はじめに
本書の目的
本書は、SSLインスペクションという技術について分かりやすく説明することを目的としています。専門的な背景がない方にも理解できるように、具体例を交えながら定義、仕組み、目的、効果、実装方法を順に扱います。
なぜ重要か
インターネット上の通信は多くの場合、暗号化されています。暗号化は安全性を高めますが、同時に悪意ある通信や情報漏えいを見逃す原因にもなります。SSLインスペクションはそのギャップを埋め、通信の安全性を保つ手段の一つです。
読者の想定
企業のネットワーク管理者、情報セキュリティに関心のある方、導入を検討している担当者などを想定しています。技術的な詳細は後の章で扱いますので、まずは全体像をつかんでください。
本章での扱い方
本章では用語の説明や本書全体の構成を示します。以降の章で具体的な仕組みや導入手順を丁寧に説明しますので、無理に専門用語を覚えようとせず、流れをつかんでください。
SSLインスペクションとは
定義
SSLインスペクションは、SSL/TLSで暗号化された通信を一時的に復号化して内容を検査する技術です。別名で「SSL復号化」や「TLSインスペクション」とも呼ばれます。主にファイアウォールやWebゲートウェイの機能として動作します。
実際の使い方
システムは通信を中継し、一旦暗号を解除して中身を確認します。確認後に再び暗号化して送信先に届けます。ユーザーの端末と外部サイトの間に機器を置くイメージです。
利点
- マルウェアや不正なデータの検出率が上がります。
- 管理者が企業ポリシーに沿って通信を制御できます。
注意点
暗号を解除するため、プライバシーや証明書管理に配慮が必要です。誤った設定は通信の信頼性を損なう恐れがあります。
具体例
社員が社外のクラウドサービスに接続する際、ゲートウェイが通信を検査してウイルスの混入を防ぎます。問題がなければそのまま接続が続きます。
仕組みと動作方法
基本の流れ
SSLインスペクションでは、ゲートウェイ（プロキシやファイアウォール）が「中間者」として動作します。クライアントと実際のサーバーの間に入り、まずクライアントとゲートウェイ、次にゲートウェイとサーバーのそれぞれで独立した暗号化（TLS）セッションを作ります。ゲートウェイはサーバーから受け取った暗号化されたデータを復号し、内容を検査した後、再び暗号化してクライアントに送ります。
TLSセッションの二重化（わかりやすい例）
イメージは「Aさん→中継→Bさん」の手紙です。中継はBさんに代わって手紙を受け取り中身を確認し、新しい封筒でAさんへ渡します。技術的には、ゲートウェイはサーバーとのセッションでデータを受け取り復号し、別のセッションでクライアントに対して新しい暗号化を行います。
証明書と信頼の扱い
クライアントがゲートウェイを信頼するために、組織の内部CA証明書を端末に入れることが多いです。これによりゲートウェイが提示する証明書を正当なものとして受け入れます。一方で、証明書ピンニングを使うアプリケーションは中間者を検出して接続を拒否する場合があります。
実務上の注意点
検査は一部のトラフィックだけに限定できます。また復号・再暗号化は処理負荷が高いため、専用機器やキャッシュ機能を使って性能を確保することが一般的です。
主な目的と効果
マルウェアや不正通信の検出
SSLインスペクションは暗号化された通信を一度復号して検査します。そのため、通信に隠れたマルウェアのダウンロードやコマンド＆コントロール（C2）通信を見つけやすくなります。たとえば、従業員が普段使うWebサービスに悪意あるコードが混入していても、検出して遮断できます。
データ漏洩の防止（DLP）
暗号化通信内での機密情報の持ち出しを確認できます。顧客情報や個人データ、機密ファイルを外部に送信しようとした場合にアラートを出し、転送を止めることが可能です。実務では特定のパターン（顧客番号や健康情報など）を基にルールを作ります。
コンプライアンスと監査対応
金融業や医療など、通信内容の監査が求められる業界で役立ちます。誰がどのデータにアクセスしたかの記録を残せるため、規制に対応しやすくなります。ログを保存して監査証跡を提出できます。
セキュリティ運用の効率化
可視化により疑わしい通信を早く見つけられます。IDS/IPSやログ管理と連携すると、脅威の傾向を把握して対応を自動化できます。これにより調査時間を短縮し、被害を小さくできます。
留意点（プライバシーと誤検知）
通信を復号するためプライバシー配慮が必要です。個人情報を扱う場合は適切なポリシーと通知を用意してください。誤検知や通信遅延の可能性もありますので、対象を限定したり、社内向けサイトのみ適用するなどの運用設計が重要です。
実装方法
1. 導入前の準備
まず方針を決めます。どの範囲の通信を検査するか、個人情報や機密データの扱いはどうするかを明確にします。社内の端末台数やリモート利用者数、既存のネットワーク構成を把握します。
2. オンプレミスでの実装例
企業内ファイアウォールやWebゲートウェイにSSLインスペクション機能を追加します。一般的には中間CA（自己署名や社内CA）を配布し、ゲートウェイが一度復号して検査後に再暗号化します。端末へ中間CAを配布するための手順書や自動配布ツールを用意します。
3. クラウド型（SWG）の導入
クラウドベースのSecure Web Gatewayを利用すると、オンプレ機器の運用負荷を減らせます。ユーザーはエージェントやプロキシ設定でクラウド経由にし、クラウド側で証明書を管理します。スケールや可用性の面で有利です。
4. VPN・リモートワーク対応
リモート端末はVPN接続やエージェント経由でトンネルを作り、企業側の検査ポイントへ誘導します。モバイル端末や在宅端末には軽量エージェントを導入すると楽です。
5. 運用と注意点
証明書ピンニングや特定アプリは検査できない場合があります。検査対象の例外リストを作成し、ログの保存期間やアクセス権限を定めます。また、ユーザーへの説明と同意を得てプライバシーを保護します。定期的に設定や署名鍵を見直し、監査を実施してください。
