Cisco Traffic Anomaly Detector Module Web-Based Manager コンフィギュレーション ガイド Software Release 6.1 and 6.1-XG

Name

新しいゾーンの名前。名前は 1 ～ 63 文字の英数字文字列です。この文字列は英字で始める必要があります。アンダースコアを含めることができますが、スペースを含めることはできません。

Description

ゾーンについて説明するテキスト。1 ～ 80 文字の英数字文字列を入力します。

Zone Template

ゾーンの設定で使用されるポリシーを定義するゾーン テンプレート。Detector モジュールには、次のプレフィックスを持つ 2 セットのゾーン テンプレートがあります。

• DETECTOR_：Detector モジュールでのみ使用するためのゾーン テンプレート。Guard とゾーン設定を共有させない場合は、
DETECTOR_ バージョンのゾーン テンプレートを選択します。

• GUARD_：Detector モジュールと Guard で使用するためのゾーン テンプレート。これらのテンプレートで作成されたゾーンについて、Detector モジュールと Guard の両方のアトリビュートを設定できます。このゾーン設定は Guard にコピーできます。Guard とゾーン設定を同期させる予定の場合は、GUARD_ バージョンのゾーン テンプレートを選択します。

次のいずれかのゾーン テンプレートを選択します。

• DETECTOR_DEFAULT：デフォルトのゾーン テンプレート。このゾーン テンプレートを使用して Voice-over-IP サーバを保護できます。このゾーン テンプレートを使用してゾーンを作成する場合、ゾーンに対する TCP ワーム攻撃は検出できません。

• DETECTOR_WORM：Detector モジュールがゾーンに対する TCP ワーム攻撃を検出できるようにするためのゾーン テンプレート。DETECTOR_WORM ゾーン テンプレートから作成されたゾーンには、worm_tcp ポリシー テンプレートから作成されたポリシーが含まれています。

• DETECTOR_LINK テンプレート：ゾーンが既知の帯域幅に応じてセグメント化された大規模なサブネットを Detector モジュールが検出できるようにするためのゾーン テンプレート。これらのゾーン テンプレートによって定義されたゾーンに対しては、ラーニング プロセスを実行することなくゾーン検出をアクティブにすることができます。攻撃を受けた IP アドレスまたはサブネットだけを対象に Detector モジュールが Guard 上のゾーン保護をアクティブにできるよう設定するには、Protect-IP State パラメータを Only Dst IP に設定します。詳細については、Protect-IP State パラメータの説明を参照してください。

帯域幅限定リンク ゾーン テンプレートは、128-Kb、1-Mb、4-Mb、および 512-Kb のリンクをそれぞれ対象とした次のものが用意されています。

DETECTOR_LINK_128K、DETECTOR_LINK_1M、DETECTOR_LINK_4M、および DETECTOR_LINK_512K

これらのテンプレートから作成されたゾーンでは、ラーニング プロセスのポリシー構築フェーズを実行することはできません（ 第7章「ゾーン トラフィックのラーニング」 の「ラーニング プロセスについて」の項を参照）。

Zone Template（続き）

• GUARD_DEFAULT：Guard のデフォルトのゾーン テンプレート。Guard は、パケットの送信元 IP アドレスを、Guard の TCP プロキシ IP アドレスに変更することがあります。このゾーン テンプレートは、該当のゾーン ネットワークの着信 IP アドレスに基づくアクセス コントロール リスト、アクセス ポリシー、またはロード バランシング ポリシーを使用しない場合に使用できます。

• GUARD_VOIP：Voice over IP（VoIP）サーバが含まれているゾーン用に設計されたゾーン テンプレート。このサーバは、Session Initiation Protocol（SIP）over UDP を使用して VoIP セッションを確立し、セッション確立後に Real-time Transport Protocol/Real-time Control Protocol（RTP/RTCP）を使用して SIP エンドポイント間のボイス データを送信するものです。

GUARD_VOIP ゾーン テンプレートから作成されたゾーンには、VoIP トラフィックを処理するための、sip_udp ポリシー テンプレートから生成された特定のポリシーが含まれています。

• GUARD_LINK テンプレート：既知の帯域幅のゾーン用のゾーン テンプレート。128-Kb、1-Mb、4-Mb、および 512-Kb の各リンク用に次のテンプレートが用意されています。

