Cisco Anomaly Guard Module Web-Based Manager コンフィギュレーション ガイド (Software Release 5.0)

ラーニング プロセスのフェーズ

ラーニング プロセスは次の 2 つのフェーズで構成されています。各フェーズは、Guard モジュール上で別々に実行されます。

• ポリシー構築フェーズ ：このフェーズでは、Guard モジュールはトラフィック フローで検出したサービスに基づいて、ポリシーを作成します。各ポリシーには、トラフィックの異常を検出したときに Guard モジュールが実行するアクションが設定されます。ポリシー テンプレートは、ポリシーの作成時に Guard モジュールが従うガイドラインを提供します。たとえば、ポリシー テンプレートでは、ポリシー構築フェーズ中に Guard モジュールがテンプレートから作成できるポリシーの数を制限できます。また、ポリシー テンプレートは、デフォルトのしきい値を使用して Guard モジュールがテンプレートから作成する各ポリシーを設定します。

• しきい値調整フェーズ ：このフェーズでは、Guard モジュールはゾーン ポリシーのしきい値を調整します。ポリシーのしきい値は、通常のトラフィックが、ポリシー アクションをアクティブにすることなく Guard モジュールを通過できる値に設定されます。ゾーンを保護している場合、Guard モジュールはゾーン ポリシーをトラフィック フローに適用します。ポリシーのしきい値超過が発生した場合、Guard モジュールはポリシー アクションを実行します。

ポリシー構築フェーズは、Guard_Link ゾーン テンプレートを使用して作成するゾーンに対しては実行できません。

ゾーンのトラフィック特性をラーニングするには、ゾーンのトラフィックを Guard モジュールに宛先変更する必要があります。外部デバイスを使用して、ラーニング プロセスを開始する前に宛先変更を設定するか、ゾーンのトラフィックを Guard モジュールに手動で宛先変更する必要があります。Guard モジュールのルーティング設定を使用して、ゾーンの宛先変更を設定してください。Guard モジュールのルーティング設定を設定するには、CLI を使用する必要があります。詳細については、『 Anomaly Guard Module Configuration Guide 』を参照してください。

Guard モジュールのスナップショット機能を使用すると、どちらのラーニング フェーズであっても、ラーニング プロセスの任意の時点で現在の結果を保存できます。ラーニング プロセスのスナップショットを取得すると、スナップショットの時点までに Guard モジュールが作成したポリシー情報を表示できます。ラーニング フェーズの結果をスナップショットに保存しても、ゾーンの設定には影響しません。ラーニング プロセスのスナップショットは、必要に応じていくつでも取得できます。また、スナップショットに保存したポリシー情報を使用してゾーンの設定をアップデートすることもできます。スナップショット機能の使用の詳細については、この章の「ラーニング プロセスのスナップショットの管理」の項を参照してください。

Protect and Learn 機能

Guard モジュールがラーニング プロセスのポリシー構築フェーズを実行した後は、Protect and Learn 機能をアクティブにできます。この機能を使用すると、Guard モジュールはトラフィックの異常を探す（Protect）と同時に、しきい値調整フェーズを実行する（Learn）ことができます。攻撃を検出すると、Guard モジュールはラーニング プロセスを一時停止し、攻撃からのゾーンの保護を開始します。攻撃が終了したことを判別すると、Guard モジュールはラーニング プロセスを再開します。保護およびラーニング動作状態では、Guard モジュールはゾーンを保護すると同時に、通常のゾーン トラフィックの特性に応じてポリシーのしきい値を常にアップデートすることができます。また、Guard モジュールでは悪意のあるトラフィックのしきい値がラーニングされなくなります。

ラーニング プロセスの結果の受け入れまたは拒否

ポリシー構築フェーズまたはしきい値調整フェーズの結果は、フェーズの実行中またはフェーズを停止したときに、受け入れまたは拒否できます。ラーニング プロセスでは、Guard モジュールはゾーン設定のポリシーを変更しません。Guard モジュールがゾーン設定をアップデートし、新しいポリシーまたはポリシーのしきい値で動作を開始するのは、ラーニング フェーズの結果を受け入れた場合のみです。

