UTM / Webコントロール

基本動作
基本設定
ホワイトリスト方式（指定したサイトのみ許可）
ブラックリスト方式（指定したサイトのみ禁止）
設定や状態の確認
ログ
プロバイダーカテゴリー一覧
OpenText社（provider opentext）

Webコントロール（URLフィルタリング）機能は、クライアントがアクセスしようとしているWebサイトをカテゴリーに分類し、カテゴリーごとにアクセスの禁止・許可を制御する機能です。
Note
サブネットベースNAT（netmapアクション）とは併用できません。
Note
Webコントロール（URLフィルタリング）機能を使用するにはアニュアルライセンスが必要です。
ライセンスのインストール方法については「運用・管理」/「システム」の「ライセンスキーのインストール」をご参照ください。
Note
UTMバンドルライセンス「UTM-01：アプリケーションコントロール、Webコントロール」を適用している場合、Webコントロール（URLフィルタリング）は以下の機能と併用できません。
Note
UTMバンドルライセンス「UTM-02：IPレピュテーション、アドバンスドIPS」を適用して同ライセンスの対象機能を使用している場合、Webコントロール（URLフィルタリング）は使用できません。
Note
Webコントロール（URLフィルタリング）機能を有効にした本製品同士を接続する場合は、各製品に異なるホスト名（hostnameコマンド）を設定してください。
Note
Webコントロール（URLフィルタリング）機能とDPI Webカテゴライズ機能は同時に使用できません。
Note
Webコントロール（URLフィルタリング）機能の対象となるのは、本製品のルーティング用インターフェースを通過するTCP 80/443番ポート宛ての通信（HTTP/HTTPS通信）です。本機能はこれらの通信に対する透過型プロキシーとして動作します。
Note
HTTPSの通信では暗号化されたTLSセッション上でHTTPリクエストが送信されるため、アクセス先URLそのものを検査することはできません。ただし通常、TLSセッション開始時のClientHelloメッセージには接続先サーバーのドメイン名がSNIとして含まれるため、HTTPS通信に対してはこのドメイン名の情報を利用して処理を行います。
Note
Webコントロール（URLフィルタリング）とURLフィルター（URLブラックリスト）は別の機能です。Webコントロールでは、アクセス先のWebサイト（URL）をカテゴリーに分類し、カテゴリー単位でアクセスの拒否・許可を制御します。一方、URLフィルターは、個々のアクセス先URLを、ブラックリスト、ホワイトリストに記述されたパターンと照合して拒否・許可を制御します。また、もう一つの違いとして、Webコントロールではアクセス元クライアントごとの制御を行いますが、URLフィルターの制御はすべてのWebアクセスに適用されます。なお、両機能は併用が可能です。併用時は両機能で許可されたときだけWebアクセスが可能です。

Webコントロール（URLフィルタリング）機能では、OpenText社が提供する最新のURLカテゴリーデータベースにもとづいて、アクセス先のURL（Webサイト）をカテゴリーに分類します。

初期設定ではデフォルト拒否（ホワイトリスト方式：指定したサイトのみ許可）の動作をするため、すべてのWebアクセスが遮断されますが、ルールを設定することで、「アクセス元クライアント」と「アクセス先Webサイトのカテゴリー」の組み合わせごとにpermit（許可）、deny（拒否）の選択が可能です。また、デフォルト許可（ブラックリスト方式：指定したサイトのみ禁止）に設定を変更することもできます。

Note
Webコントロール機能が使用するURLカテゴリーデータベースは、本製品にダウンロードするのではなく、必要に応じて本製品がインターネット上のサーバーに問い合わせる形で使用するため、データベースの更新は不要です。


基本動作

Webコントロール（URLフィルタリング）機能の処理フローは次のとおりです。


基本設定

Webコントロール（URLフィルタリング）の設定は、Webコントロールモード（web-controlコマンド）で行います。
providerコマンドでURLカテゴリーデータベースの提供元を指定した後、actionコマンドでデフォルトアクションを、categoryコマンドとmatchコマンドでカスタムカテゴリーの定義を、ruleコマンドでURLカテゴリーごとのアクションを指定し、protectコマンドで有効化します。

