ライセンス：任意

SSL ルールを最初に作成するときに、ルール エディタの [Insert] ドロップダウン リストを使用して、その位置を指定します。SSL ポリシーの SSL ルールには 1 から始まる番号が付いています。ASA FirePOWER モジュールは、ルール番号の昇順で、SSL ルールを上から順にトラフィックと照合します。

ほとんどの場合、モジュールによるネットワーク トラフィックの処理は、すべてのルールの条件がトラフィックに一致する最初の SSL ルールに従って行われます。モニタ ルール（トラフィックをログに記録するが、トラフィック フローには影響しない）の場合を除き、モジュールは、そのトラフィックがルールに一致した後、追加の優先順位の低いルールに対してトラフィックの評価を続けることはありません。

ヒント	適切な SSL ルールの順序は、ネットワーク トラフィックの処理に必要なリソースを軽減し、ルールのプリエンプションを回避します。ユーザが作成するルールはすべての組織と展開に固有のものですが、ユーザのニーズに対処しながらもパフォーマンスを最適化できるルールを順序付けする際に従うべきいくつかの一般的なガイドラインがあります。詳細については、SSL ルールの順序指定によるパフォーマンス向上とプリエンプション回避を参照してください。

番号ごとのルールの順序付けに加えて、カテゴリ別にルールをグループ化できます。デフォルトで、システムには 3 つのカテゴリ（管理者、標準、ルート）があります。カスタム カテゴリを追加できますが、 ASA FirePOWER モジュール提供のカテゴリを削除したり、カテゴリの順序を変更したりはできません。既存のルールの位置またはカテゴリの変更の詳細については、「SSL ルールの位置またはカテゴリの変更」を参照してください。

ルールの編集や作成中にルールをカテゴリに追加する手順：

ルールの編集や作成中にルールの位置を数値で指定する手順：

ライセンス：任意

[復号 - 既知のキー（Decrypt ‑ Known Key）] および [復号 - 再署名（Decrypt - Resign）] アクションは、暗号化トラフィックを復号します。ASA FirePOWER モジュールは、アクセス コントロールを使用して復号化されたトラフィックを検査します。アクセス コントロール ルールは、復号化されたトラフィックと暗号化されていないトラフィックで同じ処理をします。ここでは、侵入、禁止ファイル、マルウェアの検出とブロックができます。モジュールは許可されたトラフィックを再暗号化してから宛先に渡します。

Decrypt - Known アクションを設定した場合は、1 つまたは複数のサーバ証明書と秘密キー ペアをアクションに関連付けることができます。トラフィックがルールに一致して、トラフィックの暗号化に使用された証明書とアクションに関連付けられた証明書が一致した場合、モジュールは適切な秘密キーを使用してセッションの暗号化と復号化キーを取得します。秘密キーへのアクセスが必要なため、このアクションが最も適しているのは、組織の管理下にあるサーバへの入力トラフィックを復号する場合です。

同様に [復号 - 再署名（Decrypt - Resign）] アクションには、1 つの認証局証明書と秘密キーを関連付けることができます。トラフィックがこのルールに一致した場合、モジュールは CA 証明書を使用してサーバ証明書を再署名してから、中間者として機能します。ここでは、1 つはクライアントとデバイスの間、もう 1 つはデバイスとサーバの間をつなぐ、2 つの SSL セッションが作成されます。各セッションには、さまざまな暗号セッションの詳細が含まれており、モジュールはこれを使用することでトラフィックの復号化と再暗号化が行えます。このアクションは、証明書の秘密キーを各自の管理下にあるキーに置き換えてセッション キーを取得するため、発信トラフィックに適しています。

サーバ証明書の再署名では、証明書の公開キーを CA 証明書の公開キーに置き換えるか、あるいは証明書全体が置き換えられます。通常、サーバ証明書全体を置き換える場合は、SSL 接続が確立された時点で、証明書が信頼できる認証局によって署名されていないことがクライアント ブラウザで警告されます。ただし、その CA をクライアント ブラウザで信頼できることがポリシーに設定されている場合、ブラウザは証明書が信頼できないことの警告をしません。オリジナルのサーバ証明書が自己署名の場合、ASA FirePOWER モジュールは証明書全体を置き換えて、再署名する CA を信頼しますが、ユーザのブラウザは証明書が自己署名であることを警告しません。この場合、サーバ証明書の公開キーを交換するだけで、クライアント ブラウザは証明書が自己署名であることを警告します。

Decrypt - Resign アクションを設定した場合、ルールによるトラフィックの照合は、設定したすべてのルール条件に加えて、参照される内部 CA 証明書の署名アルゴリズム タイプに基づいて実施されます。各 Decrypt - Resign アクションにはそれぞれ 1 つの CA 証明書が関連付けられるので、暗号化の署名アルゴリズムが異なる複数タイプの発信トラフィックを復号化する SSL ルールは作成できません。また、ルールに追加する暗号スイートと外部証明書のオブジェクトのすべては、関連する CA 証明書の暗号化アルゴリズム タイプに一致する必要があります。

たとえば、楕円曲線暗号（EC）アルゴリズムで暗号化された発信トラフィックが [復号 - 再署名（Decrypt - Resign）] ルールに一致するのは、アクションが EC ベースの CA 証明書を参照している場合だけです。証明書と暗号スイートのルール条件を作成する場合は、EC ベースの外部証明書と暗号スイートをルールに追加する必要があります。同様に、RSA ベースの CA 証明書を参照する [復号 - 再署名（Decrypt - Resign）] ルールは、RSA アルゴリズムで暗号化された発信トラフィックとのみ一致します。EC アルゴリズムで暗号化された発信トラフィックは、設定されている他のルール条件がすべて一致したとしても、このルールには一致しません。