ポリシー構築フェーズの開始

ポリシー構築フェーズは、新しいゾーンを作成した後、または新しいサービス ポリシーを使用してゾーンの設定をアップデートする必要があるときに使用します。ポリシー構築フェーズを実行した後は、しきい値調整フェーズを実行して各ポリシーのしきい値を微調整します。

（注） ポリシー構築フェーズは、いずれかの Guard_Link ゾーン テンプレートを使用して作成したゾーンに対しては実行できません。

ポリシー構築フェーズを開始するには、次の手順を実行します。

ステップ 1 ナビゲーション ペインでゾーンを選択します。ゾーンのメイン メニューが表示されます。

ステップ 2 ゾーンのメイン メニューの Learning > Construct Policies を選択します。次の処理が実行されます。

• Guard モジュールが、トラフィック フローで使用されたサービスについて、宛先変更されたゾーン トラフィックの分析を開始し、検出したサービスに関連するポリシーを作成します。

• ゾーンのステータス アイコンがラーニング に変更されます。

ステップ 3 （オプション） ポリシー構築フェーズの任意の時点で、 Learning > Snapshot を選択してこのフェーズの現在の結果（提案されているポリシー）を保存し、確認します。スナップショット機能の使用の詳細については、「ラーニング プロセスのスナップショットの管理」 を参照してください。

Guard モジュールが十分な時間をかけて通常のゾーン トラフィックを正確に受信および分析できるようにするには、ポリシー構築フェーズを少なくとも 2 時間実行してから停止することをお勧めします。

ポリシー構築フェーズの停止

ポリシー構築フェーズを停止するには、次の手順を実行します。

ステップ 1 ナビゲーション ペインでゾーンを選択します。ゾーンのメイン メニューが表示されます。

ステップ 2 ポリシー構築フェーズの現在の結果を受け入れるか拒否するには、次のいずれかのオプションを使用します。

• ゾーンのメイン メニューの Learning > Accept を選択して、ラーニング フェーズの結果を受け入れます。Guard モジュールはゾーン設定の現在のポリシーをすべて削除し、提案されたゾーン ポリシーに置き換えます。Guard モジュールはポリシー構築フェーズを停止せずに、引き続きゾーンのサービスをラーニングします。

• ゾーンのメイン メニューの Learning > Stop Learning を選択します。Stop Learning ウィンドウが表示されます。次のいずれかのオプションを選択して、ステップ 3 に進みます。

–Reject：提案されたゾーン ポリシーを拒否します。

–Accept：提案されたゾーン ポリシーを受け入れます。

ステップ 3 このステップが必要になるのは、ステップ 2 で Learning > Stop Learning を選択した場合のみです。次のいずれかのオプションを選択します。

• OK：このオプションを選択した場合の結果は、ポリシー構築フェーズの結果を受け入れるか、拒否するかによって次のように異なります。

– Reject を選択した場合、Guard モジュールは提案されたゾーン ポリシーをすべて 削除 します。ゾーンの設定は一切変更されません。

– Accept を選択した場合、Guard モジュールはゾーン設定内の現在のポリシーをすべて削除し、提案されたゾーン ポリシーに置き換えます。その後、ポリシー構築フェーズが終了します。

• Clear ：Stop Learning ウィンドウの設定をデフォルトの Accept に戻します。

• Cancel：Stop Learning ウィンドウを閉じて、ポリシー構築フェーズを続行します。

しきい値調整フェーズをアクティブにするのは、ポリシー構築フェーズの結果を受け入れた後にすることをお勧めします。しきい値調整フェーズを実行すると、受け入れたポリシーのしきい値が、ゾーンのトラフィック フローの特性に基づいて設定されます。ポリシーは、しきい値調整フェーズを実行するまでは工場出荷時のデフォルトしきい値を使用して設定されます。

