の切れたパスワードでログインしようとすると、新しいパスワードの入力を求めるポップアップ ウィンドウが表示されます。「ユーザ ログイン状況」ウィンドウには、ユーザがいつでもパスワードを変更できるように「パスワードの変更」ボタンが用意されています。
「同じパスワードの繰り返し使用を禁止する回数」設定が適用されている場合、ユーザは指定された変更回数の範囲で一意のパスワードを使用する必要があります。
「最小パスワード長」設定では、パスワードに使用する文字の最小値を指定します。
「複雑なパスワードの強制」プルダウン メニューでは、次のオプションを選択できます。
･ アルファベットと数字を必ず併用
･ アルファベット、数字、記号を必ず併用
「これらのパスワード条件の適用対象」チェックボックスでは、パスワードの制約を適用するユーザのクラスを指定します。「管理者」チェックボックスは、ユーザ名がａｄｍｉｎである既定の管理者を指しています。
「無操作の管理者をログアウトさせるまでの時間」フィールドの設定により、操作がない場合に管理インターフェースから自動的にログアウトされるまでの時間を設定できます。既定では、無動作時間が５分経過すると管理者は自動的にログアウトされます。タイムアウトは１～９９分の範囲に指定できます。「適用」を選択すると、ブラウザ ウィンドウの一番下に更新を確認するメッセージが表示されます。
ヒント 「管理者セッションのタイムアウト時間 （分）」に５分を超える時間を設定した場合、ＳｏｎｉｃＷＡＬＬセキュリティ装置の管理インターフェースへの不正アクセスを防ぐため、各管理セッションを終了するときに必ず「ログアウト」を選択してください。
「管理者／ユーザのロックアウトを有効にする」を設定すると、指定された数の不正なログイン試行が行われた後に、管理者が装置へアクセスできないようロックをかけることができます。
･ 「１分間のログイン失敗回数が次の回数になったらロックアウト」には、ロックを開始するまでの不正なログイン試行の回数を、１分以内で指定します。
･ 「ロックアウト期間（分）」には、アクセスをロックする時間を分で指定します。
複数の管理者
「他の管理者が優先される場合の動作」設定では、複数の管理者の機能を使用し、ある管理者が他の管理者を先制した場合の対応を構成します。先制された管理者を非設定モードに変換するか、またはログアウトさせるように構成できます。複数の管理者の詳細については、「複数管理者サポートの概要」セクション 第65章「ユーザと認証設定の管理」を参照してください。
･ 非設定モードにドロップ － 現在の管理者によるアクセスを遮断することなく、複数の管理者が非設定モードで装置にアクセスできるようにします。
･ ログアウト － 新しい管理者が現在の管理者を先制します。
管理者／ユーザのロックアウトを有効にする
ログイン資格情報が正しくない場合に管理者またはユーザをロックアウトするようＳｏｎｉｃＷＡＬＬセキュリティ装置を設定できます。「ログイン失敗時に管理者／ユーザのロックアウトを有効にする」チェックボックスを選択し、正しい認証資格情報なしにユーザがＳｏｎｉｃＷＡＬＬセキュリティ装置にログインできないようにします。「１分間のログイン失敗回数が次の回数になったらロックアウト」フィールドに、ユーザをロックアウトするまでのログイン失敗回数を入力します。「ロックアウト期間（分）」フィールドにロックアウトされたユーザがＳｏｎｉｃＷＡＬＬに再度ログインできるようになるまでの時間を入力します。
警告 管理者とユーザが同じ送信元ＩＰアドレスを使用してＳｏｎｉｃＷＡＬＬにログインしようとすると、管理者もＳｏｎｉｃＷＡＬＬからロックアウトされます。ロックアウトは、ユーザまたは管理者の送信元ＩＰアドレスに基づいています。
ウェブ管理設定
ＳｏｎｉｃＷＡＬＬセキュリティ装置はＨＴＴＰまたはＨＴＴＰＳ、およびウェブ ブラウザを使用して管理できます。既定では、ＨＴＴＰのウェブ ベースの管理は無効です。 工場出荷時の設定のＳｏｎｉｃＯＳ管理インターフェースへのログインにはＨＴＴＰＳを使います。
