Cisco Traffic Anomaly Detector Web-Based Manager コンフィギュレーション ガイド (Software Release 5.1)

Source IP

特定の IP アドレスから送信されるトラフィックをユーザ フィルタに転送します。送信元 IP アドレスを入力します。すべての送信元 IP アドレスを指定するには、このフィールドをブランクのままにするか、アスタリスク（ *）を入力します。

Source subnet

特定のサブネットから送信されるトラフィックをユーザ フィルタに転送します。サブネットを Source subnet ドロップダウン リストから選択します。

Protocol

特定のプロトコルで送信されるトラフィックをユーザ フィルタに転送します。プロトコル番号を入力します。すべてのプロトコルを指定するには、このフィールドをブランクのままにするか、アスタリスク（ *）を入力します。

Dst Port

特定のポートが宛先となっているトラフィックをユーザ フィルタに転送します。宛先ポート番号を入力します。すべての宛先ポートを指定するには、このフィールドをブランクのままにするか、アスタリスク（ * ）を入力します。

Fragments

フィルタで処理するトラフィックのタイプを指定します。Fragments ドロップダウン リストから、次のいずれかを選択します。

• without ：ユーザ フィルタは断片化されていないトラフィックを処理します。

• with ：ユーザ フィルタは断片化されたトラフィックを処理します。

• * ：ユーザ フィルタは、断片化されたトラフィックと断片化されていないトラフィックの両方を処理します。

Rate

レート リミットを指定します。ユーザ フィルタは、トラフィックの量を指定したレート以下に制限します。レート リミットの値を Rate フィールドに入力し、使用する測定単位を Rate ドロップダウン リストから選択します。トラフィック レートをユーザ フィルタで制限しない場合は、測定単位として unlimit を選択します。

Burst

トラフィックのバースト リミットを指定します。ユーザ フィルタは、Rate に対して選択したものと同じ測定単位をバーストにも使用します（このテーブルの Rate を参照）。

Action

特定のトラフィックに対してユーザ フィルタが実行するアクションを指定します。Action ドロップダウン リストから、次のいずれかを選択します。

• permit ：フローの統計分析を実行せず、このフローをスプーフィング防止機能とゾンビ防止保護メカニズムによって処理されない場合に使用します。このフローは他の保護メカニズムによって処理されないため、このフィルタにはレート リミットとバースト リミットを設定することをお勧めします。

• basic/redirect ：HTTP 経由のアプリケーションを認証します。

• basic/reset ：TCP 経由のアプリケーションを認証します。HTTP トラフィック フローには basic/redirect アクションを使用することをお勧めします。

• basic/safe-reset ：TCP 接続のリセットを許容しない TCP アプリケーション トラフィック フローを認証する場合に使用します。HTTP トラフィック フローには basic/redirect アクションを使用することをお勧めします。

• basic/default ：TCP 以外のトラフィック フローを認証します。

• basic/dns-proxy ：TCP DNS トラフィック フローを認証します。

Action
（続き）

• basic/sip ：SIP1 over UDP を使用して VoIP セッションを確立し、セッション確立後に RTP/RTCP2 を使用して SIP エンドポイント間のボイス データを送信する VoIP3 プロトコルを認証します。

• strong ：トラフィック フローの強化認証が必要な場合や、それまでのフィルタが該当するアプリケーションに適していないと考えられる場合に使用します。認証は、各接続に対して行われます。

TCP 着信接続では、Cisco Guard はプロキシの役割を果たします。着信 IP アドレスに基づく ACL4、アクセス ポリシー、またはロードバランシング ポリシーをネットワークで使用している場合は、接続に強化認証アクションを使用しないでください。

• drop ：トラフィック フローをドロップする場合に使用します。

Source IP

Detector は、Detector の異常検出機能をバイパスして、指定した IP アドレスからゾーンへ直接トラフィックを転送します。すべての送信元 IP アドレスを指定するには、このフィールドをブランクのままにするか、アスタリスク（ *）を入力します。

Source subnet

Detector は、Detector の異常検出機能をバイパスして、指定したサブネットからゾーンへ直接トラフィックを転送します。サブネットを Source subnet ドロップダウン リストから選択します。

Protocol

Detector は、Detector の異常検出機能をバイパスし、指定したプロトコルを使用してゾーンへ直接トラフィックを転送します。プロトコル番号を入力します。すべてのプロトコルを指定するには、このフィールドをブランクのままにするか、アスタリスク（ *）を入力します。

Dst Port

Detector は、Detector の異常検出機能をバイパスし、指定したゾーンの宛先ポートへトラフィックを転送します。宛先ポート番号を入力します。すべての宛先ポートを指定するには、このフィールドをブランクのままにするか、アスタリスク（ *）を入力します。

