この記事には ENS ファイアウォールの「McAfee コア ネットワークを無効にする」機能に関する詳細な情報が記載されています。


ENS ファイアウォールの「McAfee コア ネットワーク ルールを無効にする」機能と目的はどのようなものですか?
この機能には McAfee が提供するコア ネットワーク ルールが含まれています。 重要なシステムプロセスや、McAfee アプリケーション、DHCP、Domain Name System (DNS)、ループバック、ブロードキャスト等の様々な種類のネットワーク トラフィックを許可するファイアウォール ルールが含まれます。


「McAfee コア ネットワーク」グループに含まれるファイアウォール ルールはどのようなものですか?
以下のファイアウォール ルールは「McAfee コア ネットワーク」グループに含まれています:

• Allow outbound system applications - Windows システムの実行可能プロセスのアウトバウンド通信を許可します。
• Allow ARP traffic - ARP (Adress Resolution Protocol) パケット (Ethernet Protocol 0x806) のインバウンド、およびアウトバウンドの通信を許可します。
• Allow EAPOL traffic - EAPOL (Extensible Authentification Protocol over LAN) パケット (Ethernet Protocol 0x888E) のインバウンド、およびアウトバウンド通信を許可します。
• Allow outbound stock applications - 重要な Windows プロセス (例: services.exe、svchost.exe、lsass.exe、userinit.exe、winiogon.exe、alg.exe、spoolsv.exe、dns.exe) のアウトバウンド通信を許可します。
• Allow McAfee signed applications - 署名付き証明書に基き、McAfee 製品に関連するインバウンド、およびアウトバウンド通信を許可します。
• Allow McAfee signed applications 2 - 署名付き証明書に基き、McAfee 製品に関連するインバウンド、およびアウトバウンド通信を許可します。
• Allow McAfee signed applications 3 - 署名付き証明書に基き、McAfee 製品に関連するインバウンド、およびアウトバウンド通信を許可します。
• Allow McAfee signed applications 4 - 署名付き証明書に基き、McAfee 製品に関連するインバウンド、およびアウトバウンド通信を許可します。
• Allow outbound ICMPv4 traffic - ICMPv4 に関連するアウトバウンド通信を許可します。
• Allow outbound ICMPv6 traffic - ICMPv6 に関連するアウトバウンド通信を許可します。
• Allow outbound DNS traffic - DNS による名前解決のために一般的に使用される、リモートホストの UDP 53 番ポートに対するアウトバウンド通信を許可します。
• Allow inbound traffic from special IP addresses - 特別な IP アドレス 0.0.0.0 のインバウンド、およびアウトバウンド通信を許可します。IPv4 および IPv6 の両方に適用されます。詳細に関しては https://en.wikipedia.org/wiki/0.0.0.0 を参照してください。
• Allow outbound loopback and broadcast traffic - IPv4 と IPv6 で、ループバックとブロードキャストのアウトバウンド通信を許可します
• Allow reserver IP traffic - "予約" の、トランスポート プロトコル番号 255 (0xFF) のインバウンド、およびアウトバウンド通信を許可します。詳細に関しては、https://en.wikipedia.org/wiki/List_of_IP_protocol_numbers を参照してください。
• Allow outbound BOOTP traffic - UDP の 67 番と 68 番ポートを使用する、BOOTP と DHCP のアウトバウンド通信を許可します。
• Allow outbound DHCPv6 traffic - UDP の 546 番と 547 番ポートを使用する、DHCPv6 のアウトバウンド通信を許可します。

ENS ファイアウォールオプションポリシーで、「McAfee コア ネットワーク ルール を無効にする」機能のオン・オフを自身で選択できるのはなぜですか?
こちらのファイアウォール ルールのグループを使用しないお客様に対し、ENS は ePolicy Orchestrator (ePO) ポリシーまたはローカルの設定によってその機能を無効にするという選択肢を提供しています。 「McAfee コア ネットワーク ルールを無効にする」機能をオンにすると、Disabling McAfee core networking rules could disrupt network communications on the client (McAfee コア ネットワーク ルールの無効化はクライアントのネットワーク通信を遮断してしまう場合があります) というポップアップが ePO サーバーとローカルの ENS クライアントコンソール画面に表示されます。 このメッセージは、想定されるネットワークの問題に対しての警告です。 このファイアウォール ルールのグループを無効にすると、ネットワークの通信に問題が発生する可能性があります。ただし、必ずしも発生するとは限りません。 ファイアウォール ルールは必須の Windows プロセスと、それに関連するネットワーク トラフィックを許可します。 仮にこのルールを無効にした場合、プリンタや DNS サーバーとの通信、ユーザーのログオンなどに問題が発生する可能性があります。 この機能を有効化する場合、問題が発生していないかをよく確認して下さい。

