Hierarchical Navigation |
目次概要 概要このドキュメントでは、Cisco ASA 5500 シリーズ Adaptive Security Appliance（ASA; 適応型セキュリティ アプライアンス）経由で Advanced Inspection and Prevention Security Services Module（AIP-SSM）（IPS）モジュールへネットワーク トラフィックを送信する方法の設定例について説明します。 設定例では、Command Line Interface（CLI; コマンドライン インターフェイス）を使用します。 Cisco ASA 5500 シリーズ ASA を経由して Advanced Inspection and Prevention Security Services Module（AIP-SSM）（IPS）モジュールにネットワーク トラフィックを送信するには、「ASA： Cisco ASA 5500シリーズ適応性があるセキュリティアプライアンスモデル(ASA)からネットワークトラフィックをコンテンツセキュリティに送信し、セキュリティサービスモジュール(CSC-SSM)を制御するためにASAからCSC-SSM設定例にネットワークトラフィックを送信して下さい。 マルチコンテキストモードのCisco ASA 5500シリーズ適応性があるセキュリティアプライアンスモデル(ASA)を高度インスペクションおよび防止セキュリティサービスモジュール(AIP-SSM) (IPS)に通るネットワークトラフィックを送信する方法に関する詳細についてはセキュリティコンテキスト(AIP SSMだけ)にバーチャルセンサーを割り当てる方法を参照して下さいモジュール。 注： ASA を通過するネットワーク トラフィックには、インターネットにアクセスする内部ユーザまたは Demilitarized Zone（DMZ; 非武装地帯）や Inside ネットワーク内の ASA によって保護されたリソースにアクセスするインターネット ユーザなどがあります。 ASA から送信される、もしくは ASA へ送信されるネットワーク トラフィックは、検査のために IPS モジュールには送信されません。 IPS モジュールに送信されないトラフィックの例としては、ASA インターフェイスへの PING の実行（ICMP）や ASA への Telnet の実行などが挙げられます。 注： 検査を目的としてトラフィックを分類するために ASA によって使用されるモジュラ ポリシー フレームワークは、IPv6 をサポートしていません。 そのため、ASA を経由して IPv6 トラフィックを AIP SSM へ転送する場合、IPv6 トラフィックはサポートされません。 注： AIP-SSMの初期設定に関する詳細については、AIP-SSMセンサーの初期設定を参照して下さい。 前提条件要件この資料はCisco ASAソフトウェアバージョン8.xおよびIPSソフトウェアバージョン6.xを設定する聴衆は方法の基本的な理解があると仮定します。
使用するコンポーネントこの文書の情報は、次のソフトウェアとハードウェアのバージョンに基づいています。
注： この設定例はOS 7.xおよびそれ以降のあらゆるCisco ASA 5500シリーズファイアウォールおよびIPS 5.xおよびそれ以降のAIP-SSMモジュールと互換性があります。 この文書の情報は、特定のラボ環境にあるデバイスに基づいて作成されています。 この文書で使用するデバイスは、すべて初期（デフォルト）の設定で起動しています。 コマンドが実稼動中のネットワークに与える影響について理解しておいてください。 表記法ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。 設定このセクションでは、この文書で説明する機能の設定に必要な情報を提供します。 注： このセクションで使用されているコマンドの詳細を調べるには、Command Lookup Tool（登録ユーザ専用）を使用してください。 この設定で使用する IP アドレッシング方式では、インターネットで正式にはルーティングできません。 これらは RFC 1918 でのアドレスで、ラボ環境で使用されたものです。 ネットワーク ダイアグラムこのドキュメントではこのネットワーク構成を使用しています。
初期設定この文書では、次の設定を使用します。 ASA と AIP-SSM のどちらもデフォルト設定から開始されますが、テストを目的として特定の変更が行われています。 追加部分については設定内にその旨が注記されています。
注： ないアクセスhttpsが付いているAIP-SSMモジュールである場合、これらのステップを完了して下さい:
詳細については初期化AIP-SSMを参照して下さい。 インラインAIP-SSMまたは混合モードのすべてのトラフィックを検査して下さい多くの場合、ネットワーク管理者や企業の上級管理職は、すべてのイベントを監視できる必要があります。 この設定は、すべてのイベントを監視するための要件を満たしています。 すべてのイベントを監視することに加えて、ASA と AIP-SSM のインタラクションの方法について 2 つの判断が必要になります。
ciscoasa(config)#access-list traffic_for_ips permit ip any any ciscoasa(config)#class-map ips_class_map ciscoasa(config-cmap)#match access-list traffic_for_ips !--- The match any command can be used in place of !--- the match access-list [access-list name] command. !--- In this example, access-list traffic_for_ips permits !--- all traffic. The match any command also !--- permits all traffic. You can use either configuration. !--- When you define an access-list, it can ease troubleshooting. ciscoasa(config)#policy-map global_policy !--- Note that policy-map global_policy is a part of the !--- default configuration. In addition, policy-map global_policy !--- is applied globally with the service-policy command. ciscoasa(config-pmap)#class ips_class_map ciscoasa(config-pmap-c)#ips inline fail-open !--- Two decisions need to be made. !--- First, does the AIP-SSM function !--- in inline or promiscuous mode? !--- Second, does the ASA fail-open or fail-closed? ciscoasa(config-pmap-c)#ips promiscous fail-open !--- If AIP-SSM is in promiscous mode, issue !--- the no ips promiscous fail-open command !--- in order to negate the command and then use !--- the ips inline fail-open command. ASDMを使用してAIP-SSMのすべてのトラフィックを検査して下さいASDMを使用するAIP-SSMのすべてのトラフィックを検査するためにこれらのステップを完了して下さい:。
