FirewallのSSL/TLSインスペクションが有効に機能している事をテストマルウェアを使い検証します。SSL/TLSインスペクションによって接続出来なくなる場合は除外設定を行います。前回までの記事でXGのSSL/TLSインスペクションの設定が完了している事を前提にしています。SSL/TLSインスペクションに関する記事は以下を参照してください。System)によるSSLインスペクションでの動作確認のため、テストマルウェアの検知について行います。有名どころでは、eicarのテストマルウェアが挙げられます。ダウンロードページにまいりましょう。HTTPSという項目があり、httpsの4つのダウンロードリンクがあります。実行ファイルについては、マルウェアを検知する前にXGのポリシーによって、実行ファイルをダウンロードできないという表示になる可能性があります。その際はWebのポリシーで修正するか、ルールとポリシーを修正し実行ファイルを一時的に許可し、確認してみて下さい。前回までの記事で記載してきた通り、SSL/TLSインスペクションが行えるクライアントと行えないクライアントで挙動は変わります。SSL/TLSインスペクションが行えるクライアントは、この4つを全て検出し、ブラウザにはXGによるマルウェア検知のエラー画面が表示されます。PCに入っているウィルス対策ソフトが検知する以前にダウンロードは行わない挙動となります。SSLインスペクション対象外のクライアントからのアクセスについてはhttpsのダウンロードはマルウェアを検出できず、ダウンロードしてしまいます。IPSは速度と検出能力という相反する事を同時に成り立たせなくてはいけません。Defenderを含む)やマルウェア対策ソフトの導入をお勧めします。Sophosはホームユーザー向けに無償のウィルス対策ソフトを提供していますが、個人的には異なる会社のソフトを組み合わせて使う事をお勧めします。SSL/TLSインスペクションの除外XGは、Webフィルターやアプリケーションフィルターなどのポリシーで接続の可否を判断しますが、実はSSL/TLSインスペクションが理由で接続できないという問題も発生します。これは以下の通りです。TLSが正当ではないと判断されるXGの証明書がアプリケーションに認められない接続できない理由は後述しますが、XGは、XG自身で最初からSSL/TLSインスペクションの対象外とするドメインリストを既に保持しています。そのリストになく、自身で利用するサイトやアプリケーションがSSL/TLSインスペクションによって動作しない場合は個別に当該ドメインをSSL/TLSインスペクションの対象外と指定します。listがあり、ここに複数の有名なWebサイトのドメインが列挙されています。このリストは編集できません。ファームウェアの更新によって管理されます。listにドメインが列挙されておらず、またポリシー上は利用できるはずのWebサイトに接続できない場合、XGの画面右上のログビューアからSSL/TLSインスペクションを選択しSSL/TLSインスペクションでエラーが発生していないか確認を行います。Listという個別にカスタマイズ可能なリストがあるので、そのリストにドメインを追加する事でSSL/TLSインスペクションの対象外とできます。Listが存在します。Listの初期状態は何も登録されていません。SSL/TLSインスペクションによって接続できない理由SSL/TLSインスペクションで接続できない理由の1つ目は、SSL/TLS証明書の正当性を厳しくチェックしすぎる場合が該当します。過渡期ではありますが、まだまだ古いバージョンのTLSが利用されていサイトもあります。これを緩める場合は、XGの左ペインメニュールールとポリシーの”SSL/TLSインスペクションルール”画面で、SSL/TLSインスペクションを行っているプロファイルのルールを緩めるか、”SSL/TLSインスペクションの設定”をカスタマイズします。1つの接続できない理由は、アプリケーション自体が、OSにインストールされた証明書などを認めていないケースです。こちらはアプリケーションの内部に証明書を保持しており、その証明書の正当性を確認しているケースです。以下の例ではpython関連のモジュールをアップグレードするケースで以下のエラーが発生します。/simple/pip/XGの画面右上にある”ログビューア”から”SSL/TLSインスペクション”を選択し、どのURLのSSL/TLSインスペクションが行われているのかを確認できます。Listにドメインが追加されます。下記はあくまで一例ですが除外しておいた方が良いドメインを列挙します。Listに除外するドメインを追加する作業を行います。