AsyncOS 11.7 for Cisco Web Security Appliances ユーザガイド（一般導入）

不正トラフィックの検出の概要

Web セキュリティアプライアンスは、すべてのネットワークポート全体にわたって不正なトラフィックを検出し、マルウェアがポート 80 をバイパスしようとするのを阻止する統合レイヤ 4 トラフィックモニタを備えています。内部クライアントがマルウェアに感染し、標準以外のポートとプロトコルを介して Phone Home を試みた場合、L4 トラフィックモニタは Phone Home アクティビティが企業ネットワークから外部に発信されるのを阻止します。デフォルトでは、L4 トラフィックモニタがイネーブルになり、すべてのポートでトラフィックをモニタするように設定されます。これには、DNS やその他のサービスが含まれます。

L4 トラフィックモニタは、独自の内部データベースを使用し、保持します。このデータベースは、IP アドレスおよびドメイン名の照合によって継続的に更新されます。

L4 トラフィックモニタの設定

手順

ステップ 1	ファイアウォールの内側に L4 トラフィックモニタを設定します。
ステップ 2	L4 トラフィックモニタが、プロキシポートの後ろ、かつクライアント IP アドレスのネットワークアドレス変換（NAT）を実行する任意のデバイスの前に、「論理的に」接続されていることを確認します。
ステップ 3	グローバル設定項目を設定する L4 トラフィックモニタのグローバル設定を参照してください。
ステップ 4	L4 トラフィックモニタのポリシーを作成する不正トラフィック検出ポリシーの作成を参照してください。

既知のサイトのリスト


アドレス（Address）	説明
既知の許可アドレス（Known allowed）	[許可リスト（Allow List）] プロパティに記載されている IP アドレスまたはホスト名。これらのアドレスは、「許可リスト」アドレスとしてログファイルに表示されます。
未記載（Unlisted）	マルウェアサイトであるか既知の許可アドレスであるかが不明な IP アドレス。これらは、[許可リスト（Allow List）] や [追加するサスペクトマルウェアアドレス（Additional Suspected Malware Addresses）] プロパティに記載されておらず、L4 トラフィックモニタデータベースにも含まれていません。これらのアドレスはログファイルに表示されません。
不明瞭なアドレス（Ambiguous）	これらは「グレーリスト」アドレスとしてログファイルに表示され、以下のアドレスが該当します。リストに記載されていないホスト名と既知のマルウェアのホスト名の両方に関連付けられている IP アドレス。リストに記載されていないホスト名と [追加するサスペクトマルウェアアドレス（Additional Suspected Malware Addresses）] プロパティに含まれるホスト名の両方に関連付けられている IP アドレス。
既知のマルウェア（Known malware）	これらは「ブロックリスト」アドレスとしてログファイルに表示され、以下のアドレスが該当します。 L4 トラフィックモニタデータベースで既知のマルウェアサイトと判定され、[許可リスト（Allow List）] に記載されていない IP アドレスまたはホスト名。 [追加するサスペクトマルウェアアドレス（Additional Suspected Malware Addresses）] プロパティに記載され、[許可リスト（Allow List）] リストに記載されていない、不明瞭ではない IP アドレス。

L4 トラフィックモニタのグローバル設定

手順

ステップ 1	[セキュリティサービス（Security Services）] > [L4トラフィックモニタ（L4 Traffic Monitor）] を選択します。
ステップ 2	[グローバル設定を編集（Edit Global Settings）] をクリックします。
ステップ 3	L4 トラフィックモニタをイネーブルにするかどうかを選択します。
ステップ 4	L4 トラフィックモニタをイネーブルにする場合は、モニタ対象のポートを選択します。 [すべてのポート（All ports）]。不正なアクティビティに対して TCP ポート 65535 をすべてモニタします。 [プロキシポートを除くすべてのポート（All ports except proxy ports）]。不正なアクティビティに対して、以下のポートを除くすべての TCP ポートをモニタします。 [セキュリティサービス（Security Services）] > [Web プロキシ（Web Proxy）] ページの [プロキシを設定する HTTP ポート（HTTP Ports to Proxy）] プロパティで設定したポート（通常はポート 80）。 [セキュリティサービス（Security Services）] > [HTTPS プロキシ（HTTPS Proxy）] ページの [プロキシを設定する透過 HTTPS ポート（Transparent HTTPS Ports to Proxy）] プロパティで設定したポート（通常はポート 443）。
ステップ 5	変更を送信して確定します（[送信（Submit）] と [変更を確定（Commit Changes）]）。

L4 トラフィックモニタアンチマルウェアルールのアップデート

手順

ステップ 1	[セキュリティサービス（Security Services）] > [L4トラフィックモニタ（L4 Traffic Monitor）] を選択します。
ステップ 2	[今すぐ更新（Update Now）] をクリックします。

不正トラフィック検出ポリシーの作成

L4 トラフィックモニタがとるアクションは、設定する L4 トラフィックモニタのポリシーによって異なります。

手順

ステップ 1

[Webセキュリティマネージャ（Web Security Manager）] > [L4トラフィックモニタ（L4 Traffic Monitor）] を選択します。

ステップ 2

[設定の編集（Edit Settings）] をクリックします。

ステップ 3

[L4トラフィックモニタのポリシーの編集（Edit L4 Traffic Monitor Policies）] ページで、L4 トラフィックモニタのポリシーを設定します。

