2026-02-22 編集
2026-01-23 編集
編集 完了 2026-01-22
このガイドでは、SSLインスペクションを使用するメリットと、セキュリティポスチャにSSLインスペクションを追加するためにZscaler インターネット アクセス (ZIA)を構成するために必要なステップについて説明します。
インターネット経由で移動するデータの多くは機密性が高く、重要な情報です。 インターネット経由で転送されるこのデータを保護するために、ブラウザーとクラウドアプリでは暗号化が使用されます。
SSL暗号化は、インターネット上のロケーション間をデータが転送される際に、未承認のアクセスからこのデータを保護します。 ただし、悪意あるトラフィックはSSL暗号化で隠れることもできます。 SSLインスペクションは、転送中のSSLで暗号化されたデータを復号化し、悪意あるトラフィックがないかチェックします。
Zscaler ThreatLabZは、2018年にSSLチャネルを介して配信されたフィッシング攻撃が2017年と比較して400%以上増加したことを観察しました。 SSLトラフィックの復号化は、組織のセキュリティの重要な側面であり、ほとんどの企業はできるだけ多くのSSLトラフィックを検査する必要があります。
詳細は、SSLインスペクションについてを参照してください。
SSLインスペクションを展開する価値
SSLインスペクションの提供による主なメリットは以下の通りです。
- 専用エンジンではスキャンできないトラフィックの可視性。
- 隠されたマルウェアを検出し、ハッカーが防御をすり抜けるのを停止することで、データ侵害を防ぎます。
- 従業員が意図的または偶発的に組織外へ送信している対象データを特定し、それに応じて対応します。
- 従業員が機密データをリスクにさらさないよう徹底することで、規制コンプライアンス要件を満たします。
- 組織全体をセキュアに保つ多層防御戦略をサポートします。
展開フェーズ
展開フェーズには、Zscalerソリューションの初期設定アップと既存のネットワークインフラストラクチャーへの統合が含まれます。 展開フェーズの間、インフラストラクチャのニーズを満たすようにZIA SSLインスペクションを構成します。 以下のセクションでは、ZIA SSLインスペクションを展開するステップについて説明します。
展開ステップ
次のステップでは、ZIA SSLインスペクションを展開する方法について説明します。
- 使用する証明書を選択してください。 デフォルトのZscaler中間証明書を使用する場合は、すべてのクライアントがZscalerルート証明書をインストールしていることを確認してください。 Zscalerルート証明書のインストールに失敗すると、ブラウザーやアプリケーションから警告が表示されたり、トラフィックを適切に検査できなくなったりします。
- Firefoxを使用している場合は、ルート証明書ストアを必ず更新してください。
- SSL 展開のベストプラクティスに従い、まずは小規模から開始してください。 ユーザーとアプリケーションのサブセットについて、テストラボまたはスモールオフィスでSSLインスペクションを開始します。
- ユーザーベースを拡大する際は、プライバシーに関する現地の法律で定められた適切な通信を発行してください。 規制(個人の医療データや金融サービスなど)により、一部のトラフィックを検査することができません。 ただし、業界とリスクによっては、一般的にスキップされるカテゴリーに検査を適用するように決定できます。
- モバイルアプリケーションは証明書ピンニングを使用することが多いため、SSLインスペクションが正しく機能しないことに注意してください。 転送中のデータを検査する代わりに、SaaSセキュリティ機能を活用して保存データを検査することを検討してください。
- さまざまなタイプのトラフィック転送に関連するさまざまなシナリオに注意してください。 SSLインスペクションを既知のロケーション、リモートユーザーまたはその両方に適用しますか。
- リモート ユーザーはさまざまなタイプのトラフィック転送を利用することができますが、Zscaler Client Connectorの使用を推奨します。
- Webサイトとアプリケーションの小さなリストをテストし、その後、検査したいURLカテゴリー全体で続行してください。
- ユーザーのプライバシーに関する法律や契約に違反していないことを確認してください。
