IPS（侵入防御システム）

シスコシステムズのIntrusion Prevention System（IPS;侵入防御システム）ソリューションを使用すると、悪意のあるトラフィックを正確に識別、分類、および抑制することによって、業務への影響を未然に防ぐことができます。Cisco IPSソリューションは実績のある検出機能とインライン保護機能を備えており、企業のデータと情報インフラストラクチャを幅広く保護します。

Cisco IPSソリューションには次のような優れた特長があり、ユーザはより多くの脅威を確実に抑制できます。

• 多様な脅威の発見 - レイヤ2～7トラフィックの詳細な検査により、ポリシー違反、脆弱性の悪用、および異常な動作からネットワークを保護します。
• 精度の高い防御技術 - 幅広い脅威からの確実な防御を行うことが可能で、正規のトラフィックを廃棄してしまうリスクを最小化します。シスコの革新的なRisk Rating（リスク評価）とMeta-Event Generator（MEG;メタイベント ジェネレータ）は攻撃を正確に識別し、迅速な予防措置の実施を可能にします。
• 独自のネットワーク コラボレーション - 効率的なトラフィック キャプチャ手法、ロード バランシング機能、および暗号化トラフィックの把握機能などを併用したネットワーク コラボレーションを通じて、高度なスケーラビリティと復元力を実現します。
• 拡張性のある製品ラインナップ - 中小・中堅企業やブランチ オフィスから大企業やサービス プロバイダーまでのあらゆる環境に適したIntrusion Detection System（IDS;侵入検知システム）およびIntrusion Prevention System（IPS;侵入防御システム）ソリューションを提供します。シスコのIPS専用プラットフォームには、Cisco IPS 4200シリーズ センサ アプライアンス、Cisco Catalyst^® 6500シリーズ スイッチ モジュール、および、Cisco ASA 5500シリーズ適応型セキュリティ アプライアンスに搭載されたAIP-SSM（Advanced Inspection and Prevention Security Services Module）があります。シスコ アクセス ルータのIDSモジュールは、強化された侵入検知機能を備えています。また、シスコのルータ製品では、Cisco IOS^®ソフトウェア ソリューションを通じて侵入防御機能を利用できます。デバイスの設定やイベントの表示を行うシスコのソリューションには、デバイスに内蔵されて個別のデバイスの管理とイベント監視を行うCisco IPS Device Managerと、複数デバイスおよび複数イベント タイプの統合的な管理に対応したCiscoWorks VPN/Security Management Solution（VMS）があります。

これらの特長を組み合わせた総合的なインライン防御ソリューションを実現することにより、企業は多様な悪意のあるトラフィックを確実に検出、抑制し、業務への影響を未然に防ぐことができます。

多様な脅威の発見

Cisco IPSセンサ ソフトウェアの中核となっているのは、レイヤ2～7トラフィックの検査と分析を行う多彩なテクノロジーです。これらの技術により、多様な脅威の識別が可能になります。また、多くの場合、脆弱性を悪用するエクスプロイトが公開される前にそれらのシグニチャを作成できるため、Day Zero攻撃を防御できます。脅威の発見には、次のような技術が使用されています。

• ステートフルなパターン認識 - すべてのプロトコルでマルチパケット検査を使用して脆弱性に対する攻撃を識別し、データ ストリームの中に潜む攻撃を阻止します。
• プロトコル分析 - ネットワーク トラフィックのプロトコル デコーディングおよび検証を行います。Cisco IPS Sensorソフトウェア バージョン 5.0は、IP、Internet Control Message Protocol（ICMP）、TCP、およびUDPなどの主要なすべてのTCP/IPトラフィックを監視します。また、FTP、Simple Mail Transfer Protocol（SMTP）、HTTP、Domain Name System（DNS;ドメイン ネーム システム）、RPC（リモート プロシージャ コール）、NetBIOS、Network News Transfer Protocol（NNTP）、およびTelnetなどのアプリケーション レイヤ プロトコルのステートフル デコーディングが可能です。
• トラフィックの異常検出 - 正常なネットワークと比較したトラフィック パターンの変化を検出することにより、複数のセッションや接続にまたがる攻撃を識別します。この機能で検出される攻撃には、一定時間内に事前に設定された数以上のICMPパケットを受信するICMPフラッドなどがあります。
• プロトコルの異常検出 - プロトコルまたはサービスの正常動作からの逸脱（HTTP要求を伴わないHTTP応答など）を検出することによって攻撃を識別します。
• レイヤ2検出 - スイッチド ネットワーク環境で広がるレイヤ2のAddress Resolution Protocol（ARP）攻撃やman-in-the-middle攻撃を識別します。
• アプリケーション ポリシーの適用 - Peer-to-Peer（ピアツーピア）、IM（インスタント メッセージング）、およびポート80を使用してトンネルリングされたアプリケーションなど、幅広いアプリケーションの詳細な分析と制御を行います。また、ユーザは各種トラフィック タイプやMIMEタイプに基づいてポリシーを決めることにより、悪意のあるトラフィックがネットワークに侵入するのを防ぐことができます。
• IDS/IPS回避対策 - トラフィックの正常化、IPデフラグメンテーション、TCPストリームの再構築、およびDeobfuscation（難読化の解除）を行い、IDSやIPSを回避しようとするハッカーからの総合的な防御を実現します。
• カスタマイズ可能なポリシー - シスコの先進的なThreat Analysis Micro Engine（TAME）ポリシー言語を使用して、新しいポリシーの追加や既存のポリシーの変更を固有のセキュリティ ニーズに合わせて柔軟に実施できるようにします。

