Cisco Anomaly Guard Module コンフィギュレーション ガイド (Software Release 6.0)

ポリシー パスの使用

ゾーン ポリシーは、Guard モジュールがゾーン トラフィック フローの分析と測定に使用する特性を定義します。ポリシーの名前はセクションで構成されており、各セクションは測定対象であるトラフィック特性を示しています。たとえば、ポリシー http/80/analysis/syns/src_ip は、Guard モジュールの分析保護機能によって認証され、送信元 IP アドレスに応じて集約された、ポート 80 宛ての HTTP SYN パケットのトラフィック フローを測定します。

図 8-1 に、ゾーン ポリシー名の例を示します。

図 8-1 ポリシー名

表8-1 に、ポリシー名のセクションを示します。

ポリシー名の最初の 4 つのセクション（ポリシー テンプレート、サービス、保護レベル、および パケット タイプ）は、分析されるトラフィックのタイプを定義します。ポリシー パスの最後のセクション（トラフィック特性）は、フローの分析方法を定義します。

ポリシーには、相互依存性および優先度があります。2 つの異なるポリシーが同じトラフィック フローを定義する場合、Guard モジュールは、より限定的なポリシーを使用してフローを分析します。たとえば、TCP サービスに関連するポリシーでは、HTTP 関連のポリシーによって処理される HTTP サービスが除外されます。

ポリシーの動作面を設定できます。動作面では、ポリシーのトリガーを定義し、ポリシーがアクティブになったときに実行するアクションを定義します。詳細については、「ポリシー パラメータの設定」を参照してください。

ポリシーの作成

Guard モジュールは、次の 2 つのフェーズで構成されるラーニング プロセスでゾーン ポリシーを作成します。これらのフェーズでは、Guard モジュールはゾーン トラフィックをラーニングし、特定のゾーン トラフィック特性に合せて自己調整します。

1. ポリシー構築フェーズ：Guard モジュールは、ポリシー テンプレートを使用してゾーン ポリシーを構築し、ゾーンが使用する主なサービスを検出します。

2. しきい値調整フェーズ：Guard モジュールは、ポリシー構築フェーズで検出されたサービスのポリシーしきい値を、ゾーン サービスのトラフィック レートに合せて調整します。

ラーニング プロセス中、ゾーン トラフィックは Guard モジュールを透過的に通過します。詳細については、「Guard モジュールの Cisco Traffic Anomaly Detector Moduleとのゾーン設定の同期」を参照してください。

サービスの最大数の設定

サービスの最大数のパラメータで、ポリシー テンプレートが選択してポリシーを作成する対象となるサービスの最大数（プロトコル番号またはポート番号）を定義します。Guard モジュールは、ポリシー テンプレートに関連するサービスを、各サービスのトラフィック量のレベルによってランク付けします。次に Guard モジュールは、トラフィック量が最大のサービスと、定義済みの最小しきい値（ min-threshold パラメータで定義される）を超えたサービスを選択し、各サービスに対するポリシーを作成します。Guard モジュールは any というサービスを備えた追加のポリシーを追加し、ポリシー テンプレートの特性を持つその他のすべてのトラフィック フローを処理することができます。

（注） サービスの最大数が大きいほど、ゾーンが必要とする Guard モジュール メモリのサイズも多くなります。

サービスの最大数のパラメータは、サービスを検出するポリシー テンプレート（tcp_services、tcp_services_ns、udp_services、および other protocols など）にのみ定義できます。特定のサービスを監視するポリシー テンプレート（サービス 53 を監視する dns_tcp など）や、特定のトラフィック特性に関連するポリシー テンプレート（ fragments など）には、このパラメータは設定できません。

Guard モジュールは、ポリシーのトラフィック特性に基づいて、サービスのトラフィック レートを測定します。トラフィック特性は、送信元 IP アドレスまたは宛先 IP アドレスになります。 any サービスを監視するポリシーは、特定のポリシーで処理されないすべてのサービスで送信元 IP アドレスのレートを測定します。したがって、こちらの値は正確ではありません。

