Hierarchical Navigation |
目次概要 概要このドキュメントでは、Cisco ASA 5500 シリーズ Adaptive Security Appliance（ASA; 適応型セキュリティ アプライアンス）経由で Advanced Inspection and Prevention Security Services Module（AIP-SSM）（IPS）モジュールへネットワーク トラフィックを送信する方法の設定例について説明します。 設定例では、Command Line Interface（CLI; コマンドライン インターフェイス）を使用します。 Cisco ASA 5500 シリーズ Adaptive Security Appliance（ASA; 適応型セキュリティ アプライアンス）から Content Security and Control Security Services Module（CSC-SSM）へネットワーク トラフィックを送信する方法については、『ASA：ASA から CSC-SSM へのネットワーク トラフィックの送信の設定例』を参照してください。 注：ASA を通過するネットワーク トラフィックには、インターネットにアクセスする内部ユーザまたは Demilitarized Zone（DMZ; 非武装地帯）や Inside ネットワーク内の ASA によって保護されたリソースにアクセスするインターネット ユーザなどがあります。ASA から送信される、もしくは ASA へ送信されるネットワーク トラフィックは、検査のために IPS モジュールには送信されません。IPS モジュールに送信されないトラフィックの例としては、ASA インターフェイスへの PING の実行（ICMP）や ASA への Telnet の実行などが挙げられます。 注：検査を目的としてトラフィックを分類するために ASA によって使用されるモジュラ ポリシー フレームワークは、IPv6 をサポートしていません。 そのため、ASA を経由して IPv6 トラフィックを AIP SSM へ転送する場合、IPv6 トラフィックはサポートされません。 前提条件要件このドキュメントの内容を理解するには、Cisco ASA ソフトウェア バージョン 7.x および IPS ソフトウェア バージョン 5.x の設定方法に関する基本的な知識が必要です。
使用するコンポーネントこのドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づくものです。
注：この設定例は、OS 7.x が稼働する Cisco ASA 5500 シリーズ ファイアウォールおよび IPS 5.x が稼働する AIP-SSM モジュールと互換性があります。 このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。対象のネットワークが実稼働中である場合には、どのような作業についても、その潜在的な影響について確実に理解しておく必要があります。 表記法ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。 設定このセクションでは、このドキュメントで説明する機能を設定するための情報を提供します。 注：このセクションで使用されているコマンドの詳細を調べるには、Command Lookup Tool（登録ユーザ専用）を使用してください。 この設定で使用している IP アドレス スキームは、インターネット上で正式にルーティング可能なものではありません。 これらは RFC 1918 ネットワーク ダイアグラムこのドキュメントでは、次のネットワーク構成を使用しています。
ネットワーク ダイアグラム 初期設定このドキュメントでは、次の設定を使用します。 ASA と AIP-SSM のどちらもデフォルト設定から開始されますが、テストを目的として特定の変更が行われています。 追加部分については設定内にその旨が注記されています。
AIP-SSM によるすべてのトラフィックの検査多くの場合、ネットワーク管理者や企業の上級管理職は、すべてのイベントを監視できる必要があります。 この設定は、すべてのイベントを監視するための要件を満たしています。 すべてのイベントを監視することに加えて、ASA と AIP-SSM のインタラクションの方法について 2 つの判断が必要になります。
ciscoasa(config)#access-list traffic_for_ips permit ip any any ciscoasa(config)#class-map ips_class_map ciscoasa(config-cmap)#match access-list traffic_for_ips !--- match any コマンドは !--- match access-list [access-list name] コマンドの代わりに使用できます。 !--- この例では、アクセス リスト traffic_for_ips によって !--- すべてのトラフィックが許可されます。また、match any コマンドでも !--- すべてのトラフィックが許可されます。どちらの設定も使用できます。 !--- アクセス リストを定義すると、トラブルシューティングが容易になります。 ciscoasa(config)#policy-map global_policy !--- ポリシーマップ global_policy はデフォルト設定の !--- 一部であることに注意してください。ポリシーマップ global_policy は !--- service-policy コマンドを使用してグローバルに適用されます。 ciscoasa(config-pmap)#class ips_class_map ciscoasa(config-pmap-c)#ips inline fail-open !--- 2 つの判断を行う必要があります。 !--- まず、AIP-SSM は !--- インライン モードとプロミスキャス モードのどちらで機能するのか。 !--- 次に、ASA はフェール オープンなのかフェール クローズなのか。 AIP-SSM による特定のトラフィックの検査ネットワーク管理者が AIP-SSM モニタをすべてのトラフィックのサブネットとして設定する場合、ASA には設定可能な 2 つの独立した変数があります。 まず、必要なトラフィックを含めたり除外したりするように、アクセス リストを記述できます。 アクセス リストの修正に加えて、サービス ポリシーを特定のインターフェイスに適用したり、AIP-SSM によって検査されるトラフィックを変更するためにグローバルに適用できたりします。 このドキュメントのネットワーク ダイアグラムを基準にすると、ネットワーク管理者は、AIP-SSM による Outside ネットワークと DMZ ネットワークの間のすべてのトラフィックを検査する必要があります。 