Catalyst 6500シリーズIntrusion Detection System Moduleインストレー ション コンフィギュレーション ノート Version 3.0(5)

---

---

表1 IDSMの仕様

仕様	説明
寸法（高さ×幅×奥行）	1.18×15.51×16.34インチ（30×394×415 mm）
重量	最小：3ポンド（1.36 kg） 最大：5ポンド（2.27 kg）
動作時の温度	32～104°F（0～40°C）
非動作時の温度	-40～167°F（-40～75°C）
湿度	10～90 %（結露しないこと）

STATUS LED

表2 では、STATUS LEDが示すIDSMの状態について説明します。

 

SHUTDOWNボタン

IDSMの破損を防ぐためには、IDSMを正しくシャットダウンすることが重要です。スイッチング モジュールを正しくシャットダウンするには、Catalyst 6500シリーズのコンソールからIDSMへログインし、 shutdown コマンドを入力します。IDSMが shutdown コマンドに応答しない場合は、SHUTDOWNボタンを押してIDSMを手動でシャットダウンしてください。

---

クリップのように、小さくて先の尖ったものを使用して、SHUTDOWNボタンを押し、IDSMの電源をオフにします。シャットダウン手順の完了には、数分かかることがあります。

HD LED

HD LEDは、ハードドライブが使用中であることを示します。

PCMCIAスロット

PCMCIAスロットは、標準PCMCIAカードを2枚まで搭載でき、今後使用するためにあります。

必要な工具

ここでは、IDSMを取り付けるために必要な工具および要件について説明します。

---

（注） IDSMを取り付ける前に、Catalyst 6000ファミリー スイッチに少なくとも1つのスーパバイザ エンジンを搭載しておく必要があります。詳細については、『Catalyst 6000 Family Installation Guide』を参照してください。

Catalyst 6500シリーズ スイッチにIDSMを取り付けるには、次の工具が必要です。

• マイナス ドライバ

• 静電気防止用リスト ストラップまたはその他のアース器具

• 静電気防止用マットまたは静電気防止用フォーム

IDSMを扱うときは、必ず、静電気防止用リスト ストラップなどのアース器具を使用して、ESD（静電気放電）によって重大なダメージを受けないようにしてください。

---

警告 この装置の設置または交換は、訓練を受けた相応の資格のある人が行ってください。

スロットの割り当て

Catalyst 6006および6506スイッチのシャーシには、6つのスロットがあります。Catalyst 6009および6509スイッチのシャーシには、9つのスロットがあります（図3を参照）。Catalyst 6513スイッチのシャーシには、13のスロットがあります。

---

（注） Catalyst 6509-NEBスイッチは、スロットが縦に並んでおり、右から左へ1～9の番号が付けられています。コンポーネント側を右に向けて、IDSMを搭載します。

• スロット1は、スーパバイザ エンジン専用です。

• スロット2には、フェールオーバー用に冗長スーパバイザ エンジンを追加できます。

• 冗長スーパバイザ エンジンが不要の場合、6スロット シャーシのスロット2～6、9スロット シャーシのスロット2～9、および13スロット シャーシのスロット2～13には、IDSMなどのモジュールを搭載できます。

• 空のスロットには、スイッチ シャーシ全体のエアフローが一定になるように、モジュール用フィラープレート（ブランク モジュール フレーム）を取り付けてください。

---

（注） IDSMは、SPANを使用する任意のスーパバイザ エンジンと組み合わせて使用できますが、セキュリティVACLのコピー キャプチャ機能を使用するには、スーパバイザ エンジンにPolicy Feature Card（PFC;ポリシー フィーチャ カード）オプションを組み込む必要があります。

図3 Catalyst 6500シリーズ スイッチのスロット番号

IDSMの取り付け

次の手順で、Catalyst 6500シリーズ スイッチにIDSMを取り付けます。

---

ステップ1 ESDによるダメージを受けないように、必要な予防手段を講じてください。

---

警告 次の手順を実行する際には、静電気防止用リスト ストラップを着用し、カードがESDによって損傷しないようにしてください。手や金属製の工具などで直接バックプレーンに触れないでください。感電する可能性があります。

ステップ2 IDSMを搭載するスロットを選択します。

---

（注） スーパバイザ エンジンは、スロット1に搭載しなければなりません。冗長スーパバイザ エンジンは、スロット2に搭載できます。冗長スーパバイザ エンジンが不要な場合は、スロット2～9（6スロット シャーシではスロット2～6、13スロット シャーシではスロット2～11）にモジュールを搭載できます。

ステップ3 スロットにフィラー プレートを固定している非脱落型ネジを緩めます（必要に応じて、ドライバを使用します）。

ステップ4 両側のイジェクト レバーを外側に引き出して、フィラー プレートを取り外します。

---

警告 空きスロット用の前面プレートおよびカバー パネルには3つの重要な役割があります。シャーシ内部の危険な電圧および電流に接触するのを防ぐこと、他の機器に悪影響を及ぼすEMIを外に出さないこと、さらに、シャーシ全体に冷却用の空気が行き渡るようにすることです。カード、前面プレート、前面カバー、および背面カバーがすべて取り付けられていない場合は、システムを稼働させないでください。

ステップ5 片手でIDSMを持ち、もう一方の手をフレームの底面に当ててIDSMを支えます。

---

ステップ6 IDSMフレームの左右にあるノッチとスロットの溝を合わせ、スロットにIDSMを差し込みます（図4を参照）。

図4 Catalyst 6500シリーズ スイッチへのモジュールの取り付け

ステップ7 IDSMをバックプレーンに対して直角に保ち、左右のイジェクト レバーのノッチがシャーシの両側にかみ合うまで、IDSMをスロットに慎重に押し込みます（図5を参照）。

図5 イジェクト レバーと非脱落型ネジ

 

ステップ8 両手の親指と人差し指で左右のイジェクト レバーを同時に回し、IDSMをバックプレーン コネクタに完全に装着します。

---

---

（注） ホットスワップを行うと、[Module n has been inserted.]というメッセージがコンソールに表示されます。ただし、TelnetセッションでCatalyst 6000ファミリー スイッチに接続している場合には、このメッセージは表示されません。

ステップ9 IDSMの左右の端にある非脱落型ネジをドライバで締めます。

 

取り付けの確認

ここでは、IDSMの取り付けを確認する手順について説明します。

• 「Catalystソフトウェア」

• 「Cisco IOSソフトウェア」

Catalystソフトウェア

スーパバイザ エンジンまたはコンソールにログインしているときに、 show module または show port [ module_number/port_number ]コマンドを入力して、スイッチが新しいIDSMを認識し、オンラインになっているかどうかを確認します。

次に、 show module コマンドの出力例を示します。

---

（注） IDSMを最初に搭載した時点で、ステータスは[other]になるのが正常です。IDSMの診断ルーティングが完了してオンラインになると、ステータスが[ok]になります。IDSMがオンラインになるまで、3～5分かかります。

Cisco IOSソフトウェア

スーパバイザ エンジンまたはコンソールにログインしているときに、 show module コマンドを入力して、スイッチが新しいIDSMを認識し、オンラインになっているかどうかを確認します。

次に、 show module コマンドの出力例を示します。

IDSMの取り外し

ここでは、Catalyst 6000ファミリー スイッチからIDSMを取り外す手順について説明します。

---

警告 この装置の設置または交換は、訓練を受けた相応の資格のある人が行ってください。

---

---

警告 次の手順を実行する際には、静電気防止用リスト ストラップを着用し、カードがESDによって損傷しないようにしてください。手や金属製の工具などで直接バックプレーンに触れないでください。感電する可能性があります。

次の手順で、IDSMを取り外します。

---

ステップ1 次のいずれかの方法で、IDSMをシャットダウンします。

• Catalystソフトウェア

– set module shutdown module_number コマンドを入力してから、reset module_number コマンドを入力して、IDSMを再起動します。

– Catalyst 6500シリーズのコンソールから session コマンドを入力してIDSMにログインし（IDSMへのログインを参照）、 shutdown コマンドを入力します。

– set module power down module_number コマンドを入力します。IDSMに再び電力を供給する場合には、 set module power up module_number コマンドを入力する必要があります。

