ASA/PIX/IOS のルータの IPS での回避/ブロックの設定例

ダウンロードオプション

PDF (200.5 KB)
Adobe Reader を使ってさまざまなデバイスで表示
ePub (70.5 KB)
iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
Mobi (Kindle) (82.6 KB)
Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示

Updated: 2009 年 10 月 21 日

Document ID:111001

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

概要

この資料に Cisco IPS の助けによって PIX/ASA/Cisco IOSルータのシャニングを設定する方法を記述されています。アークは、センサーのブロッキングアプリケーション、およびルータの停止ブロック、Cisco 5000 RSM および Catalyst 6500 シリーズスイッチ、PIXファイアウォール、FWSM および ASA 開始します。ブロック問題は弧光を発するか、または悪意のある IP アドレスのための管理対象装置に排除します。円弧はセンサーが管理するすべてのデバイスに同じブロックを送ります。母型センサーが設定される場合、ブロックはに転送され、このデバイスから発行されます。 ARC は、ブロック時間をモニタし、時間の経過後にブロックを削除します。

IPS 5.1 を使用するとき、特別な注意は VLAN 情報としてマルチコンテキストモードのファイアウォールへのシャニングがシャニング要求と送信されないとき奪取する必要があります。

注: ブロッキングは多重コンテキスト FWSM の管理コンテキストでサポートされません。

ブロックには 3 つの型があります:

ホストブロック—ある特定の IP アドレスからのすべてのトラフィックをブロックします。
接続ブロック—所定のソース IP アドレスからの所定のデスティネーション IP アドレスおよび宛先ポートへのブロックトラフィック。

同じソース IP アドレスからの別の宛先 IP アドレスまたは宛先ポートへのマルチ接続ブロックは自動的に接続ブロックからホストブロックにブロックを切り替えます。

注: 接続ブロックはセキュリティアプライアンスモデルによってサポートされません。セキュリティアプライアンスモデルオプションのポートおよびプロトコル情報のサポートホストブロックだけ。
ネットワークブロック—ある特定のネットワークからのすべてのトラフィックをブロックします。

シグニチャが引き起こされるときホストおよび接続ブロックを手動または自動で始めることができます。ネットワークブロックしか手動で始めないことができます。

自動ブロックに関しては、シグニチャが引き起こされるとき SensorApp が弧光を発する Block 要求を送信するように特定のシグニチャのための検知時のアクションとして要求ブロックホストか要求ブロック接続を選択して下さい。アークが SensorApp から Block 要求を受け取れば、ホストか接続をブロックするためにデバイスコンフィギュレーションをアップデートします。シグニチャに要求ブロックホストか要求ブロック接続イベント操作を追加するプロシージャに関する詳細についてはシグニチャに操作を、5-22 ページ割り当てる方法を参照して下さい。検知時のアクションオーバーライドの設定を、7-15 特定のリスク定格のアラームに要求ブロックホストか要求ブロック接続イベント操作を追加するオーバーライドの設定のためのプロシージャに関する詳細についてはページ参照して下さい。

on Cisco ルータおよび Catalyst 6500 シリーズスイッチは ACL か VACL の適用によって、アークブロックを作成します。 ACL および VACL はインターフェイス方向を含む、および VLAN、それぞれ割り当てまたは拒否トラフィックにフィルターを加えます。 PIXファイアウォール、FWSM および ASA は ACL か VACL を使用しません。組み込みは排除し、コマンドを使用されます排除しないで下さい。

円弧の設定にこの情報が必要となります:

デバイスが AAA で設定される場合、ユーザ ID をログインして下さい
ログインパスワード
ユーザはイネーブル特権がある場合必要ではないイネーブルパスワード、
、たとえば管理されるべき、インターフェイス ethernet0、vlan100
あらゆる既存の ACL または VACL 情報始まり（前ブロック ACL か VACL）または作成される VACL または ACL の終わり（後ブロック ACL か VACL）に応用がほしいと思います。これは PIXファイアウォール、FWSM、または ASA にそれらがブロックするのに ACL か VACL を使用しないので適用しません。
デバイスと通信するのに Telnet か SSH を使用するかどうか
IP アドレス（ホストのホストか範囲）決してブロックされてほしくない
ブロックに持続してどの位ほしいか

