#1 はじめに
こんにちは、エーピーコミュニケーションズの島田です。
今日、Webサイトは様々なクラウドアプリケーションで構成されるのが一般的となっていますが、それ故にZIAの URL Filtering や Cloud App Control が想定通りに動作してくれない、といった経験をされた方も多いのではないでしょうか。今回はそんなときに解法の一つとなる HTTP Header Profile の概要と使い方についてご紹介していきます。
#2 HTTP Header Profile とは
HTTPリクエストヘッダーの「フィールド名：値」を指定可能なプロファイルで、URL Filtering Policy の Criteria の一つとして設定することが可能です。デフォルトでは有効化されていないため、ご利用になりたい場合、まずはサポートチームへプロビジョニングをご依頼ください。
正常にプロビジョニングされると、HTTP Header Control というメニュー下に HTTP Header Profile と HTTP Header Insertion Profile の二つが追加されます。HTTP Header Profile はヘッダーによるトラフィックの選別に用いられますが、HTTP Header Insertion Profile は許可したトラフィックに指定のヘッダーを追加する、といった形で用途が異なります。
詳しくは Zscaler Help Portal の記事 もご覧ください。
#3 HTTP Header Profile の使い方
先程の設定画面からプロファイルを新規追加していきます。現在設定可能なフィールド名は「Origin, Referer, User Agent」の3種類で、いずれかを選択後にフィールドの値となる Cloud Application, URL Categories, User Agent+Version などを指定します。
また、一つのプロファイルに複数の条件を指定した場合、フィールド名が同じものはOR、フィールド名が異なるものはANDで結ばれて判定されます。
[Origin 1 (OR) Origin 2] (AND) Referer (AND) [User Agent 1 (OR) User Agent 2]
プロファイルを作成できましたら、URL Filtering Policy 上でプロファイルを指定していきます。Device Trust Level の下あたりでプロファイルを選択できるようになっていますので、設定できましたらアクティベーションしていただき、想定通りの動作となるかご確認ください。
#4 ユースケース
例えば、とある動画サイトへのアップロードを調査してみると、動画のアップロード時のみ宛先がAWSのS3となっていることがわかります。
この場合、動画サイト側をブロックしていたとしても、S3をブロックしていなければアップロードを防ぐことができません。しかしながら、組織としてはS3のようなメジャーなサービスを丸々ブロックするわけにもいかないのが実情です。ここでHTTPヘッダーに着目します。
Origin や Referer にはしっかり参照元サイトの情報が入っていることが分かります。つまり、これらを HTTP Header Profile にて指定し、それを URL Filtering Policy にセットすれば、特定のサイトから参照されるS3へのアップロードのみを選別してブロックすることが可能となります。
#5 おわりに
以上、今回はちょっと細かいフィルタリング制御のお話でした。
当然、これらを駆使するとなると設定の複雑さや運用負荷は上がってしまいますし、Webサイト側の仕様変更によってフィルタリングが適用されなくなるのでは？といった懸念も出てきます。フィールド名を任意で指定できるようになるとか、Cloud App Control であれば Origin や Referer に指定のサイトが含まれているリクエストも制御対象としてくれる、といったアップデートがあれば、利便性の向上が期待できそうですね。
今回もお読みいただきありがとうございました！
0-WANについて
私たち0-WANは、ゼロトラスト製品を中心とした、マルチベンダーでのご提案で、お客様の経営課題解決を支援しております。
ゼロトラストってどうやるの？製品を導入したけれど使いこなせていない気がする等々、どんな内容でも支援いたします。
お気軽にご相談ください。
問い合わせ先、0-WANについてはこちら。