しきい値調整フェーズの開始

ポリシー構築フェーズの実行後、またはゾーンのポリシーのしきい値をアップデートする必要があるときは、しきい値調整フェーズを使用します。

しきい値調整フェーズを開始するには、次の手順を実行します。

ステップ 1 ナビゲーション ペインでゾーンを選択します。ゾーンのメイン メニューが表示されます。

ステップ 2 ゾーンのメイン メニューの Learning > Tune Threshold を選択します。次の処理が実行されます。

• Guard モジュールはゾーン トラフィックの分析を開始し、トラフィック フローの特性に合せてゾーン ポリシーのしきい値を調整します。

• ゾーンのステータス ラーニング アイコン が、作業領域内の、ナビゲーション パネルのゾーン名の隣に表示されます。

しきい値調整フェーズは、少なくとも 24 時間実行してから終了することをお勧めします。

ステップ 3 （オプション） しきい値調整フェーズの任意の時点で、 Learning > Snapshot を選択してこのフェーズの現在の結果（提案されているしきい値）を保存し、確認します。スナップショット オプションの使用の詳細については、「ラーニング プロセスのスナップショットの管理」 の項を参照してください。

Guard モジュールが十分な時間をかけて通常のゾーン トラフィックを正確に受信および分析できるようにするには、しきい値調整フェーズを少なくとも 24 時間実行してから停止することをお勧めします。

しきい値調整フェーズの現在の結果の受け入れ

しきい値調整フェーズの現在の結果を受け入れ、Guard モジュールがしきい値調整フェーズを続行できるようにするには、次の手順を実行します。

ステップ 1 ナビゲーション ペインでゾーンを選択します。ゾーンのメイン メニューが表示されます。

ステップ 2 ゾーンのメイン メニューの Learning > Accept を選択します。Accept Thresholds ウィンドウが表示されます。

ステップ 3 使用するしきい値選択方法を定義します。 表 7-1 に、Accept Thresholds ウィンドウに表示されるパラメータの説明を示します。

ステップ 4 次のいずれかのオプションを選択します。

• OK：Guard モジュールはしきい値調整フェーズの現在の結果でゾーン設定のポリシーをアップデートし、しきい値調整フェーズを続行します。

• Clear ：Accept Thresholds ウィンドウの設定をデフォルトに戻します。

• Cancel：Accept Thresholds ウィンドウを閉じて、ポリシー構築フェーズを継続します。

しきい値調整フェーズの停止

しきい値調整フェーズの現在の結果を受け入れるか拒否して、しきい値調整フェーズを停止するには、次の手順を実行します。

ステップ 1 ナビゲーション ペインでゾーンを選択します。ゾーンのメイン メニューが表示されます。

ステップ 2 ゾーンのメイン メニューの Learning > Stop Learning を選択します。Stop Learning ウィンドウが表示されます。

ステップ 3 Stop Learning ウィンドウで、次のいずれかのオプションを選択します。

• Reject ：しきい値調整フェーズの現在の結果を無視します。

• Accept ：しきい値調整フェーズの現在の結果をゾーンの設定に使用します。使用するしきい値選択方法を定義します。 表 7-2 に、しきい値選択方法のパラメータの説明を示します。

ステップ 4 次のいずれかのオプションを選択します。

• OK：Guard モジュールはしきい値調整フェーズの現在の結果でゾーン設定のポリシーをアップデートし、しきい値調整フェーズを停止します。

• Clear ：Stop Learning ウィンドウの設定をデフォルトに戻します。

• Cancel：Stop Learning ウィンドウを閉じて、しきい値調整フェーズを続行します。

自動ラーニング パラメータの設定

自動ラーニングのパラメータを設定すると、Protect and Learn をアクティブにしたときにラーニング プロセス（しきい値調整フェーズ）の現在の結果を Guard モジュールが自動的に受け入れるタイミングと方法を制御できます。