ＨＴＴＰ管理を使いたい場合は、管理者がＨＴＴＰ管理を全体的に有効/無効にできる 「ＨＴＴＰを介しての管理を許可する」チェックボックスで設定可能です。
ＨＴＴＰＳ管理の既定ポートは標準ポート４４３です。この既定ポートを変更することによって、ＳｏｎｉｃＷＡＬＬセキュリティ装置へのログインにセキュリティ層をもう１つ追加できます。ＨＴＴＰＳ管理用に他のポートを設定するには、「ポート」フィールドに使用するポート番号を入力し、「更新」を選択します。例えば、ＨＴＴＰＳ管理ポートを７００番に設定した場合、ＳｏｎｉｃＷＡＬＬにアクセスするには、〈ｈｔｔｐ：／／１９２.１６８.１６８.１：７００〉 のようにポート番号とＩＰアドレスを使用してＳｏｎｉｃＷＡＬＬにログインする必要があります。
ＨＴＴＰの既定ポートはポート８０ですが、他のポートからアクセスするように設定することもできます。「ポート」フィールドに使用するポート番号を入力し、「適用」を選択します。ただし、ＨＴＴＰ管理用に８０番以外のポートを設定した場合、ＩＰアドレスを使用してＳｏｎｉｃＷＡＬＬセキュリティ装置にログインするときにポート番号も入力する必要があります。例えば、ポートを７６番に設定した場合、ウェブ ブラウザで 〈ＬＡＮ ＩＰアドレス〉 に７６も加えた 〈ｈｔｔｐ：／／１９２.１６８.１６８.１：７６〉 を入力する必要があります。
「証明書の選択」メニューで、「自己署名証明書を使用」を選択した場合、ＳｏｎｉｃＷＡＬＬセキュリティ装置にログインするごとに新しい証明書をダウンロードすることなく、１つの証明書を続けて使用できます。また、「証明書のインポート」を選択して、「システム ＞ 証明書」ページでインポートされた証明書を選択し、管理インターフェースの認証に利用できます。
「Ｃｏｏｋｉｅの削除」ボタンを選択すると、ＳｏｎｉｃＷＡＬＬ装置が保存したすべてのブラウザのＣｏｏｋｉｅが消去されます。Ｃｏｏｋｉｅを消去すると、管理インターフェースで保存していない変更は失われます。
ＳｏｎｉｃＷＡＬＬ管理インターフェースのテーブルの既定サイズの変更
ＳｏｎｉｃＷＡＬＬ管理インターフェースでは、管理インターフェースのすべてのテーブルにわたる大きな情報テーブルの表示を制御できます。ＳｏｎｉｃＷＡＬＬ管理インターフェースに表示されるすべてのテーブルの既定テーブル ページ サイズは、既定では１ページあたり５０アイテムですが、１～５,０００アイテムの任意のサイズに変更できます。アクティブ接続監視、ＶＰＮ設定、ログ表示などの一部のテーブルでは、ページごとに表示されるアイテムを個別に設定できますが、この設定はログイン時に、ここで構成された値に初期化されます。これらのテーブルのページを表示した後に構成を変更しても、個別の設定がすぐに変わるのではなく、 次回ログインしたときはじめて、これらのページに変更が適用されます。
テーブルの既定サイズを変更するには：
ツール チップ
ＳｏｎｉｃＯＳ ５.０では、ＳｏｎｉｃＯＳ ＵＩの多数の要素に対するツール チップが組み込まれました。これらのツール チップは、ＵＩ要素の上にマウスを置くと小さなポップアップ ウィンドウとして表示されます。このウィンドウには要素についての簡単な説明が表示されます。ツール チップは、多数のフォーム、ボタン、テーブル ヘッダーおよびエントリに対して表示されます。
補足 すべてのＵＩ要素に対してツール チップが表示されるわけではありません。マウスを要素の上に数秒間置いてもツール チップが表示されない場合は、関連付けられたツール チップがないものと判断してください。
フォーム エントリの最小値、最大値、および既定値がある場合は、ツール チップに表示されます。これらのエントリはＳｏｎｉｃＯＳファームウェアから直接生成されるため、使用しているプラットフォームとファームウェアの組み合わせに固有の値が表示されます。
ツール チップは既定で有効になっています。ツール ヒントを無効にするには、「ツール チップを有効にする」チェックボックスをオフにします。ツール チップが表示されるタイミングも設定できます。