AIP-SSM による特定のトラフィックの検査ネットワーク管理者が AIP-SSM モニタをすべてのトラフィックのサブネットとして設定する場合、ASA には設定可能な 2 つの独立した変数があります。 まず、必要なトラフィックを含めたり除外したりするように、アクセス リストを記述できます。 アクセス リストの修正に加えて、サービス ポリシーを特定のインターフェイスに適用したり、AIP-SSM によって検査されるトラフィックを変更するためにグローバルに適用できたりします。 このドキュメントのネットワーク ダイアグラムを基準にすると、ネットワーク管理者は、AIP-SSM による Outside ネットワークと DMZ ネットワークの間のすべてのトラフィックを検査する必要があります。 ciscoasa#configure terminal ciscoasa(config)#access-list traffic_for_ips deny ip 10.2.2.0 255.255.255.0 192.168.1.0 255.255.255.0 ciscoasa(config)#access-list traffic_for_ips permit ip any 192.168.1.0 255.255.255.0 ciscoasa(config)#access-list traffic_for_ips deny ip 192.168.1.0 255.255.255.0 10.2.2.0 255.255.255.0 ciscoasa(config)#access-list traffic_for_ips permit ip 192.168.1.0 255.255.255.0 any ciscoasa(config)#class-map ips_class_map ciscoasa(config-cmap)#match access-list traffic_for_ips ciscoasa(config)#policy-map interface_policy ciscoasa(config-pmap)#class ips_class_map ciscoasa(config-pmap-c)#ips inline fail-open ciscoasa(config)#service-policy interface_policy interface dmz !--- The access-list denies traffic from the inside network to the DMZ network !--- and traffic to the inside network from the DMZ network. !--- In addition, the service-policy command is applied to the DMZ interface. 次に、ネットワーク管理者は、Inside ネットワークから Outside ネットワークに発信されたトラフィックを AIP-SSM で監視する必要があります。 Inside ネットワークから DMZ ネットワークへのトラフィックは監視されません。 注： このセクションを理解するには、ステートフルネス、TCP、UDP、ICMP、接続、およびコネクションレス型通信に関する中級レベルの知識が必要です。 ciscoasa#configure terminal ciscoasa(config)#access-list traffic_for_ips deny ip 10.2.2.0 255.255.255.0 192.168.1.0 255.255.255.0 ciscoasa(config)#access-list traffic_for_ips permit ip 10.2.2.0 255.255.255.0 any ciscoasa(config)#class-map ips_class_map ciscoasa(config-cmap)#match access-list traffic_for_ips ciscoasa(config)#policy-map interface_policy ciscoasa(config-pmap)#class ips_class_map ciscoasa(config-pmap-c)#ips inline fail-open ciscoasa(config)#service-policy interface_policy interface inside このアクセス リストでは、Inside ネットワークから発信され、DMZ ネットワークに宛てられたトラフィックが拒否されます。 2 番目のアクセス リストの行では、Inside ネットワークから発信され、AIP-SSM への Outside ネットワークに宛てられたトラフィックが許可または拒否されます。 この時点で、ASA のステートフルネスがその機能を発揮します。 たとえば、内部ユーザが Outside ネットワーク（ルータ）上のデバイスへの TCP 接続（Telnet）を開始します。 ユーザは、ルータへの接続とログインに成功します。 次に、ユーザは承認されていないルータ コマンドを発行します。 ルータは Command authorizaton failed を返します。 Command authorization failed という文字列を含むデータ パケットには、Outside ルータの発信元および Inside ユーザの宛先が含まれています。 発信元（Outside）および宛先（Inside）は、このドキュメントですでに定義されているアクセス リストには一致しません。 ASA では、ステートフルな接続が追跡されるため、（Outside から Inside へ）返されるデータ パケットは、検査のために AIP-SSM へ送信されます。 AIP-SSM で設定されたカスタム シグニチャ 60000 0 がアラームを発行します。 注： デフォルトでは、ASA によって ICMP トラフィックの状態が保持されません。 上述の設定例では、内部ユーザが Outside ルータに対して PING（ICMP エコー要求）を実行します。 ルータは ICMP エコー応答を返します。 AIP-SSM では、エコー要求パケットは検査されますが、エコー応答パケットは検査されません。 