この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
ゾーン保護をイネーブルにすると、Cisco Anomaly Guard Module(Guard モジュール)では、ゾーンのトラフィックが分析されて、超過しているポリシーのしきい値が検索されます。ポリシーのしきい値を超過したことを検出すると、トラフィックを分析し、トラフィックを処理するための動的フィルタのセットを作成します。Guard モジュールは、動的フィルタを自動またはインタラクティブのどちらでもアクティブにできます。この章では、インタラクティブ保護モードについて説明します。この章は、次の項で構成されています。
• 概要
• 推奨事項の表示
• 推奨事項の管理
Distributed Denial of Service(DDoS; 分散型サービス拒絶)攻撃が開始されると、Guard モジュールのポリシーは動的フィルタを作成します。ゾーンがインタラクティブ保護モードである場合、Guard モジュールはこのような動的フィルタを自動的にアクティブにせず、どのようなアクションを取るかをユーザが決定するのを待ちます。ユーザの決定を待つフィルタは、保留動的フィルタと呼ばれます。Guard モジュールは、保留動的フィルタを推奨事項に従って生成したポリシーに応じて分類します。この推奨事項は、保留フィルタの要約と、保留動的フィルタの作成の元になるポリシーの名前、ポリシーのアクティベーションの原因となったトラフィック異常に関するデータ、保留動的フィルタの数、および推奨アクションについての情報を提供します。ユーザは、どの保留動的フィルタを受け入れるか、無視するか、または自動アクティベーションに向けるかを決定します。インタラクティブ保護モードは、攻撃の進行中に取るアクションを、より詳細に制御できます。
Guard モジュールは、インタラクティブ保護モードになっている限り、保留動的フィルタの生成を続けます。ゾーンの保護中は、いつでもインタラクティブ保護モードをアクティブにできますが、Guard がインタラクティブ保護モードで、ゾーンに対する DDoS 攻撃が進行中である場合に限り、推奨事項およびその保留動的フィルタを表示できます。インタラクティブ保護モードは、ゾーンの定義時、またはゾーン保護の開始前後に設定できます。
1,000 個を超える保留動的フィルタがある場合、Guard モジュールは次のように動作します。
• ゾーンを非アクティブにして自動保護モードで再度アクティブにするよう指示するエラー メッセージを表示する。
• ゾーンのログ ファイルおよびレポートに推奨事項を記録してから、推奨事項を廃棄する。
新しい推奨事項が利用可能になっている場合、Guard モジュールは通知を表示しません。推奨事項を追跡するには、次のいずれかのタスクを行います。
• ゾーン設定モードで show コマンドを使用して、ゾーンのステータスを表示する。
• event monitor コマンドを使用して、新しい保留動的フィルタの作成時に通知を受け取る。
• 外部 syslog サーバを使用して、新しい保留動的フィルタの通知を受け取る。
いつでもインタラクティブ保護モードを停止して、自動保護モードに戻ることができます。Guard モジュールは、インタラクティブ保護モード中の決定をすべて無視し、現在のすべての保留動的フィルタを受け入れます。ポリシーは、動的フィルタを自動的に生成してアクティブにするという役割を再開します。詳細については、 第 8 章「ポリシー テンプレートとポリシーの設定」 を参照してください。
インタラクティブ保護モードを使用すると、攻撃の進行中に Guard モジュールが取るアクションを、より詳細に制御できます。インタラクティブ保護モードをアクティブにしない場合、Guard モジュールはゾーン上の攻撃を識別したときに動的フィルタを自動的にアクティブにします。
この項では、インタラクティブ保護モードで Guard モジュールをアクティブにするために必要な手順の概要を説明します。各手順には、タスクを完了するために必要な CLI コマンドが含まれています。
インタラクティブ保護モードをアクティブにするには、次の手順を実行します。
ステップ 1 zone new-zone-name interactive コマンドを使用して、インタラクティブ保護モードに設定された新しいゾーンを作成します。ゾーンがすでに存在する場合、このステップは省略してください。
新しいゾーンを作成したら、ステップ 2 を省略してステップ 3 に進みます。
詳細については、「インタラクティブ保護モードのゾーンの設定」を参照してください。
ステップ 2 インタラクティブ保護モードのゾーンを設定します。インタラクティブ保護モード用に設定されたゾーンがすでに作成されている場合は、このステップを省略します。