GUARD_LINK_128K、GUARD_LINK_1M、GUARD_LINK_4M、および GUARD_LINK_512K

これらのテンプレートから作成されたゾーンに対しては、ポリシー構築を実行することはできません。GUARD_LINK ゾーン テンプレートから作成されたゾーンに対しては、しきい値調整フェーズを実行することなくゾーン検出をアクティブにすることができます。

攻撃を受けた IP アドレスまたはサブネットだけを対象に Detector モジュールが Guard 上のゾーン保護をアクティブにできるよう設定するには、Protect-IP State パラメータを Only Dst IP に設定します。詳細については、Protect-IP State パラメータの説明を参照してください。

• GUARD_TCP_NO_PROXY：TCP プロキシを使用しないゾーン用のゾーン テンプレート。Internet Relay Chat（IRC; インターネット リレー チャット）サーバタイプのゾーンなど、ゾーンが IP アドレスに基づいて制御されている場合や、ゾーン上で実行されているサービスのタイプが不明な場合、このゾーン テンプレートを使用できます。

Operation mode

Detector モジュールがゾーン保護を実行するモード。動作モードは、次のいずれかです。

• Automatic：Detector モジュールは、攻撃の進行中に作成する動的フィルタを、すべて自動的にアクティブにします。

• Interactive：Detector モジュールは、ポリシーが推奨事項として作成する動的フィルタを表示します。各動的フィルタをアクティブにするかどうかをユーザが決定する必要があります。

ゾーンの動作モードの詳細については、 第9章「異常の検出のアクティブ化」 の「自動検出モードまたはインタラクティブ検出モードのアクティブ化」の項を参照してください。

IP address

ゾーンの IP アドレス。ゾーンを作成した後で、IP アドレスの変更や IP アドレスの追加ができます（「ゾーンの IP アドレス範囲の設定」の項を参照）。

IP mask

ゾーンのアドレス マスク。アドレス マスクを Mask ドロップダウン リストから選択します。ゾーンを作成した後で、アドレス マスクを変更できます（「ゾーンの IP アドレス範囲の設定」の項を参照）。

IP List

追加の IP アドレス。ゾーンの IP アドレスのリストを作成します。リストはスペース区切りで、ドット付き 10 進表記です（a.b.c.d/x の形式を使用。x はサブネット マスク）。

一般的なパラメータ

Description

ゾーンについて説明するテキスト。1 ～ 80 文字の英数字文字列を入力します。

Operation mode

Detector モジュールがゾーン保護を実行するモード。動作モードは、次のいずれかです。

• Automatic：Detector モジュールは、攻撃の進行中に作成する動的フィルタを、すべて自動的にアクティブにします。

• Interactive：Detector モジュールは、ポリシーが推奨事項として作成する動的フィルタを表示します。各動的フィルタをアクティブにするかどうかをユーザが決定する必要があります。

ゾーンの動作モードの詳細については、 第9章「異常の検出のアクティブ化」 の「自動検出モードまたはインタラクティブ検出モードのアクティブ化」の項を参照してください。

Protect-IP state

Detector モジュールがリモート Guard モジュールをアクティブにするために使用する Guard の保護方式。ここで選択する Guard の保護方式により、特定のゾーン保護の要件に Guard を集中させることで、Guard のリソースを節約できます。

Protect-IP state ドロップダウン リストには次の状態があります。

• Entire Zone：ゾーン トラフィックの異常が検出されると、Guard をアクティブにして、ゾーン全体を保護します。この方法を使用すると、Guard が保護するアクティブなゾーンの数が減るため、Guard のリソースは節約されます。関連性のあるサブゾーンでゾーンが構成されている場合、この方法を使用することをお勧めします。

• Only Dst IP：特定の IP アドレスを宛先とするゾーン トラフィックの異常が検出されると、Guard をアクティブにして、その IP アドレスを保護します。Guard をアクティブにして攻撃の対象となる IP アドレスを保護できる一方で、ゾーン全体のトラフィックを Guard に宛先変更することを回避できます。Detector モジュールは、トラフィックの異常を特定の IP アドレスと関連付けることができない場合、ゾーンを保護するために Guard モジュールをアクティブにしません。

関連性のないサブゾーンでゾーンが構成されている場合、この方法を使用することをお勧めします。

• Policy type：Guard をアクティブにして、ゾーン全体、またはゾーンのアドレス範囲にある特定の IP アドレスを保護します。これは、Detector モジュールが Guard をアクティブにする要因となったポリシーに基づいて実行されます。Detector モジュールは、特定の IP アドレスを宛先とするゾーン トラフィックの異常を検出すると、Guard をアクティブにしてその IP アドレスを保護します（たとえば、リモート アクティベーションの要因となったポリシーのトラフィック特性が dst_ip である場合）。Detector モジュールは、トラフィックの異常を特定の IP アドレスと関連付けることができない場合、ゾーン全体を保護するために Guard をアクティブにします（たとえば、リモート アクティベーションの要因となったポリシーのトラフィック特性が global である場合）。