また他の重要な理由として、ENS ファイアウォールが McAfee Agent および他の McAfee 製品の通信をブロックするのを防ぎます。 ファイアウォールのポリシーの適用が不完全であったり、ポリシーが破損したなどの問題が発生した場合、新しいポリシーのアップデートを入手しポリシーに関連する問題を解決するために、ENS ファイアウォールは必ず McAfee Agent から ePO サーバーへの通信を許可しなければなりません。 コア ネットワーク ルールが無効化されていると、問題がさらに複雑になる可能性があります。 ファイアウォールは ePO サーバー、McAfee Agent の通信、およびポリシーの更新を恒久的にブロックしたり、もしくはシステムのネットワークを全断する可能性もあります。 どちらの場合でも手動でローカルシステムにアクセスし、復旧する必要があることがあります。


「McAfee コア ネットワーク ルールを無効にする」機能をオンにした後、McAfee コア ネットワーク グループ内にある全てのファイアウォール ルールが無効にならないのはなぜですか?
これは仕様通りです。 いくつかのファイアウォール ルールは無効化されたとしても、核となる McAfee コア ネットワーク グループそのものは有効化されたままになります。即ち、必須のファイアウォール ルールは無効化されません。 この仕様のおかげで、ENS ファイアウォールが以下のクリティカルな機能の停止につながる通信を遮断することを防ぐことができます。 クリティカルな機能の停止の具体的な例として、ネットワークに接続できない、IP アドレスを取得できなくなるといったことが挙げられます。

• McAfee Agent と 他の McAfeeによって署名されたアプリケーションに関して、常に通信を許可します。
• ARP パケットを常に許可します。
• 固定 IP アドレスが割り当てられていない場合の、システムが IP アドレスを動的に割り当ててもらうために必要な UDP の 67 番と 68 番を使用する、BOOTP と DHCP の通信を常に許可します。

「McAfee コア ネットワーク ルールを無効にする」機能がオンになっているときに、無効化されない McAfee コア ネットワーク ファイアウォール ルールはどれですか?
以下のルールは無効化されません:

• Allow ARP traffic
• Allow McAfee signed applications
• Allow McAfee signed applications 2
• Allow McAfee signed applications 3
• Allow McAfee signed applications 4
• Allow outbound BOOTP traffic

グループ内で McAfee コア ネットワーク グループや、任意のファイアウォール ルールの修正や削除はできますか?
これらのルールの修正は現在できません。 ここまでに記載された制約の下で、ファイアウォール ルールのグループの有効化、もしくは無効化のみが可能です。


「McAfee コア ネットワーク ルールを無効にする」機能をオンにした場合、どのような問題が発生することがありますか?
このファイアウォール ルールのグループを無効にすると、重要なプロセスの通信がブロックされる可能性があります。 ファイアウォールの設定の変更が Firewall Options もしくは Firewall Rules ポリシーで必要になることがあります。 必要となる変更は、どの通信がブロックされたか、またどのように通信を許可したいかによって変わります。 通信を許可する方法は、例えば、個別のファイアウォール ルールを作成して許可する、もしくは Trusted Executable や Defined Networks (Trusted) などのルールで許可するなどです。


テストしたり本番環境で使用するために、McAfee コア ネットワーク グループを無効にするべきですか?
DNS 関連の通信を特定の DNS サーバーの IP アドレスだけに限定するなど、ファイアウォール ルールによってより厳格にネットワーク通信を管理したい場合は、McAfee コア ネットワーク グループを無効にすることも一つの選択肢となるでしょう。 ただし、これらの McAfee コア ネットワーク グループのファイアウォール ルールを無効にした場合にどのような問題が発生するか確認してください。 運用環境でこの機能を有効にするポリシーを適用する前に、テストを通して確認してください。 発生した問題に対処するには、ポリシーで既存のファイアウォール ルールを修正するか、もしくは新しく作成する必要があります。