Cisco Traffic Anomaly Detector Web-Based Manager コンフィギュレーション ガイド (Software Release 5.1)

Policy template

選択したポリシー テンプレートに基づいて作成されたポリシー。

Service

選択したサービスのために作成されたポリシー。

Protection level

選択した保護レベルを持つポリシー。

Type

選択したパケット タイプを持つポリシー。

Policy

選択した名前を持つポリシー。

State

選択した動作状態になっているポリシー。

Action

選択したアクションを使用して設定されているポリシー。

Policies

動作中の現在の設定のポリシー、またはスナップショット（使用可能な場合）のポリシー。

Policy Template

Detector がポリシーの構築に使用したポリシー テンプレート。各ポリシー テンプレートは、Detector が特定の DDoS 攻撃の検出で必要とする特性を処理します。

Service

トラフィック フローに含まれていて、ポリシーが監視しているサービス。 サービスは、ポート番号またはプロトコル番号のいずれかです。 「サービスの追加または削除」を参照してください。

Detector では、同じポリシー テンプレートから作成された他のサービスと特に一致しないすべてのトラフィックのサービスの値に any が表示されます。

Level

ポリシーがトラフィック フローに適用する異常検出のレベル。Detector では常に analysis です。

Type

Detector が監視するパケット タイプ。

パケット タイプの値は、次のいずれかです。

• auth_pkts ：TCP ハンドシェイクまたは UDP 認証のいずれかが実行されたパケット。

• auth_tcp_pkts ：TCP ハンドシェイクが実行されたパケット。

• auth_udp_pkts ：UDP 認証が実行されたパケット。

• in_nodata_conns ：ゾーンへの着信接続のうち、接続時にデータ転送が行われない（データ ペイロードのないパケット）もの。

• in_conns ：ゾーンへの着信接続。

• in_pkts ：ゾーンに着信する DNS クエリー パケット。

• in_unauth_pkts ：ゾーンに着信する未認証の DNS クエリー。

• out_pkts ：ゾーンに着信する DNS 応答パケット。

• reqs ：データ ペイロードを含んだ要求パケット。

• syns ：同期パケット（TCP SYN フラグの付いたパケット）。

• syn_by_fin ：SYN フラグ付きパケットと FIN フラグ付きパケット。Detector は、SYN フラグの付いたパケット数と FIN フラグの付いたパケット数の比率を確認します。

• unauth_pkts ：TCP ハンドシェイクを受けていないパケット。

• pkts ：同じ保護レベルになっている他のいずれのカテゴリにも該当しない、すべてのパケット タイプ。

• non_estb_conns ：確立されていない接続。失敗したゾーン着信接続。要求に対する応答がなかった TCP 接続要求（SYN パケット）。

Key

ポリシーの集約に使用されたトラフィック特性。キー名をクリックすると詳細が表示されます。

キー名の値は、次のいずれかです。

• dst_ip ：ゾーンの IP アドレスが宛先となっているトラフィック。

• dst_ip_ratio ：特定の IP アドレスが宛先となっている SYN フラグ付きパケットと FIN フラグ付きパケットの比率。

• dst_port_ratio ：特定のポートが宛先となっている SYN フラグ付きパケットと FIN フラグ付きパケットの比率。

• global ：他のポリシー セクションによって定義された、すべてのトラフィック フローの合計。

• src_ip ：送信元 IP アドレスに基づいて集計された、ゾーンが宛先となっているトラフィック。

• dst_port ：ゾーンの特定のポートが宛先となっているトラフィック。

• protocol ：プロトコルに基づいて集計された、ゾーンが宛先となっているトラフィック。

• src_ip_many_dst_ips ：同一のポートで多数のゾーン IP アドレスをプローブする 1 つの IP アドレスからのトラフィック。このキーは IP スキャニングに使用されます。

• src_ip_many_ports ：ゾーンの宛先 IP アドレスで多数のポートをプローブする 1 つの IP アドレスからのトラフィック。このキーはポート スキャニングに使用されます。

• scanners ：特定の宛先ポート上でゾーンの宛先 IP アドレスをスキャンする送信元 IP アドレスのヒストグラム。

State

ポリシーの動作状態。ポリシーは、次のいずれかの状態で動作します。

アクティブ：Detector はトラフィック フローにポリシーを適用します。トラフィック フローがポリシーのしきい値を超過すると、ポリシーがアクションを実行します。

非アクティブ：Detector はトラフィック フローにポリシーを適用します。トラフィック フローがポリシーのしきい値を超過しても、ポリシーはアクションを実行しません。

ディセーブル：Detector はトラフィック フローにポリシーを適用しません。

Action

ポリシーに割り当てられているアクション。トラフィック フローがポリシーのしきい値を超過すると、ポリシーがこのアクションを実行します。詳細については、「ポリシーのパラメータの変更」の項を参照してください。

Threshold

ポリシーのしきい値となるトラフィック レート。トラフィック フローがポリシーのこのしきい値を超過すると、ポリシーは割り当てられているアクションを実行します。ポリシーのしきい値は、手動で設定するか、Detector によってラーニング プロセスのしきい値調整フェーズで設定することができます。

Timeout

ポリシーがトラフィック フローにその割り当てられたアクションを適用するまでの最短時間。

Fixed

ポリシーのしきい値の動作ステータス。チェック マークは、このしきい値が固定値であり、ラーニング プロセスのしきい値調整フェーズ実行中に変更できないことを示します。 x は、このしきい値が固定値ではないことを示し、Detector がしきい値調整プロセス中にポリシーのしきい値を変更する可能性があることを意味します。

Learning Multiplier

Detector がしきい値調整フェーズの結果を受け入れるときに、しきい値に掛ける係数。

State

Action

トラフィックがポリシーのしきい値を超過したときに、ポリシーが実行するアクション。ポリシーのアクションをドロップダウン リストから選択します。

• notify ：しきい値を超過したときに通知します。

• remote_activation ：Cisco Guard をアクティブにします。
Cisco Guard はゾーンのトラフィックを自身に誘導し、ゾーンの保護プロセスを管理します。Detector がアクティブにする Cisco Guard を定義するには、CLI を使用してリモート Guard リストを設定します。

Threshold

ポリシーのしきい値となるトラフィック レート。トラフィックがこのしきい値を超過すると、ポリシーはアクションを実行します。

このしきい値は、単一のポリシーに対してだけ設定できます。

しきい値は、次のポリシー テンプレートから構築されたポリシーを除いて pps 単位で測定されます。

• num_soruces：しきい値は、IP アドレスまたはポートの数で測定されます。

• tcp_connections：しきい値は、接続の数で測定されます。

• tcp_ratio：しきい値は、比率値で測定されます。

Threshold multiplier

Timeout

ポリシーがアクションを適用する最短期間。タイムアウト値を秒単位で入力します。

Learning parameters

ポリシーに関係するしきい値調整フェーズの結果を Detector が受け入れる方法。Detector に、しきい値調整フェーズの結果を変更せずにそのまま受け入れさせるには、Learning Parameters チェックボックスをオフのままにしておきます。

Learning parameters チェックボックスをオンにして、次のいずれかのオプションを選択します。

• Set as fixed ：Detector はポリシーの現在のしきい値を固定値として定義します。しきい値調整フェーズの結果を受け入れるときに、Detector はこのポリシーのしきい値を変更しません。

• Learning multiplier ：Detector は、ここに入力する値をポリシーの現在のしきい値に掛けます。また、Detector は、後続のしきい値調整フェーズの結果にも乗数を適用します。ポリシーのしきい値を増減するための係数を入力します。