上記の技術を活用することにより、Cisco IPS Sensorソフトウェアは、次のような既知および未知の攻撃に対処できます。

• ポリシー違反 - 偵察、悪用、およびファイル共有の脅威。
• 異常動作 - DoS攻撃（帯域幅やコンピューティング リソースを消費して、正常な動作を混乱させようとする行為）。Trinoo、TFN、およびSYNフラッドなどがあります。
• 脆弱性の悪用 - Back Orifice、ログイン試行の失敗、TCPハイジャックなどがあります。

精度の高い防御技術

Cisco IPS Sensorソフトウェアには、多様な脅威からの確実な防御を可能にする先進技術が実装されています。これらの技術（相関管理ツールや検証ツールを含む）を活用すると、正規のトラフィックを廃棄してしまうリスクが大幅に軽減されます。この卓越した精度は、次の機能によって実現されています。

• Risk Rating（リスク評価） - 信頼性の高いインライン防御を可能にします。従来の侵入防御システムでは、イベントに伴う被害の評価手法として重大度のみが考慮されてきました。シスコのリスク評価機能では、次の4つの値を使用して、より精度の高いバランスの取れた評価が可能になっています。
  イベントの重大度 - イベントごとに、想定される被害を示す値で、ユーザが修正できます。
  シグニチャの信頼性 - シグニチャの精度を示す値で、ユーザが修正できます。
  資産価値 - 攻撃対象の重要性を示す値で、ユーザが定義できます。
  攻撃の影響度 - 特定の攻撃に対する攻撃対象の脆弱性を数値化した値です。

これらの値を集計して、イベントのリスク評価を行います。これらの条件の大半はデフォルトで設定されており、ユーザによる設定はほとんど必要ありません。

• Meta-Event Generator（MEG） - ワームの正確な検出と抑制を行うために、イベントの相関関係を独自の方法で把握します。ワームがネットワークに侵入すると、さまざまな危険度のアラームが数多く生成されます。シスコのMEGは、一見無関係な危険度の低いアラームを、他にアラームとの相関関係に基づいて分析し、危険度の高いハイ リスクなイベントして再生成します。これにより、ユーザは関連パケットを確実に廃棄できるようになります。MEGは、ワーム動作のモデル化と、イベント間隔、ネットワーク動作、および複数のエクスプロイトの動作の相関関係の把握によって実現されています。

独自のネットワーク コラボレーション

Cisco IPSソフトウェアは、独自のネットワーク コラボレーションを通じて、ネットワークの高度なスケーラビリティと復元力を実現します。シスコのIPSソリューションは、Cisco IPSセンサとシスコ製ネットワーク デバイスが通信することにより、次の機能を実現します。

• 802.1Qによる複数のVLANトラフィックの負荷分散
• スイッチ上でのVirtual Access Control List（VACL）キャプチャ、Switched Port Analyzer（SPAN）、またはRemote SPAN（RSPAN）による効率的な帯域管理
• スイッチ上でサポートされるロード バランシングアルゴリズムによる最大8 Gbpsまでの拡張性
• シスコのEtherChannel^®技術を使用したスイッチ間通信によるIPSデバイスのハイ アベイラビリティ
• VPN復号化サービスを備えたシスコ スイッチおよびシスコ ルータとのコラボレーションによる暗号化トラフィックの把握

包括的な構成ソリューション

シスコはネットワークIPSの包括的なソリューションを用意しており、お客様は自社の環境に最適な方法で侵入防御システムを実装できます。いずれのソリューションも高いアベイラビリティを実現でき、優れたカスタマー サポートを備えています。また、45 Mbpsから数Gbpsまでの幅広いパフォーマンス レベルに対応しています。シスコのIPSソリューションは、専用アプライアンス、スイッチ モジュール、ルータ モジュール、およびソフトウェアベースのソリューションとして提供されます。