– IDSMがIDSMプロンプトまたはスーパバイザ エンジンから入力したコマンドに応答しない場合は、小さくて先の尖ったものでSHUTDOWNボタンを押します。

---

（注） シャットダウンの完了には、数分かかることがあります。

• Cisco IOSソフトウェア

– Catalyst 6500シリーズのコンソールから session コマンドを入力してIDSMにログインし（IDSMへのログインを参照）、 shutdown コマンドを入力します。

– CLIのイネーブル モードで、 hw-module module module_number shutdown コマンドを入力します。IDSMを再起動するには、 hw-module module module_number reset コマンドを入力する必要があります。

---

（注） hw-module module module_number shutdownコマンドを入力したとき、スイッチが再起動していれば、IDSMも再起動します。

– IDSMがIDSMプロンプトまたはスーパバイザ エンジンから入力したコマンドに応答しない場合は、小さくて先の尖ったものでSHUTDOWNボタンを押します。

ステップ2 IDSMがシャットダウンしたことを確認します。STATUS LEDがオレンジに点灯するか消灯するまで、IDSMを取り外さないでください。

ステップ3 IDSMの左右にある非脱落型ネジをドライバで緩めます。

ステップ4 左右のイジェクト レバーを握り、左のレバーを左に、右のレバーを右に同時に引いて、バックプレーン コネクタからIDSMを外します。

ステップ5 スロットからIDSMを引き出すときには、片手でフレームの底面を支えます。

---

ステップ6 片手でフレームを下から支えながら、スロットから静かにIDSMをまっすぐに引き出します。

---

（注） バックプレーンに対してIDSMを直角に（床に対して水平に）保ちます。

ステップ7 静電気防止用マットまたはフォームの上にIDSMを置きます。

ステップ8 スロットを空のままにしておく場合は、フィラー プレート（部品番号：800-00292-01）を取り付け、シャーシに埃が入らないように、また、モジュールのコンパートメント全体に空気が適切に流れるようにします。

---

警告 空きスロット用の前面プレートおよびカバー パネルには3つの重要な役割があります。シャーシ内部の危険な電圧および電流に接触するのを防ぐこと、他の機器に悪影響を及ぼすEMIを外に出さないこと、さらに、シャーシ全体に冷却用の空気が行き渡るようにすることです。カード、前面プレート、前面カバー、および背面カバーがすべて取り付けられていない場合は、システムを稼働させないでください。

 

初期設定

IDSMを使用して侵入検知分析を行うには、先にIDSMアカウントにログインし、所定のパラメータを設定しておく必要があります。

次の手順で、IDSMを設定します。

---

ステップ1 次のいずれかのコマンドを入力して、IDSMが搭載され、電源がオンになっていることを確認します。

• Catalystソフトウェア

---

（注） ステータスはokになっているはずです。ステータスがotherの場合は、IDSMがまだオンラインになっていません。

• Cisco IOSソフトウェア

ステップ2 次のいずれかのコマンドを入力して、IDSMへログインします。

• Catalystソフトウェア

• Cisco IOSソフトウェア

ステップ3 ログイン プロンプトに ciscoids と入力し、IDSMアカウントにログインします。

ステップ4 パスワード プロンプトに、デフォルトのIDSMパスワードとして attack と入力します。

---

（注） この時点で、デフォルトのパスワードを変更しておくことを推奨します。詳細については、「IDSMパスワードの変更」を参照してください。

ステップ5 プロンプトに setup と入力すると、次のコンフィギュレーション画面が表示されます（図6を参照）。

---

図6 システム コンフィギュレーション ダイアログ

---

（注） TelnetおよびSSHが両方ともディセーブルの場合は、アクセス リストは表示されません。IDSMと互換性のあるSSHクライアントの一覧は、「互換性のあるSecure Shellプロトコル クライアント」を参照してください。

ステップ6 システム コンフィギュレーション ダイアログの各行に値を入力します（図7を参照）。設定可能な各パラメータの有効範囲については、表3を参照してください。

---

（注） システム コンフィギュレーション ダイアログでは、行ごとにヘルプを利用できます。ヘルプにアクセスするには、各プロンプトに?と入力します

図7 システム コンフィギュレーション ダイアログへの値の入力

 

IDSMの管理

ここでは、IDSM上で実行できる各種の管理作業について説明します。

• 「IDSMへのログイン」

• 「IDSMパスワードの変更」

• 「IDSMのリセット」

• 「IDSMへのソフトウェア イメージのインストール」

• 「シグニチャ/NSDBおよびサービスパックのアップデート」

IDSMパスワードの変更

パスワードを変更するには、IDSM上のciscoidsアカウントにログインする必要があります。

次の手順で、パスワードを変更します。

---

---

ステップ1 次のコマンドを入力してパスワードを変更します。

---

（注） すべての例で、ホスト名としてcisco_idsを使用します。

ステップ2 指示に従って新しいパスワードを入力します。

---

（注） パスワードは15文字までの英数字で構成される文字列です。最小文字数の制限はありません。

ステップ3 指示に従って新しいパスワードをもう一度入力します。

 

作業	コマンド
IDSMをリセットします。	reset module_number

作業	コマンド
IDSMをリセットします。	Router# hw-module module module_number reset

---

---

---

---

---

---

---

---

---

---

---

---

---

表4 シグニチャ993

シグニチャ993	説明
アラーム送信元	packetd
シグニチャの説明	モジュール オーバーラン/飽和インジケータ
シグニチャID	993
コンフィギュレーション パラメータ	• MpcInterval2 （単位：秒） 5 <= MpcInterval <= 2500（デフォルト= 30） • MpcPercentThreshold3（単位：%） 0 <= MpcPercentThreshold <= 100 （デフォルト = 0） • MpcAbsThreshold4（単位：パケット数） 0 <= MpcAbsThreshold <= 65535 （デフォルト = 0）
プラットフォーム	IDSMのみ

---

サポートされるネットワーク デバイスの種類

IDSMは、次のCiscoシリーズ ルータを管理できます。

• Cisco 1600シリーズ ルータ

• Cisco 1700シリーズ ルータ

• Cisco 2500シリーズ ルータ

• Cisco 2600シリーズ ルータ

• Cisco 3600シリーズ ルータ

• Cisco 7200シリーズ ルータ

• Cisco 7500シリーズ ルータ

上記のルータは、次のバージョンのCisco IOSソフトウェアを使用します。

• 11.2

• 11.3

• 12.0

• 12.1

IDSMはまた、次のCiscoデバイスを管理します。

• Catalyst 6500シリーズ ソフトウェアVACL

• Catalyst 6500シリーズMFSC

• Catalyst 5000 RSM

• PIX Firewall 6.1

CiscoルータACL

IDS DirectorまたはCSPM経由で、シスコ製ルータを使用してホストとネットワークを遮断するようにIDSMを設定できます。Cisco IOSソフトウェア アーキテクチャは、物理または仮想インターフェイス ポートと結びついたAccess Control List（ACL;アクセス制御リスト）に依存しています。これらのACLは、物理または仮想インターフェイス ポート経由でのデータ パケットの受け渡しを許可または拒否します。各ACLには、IPアドレスに適用する許可および拒否条件が含まれています。Cisco IOSソフトウェアは、アクセス リストの条件に対して1つずつIPアドレスをテストします。IPアドレスの最初の照合により、そのアドレスが許可されるかまたは拒否されるかが決まります。また、最初の照合は条件のテストを停止する信号となるため、条件の順序は重要です。一致する条件がない場合、そのアドレスは拒否されます。

IDSMで遮断を設定した場合、IDSMで管理されるよう設定されたすべてのルータ インターフェイスは、たとえ遮断が適用されていなくてもIDSMによってのみ制御されるようになります。IDSMが使用するデフォルトのACLでは、制御されるインターフェイスに permit ip any any が設定され、現在遮断されていないすべてのトラフィックが、ルータの制御されるインターフェイスで許可されます。IDSMによって生成されたACLを使用してください。

IDSMによって生成されたACLを変更したい場合は、PreShunACLおよびPostShunACLトークンを使用して遮断前ACLまたは遮断後ACLを指定できます。IDSMは、デバイス管理が制御するインターフェイスごとに2つのACL番号を許可します。PreShunACLでは、IDSMが、遮断されるアドレスの拒否エントリを置く前にACLに置かなくてはならないACLエントリを指定します。PostShunACLでは、IDSMが遮断されるアドレスのすべての拒否エントリの後に置かなくてはならないACLエントリを指定します。