[許可リスト（Allow List）] を定義します。

[許可リスト（Allow List）] に既知の安全なサイトを追加します。

（注）

[許可リスト（Allow List）] には Web セキュリティアプライアンスの IP アドレスやホスト名を含めないでください。それらを含めると、L4 トラフィックモニタがトラフィックを一切ブロックしなくなります。

不審なマルウェアアドレスに対して実行するアクションを決定します。


アクション	説明
許可（Allow）	既知の許可されたアドレスおよびリストに未記載のアドレスの発着信トラフィックを常に許可します。
モニタ	以下のような状況の下で、トラフィックをモニタします。 [サスペクトマルウェアアドレスに対するアクション（Action for Suspected Malware Addresses）] オプションが [モニタ（Monitor）] に設定されている場合、既知の許可されたアドレス以外のすべての着発信トラフィックを常にモニタします。 [サスペクトマルウェアアドレスに対するアクション（Action for Suspected Malware Addresses] オプションが [ブロック（Block）] に設定されている場合、不明瞭なアドレスの着発信トラフィックをモニタします。
ブロック（Block）	[サスペクトマルウェアアドレスに対するアクション（Action for Suspected Malware Addresses] オプションが [ブロック（Block）] に設定されている場合、既知のマルウェアアドレスの着発信トラフィックをブロックします。

（注）

：不審なマルウェアトラフィックをブロックすることを選択した場合は、不明瞭なアドレスを常にブロックするかどうかも選択できます。デフォルトでは、不明瞭なアドレスはモニタされます。

：ブロックを実行するように L4 トラフィックモニタを設定する場合は、L4 トラフィックモニタと Web プロキシを同じネットワーク上に設定する必要があります。すべてのクライアントがデータトラフィック用に設定されたルートでアクセスできることを確認するには、[ネットワーク（Network）] > [ルート（Routes）] ページを使用します。

[追加するサスペクトマルウェアアドレス（Additional Suspected Malware Addresses）] プロパティを定義します。

（注）

[追加するサスペクトマルウェアアドレス（Additional Suspected Malware Addresses）] のリストに内部 IP アドレスを追加すると、正当な宛先 URL が L4 トラフィックモニタのレポートにマルウェアとして表示されます。このような誤りを回避するために、[Webセキュリティマネージャ（Web Security Manager）] > [L4トラフィックモニタポリシー（L4 Traffic Monitor Policies）] ページの [追加するサスペクトマルウェアアドレス（Additional Suspected Malware Addresses）] フィールドに内部 IP アドレスを入力しないでください。

ステップ 4

変更を送信して確定します（[送信（Submit）] と [変更を確定（Commit Changes）]）。

次のタスク

関連項目

不正トラフィックの検出の概要
有効な形式。

有効な形式

[許可リスト（Allow List）] または [追加するサスペクトマルウェアアドレス（Additional Suspected Malware Addresses）] プロパティにアドレスを追加する場合は、空白またはカンマを使用して複数のエントリを区切ります。以下のいずれかの形式でアドレスを入力できます。

IPv4 IP アドレス。例：IPv4 形式：10.1.1.0。IPv6 形式：2002:4559:1FE2::4559:1FE2
CIDR アドレス。例：10.1.1.0:24。
ドメイン名。例：example.com
ホスト名。例：crm.example.com

L4 トラフィックモニタのアクティビティの表示

S シリーズアプライアンスは、サマリー統計情報の機能固有のレポートおよびインタラクティブな表示を生成するために、複数のオプションをサポートしています。

モニタリングアクティビティとサマリー統計情報の表示

[レポート（Reporting）] > [L4トラフィックモニタ（L4 Traffic Monitor）] ページには、モニタリングアクティビティの統計的なサマリーが表示されます。以下の表示とレポートツールを使用して、L4 トラフィックモニタのアクティビティの結果を表示できます。


表示対象	参照先
クライアントの統計	[レポート（Reporting）] > [クライアントアクティビティ（Client Activity）]
マルウェアの統計情報ポートの統計情報	[レポート（Reporting）] > [L4トラフィックモニタ（L4 Traffic Monitor）]
L4 トラフィックモニタのログファイル	[システム管理（System Administration）] > [ログサブスクリプション（Log Subscriptions）] trafmon_errlogs trafmonlogs

（注）

Web プロキシが転送プロキシとして設定され、L4 トラフィックモニタがすべてのポートをモニタするように設定されている場合は、プロキシのデータポートの IP アドレスが記録され、[レポート（Reporting）] > [クライアントアクティビティ（Client Activity）] ページのクライアントアクティビティレポートにクライアント IP アドレスとして表示されます。Web プロキシが透過プロキシとして設定されている場合は、クライアントの IP アドレスが正しく記録され、表示されるように IP スプーフィングをイネーブルにします。

L4 トラフィックモニタのログファイルのエントリ

L4 トラフィックモニタログファイルはモニタリングアクティビティの詳細を記録します。

偏向のない言語

翻訳について

Book Title

AsyncOS 11.7 for Cisco Web Security Appliances ユーザガイド（一般導入）

Chapter Title

非標準ポートでの不正トラフィックの検出

検索結果

章のタイトル：非標準ポートでの不正トラフィックの検出

非標準ポートでの不正トラフィックの検出

不正トラフィックの検出の概要

L4 トラフィックモニタの設定

手順

既知のサイトのリスト

L4 トラフィックモニタのグローバル設定

手順

L4 トラフィックモニタアンチマルウェアルールのアップデート

手順

不正トラフィック検出ポリシーの作成