前提条件

要件

ブロッキングのための円弧を設定するか、または制限を評価する前に、これらのタスクを完了して下さい:

当たりセンサーが、決してブロックするべきではないどのデバイスがブロックする必要があるか理解するためにネットワークトポロジを分析して下さい。
ユーザ名を、デバイスパスワード、イネーブルパスワード収集すれば、コネクションタイプは各デバイスに（Telnet か SSH）ログインを必要としました。
デバイスのインターフェイス名を識別して下さい。
前ブロック ACL か VACL および後ブロック ACL か VACL の名前をもし必要なら識別して下さい。
どのインターフェイスがどの方向でべきで、ブロックするべきではないし、か理解して下さい（でまたは）。

使用するコンポーネント

この文書に記載されている情報は Cisco 侵入防御システム 5.1 およびそれ以降に基づいています。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。ネットワークが稼働中の場合は、コマンドが及ぼす潜在的な影響を十分に理解しておく必要があります。

注: デフォルトで、アークは 250 のブロックエントリの限界のために設定されます。円弧によってサポートされるブロックデバイスのリストに関する詳細についてはサポートデバイスを参照して下さい。

表記法

ドキュメント表記の詳細は、『シスコテクニカルティップスの表記法』を参照してください。

背景説明

ブロッキングを有効にし、制限を評価するために必要な基本的な設定を行うためにブロッキングプロパティペインを使用して下さい。

管理対象装置の操作を制限する円弧コントロール・ブロックおよび比率。

決してブロックするべきではないネットワークおよびホストを識別するためにセンサーを調整して下さい。信頼されたデバイスのトラフィックがシグニチャを始動させることは可能性のあるです。攻撃者をブロックするためにこのシグニチャが設定される場合正当なネットワークトラフィックは影響を受けます。デバイスの IP アドレスはにブロックリストこのシナリオを防ぐために決してリストすることができません。

決してブロックエントリで規定されるネットマスクはブロックアドレスに決して適用されません。ネットマスクが規定されない場合、デフォルト /32 マスクは適用します。

注: デフォルトで、センサーはこれがセンサーとブロックデバイス間の通信と干渉すると同時に自身の IP アドレスのためのブロックを発行することができません。しかし、このオプションはユーザによって設定可能です。

円弧がブロックデバイスを管理するために設定されればブロックデバイスは排除し、ブロックのために使用する ACL/VACL は手動で変えるべきではありません。これにより円弧サービスの中断を引き起こし、発行されない未来のブロックという結果に終る場合があります。

注: デフォルトで、ブロックだけサポートされた on Cisco IOSデバイスです。比率制限と制限するか、またはブロックする比率を選択する場合ブロッキングデフォルトを無効にすることができます。

ブロックを変えるために発行するか、または、IPS ユーザは管理者またはオペレータロールがなければなりません。

Ciscoルータを管理するためにセンサーを設定して下さい

このセクションはセンサーを Ciscoルータを管理するために設定する方法を記述します。それはこれらのトピックが含まれています:

設定ユーザプロファイル
ルータおよび ACL
CLI を使用する設定 Ciscoルータ

設定ユーザプロファイル

センサーはユーザプロファイルを設定するためにユーザプロファイル profile_name コマンドでその他のデバイスを管理します。ユーザプロファイルは USERID、パスワードおよびイネーブルパスワード情報が含まれています。たとえば、すべてが同じパスワードおよびユーザ名を共有するルータは 1 つのユーザプロファイル以下ある場合もあります。

注: ブロックデバイスを設定する前にユーザプロファイルを作成して下さい。

ユーザプロファイルを設定するためにこれらのステップを完了して下さい:

管理者権限を持つアカウントで CLI にログインします。

ネットワークアクセスモードを開始して下さい。

sensor#configure terminal
sensor(config)#service network-access
sensor(config-net)#