サービス数を制限すると、目的のトラフィック フロー要件に合せて Guard モジュールのポリシーを設定できます。

サービスの最大数を設定するには、ポリシー テンプレート設定モードで次のコマンドを使用します。

max-services max-services

max-services 引数は、Guard モジュールが選択するサービスの最大数を定義する、1 より大きい整数です。サービスの最大数が 10 を超えないようにすることをお勧めします。

次の例は、Guard モジュールが監視するサービスの最大数を 5 に設定する方法を示しています。

最小しきい値の設定

最小しきい値のパラメータは、サービスの最小トラフィック量を定義します。このしきい値を超えると、Guard モジュールは、しきい値を超えた特定のトラフィック フローに応じて、サービスのトラフィックに関連するポリシーを構築します。このしきい値を設定すると、ゾーン サービスのトラフィック量に保護を的確に合せることができます。

最小しきい値のパラメータは、正しいゾーン保護に不可欠で必ずポリシーを構築するポリシー テンプレート（tcp_services、tcp_services_ns、udp_services、
other_protocols、http、および fragments）には設定できません。

最小しきい値を設定するには、ポリシー テンプレート設定モードで次のコマンドを使用します。

min-threshold min-threshold

min- threshold 引数は、0 以上の実数（小数点以下が 2 桁の浮動小数点型の数字）で、最小しきい値レートをパケット/秒（pps）単位で定義します。同時接続および SYN/FIN の比率を測定する場合、しきい値は接続の合計数を定義する整数になります。

次の例は、ポリシー テンプレート http の最小しきい値を設定する方法を示しています。

ポリシー テンプレートの状態の設定

ポリシー テンプレートの状態のパラメータは、ポリシー テンプレートをイネーブルまたはディセーブルにするかどうかを定義します。ポリシー テンプレートをディセーブルにすると、Guard モジュールがポリシー構築フェーズになっても、ポリシーは作成されません。

ポリシー テンプレートをディセーブルにするには、 disable コマンドを使用します。

ポリシー テンプレートをイネーブルにするには、 enable コマンドを使用します。

すべてのポリシー テンプレート パラメータの同時設定

次のコマンドを入力して、1 つのコマンドで、ポリシー テンプレートのすべての動作パラメータを設定できます。

policy-template policy-template-name max-services min-threshold {disabled | enabled}

表8-5 に、policy-template コマンドの引数とキーワードを示します。

次の例は、ポリシー テンプレート tcp_services のパラメータを設定する方法を示しています。この例では、サービスの最大数は 3 に、ポリシーの状態は enabled に設定され、最小しきい値は変更されていません（-1）。

ポリシー テンプレート

ポリシー テンプレートとは、Guard モジュールがポリシー構築フェーズでゾーン ポリシーを作成するときに使用する、ポリシー構築の規則の集まりです。詳細については、「ポリシー テンプレートについてとその設定」を参照してください。

サービス

サービス セクションは、各ポリシーに関連するゾーン アプリケーションのポートまたはプロトコルを定義します。ポリシーには、相互依存性および優先度があります。2 つの異なるポリシーが同じトラフィック フローを定義する場合、Guard モジュールは、より限定的なポリシーを使用してフローを分析します。サービス any は、同じポリシー テンプレートから作成された他のサービスと特に一致しないすべてのトラフィックに関連します。

個々のニーズに最適な保護にするために、ゾーンのメイン サービスに具体的なポリシーを定義することをお勧めします。

ゾーンのポリシーにサービスを追加または削除すると、Guard モジュールはゾーンのポリシーを未調整としてマークします。ゾーン保護とラーニング プロセスをイネーブルにした場合、次のいずれかの操作を実行するまで、Guard モジュールはゾーン トラフィックの異常を検出できません。