次の点に注意してください。

• SSL 接続の確立に使用される暗号スイートが Diffie‑Hellman Ephemeral（DHE）または楕円曲線 Diffie‑Hellman Ephemeral（ECDHE）キー交換アルゴリズムを適用している場合、パッシブ展開では [復号 - 既知のキー（Decrypt - Known Key）] アクションを使用できません。SSL ポリシーの対象がパッシブまたはインライン（タップ モード）インターフェイスであり、そのポリシーに含まれる [Decrypt - Known Key] ルールで DHE または ECDHE 暗号スイートを含む暗号スイート条件が使用されている場合、ASA FirePOWER モジュールによりルールの横に情報アイコンが表示されます。パッシブまたはインライン（タップ モード）インターフェイスを含む SSL ルールに後からゾーンを追加すると、モジュールにより警告アイコンが表示されます。

• デバイスはトラフィックを直接検査しないため、パッシブまたはインライン（タップ モード）展開では [Decrypt - Resign] アクションを使用できません。セキュリティ ゾーン内にパッシブまたはインライン（タップ モード）インターフェイスを含む [Decrypt - Resign] アクションを使用したルールを作成した場合、ポリシー エディタによりルールの横に警告アイコンが表示されます。SSL ポリシーの対象がパッシブまたはインライン（タップ モード）インターフェイスであり、そのポリシーに Decrypt - Resign ルールが含まれる場合、モジュールによりルールの横に情報アイコン（）が表示されます。パッシブまたはインライン（タップ モード）インターフェイスを含む SSL ルールに後からゾーンを追加すると、モジュールにより警告アイコン（）が表示されます。パッシブまたはインライン（タップ モード）インターフェイスを含むデバイスに、[復号 - 再署名（Decrypt - Resign）] ルールを含む SSL ポリシーを適用した場合、このルールに一致する SSL セッションはすべて失敗します。

• サーバ証明書の再署名に使用する CA をクライアントが信頼していない場合、証明書が信頼できないという警告がユーザに出されます。これを防ぐには、クライアントの信頼できる CA ストアに CA 証明書をインポートします。または組織にプライベート PKI がある場合は、組織の全クライアントで自動的に信頼されるルート CA が署名する中間 CA 証明書を発行して、その CA 証明書をデバイスにアップロードすることもできます。

• SSL ルールの暗号スイート条件に匿名の暗号スイートを追加できますが、次の点に注意してください。

  • システムは ClientHello 処理中に自動的に匿名の暗号スイートを削除します。ルールを使用するシステムでは、ClientHello の処理を防止するために SSL ルールを設定する必要があります。詳細については、SSL ルールの順序指定によるパフォーマンス向上とプリエンプション回避を参照してください。

  • システムでは、匿名の暗号スイートで暗号化されたトラフィックは復号化できないため、ルールに Decrypt - Resign または Decrypt - Known Key アクションを使用できません。

• クライアントとデバイスの間に HTTP プロキシがあり、クライアントとサーバが CONNECT HTTP メソッドを使用してトンネル SSL 接続を確立する場合、ASA FirePOWER モジュールはトラフィックを復号化できません。モジュールによるこのトラフィックの処理法は、ハンドシェイク エラーの復号化できないアクションが決定します。詳細については、「復号できないトラフィックのデフォルト処理の設定」を参照してください。

• SSL ルールに Decrypt - Known Key アクションを付けて作成した場合、Distinguished Name または Certificate 条件による照合はできません。ここでの前提は、このルールがトラフィックと一致する場合、証明書、サブジェクト DN、および発行元 DN は、ルールに関連付けられた証明書とすでに一致済みであることです。詳細については、ルール アクションを使用した暗号化トラフィックの処理と検査の決定を参照してください。

  .

• 内部 CA オブジェクトを作成して証明書署名要求（CSR）の生成を選択した場合、オブジェクトに署名付き証明書をアップロードするまで、この CA は Decrypt - Resign アクションに使用できません。詳細については、新しい署名付き証明書の取得およびアップロードを参照してください。

• [Decrypt - Resign] アクションのルールを設定して、1 つまたは複数の外部証明書オブジェクトまたは暗号スイートで署名アルゴリズム タイプの不一致が生じた場合、ポリシー エディタによりルールの横に情報アイコンが表示されます。すべての外部証明書オブジェクトまたはすべての暗号スイートで署名アルゴリズム タイプの不一致が生じた場合、ポリシーによりルールの横に警告アイコンが表示され、SSL ポリシーに関連付けたアクセス コントロール ポリシーは適用できません。詳細については、証明書による暗号化トラフィックの制御および暗号スイートによる暗号化トラフィックの制御を参照してください。

• [Interactive Block] または [Interactive Block with reset] アクションのアクセス コントロール ルールと復号化トラフィックが一致する場合、ASA FirePOWER モジュールは一致する接続をインタラクションなしでブロックし、応答ページを表示しません。

• インライン正規化プリプロセッサで Normalize Excess Payload オプションをイネーブルにすると、プリプロセッサによる復号化トラフィックの標準化時に、パケットがドロップされてトリミングされたパケットに置き換えられる場合があります。これは SSL セッションを終了させません。トラフィックが許可された場合、SSL セッションの一部としてトリミングされたパケットは暗号化されます。

• ブラウザが証明書ピニングを使用してサーバ証明書を確認する場合は、サーバ証明書に再署名しても、このトラフィックを復号化できません。このトラフィックを許可するには、サーバ証明書の共通名または識別名と突き合わせるように、Do not decrypt アクションを使用して SSL ルールを設定します。

着信トラフィックを復号化するルールを設定する場合：

アクセス：管理者/アクセス管理者/ネットワーク管理者

アクセス：管理者/アクセス管理者/ネットワーク管理者