自動ラーニングを設定するには、次の手順を実行します。

ステップ 1 ナビゲーション ペインでゾーンを選択します。ゾーンのメイン メニューが表示されます。

ステップ 2 ゾーンのメイン メニューの Configuration > Learning parameters を選択します。Learning parameters 画面が表示されます。

ステップ 3 Config をクリックします。Config learning parameters 画面が表示されます。

ステップ 4 自動ラーニングのパラメータを定義します。 表 7-3 に、ラーニング パラメータの説明を示します。

ステップ 5 次のいずれかのオプションを選択します。

• OK：Guard モジュールは自動ラーニングのパラメータをゾーン設定に保存します。

• Clear ：Learning Parameters フォームの設定をデフォルトに戻します。

• Cancel：Config learning parameters 画面を閉じます。

Protect and Learn のアクティブ化

Protect and Learn をアクティブにすると、Guard モジュールはゾーンを保護すると同時に、ゾーン トラフィックをラーニングし、ポリシーのしきい値を調整することができます。 Protect and Learn をアクティブにする前に、ゾーン ポリシーが調整済みまたは未調整のどちらとしてマークされているかを確認する必要があります。これは、ゾーン ポリシーの調整状態によって Guard モジュールの動作が異なるためです。Protect and Learn をアクティブにするときにポリシーが調整済みとしてマークされていれば、Guard モジュールは攻撃を検出し 、ゾーン トラフィックをラーニングすることができます。Protect and Learn をアクティブにするときにゾーン ポリシーが未調整としてマークされている場合、Guard モジュールは次のように動作します。

• Guard モジュールは、ゾーン ポリシーのしきい値が一度受け入れられるまで、ゾーン トラフィックの攻撃を検出しません。

• Guard モジュールは、Accept new thresholds のしきい値選択方式だけをアクティブにします（「自動ラーニング パラメータの設定」を参照）。

ポリシーを調整済みまたは未調整としてマークする方法の詳細については、「ゾーンのポリシーに対する調整済みまたは未調整のマーク付け」の項を参照してください。

Protect and Learn をアクティブにするには、次の手順を実行します。

ステップ 1 ナビゲーション ペインでゾーンを選択します。ゾーンのメイン メニューが表示されます。

ステップ 2 Protect and Learn をクリックします。

次の処理が実行されます。

• Guard モジュールは、ゾーン トラフィックを自身に宛先変更し、異常についてトラフィック フローの分析を開始します。正当なトラフィックは、その目的の宛先へと転送されるネットワークに再び注入されます。悪意のあるトラフィックは Guard モジュールによってフィルタリングされ、ドロップされます。

• Guard モジュールは、ラーニング プロセスのしきい値調整フェーズを開始します。

• ゾーンの名前が、ナビゲーション ペインの Protected Zones リストに追加されます。

• ゾーンのステータス アイコンが、スタンバイ から保護 に変更されます。

• Recent Events テーブルに、保護されるゾーンの詳細なリストとともに、保護開始のイベント タイプが表示されます。

Protect and Learn の非アクティブ化

Protect and Learn を非アクティブにする場合、Guard モジュールではゾーン保護動作とラーニング動作の両方または一方だけを非アクティブにすることができます。

Protect and Learn を非アクティブにするには、次の手順を実行します。

ステップ 1 ナビゲーション ペインで、保護されているゾーンを選択します。ゾーンのメイン メニューとゾーンのステータス画面が表示されます。

ステップ 2 次のいずれかの方法で、Protect and Learn を非アクティブにします。

• ゾーンのステータス画面の Deactivate をクリックします。

• ゾーンのメイン メニューの Protection > Deactivate を選択します。

Deactivate ウィンドウが表示されます。

ステップ 3 必要なアクションの隣にあるチェックボックスをオンにします。次のアクションをいずれかまたは両方選択します。

• Stop Protection ：ゾーン保護を停止します。

• Stop Learning ：しきい値調整フェーズを停止します。次のいずれかのオプションを選択します。

– Reject ：しきい値調整フェーズの現在の結果を無視します。

– Accept ：しきい値調整フェーズの現在の結果をゾーンの設定に使用します。使用するしきい値選択方法を定義します。 表 7-4 に、しきい値選択方法のパラメータの説明を示します。