ASA で ICMP 検査が有効になっている場合、エコー要求とエコー応答のどちらのパケットも AIP-SSM によって検査されます。 AIP-SSMスキャンから特定のネットワークトラフィックを除いて下さい与えられた一般化された例はAIP-SSMがスキャンされる特定のトラフィックの免除でビューを提供したものです。 これを行うために、DenyステートメントのAIP-SSMスキャンから除かれるトラフィックフローが含まれているaccess-listを作成する必要があります。 この例では、IPSはaccess-listの名前ですAIP-SSMがスキャンされるトラフィックフローを定義する。 <source>と<destination>間のトラフィックはスキャンから除かれます; 他のトラフィックはすべて検査されます。 access-list IPS deny IP <source> <destination> access-list IPS permit ip any any ! class-map my_ips_class match access-list IPS ! ! policy-map my-ids-policy class my-ips-class ips inline fail-open 検証アラート イベントが AIP-SSM に記録されていることを確認します。 管理者ユーザ アカウントを使用して、AIP-SSM にログインします。 show events alert コマンドを実行すると、この出力が生成されます。 注： 出力は、シグニチャ設定、AIP-SSM に送信されたトラフィックのタイプ、およびネットワーク負荷に基づいて異なります。 特定の show コマンドが、アウトプットインタープリタ（登録ユーザ専用）（OIT）でサポートされています。 OIT を使用して、show コマンド出力の解析を表示できます。
この設定例では、複数の IPS シグニチャがテスト トラフィックに対してアラームを発行するように調整されています。 シグニチャ 2000 および 2004 は設定変更が行われています。 カスタム シグニチャ 60000 が追加されてます。 ラボ環境またはほとんどのデータが ASA を通過しないネットワークにおいては、イベントをトリガーするためにシグニチャの設定変更が必要になる場合があります。 ASA および AIP-SSM が大量のトラフィックが通過する環境に展開される場合、デフォルトのシグニチャ設定によってイベントが生成される可能性があります。 トラブルシューティングこのセクションでは、設定のトラブルシューティングに役立つ情報を提供します。 特定の show コマンドが、アウトプットインタープリタ（登録ユーザ専用）（OIT）でサポートされています。 OIT を使用して、show コマンド出力の解析を表示できます。 ASA から show コマンドを発行します。
AIP-SSM を設置して使用する以前に、ネットワーク トラフィックは正常に ASA を通過していますか。 正常に通過しない場合、ネットワークおよび ASA アクセス ポリシー ルールにトラブルシューティングを行うことが必要な場合があります。 フェールオーバーの問題
エラー メッセージ次に示すように、IPS モジュール（AIP-SSM）によってエラー メッセージが生成され、イベントは発行されません。 07Aug2007 18:59:50.468 0.757 interface[367] Cid/W errWarning Inline data bypass has started. 07Aug2007 18:59:59.619 9.151 mainApp[418] cplane/E Error during socket read 07Aug2007 19:03:13.219 193.600 nac[373] Cid/W errWarning New host ip [192.168.101.76] 07Aug2007 19:06:13.979 180.760 sensorApp[417] Cid/W errWarning unspecifiedWarning:There are no interfaces assigned to any virtual sensors. This can result in some packets not being monitored. 07Aug2007 19:08:42.713 148.734 mainApp[394] cplane/E Error - accept() call returned -1 07Aug2007 19:08:42.740 0.027 interface[367] Cid/W errWarning Inline data bypass has started. IPS バーチャル センサーが ASA のバックプレーン インターフェイスに割り当てられていないことがこのエラー メッセージの原因です。 SSM モジュールへトラフィックを送信するために ASA は適切な方法で設定されますが、SSM によってトラフィックがスキャンされるためには、ASA によって作成されたバックプレーン インターフェイスにバーチャル センサーを割り当てる必要があります。 errorMessage: IpLogProcessor::addIpLog: Ran out of file descriptors name=errWarn errorMessage: IpLog 1701858066 terminated early due to lack of file handles. name=ErrLimitExceeded これらのメッセージは、すべてのシステム リソースを次々に占有する IP LOGGING が有効になっていることを示しています。 トラブルシューティングや調査を目的とする場合にだけ IP LOGGING を使用する必要があるため、Cisco では IP LOGGING を無効にすることをお勧めします。 注： errWarningインラインデータバイパスはセンサーがシグニチャアップデートプロセスの必要な部分であるシグニチャアップデートの後で瞬間的に分析エンジンを再起動すると同時にエラーメッセージをです予期された動作開始しました。 Syslog サポートAIP-SSMはsyslogをのでアラートフォーマットサポートしません。 AIP-SSMからアラート情報を受け取るデフォルトの方式は安全装置イベントExchange (SDEE)によってあります。 もう一つのオプションは奪取するために彼らがトリガーするときアクションとしてSNMPトラップを生成するために個々のシグニチャを設定することです。 AIP-SSM再度ブートするAIP-SSMモジュールはきちんと応答しません。 AIP-SSMモジュールがきちんと応答しない場合、ASAをリブートしないでAIP-SSMモジュールをリブートして下さい。 AIP-SSMモジュールをリブートするためにhw-moduleモジュール1 reloadコマンドを使用し、ASAをリブートしないで下さい。 AIP-SSM Eメール通知AIP-SSMはユーザにeメール通知を発信できますか。 いいえ、それはサポートされません。 Cisco サポート コミュニティ - 特集対話関連情報
|
| 
