「ファイアウォール設定 > フラッド防御」ページでは、セキュリティ装置を通過する TCP トラフィックの統計情報を表示し、TCP トラフィックの設定を管理することができます。
|
•
|
|
•
|
|
•
|
|
•
|
厳密な TCP 要件 (RFC 793 および RFC 1122) を強制する － 選択すると、いくつかの TCP タイムアウト ルールの厳密な要件を確実にします。この設定は TCP セキュリティを最大化しますが、これにより Windows Vista ユーザに対するウィンドウ スケーリング機能に問題が発生することがあります。
|
|
•
|
TCP ハンドシェーク強制を有効にする － すべての TCP 接続に対して、TCP 3 ウェイハンドシェークの成功が必要になります。
|
|
•
|
TCP チェックサム強制を有効にする － 計算された TCP チェックサムが無効だった場合、パケットが破棄されます。
|
|
•
|
TCP ハンドシェークのタイムアウトを有効にする － TCP 3 ウェイ ハンドシェークによる接続が完了するまでのタイムアウト時間 (秒)。この時間内に TCP 3 ウェイ ハンドシェークが完了しない場合、ハンドシェークは破棄されます。
|
|
•
|
既定の TCP 接続無動作時タイムアウト － TCP トラフィックのアクセス ルールで割り当てられる既定の時間。TCP セッションのアクティブな時間がこの設定値を超えると、ファイアウォールにより TCP 接続がクリアされます。既定値は 15 分です。 最小値は 1 分、最大値は 999 分です。補足:接続時タイムアウトを過度に大きく設定すると、古くなったリソースの再利用が遅くなり、極端な場合は接続キャッシュを使い果たす可能性もあります。
|
|
•
|
セグメント最大存続期間 (秒) － TCP パケットが失効するまでの秒数を指定します。TCP 接続を正しく閉じるための適切な FIN/ACK 交換が問題なく実行されるように、アクティブにクローズされた TCP 接続が TIME_WAIT 状態にとどまる時間 (セグメント最大存続期間の 2 倍、つまり2MSL) を決定する際にも、この設定値が使用されます。
|
|
•
|
|
•
|
|
•
|
以下のセクションがいくつかの SYNフラッド防御モードを詳述します。
SonicOS では、信頼される (内部) ネットワークと信頼されない (外部) ネットワークという 2 つの異なる環境から実行される SYNフラッドに対して、複数の保護手段を用意しています。一般的に、信頼されないWAN ネットワークからの攻撃は、ファイアウォールにより保護された 1 つ以上のサーバで発生します。信頼されるLAN ネットワークからの攻撃は、1 つ以上の信頼されるネットワークの内部におけるウイルス感染が原因で発生し、1 つ以上のローカル ホストまたはリモート ホストに対して攻撃が実行されます。
|
•
|
SYN プロキシ (レイヤ 3) － このメカニズムでは、WAN クライアントの接続要求を保護対象サーバに転送する前に SYN プロキシ実装を使用して WAN クライアントを検証することで、信頼されるネットワーク内のサーバを WAN ベース SYNフラッド攻撃から保護します。SYN プロキシは WANインターフェースに対してのみ有効にできます。
|
|
•
|
SYN ブラックリスト (レイヤ2) － このメカニズムでは、特定の機器による SYNフラッド攻撃の生成や、SYNフラッド攻撃の転送を阻止します。SYN ブラックリストは、任意のインターフェースに対して有効にできます。
|
どちらの SYNフラッド防御メカニズムも、内部的な手法は 1 つのイーサネット アドレス リストに基づいています。 これは初回 SYN パケットをファイアウォールに送信する最もアクティブな機器のイーサネット アドレスのリストです。このリストは、SYN ウォッチリストと呼ばれます。このリストにはイーサネット アドレスが含まれるため、SYN パケットを転送する機器のアドレスに基づいてすべての SYN トラフィックを追跡でき、送信元または送信先 IP アドレスを考慮する必要がありません。
ウォッチリストの各エントリには、ヒット カウントと呼ばれる値が含まれます。ある機器から初回 SYNパケットが受信されるたびに、その機器に対応するヒット カウントの値が 1 ずつ加算されます。TCP3ウェイ ハンドシェークが完了すると、ヒット カウントは 1 ずつ減算されます。特定の機器のヒット カウントは、その機器でヒット カウントがリセットされて以降に処理が保留されている半オープン接続の数に等しくなります。機器でヒット カウントがリセットされる頻度は、既定で 1 秒に 1 回です。