• ラーニング プロセスのしきい値調整フェーズを実行して、その結果を受け入れる（「ポリシーしきい値の調整」を参照）。

• ゾーンのポリシーを調整済みとしてマークする（「ポリシーに対する調整済みのマーク付け」を参照）。

この項では、次のトピックについて取り上げます。

• サービスの追加

• サービスの削除

サービスの追加

特定のポリシー テンプレートから作成されたすべてのポリシーに、サービスを追加できます。新しいサービスは、ポリシー構築フェーズ中に検出されたサービスに追加され、デフォルト値で定義されます。しきい値を手動で定義することもできますが、ラーニング プロセスのしきい値調整フェーズを実行して、ポリシーをゾーン トラフィックに合せて調整することをお勧めします。詳細については、「ポリシーしきい値の調整」を参照してください。

新しいサービスを追加できるのは、次のポリシー テンプレートから作成されたポリシーです。

• tcp_services、udp_services、tcp_services_ns

このサービスは、ポート番号を表します。

• other_protocols

このサービスは、プロトコル番号を表します。

（注） サービスを追加した後でポリシー構築フェーズをアクティブにすると、新しいサービスによって、手動で追加したサービスが無効にされる場合があります。

次の状況では、ポリシー構築を再度実行しない場合は、サービスを手動で追加する必要があります。

• 新しいアプリケーションまたはサービスがゾーン ネットワークに追加された。

• ポリシー構築フェーズの実行期間が短かったため、一部のネットワーク サービスが反映されていない（たとえば、週に 1 回のみあるいは夜間のみアクティブになる既知のアプリケーションまたはサービスがある）。

サービスを追加するには、次のコマンドのいずれかを使用します。

• add-service service-num （ポリシー テンプレート設定モードの場合）

• policy-template policy-template-name add-service service-num （ゾーン設定モードの場合）

表8-6 に、add-service コマンドの引数を示します。

次の例は、ポリシー テンプレート tcp_services から作成されたすべてのポリシーに、サービスを追加する方法を示しています。

サービスの削除

すべてのポリシー テンプレートから作成された特定のサービスを削除できます。Guard モジュールは、特定のポリシー テンプレートから作成されたすべてのポリシーからサービスを削除します。

サービスを削除するには、次のコマンドのいずれかを使用します。

• remove-service service-num （ポリシー テンプレート設定モードの場合）

• policy-template policy-template-name remove-service service-num （ゾーン設定モードの場合）

表8-7 に、 remove-service コマンドの引数を示します。

次のポリシー テンプレートからサービスを削除できます。

• tcp_services、udp_services、tcp_services_ns

このサービスは、ポート番号です。

• other_protocols

このサービスは、プロトコル番号です。

次の状況では、ラーニング プロセスのポリシー構築を実行しない場合は、サービスを手動で削除する必要があります。

• アプリケーションまたはサービスがネットワークから削除された。

• （ネットワーク環境では一般的でないため）イネーブルにしていないアプリケーションまたはサービスが、ポリシー構築フェーズ中に識別された。

（注） サービスを削除した後でポリシー構築フェーズをアクティブにすると、同じサービスがゾーン設定に改めて追加される場合があります。

次の例は、ポリシー テンプレート tcp_services から作成されたすべてのポリシーから、サービスを削除する方法を示しています。

保護レベル

Guard モジュールには 3 つの保護レベルがあり、各レベルではさまざまなプロセスをトラフィック フローに適用しています。Guard には、次の 3 つの保護レベルがあります。

• 分析保護レベル：Guard モジュールはトラフィックを監視状態で流します。ただし、保護中に異常がトレースされない限り、トラフィックは影響を受けません。Guard モジュールが異常をトレースすると、そのトラフィックを適切な保護レベルに誘導します。

• 基本保護レベル：Guard モジュールはスプーフィング防止機能やゾンビ防止機能をアクティブにし、疑わしいトラフィック フローを調べてトラフィックを認証し、その送信元を確認します。Guard モジュールは、各ホストに対して認証を行います。認証は、事前定義された期間に限り有効です。この期間が経過すると、Guard モジュールはもう一度ホストを認証します。

• 強化保護レベル：Guard モジュールは、強力なスプーフィング防止機能をアクティブにします。この機能により、トラフィック フローのパケットが調べられ、フローの正当性が確認されます。

