1Passwordのファイアウォールは、どこからのサインインを受け付けるかを、国、大陸、IPアドレス、匿名の経路で決める仕組みです。ルールは上から順に評価され、最初に当てはまったルールで判定が決まります。並べ方を誤ると、止めたい試行が素通りしたり、出張中の社員が締め出されたりします。一方で、既にサインインしている端末に残ったデータまでは止められません。このページでは、ルールが効く範囲と効かない範囲、ルールの種類と評価の順序、作成の手順、日本の組織での構成パターン、拒否に切り替える前の確認、運用と見直しを説明します。
ルールが効く範囲と効かない範囲
ファイアウォールが判定するのは、1Passwordへのサインインの試行です。拒否した試行と、記録だけにした試行は、サインイン試行のレポートに残ります。
効かないのは、既にアプリにサインインしている端末です。拒否した場所にいる社員でも、端末に保存されたデータは開けます。届かなくなるのは、その後の変更だけです。ルールを作ったり変えたりした時点でロックを解除していた人には、次にロックを解除したときから効きます。
つまりファイアウォールは、許可していない場所から新しく入らせないための仕組みです。同期済みのデータの持ち出しを止める統制ではありません。端末に置くデータそのものを絞るには、保管庫ごとに使えるアプリを選ぶ設定や、トラベルモードを組み合わせます。前者は保管庫の権限モデル、後者はトラベルモードの運用で扱います。
ルールを変更できるのは、所有者、管理者、設定の管理を持つグループのメンバーです。
ルールの種類と評価の順序
画面の一番下には、どのルールにも当てはまらない試行の扱いを決める他のすべての場所およびIP アドレスの行が固定で置かれます。ここで既定の動作を選び、その上に例外のルールを積みます。動作は許可、レポート、拒否の3つです。レポートを選ぶと、社員はサインインでき、試行の記録だけが残ります。
ルールの種類は4つあり、1つのルールに複数の値を入れられます。
国と大陸
国か大陸を選び、名前を入力して候補から選びます。場所はIPアドレスから判定するため、社員がいる場所ではなく通信の出口がある場所で決まります。海外の拠点を経由する社内VPNにつないでいる社員は、その拠点の国として扱われます。
IPアドレス
単独のアドレスか、203.0.113.0/24のようなCIDR表記の範囲を入れます。事業所の固定のアドレスや、社内VPNの出口のアドレスを指定する用途です。
匿名IP
素性を隠す経路をまとめて扱う種類です。Tor、公開VPN（利用者の本当のアドレスを隠すVPNのサービス）、公開プロキシー（無料で公開されているプロキシー）、クラウド事業者（匿名化に使えるホスティングのサービス）の4つの区分があり、対象にしない区分を外して使います。
順序で最も迷うのは、匿名IPと国のルールの関係です。日本を許可するルールを上に置くと、国内の公開VPNからの試行はその時点で許可され、下の匿名IPの拒否まで届きません。拒否したい経路のルールを先に置きます。
ルールを作る手順
- 1Password.comにサインインし、サイドバーの
ポリシーを開きます。 ファイアウォールのカードでポリシーの管理を選びます。- 一番下の
他のすべての場所およびIP アドレスの行で、既定の動作を選びます。 ルールを追加から種類を選び、値を入れ、行の右側で動作を選びます。- 行の左の矢印で順序を入れ替えます。要らないルールは、行の右端のごみ箱のアイコンで削除します。
保存を選びます。
日本の組織での構成パターン
組織の働き方によって、既定の動作と許可の範囲が変わります。
記録から始める
最初の構成として勧める形です。拒否するのは匿名IPだけで、国内は許可し、それ以外は記録に回します。
| 順序 | ルール | 動作 |
|---|---|---|
| 1 | 匿名IP | 拒否 |
| 2 | 国：日本 | 許可 |
| 3 | 他のすべての場所およびIP アドレス | レポート |
数週間ほど記録を見て、海外からの試行が出張者のものか、攻撃なのかを見分けてから次の段階に進みます。
国内からだけ使う
海外出張や海外の拠点がない組織の形です。上の構成の3行目を拒否にします。出張者が出る組織では、出張先の国を許可に加えるか、出張の期間だけ記録に戻す運用が要ります。
事業所と社内VPNに絞る
事業所の固定のアドレスと社内VPNの出口のアドレスだけを許可し、既定の動作を拒否にします。最も狭い構成ですが、VPNが止まると、その間は誰も新しくサインインできません。サインイン済みのアプリは手元のデータで動き続けるため、業務がすぐに止まるわけではありません。
拒否に切り替える前の確認
既定の動作や匿名IPを拒否にする前に、次の3つを確かめます。
- 出張と海外の拠点。拒否にした国では、出張者が新しい端末にサインインできなくなります。
- クラウド上に出口を持つ仕組み。SASEやクラウド型のプロキシーを経由する組織は、通信の出口がホスティングのサービスのアドレスになるため、クラウド事業者の区分に入ることがあります。クラウドに置いたSCIM Bridgeも同じで、止まった場合の対処は運用、更新、トラブル対応で扱います。
- 自分の接続元。保存する前に、今つないでいる回線が拒否の対象に入らないかを確かめます。
【注意】 匿名IPのルールは、追加した時点で4つの区分が全て入っています。クラウド事業者を外すかどうかを決めないまま保存すると、上の2の仕組みを使う社員がまとめて止まります。まず匿名IPの動作を
レポートにして記録を見るか、クラウド事業者を外した状態で始めてください。
運用と見直し
サインイン試行のレポートでは、詳細に出ている場所やIPアドレスをその場で拒否できます。拒否すると、ファイアウォールのルールが1件追加され、そのまま残ります。調査が終わったら、恒久的に残すかどうかを判断します。読み方はサインイン試行と端末のレポートで扱います。
IPアドレスのルールは、ネットワークの変更に追随しません。事業所の移転、回線事業者の切り替え、VPNの機器の入れ替えで出口のアドレスが変わると、許可していたはずの社員が止まります。ネットワークを変更する社内の手順に、ファイアウォールのルールを直す作業を加えておきます。
【運用のポイント】 ルールを変えたら、日付、変えたルール、理由を記録に残してください。サインイン試行の件数が急に増えたときに、攻撃なのか、記録にしたルールが増えただけなのかを見分ける手掛かりになります。