関連性のあるサブゾーンでゾーンが構成されている場合、この方法を使用することをお勧めします。この方法によって、攻撃対象となったゾーンがゾーン全体に損害を与える事態を避けることができます。

Protect-IP state
（続き）

• Only Dst IP by address：特定の IP アドレスを宛先とするゾーン トラフィックの異常が検出されると、Guard をアクティブにして、その IP アドレスを保護します。この IP アドレスは、Guard に定義されているいずれかのゾーンのアドレス範囲に存在する必要があります。ただし、Detector モジュールのゾーン名が Guard モジュールのゾーン名と同じである必要はありません。Only Dst IP by address を選択することは、Guard のメイン メニューで Main > Protect IP を選択して実行できる、ゾーン名が不明な場合の IP アドレスの保護と同じです。Detector モジュールのゾーン名が Guard のゾーン名と異なる場合、または関連性のないサブゾーンでゾーンが構成されている場合、この方法を推奨します。

Guard が、攻撃を受けた IP アドレスだけを対象にゾーン保護をアクティブにし、ゾーン全体のトラフィックを自身に宛先変更しないようにするには、Guard でゾーンのアクティベーション範囲が IP Address only として定義されていることを確認してください。

Rate

（GUARD_ テンプレートのみ）Guard がネットワークに再び注入できるトラフィックの量。帯域幅の値は、ゾーンへの送信で測定された最大の帯域幅に設定します。帯域幅の最大値が不明な場合は、Rate フィールドおよび Burst フィールドをブランクのままにして、ドロップダウン リストから無制限の単位（unlimit）を選択します。

最大レートの整数を入力し、ドロップダウン リストから次のいずれかの測定単位を選択します。

• unlimit：Guard がネットワークに再び注入するトラフィックのレートを制限しない場合は、このデフォルト設定を使用します。unlimit を選択した場合、最大レート値を入力しないでください。

• mbps：メガビット/秒

• kbps：キロビット/秒

• bps：ビット/秒

• kpp：キロパケット/秒

• pps：パケット/秒

Burst

（GUARD_ テンプレートのみ）Guard がゾーンに転送できる最大のトラフィック ピーク。バースト サイズ レートの整数を入力します。単位は、ビット、キロビット、キロパケット、メガビット、およびパケットです。各単位は、レート（Rate）で測定単位に指定したレート単位に対応します。

攻撃検出/終了のパラメータ（GUARD_ テンプレートのみ）

Protection-end Timer

ゾーンに攻撃がない場合に Guard がゾーン保護を終了するために使用する非アクティビティ タイムアウト。Guard は、動的フィルタの非アクティビティとドロップされたトラフィックに基づいて非アクティビティを測定します。 1 秒以上の値を入力します。無期限にすることもできます。

Malicious-rate detection threshold

ドロップされるゾーン パケットの最小レート。レートがこのしきい値より低くなった場合、Guard はゾーン保護を終了することがあります。レートがこのしきい値を超えた場合、Guard は、ゾーンに対する攻撃と見なし、攻撃レポートを作成します。

Malicious-rate detection threshold のデフォルトは、10 パケット/秒（pps）です。

Filter-rate termination threshold

Guard が動的フィルタを非アクティブにできるタイミングを指定するしきい値。Malicious-rate termination threshold とともに使用します。このしきい値は、パケット/秒（pps）単位で定義します。詳細については、 第9章「異常の検出のアクティブ化」 の「動的フィルタの管理」の項を参照してください。

Filter-rate-pph termination threshold

Guard が動的フィルタを非アクティブにできるタイミングを指定するしきい値。Malicious-rate termination threshold とともに使用します。このしきい値は、パケット/時間（pph）単位で定義します。詳細については、 第9章「異常の検出のアクティブ化」 の「動的フィルタの管理」の項を参照してください。

Malicious-rate termination threshold

Guard が動的フィルタを非アクティブにできるタイミングを指定するしきい値。Filter-rate termination threshold とともに使用します。このしきい値は、パケット/秒（pps）単位で定義します。詳細については、 第9章「異常の検出のアクティブ化」 の「動的フィルタの管理」の項を参照してください。

