内容

概要

デフォルト ポリシーのルール状態の判別

Sourcefire が新規ルールの適切なデフォルト状態を決定する方法

影響

パフォーマンス

信頼性

概要

この記事では、Vulnerability Research Team（VRT）がデフォルト侵入ポリシーのルール状態をどのように判別し、Sourcefire アプライアンスが新しいルールの適切なデフォルト状態をどのように決定するかを説明します。

デフォルト ポリシーのルール状態の判別

各ルールには 1 つのメタデータ フィールドがあります。このフィールドには 0 または 1 つ以上のポリシー値が指定されます。現在有効な 6 種類のポリシー値を次に示します。

1. security-ips drop

2. security-ips alert

3. balanced-ips drop

4. balanced-ips alert

5. connectivity-ips drop

6. connectivity-ips alert

IPS ポリシーが Sourcefire 提供の Balanced Security and Connectivity ポリシーから継承され、管理対象デバイスがインライン モードであり、ルールのメタデータ ポリシー値が balanced-ips drop の場合、IPS ポリシーでイベントをドロップおよび生成するためのルールが設定されます。ルールのポリシー値が security-ips drop だけの場合、このルールはポリシーでは無効になります。

注：ポリシーsecurity-ips drop、policy balanced-ips dropなど、複数のポリシー値が指定されているルールは、両方のポリシーに表示されます。特定のルールに対してポリシー値が指定されていない場合、デフォルトではそのルールはどのポリシーにも表示されません。

管理対象デバイスがパッシブ モードに設定され、ポリシーが drop に設定されている場合、これには何の効果もありません。デバイスからアラートが生成されるだけです。デバイスがインライン モードであり、ポリシー値が drop に設定されている場合、デフォルトではルールはパケットをドロップします。ポリシー値が alert に設定されている場合、イベントが生成されるだけであり、ドロップされません。

ほとんどの場合、パケットがドロップされるとアラートが生成されます。これは、特定のルールでアラートの抑止が個別に設定されている場合を除き、すべて該当します。

Sourcefire が新規ルールの適切なデフォルト状態を決定する方法

ルールのデフォルト状態は、さまざまな要因に基づいています。以下に、いくつかの例を示します。

影響

考慮するべき事柄

この脆弱性の悪用が試行される可能性、およびこの脆弱性の影響を受ける可能性があるユーザの割合（Sourcefire を利用するお客様と、広範な Snort コミュニティ）。

覚えておくべき事項

実際に攻撃があったことが判明している Internet Explorer の脆弱性は、例えばアクセス許可の設定が不適切な場合に悪用される可能性のある SAP データベース機能や、Linux カーネルのあまり知られていないモジュールでの複雑なサービス妨害攻撃などに比べ、非常に大きな影響を及ぼします。VRT は、脆弱性の CVSS スコアを確認することから始めて、必要に応じてシスコが所有する追加情報を使用してこのスコアを調整することで、影響を判断します。影響が非常に大きい場合にしか有効にしたり drop に設定したりすることがないルールを有効にすることがあるため、これは最も重要なメトリックです。

パフォーマンス

考慮するべき事柄

「平均的な」ネットワークでこのルールの処理にかかる時間が短いか、長いかを想定できるかどうか。

覚えておくべき事項

ルールの処理にかかる時間は、ルールの検査対象トラフィックに完全に依存しており、このためにパフォーマンスの測定が困難となります。ただし、標準ネットワークの構成内容と、特定のルールがその標準的なネットワークでどのように実行されるかは概ね把握しています。たとえば、1つのコンテンツが比較的長い（通常は6バイト以上）比較的一意な(つまり、「aboveJavaScriptFunction()」で、「|00 00 00 00|」や「GET / HTTP/1.1」ではない)は、複雑なPCRE、一連のbyte_test、byte_jump句などを含むルールよりも高速に評価されます。この知識から、ルールの処理にかかる時間が短いか長いかを判断して考慮するかどうか決められます。

信頼性

考慮するべき事柄

このルールが誤検出を生成する可能性はどの程度であるか。

覚えておくべき事項

一部の脆弱性では、悪用するための条件が非常に具体的であり容易に検出できます。このような場合、関連付けられているルールが起動するときには常に、リアルタイムで悪用が発生していることを確実視できます。たとえば、定位置に一意のマジック文字列が位置し、そのマジック文字列からある一定の距離の長さが指定されているプロトコルでバッファ オーバーフローが発生すると、確実にそのマジック文字列を検出し、既知の値と比較して問題を確認できます。それ以外の場合、問題はそれほど明確ではありません。たとえば、特定の DNS キャッシュ汚染攻撃の兆候として、一定期間にサーバから異常に大量の NXDOMAIN 応答が送信されることがあります。このような場合、単に NXDOMAIN 応答があることだけでは、悪用を示す兆候にはなりません。問題の発生を示すのは、短期間にこのような応答が膨大に発生する場合です。ネットワークによってこの数値は異なるため、VRT は、ほとんどのネットワークで有効な値を選択しますが、「ただしルールが起動した時点で実際の悪意のある活動が発生していることは 100% 確実ではありません。」と明示することしかできません。

場合によってはその他の要素も関連性があるものとして考慮されますが、最も重要であるのはお客様への影響です。お客様に対して実際に発生する可能性のある脅威から、お客様を保護することがシスコにとって最も重要な事項です。