ホワイトリスト方式（指定したサイトのみ許可）

ここでは、初期設定のデフォルトアクション「拒否」をそのまま使い、指定したカテゴリーのサイトだけを許可する「ホワイトリスト方式」の動作をさせる場合の基本的な設定手順を示します。
  1. Webコントロール（URLフィルタリング）機能の設定を行うため、Webコントロールモードに移行します。これにはweb-controlコマンドを使います。
    awplus(config)# web-control ↓

  2. URLカテゴリーデータベースの提供元を指定します。これにはproviderコマンドを使います。
    このデータベースに含まれるURLカテゴリーをプロバイダーカテゴリー（一覧）と呼びます。
    一方、ユーザーが定義するカテゴリーはカスタムカテゴリーと呼びます。
    awplus(config-web-control)# provider opentext ↓
    Note
    Webコントロール（URLフィルタリング）機能とファイアウォール機能を併用する場合は、URLカテゴリーデータベースに問い合わせるため、本製品からインターネットへのDNS通信とHTTP通信を許可する必要があります。

  3. カスタムカテゴリーを定義します。これには、categoryコマンドとmatchコマンドを使います。
    ここでは、URLのホスト名かパス部分に、「tech-news」か「play-scala」という文字列が含まれているWebサイトを「Technical」（技術系）というカテゴリーに分類するよう設定しています。
    また、同様に「xxxx」、「zzzzzz」という文字列が含まれているWebサイトを「TimeWasting」（時間の無駄）というカテゴリーに分類するよう設定しています。
    awplus(config-web-control)# category Technical ↓
awplus(config-category)# match tech-news ↓
awplus(config-category)# match play-scala ↓
awplus(config-category)# exit ↓
awplus(config-web-control)# category TimeWasting ↓
awplus(config-category)# match xxxx ↓
awplus(config-category)# match zzzzzz ↓
awplus(config-category)# exit ↓

  4. Webコントロールルールを作成します。これにはruleコマンドを使います。
    Webコントロールルールは、「アクセス元クライアント」と「アクセス先Webサイトのカテゴリー」の組み合わせごとにアクションを指定するものです。

    アクセス元クライアントは、「エンティティー（通信主体）定義」によって指定します。詳細は「UTM」/「エンティティー定義」をご覧ください。

    アクセス先Webサイトのカテゴリーとしては、プロバイダーカテゴリー（一覧）かカスタムカテゴリーを指定します。

    アクションには次の2つがあります。

    本例では初期設定のデフォルトアクション「拒否」をそのまま使っているため、どのカテゴリーにも分類されなかったサイト、および、どのルールにもマッチしなかったカテゴリーのサイトへのアクセスは拒否されます。そのため、許可ルールを追加しないままWebコントロール機能を有効化すると、すべてのWebアクセスが遮断されることとなります。

    なお、ruleコマンドで指定するカテゴリー名は、show web-control categoriesコマンドで確認できます。
    awplus(config-web-control)# do show web-control categories ↓
Category                                                  Category Hits  Custom
    Custom Matches
--------------------------------------------------------------------------------
abortion                                                              0
alcohol-tobacco                                                       0
auctions                                                              0
botnets                                                               0
business-economy                                                   3023
cheating                                                              0
computer-internet-info                                             2469
computer-security                                                   705
confirmed-spam                                                        0
content-delivery-networks                                           222
cult-occult                                                           0
...
Technical                                                             0     yes
    play-scala
    tech-news
"Terrorism, Extremism"                                                0
TimeWasting                                                           0     yes
    xxxx
    zzzzzz
"Town Pages"                                                          0
...