---

ACLを遮断前または遮断後リストとして使用するには、そのACLが拡張IP ACL（名前または番号付き）である必要があります。

---

（注） 次のような標準の名前付きまたは番号付きIPアクセス リスト（standardキーワードの必要なもの）を使用することはできません。
ip access-list standard name
次のようなフォーマットであれば標準ACLを使用してもかまいません。
access-list number

ステートメント リストを物理的な入力ポートまたは出力ポートと一つずつ結合できます。ACLを使用すると、次のようなことが効率的に行えます。

• ネットワーク全体を自社ネットワークにアクセスさせないようにすることができます。

• いくつかのホストだけを自社ネットワークにアクセスさせないようにすることができます。

• 自社ネットワークへのすべてのインターネット アクセスを防ぎながら、ある提携先企業のネットワークの2つのホストが自社FTPサーバの1つにアクセスするのを許可します。

• 2つの提携先企業のネットワークからのインターネット トラフィックだけを許可し、すべてのトラフィック（内部および外部）が自社の財務ネットワーク セグメントにアクセスしないようにします。

ACLを使用する際には、次のことに注意してください。

• 遮断前ACLまたは遮断後ACLを使用しない場合は、すべての既存のACLを1組のインターフェイスのアクセスポイントに移行しないと、IDSMはシスコ製デバイスを管理することができません。移行する代わりに、遮断インターフェイス上の既存のユーザ定義ACLを遮断後ACLとして指定するのがもっとも簡単な方法です。

---

（注） ルータのデフォルト プロンプトは変更しないでください。変更するとデバイス管理は、 ルータを制御できなくなります。たとえば、次のようにプロンプトを変更すると、
#myRouter
デバイス管理はルータを制御できず、初期化状態で止まります。さらに、イネーブル パスワード不正のエラーが表示されます。

---

（注） ルータのホスト名を変更する場合は、名前を#で終わらせないでください。

Catalyst 6000および5000ファミリー スイッチ

IDS DirectorまたはCS PM経由でIDSMを設定してCatalyst 6500シリーズ ソフトウェアVACL、Catalyst 6500シリーズMSFC、およびCatalyst 5000ファミリーRSMを使用できます。

Catalyst 6500シリーズMFSCおよびCatalyst 5000ファミリーRSMは、他のCisco IOSルータとして扱われます。ただし、Catalystソフトウェアを実行しているCatalyst 6500シリーズ スーパバイザ エンジンでの遮断については、ソフトウェア アーキテクチャはスイッチのセキュリティVLANアクセス制御リスト（VACL）に依存しています。これらのVACLは、VLANを経由したデータ パケットの通過を許可または拒否します。各VACLには、IPアドレスに適用される許可および拒否条件が含まれています。Cisco IOSソフトウェアは、1つずつセキュリティACLの条件に対してIPアドレスをテストします。IPアドレスの最初の照合により、そのアドレスが許可されるかまたは拒否されるかが決まります。また、最初の照合は条件のテストを停止する信号となるため、条件の順序は重要です。一致する条件がない場合、そのアドレスは拒否されます。

IDSMで遮断を設定する場合、設定されたすべてのVLANは、たとえ遮断が適用されていなくても、IDSMによってのみ制御されます。IDSMで使用するデフォルトのVACLには、VACLの最終エントリとして permit ip any any が設定されます。IDSMが制御するスイッチは、VACLで直接制限したり設定したりすることはできません。現在遮断されていないすべてのトラフィックは、制御インターフェイスのスイッチを経由して許可されます。

PreShunACLおよびPostShunACLトークンを使用して、遮断前VACLまたは遮断後VACLを指定できます（管理ソフトウェアのマニュアルを参照）。IDSMは、デバイス管理で制御されるインターフェイスごとに2つのVACL番号を許可します。

---

（注） ルータのデフォルト プロンプトは変更しないでください。変更するとデバイス管理は、ルータを制御できなくなります。たとえば、次のようにプロンプトを変更すると、
#myRouter
デバイス管理はルータを制御できず、初期化状態で止まります。さらに、イネーブル パスワード不正のエラーが表示されます。

---

（注） スイッチのホスト名を変更する場合は、名前を#で終わらせないでください。

PIXファイアウォール

PIXファイアウォールを使用してホストとネットワークを遮断するようにIDSMを設定することができます。 shun [ ip ] コマンドを入力して、遮断すべきホストをPIXファイアウォールに指示します。既存のPIXファイアウォールACLは、デバイス管理によって変更されることはありません 。 PIXファイアウォールに遮断前ACLまたは遮断後ACLを使用することはできないので、ACLを直接PIXファイアウォールに作成する必要があります。

PIXファイアウォールは、ShunNetコマンドをサポートしません。PIXファイアウォールを制御するIDSMにShunNetを送信しないでください。その代わりにPIXファイアウォール上でACLを手動で設定し、遮断すべきネットワークを拒否できます。IDSMがPIXファイアウォールに加えて他のデバイスも制御する場合、ShunNetをIDSMに送信できますが、手動でPIXファイアウォールを設定して、IDSMによって制御されるすべてのデバイスが確実にネットワークを遮断するようにしてください。ShunNetコマンドで指定されるネットワークに属するホスト アドレスを含むShunHostは、IDSMによって制御されるデバイスをアップデートしないので注意してください。遮断されたホストがすでにShunNetに含まれている場合、デバイス管理はデバイスACLをアップデートしません。

---

複数のIDSMによるデバイスの制御

複数のIDSMを使用してIDSシステムをインストールする場合、実際にデバイスを制御するのは、これらのIDSMのうち1つだけです。残りのIDSMは、そのIDSMに遮断または非遮断要求を転送しなければなりません。

複数のIDSMからデバイスを制御する手順は次のとおりです。

---

ステップ1 どのIDSMでデバイスを制御するかを決定します。

このIDSMが遮断サーバとして指定されます。残りのIDSMは、遮断クライアントと指定されます。

ステップ2 この遮断サーバIDSMにデバイス制御を設定します。

ステップ3 遮断クライアントIDSMについては、IDS DirectorまたはCSPMを使用して遮断サーバを指定します。

その結果、managed.confへのエントリは次のようになります。

この場合、hostname.orgnameはデバイスを制御するIDSMを指定します。

IDS Directorを使用している場合は、他にも設定が必要になります。IDS通信をサポートするため、クライアントIDSMとサーバIDSMの両方で適切な許可、ルート、およびホスト ファイルをアップデートする必要があります。次のWebサイトでIDS管理マニュアルを参照して、遮断サーバと遮断クライアントを設定します。

• Cisco Secure Policy Manager 2.3.1i：

http://www.cisco.com/univercd/cc/td/doc/product/ismg/policy/index.htm

• Cisco Intrusion Detection System Director for UNIX Version 2.2.3：

http://www.cisco.com/univercd/cc/td/doc/product/iaabu/csids/csids7/index.htm

---

 

1台のIDSMで管理する複数のネットワーク デバイス

IDSMのコンフィギュレーション ファイルには、管理が必要なネットワーク デバイス数に応じて何個のエントリでも含めることができます。コンフィギュレーション ファイルには、各ルータまたはパケット フィルタのIPアドレス、ホスト名、およびパスワードに関する情報が含まれます。IDSMはこの情報により各デバイスと通信し、これを制御できます。

---

（注） IDSMを使用して管理するのは、ローカル サブネットに接続されているネットワーク デバイスだけにすることを推奨します。

IDSMコマンド

ここでは、IDSMにログインして使用できる他のIDSMコマンドについて説明します。これらのコマンドは、初期（IDSMを完全に設定する前）に使用するか、それともメンテナンス パーティションからの起動時に使用するかによって分類されています。また、これらのコマンドはモード（exec、configuration terminal、diagnostics）によっても分類されています。