Fragments

Detector は指定したトラフィック タイプを処理します。
Fragments ドロップダウン リストから、次のいずれかを選択します。

• without ：バイパス フィルタは断片化されていないトラフィックを処理します。

• with ：バイパス フィルタは断片化されたトラフィックを処理します。

• * ：バイパス フィルタは、断片化されたトラフィックと断片化されていないトラフィックの両方を処理します。

dst host host_ip_address

宛先ホスト IP アドレスへのトラフィック。

src host host_ip_address

送信元ホスト IP アドレスからのトラフィック。

host host_ip_ address

送信元および宛先の両方のホスト IP アドレスの間のトラフィック。

net net mask mask

特定のネットワークへのトラフィック。

net net/len

特定のサブネットへのトラフィック。

dst port destination_port_number

宛先ポート番号への TCP または UDP トラフィック。

src port source_port_number

送信元ポート番号からの TCP または UDP トラフィック。

port port_number

送信元および宛先の両方のポート番号間の TCP または UDP トラフィック。

less packet_length

greater packet_length

特定のバイト長以上の長さを持つパケット。

ip proto protocol

ICMP、UDP、または TCP のプロトコル番号を持つパケット。

ip broadcast

ブロードキャスト IP パケット。

ip multicast

マルチキャスト パケット。

ether proto protocol

IP、ARP、または RARP などの特定のプロトコル番号またはプロトコル名を持つイーサネット プロトコル パケット。プロトコル名はキーワードでもあります。プロトコル名を入力する場合は、エスケープ文字としてバックスラッシュ（\）を名前の前に使用する必要があります。

expr relop expr

特定の式に適合するトラフィック。 表5-4 に、tcpdump 式の規則を示します。

relop

>, <, >=, <=, =, !=

expr

整数の定数（標準の C 構文で表現されたもの）、通常のバイナリ演算子（+、-、*、/、&、|）、長さ演算子、および特殊なパケット データ アクセスで構成される算術式。パケット内のデータにアクセスするには、次の構文を使用します。

proto [ expr : size ]

proto

インデックス操作用のプロトコル層。 指定可能な値は、 ether、ip、tcp、udp、または icmp です。指定されたプロトコル層までの相対的なバイト オフセットは、 expr の値で指定されます。

パケット内のデータにアクセスするには、次の構文を使用します。

proto [ expr : size ]

size 引数はオプションで、フィールド内のバイト数を示します。この引数は 1、2、または 4 となります。デフォルトは 1 です。

0 個またはそれ以上の文字を含んでいる文字列と一致します。たとえば、パターン goo.*s は goos 、 goods 、 good for ddos などと一致します。

特殊文字から特別な意味を取り除きます。特殊文字を文字列の中で 1 つの文字パターンとして使用するには、各文字の先頭にバックスラッシュ（\）を入力して特殊な意味を取り除きます。たとえば、2 つのバックスラッシュ（\\）は、1 つのバックスラッシュ（\）と一致し、1 つのバックスラッシュとピリオド（\.）はピリオド（.）と一致します。

文字として使用するアスタリスク（*）の前にもバックスラッシュを配置する必要があります。

16 進値と一致します。H は 16 進数の数字で、大文字と小文字は区別されません。16 進値は、必ず 2 桁である必要があります。たとえば、\x41 というパターンは 16 進値 A に一致します。

Description

フレックスコンテンツ フィルタの説明を示します。

Protocol

特定のプロトコルを使用しているトラフィックを処理します。0 ～ 255 のプロトコル番号を入力します。すべてのプロトコル タイプを指定するには、アスタリスク（*）を入力します。

有効なプロトコル番号のリストについては、次の Internet Assigned Numbers Authority（IANA）の Web サイトを参照してください。

http://www.iana.org/assignments/protocol-numbers

Dst Port

特定の宛先ポートに向かうトラフィックを処理します。0 ～ 65,535 の宛先ポート番号を入力します。すべての宛先ポートを指定するには、アスタリスク（*）を入力します。

有効なポート番号のリストについては、次の Internet Assigned Numbers Authority（IANA）の Web サイトを参照してください。

http://www.iana.org/assignments/port-numbers

Expression

指定した式に基づいてトラフィックをフィルタリングします（「フレックスコンテンツ フィルタの式の構文について」の項を参照）。180 個（スペース区切り）までのトークンを使用して文字列を入力します。

Pattern

パケットの内容と照合するための正規表現データ パターンを指定します（「フレックスコンテンツ フィルタのパターンの構文について」の項を参照）。使用するデータ パターンを入力します。

Match Case

データ パターン式で大文字と小文字を区別するかどうかを指定します。大文字と小文字を区別するデータ パターン式として定義するには、チェックボックスをオンにします。

Start Offset

パケットの内容の先頭から、パターン マッチングを開始する位置までのオフセットを指定します（バイト単位）。デフォルトは 0（ペイロードの先頭）です。開始オフセットは、pattern フィールドに適用されます。0 ～ 2047 の整数を入力します。

End Offset

パケットの内容の先頭から、パターン マッチングを終了する位置までのオフセットを指定します（バイト単位）。デフォルトは、パケット長（ペイロードの末尾）です。終了オフセットは、pattern フィールドに適用されます。0 ～ 2047 の整数を入力します。

Action

Detector 上でフレックスコンテンツ フィルタが実行するアクションを指定します。

アクションを Action ドロップダウン リストから選択します。

• count ：フィルタに一致するトラフィック フロー パケットをカウントします。

Guard Action

トラフィックに対して Cisco Guard 上でフレックスコンテンツ フィルタが実行するアクションを指定します。GUARD ゾーン テンプレートを使用してゾーンを作成した場合、このフィールドが適用されます。

アクションを Action ドロップダウン リストから選択します。

• count ：フィルタに一致するトラフィック フロー パケットをカウントします。

• drop ：フィルタに一致するトラフィック フロー パケットをドロップします。

State

フレックスコンテンツ フィルタの動作状態を指定します。

動作状態を State ドロップダウン リストから選択します。

• enable ：Detector はフィルタをトラフィック フローに適用し、一致が検出されると設定されたアクションを実行します。

• disable ：Detector は、フィルタをトラフィック フローに適用しません。