ゾーンの保護とラーニングを両方とも非アクティブにすると、次の処理が実行されます。

• Guard モジュールが、ゾーン トラフィックを自身に宛先変更することを停止します。

• ゾーンの名前が、ナビゲーション ペインの Protected Zones リストから削除されます。

• ゾーンのステータス アイコンが、保護 からスタンバイ に変更されます。

• Recent Events テーブルに、保護されないゾーンの詳細なリストとともに、保護停止のイベント タイプが表示されます。

ラーニング プロセスの現在の結果のスナップショットを取得

ラーニング プロセス（ポリシー構築またはしきい値調整）の現在の結果のスナップショットを取得するには、次の手順を実行します。

ステップ 1 ナビゲーション ペインで、ラーニング フェーズに現在入っているゾーンを選択します。ゾーンのメイン メニューが表示されます。

ステップ 2 ゾーンのメイン メニューの Learning > Snapshot を選択します。Guard モジュールはゾーン ポリシーを保存し、スナップショットに連続した ID 番号を割り当てます。

ゾーンの設定のポリシーのスナップショットを取得

ゾーン トラフィックをラーニングしていないゾーン（スタンバイ モードまたは保護モードのゾーン）のスナップショットを取得すると、Guard モジュールは、ゾーン設定の現在のポリシー情報を含むスナップショットを作成します。このタイプのスナップショットは、ゾーンのポリシーのバックアップを作成するために、または比較の対象として使用することができます。

ゾーンの設定のポリシーのスナップショットを作成するには、次の手順を実行します。

ステップ 1 ナビゲーション ペインで、ラーニング フェーズに現在入っていないゾーンを選択します。ゾーンのメイン メニューが表示されます。

ステップ 2 ゾーンのメイン メニューの Learning > Snapshot を選択します。Guard モジュールはゾーン設定に含まれるポリシーをスナップショットに保存し、スナップショットに連続した ID 番号を割り当てます。

スナップショットの結果の表示、変更、または保存

スナップショットの結果を表示、変更、またはゾーンの設定に保存するには、次の手順を実行します。

ステップ 1 ナビゲーション ペインで、ラーニング フェーズに現在入っているゾーンを選択します。ゾーンのメイン メニューが表示されます。

ステップ 2 ゾーンのメイン メニューの Learning > Snapshot List を選択します。スナップショットのリストが表示され、各スナップショットの ID 番号が、スナップショットの取得日時とともに示されます。

ステップ 3 表示するスナップショットの ID 番号または日付を選択します。Policies 画面が表示され、スナップショットの時点で Guard モジュールが記録したポリシーが表示されます。

ステップ 4 （オプション）スナップショットの Policies 画面で、次のいずれかのオプションを選択します。

• Configure Selection ：1 つまたは複数のポリシーのパラメータを再設定します（「ゾーンのポリシーの管理」の「ポリシーのパラメータの変更」の項を参照）。

• Add service または Remove service ：スナップショットの時点で検出されたサービスのリストに対してサービスの追加または削除を行います（「ゾーンのポリシーの管理」の「サービスの追加」または「サービスの削除」の項を参照）。

• Accept Thresholds ：スナップショットのポリシーをゾーンの設定に保存します。

スナップショットの削除

スナップショットを削除するには、次の手順を実行します。

ステップ 1 ナビゲーション ペインでゾーンを選択します。ゾーンのメイン メニューが表示されます。

ステップ 2 ゾーンのメイン メニューの Learning > Snapshot List を選択します。スナップショットのリストが表示され、各スナップショットの ID 番号が、スナップショットの取得日時とともに示されます。