ここで説明する他のIDSMコマンドは以下のとおりです。

• 「すべてのモードで使用できるコマンド」

• 「設定前に使用するアプリケーション パーティション コマンド」

• 「設定後に使用するアプリケーション パーティション コマンド」

• 「メンテナンス パーティション コマンド」

すべてのモードで使用できるコマンド

次のコマンドは、あらゆるモードで使用できます。

• end

コンフィギュレーション モードまたはいずれかのコンフィギュレーション サブモードを終了します。

• exit

コンフィギュレーション モードを終了するか、またはアクティブな端末セッションを終了してexecモードを打ち切ります。

設定前に使用するアプリケーション パーティション コマンド

これらのコマンドは、IDSMの設定前にアプリケーション パーティションで使用できます。これらはすべてexecモードで使用するコマンドです。

• setup

基本的なIDSMの設定を開始し、内容を表示します。

• show configuration

システム統計情報、IDSMのステータスおよびバージョン、ソフトウェア リリース、および setup コマンドによって設定されたあらゆる情報を表示します。

• show version

動作中のプロセスのバージョン情報を表示します。

• shutdown

IDSMオペレーティング システムをシャットダウンします。

設定後に使用するアプリケーション パーティション コマンド

これらのコマンドは、IDSMの設定後にアプリケーション パーティションで使用できます。

• 「イネーブルEXECモード」

• 「configuration terminalモード」

• 「diagnosticsモード」

イネーブルEXECモード

以下のコマンドはすべて、イネーブルEXECモードで実行します。

• clear config

現在のすべてのシステム情報を消去し、システムをシャットダウンします。

• debug onyx [ on | off ]

Onyxデバッグ機能をイネーブルまたはディセーブルにします。この変更を有効にするには、IDSMを再起動する必要があります。

• reboot

IDSMを再起動します。

• setup

基本的なIDSMの設定を開始し、内容を表示します。IDSMへのTelnetおよびSSHアクセスをイネーブル/ディセーブルに設定できます。 setup コマンドについての詳細は、「初期設定」を参照してください。IDSMと互換性のあるSSHクライアントの一覧は、「互換性のあるSecure Shellプロトコル クライアント」を参照してください。

---

（注） デフォルトでは、IDSMへの直接的なTelnetアクセスはディセーブルに設定され、アクセス リストにIPアドレスは設定されていません。

• show config

システム統計情報、IDSMのステータスとバージョン、ソフトウェア リリース、IDSMへの直接的なTelnetアクセスとSSHアクセスのステータス、現在のアクセス リスト内容、および setup コマンドで設定した全情報を表示します。

• show direct-access

IDSMへの直接アクセスのステータスと、直接アクセス リストの内容を表示します。

• show debugging

システム デバッグ ステータスを表示します。

• show ip traffic

コマンドおよび制御ポートに関するIP統計情報を表示します。

• show ssh fingerprint

現在のSSHキー サーバのホスト フィンガープリントを表示します。

• show ssh authorized-keys [ id ]

RSA認証を使用してローカルSSHサーバへのログインが許可されているユーザのパブリック キーを表示します。

id は、許可されるキーを表す 1～256文字の一意のストリングです。数字、[_]、および[-]は有効ですが、スペースは使用できません。

• show ssh host-keys [ ipaddress ]

managed が接続に使用できるリモートSSHサーバのパブリック キーを含む既知のホスト テーブルを表示します。

ipaddress は、ピリオドで区切った4オクテット（X.X.X.X ［X = 0～255］）の32ビット アドレスです。

• show version

アクティブ プロセスのバージョン情報を表示します。

• shutdown

IDSMオペレーティングシステムをシャットダウンします。

configuration terminalモード

次のコマンドは、configuration terminal（conft）モードで実行します。conftモードを開始するには、EXECプロンプトに、 configure terminal と入力します。

• apply [ servicepack | signatureupdate ] site sitenameoraddress user username dir directory file filename

FTPサーバからサービスパックまたはシグニチャ アップデート インストール パッケージをダウンロードして実行します。

servicepack を使用すると、指定したサービス パックが検索されてシステムに適用されます。

signatureupdate を使用すると、指定したシグニチャ アップデートが検索されてシステムに適用されます。

site sitenameoraddressは、FTPサーバのアドレスまたはホスト名です。

user username は、 FTPログインに使用するユーザ名です。

dir directory は、ファイルが置かれているディレクトリです。

file filename は、アップデート用に検索するファイルです。

• direct-access

IDSMのリモート アクセスの制御（SSHおよびTelnetのイネーブル/ディセーブル、およびアクセスを許可されるIPアドレスの追加/削除を含む）を行います。

• password

Telnetセッションのログイン パスワードを変更します。

• remove

IDSMに適用したサービスパックまたはシグニチャ アップデートを削除します。このコマンドを使用すると、IDSソフトウェアは、アップデート適用前の状態に戻ります。

• ssh authorized-key id key-modulus-length public-exponent public-modulus

RSA認証を使用してローカルSSHサーバにログインできるクライアントのパブリック キーを追加します。許可されているキーをシステムから削除するには、このコマンドのno形式を使用します。

idは、許可されるキーを表す1～256文字の一意のストリングです。数字、[_]、および[-]は有効ですが、スペースは使用できません。

key-modulus-length は、範囲[511, 2048]のASCII 10進整数です。

public-exponent は、範囲[3, 2^32]のASCII 10進整数です。

public-modulus は、 (2 ^ key-modulus-length) < x < (2 ^ (key-modulus-length + 1))の範囲のASCII 10進整数xです。

• ssh generate-key

SSHキーを再生成します。

• ssh host-key ipaddress key-modulus-length public-exponent public-modulus

既知のホスト テーブルにエントリを追加します。既知のホスト テーブルからエントリを削除するには、このコマンドのno形式（ no ssh host-key ipaddress）を使用します。

ipaddressは、ピリオドで区切った4オクテット（X.X.X.X [X = 0～255]）の32ビット アドレスです。

key-modulus-length は、範囲[511, 2048]のASCII 10進整数です。

public-exponent は、範囲[3, 232]のASCII 10進整数です。

public-modulus は、 (2 ^ key-modulus-length) < x < (2 ^ (key-modulus-length + 1))の範囲のASCII 10進整数xです。

• terminal length length

現在のログイン セッションについて端末設定を変更します。

length は、MOREで表示する行数です。指定できる値は、0～256です。0を指定すると、ポーズは行われません。

---

（注） デフォルトでは、Telnet経由でのIDSMへの直接アクセスは、ディセーブルに設定されています。

diagnosticsモード

次のコマンドは、diagnostics（diag）モードで使用できます。diagモードを開始するには、EXECプロンプトに、 diagnostics と入力します。

• diag [ bootresults | resetcount ]

IDSMの一部分に対して診断プログラムを実行します。

bootresults は、起動時診断の結果です。

resetcount を使用すると、パケット カウント情報がリセットされます。

• ids-installer

メンテナンス ユーティリティであるids-installerを実行します。

• nrconns

IDS Postofficeの現在の接続状態を表示します。

• nrexec appId tokens

受信したトークンを使用して nrexec コマンドを実行します。

appId は、クエリーするアプリケーションの数値IDです。

tokens は、 nrexec コマンドに渡すトークンをスペースで区切ったストリングです。

• nrget appId tokens

受信したトークンを使用して nrget コマンドを実行します。

appId は、クエリーするアプリケーションの数値IDです。

tokens は、 nrexec コマンドに渡すトークンをスペースで区切ったストリングです。

• nrgetbulk appId tokens

受信したトークンを使用して nrgetbulk コマンドを実行します。

appId は、クエリーするアプリケーションの数値IDです。

tokens は、 nrexec コマンドに渡すトークンをスペースで区切ったストリングです。

• nrset appId tokens

受信したトークンを使用して nrset コマンドを実行します。

appId は、クエリーするアプリケーションの数値IDです。

tokens は、 nrexec コマンドに渡すトークンをスペースで区切ったストリングです。

• ping address count

基本的なネットワーク接続を診断します。

address は、pingの対象となるシステムのアドレスです。

count は、送信するエコー要求の数です。

値を指定しない場合、要求が4回送信されます。

• report systemstatus site site user user dir dir [full]

