ネットワーク分析ポリシーと侵入ポリシーは、侵入検知および防御の機能の一部として連携して動作します。

• 侵入検知という用語は、一般に、ネットワーク トラフィックへの侵入の可能性を受動的にモニタおよび分析し、セキュリティ分析用に攻撃データを保存するプロセスを指します。これは「IDS」とも呼ばれます。

• 侵入防御という用語には、侵入検知の概念が含まれますが、さらにネットワークを通過中の悪意のあるトラフィックをブロックしたり変更したりする機能も追加されます。これは「IPS」とも呼ばれます。

侵入防御の展開では、システムがパケットを検査するときに次のことが行われます。

• ネットワーク分析ポリシーは、トラフィックのデコードと前処理の方法を管理し、特に、侵入を試みている兆候がある異常なトラフィックについて、さらに評価できるようにします。

• 侵入ポリシーでは侵入およびプリプロセッサ ルール（総称的に「侵入ルール」とも呼ばれる）を使用し、パターンに基づき、デコードされたパケットを検査して攻撃の可能性を調べます。侵入ポリシーは変数セットとペアになり、それによって名前付き値を使用してネットワーク環境を正確に反映することができます。

ネットワーク分析ポリシーと侵入ポリシーは、どちらも親のアクセス コントロール ポリシーによって呼び出されますが、呼び出されるタイミングが異なります。システムでトラフィックが分析される際には、侵入防御（追加の前処理と侵入ルール）フェーズよりも前に、別途ネットワーク分析（デコードと前処理）フェーズが実行されます。ネットワーク分析ポリシーと侵入ポリシーを一緒に使用すると、広範囲で詳細なパケット インスペクションを行うことができます。これらによって、ホストとそのデータの可用性、整合性、および機密性を脅かす可能性があるネットワーク トラフィックを検出、警告し、保護することができます。

システムには、同様の名前（Balanced Security and Connectivity など）が付いたいくつかのネットワーク分析ポリシーおよび侵入ポリシーが付属しており、それらは互いに補完しあい、連携して動作します。システム付属のポリシーを使用することで、Cisco Talos Intelligence Group (Talos)の経験を活用できます。これらのポリシーでは、Talos は侵入ルールとインスペクタルールの状態を設定するとともに、インスペクタとその他の詳細設定の初期設定も提供します。

また、カスタムのネットワーク分析ポリシーや侵入ポリシーも作成できます。カスタム ポリシーの設定を調整することで、各自に最も役立つ方法でトラフィックを検査できます。これによって、管理対象デバイスのパフォーマンスが向上し、ユーザは生成されたイベントにさらに効率的に対応できるようになります。

Web インターフェイスで同様のポリシーエディタを使用し、ネットワーク分析ポリシーや侵入ポリシーを作成、編集、保存、管理します。いずれかのタイプのポリシーを編集するときには、Web インターフェイスの左側にナビゲーション パネルが表示され、右側にさまざまな設定ページが表示されます。

追加のサポートと情報については、以下のビデオを参照してください。

• Snort 3 基本の概要

• Snort 3 拡張の概要

注目

検出モードの廃止：Management Center 7.4.0 では、ネットワーク分析ポリシー（NAP）の場合、[検出（Detection）] インスペクションモードは廃止され、今後のリリースで削除されます。 [検出（Detection）] モードは、トラフィックをドロップするように設定する前に、インスペクションを有効にして、ネットワークでのインスペクションの動作を確認できるように、テストモードとして使用する（つまり、ドロップされるトラフィックを表示する）ことを目的としていました。 この動作が改善され、すべてのインスペクタのドロップがルール状態によって制御され、イベントを生成するように各インスペクタを設定できるようになりました。これは、トラフィックをドロップするようにルール状態を設定する前に、テストするために行われます。Snort 3 ではトラフィックドロップをきめ細かく制御できるようになったため、[検出（Detection）] モードは製品の複雑さを増すだけで、必要ではないため、検出モードは廃止されました。 [検出（Detection）] モードの NAP を [防御（Prevention）] に変更すると、侵入イベントのトラフィックを処理し、その結果が「ドロップされる」となった NAP は実際に「ドロップ」になり、対応するトラフィックはこれらのイベントからのトラフィックをドロップします。これは、GID が 1 または 3 ではないルールに適用されます。GID 1 と 3 はテキスト/コンパイルされたルール（通常は Talos によって提供されるか、カスタム/インポートされたルールから提供されます）であり、他のすべての GID は異常のインスペクションです。これらは、ネットワークでトリガーするための、まれなルールです。[防御（Prevention）] モードに変更しても、トラフィックに影響を与える可能性はほとんどありません。ドロップされるトラフィックに適用可能な侵入ルールを無効にし、単に生成または無効にするように設定する必要があります。 インスペクションモードとして [防御（Prevention）] を選択することをお勧めしますが、[防御（Prevention）] を選択した場合は、[検出（Detection）] モードに戻すことはできません。