• Cisco IPS 4200シリーズ センサ アプライアンス - 最大8つのインターフェイスを使用して複数のネットワーク セグメントを保護し、プロミスキャス モードと防御モードの両方を同時にサポートできます。これらのアプライアンスは、Cisco Catalyst 6500シリーズ スイッチのEtherChannelロードバランシングと併用でき、単体での使用と合わせて80 Mbps～8 Gbpsの幅広いネットワーク環境に対応します。アプライアンス モデルとその基本性能レベルは、次のとおりです。
  - Cisco IDS 4215：80 Mbps
  - Cisco IPS 4250：250 Mbps
  - Cisco IPS 4255：600 Mbps
  - Cisco IDS 4250-XL：1000 Mbps
  

• Cisco IDSM-2モジュール（Cisco Catalyst 6500シリーズ向け） - 専用モジュールを使用してCisco Catalyst 6500シリーズ スイッチに完全なIPS機能を統合することにより、600 Mbpsでの統合的な保護を実現できます。
• Cisco IDSネットワーク モジュール（Ciscoアクセス ルータ向け） - Cisco IPS Sensorソフトウェア バージョン5.0を使用して、ルータに強化された侵入防御機能を統合します。これにより、最大45 Mbpsで脅威を効率的に軽減および隔離するための検出、相関管理、および識別技術が使用できます。
• Cisco AIP-SSM（Cisco ASA 5500シリーズ向け） - ASA 5500シリーズの脅威を軽減する多機能なソリューションの一部としてIPS機能を提供します。
• Cisco IOS-IPS - ルータのCisco IOSソフトウェアを通じてIPS機能を提供します。

管理オプション

シスコはさまざまな管理ソリューションを使用して、構成の規模や方式に関係なく、効果的なセキュリティ モニタリングとコンフィギュレーションを可能にしています。これらの管理ツールはすべて使いやすいユーザ インターフェイスを備えており、セキュリティ イベントやデバイスを容易にインストール、設定、および管理できます。次のような管理ソリューションが用意されています。

• CLI（コマンドライン インターフェイス） - Cisco IOSソフトウェアに似たCLIによって、全機能をサポートします。Secure Shell（SSH;セキュア シェル）プロトコル接続によるデバイス設定が可能です。
• Cisco IPS Device Manager - セキュアなブラウザベースのGUIを備えた単一デバイス マネージャで、コンフィギュレーションとアラームの確認に適しています。Cisco IPS Device Managerは、使用しているOSに関係なく、すべてのデスクトップから容易にアクセスできます。そのため、任意の場所からデータにアクセスすることが可能です。使い慣れたブラウザ インターフェイスを使用するため、簡単に利用できます。Secure Socket Layer（SSL）を使用することで、データのセキュリティ確保に対応します。
• CiscoWorks VMS - 複数デバイスのコンフィギュレーションとアラームを管理するツールで、すべてのセキュリティ イベントを統一された形式でスケーラブルに表示できます。CiscoWorks VMSソリューションを使用すると、すべてのタイプのセキュリティ デバイス（ファイアウォール、VPN、およびIPSなど）のイベントをブラウザベースのGUIを使用して単一のコンソールで表示できます。複数のセキュリティ デバイスの設定と管理を実行できるため、企業全体でのセキュリティ管理が容易になります。また、CiscoWorks VMSを使用すると、柔軟性の高い通知機能、自動更新、およびイベント相関管理など含む高度なセキュリティ管理を実現できます。
• Cisco Router and Security Device Manager（SDM） - Cisco IOSのIPSフィーチャ セットとCisco IDSネットワーク モジュールを搭載したシスコ アクセス ルータの構成および管理を行う使いやすいWebベースのデバイス マネージャ。

リソース

Cisco IPS Alert Center - 脅威に関する具体的な情報（対策や関連する脆弱性などを含む）を素早く入手できます。詳細については、次のURLを参照してください。
http://www.cisco.com/go/ipsalert

発注情報

Cisco IPSソリューションに関する発注情報または関連情報については、次のURLを参照してください。
http://www.cisco.com/jp/product/hs/security/ids4200/
Cisco ASA 5500シリーズ適応型セキュリティ アプライアンスの詳細については、次のURLを参照してください。
http://www.cisco.com/jp/product/hs/security/asa/
Cisco IOS IPSの詳細については、次のURLを参照してください。
http://www.cisco.com/warp/public/732/Tech/security/intrusion/
CiscoWorks VMSの詳細については、次のURLを参照してください。
http://www.cisco.com/jp/product/hs/netmgt/cw2000/vpnsms/
Cisco SDMの詳細については、次のURLを参照してください。
http://www.cisco.com/jp/product/hs/security/csdm/