システム ステータス情報が含まれたHTMLファイルを作成し、それをFTPサーバに送信します。

site は、FTPサーバのアドレスまたはホスト名です。

user は、FTPサーバへのログインに使用するユーザ名です。

dir は、ファイルを置くディレクトリです。

full は、任意指定のキーワードです。

このキーワードを指定すると、エラー ファイルの全内容が出力ファイルに書き込まれます。このキーワードを省略すると、最初と最後の50行だけが出力されます。

• show errorfile [ filexferd | idsapply | loggerd | managed | packetd | postofficed | sapd ] [ current | backup ]

現在のIDSMエラーログ ファイルの内容を表示します。

filexferd は、 fileXferd のエラー ファイルの内容を表示します。

idsapply は、 idsapply のエラー ファイルの内容を表示します。

loggerd は、 loggerd のエラー ファイルの内容を表示します。

managed は、 managed のエラー ファイルの内容を表示します。

packetd は、packetdのエラー ファイルの内容を表示します。

postofficed は、postofficedのエラー ファイルの内容を表示します。

sapd は、sapdのエラー ファイルの内容を表示します。

current は、選択したアプリケーションの現在のエラー ファイルの内容を表示します。

backup は、バックアップ ディレクトリ ファイル リストおよび選択したファイルの内容を表示します。

---

（注） このディレクトリには、前回の実行による旧エラー ファイルと、容量が1MBを超過した現在の実行エラー ファイルが入っています。

• show eventfile [ current | backup | archive ]

現在のIDSMアラーム ログ ファイルの内容を表示します。

current は、現在のアラーム ログ ファイルの内容を表示します。

backup は、最近バックアップされたアラーム ログ ファイルの内容を表示します。

archive は、それ以前にバックアップされたアラーム ログ ファイルの内容を表示します。

• traceroute address count

宛先までのルートを表示します。

address は、pingの対象となるシステムのアドレスです。

count は、送信するエコー要求の数です。

値を指定しない場合、要求が4回送信されます。

メンテナンス パーティション コマンド

次のコマンドは、IDSMがメンテナンス パーティションで実行されているときに使用できます。

• 「EXECモード」

• 「configure terminalモード」

• 「diagnosticsモード」

EXECモード

これらのコマンドは、EXECモードで実行します。

• show version

動作中の プロセスのバージョン情報を表示します。

• shutdown

IDSMオペレーティング システムをシャットダウンします。

configure terminalモード

次のコマンドは、configuration terminal（conft）モードで実行します。conftモードを開始するには、EXECプロンプトで、 configure terminal と入力します。

• password

Telnetセッションのログイン パスワードを変更します。

diagnosticsモード

次のコマンドは、diagnosticsモードで実行します。diagnostics（diag）モードを開始するには、EXECプロンプトに、 diagnostics と入力します。

• diag [ bootresults | resetcount ]

IDSMの一部分に対して診断プログラムを実行します。

bootresults は、起動時診断の結果です。

resetcount を使用すると、パケット カウント情報がリセットされます。

• ids-installer

メンテナンス ユーティリティであるids-installerを実行します。

• ping address count

基本的なネットワーク接続を診断します。

address は、pingの対象となるシステムのアドレスです。

count は、送信するエコー要求の数です。

count の値を指定しない場合、要求が4回送信されます。

• traceroute address count

宛先までのルートを表示します。

address は、pingの対象となるシステムのアドレスです。

count は、送信するエコー要求の数です。

count の値を指定しない場合、要求が4回送信されます。

Catalystソフトウェアのコマンド

ここでは、その他のCatalystソフトウェア コマンドについて説明します。

• 「スーパバイザ エンジンCLIコマンド」

• 「サポート対象外のスーパバイザ エンジンCLIコマンド」

スーパバイザ エンジンCLIコマンド

IDSMは、次のスーパバイザ エンジンCLIコマンドもサポートします。各コマンドの詳細については、『 Catalyst 6000 Family Command Reference 』を参照してください。

• clear config module_number

スーパバイザ エンジン上の指定したIDSMと対応づけられた設定を消去します。

• clear log module_number

指定したIDSMに対応するエラー ログの全エントリを削除します。

• session slot_number

スイッチ コンソールからIDSMのコンソールへログインします。

• set module コマンド（他の set module コマンドを使用すると、エラー メッセージが返されます）

– set module { enable | disable } module_number

モジュールをイネーブルまたはディセーブルにします。

– set module name module_number

モジュール名を設定します。

– set module power module_number up | down

指定したIDSMへの電力供給をイネーブルまたはディセーブルにします。

• set port name module_number

指定したIDSMポートに名前を設定します。

• set span

ポート1をSPAN宛先ポートとして設定します。IDSMのポート1をSPAN送信元ポートとして使用することはできません。

• set trunk

トランク ポートを設定します。

• set vlan

VLANキャプチャ ポートを設定します。

• show config

スーパバイザ エンジンのNVRAM設定が表示されます。

• show log

指定したIDSMのエラー ログが表示されます。

• show mac module_number

指定したIDSMのMACカウンタが表示されます。

• show module module_number

IDSMがインストールされていれば、[Intrusion Detection System Module under Module-Type]が表示されます。

• show port module_number

指定したIDSMのポート ステータスが表示されます。

• show port capabilities [ module | module_number ]

モジュールおよびポートの機能が表示されます。

• show test

SPANポート（ポート1）および管理ポート（ポート2）の両方について、診断テストで報告されたエラーが表示されます。さらに、BIOSおよびCMOSの起動結果も表示されます。

サポート対象外のスーパバイザ エンジンCLIコマンド

IDSMがサポートしていないスーパバイザ エンジンCLIコマンドは、次のとおりです。

• set port broadcast

• set port channel

• set port cops

• set port disable

• set port enable

• set port flowcontrol

• set port gmrp

• set port gvrp

• set port host

• set port inlinepower

• set port jumbo

• set port membership

• set port negotiation

• set port protocol

• set port qos

• set port rsvp

• set port security

• set port speed

• set port trap

• set protocolfilter

• set rgmp

• set snmp

• set spantree

• set udld

• set vtp

Cisco IOSコマンド

次の資料には、IDSM固有のネットワーク セキュリティ情報が記載されており、このマニュアルに記載されているネットワークセキュリティ情報と手順を補足する内容となっています。

• 『 Cisco IOS Security Configuration Guide 』 Release 12.1 は次のWebサイトにあります。

http://www.cisco.com/univercd/cc/td/doc/product/software/ios121/121cgcr/secur_c/index.htm

• 『 Cisco IOS Security Command Reference 』 Release 12.1 は次のWebサイトにあります。

http://www.cisco.com/univercd/cc/td/doc/product/software/ios121/121cgcr/secur_r/index.htm

IDSMは次のCLIコマンドをサポートします。これらのコマンドは、モード別にグループ化されています。

• 「EXECコマンド」

• 「コンフィギュレーション コマンド」

EXECコマンド

以下のコマンドはすべて、EXECモードで実行します。

• clock read-calendar

クロックタイムをカレンダーの時刻に合わせて更新します。

• clock set time date

現在の日時を設定します。

• clock update-calendar

カレンダーの時刻をクロックタイムに合わせて更新します。

• hw-module module slot_number reset

モジュールをデフォルトのアプリケーション パーティションにリセットします。

• hw-module module slot_number reset hdd:2

モジュールをメンテナンス パーティションにリセットします。

• hw-module module slot_number shutdown

シャーシから安全に取り外せるようにモジュールをシャットダウンします。

• reload

スイッチ全体をリロードします。

• session slot slot_number processor processor_number

スイッチ コンソールからIDSMのコンソールへログインします。

• show interfaces Gigabit slot_number/port_number

インターフェイスのステータスを表示します。

• show interfaces switchport module slot_number

インターフェイスの現在のスイッチ設定を表示します。

• show interface trunk module slot_number

インターフェイスの現在のトランク設定を表示します。

• show ip access-lists

現在のアクセス リストを表示します。

• show module

搭載されているモジュール、バージョン、およびステータスを表示します。

---

（注） show module コマンドでは、シグニチャ レベルは表示されません。

• show running-config

現在実行中のコンフィギュレーションを表示します。

• show running-config interface gigabit slot_number / port_number

指定したインターフェイスの現在の実行コンフィギュレーションを表示します。

• show startup-config

保存されているコンフィギュレーションを表示します。

• show vlan access-map

現在のVLANアクセス マップをすべて表示します。

コンフィギュレーション コマンド

次のコマンドはすべて、グローバル コンフィギュレーション モード、インターフェイス コンフィギュレーション モード、またはVACLコンフィギュレーション サブモードのいずれかで実行します。