Guard モジュールは、各接続に対して認証を行います。

保護機能をアクティブにした後、Guard モジュールは引き続きトラフィックを分析します。Guard モジュールは、ゾーン宛てのトラフィックでトラフィック異常を検出すると、より強力な保護メカニズムをアクティブにします。

（注） 保護レベルの設定は静的であり、手動で設定することはできません。

パケット タイプ

Guard モジュールはパケット特性を監視します。パケット特性は、次のいずれかです。

• パケット タイプ（TCP-SYN パケットなど）

• パケット分析（認証済みパケットなど。認証済みパケットとは、パケット接続で TCP ハンドシェイクを実行していることを Guard モジュールが確認済みであるパケットのこと）

• パケット方向（着信接続など）

表8-8 で、Guard モジュールが監視するパケット タイプについて説明します。

トラフィック特性

トラフィック特性とは、トラフィック フローをどのように分析するか、またポリシーの集約にどのような特性が使用されたか定義するものです。分析するトラフィックが同じでも、異なる特性に基づいてレートを測定する異なるポリシーがあります。次にその例を示します。

dns_tcp/53/analysis/pkts/dst_ip と dns_tcp/53/analysis/pkts/src_ip。

表8-9 に、Guard モジュールが監視するトラフィック特性を示します。

ポリシーの状態の変更

ゾーン ポリシーには、次の 3 つの状態があります。

• アクティブ：ポリシーはトラフィックを監視し、しきい値を超えた場合にアクションを実行します。

• 非アクティブ：ポリシーはトラフィックを監視し、しきい値を取得しますが、しきい値を超えてもアクションは実行しません。ポリシーを非アクティブにし、ラーニング プロセスのしきい値調整フェーズが再度実行されないようにすることができます。

• ディセーブル：ポリシーはトラフィック フローを監視しないため、しきい値を取得しません。

（注） Guard モジュールが他のポリシーの正確なしきい値を監視するようにするには、ラーニング プロセスのしきい値調整フェーズをアクティブにすることをお勧めします。

ポリシーの状態を変更するには、ポリシー設定モードで次のコマンドを使用します。

state { active | disabled | inactive }

次の例は、ポリシー状態を設定する方法を示しています。

次の例は、すべてのグローバル ポリシーの状態を設定する方法を示しています。

ゾーン ポリシーをディセーブルにした後でポリシー構築フェーズを実行すると、現在のトラフィック フローに応じてすべてのゾーン ポリシーが再設定され、ポリシーが再度アクティブになることがあります。

ポリシーのしきい値の設定

ポリシーのしきい値は、特定のポリシーのしきい値トラフィック レートを定義するもので、しきい値調整フェーズで調整されます。しきい値は、デフォルトで、オンデマンド保護に適した値に設定されています。このしきい値を超過すると、ポリシーはゾーンを保護するアクションを実行します。

しきい値は、次のポリシー テンプレートで構築されたポリシーを除き、パケット/秒で測定されます。

• num_sources：しきい値は IP アドレスまたはポートの数で測定されます。

• tcp_connections：しきい値は接続の数で測定されます。

• tcp_ratio：しきい値は比率値で測定されます。

ポリシーのしきい値は、次の方法で設定できます。

• しきい値を設定する

ポリシーのしきい値の値を設定できます。「ポリシーのしきい値の設定」を参照してください。

• しきい値を乗算する

Guard モジュールは、現在のポリシーのしきい値に係数を掛けます。新しい値を固定値として設定しない場合、後続のしきい値調整フェーズでこの値が変更されることがあります。「係数によるしきい値の乗算」を参照してください。

• 特定の IP しきい値を設定する

Guard モジュールは、ゾーン アドレス範囲内で、特定の IP 送信元アドレスのしきい値を設定します。「特定の IP しきい値の設定」を参照してください。

• プロキシのしきい値を設定する

Guard モジュールは、プロキシを介して HTTP でゾーンに接続するクライアントのトラフィックのしきい値を設定します。「プロキシしきい値の設定」を参照してください。