Snort 検査エンジンは、Secure Firewall Threat Defense（旧称：Firepower Threat Defense）デバイスの不可欠な部分です。検査エンジンは、トラフィックをリアルタイムで分析して、パケットを詳細に検査します。ネットワーク分析ポリシーと侵入ポリシーでは、Snort 検査エンジンの機能を利用して、侵入を検出して保護します。

Snort 3 は Snort 検査エンジンの最新バージョンで、以前のバージョンの Snort と比較して大幅に改善されています。Snort の古いバージョンは Snort 2 です。Snort 3 はより効率的で、パフォーマンスとスケーラビリティが向上します。

Snort 3 はアーキテクチャが再設計され、Snort 2 と比較すると同等のリソースでより多くのトラフィックを検査します。Snort 3 では、トラフィックパーサーを簡単かつ柔軟に挿入できます。Snort 3 には、ルールの記述を容易にし、同等の共有オブジェクトルールを表示できる新しいルールシンタックスも用意されています。

Snort 3 のその他の重要な変更点は次のとおりです。

• 複数の Snort インスタンスを使用する Snort 2 とは異なり、Snort 3 は複数のスレッドを単一の Snort インスタンスに関連付けます。これにより、使用するメモリが少なくなり、Snort のリロード時間が短縮され、より多くの侵入ルールとより大きなネットワークマップがサポートされます。Snort スレッドの数はプラットフォームによって異なり、各プラットフォームの Snort 2 インスタンスの数と同じです。使用方法はほぼ透過的です。

• Firewall Threat Defense ごとの Snort バージョン：Snort 検査エンジンは Firewall Threat Defense 固有であり、Secure Firewall Management Center（旧 Firepower Management Center）固有ではありません。Firewall Management Center はそれぞれが Snort のいずれかのバージョン（Snort 2 および Snort 3）である複数の Firewall Threat Defense を管理できます。Firewall Management Center の侵入ポリシーは一意ですが、システムは、デバイスの選択した検査エンジンに応じて、侵入保護のために Snort 2 または Snort 3 バージョンの侵入ポリシーを適用します。

• デコーダルール：パケットデコーダルールは、デフォルトの侵入ポリシーでのみ起動します。他のポリシーで有効にしたデコーダルールは無視されます。

• 共有オブジェクトルール：Snort 3 は、すべてでなく一部の共有オブジェクト（SO）の侵入ルール（ジェネレータ ID（GID）が 3 のルール）をサポートします。サポートされていない有効な共有オブジェクトルールはトリガーされません。

• セキュリティ インテリジェンスのマルチレイヤ検査：Snort 3 は、レイヤに関係なく最も内側の IP アドレスを検出します。

• プラットフォームのサポート：Snort 3 には Firewall Threat Defense 7.0 以降が必要です。ASA FirePOWER または NGIPSv ではサポートされていません。

• 管理対象デバイス：バージョン 7.0 の Firewall Management Center は、バージョン 6.4、6.5、6.6、6.7、および 7.0 の Snort 2 Firewall Threat Defense とバージョン 7.0 の Snort 3 Firewall Threat Defense を同時にサポートできます。

• Snort バージョンの切り替え時のトラフィックの中断：Snort のバージョンを切り替えると、トラフィックの検査が中断され、展開中にいくつかのパケットがドロップされる可能性があります。

• 統合ポリシー：管理対象の Firewall Threat Defense で有効になっている基盤の Snort エンジンのバージョンに関係なく、Firewall Management Center で設定されたアクセス コントロール ポリシー、侵入ポリシー、およびネットワーク分析ポリシーは、ポリシーの適用時にシームレスに機能します。Firewall Management Center バージョン 7.0 以降のすべての侵入ポリシーには、Snort 2 バージョンと Snort 3 バージョンの 2 つのバージョンがあります。侵入ポリシーは統合されます。つまり、共通の名前、ベースポリシー、および検査モードを持ちます。ただし、ポリシーには 2 つのバージョン（Snort 2 バージョンと Snort 3 バージョン）があります。侵入ポリシーの Snort 2 バージョンと Snort 3 バージョンでは、ルール設定の観点からは異なる場合があります。ただし、侵入ポリシーがデバイスに適用されると、システムはデバイスで有効になっている Snort バージョンを自動的に識別し、そのバージョンに設定されたルール設定を適用します。

• Lightweight Security Package（LSP）：Snort ルールの更新（SRU）を Snort 3 の次世代の侵入ルールと設定の更新に置き換えます。更新をダウンロードすると、Snort 3 LSP と Snort 2 SRU の両方がダウンロードされます。