• 「グローバル コンフィギュレーション モード」

• 「インターフェイス コンフィギュレーション モード」

• 「VACLコンフィギュレーション サブモード」

グローバル コンフィギュレーション モード

次のコマンドはすべて、グローバル コンフィギュレーション モードで実行します。

• clock calendar valid

現在のカレンダー時刻を、スイッチの起動時の時刻として設定します。

• clock summer-time zone recurring

スイッチをサマータイム設定にします。

• clock timezone zone offset

スイッチ/IDSMのタイムゾーンを設定します。

• interface GigabitEthernet slot number / port number

各IDSMポートの設定を開始します。

• ip access-list extended word

VACLマップで使用するアクセス リストを作成します。

• monitor session session { destination { interface interface interface-number } [ , | -] { vlan vlan-id }}

SPANセッションの宛先を設定します。

• monitor session session { source { interface interface interface-number | { vlan vlan-id }} [ , | - | rx | tx | both ]

SPANセッションの送信元を設定します。

• no power enable module slot_number

IDSMをシャットダウンし、電力供給を停止します。

• power enable module slot_number

電源がオフになっているIDSMの電源をオンにします。

• vlan access-map mapname sequence

VACLマップを作成します。

• vlan filter mapname vlan-list vlans

VACLマップをVLANにマップします。

インターフェイス コンフィギュレーション モード

インターフェイス コンフィギュレーション モードで実行するコンフィギュレーション コマンドは、次のとおりです。

• switchport

インターフェイスをスイッチ ポートとして設定します。

• switchport access vlan vlan

インターフェイスのアクセスVLANを設定します。

• switchport capture

インターフェイスをキャプチャ ポートとして設定します。

• switchport mode access

インターフェイスをアクセス ポートとして設定します。

• switchport mode trunk

インターフェイスをトランク ポートとして設定します。

• switchport trunk allowed vlan vlan s

トランクに許可するVLANを設定します。

• switchport trunk encapsulation dot1q

カプセル化タイプとしてdot1qを設定します。

• switchport trunk native vlan vlan

トランク ポートのネイティブVLANを設定します。

VACLコンフィギュレーション サブモード

VACLコンフィギュレーション サブモードで実行するコンフィギュレーション コマンドは、次のとおりです。

• action forward capture

一致したパケットをキャプチャするよう指定します。

• match ip address {1-199 | 1300-2699 | acl_name}

VACLのフィルタリングを指定します。

1台のスイッチ上で複数のIDSMを設定する場合

Catalyst 6500シリーズ スイッチには、使用できるモジュール スロットの数だけ、IDSMを搭載できます。Catalyst 6500シリーズ スイッチにスーパバイザ エンジンが1つまたは複数搭載されていれば、すべてのスロットにIDSMを搭載してもかまいません。異なるトラフィックをモニタするか、重複アラームを受信するよう、IDSMを設定します。

SPAN用に複数のIDSMを設定する場合

CatalystソフトウェアおよびCisco IOSソフトウェアがCatalyst 6000ファミリー スイッチ上で同時にサポートできるSPANセッションは2つまでなので、同一シャーシでSPANの宛先として指定できるIDSMは2つだけです。個々のIDSMがオーバーサブスクライブにならないように、ポート1がモニタするすべてのIP SPANトラフィックの合計を100 Mbps程度に制限してください。

セキュリティVACLキャプチャ用に複数のIDSMを設定する場合

スイッチ上のキャプチャ宛先ポートはすべて同じキャプチャ トラフィックを受信します。また、宛先ポートで、VLANによるキャプチャ トラフィックのフィルタリングが実行されます。IDSMスニフィング ポート（ポート1）は、デフォルトでトランク ポートになります。このポートは、このポートがモニタするVLAN（1つまたは複数）だけのメンバーとして設定する必要があります。個々のIDSMがオーバーサブスクライブにならないように、IDSMのポート1が属するVLAN（1つまたは複数）上のすべてのIPキャプチャ トラフィックの合計を100 Mbps程度に制限してください。

設定時の注意

IDSMがパケットを廃棄しているかどうかを調べるには、アラーム993の出力を確認します。トラフィックのオーバーサブスクリプションの識別を参照してください。

スイッチ コンフィギュレーションの例

このIDSの例では、IDSは次の構成のCatalyst 6006を使用します。

• スーパバイザ エンジン：

– Catalystソフトウェア

MSFCおよびPFCオプションを装備したSupervisor Engine 1モデルSUP1A-2GEがスロット1に搭載されています。

– Cisco IOSソフトウェア

MSFC2およびPFC2オプションを装備したSupervisor Engine 2モデルSUP2-2GEがスロット1に搭載されています。

• スロット2に48ポートのファスト イーサネット モジュールが搭載されています。

• スロット3に8ポートのギガビット イーサネット モジュールが搭載されています。

• スロット6にIDSMが搭載されています。

• Catalyst 6500シリーズ スイッチのポートはすべて、VLAN 1に含まれています。

次に、スイッチ コンフィギュレーションの例を示します。

ここで紹介する例では、次のコンポーネントを使用しています。

• Ziff-Davis WebBench 3.0のテスト環境がスイッチに接続されています。

• ファスト イーサネットNICを装備した48ポートのファスト イーサネット モジュール上で、12のWindows NTがデュアル ホーミングされています。

• 各NTに、WebBench制御トラフィックに使用する172.21.184.Xサブネットとして設定されたネットワーク アダプタ、および10.1.6.xサブネットとして設定されたネットワーク アダプタがそれぞれ1つずつあります。

• Windows NTサーバ ベースのWebサーバ2つが、モジュール3のギガビット イーサネットのポート7およびポート8に接続されています。

• サーバのIPアドレスは、それぞれ10.1.6.1および10.1.6.2です。

例1:何も拒否せず、すべてをモニタする設定

これは、最も単純な設定例です。モニタ対象のVLANにマップされた1つのVACLだけで構成されています。

• Catalystソフトウェア

• Cisco IOSソフトウェア

このVACLは、指定されたキャプチャ ポートに送信されるすべてのトラフィック（全二重）をキャプチャします。この例では、VLANの最大帯域利用率を測定することが困難になる傾向があるので、IDSMのオーバーサブスクライブが問題になります。キャプチャACLにより影響を受ける全ポートを合計して使用帯域幅を推定するか、未使用のギガビット イーサネット ポートをキャプチャの宛先として指定できます。すべてのキャプチャ ポートがキャプチャしたすべてのトラフィックを受信するので、このポートはIDSMの処理内容をミラーリングすることになります。

例2:専用サーバと単一VLANの設定

専用サーバは一般に、提供するサービスの数が限られます。たとえば、Webサーバが提供するのは通常、Webサービス（HTTP、場合によってはSSL、およびFTPサービス）だけです。例2では、具体的には専用Webサーバをモニタします。この例では、IDSMでアドレス10.1.6.1および10.1.6.2の2つのWebサーバを保護します（図9を参照）。

図9 例2の構成

VACL機能を使用して、次の特性を備えたACLを作成します。

• 明示的に許可したもの以外のあらゆるトラフィックに対して、Webサーバへのアクセスを禁止します（デフォルトの設定）。IDSMは、FTPデータ トラフィックを除いて、サーバへのアクセスが許可されたすべてのトラフィックを監視します。

• サーバのWebポート（80）宛てのトラフィックを明示的に許可します。

• サーバ1のFTPサービス（21および20）宛てのトラフィックを明示的に許可します。

• サーバがあらゆるIPプロトコルのあらゆるポートに応答するようにします。

• VLAN上の他のすべてのデバイスが（IPを使用して）相互に完全な対話を行うようにします。

次に、CatalystソフトウェアのACLの設定例を示します。

例の1行目と2行目で、サーバ1のFTPコマンド ポートに接続するあらゆるホスト、およびそのポートに応答するサーバ1に許可を設定しています。このトラフィックはモニタ（キャプチャ）対象です。2行目は、戻りのトラフィックを明示的にキャプチャするために必要です。2行目を指定しなくても、8行目で戻りのトラフィックを許可しているので、FTPサービスは機能しますが、できるだけモニタを全二重にすることを推奨します。