アクティベーションのパラメータ（GUARD_ テンプレートのみ）

Activation interface

保護のアクティベーション方式。外部からの攻撃の兆候を受信した場合に、ゾーン保護をアクティブにする対象のゾーンを Guard が特定する方法を定義します。この兆候には、外部デバイス（Detector など）からのコマンドや、ゾーン（パケット）を宛先とするトラフィックがあります。アクティベーション方式は、次のいずれかです。

• Zone name：ゾーン名に基づいてゾーン保護をアクティブにします。これがデフォルトのアクティベーション方式です。

ゾーン名によるアクティベーション方式を設定するには、両方のチェックボックスをオフにします。

• By packet：ゾーンが宛先となっているトラフィックを受信したときに、ゾーン保護をアクティブにします。Guard はゾーンのデータベースをスキャンし、受信パケットの IP アドレスを含むアドレス範囲を持つゾーンをアクティブにします。受信パケットの IP アドレスを含むアドレス範囲を持つゾーンが複数設定されている場合、Guard は、プレフィックスが最も長く一致するゾーン（受信 IP アドレスを含むアドレス範囲が最も限定的なゾーン）をアクティブにします。受信 IP アドレスまたはサブネットは、ゾーンの IP アドレス範囲に完全に含まれている必要があります。

（注） パケットによる保護アクティベーション方式をゾーンに設定すると、Guard はアクティブなゾーンを宛先としないトラフィックの処理方法を変更します。これに該当するトラフィックの注入を設定した場合、Guard はそのトラフィックをドロップせずに転送します。

パケットによるアクティベーション方式を設定するには、 By packet チェックボックスをオンにします。

• By IP address：ゾーンの一部である IP アドレス、またはサブネットで構成された外部デバイス（Detector など）からコマンドを受信したときに、ゾーン保護をアクティブにします。Guard はゾーンのデータベースをスキャンし、受信 IP アドレス、またはサブネットを含むアドレス範囲を持つゾーンをアクティブにします。受信 IP アドレスを含むアドレス範囲を持つゾーンが複数設定されている場合、Guard は、プレフィックスが最も長く一致するゾーン（受信 IP アドレスを含むアドレス範囲が最も限定的なゾーン）をアクティブにします。受信 IP アドレスまたはサブネットは、ゾーンの IP アドレス範囲に完全に含まれている必要があります。

IP アドレスによるアクティベーション方式を設定するには、 By IP address チェックボックスをオンにします。

Activation interface
（続き）

• By IP Address or By Packet：ゾーンを宛先とするトラフィック（パケット）を受信した場合、またはゾーンのアドレス範囲の一部である IP アドレスやサブネットで構成される外部デバイス（Detector など）からコマンドを受信した場合に、ゾーン保護をアクティブにします。詳細については、この項の「By IP address」および「By packet」の説明を参照してください。

IP アドレスまたはパケットによるアクティベーション方式を設定するには、 By IP address チェックボックスと By packet チェックボックスの両方をオンにします。

（注） 保護アクティベーションを By Packet または By IP Address or By Packet に設定した場合は、ゾーンが攻撃を受けたときに、トラフィックの宛先を手動で Guard に変更する必要があります。Activation interface のオプションの詳細については、「保護のアクティベーション方式について」の項を参照してください。

Activation extent

Guard が、外部からの攻撃の兆候を受信した場合に、ゾーン全体またはゾーンの一部のどちらに対してゾーン保護をアクティブにするかを定義します。アクティベーション範囲は、次のいずれかです。

• IP address only：ゾーン内部の指定した IP アドレスまたはサブネットに対してのみ、保護をアクティブにします。これがデフォルトのアクティベーション範囲設定です。

• Entire zone：ゾーン全体の保護をアクティブにします。

Activation extent のオプションの詳細については、「ゾーン保護の範囲について」の項を参照してください。

パケット ダンプのパラメータ

Auto Packet Dump

次のいずれかのオプションの隣にあるチェックボックスをオンにします。

• On：自動パケット ダンプをイネーブルにします。

• Off：自動パケット ダンプをディセーブルにします（デフォルト設定）。

Max. disk space

自動パケット ダンプに使用するディスク スペースの最大容量をメガバイト単位で入力します。

このフィールドは Cisco Guard（アプライアンス）だけに適用され、Cisco Traffic Anomaly Detector Module には影響しません。