    ここでは、ゾーン「private」（内部ネットワーク）から「government」（政府）、「computer-internet-info」（コンピューター/インターネット）、「internet-portals」（ポータル）カテゴリーに分類されたWebサイトへのアクセスを許可しています。

    ただし、これら許可カテゴリーのサイトでも、手順3で定義したカスタムカテゴリー「TimeWasting」（時間の無駄）にマッチするURLであれば例外的に禁止するよう設定しています。

    また、上記の許可カテゴリー以外であっても、同じく手順3で定義したカスタムカテゴリー「Technical」（技術系）にマッチするURLであれば例外的にアクセスを認めるよう設定しています。

    デフォルトアクションが「拒否」であるため、ルールで明示的に許可していないカテゴリーのサイトや、どのカテゴリーにも分類されなかったサイトへのアクセスはすべて禁止されます。
    awplus(config-web-control)# rule permit Technical from private ↓
awplus(config-web-control)# rule deny TimeWasting from private ↓
awplus(config-web-control)# rule permit government from private ↓
awplus(config-web-control)# rule permit computer-internet-info from private ↓
awplus(config-web-control)# rule permit internet-portals from private ↓

    5．Webコントロール（URLフィルタリング）機能を有効化します。これにはprotectコマンドを使います。
    awplus(config-web-control)# protect ↓

設定は以上です。

ブラックリスト方式（指定したサイトのみ禁止）

Webコントロール機能の初期設定ではデフォルトアクションが「拒否」のため、指定したカテゴリーのサイトだけを許可する「ホワイトリスト方式」の動作をしますが、デフォルトアクションを「許可」に変更することで、指定したカテゴリーのサイトだけを禁止する「ブラックリスト方式」の動作をさせることも可能です。

以下、Webコントロール（URLフィルタリング）機能を「ブラックリスト」方式で動作させる場合の基本的な設定手順を示します。
  1. Webコントロール（URLフィルタリング）機能の設定を行うため、Webコントロールモードに移行します。これにはweb-controlコマンドを使います。
    awplus(config)# web-control ↓

  2. URLカテゴリーデータベースの提供元を指定します。これにはproviderコマンドを使います。
    このデータベースに含まれるURLカテゴリーをプロバイダーカテゴリーと呼びます。
    一方、ユーザーが定義するカテゴリーはカスタムカテゴリーと呼びます。
    awplus(config-web-control)# provider opentext ↓
    Note
    Webコントロール（URLフィルタリング）機能とファイアウォール機能を併用する場合は、URLカテゴリーデータベースに問い合わせるため、本製品からインターネットへのDNS通信とHTTP通信を許可する必要があります。

  3. Webコントロール（URLフィルタリング）機能のデフォルトアクションを拒否から許可に変更します。これには、actionコマンドを使います。
    awplus(config-web-control)# action permit ↓

  4. カスタムカテゴリーを定義します。これには、categoryコマンドとmatchコマンドを使います。
    ここでは、URLのホスト名かパス部分に、「chat-for-work」か「work-blog」という文字列が含まれているWebサイトを「Work」（仕事）というカテゴリーに分類するよう設定しています。
    awplus(config-web-control)# category Work ↓
awplus(config-category)# match chat-for-work ↓
awplus(config-category)# match work-blog ↓
awplus(config-category)# exit ↓

  5. Webコントロールルールを作成します。これにはruleコマンドを使います。
    Webコントロールルールは、「アクセス元クライアント」と「アクセス先Webサイトのカテゴリー」の組み合わせごとにアクションを指定するものです。

    アクセス元クライアントは、「エンティティー（通信主体）定義」によって指定します。詳細は「UTM」/「エンティティー定義」をご覧ください。

    アクションには次の2つがあります。

    本例では手順3でデフォルトアクションを許可に設定しているため、どのカテゴリーにも分類されなかったサイト、および、どのルールにもマッチしなかったカテゴリーのサイトへのアクセスは許可されます。

    なお、ruleコマンドで指定するカテゴリー名は、show web-control categoriesコマンドで確認できます。
    awplus(config-web-control)# do show web-control categories ↓
Category                                                  Category Hits  Custom
    Custom Matches
--------------------------------------------------------------------------------
abortion                                                              0
alcohol-tobacco                                                       0
auctions                                                              0
botnets                                                               0
business-economy                                                   3023
cheating                                                              0
computer-internet-info                                             2469
computer-security                                                   705
confirmed-spam                                                        0
content-delivery-networks                                           222
cult-occult                                                           0
...
Work                                                                  0     yes
    chat-for-work
    work-blog