既存のゾーンをインタラクティブ保護モード用に設定するには、ゾーン設定モードで interactive コマンドを使用します。
詳細については、「インタラクティブ保護モードのゾーンの設定」を参照してください。
ステップ 3 (オプション) event monitor コマンドを使用すると、新しい推奨事項が使用可能になったときに Guard モジュールが通知を表示するように設定できます。
外部の syslog サーバを使用して、新しい保留動的フィルタの通知を受信することや、ゾーン設定モードで show コマンドを使用して、ゾーンのステータスを手動で表示することもできます。
ステップ 4 learning コマンドを使用して、Guard モジュールをアクティブにし、ゾーン トラフィック パターンをラーニングします。
オンデマンド保護に対するゾーンを作成した場合、この手順を省略できます(オンデマンド保護の詳細については、「オンデマンド保護のアクティブ化」を参照してください)。
ラーニング プロセスの詳細については、 第 9 章「ゾーン トラフィックの特性のラーニング」 を参照してください。
ステップ 5 protect コマンドを使用して、ゾーン保護をアクティブにします。
詳細については、 第 10 章「ゾーンの保護」 を参照してください。
ステップ 6 show recommendations コマンドを使用して、新しい推奨事項とその保留動的フィルタを表示します。
詳細については、「推奨事項の表示」を参照してください。
ステップ 7 recommendation コマンドを使用して新しい推奨事項を管理する方法を決定します。新しい推奨事項を受け入れるか、無視するか、または自動アクティベーションに切り替えるかを決定できます。
詳細については、「推奨事項の管理」を参照してください。
ステップ 8 no interactive コマンドを使用すると、インタラクティブ保護モードをいつでも非アクティブにできます。Guard モジュールは、新しい動的フィルタを自動的にアクティブにできます。
詳細については、「インタラクティブ保護モードの非アクティブ化」を参照してください。
既存のゾーンのインタラクティブ保護モードをアクティブにするには、ゾーン設定モードで interactive コマンドを使用します。
次の例は、既存のゾーンに対してインタラクティブ保護モードをアクティブにする方法を示しています。
インタラクティブ保護モードに設定された新しいゾーンを作成するには、設定モードで次のコマンドを使用します。
zone new-zone-name interactive
new-zone-name 引数には、新しいゾーンの名前を指定します。ゾーン名は英数字の文字列とし、必ず英字で入力を開始してください。スペースは使用できません。また、63 文字以内で入力してください。
次の例は、インタラクティブ保護モードに設定された新しいゾーンを作成する方法を示しています。
インタラクティブ保護モードに設定された新しいゾーンが、デフォルト ゾーン テンプレートで作成されます。詳細については、「新しいゾーンの作成」を参照してください。
ゾーン設定モードで次のコマンドを入力すると、すべての推奨事項のリスト、保留動的フィルタのリスト、およびゾーンに固有の推奨事項を表示できます。
show recommendations [recommendation-id] [pending-filters]
表11-1 に、 show recommendations コマンドのキーワードと引数を示します。
|
|
---|---|
|
|
次の例は、すべての推奨事項のリストを表示する方法を示しています。
表11-2 に、 show recommendations コマンド出力のフィールドを示します。
|
|
---|---|
攻撃フローの特性。この特性には、プロトコル番号、送信元 IP アドレス、送信元ポート、宛先 IP アドレス、宛先ポートが含まれています。トラフィックが断片化されているかどうかを示しています。 any の値は、断片化されたトラフィックと断片化されていないトラフィックの両方があることを示します。 |
|
特定の推奨事項の保留フィルタを表示する前に、すべての推奨事項とその ID のリストを表示するには、 show recommendations コマンドを使用します。
表11-3 に、 show recommendations pending-filters コマンド出力のフィールドを示します。
Guard モジュールは、次の場合に、パラメータの 1 つにワイルドカードとしてアスタリスク(*)を使用できます。
(注) Guard モジュールがインタラクティブ保護モードで、ゾーンに対する DDoS 攻撃が進行中である場合にだけ、推奨事項およびその保留動的フィルタを表示できます。