ステップ 3 削除するスナップショットの ID 番号の隣にあるチェックボックスをオンにします。

ステップ 4 Delete をクリックします。Guard モジュールが、選択されたスナップショットを Snapshot リストから削除します。

ポリシーの設定の相違点の表示

2 つのゾーンまたはスナップショットのポリシーを比較して相違点を表示するには、次の手順を実行します。

ステップ 1 次のいずれかの方法で、ポリシーの比較プロセスを開始します。

• Guard モジュールの要約メイン メニューの Zones > Compare Zone policies を選択します。

• ゾーンのメイン メニューの Configuration > Compare Policies を選択します。

Policies Comparison クエリーの画面が表示されます。

ステップ 2 比較元および比較先となるゾーンまたはスナップショットを定義します。 表 7-5 に、Policies Comparison クエリーのパラメータの説明を示します。

ステップ 3 次のいずれかのオプションを選択します。

• OK ：2 つのゾーンのポリシーの設定を比較します。Policy Comparison 画面が表示され、サービスとポリシー パラメータの相違点が示されます（図 7-1 を参照）。

• Cancel ：ゾーンのポリシーを比較せずに Policies Comparison クエリーを終了します。

図 7-1 に、ポリシー比較テーブルの例を示します。比較元のゾーンにのみ存在するポリシー設定アトリビュートは黒色で表示され、比較先のゾーンにのみ存在するアトリビュートは赤色で表示されます。

図 7-1 ポリシー比較テーブル

Policy Comparison 画面は、次の 2 つのセクションに分かれています。

• Difference in services ：このセクションの 2 つのテーブルには、次の情報が表示されます。

–比較元ゾーンのポリシーにのみ存在するサービス。

–比較元ゾーンに存在しないサービス。このリストに含まれているサービスは、比較先のゾーンにのみ定義されているサービスです。

• Difference in policy parameters ：ポリシーの動作パラメータ（state、action、threshold、proxy-threshold）の相違点が表示されます。このテーブルの各セクションは、1 つのポリシーの中で見つかった相違点を示しています。各セクションの最初の行は、比較元ゾーンのパラメータを示します。各セクションの 2 行目は、比較先ゾーンのパラメータを示します。

（注） Guard モジュールは、リスト内のサービスのうち、比較元ゾーンに対して追加または削除できるサービスの隣にのみチェックボックスを表示します。タイプが any のサービスなど、表示されている一部のサービスはゾーン固有のサービスではないため、追加および削除できません。

比較元ゾーンのサービスの削除

比較元ゾーンの設定からサービスを削除するには、次の手順を実行します。

ステップ 1 Services only in ゾーン名 テーブルで、比較元ゾーンの設定から削除するサービスの隣にあるチェックボックスをオンにします。すべてのテーブル エントリを選択するには、テーブルのヘッダーにあるチェックボックスをオンにします。

ステップ 2 Delete をクリックします。Guard モジュールが、選択されたサービスを比較元ゾーンのポリシー設定から削除します。

比較元ゾーンへのサービスの追加

比較元ゾーンの設定にサービスを追加するには、次の手順を実行します。

ステップ 1 Services missing from ゾーン名 テーブルで、比較元ゾーンの設定に追加するサービスの隣にあるチェックボックスをオンにします。すべてのテーブル エントリを選択するには、テーブルのヘッダーにあるチェックボックスをオンにします。

ステップ 2 Add をクリックします。Guard モジュールが、選択されたサービスを比較元ゾーンのポリシー設定に追加します。

比較元ゾーンへのポリシー パラメータのコピー

ポリシーのパラメータを比較先ゾーンから比較元ゾーンにコピーするには、次の手順を実行します。

ステップ 1 Difference in policy parameters テーブルで、比較元ゾーンにコピーするポリシーの隣にあるチェックボックスをオンにします。すべてのテーブル エントリを選択するには、テーブルのヘッダーにあるチェックボックスをオンにします。

ステップ 2 Copy Parameters をクリックします。Guard モジュールが、選択された ポリシーを比較先ゾーン（赤色）から比較元ゾーン （黒色）のポリシー設定にコピーし、選択されたポリシーをテーブルから削除します。