ユーザプロファイル名前を作成して下さい。
```
sensor(config-net)#user-profiles PROFILE1
```
そのユーザプロファイルのためのユーザ名を入力して下さい。
```
sensor(config-net-use)#username username
```

ユーザ向けのパスワードを規定して下さい。

sensor(config-net-use)# password
Enter password[]: ********
Re-enter password ********

ユーザ向けのイネーブルパスワードを規定して下さい。

sensor(config-net-use)# enable-password
Enter enable-password[]: ********
Re-enter enable-password ********

設定を確認します。

sensor(config-net-use)#show settings
   profile-name: PROFILE1
   -----------------------------------------------
      enable-password: <hidden>
      password: <hidden>
      username: jsmith default:
   -----------------------------------------------
sensor(config-net-use)#

ネットワークアクセスサブモードを終了して下さい。

sensor(config-net-use)#exit
sensor(config-net)#exit
Apply Changes:?[yes]:

変更を適用する場合は Enter キーを押し、変更を廃棄する場合は [no] を入力します。

ルータおよび ACL

円弧が ACL を使用するブロックデバイスで設定されるとき、ACL はこのように構成されます:

センサー IP アドレスの割り当て行か、場合規定された、センサーの NAT アドレス

注: ACL にブロックされる割り当てセンサーこの行現われなければ。
（規定された場合）前ブロック ACL

この ACL はデバイスに既にある必要があります。

注: 円弧は前もって構成された ACL の行を読み、ブロック ACL の開始するにこれらの行をコピーします。
起動中のブロック
次のいずれか: 後ブロック ACL permit ip any any

- （規定された場合）後ブロック ACL

この ACL はデバイスに既にある必要があります。

注: 円弧は ACL の行を読み、ACL の終わりにこれらの行をコピーします。

注: すべての無比パケットが割り当てられてほしい場合 ACL の最後の行が permit ip any any であることを確かめて下さい。

-後ブロック ACL が規定される場合 permit ip any any （使用されない）

注: 円弧があなたによって決して修正するべきではない作らないまたは他のシステム ACL。これらの ACL は一時であり、新しい ACL はセンサーによって絶えず作成されます。行うことができる唯一の修正は前および後ブロック ACL にあります。

前ブロックか後ブロック ACL を修正する必要がある場合これらのステップを完了して下さい:

センサーのブロッキングをディセーブルにして下さい。
デバイスの設定への変更を行なって下さい。
センサーのブロッキングを再び有効にして下さい。

ブロックが再び有効になるとき、センサーは新しいデバイスコンフィギュレーションを読みます。

注: 単一センサーは多数のデバイスを管理できますが複数のセンサーは単一のデバイスを管理できません。ケースでは複数のセンサーから発行されてブロックする単一ブロックデバイスのために、母型センサー設計に組み込まれなければなりません意味されます。母型センサーは複数のセンサーから Blocking 要求を受け取り、ブロックデバイスに Blocking 要求すべてを発行します。

ルータコンフィギュレーションの前ブロックおよび後ブロック ACL を作成し、保存します。これらの ACL は指名されるか、または番号が付いている拡張 IP ACL、である必要があります。 ACL を作成する方法に関する詳細についてはルータドキュメンテーションを参照して下さい。

注: 前ブロックおよび後ブロック ACL は制限を評価するために適用しません。

ACL は評価されたトップダウンであり、最初の一致処置はとられます。前ブロック ACL はブロックに起因した拒否に優先する割り当てが含まれているかもしれません。

前 ACL ブロックによって処理されないあらゆる条件を説明するのに後ブロック ACL が使用されています。インターフェイスのおよびブロックが発行される方向の既存の ACL があれば、その ACL は後ブロック ACL として使用することができます。後ブロック ACL を持たない場合、センサーは新しい ACL の終わりに permit ip any any を挿入します。

センサーは開始するとき、2 ACL のコンテンツを読み込みます。それはこれらのエントリで第 3 ACL を作成します:

センサー IP アドレスのための割り当て行
前ブロック ACL のすべての設定行のコピー
各アドレスのための拒否行センサーによってブロックされる
後ブロック ACL のすべての設定行のコピー