- SSLインスペクションの代わりに（またはそれと組み合わせて）保存データにSaaSセキュリティタイプのコントロールを活用することを検討してください。
- SSLインスペクションを展開する前に、重要なビジネスアプリケーションのリストを準備し、SSLバイパスリストに追加してください。
- サーバーのサブロケーションのNon_SSL_inspectionロケーションを作成することを検討してください。
- すべてのクライアントが正しいストアに適切なルート証明書を保持していることを確認し、Webアプリケーションとそれに対応するデスクトップアプリケーションでは挙動が異なる場合があることに留意してください（後者は証明書ピンニングの影響を受けやすい傾向があります）。 モバイルアプリについても同じことが言えます。
- ZIAサービスの展開のタイプによっては、Zscaler Client ConnectorのSSLインスペクションを構成する必要があります。
- 以下を含め、可能な限りコーナーケースをテストします。
- 信頼できないサーバー証明書。
- 復号できないトラフィック。
- ビジネスクリティカルなアプリケーションが、前述のケースに依存していないことを確認してください。
- 非ブラウザー型アプリケーションでSSLエラーが発生しています。 Zscalerルート証明書がこれらのアプリケーションの適切なリポジトリにインストールされているかどうかを確認してください。
- アプリやウェブサイトは、Android、iOS、デスクトップOSで異なる動作を示します。 各OSは、特にSSL証明書を扱う際に、それぞれ異なる動作を示す場合があります。 各OS内では、異なるブラウザーが異なる動作を見せる可能性があります。 可能な限り異なるプラットフォーム間で一貫性を確保してください。 必要に応じて、特定のサイトのSSLインスペクションを無効にし、SaaSセキュリティタイプの保護へ移行してください。
- アプリが正しく動作していません。 アプリが証明書ピンニングを使用しているか確認してください。 多くの著名なアプリケーションがピンニングを利用しています。 証明書ピンニングが有効な場合は、カスタムURLカテゴリーを利用して、クラウド アプリケーションまたは個々のドメインをSSLインスペクションから削除し、アプリケーションをSSLインスペクションから除外してください。
- ZIA管理ポータルでSSLインスペクションを構成できません： SSLインスペクションに必要な適切なライセンスを保有していること、また、あなたの管理者アカウントに正しい権限およびアクセス権が付与されていることを確認してください。
- 正当なサイトがブロック済みです。 最小Transport Layer Security（TLS）バージョンに関して、制限が厳しすぎるポリシーを構成しないようにしてください。
- 私の法務部署は、Zscalerによるデータの取り扱いについて懸念を抱いています。 Webトランザクションのコンテンツインスペクションはメモリー上で実行され、ディスクに書き込まれることはありません。 詳細については、あなたのZscalerアカウントチームにご確認ください。
- 自分自身の中間証明書をZscalerノードにアップロードすることには同意できません。 Zscalerは、クラウドハードウェアセキュリティモジュール（HSM）内の秘密キーをサポートしています。
考慮事項
以下の考慮事項を確認してください。
オペレーションフェーズ
このセクションでは、環境と統合された際にZscalerソリューションを運用するために使用される一般的な手順について説明します。 運用フェーズ中にZIA SSLインスペクションを監視および調整して、インフラストラクチャーのニーズを満たすことができます。
前提条件
SSLインスペクションの運用については、以下の前提条件を満たしてください。
一般的なトラブルシューティング項目
次のリストでは、SSLインスペクションの展開に関連する一般的な問題について説明します。
展開およびオペレーション チェックリスト
Zscaler は、ZIA SSLインスペクションの計画および導入を支援するために、SSLインスペクション展開およびオペレーション チェックリストのダウンロードを推奨します。
追加情報
SSLインスペクションに関する詳細な情報およびトラブルシューティング指示については、ZscalerサポートポータルおよびZscaler Zenith Communityをご参照ください。
Comments