Palo AltoでSecurity PolicyをCLIで設定する方法

Paloalto Paloalto
この記事は約10分で読めます。

Palo Alto ではWebコンソールからSecurity Policyを設定できます。

一方で、複数の設定をまとめて投入したい場合や、既存の設定を別のPalo Altoへ移行したい場合には、CLIから設定すると便利です。

CLIでSecurity Policyを設定する場合には setコマンドを使って設定できます。

今回は、作成や削除など以下の操作を試してみました。

  • Security Policyを作成する
  • 送信元・宛先・アプリケーションなどを設定する
  • Security Profileを設定する
  • Security Policyを削除する
  • Security Policyの順番を変更する

検証した環境は以下のとおりです。

  • PAN-OS：12.1.4-h5
  • Azure上の仮想アプライアンス
広告

１．CLIでSecurity Policyを作成する

まず、CLIをConfiguration modeに変更します。

configure

Security Policyは、各設定値に対して1行ずつ設定が必要になります。

今回はSecurity Policyを利用するにあたってよく設定を入れる箇所について記載しています。

 # 送信元ゾーンの指定
set rulebase security rules ＜セキュリティポリシー名＞ from ＜送信元ゾーン名＞

 # 宛先ゾーンの指定
set rulebase security rules ＜セキュリティポリシー名＞ to ＜宛先ゾーン名＞

 # 送信元アドレスの指定
set rulebase security rules ＜セキュリティポリシー名＞ source ＜送信元IPアドレス（オブジェクトの指定も可）＞

 # 宛先アドレスの指定
set rulebase security rules ＜セキュリティポリシー名＞ destination ＜宛先IPアドレス（オブジェクトの指定も可）＞

 # URLカテゴリの設定
set rulebase security rules ＜セキュリティポリシー名＞ category ＜URLカテゴリ名＞

 # アプリケーションの設定
set rulebase security rules ＜セキュリティポリシー名＞ application ＜アプリケーション名＞

 # サービスの設定
set rulebase security rules ＜セキュリティポリシー名＞ service ＜サービス名＞

 # アクションの設定
set rulebase security rules ＜セキュリティポリシー名＞ action ＜allow or deny＞

 # ログ設定（開始時にログ）
set rulebase security rules ＜セキュリティポリシー名＞ log-start ＜yes or no＞

 # ログ設定（開始時にログ）
set rulebase security rules ＜セキュリティポリシー名＞ log-end ＜yes or no＞

 # ログ転送設定
set rulebase security rules ＜セキュリティポリシー名＞ log-setting ＜ログ転送名＞

・記載例

set rulebase security rules SecurityPolicy01 from Trust
set rulebase security rules SecurityPolicy01 to Untrust
set rulebase security rules SecurityPolicy01 source [ 11.11.11.11 11.11.11.12 ]
set rulebase security rules SecurityPolicy01 destination any
set rulebase security rules SecurityPolicy01 category any
set rulebase security rules SecurityPolicy01 application any
set rulebase security rules SecurityPolicy01 service any
set rulebase security rules SecurityPolicy01 action allow
set rulebase security rules SecurityPolicy01 log-start yes
set rulebase security rules SecurityPolicy01 log-end yes
set rulebase security rules SecurityPolicy01 log-setting Logset01

上記の送信元アドレスの設定値のようにリスト形式で指定することも可能です。

1-1. その他の設定項目

プロファイルなどのその他の設定についても参考として記載しておきます。

 # サーバーレスポンス検査の無効化
set rulebase security rules ＜セキュリティポリシー名＞ option disable-server-response-inspection ＜yes or no＞

 # URLフィルタリングプロファイルの設定
set rulebase security rules ＜セキュリティポリシー名＞ profile-setting profiles url-filtering ＜URLフィルタリングプロファイル名＞

 # ファイルブロッキングプロファイルの設定
set rulebase security rules ＜セキュリティポリシー名＞ profile-setting profiles file-blocking ＜ファイルブロッキングプロファイル名＞