  LSP の更新では、新規と更新後の侵入ルールとインスペクタルール、既存のルールの変更後の状態、および Firewall Management Center と Firewall Threat Defense バージョン 7.0 以降の変更後のデフォルトの侵入ポリシー設定が提供されます。Firewall Management Center をバージョン 6.7 以前から 7.0 にアップグレードすると、LSP と SRU の両方がサポートされます。LSP の更新では、システムにより提供されたルールが削除されたり、新しいルールカテゴリとデフォルトの変数が提供されたり、デフォルトの変数値が変更されたりすることもあります。LSP の更新については、『Firepower Management Center Configuration Guide』の最新バージョンの「Update Intrusion Rules」のトピックを参照してください。

• Snort 2 と Snort 3 のルールと事前設定のマッピング：Snort 2 と Snort 3 のルールがマッピングされ、マッピングはシステムによって提供されます。ただし、1 対 1 のマッピングではありません。システムによって提供される侵入ベースポリシーは、Snort 2 と Snort 3 の両方に対して事前に設定されており、ルールセットが異なる場合でも同じ侵入防御を提供します。システムによって提供される Snort 2 と Snort 3 のベースポリシーは、同じ侵入防御設定で相互にマッピングされます。詳細については、Snort 2 と Snort 3 のベースポリシーのマッピングの表示を参照してください。

• Snort 2 と Snort 3 ルールオーバーライドの同期：Firewall Threat Defense が 7.0 にアップグレードされると、Firewall Threat Defense の検査エンジンを Snort 3 バージョンにアップグレードできます。Firewall Management Center は Snort 2 バージョンの侵入ポリシーの既存のルールのすべてのオーバーライドを、Talos が提供するマッピングを使用して、対応する Snort 3 ルールにマッピングします。ただし、アップグレード後に実行した追加のオーバーライドがある場合や、新しい Firewall Threat Defense のバージョン 7.0 をインストール場合は、それらを手動で同期する必要があります。詳細については、Snort 2 のルールと Snort 3 の同期を参照してください。

• カスタム侵入ルール：Snort 3 でカスタム侵入ルールを作成できます。また、Snort 2 に存在するカスタム侵入ルールを Snort 3 にインポートすることもできます。詳細については、Snort 3 のカスタムルールを参照してください。

• ルールグループ：Firewall Management Center では、すべての Snort 3 ルールがルールグループにグループ化されます。ルールグループはルールの論理グループであり、ルールのアクセシビリティ、ルールのナビゲーション、およびルールグループのセキュリティレベルの制御を強化するための簡単な管理インターフェイスを提供します。

  Firewall Management Center 7.3.0 以降、複数のレベルのルールグループのルールナビゲーションがサポートされ、ルールのより柔軟で論理的なグループ化を提供します。MITRE フレームワークを使用してルールをナビゲートできる MITRE フレームワークが追加されます。MITRE は、ルールグループの別のカテゴリであり、Talos ルールグループの一部です。

  （注）	MITRE の詳細については、 https://attack.mitre.orgを参照してください。

  ルールは、MITRE ATT&CK ルールグループ、ルール カテゴリ ルール グループ、複数の「アセットタイプ」ルールグループ、マルウェア攻撃など、複数のルールグループの一部にできます。使用可能なルールグループが侵入ポリシーエディタに一覧表示され、ポリシーを強化するために選択できます。

  この複数レベルの階層構造により、「リーフルールグループ」である最後の要素までトラバースできます。これらのルールグループには、特定のタイプの脆弱性、類似のターゲットシステム、類似の脅威カテゴリなど、相互に関連するルールのセットが含まれています。ルールグループには、4 つのセキュリティレベルが関連付けられています。セキュリティレベルの変更、ルールグループの追加や削除ができ、ネットワーク上で検出されるトラフィックに一致するルールのルールアクションを変更できます。これは、セキュリティ、パフォーマンス、および誤検知耐性の間で満足のいくバランスをもたらすために行われます。

  Snort 3 侵入ポリシーを編集するには、Snort 3 侵入ポリシーの編集を参照してください。

  侵入イベントのルールグループレポートについては、ルールグループのレポートを参照してください。

• Snort 2 エンジンと Snort 3 エンジンの切り替え：Snort 3 をサポートする Firewall Threat Defenseは、Snort 2 もサポートします。Snort 3 から Snort 2 への切り替えは、有効性の観点から推奨されません。

  重要	Snort のバージョンは自由に切り替えることができますが、Snort の一方バージョンでの侵入ルールを変更しても、もう一方のバージョンでは自動的に更新されません。Snort の一方のバージョンでルールのルールアクションを変更する場合は、Snort のバージョンを切り替える前に、もう一方のバージョンの変更を必ず複製してください。システムにより提供される同期オプションは、侵入ポリシーの Snort 2 バージョンの変更のみを Snort 3 バージョンに同期します。その逆の同期は行いません。