ポリシーのしきい値は、しきい値調整フェーズをさらに実行すると変更される場合があります。後続のしきい値調整フェーズでのしきい値の変更方法は、次のようにして変更できます。

• しきい値を固定値として設定する

Guard モジュールは、以後のしきい値調整フェーズで、ポリシーのしきい値（proxy-threshold および threshold-list）の値を変更しません。「固定値としてのしきい値の設定」を参照してください。

• ポリシーのしきい値に固定乗数を設定する

Guard モジュールは、以後のしきい値調整フェーズで、現在のポリシーのしきい値、ラーニングしたしきい値、および固定乗数に基づいてポリシーのしきい値を計算します。「しきい値の乗数の設定」を参照してください。

この項では、次のトピックについて取り上げます。

• ポリシーのしきい値の設定

• 固定値としてのしきい値の設定

• しきい値の乗数の設定

• 係数によるしきい値の乗算

• 特定の IP しきい値の設定

• プロキシしきい値の設定

ポリシーのしきい値の設定

ポリシーのしきい値を設定するには、ポリシー設定モードで次のコマンドを使用します。

threshold threshold

threshold 引数は、ポリシーのしきい値を指定する正数です。

次の例は、ポリシー policy dns_tcp/53/analysis/syns/global のしきい値を 300 に設定する方法を示しています。

固定値としてのしきい値の設定

ポリシーのしきい値（proxy-threshold および threshold-list）を固定値として設定できます。Guard モジュールは、ラーニング プロセスのしきい値調整フェーズで新しいしきい値を無視し、現在のしきい値を保持します。しきい値を固定値として設定することにより、ポリシーのしきい値を設定しながらも、引き続き他のポリシーのしきい値をラーニングすることが可能になります。

ポリシーのしきい値を固定値として設定するには、ポリシー設定モードで次のコマンドを使用します。

learning-params fixed-threshold

次の例は、ポリシー policy dns_tcp/53/analysis/syns/global のしきい値を固定値に設定する方法を示しています。

ゾーン設定モードで次のコマンドを入力すると、1 つのコマンドで複数のポリシーのしきい値を固定値に設定できます。ゾーン設定モードでポリシーのしきい値を固定値として設定するには、次のコマンドを使用します。

policy policy-path learning-params fixed-threshold

policy-path 引数には、ポリシー パスを指定します。パスは、ポリシー セクションの一部のみを含む部分パスでもかまいません。詳細については、「ポリシー パスの使用」を参照してください。

次の例は、ポリシー テンプレート dns_tcp から作成されたすべてのポリシーのしきい値を固定値にする方法を示しています。

ポリシーのラーニング パラメータを表示するには、ポリシー設定モードで show learning-params コマンドを使用するか、ゾーン設定モードで show policies policy-path learning-params コマンドを使用します。

しきい値の乗数の設定

ポリシーのしきい値の乗数を設定できます。Guard モジュールは、以後のしきい値調整フェーズの結果を受け入れる前に、指定された乗数をラーニングしたしきい値に掛けて新しいポリシーのしきい値を計算します。Guard モジュールは、設定されているしきい値選択方式を使用して、しきい値調整フェーズの結果を受け入れます。「しきい値選択方式の設定」を参照してください。

ポリシーのしきい値の乗数を設定するには、ゾーン設定モードで次のコマンドを使用します。

policy policy-path learning-params threshold-multiplier threshold-multiplier

表8-10 に、 policy learning-params threshold- multiplier コマンドの引数とキーワードを示します。

ポリシー設定モードでポリシーのしきい値の乗数を設定するには、 policy learning-params threshold-multiplier threshold-multiplier コマンドを使用します。

次の例は、以後のしきい値調整フェーズで Guard モジュールがポリシー テンプレート dns_tcp から作成されたポリシーのしきい値を半減するように、しきい値乗数を設定する方法を示しています。