    ここでは、ゾーン「private」（内部ネットワーク）から「personal-sites-blogs」（個人サイト・ブログ）、「weapons」（武器）カテゴリーに分類されたWebサイトへのアクセスを禁止しています。

    ただし、これらのサイトでも、手順4で定義したカスタムカテゴリー「Work」（仕事）にマッチするURLであれば例外的に許可するよう設定しています。

    デフォルトアクションが「許可」であるため、ここで指定していないカテゴリーのサイトや、どのカテゴリーにも分類されなかったサイトへのアクセスはすべて許可されます。
    awplus(config-web-control)# rule permit Work from private ↓
awplus(config-web-control)# rule deny personal-sites-blogs from private ↓
awplus(config-web-control)# rule deny weapons from private ↓

    6．Webコントロール（URLフィルタリング）機能を有効化します。これにはprotectコマンドを使います。
    awplus(config-web-control)# protect ↓

設定は以上です。

設定や状態の確認

■ Webコントロール（URLフィルタリング）機能の有効・無効、デフォルトアクション、URLカテゴリーデータベースの提供元、および、各種統計情報は、show web-controlコマンドで確認できます。
awplus# show web-control ↓
Web Control protection is enabled
Web Control default action is permit
Categorization provider is OpenText
Categorization provider is licensed
Statistics:
 Categorization hits: 42488/43283  (98.2%)
 Rule hits:   6/43283  (0.0%)
 Cache hits:  40019/43283  (92.5%)
 Cache size:  128

■ Webコントロール（URLフィルタリング）ルールの情報は、show web-control rulesコマンドで確認できます。
awplus# show web-control rules ↓
ID     Action  Category                  From                         Hits
--------------------------------------------------------------------------
10     deny    questionable              r&d.test.qa                  0
20     permit  stock-advice              market.sales                 1
25     permit  suspicious_sites          r&d                          2

■ 特定のURLがどのプロバイダーカテゴリーに分類されるかを調べるには、web-control categorizeコマンドを使います。
awplus# web-control categorize http://www.facebook.com http://www.ebay.com ↓
http://www.facebook.com ==>  64 (Social Networking)
http://www.ebay.com ==>  54 (Online Auctions)

ログ

■ Webコントロール（URLフィルタリング）のログを記録するには、以下のコマンド（log(filter)）を実行してください。初期設定では本機能のログは記録されません。
awplus(config)# log buffered level informational facility local5 ↓