アクセス コントロールの展開の一部としてシステムがトラフィックを分析すると、ネットワーク分析（復号と前処理）フェーズが侵入防御（侵入ルールおよび詳細設定）フェーズとは別にその前に実行されます。

次の図に、インラインでのトラフィック分析、侵入防御、およびネットワーク展開での AMP の順序を簡略化して示します。アクセス コントロール ポリシーが他のポリシーを呼び出してトラフィックを検査するしくみ、およびそれらのポリシーが呼び出される順序が示されています。ネットワーク分析ポリシーと侵入ポリシーの選択フェーズは強調表示されています。

インライン展開（つまり、ルーテッド、スイッチド、トランスペアレント インターフェイスまたはインライン インターフェイスのペアを使用して関連設定がデバイスに展開される展開）では、システムは上図のプロセスのほぼすべての段階において、追加のインスペクションなしでトラフィックをブロックすることができます。セキュリティ インテリジェンス、SSL ポリシー、ネットワーク分析ポリシー、ファイル ポリシー、および侵入ポリシーのすべてで、トラフィックをドロップまたは変更できます。唯一の例外として、パッシブにパケットを検査するネットワーク検出ポリシーは、トラフィック フローに影響を与えることができません。

同様に、プロセスの各ステップで、パケットによってシステムがイベントを生成する場合があります。侵入およびプリプロセッサ イベント（総称的に「侵入イベント」とも呼ばれる）は、パケットまたはそのコンテンツがセキュリティ リスクを含んでいる可能性を示唆しています。

ヒント	SSL インスペクションの設定で暗号化トラフィックの通過が許可されている場合や、SSL インスペクションが設定されていない場合について、この図は、そのような場合のアクセス コントロール ルールによる暗号化トラフィックの処理を反映していません。デフォルトでは、暗号化されたペイロードの侵入インスペクションとファイル インスペクションは無効になっています。これにより、侵入およびファイル インスペクションが設定されたアクセス コントロール ルールに暗号化接続が一致したときの誤検出が減少し、パフォーマンスが向上します。

単一の接続の場合は、図に示すように、アクセス コントロール ルールよりも前にネットワーク分析ポリシーが選択されますが、一部の前処理（特にアプリケーション層の前処理）はアクセス コントロール ルールの選択後に実行されます。これは、カスタム ネットワーク分析ポリシーでの前処理の設定には影響しません。

新しいアクセス コントロール ポリシーを作成することは、システムを使用してトラフィックフローを管理するための最初のステップの 1 つです。デフォルトでは、新しく作成されたアクセス コントロール ポリシーは、システムによって提供されるネットワーク分析ポリシーおよび侵入ポリシーを呼び出してトラフィックを検査します。

次の図は、インラインの侵入防御展開で、新たに作成されたアクセス コントロール ポリシーが最初にトラフィックを処理するしくみを示しています。前処理と侵入防御フェーズは強調表示されています。

以下の点に注意してください。

• デフォルトのネットワーク分析ポリシーによって、アクセス コントロール ポリシーで処理されるすべてのトラフィックの前処理が制御されます。初期段階では、システムによって提供される Balanced Security and Connectivity ネットワーク分析ポリシーがデフォルトです。

• アクセス コントロール ポリシーのデフォルト アクションは、システム付属の Balanced Security and Connectivity 侵入ポリシーによる検査に従って、悪意のないトラフィックをすべて許可します。デフォルト アクションはトラフィックの通過を許可するので、侵入ポリシーが悪意のあるトラフィックを検査して潜在的にブロックする前に、検出機能によって、ホスト、アプリケーション、ユーザ データについてトラフィックを検査できます。

• ポリシーは、デフォルトのセキュリティ インテリジェンス オプション（グローバルなブロックリストとブロックなしリストのみ）を使用し、SSL ポリシーによる暗号化トラフィックの復号や、アクセス コントロール ルールを使用したネットワークトラフィックの特別な処理や検査は実行しません。

侵入防御展開を調整するために実行できるシンプルなステップは、システム付属のネットワーク分析ポリシーと侵入ポリシーの別のセットをデフォルトとして使用することです。システムには、これらのポリシーの複数のペアが提供されています。

または、カスタム ポリシーを作成して使用することで、侵入防御展開を調整できます。それらのポリシーに設定されているインスペクタオプション、侵入ルール、およびその他の詳細設定が、ネットワークのセキュリティのニーズに適合しない場合があります。設定できるネットワーク分析ポリシーおよび侵入ポリシーを調整することにより、システムがネットワーク上のトラフィックを処理して侵入の有無について検査する方法を非常にきめ細かく設定できます。