 # アンチウイルスプロファイルの設定
set rulebase security rules ＜セキュリティポリシー名＞ profile-setting profiles virus ＜アンチウイルスプロファイル名＞

 # アンチスパイウェアプロファイルの設定
set rulebase security rules ＜セキュリティポリシー名＞ profile-setting profiles spyware ＜アンチスパイウェアプロファイル名＞

 # 脆弱性プロファイルの設定
set rulebase security rules ＜セキュリティポリシー名＞ profile-setting profiles vulnerability ＜脆弱性プロファイル名＞
広告

２．セキュリティポリシーの削除

2-1. 一括削除

Security Policyそのものを削除したい場合には、Security Policy名を指定するだけで削除可能です。

delete rulebase security rules ＜セキュリティポリシー名＞

・記載例

delete rulebase security rules SecurityPolicy01

2-2. 特定の設定のみ削除（送信元アドレスの削除など）

Security Policyの中の特定のアドレスだけを削除する場合には、引数として削除するアドレスオブジェクトを明示的に記載する必要があります。

 # 送信元アドレスの削除
delete rulebase security rules ＜セキュリティポリシー名＞ source ＜送信元IPアドレス（オブジェクトの指定も可）＞

 # 宛先アドレスの削除
delete rulebase security rules ＜セキュリティポリシー名＞ destination ＜宛先IPアドレス（オブジェクトの指定も可）＞

・記載例

delete rulebase security rules SecurityPolicy01 source 11.11.11.11

2-3. 削除でリスト形式は利用できない

セキュリティポリシーにおいても削除する場合にはリスト形式は利用できません。

１つずつ行を分けて削除する必要があります。

リスト形式で削除しようとすると以下のようなエラーが出ます。

セキュリティポリシーでリスト形式で設置値を削除しようとすると以下のようなエラーが出る

なので今回の例を利用すると、[SecurityPolicy01] の送信元アドレスに含まれる [11.11.11.11] と [11.11.11.12] を削除したい場合には、それぞれ削除するコマンドを記載する必要があります。

delete rulebase security rules SecurityPolicy01 source 11.11.11.11
delete rulebase security rules SecurityPolicy01 source 11.11.11.12
広告

３．セキュリティポリシーの順序を指定する

Palo AltoのSecurity Policyでは、上から順番にルールが評価され、最初に一致したルールが適用されます。

上記のコマンドで作成した場合、ポリシーの末尾に作成されます。

そのため、Security Policyを作成しただけではなく、必要に応じてルールの順番を変更する必要があります。

新規作成するセキュリティポリシーを特定の場所に配置したい場合もあるかと思いますので、その場合には「move」コマンドを利用することで特定の順序に移動することが可能です。

 # 先頭に移動させる
move rulebase security rules ＜移動させたいポリシー名＞ top

 # ＜既存のポリシー名＞の上（手前）に移動させる
move rulebase security rules ＜移動させたいポリシー名＞ before ＜既存のポリシー名＞

 # ＜既存のポリシー名＞の下（次）に移動させる
move rulebase security rules ＜移動させたいポリシー名＞ after ＜既存のポリシー名＞

 # 最後尾に移動させる
move rulebase security rules ＜移動させたいポリシー名＞ bottom

・記載例

move rulebase security rules SecurityPolicy01 top

move rulebase security rules SecurityPolicy01 before test-policy

move rulebase security rules SecurityPolicy01 after test-policy

move rulebase security rules SecurityPolicy01 bottom

４．まとめ

今回は、Palo AltoのSecurity PolicyをCLIから設定する方法をまとめました。

基本的な設定は以下のようになります。

set rulebase security rules <Policy名> from <送信元ゾーン>
set rulebase security rules <Policy名> to <宛先ゾーン>
set rulebase security rules <Policy名> source <送信元>
set rulebase security rules <Policy名> destination <宛先>
set rulebase security rules <Policy名> application <Application>
set rulebase security rules <Policy名> service <Service>
set rulebase security rules <Policy名> action allow

Security Profileやログを設定する場合は、さらに以下のようなコマンドを追加します。

set rulebase security rules <Policy名> log-end yes
set rulebase security rules <Policy名> log-setting <Log Forwarding Profile>
set rulebase security rules <Policy名> profile-setting profiles virus <Antivirus Profile>

また、Security Policyを削除するときは、以下のように、

delete rulebase security rules <Policy名>

Policyの順番を変更するときは、以下のように move コマンドを使用します。

move rulebase security rules <Policy名> top

特にSecurity Policyは上から順番に評価され、最初に一致したルールが適用されるため、CLIで設定した後はPolicyの順番まで確認することが重要です。

CLIを利用すると、Security Policyを大量に作成するときや、既存の設定を別のPalo Altoへ移行するときにも効率よく作業できます。

広告