FortiGateのURLフィルタについて

URLフィルタの役割

FortiGateのURLフィルタは、ユーザーのWebアクセスを制御し、セキュリティ確保・業務効率化・コンプライアンス遵守に寄与する機能です。

• セキュリティ：マルウェア配布サイトやフィッシングサイトを遮断
• 効率化：SNSや動画配信など業務に不要なサイトを制限
• コンプライアンス：アダルトやギャンブルなど禁止カテゴリをブロック

URLフィルタの仕組み

FortiGuardカテゴリフィルタ

Fortinetが提供するクラウドデータベースを用いてサイトを自動分類し、カテゴリ単位で制御可能です（例：ソーシャルメディア、ショッピング、アダルトなど）。

カスタムURLフィルタ

管理者が独自に許可・拒否したいURLやドメインを登録できます。

• URLタイプ：simple / wildcard / regex
• アクション：allow（許可）、block（遮断）、monitor（ログのみ）、exempt（上位の検査を免除）

アクションの違い

• カテゴリベース：allow / block / monitor / warning
• カスタムURL行：allow / block / monitor / exempt
  ※Warningはカテゴリ設定で使うのが一般的。

HTTPSサイトの制御

• 証明書インスペクション：SNIや証明書情報からドメイン単位の判定が可能。カテゴリ制御にも利用され、基本はこちらを推奨。
• Deepインスペクション：通信を復号し、URLのパスまで判定やブロックページ表示、コンテンツ検査を実現。ただし、CA証明書配布やアプリ互換性の調整が必要。

実務ではまず「証明書インスペクション」で全体をカバーし、必要な部分だけ「Deepインスペクション」を併用するのが一般的です。

導入手順（GUI）

1. Webフィルタプロファイル作成
   • Security Profiles > Web Filter
   • カテゴリアクションとカスタムURLを設定
2. SSL/SSHインスペクション設定
   • デフォルトは「Certificate Inspection」
   • パス判定やブロックページが必要なら「Deep Inspection」
3. ポリシーに適用
   • Policy & Objects > IPv4/IPv6 Policy（またはSSL-VPN/Proxy Policy）
   • Security ProfilesでWeb FilterとSSLインスペクションを有効化
4. ログ確認
   • Log & Reportでブロックや警告の結果を可視化

運用上の注意点

• 誤検知対応：必要なサイトが遮断された場合はWhitelistやexemptで例外登録
• ライセンス依存：FortiGuard契約が切れるとカテゴリ判定が使えず、カスタムURL中心の運用に
• ログ活用：FortiAnalyzerやSyslogに転送してユーザー別・カテゴリ別の傾向分析
• モード選択：Proxyモードは高度なWebフィルタに適し、Flowモードは低レイテンシ向き

CLI設定例

URLフィルタリスト作成

config webfilter urlfilter
    edit 1
        set name "Custom-URL-Filter"
        config entries
            edit 1
                set url "example.com"
                set type wildcard
                set action block
            next
        end
    next
end

Webフィルタプロファイルに紐付け

config webfilter profile
    edit "WF-Custom"
        set web-filter-status enable
        set urlfilter-table 1
    next
end

ポリシーに適用

config firewall policy
    edit 100
        set srcintf "lan"
        set dstintf "wan1"
        set action accept
        set service "ALL"
        set nat enable
        set utm-status enable
        set webfilter-profile "WF-Custom"
        set ssl-ssh-profile "certificate-inspection"
    next
end

まとめ

FortiGateのURLフィルタは、

• FortiGuardカテゴリでの自動制御
• カスタムURLによる細かな運用
• 証明書/Deepインスペクションを使い分けたHTTPS対応

を組み合わせることで、柔軟かつ強力にWebアクセスを管理できます。

業務効率とセキュリティを両立させるためには、誤検知対応やログ分析の仕組み化も欠かせません。

以上、FortiGateのURLフィルタについてでした。

最後までお読みいただき、ありがとうございました。