次の例は、推奨事項 135 の保留動的フィルタを表示する方法を示しています。
推奨事項をアクティブにするかどうかを決定できます。すべての推奨事項、特定の推奨事項、または特定の保留動的フィルタに対して決定を行うことができます。その決定によって、ポリシーの保留動的フィルタが動的フィルタになるかどうか、およびその期間が決まります。
特定のポリシーの保留動的フィルタを自動的にアクティブにするよう Guard モジュールに指示できます。また、ポリシーによって推奨事項が生成されないよう Guard モジュールに指示することもできます。Guard モジュールのポリシーは、ゾーンがインタラクティブ保護モードで、DDoS 攻撃が進行中の場合、推奨事項を継続して生成します。ゾーンのステータスを検証して、さらにアクションが必要かどうかを判断するために推奨事項を管理する場合、ゾーンのステータスを表示することをお勧めします。
(注) 推奨事項を受け入れると、受け入れた推奨事項と同じまたは受け入れた推奨事項に含まれるフローを持ち、アクションとタイムアウトが同じである、その他の推奨事項も同様に受け入れられます。Guard モジュールはこのような推奨事項を削除します。
ゾーンの推奨事項を決定するには、ゾーン設定モードで次のコマンドを使用します。
recommendation recommendation-id [pending-filters pending-filter-id] decision [timeout]
表11-4 に、 recommendation コマンドの引数とキーワードを示します。
|
|
---|---|
|
|
|
推奨事項に対するアクション。指定できる値は、次のとおりです。 • accept :特定の推奨事項を受け入れます。保留動的フィルタは、動的フィルタになります。 • always-accept :特定の推奨事項を受け入れます。この決定は、推奨ポリシーによって新しい推奨事項が生成されると必ず、自動的に適用されます。保留動的フィルタは、自動的に動的フィルタになります。 このアクションを実行すると、Guard モジュールはこのような推奨事項を表示しなくなります。 • always-ignore :特定の推奨事項を無視します。動的フィルタも保留動的フィルタも生成されません。この決定は、ポリシーによって生成される将来のすべての推奨事項に自動的に適用されます。 |
(オプション)決定が適用される期間。指定できる値は、次のとおりです。 • forever :保護が有効である限り、推奨事項によって生成された動的フィルタをアクティブにします。このタイムアウトがデフォルトです。詳細については、「動的フィルタの設定」を参照してください。 • new-timeout :定義した期間中、ポリシーによって生成された動的フィルタをアクティブにします。この期間は秒で測定されます。詳細については、「動的フィルタの設定」を参照してください。 |
次の例は、推奨事項 135 を受け入れる方法を示しています。
特定のポリシーまたはポリシーの任意の部分のインタラクティブ ステータスを設定し、ポリシーのその部分が推奨事項と保留動的フィルタを生成するかどうかを決定できます。ポリシーのインタラクティブ ステータスを設定することで、制御が可能になり、ポリシーをトラフィック フローによりよく適合させることができます。詳細については、「ポリシーのインタラクティブ ステータスの設定」を参照してください。
Guard モジュールは、 always-accept および always-ignore の推奨事項を表示しません。推奨事項を常に無視するまたは常に受け入れると決定した場合、その決定は、推奨事項を作成したポリシーのインタラクティブ ステータスの一部となります。
ポリシーをディセーブルまたは非アクティブにして、ポリシーが推奨事項と保留動的フィルタを生成しないようにすることができます。ポリシーをディセーブルまたは非アクティブにするには、 state コマンドを使用します。詳細については、「ポリシーの状態の変更」を参照してください。
次の例では、dns_tcp/53/analysis のインタラクティブ ステータスを always-accept に設定しています。
インタラクティブ保護モードを非アクティブにするには、ゾーン設定モードで interactive コマンドを使用します。ユーザがインタラクティブ保護モードを非アクティブにすると、Guard モジュールはすべての新しい動的フィルタを自動的にアクティブにし、ポリシーのインタラクティブ ステータスを always-accept に設定します(ゾーン ポリシーの表示方法の詳細については、「ポリシーの表示」を参照してください)。
次の例は、ゾーン scannet のインタラクティブ保護モードを非アクティブにする方法を示しています。