3行目で、FTPデータ チャネルを確立できるようにします。このチャネルは、実際のデータ転送に使用します。このチャネルは侵入がモニタされません。データ転送にはシグニチャ トリガが組み込まれないためです。8行目で戻りの接続を許可します。

4行目および5行目で、着信Web要求を許可し、着信要求および着信データをキャプチャ ポート（1つまたは複数）にコピーします。

6行目および7行目で、2つのサーバに対する他のあらゆる着信接続を禁止（拒否）します。

8行目で、VLAN上のその他のあらゆるIPトラフィックが通常どおりに流れるようにします。この行により、4行目および5行目で許可された要求に応じて、Webサーバがページを提供できるようになります。 また、FTPサーバの発信データ接続（ポート20）が許可されます。

---

（注） capture機能は、permit ACLステートメントと組み合わせた場合に限って有効です。

次に、Cisco IOSソフトウェアの設定例を示します。

最初のACLのweb_acl1で、キャプチャするトラフィックを指定します。他のトラフィックはweb_acl2によってフィルタリングされます。web_acl1の1行目と2行目で、サーバ1のFTPコマンド ポートに接続するあらゆるホスト、およびそのポートに応答するサーバ1に許可を設定しています。このトラフィックはモニタ（キャプチャ）対象です。2行目は、戻りのトラフィックを明示的にキャプチャするために必要です。2行目を指定しなくても、web_acl2の4行目で戻りのトラフィックを許可しているので、FTPサービスは機能しますが、できるだけモニタを全二重にすることを推奨します。3行目および4行目で、着信Web要求を許可し、着信要求および着信データをキャプチャ ポート（1つまたは複数）にコピーします。

web_acl2の1行目で、FTPデータ チャネルを確立できるようにします。このチャネルは、実際のデータ転送に使用します。このチャネルは侵入がモニタされません。データ転送にはシグニチャ トリガが組み込まれないためです。戻りの接続は4行目で許可されます。2行目と3行目で、2つのサーバへの他のあらゆる着信接続を拒否しています。4行目で、VLAN上の他のあらゆるIPトラフィックが通常どおりに流れるようにします。この行により、web_acl1の3行目および4行目で許可された要求に応じて、Webサーバがページを提供できるようになります。また、FTPサーバの発信データ接続が許可されます。

例2では、次のものがモニタされます。

• サーバを宛先とするHTTPおよびFTPトラフィック（上記のVACLステートメントの capture キーワードを参照）。

• 明示的にイネーブルに設定されているサービス。他はすべて拒否されます。

• 着信（半二重）WebトラフィックおよびFTPコマンド チャネル トラフィック。

この例は、選択的にモニタすることによってIDSMのオーバーサブスクライブを防止するという方針に基づいています。Webトラフィックでこれが可能なのは、クライアントの要求トラフィックの方がサーバの応答トラフィックよりもはるかに少ないためです。数百バイトのWeb要求1つで、数千バイトの応答が容易に発生します。Webシグニチャの大部分は、クライアントの要求トラフィックだけを解析すればよいので、「関係のない」応答トラフィックで、限られたIDS帯域幅を消費しないようにします。したがって、少数のWebシグニチャは、クライアント トラフィックに対するサーバを調べなければならないので、モニタできません。

モニタ対象のFTPサービスは制御チャネル（ポート21）です。これは通常、広帯域幅のデータ チャネル（ポート20）に対する狭帯域幅のコマンドおよび制御チャネルです。制御チャネルでは双方向（全二重）でトラフィックがモニタされます。

対応するIDSコンフィギュレーションでは、ポート21および80を対象ポートとして設定し、ポート80をWebサービス、ポート21をFTPサービスとして指定します。さらに、いくつかのトークンおよびシグニチャを半二重動作として設定する必要があります。シグニチャ3205～3207はディセーブルにしてください。これらのシグニチャはWebクライアント トラフィックに対するWebサーバをモニタするので、半二重設定には不適切な動作を伴うためです（例4: IDSシグニチャでの半二重（シンプレックス）トラフィック モニタの影響を参照）。さらに、TCPThreeWayHandshakeのトークンを0（オフ）に、TCPStrictReassemblyのトークンを0または1（オフまたはルーズ）に設定します。TCPStrictReassemblyのために、ReassembleFragmentsのトークンを変更しなければならない場合があります。詳細については、「高度なコンフィギュレーション オプション」を参照してください。

この汎用VACL技法は、ポートベースのあらゆるサービスに適用できます。

例3:複数のVLANおよび専用サーバの設定

例3（図10を参照）は、2つ以上のLANをルータで接続している状況に対応します。これは、例1と例2を組み合わせたものです。ルーティング機能としては、オンボード（スーパバイザベース）ルーティング機能と外部ルータという2種類を考ることができます。

図10 例3の構成

オンボード ルーティング（MSFCが搭載されたスーパバイザ エンジン）とスタンドアロン型ルータの比較

VLAN 10のホストとVLAN 20のサーバ間で接続が確立されると、ルータ機能の位置（オンボードまたはスタンドアロン）に関係なく、最初のパケットはパス1とパス2を通ります。パケットがスイッチのバックプレーンを通過するたびに、VACLが適用されます。この場合、キャプチャ ポートに転送されるパケットのコピーが2つ生じる可能性があります（パス1を通るパケットとパス2を通るパケット）。

オンボード ソリューションでは、MSFCに十分な情報が与えられると、パス3経由でパケットをルーティングできます。この場合、パケットはバックプレーンを1回だけ通過すればよいので、キャプチャされてキャプチャ ポートに出力されるパケットは1つだけです。スタンドアロン型ルータの場合は、必ずパス1からパス2を通ります。

この二重キャプチャは、アラームの起動を早めたり、頻繁にしたりする可能性があるので問題があります。一部のアラームは、カウント スレッシュホールドに基づいて、パケットが2倍になるとそれだけ短期間でスレッシュホールドに達します。

例3は、例1および例2を結合したものです。VLAN 10は、例2の場合と同様のVACLとしてモニタできます。VLAN 10にマップした適切なVACLによってVLAN 10をモニタできます。二重キャプチャ現象が発生するのは、ルーティングされるVLAN 10パケットがVLAN 10にマップされたVACLおよびVLAN 20にマップされたVACL（およびその逆）によってキャプチャされる場合だけです。オンボード ルーティング機能の場合、VLAN 10およびVLAN 20を通過するパケットは、フローの確立後にスイッチングされるので、二重キャプチャは発生しません。

---

例4: IDSシグニチャでの半二重（シンプレックス）トラフィック モニタの影響

接続が切断された場合に、IDSMがフローの状態を追跡して、素早くバッファを復旧できるように、双方向（全二重）でトラフィック フローをモニタすることを推奨します。状況によっては、保護の対象から一部のトラフィックを除外する必要もあります。

半二重が最も有効なのは、通常の場合、悪意がなくまたその疑いもない数百バイトの要求（ただし悪意の可能性もある）によって、数千バイトのIDSの応答を発生させる可能性のあるWebサーバです。半二重は、提供するIDSサービス全体の品質面の影響を最小限に抑え、最大限の戻り性能を実現します。信頼できるものとみなして、処理から除外する広帯域幅サーバの事例は、ほかにも考えられます。

TCPベースのサービスに半二重設定を適用する場合は、TCPセッションを再確立するよう設定を変更しなければならない場合があります。詳細は、「高度なコンフィギュレーション オプション」を参照してください。

半二重モニタの利点は、IDSM処理容量という限られた資源を保護できることです。欠点は、IDSMが調べるのはトラフィックの一方向だけなので、キャプチャしないトラフィックが誤って否定されかねないということです（これは、すべてのシグニチャに当てはまります）。半二重（シンプレックス）環境（たとえば、例1のHTTPトラフィック）の場合、指定されている条件なので、次のシグニチャをディセーブルにすることを推奨します（明らかなフォールス ネガティブおよび明らかなフォールス ポジティブを参照）。混在モード（たとえば、例1）では、これらの条件が当てはまるのは、実際に半二重でモニタされるサービスだけです。