･ フォーム ツール チップ間隔 － フォーム （テキストを入力するボックス） のツール チップが表示されるまでの時間 （ミリ秒単位）。
･ ボタン ツール チップ間隔 － ラジオ ボタンおよびチェックボックスのツール チップが表示されるまでの時間 （ミリ秒単位）。
･ テキスト ツール チップ間隔 － ＵＩテキストのツール チップが表示されるまでの時間 （ミリ秒単位）。
ＳＳＨ管理設定
ＳＳＨを使用してＳｏｎｉｃＷＡＬＬ装置を管理する場合、セキュリティを強化するためにＳＳＨポートを変更できます。既定のＳＳＨポートは２２です。
より高度な管理
ＳｏｎｉｃＷＡＬＬセキュリティ装置を、ＳＮＭＰまたはＳｏｎｉｃＷＡＬＬグローバル管理システムを用いて管理することができます。以下のセクションでは、次の２つのオプションでＳｏｎｉｃＷＡＬＬを管理するための設定について説明します。
ＳｏｎｉｃＷＡＬＬグローバル管理システムの詳細については、以下を参照してください。〈http://www.sonicwall.com〉
ＳＮＭＰ管理を有効にする
ＳＮＭＰ （Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ） はＵＤＰ （Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ） 上で使用されるネットワーク プロトコルです。ネットワーク管理者はＳＮＭＰを利用してＳｏｎｉｃＷＡＬＬセキュリティ装置の状態を監視したり、ネットワーク上で重大なイベントが発生した際に通知を受信したりできます。ＳｏｎｉｃＷＡＬＬセキュリティ装置は、ＳＮＭＰ ｖ１／ｖ２ｃおよび関連するすべてのＭａｎａｇｅｍｅｎｔ Ｉｎｆｏｒｍａｔｉｏｎ Ｂａｓｅ ＩＩ （ＭＩＢ ＩＩ） グループ （ｅｇｐとａｔ以外） をサポートしています。ＳｏｎｉｃＷＡＬＬセキュリティ装置は任意のインターフェースを介してＭＩＢＩＩ用のＳＮＭＰ Ｇｅｔコマンドに応答し、トラップ メッセージ生成のための個別ＳｏｎｉｃＷＡＬＬ ＭＩＢをサポートします。個別ＳｏｎｉｃＷＡＬＬ ＭＩＢはＳｏｎｉｃＷＡＬＬのウェブ サイトからダウンロードでき、ＨＰ Ｏｐｅｎｖｉｅｗ、Ｔｉｖｏｌｉ、ＳＮＭＰＣなどのサードパーティ製ＳＮＭＰ管理ソフトウェアにロードできます。
ＳｏｎｉｃＷＡＬＬセキュリティ装置でＳＮＭＰを有効にするには、管理インターフェースにログインして「システム」を選択し、「管理」を選択します。「ＳＮＭＰを有効にする」チェックボックスを選択し、「設定」を選択します。「ＳＮＭＰの設定」ウィンドウが表示されます。
ＳＮＭＰのログ／ログ設定
トラップ メッセージは、通常ＳｏｎｉｃＷＡＬＬセキュリティ装置が送信する警告メッセージ種別に対してのみ生成されます。例えば、攻撃、システム エラー、ウェブ サイトの遮断に対してトラップ メッセージが生成されます。「ログ ＞ 設定」ページでこれらの種別を選択しなかった場合、トラップ メッセージは生成されません。
ＳＮＭＰのサービスとしての設定およびルールの追加
既定で、ＳＮＭＰはＳｏｎｉｃＷＡＬＬセキュリティ装置上で無効になっています。ＳＮＭＰを有効にするには、最初に「システム ＞ 管理」ページでＳＮＭＰを有効にし、次に個々のインターフェースに対して有効にします。それには、「ネットワーク ＞ インターフェース」ページに移動し、ＳＮＭＰを有効にするインターフェース用の「設定」ボタンを選択します。
ＳｏｎｉｃＷＡＬＬセキュリティ装置へのサービスおよびルールの追加については、第５部「ファイアウォール」を参照してください。
ＳＮＭＰ管理システムが自動検出をサポートしている場合は、ＳｏｎｉｃＷＡＬＬセキュリティ装置エージェントがネットワーク上のＳｏｎｉｃＷＡＬＬセキュリティ装置を自動検出します。サポートしていない場合、ＳＮＭＰ管理システム上のＳＮＭＰ管理機器のリストにＳｏｎｉｃＷＡＬＬセキュリティ装置を追加する必要があります。
ＧＭＳ管理を有効にする
ＳｏｎｉｃＷＡＬＬグローバル管理システム （ＳｏｎｉｃＷＡＬＬ ＧＭＳ） でＳｏｎｉｃＷＡＬＬセキュリティ装置を管理するように設定できます。ＧＭＳで管理できるようにＳｏｎｉｃＷＡＬＬセキュリティ装置を設定するには：