指定する方向インターフェイスにおよびセンサーは新しい ACL を適用します。

注: 新しいブロック ACL はルータのインターフェイスに、特定の方向で加えられるとき、その方向のそのインターフェイスの既存 ACL を取り替えます。

CLI を使用する設定 Ciscoルータ

センサーを Ciscoルータをブロッキングを行い、制限を評価するために管理するために設定するためにこれらのステップを完了して下さい:

管理者権限を持つアカウントで CLI にログインします。

ネットワークアクセスサブモードを入力して下さい。

sensor#configure terminal
sensor(config)#service network-access
sensor(config-net)#

円弧によって制御されるルータのための IP アドレスを規定して下さい。
```
sensor(config-net)#router-devices ip_address
```
ユーザプロファイルを設定したときに作成した論理デバイスデバイス名を入力して下さい。
```
sensor(config-net-rou)#profile-name user_profile_name
```
円弧は入力する何でも受け入れます。それはかどうかユーザプロファイル存在確認しません。
センサーにアクセスするのに使用される方式を規定して下さい。
```
sensor(config-net-rou)# communication {telnet | ssh-des | ssh-3des}
```
明記していなかったら、SSH トリプル DES は使用されます。

注: DES かトリプル DES を使用する場合、デバイスからの SSH キーを受け入れるために ssh ホストキー ip_address コマンドを使用して下さい。
センサー NAT アドレスを規定して下さい。
```
sensor(config-net-rou)#nat-address nat_address
```
注: これはセンサーのアドレスから NAT アドレスに ACL の最初の行の IP アドレスを変更します。 NAT アドレスはセンサーアドレス、センサーとブロックデバイスの間にある中間デバイスによって変換される後 NAT です。
ルータが制限するブロッキングか、比率またはその両方を行うかどうか規定して下さい。

注: デフォルトはブロックしています。ルータにブロックだけを行ってほしい場合応答機能を設定する必要がありません。
- 制限するただ比率
```
sensor(config-net-rou)#response-capabilities rate-limit
```
- ブロッキングおよび比率制限両方
```
sensor(config-net-rou)#response-capabilities block|rate-limit
```
インターフェイス名および方向を規定して下さい。
```
sensor(config-net-rou)#block-interfaces interface_name {in | out}
```
注: インターフェイスの名前はルータが認識する略語である必要があります interface コマンドの後で使用されたとき。
（オプションの）前 ACL 名前を追加して下さい（ブロックするただ）。
```
sensor(config-net-rou-blo)#pre-acl-name pre_acl_name
```
（オプションの）後 ACL 名前を追加して下さい（ブロックするただ）。
```
sensor(config-net-rou-blo)#post-acl-name post_acl_name
```

設定を確認します。

sensor(config-net-rou-blo)#exit

sensor(config-net-rou)#show settings

   ip-address: 10.89.127.97
   -----------------------------------------------
      communication: ssh-3des default: ssh-3des
      nat-address: 19.89.149.219 default: 0.0.0.0
      profile-name: PROFILE1
      block-interfaces (min: 0, max: 100, current: 1)
      -----------------------------------------------
         interface-name: GigabitEthernet0/1
         direction: in
         -----------------------------------------------
            pre-acl-name: <defaulted>
            post-acl-name: <defaulted>
         -----------------------------------------------
      -----------------------------------------------
      response-capabilities: block|rate-limit default: block
   -----------------------------------------------
sensor(config-net-rou)#

ネットワークアクセスサブモードを終了して下さい。

sensor(config-net-rou)#exit
sensor(config-net)#exit
sensor(config)#exit
Apply Changes:?[yes]:

変更を適用する場合は Enter キーを押し、変更を廃棄する場合は [no] を入力します。

Cisco ファイアウォールを管理するためにセンサーを設定して下さい

センサーを Cisco ファイアウォールを管理するために設定するためにこれらのステップを完了して下さい:

管理者権限を持つアカウントで CLI にログインします。

ネットワークアクセスサブモードを入力して下さい。

sensor#configure terminal
sensor(config)#service network-access
sensor(config-net)#

円弧によって制御されるファイアウォールのための IP アドレスを規定して下さい。
```
sensor(config-net)#firewall-devices ip_address
```
ユーザプロファイルを設定したときに作成したユーザプロファイル名前を入力して下さい。
```
sensor(config-net-fir)#profile-name user_profile_name
```
円弧は入力する何でも受け入れます。それはかどうか論理デバイス存在確認しません。
センサーにアクセスするのに使用される方式を規定して下さい。
```
sensor(config-net-fir)#communication {telnet | ssh-des | ssh-3des}
```
明記していなかったら、SSH トリプル DES は使用されます。

注: DES かトリプル DES を使用する場合場合、キーを受け入れるために ssh ホストキー ip_address コマンドを使用して下さいアークはデバイスに接続できません。
センサー NAT アドレスを規定して下さい。
```
sensor(config-net-fir)#nat-address nat_address
```
注: これはセンサーの IP アドレスから NAT アドレスに ACL の最初の行の IP アドレスを変更します。 NAT アドレスはセンサーアドレス、センサーとブロックデバイスの間にある中間デバイスによって変換される後 NAT です。

終了ネットワークアクセスサブモード。

sensor(config-net-fir)#exit
sensor(config-net)#exit
sensor(config)#exit
Apply Changes:?[yes]:

変更を適用する場合はEnter キーを押し、変更を廃棄する場合は [no] を入力します。

ブロックはとの PIX/ASA で排除します

攻撃ホストからのシャニング コマンドブロック接続の発行。コマンドの値を一致するパケットは廃棄され、ブロッキング機能が取除かれるまで記録されます。 シャニングは規定されたホストアドレスが付いている接続が現在アクティブであるかどうかに関係なく適用します。

宛先アドレス、送信元ポートおよび宛先ポートおよびプロトコルを規定すれば、それらのパラメータを一致する接続にシャニングを狭くします。

1 つを各ソース IP アドレスのためのコマンドを排除してもらうただことができます。

不正侵入を動的にブロックするのにシャニング コマンドが使用されているのでセキュリティアプライアンスモデル設定で表示する。

インターフェイスが外される時はいつでも、またそのインターフェイスに取除かれる接続されるすべては排除します。

この例はことをおこるホスト示したものです（10.1.1.27）対象が付いている接続をします（10.2.2.89） TCP に。セキュリティアプライアンスモデル接続テーブルの接続は次の通り読みます:

TCP outside:10.1.1.27/555 inside:10.2.2.89/666

攻撃ホストからの接続をブロックするために、特権EXECモードでシャニング コマンドを使用して下さい。これらのオプションのシャニング コマンドを適用して下さい:

hostname#shun 10.1.1.27 10.2.2.89 555 666 tcp

コマンドはセキュリティアプライアンスモデル接続テーブルから接続を削除し、また 10.1.1.27:555 からからのセキュリティアプライアンスモデルを 10.2.2.89:666 までパケットを（TCP）通過防ぎます。

ASA/PIX/IOS のルータの IPS での回避/ブロックの設定例

ダウンロードオプション

翻訳について

目次

概要

前提条件

要件

使用するコンポーネント

表記法

背景説明

Ciscoルータを管理するためにセンサーを設定して下さい

設定ユーザプロファイル

ルータおよび ACL

CLI を使用する設定 Ciscoルータ

Cisco ファイアウォールを管理するためにセンサーを設定して下さい

ブロックはとの PIX/ASA で排除します

関連情報

シスコエンジニア提供

このドキュメントは役に立ちましたか?

お問い合わせ

このドキュメントは次の製品に対応しています

ASA/PIX/IOS のルータの IPS での回避/ブロックの設定例

ダウンロード オプション

翻訳について

目次

シスコ エンジニア提供

このドキュメントは役に立ちましたか?

お問い合わせ

このドキュメントは次の製品に対応しています

シェアする

ダウンロードオプション

シスコエンジニア提供