ciscoasa#configure terminal ciscoasa(config)#access-list traffic_for_ips deny ip 10.2.2.0 255.255.255.0 192.168.1.0 255.255.255.0 ciscoasa(config)#access-list traffic_for_ips permit ip any 192.168.1.0 255.255.255.0 ciscoasa(config)#access-list traffic_for_ips deny ip 192.168.1.0 255.255.255.0 10.2.2.0 255.255.255.0 ciscoasa(config)#access-list traffic_for_ips permit ip 192.168.1.0 255.255.255.0 any ciscoasa(config)#class-map ips_class_map ciscoasa(config-cmap)#match access-list traffic_for_ips ciscoasa(config)#policy-map interface_policy ciscoasa(config-pmap)#class ips_class_map ciscoasa(config-pmap-c)#ips inline fail-open ciscoasa(config)#service-policy interface_policy interface dmz !--- このアクセス リストでは、Inside ネットワークから DMZ ネットワークに送信されたトラフィックおよび !--- DMZ ネットワークから Inside ネットワークに送信されたトラフィックが拒否されます。 !--- また、service-policy コマンドが DMZ インターフェイスに適用されています。 次に、ネットワーク管理者は、Inside ネットワークから Outside ネットワークに発信されたトラフィックを AIP-SSM で監視する必要があります。 Inside ネットワークから DMZ ネットワークへのトラフィックは監視されません。 注：このセクションを理解するには、ステートフルネス、TCP、UDP、ICMP、接続、およびコネクションレス型通信に関する中級レベルの知識が必要です。 ciscoasa#configure terminal ciscoasa(config)#access-list traffic_for_ips deny ip 10.2.2.0 255.255.255.0 192.168.1.0 255.255.255.0 ciscoasa(config)#access-list traffic_for_ips permit ip 10.2.2.0 255.255.255.0 any ciscoasa(config)#class-map ips_class_map ciscoasa(config-cmap)#match access-list traffic_for_ips ciscoasa(config)#policy-map interface_policy ciscoasa(config-pmap)#class ips_class_map ciscoasa(config-pmap-c)#ips inline fail-open ciscoasa(config)#service-policy interface_policy interface inside このアクセス リストでは、Inside ネットワークから発信され、DMZ ネットワークに宛てられたトラフィックが拒否されます。 2 番目のアクセス リストの行では、Inside ネットワークから発信され、AIP-SSM への Outside ネットワークに宛てられたトラフィックが許可または拒否されます。 この時点で、ASA のステートフルネスがその機能を発揮します。 たとえば、内部ユーザが Outside ネットワーク（ルータ）上のデバイスへの TCP 接続（Telnet）を開始します。 ユーザは、ルータへの接続とログインに成功します。 次に、ユーザは承認されていないルータ コマンドを発行します。 ルータは Command authorizaton failed を返します。Command authorization failed という文字列を含むデータ パケットには、Outside ルータの発信元および Inside ユーザの宛先が含まれています。 発信元（Outside）および宛先（Inside）は、このドキュメントですでに定義されているアクセス リストには一致しません。 ASA では、ステートフルな接続が追跡されるため、（Outside から Inside へ）返されるデータ パケットは、検査のために AIP-SSM へ送信されます。 AIP-SSM で設定されたカスタム シグニチャ 60000 0 がアラームを発行します。 注：デフォルトでは、ASA によって ICMP トラフィックの状態が保持されません。 上述の設定例では、内部ユーザが Outside ルータに対して PING（ICMP エコー要求）を実行します。 ルータは ICMP エコー応答を返します。 AIP-SSM では、エコー要求パケットは検査されますが、エコー応答パケットは検査されません。 ASA で ICMP 検査が有効になっている場合、エコー要求とエコー応答のどちらのパケットも AIP-SSM によって検査されます。 確認アラート イベントが AIP-SSM に記録されていることを確認します。 管理者ユーザ アカウントを使用して、AIP-SSM にログインします。 show events alert コマンドを実行すると、この出力が生成されます。 注：出力は、シグニチャ設定、AIP-SSM に送信されたトラフィックのタイプ、およびネットワーク負荷に基づいて異なります。 特定の show コマンドが、アウトプットインタープリタ（登録ユーザ専用）（OIT）でサポートされています。OIT を使用して、show コマンド出力の解析を表示できます。
show events alert
evIdsAlert: eventId=1156198930427770356 severity=high vendor=Cisco
originator:
hostId: onionlabaip
appName: sensorApp
appInstanceId: 345
time: 2006/08/24 18:52:57 2006/08/24 13:52:57 UTC
signature: description=Telnet Command Authorization Failure id=60000 version=custom
subsigId: 0
sigDetails: Command authorization failed
interfaceGroup:
vlan: 0
participants:
attacker:
addr: locality=OUT 172.16.1.200
port: 23
target:
addr: locality=IN 10.2.2.200
port: 33189
riskRatingValue: 75
interface: ge0_1
protocol: tcp
evIdsAlert: eventId=1156205750427770078 severity=high vendor=Cisco
originator:
hostId: onionlabaip
appName: sensorApp
appInstanceId: 345
time: 2006/08/24 19:46:08 2006/08/24 14:46:08 UTC
signature: description=ICMP Echo Request id=2004 version=S1
subsigId: 0
interfaceGroup:
vlan: 0
participants:
attacker:
addr: locality=OUT 172.16.1.200
target:
addr: locality=DMZ 192.168.1.50
triggerPacket:
000000 00 16 C7 9F 74 8C 00 15 2B 95 F9 5E 08 00 45 00 ....t...+..^..E.