･ 管理用ＩＰＳＥＣトンネル － このオプションを選択すると、ＩＰｓｅｃ ＶＰＮトンネルを越えた先のＧＭＳ管理コンソールからＳｏｎｉｃＷＡＬＬセキュリティ装置を管理できます。既定のＩＰｓｅｃ ＶＰＮ設定が表示されます。「ＮＡＴデバイス背後のＧＭＳ」を選択し （ＧＭＳインストールに適用できる場合）、「ＮＡＴデバイスＩＰアドレス」フィールドにＩＰアドレスを入力します。「ＧＭＳの設定」ウィンドウの一番下にＶＰＮポリシー設定が表示されます。
･ 既存のトンネル － ＧＭＳ管理サーバとＳｏｎｉｃＷＡＬＬセキュリティ装置の接続に使用する既存のＶＰＮトンネルがある場合に、このオプションを選択します。「ＧＭＳホスト名またはＩＰアドレス」フィールドにＧＭＳホスト名またはＩＰアドレスを入力します。「Ｓｙｓｌｏｇサーバ ポート」フィールドにポート番号を入力します。
･ 「ＨＴＴＰＳ」 － このオプションを選択すると、２つのＩＰアドレス （ＧＭＳプライマリ エージェントとスタンバイ エージェントのＩＰアドレス） からＨＴＴＰＳ管理が可能になります。また、ＳｏｎｉｃＷＡＬＬセキュリティ装置は、３ＤＥＳとＳｏｎｉｃＷＡＬＬセキュリティ装置管理者のパスワードを使用して暗号化されたＳｙｓｌｏｇパケットとＳＮＭＰトラップも送信します。ＨＴＴＰＳ管理モードの次の設定が表示されます。
･ Ｓｙｓｌｏｇメッセージを分散ＧＭＳレポーティング サーバに送信する － 通常のハートビート メッセージをＧＭＳプライマリとスタンバイのエージェントＩＰアドレスに送信します。通常のハートビート メッセージは指定されたＧＭＳレポーティング サーバとレポーティング サーバ ポートに送信されます。
･ ＧＭＳレポーティング サーバＩＰアドレス － ＧＭＳレポーティング サーバがＧＭＳ管理サーバとは異なる場合、ＧＭＳレポーティング サーバのＩＰアドレスを入力します。
･ ＧＭＳレポーティング サーバ ポート － ＧＭＳレポーティング サーバのポートを入力します。既定値は５１４です。
ダウンロード用ＵＲＬ
「ダウンロード用ＵＲＬ」セクションには、ＳｏｎｉｃＰｏｉｎｔイメージをダウンロードするサイトのＵＲＬアドレスを指定するためのフィールドがあります。
･ ＳｏｎｉｃＰｏｉｎｔ-ＮイメージＵＲＬを手動で指定 － ＳｏｎｉｃＯＳ ５.０またはそれ以上には、ＳｏｎｉｃＰｏｉｎｔファームウェアのイメージは含まれていません。ＳｏｎｉｃＷＡＬＬ装置がインターネットに接続できる場合は、ＳｏｎｉｃＰｏｉｎｔ機器を接続したときにＳｏｎｉｃＷＡＬＬサーバからＳｏｎｉｃＰｏｉｎｔイメージの最新バージョンが自動的にダウンロードされます。使用するＳｏｎｉｃＷＡＬＬ装置がインターネットにアクセスできない場合、またはプロキシ サーバ経由のアクセスのみが可能な場合は、ＳｏｎｉｃＰｏｉｎｔファームウェアのＵＲＬを手動で指定する必要があります。開始文字列ｈｔｔｐ：／／は不要ですが、ＵＲＬの末尾にファイル名を含める必要があります。ファイル名には .ｂｉｎ拡張子が必要です。ＩＰアドレスとドメイン名の例を次に示します。
１９２.１６８.１６８.１０／ｉｍａｇｅｐａｔｈ／ｓｏｎｉｃｐｏｉｎｔ.ｂｉｎ
ｓｏｆｔｗａｒｅ.ｓｏｎｉｃｗａｌｌ.ｃｏｍ／ａｐｐｌｉｃａｔｉｏｎｓ／ｓｏｎｉｃｐｏｉｎｔ/ｓｏｎｉｃｐｏｉｎｔ.ｂｉｎ
警告 ＳｏｎｉｃＷＡＬＬ上で動作しているＳｏｎｉｃＯＳファームウェア バージョンに対応するＳｏｎｉｃＰｏｉｎｔイメージをダウンロードしなければなりません。ｍｙｓｏｎｉｃｗａｌｌ.ｃｏｍウェブ サイトには、対応するバージョンに関する情報があります。ＳｏｎｉｃＯＳファームウェアをアップグレードするときは、正しいＳｏｎｉｃＰｏｉｎｔイメージにアップグレードするように注意してください。
ＵＩ言語の選択
ファームウェアに英語以外の言語が含まれている場合は、「言語選択」プルダウン メニューで指定できます。
補足 ＳｏｎｉｃＯＳ ＵＩ言語の変更を適用するには、ＳｏｎｉｃＷＡＬＬセキュリティ装置を再起動する必要があります。