Palo AltoでURLフィルタリングを設定する場合、対象のURLがどのカテゴリに分類されているのかを事前に確認しておくと便利です。
Palo Alto Networksでは、URLやIPアドレスを入力してカテゴリを確認できる「Test A Site」が公開されています。
今回は、Test A Siteを利用してURLカテゴリを確認する方法をまとめてみました。
検証した環境は以下のとおりです。
- PAN-OS：12.1.4-h5
- Azure上の仮想アプライアンス
１．URLカテゴリの分類を確認する方法
Palo Alto Networksの「Test A Site」を利用して確認することができます。
1-1. webコンソールからもTest A Site に遷移できる
paloalto の webコンソールからもこのサイトにアクセスすることができます。
・URL フィルタリングプロファイルの設定画面から「URL カテゴリをチェック」をクリックすることで上記のサイトに遷移できます。
２．URLカテゴリを確認してみる
上記の「Test A Site」を利用して実際に URL がどのようなカテゴリに分類されるのかどうかを調べてみます。
2-1. www.google.com
まず代表的な検索サイトを調べてみます。
カテゴリとしては「Search-Engines」と「Low Risk」の２つに該当することが分かります。
2-2. www.yahoo.co.jp
似たようなものですが、上記とは異なる検索サイトを調べてみます。
カテゴリとしては「Internet-Portals」と「Low Risk」の2つに該当しました。
グーグルとは異なるカテゴリに分類されました。
2-3. app.box.com
続いてクラウドストレージのBOXについて調べてみます。
カテゴリとしては「Online-Storage-and-Backup」と「Medium Risk」の2つに該当しました。
上記の２つよりもリスクが上がっていることが分かります。
2-4. www.youtube.com
続いて動画サイトについて調べてみます。
カテゴリとしては「Streaming-Media」と「Low Risk」の2つに該当しました。
2-5. www.bigmagnum.jp
モデルガンやエアガンを販売しているサイトを確認してみます。
※やばいサイトではないのでアクセスしてみても大丈夫です。
カテゴリとしては「Weapons」と「Low Risk」の2つに該当しました。
Paloalto にデフォルトで設定されている URLフィルタリングプロファイルのカテゴリ設定では「Weapons」というカテゴリは [block] として設定されています
なので、デフォルトのURLフィルタリングプロファイルを利用している状態ではこのサイトは閲覧できないということになります。
2-6. abcdefg.hijklmn
存在しないであろう URL も調べてみました。
カテゴリとしては「Private-IP-Addresses」の1つに該当しました。
ドメインとして確認できない＝ローカルドメインだろうということだと思いますが、あながち間違っていない気がしました。
2-7. qwedsazxcvfrtgb.com
ドメインはありますが、存在しないであろう URL 調べてみました。
カテゴリとしては「Unknown」と「High Risk」の2つに該当しました。
個人的には「Not-Resolved」のカテゴリになると思っていましたが、「このサイトがまだ分類されていない」ということで「Unknown」に分類されているようです。
３．IPアドレスを分類してみる
Test A Siteでは、URLだけでなくIPアドレスも検索できます。
3-1. アドレス：1.1.1.1
1.1.1.1 というアドレスを調べてみました。
カテゴリとしては「Computer-and-Internet-Info」と「Low Risk」の2つに該当しました。
実際にアクセスしてみると、クラウドフレアが所有しているサイトであることが分かります。
なのでカテゴリ分類としては間違っていないのかなと感じました。
3-2. アドレス：8.8.8.8
次にGoogleが運営するパブリックDNSサービスを調べてみます。
カテゴリとしては先ほどの「1.1.1.1」と同様に「Computer-and-Internet-Info」と「Low Risk」の2つに該当しました。
3-3. アドレス：99.99.99.99
今度は適当にグローバルIPを指定してアクセスしてみます。
※今回は検証のために実施しましたが、どんなサイトにアクセスすることになるのか分からないのでアクセスはしないことをお勧めします。
カテゴリとしては「Unknown」と「Medium Risk」の2つに該当しました。
「Unknown」に分類されているのに「High Risk」でないことに少し違和感がありましたが、名前解決もできないので「Unknown」という分類自体はその通りかなと思いました。
ちなみに「99.99.99.99」にブラウザアクセスした結果は「アクセス不可能」でした。
3-4. アドレス：142.250.196.132
「www.google.com」を正引きして得られたIPアドレスを調べてみます。
カテゴリとしては「Computer-and-Internet-Info」と「Low Risk」の2つに該当しました。
[www.google.com] の分類結果の「Search Engines」と一致しないことに違和感がありますが、大きく間違ってはいないのかなと思いました。
ちなみに「142.250.196.132」にアクセスしてもグーグルの検索サイトは表示できました。
４．URLカテゴリの分類を確認する際の注意点
URLカテゴリは固定された情報ではありません。
Palo Alto NetworksではPAN-DBを利用してURLを分類しており、URLの分類は更新される可能性があります。未知のWebサイトについては、リアルタイム分析などによって分類される場合もあります。
そのため、URLフィルタリングの設定時に一度確認しただけでなく、アクセスできないURLがある場合は、その時点のカテゴリをTest A SiteやURL Filteringログで確認するのがおすすめです。
５．URL Filteringログから確認する
実際の通信でPalo Altoがどのカテゴリとして判定したのかを確認したい場合は、Webコンソールの Monitor → URL Filtering のログから確認することができます。
対象のURLのログを確認すると、判定されたカテゴリやアクションを確認できます。
Test A Site で確認したカテゴリと、実際の通信ログを比較することで、URLフィルタリングによってアクセスがブロックされている原因を切り分けることができます。
６．まとめ
今回は、Palo AltoでURLカテゴリの分類を確認する方法をまとめました。
URLカテゴリを確認したい場合は、Palo Alto Networksが提供している「Test A Site」を利用するのが簡単です。
URLフィルタリングで特定のカテゴリを許可・ブロックする場合は、事前に対象URLのカテゴリを確認しておくと設定しやすくなります。