プロバイダーカテゴリー一覧

OpenText社（provider opentext）

■ providerコマンドで opentext を指定した場合に使用可能なカテゴリーは下記のとおりです。
大分類
中分類
カテゴリー名（CATEGORYパラメーター）
内容
セキュリティー
システム、ネットワーク、ユーザーに害を及ぼす可能性があるコンテンツを含むサイト
  マルウェアサイト malware ウイルス、トロイの木馬、スクリプト、ドライブバイダウンロードなど悪意のあるコンテンツを含むサイト
  フィッシング・詐欺 phishing 実在するサイトを装って不正に個人情報を入手しようとするサイト
  プロキシー回避・アノニマイザー proxy-avoidance-anonymizers URLフィルタリングをバイパスするためのプロキシーサーバーや、コンテンツフィルタリングの回避に利用可能なWeb翻訳サイト
  スパイウェア・アドウェア spyware-adware ユーザーの同意なしに情報収集やトラッキングを行うスパイウェア・アドウェアサイト、未承諾のポップアップ広告を使用するサイトなど
  ボットネット botnets ネットワーク攻撃の起点となるボットネットの一部と判定されたURLまたはIPアドレス
  迷惑メールURL spam-urls 迷惑メールに含まれていたURL
  キーロガー・モニター keyloggers-monitoring ユーザーのキー入力を記録したり、Web閲覧履歴を監視したりするソフトウェアのダウンロードおよび情報サイト
一般カテゴリー
各環境のニーズに合ったフィルタリングポリシーを設定するために分類した一般的なカテゴリー
  不動産 real-estate 不動産の賃貸・購入・販売、不動産関連情報を提供しているサイト
  コンピューター/インターネットセキュリティー computer-security コンピューターやインターネットのセキュリティーに関するサイト
  ビジネス・経済 business-economy 企業サイト、企業情報、経済学、マーケティング、経営、起業などに関するサイト
  コンピューター/インターネット computer-internet-info コンピューターやインターネット技術に関する全般的な情報サイト。SaaSなどインターネット上でサービスを提供する各種サイトを含む
  オークション auctions 個人間の物品売買をサポートしているオークションサイト。クラシファイド広告サイトは除く
  ショッピング shopping 百貨店、小売店、カタログサイト、オンラインショップなど
  旅行 travel 旅行会社、航空会社、レンタカー、ホテル、リゾート、旅行情報サイトなど
  ホーム・ガーデン home-garden 家のメンテナンス・安全対策・装飾、ガーデニング、家電製品などに関するサイト
  軍事 military 軍隊、軍事史などに関するサイト
  ソーシャルネットワーキング social-media SNS（ソーシャルネットワーキングサービス）サイト
  証券投資 stock-advice 証券投資に関する情報。株価、市場ニュースサイトなど
  教育・訓練 training-tools オンライン教育、職業訓練、ソフトウェア教育、スキル訓練などに関するサイト
  エンターテインメント・アート entertainment-arts 映画、ビデオ、テレビ、音楽、書籍、漫画、映画館、ギャラリー、アーティスト、評論、演劇、舞台、公演、美術館、芸術作品などに関するサイト
  個人サイト・ブログ personal-sites-blogs 個人やグループによるサイトおよびブログ
  地域情報 local-information シティーガイド、レストラン・ホテル・観光情報など特定の地域に関する情報サイト
  求人情報 job-search 求人サイト
  参考・調査 reference-research オンライン辞書、地図、センサス、年鑑、図書目録、系図など
  ゲーム games オンラインゲーミング、ダウンロード、コンピューターゲーム・ボードゲームなどの情報、ゲーム雑誌サイト。オンライン宝くじや懸賞サイトを含む
  哲学・政治 philosophy-political 特定の哲学的、政治的思想の議論、推進を目的とするサイト
  ペイ・ツー・サーフ pay-to-surf 特定のリンクをクリックしたり、特定のメールやWebページを読むことでユーザーに報酬が支払われる「ペイ・ツー・サーフ」サイト
  狩猟・釣り hunting-fishing スポーツハンティング、狩猟クラブ、釣りに関するサイト
  クラブ・サークル society 特定の興味・分野に関する各種団体、協会、クラブ、サークル、同好会、グループなどのサイト
  教育機関 educational-institutions 保育園、幼稚園、小学校、中学校、高等学校、大学、専門学校などのサイト
  スポーツ sports スポーツチーム、スポーツに関するサイト
  こども kids こども向けサイト、ティーンエイジャー向けサイト
  検索エンジン search-engines 検索エンジンサイト
  ポータル internet-portals 多様なコンテンツを集約したポータルサイト
  音楽 music 楽曲の販売・ストリーミング、楽曲・歌詞・音楽グループ・ライブ・音楽ビジネスの情報サイト
  ニュース・メディア news-media オンラインニュースサイト、天気予報サイト、テレビ、ラジオ、新聞、雑誌などのマスメディアサイト