明らかなフォールス ネガティブ

表5 に、半二重の環境ではディセーブルにする必要のあるシグニチャを示します。

 

明らかなフォールス ポジティブ

表6 に明らかなフォールス ポジティブを示します。これらもディセーブルにする必要があります。

 

例5: MSFC1およびMSFC2を使用したVACLベースのキャプチャの設定

ここでは、Supervisor Engine 1およびSupervisor Engine 2を使用したVACLベースのキャプチャについて説明します。具体的な内容は次のとおりです。

• 「ネットワークの設定」

• 「MSFCが搭載されたSupervisor Engine 1A上でのICMPおよびWebパケットの結果」

• 「MSFC2が搭載されたSupervisor Engine 2上でのICMPおよびWebパケットの結果」

• 「解析」

ネットワークの設定

図11に、ネットワーク構成を示します。

図11 VACLベースのキャプチャの設定

VACLベースのキャプチャの動作を次のようなネットワーク構成でテストします。

• ハードウェア構成

– PFCとMSFCが搭載されたSupervisor Engine 1A

– PFC2とMSFC2が搭載されたSupervisor Engine 2

• ソフトウェア コンフィギュレーション

– Catalystソフトウェア リリース6.1.1a（各ハードウェア プラットフォームに対応）

– Cisco IOS Release 12.1(8a)EX

• パケット タイプ

– ICMP（ping）

正常な動作 ― クライアントからのICMPエコー要求（ping）パケットへの応答として、10.1.7.1のサーバからICMPエコー応答パケットが送信されます。

– Webサーバ要求

正常な動作 ― クライアントがサーバのポート80（Webサーバ）とのTCP接続を確立し、Webページを要求します。サーバはこれに応答して、要求されたページを送信します。クライアントはFINシーケンスを送信して、TCP接続を切断します。

---

（注） VACLは許可および転送されていない全パケットを暗黙的に拒否するので、denyicmpおよびdenywwwは他のあらゆるパケットを拒否します。

• CatalystソフトウェアのVACL

– Testacl

set security acl ip testacl permit ip any any capture

– Denyicmp

set security acl ip denyicmp deny icmp any host 10.1.6.211

set security acl ip denyicmp permit ip any any

– Denywww

set security acl ip denywww deny tcp any eq 80 host 10.1.6.211

set security acl ip denywww permit ip any any

– Testacl2

set security acl ip testacl2 deny icmp any host 10.1.6.211

set security acl ip testacl2 permit ip any any capture

– Testacl3

set security acl ip testacl3 deny tcp any eq 80 host 10.1.6.211

set security acl ip testacl3 permit ip any any capture

• Cisco IOSソフトウェアのVACL

– testacl

– denyicmp

– denywww

– testacl2

– testacl3

MSFCが搭載されたSupervisor Engine 1A上でのICMPおよびWebパケットの結果

表7 に、MSFCが搭載されたSupervisor Engine 1A上のVLAN 6およびVLAN 7でキャプチャされるICMPパケットおよびWebパケットのテスト結果を示します。

---

（注） 結果の欄には、どの位置で（1または2）パケットがキャプチャされたかが示されています。キャプチャの位置は、キャプチャされたパケットに適用されたVLANタグによって決まります。1でキャプチャされたパケットはVLAN 6に属し、2でキャプチャされたパケットはVLAN 7に属します。

 

5.Cisco IOSソフトウェア：Testaclの代わりにcapture_all 6.denyxxx VACLは、実際にはすべてを拒否します。つまり、何も許可しません。この区別はテストには関係ありません。 7.Cisco IOSソフトウェア：DenyicmpおよびDenywwwの代わりにdeny_icmp_www 8.Cisco IOSソフトウェア：Testacl2およびTestacl3の代わりにcapture_non_icmp_www

MSFC2が搭載されたSupervisor Engine 2上でのICMPおよびWebパケットの結果

表8 に、MSFC2が搭載されたSupervisor Engine 2上のVLAN 6およびVLAN 7でキャプチャされるICMPパケットおよびWebパケットのテスト結果を示します。

---

（注） 結果の欄には、どの位置で（1または2）パケットがキャプチャされたかが示されています。キャプチャの位置は、キャプチャされたパケットに適用されたVLANタグによって決まります。1でキャプチャされたパケットはVLAN 6に属し、2でキャプチャされたパケットはVLAN 7に属します。

 

9.Cisco IOSソフトウェア：Testaclの代わりにcapture_all 10.Cisco IOSソフトウェア：DenyicmpおよびDenywwwの代わりにdeny_icmp_www 11.これは、Supervisor Engine2/EARL-6のキャプチャ動作です（解析を参照）。 12.Cisco IOSソフトウェア：Testacl2およびTestacl3の代わりにcapture_non_icmp_www

解析

Supervisor Engine 1Aのテスト中に、異常が検出されました。すべてのトラフィックが2でキャプチャされていました。正常であれば、 表7 に記載されているように動作するはずです。調査した結果、MSFCでMLS機能がディセーブルになっていたため、すべてのパケットにソフトウェア ルーティングが実行されていた（レイヤ3ファスト スイッチングは実行されない）ことがわかりました。正常に動作している場合、対話の最初のパケット（TCPのSYN）にはソフトウェア ルーティングが実行されます。このパケット（およびその応答）によって、MLSフローが確立され、2番目以降のパケットには、MLS（レイヤ3スイッチング）が適用されます。MLSスイッチングが実行されたパケットは、スイッチの出力ポートのVLANタギングでキャプチャされます。

Supervisor Engine 2には、Enhanced Address Recognition Logic (EARL)-6処理エンジンが搭載されています。EARL-6の役割は、コピーおよびキャプチャの決定処理です。コピーおよびキャプチャ決定の処理方法に関する設計が変更された（Supervisor Engine 1のEARL-5からの）結果、廃棄パケットがキャプチャされるようになりました。そのため、IDSが誤ってアラームをレポートする可能性があります。

denyicmpおよびdenywwwのVACL（Catalystソフトウェア）またはdeny_icmp_wwwのVACL（Cisco IOSソフトウェア）は、サーバからクライアントへの応答トラフィックを明示的に拒否します。これらには、VACL機能による暗示的なすべての拒否も含まれています。クライアントからサーバへはトラフィックは絶対に到達しません。ただし、宛先VLANには、通常、該当するキャプチャVACLが付いているので、EARL-6はスイッチングの決定には依存せず、独自にキャプチャの決定を実行し、キャプチャ ビットを設定します。キャプチャ ポートは、キャプチャ ビットに基づいて、スイッチのバックプレーンからのパケットをコピーするので、「廃棄された」パケットがキャプチャされるのです。

高度なコンフィギュレーション オプション

IDSMには、次の2つの高度なコンフィギュレーション オプションを使用できます。

• 「TCPセッションの再確立」

• 「IPフラグメントの再組み立て」

TCPセッションの再確立

IDSMは、TCPセッション ストリームを再確立できます。この機能は、IDSシステムを破ろうとするいくつかの技法に対抗するために取り入れられました。ここでは、コンフィギュレーションの設定値およびセッション再確立の効果について詳しく説明します。

セッションの再確立は、packetd.confファイルのトークンで制御します。設定値を変更する具体的な手順については、『 Cisco Intrusion Detection System Director for UNIX Configuration and Operations Guide 』を参照してください。

TCPThreeWayHandShake：TCPストリームの再確立サブシステムは、TCP接続を確立しようとする3方向ハンドシェークを検出したときに限り、トラフィックを監視するように設定できます。デフォルト値は0（off）です。半二重動作の場合は、0（off）に設定することを推奨します。

TCPStrictReassembly：TCPストリームの再確立サブシステムは、受信側ホストからACKが返信された場合に限り、パケットを検索するように設定できます。このトークンでその動作を制御します。次の3種類の設定値を使用できます（設定しなかった場合は、デフォルト値の0になります）。半二重動作の場合は、0（off）に設定することを推奨します。

IPフラグメントの再組み立て

IDSMは、分割されたIPデータグラムを組み立て直すことができます。この機能は、IPフラグメントに依存してIDSを破ろうとする技法に対抗するために取り入れられました。この機能を制御する目的で、次のトークンが定義されています。

---

---

---

---

---

---

---

---

---

---

---