ポリシーのラーニング パラメータを表示するには、ポリシー設定モードで show learning-params コマンドを使用するか、ゾーン設定モードで show policies policy-path learning-params コマンドを使用します。

係数によるしきい値の乗算

ポリシーまたはポリシー グループのしきい値に係数を掛けて、トラフィック量がゾーン トラフィックを表していない場合に、ポリシーまたはポリシー グループのしきい値を増減することができます。Guard モジュールでは、ポリシーのしきい値、プロキシのしきい値、および policy threshold-list コマンドで定義されたしきい値の乗算をイネーブルにできます。

ポリシーのしきい値と係数を乗算するには、ゾーン設定モードで次のコマンドを使用します。

policy policy-path thresh-mult threshold-multiply-factor

表8-11 に、policy thresh-mult コマンドの引数とキーワードを示します。

次の例は、ポリシー テンプレート dns_tcp から作成されたポリシーのしきい値を半減する方法を示しています。

（注） しきい値は、Guard モジュールによって後続のしきい値調整フェーズで変更される場合があります。Guard モジュールがしきい値を変更しないようにするには、しきい値を固定値として設定します。「固定値としてのしきい値の設定」を参照してください。

ポリシーのラーニング パラメータを表示するには、ポリシー設定モードで show learning-params コマンドを使用するか、ゾーン設定モードで show policies policy-path learning-params コマンドを使用します。

特定の IP しきい値の設定

トラフィックが大量であることがわかっている送信元または宛先 IP アドレスでトラフィックが増加するときに、Guard モジュールが誤って攻撃として検出しないようにするために、その IP アドレスに関連付けられたトラフィック用のしきい値を指定してポリシーを設定できます。

次の状況のいずれかが発生した場合は、特定の IP しきい値を設定することを考慮する必要があります。

• ある送信元 IP アドレスから大量のトラフィックがあることがわかっている場合は、特定の送信元 IP アドレスからのトラフィックに適用するしきい値を設定できる。

• 非同種ゾーン（複数の IP アドレスが定義されているゾーン）があり、そのゾーンの一部に大量のトラフィックが流れることがわかっている場合は、そのゾーン内の特定の宛先 IP アドレスに適用するしきい値を設定できる。

次のポリシーだけに、特定の IP しきい値を設定できます。

• トラフィック特性が宛先 IP（dst_ip）であるポリシー。

• デフォルトのポリシー アクションが drop である、トラフィック特性が送信元 IP アドレス（src_ip）のポリシー。デフォルトのポリシー アクションとは、新しいゾーンを作成するときに Guard モジュールがポリシーに適用するアクションのことです。これらのポリシーには、ポリシー アクションを変更する場合でもしきい値のリストを設定できます。

特定の IP しきい値を設定するには、次のコマンドのいずれかを使用します。

• policy policy-path threshold-list ip threshold [ip threshold ...]（ゾーン設定モードの場合）

• threshold-list ip threshold [ ip threshold ... ] （ポリシー設定モードの場合）

表8-12 に、threshold-list コマンドの引数を示します。

ポリシーごとに特定の IP しきい値を 10 個まで追加できます。特定の IP しきい値をすべて 1 つのコマンドで入力できます。

Guard モジュールは、しきい値選択方式が new-thresholds に設定されている場合、以後のしきい値調整フェーズでポリシーのしきい値を変更する可能性があります。詳細については、「しきい値選択方式の設定」を参照してください。

次の例は、ポリシー http/80/analysis/syns/src_ip に、IP アドレス 10.10.10.2 および 10.10.15.2 の特定の IP しきい値を設定する方法を示しています。

プロキシしきい値の設定

プロキシしきい値パラメータは、プロキシを介して HTTP によりゾーンに接続するクライアントのトラフィック レートを定義し、Guard モジュールが、さまざまな送信元から送られてくるトラフィック量にポリシーを合せることができるようにします。Guard モジュールはトラフィックをブロックするためだけにプロキシしきい値を使用します。したがって、強化保護レベルの DEFAULT ゾーン テンプレートで作成されたポリシー、および基本保護レベルの TCP_NO_PROXY ゾーン テンプレートで作成されたポリシーだけにプロキシしきい値を設定できます。