  動的生成コンテンツ dynamically-generated URLパラメーターやブラウザーの位置情報などに応じて動的にコンテンツを生成するサイト
  ファッション・美容 fashion-beauty ファッション誌、美容、服、化粧品などの情報サイト
  レクリエーション・趣味 recreation-hobbies ハイキング、キャンプ、コレクション、アート、工作、ペットなどレクリエーションや趣味に関する情報サイト
  自動車・バイクなど motor-vehicles エンジン付きの乗り物。乗用車、トラック、バイク、モーターボートなどのレビュー、ディスカッション、カタログ、売買などに関するサイト
ITリソース
ネットワーク帯域に負荷を与えるコンテンツを含む可能性があるサイト
  ストリーミングメディア streaming-media 音声・映像のストリーミングサイト
  シェアウェア・フリーウェア shareware-freeware ソフトウェア、スクリーンセーバー、アイコン、壁紙、ユーティリティー、着信音などのダウンロードサイト。寄付を求めるサイト、オープンソースプロジェクトのサイトを含む
  P2Pファイル共有 p2p-software P2P型ファイル共有クライアントの配布サイト、ファイル共有サイトなど
  オンライングリーティングカード online-greeting-cards オンライングリーティングカードサイト
  オンラインストレージ personal-storage ファイル、音楽、写真などのオンラインストレージサイト
  Web広告 web-advertisements Web広告・バナーサイト
  CDN content-delivery-networks 広告、メディア、画像、動画などを配信するためのコンテンツデリバリーネットワーク（CDN）
  インターネット通信 internet-communication インターネット電話、VoIPサービス、メッセージングサービスなど
  Webホスティング web-hosting Webページのホスティングサービス
プライバシー
個人情報のやりとりが発生する可能性が高いサイト
  金融サービス financial-services 銀行、保険、ローンなどに関わるサイト。市場ニュースや証券会社などは除く
  法律 legal 法律に関するサイト、法律事務所、弁護士事務所、法律問題に関するディスカッションサイトなど
  Webメール webmail Webメールサービス
  政府 government 政府、自治体サイト
  健康・医療 health-medicine 健康や医療に関する情報。各種医療機関、医療保険などのサイト
センシティブ
職場や特定のグループにとって不適切なコンテンツを含む可能性があるサイト
  カルト・オカルト cult-occult 占星術、呪術、魔術、悪魔崇拝、超常現象などに関するサイト
  薬物乱用 drug-abuse 違法・合法を問わず薬物の乱用およびその治療に関する情報
  アダルト・ポルノ pornography アダルトグッズ・ビデオ販売、性風俗店情報、露骨な性的描写を含むサイトなど
  出会い dating 出会い系サイト
  性教育 sex-education 性教育に関するサイト
  宗教 religion 宗教に関するサイト
  ギャンブル gambling ギャンブル、宝くじ・ナンバーズ、オンラインカジノ、射幸性の高いゲーム、その他の賭博行為に関するサイト
  Web翻訳 translation 指定したURLのページを別の言語に翻訳して表示するサイト。一種のプロキシーとして機能するためフィルタリング回避に使われることもある
  マリファナ marijuana マリファナに関するサイト
  ハッキング hacking 不正アクセスなどのハッキングに関するサイト
  武器 weapons 銃・ナイフなどの武器や武術用具の販売、レビュー、情報などを提供するサイト
  水着・下着 swimsuits-intimate-apparel 水着や下着などに関するサイト
  疑問符付きサイト questionable 下品なユーモアや「すぐに稼ぐ方法」などを紹介するサイト、Webブラウザーの挙動をおかしくするサイトなど
  ヘイト・レイシズム hate-racism ヘイトクライムや人種差別などに関わるサイト
  暴力 violence 暴力を肯定するコンテンツ、過激な暴力描写を含むサイトなど
  不正行為 cheating 不正行為を助長するコンテンツ（フリー論文、試験問題のコピー、盗作など）を含むサイト
  悪趣味 gross 吐瀉物、血まみれの服など嫌悪感を催させるコンテンツを含むサイト
  ヌード nudity 全裸または半裸の人物画や写真（芸術作品など、必ずしも性的な意味合いを含まない）を含むサイト
  違法・非合法 illegal 犯罪行為、著作権・知的財産権侵害などに関わるサイト
  中絶 abortion 人工妊娠中絶に関するトピックを扱うサイト
  パークドメイン parked-domains 有用なコンテンツを持たないサイト。工事中サイトやWebサーバーのデフォルトホームページが表示されるようなサイトを含む
  アルコール・タバコ alcohol-tobacco アルコール、タバコに関するサイト
  画像・動画検索 image-video-search 画像・動画検索サイト、オンラインアルバム、写真共有サイト、画像ホスティングサイトなど
その他（Misc.）
  デッドサイト dead-sites 応答しないWebサイト

(C) 2022 - 2023 アライドテレシスホールディングス株式会社

PN: 613-003066 Rev.D