000010 00 3C 2A 57 00 00 FF 01 21 B7 AC 10 01 C8 C0 A8 .<*W....!.......
000020 01 32 08 00 F5 DA 11 24 00 00 00 01 02 03 04 05 .2.....$........
000030 06 07 08 09 0A 0B 0C 0D 0E 0F 10 11 12 13 14 15 ................
000040 16 17 18 19 1A 1B 1C 1D 1E 1F ..........
riskRatingValue: 100
interface: ge0_1
protocol: icmp
evIdsAlert: eventId=1156205750427770079 severity=high vendor=Cisco
originator:
hostId: onionlabaip
appName: sensorApp
appInstanceId: 345
time: 2006/08/24 19:46:08 2006/08/24 14:46:08 UTC
signature: description=ICMP Echo Reply id=2000 version=S1
subsigId: 0
interfaceGroup:
vlan: 0
participants:
attacker:
addr: locality=DMZ 192.168.1.50
target:
addr: locality=OUT 172.16.1.200
triggerPacket:
000000 00 16 C7 9F 74 8E 00 03 E3 02 6A 21 08 00 45 00 ....t.....j!..E.
000010 00 3C 2A 57 00 00 FF 01 36 4F AC 10 01 32 AC 10 .<*W....6O...2..
000020 01 C8 00 00 FD DA 11 24 00 00 00 01 02 03 04 05 .......$........
000030 06 07 08 09 0A 0B 0C 0D 0E 0F 10 11 12 13 14 15 ................
000040 16 17 18 19 1A 1B 1C 1D 1E 1F ..........
riskRatingValue: 100
interface: ge0_1
protocol: icmp
この設定例では、複数の IPS シグニチャがテスト トラフィックに対してアラームを発行するように調整されています。 シグニチャ 2000 および 2004 は設定変更が行われています。カスタム シグニチャ 60000 が追加されてます。 ラボ環境またはほとんどのデータが ASA を通過しないネットワークにおいては、イベントをトリガーするためにシグニチャの設定変更が必要になる場合があります。 ASA および AIP-SSM が大量のトラフィックが通過する環境に展開される場合、デフォルトのシグニチャ設定によってイベントが生成される可能性があります。 トラブルシューティングこのセクションでは、設定のトラブルシューティングに役立つ情報を提供します。 特定の show コマンドが、アウトプットインタープリタ（登録ユーザ専用）（OIT）でサポートされています。OIT を使用して、show コマンド出力の解析を表示できます。 ASA から show コマンドを発行します。
AIP-SSM を設置して使用する以前に、ネットワーク トラフィックは正常に ASA を通過していますか。 正常に通過しない場合、ネットワークおよび ASA アクセス ポリシー ルールにトラブルシューティングを行うことが必要な場合があります。 フェールオーバーの問題
エラー メッセージ次に示すように、IPS モジュール（AIP-SSM）によってエラー メッセージが生成され、イベントは発行されません。 07Aug2007 18:59:50.468 0.757 interface[367] Cid/W errWarning Inline data bypass has started. 07Aug2007 18:59:59.619 9.151 mainApp[418] cplane/E Error during socket read 07Aug2007 19:03:13.219 193.600 nac[373] Cid/W errWarning New host ip [192.168.101.76] 07Aug2007 19:06:13.979 180.760 sensorApp[417] Cid/W errWarning unspecifiedWarning:There are no interfaces assigned to any virtual sensors. This can result in some packets not being monitored. 07Aug2007 19:08:42.713 148.734 mainApp[394] cplane/E Error - accept() call returned -1 07Aug2007 19:08:42.740 0.027 interface[367] Cid/W errWarning Inline data bypass has started. IPS バーチャル センサーが ASA のバックプレーン インターフェイスに割り当てられていないことがこのエラー メッセージの原因です。 SSM モジュールへトラフィックを送信するために ASA は適切な方法で設定されますが、SSM によってトラフィックがスキャンされるためには、ASA によって作成されたバックプレーン インターフェイスにバーチャル センサーを割り当てる必要があります。 errorMessage: IpLogProcessor::addIpLog: Ran out of file descriptors name=errWarn errorMessage: IpLog 1701858066 terminated early due to lack of file handles. name=ErrLimitExceeded これらのメッセージは、すべてのシステム リソースを次々に占有する IP LOGGING が有効になっていることを示しています。 トラブルシューティングや調査を目的とする場合にだけ IP LOGGING を使用する必要があるため、Cisco では IP LOGGING を無効にすることをお勧めします。 Cisco サポート コミュニティ - 特集対話関連情報 |
| 
アドレスであり、ラボ環境で使用されたものです。