プロキシしきい値は、http、http_ns、tcp_connections、および tcp_connections_ns ポリシーでのみ使用でき、ゾーンにアクティブな http または http_ns ポリシーがある場合に、tcp_connections または tcp_connections_ns ポリシー テンプレートでのみ有効です。

プロキシしきい値を設定するには、ポリシー設定モードで次のコマンドを使用します。

proxy-threshold proxy-threshold

proxy-threshold 引数には、http ポリシーおよび http_ns ポリシーのプロキシしきい値のトラフィック レートをパケット/秒単位で指定します。この引数は、tcp_connections ポリシーおよび tcp_connections_ns ポリシーの接続数でプロキシしきい値を指定します。

プロキシ サーバが処理するトラフィック量はゾーンの一部であるネットワーク クライアントの処理量よりはるかに多いため、プロキシしきい値を設定する場合は、 threshold 引数より大きな値を proxy-threshold 引数に設定することをお勧めします。

次の例は、ポリシー tcp_ratio/any/basic/syn_by_fin/dst_ip_ratio のプロキシしきい値を 20 に設定する方法を示しています。

ポリシーのタイムアウトの設定

タイムアウト パラメータは、ポリシーによって作成される動的フィルタがアクションを適用する最小期間を定義します。

タイムアウト期限が切れると、Guard モジュールは、ポリシーによって生成された動的フィルタを非アクティブにするかどうかを決定します。Guard モジュールが動的フィルタを非アクティブにしないと決定した場合、フィルタのアクティベーション タイムアウトが新たにゼロから再びカウントされます。動的フィルタの非アクティベーションの基準を変更するには、 filter-termination コマンドを使用します。詳細については、「動的フィルタの非アクティブ化」を参照してください。

ポリシーのタイムアウトを設定するには、ポリシー設定モードで次のコマンドを使用します。

timeout {forever | timeout}

表8-13 に、timeout コマンドの引数とキーワードを示します。

次の例は、ポリシー http/80/analysis/syns/src_ip のタイムアウトを 100 秒に設定する方法を示しています。

ポリシー グループのタイムアウトを同時に変更するには、ゾーン設定モードで policy set-timeout コマンドを使用します。

次の例は、HTTP ポリシー テンプレートから作成されたすべてのポリシーのタイムアウトを 100 秒に設定し、送信元 IP アドレスを測定する方法を示しています。

ポリシー アクションの設定

アクション パラメータは、しきい値を超過したときにポリシーが実行するアクションのタイプを定義します。

ポリシー アクションは、ポリシーに定義されている保護を強化するように設定します。たとえば、分析保護モジュールのポリシーではポリシー アクションを to-user-filters に設定したり、強化保護モジュールのポリシーではポリシー アクションを filter/drop に設定します。ポリシーに定義されている保護を低下させるようなポリシー アクションを設定しないでください。たとえば、基本保護レベルまたは強化保護モジュールのポリシーで、ポリシー アクションを to-user-filters に設定してはいけません。

ポリシー アクションを設定するには、ポリシー設定モードで次のコマンドを使用します。

action policy-action

表8-14 に、ポリシー アクションを示します。

次の例は、ポリシー http/80/analysis/syns/src_ip にアクションを設定する方法を示しています。

ポリシー グループのアクションを同時に変更するには、ゾーン設定モードで policy set-action コマンドを使用します。

（注） すべてのアクションがすべてのポリシーで有効なわけではありません。特定のポリシーに有効ではないアクションに対するポリシーのアクションを変更すると、Guard モジュールはエラー メッセージを表示します。

次の例は、すべての dns_tcp ポリシーにアクションを設定する方法を示しています。

ポリシーのインタラクティブ ステータスの設定

インタラクティブ ステータスのパラメータは、ポリシーによって作成される保留動的フィルタのインタラクティブ ステータスを定義します。インタラクティブ ステータスは、ゾーン保護がイネーブルになっていて、ゾーンがインタラクティブ保護モードになっている場合にのみ、ゾーンに適用されます。詳細については、 第 11 章「インタラクティブ保護モードの使用方法」 を参照してください。

ポリシーによって作成された保留動的フィルタのステータスを、推奨事項のインタラクティブ ステータスに設定した後で、 always-accept または always-ignore に変更するには、 interactive-status コマンドを使用します。

たとえば、推奨事項のステータスを always-accept に設定すると、推奨事項と推奨事項の保留動的フィルタが表示されなくなります。推奨事項または推奨事項によって生成される保留動的フィルタを無視するには、ポリシーのインタラクティブ ステータスを interactive または always-accept に変更します。

ポリシー インタラクティブ ステータスを設定するには、ポリシー設定モードで次のコマンドを使用します。

interactive-status { always-ignore | always-accept | interactive }

表8-15 に、interactive-status コマンドのキーワードを示します。

次の例は、ポリシー dns_tcp/53/analysis/pkts/src_ip のインタラクティブ ステータスを always-accept に設定する方法を示しています。

ポリシーの表示

ゾーンのポリシーを表示して、ポリシーがゾーンのトラフィック特性に適しているかどうかを確認できます。ゾーンに構築されたポリシーを表示して、これらのポリシーがゾーンのトラフィックの特性に合せてカスタマイズされていることを確認できます。このリストに表示されるポリシーだけを設定できます。

Guard モジュールは、現在のゾーン ポリシーだけを表示します。ポリシー構築フェーズ中にポリシー テンプレートがディセーブルになっていた場合、Guard モジュールはそのポリシー テンプレートからポリシーを作成しないため、 show policies コマンドを入力してもポリシーは表示されません。

ゾーン ポリシーを表示するには、ゾーン設定モードで次のコマンドを使用します。

show policies policy-path

policy-path 引数には、ポリシー グループを指定します。各ポリシー パス セクションでは、ワイルドカード文字としてアスタリスク（*）を使用できます。ポリシー パス セクションを指定しなかった場合、指定していないセクションは Guard モジュールによってワイルドカード（*）と見なされます。たとえば、tcp_services//analysis//global ポリシーでは、サービスとパケット タイプのセクションにワイルドカードが使用されています。

すべてのポリシーの統計情報を表示するには、ポリシー パスにアスタリスク（*）を入力します。

ポリシー パス セクションの詳細については、「ポリシー パスの使用」を参照してください。

次の例は、すべてのゾーン ポリシーを表示する方法を示しています。

次の例は、ポート 53 で DNS-over-TCP 同期パケットを監視するすべてのポリシーを表示する方法を示しています。

表8-16 に、 show policies コマンド出力のフィールドを示します。

ポリシーの統計情報の表示

1 つのゾーン ポリシーまたはゾーン ポリシーのグループを通過するトラフィックのレートを表示したり、サービスタイプおよびボリュームがゾーン トラフィックを表すかどうかを判断したりすることができます。Guard モジュールは、ゾーンに転送されたトラフィック フローの中で、ポリシーによって測定された最も高いレートを持ついくつかのトラフィック フローを表示します。レートは、トラフィックのサンプルに基づいて計算されます。

ポリシーの統計情報を表示するには、ゾーン設定モードで次のコマンドを使用します。

show policies policy-path statistics [num-entries]

表8-17 に、show policies statistics コマンド出力の引数を示します。

次の例は、すべてのゾーン ポリシーの統計情報を表示する方法を示しています。

次の例は、ポート 53 で DNS-over-TCP 同期パケットを監視するすべてのポリシーの統計情報を表示する方法を示しています。

次の例は、ゾーンのグローバル トラフィックの統計情報を表示する方法を示しています。

Guard モジュールは、3 つのテーブルに統計情報を表示します。各テーブルの情報は値によってソートされ、テーブルの一番上に最大値が表示されます。

表8-18 に、show policies statistics コマンド出力テーブルのフィールドを示します。

（注） Guard モジュールは、データを含まないテーブルを表示しません。