この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。最新の機能情報および警告については、使用するプラットフォームおよびソフトウェア リリースの Bug Search Tool およびリリース ノートを参照してください。このモジュールに記載されている機能の詳細を検索し、各機能がサポートされているリリースのリストを確認する場合は、このモジュールの最後にある機能情報の表を参照してください。
プラットフォームのサポートおよびシスコ ソフトウェア イメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator には、http://www.cisco.com/go/cfn からアクセスします。Cisco.com のアカウントは必要ありません。
コントローラ ソフトウェアでは、不正なアクセス ポイントを Friendly、Malicious、または Unclassified に分類して表示するルールを作成できます。
デフォルトでは、いずれの分類ルールも有効になっていません。したがって、すべての未知（管理対象外）のアクセス ポイントは Unclassified に分類されます。ルールを作成し、その条件を設定して、ルールを有効にすると、未分類のアクセス ポイントは分類し直されます。ルールを変更するたびに、Alert 状態にあるすべてのアクセス ポイント（Friendly、Malicious、および Unclassified）にそのルールが適用されます。
不正またはアドホック不正を手動で未分類および Alert 状態に移動すると、その不正はデフォルト状態に移動されることになります。不正ルールは、未分類および Alert 状態に手動で移動されたすべての不正に適用されます。
 （注） |
ルール ベースの分類は、アドホック不正クライアントおよび不正クライアントには適用されません。 |
（注） |
1 台のコントローラにつき最大 64 の不正分類ルールを設定できます。 |
コントローラは未知（管理対象外）のアクセス ポイントが危険性のない MAC アドレスのリストに含まれているか確認します。そのリストに含まれている場合、コントローラはそのアクセス ポイントを Friendly として分類します。
未知（管理対象外）のアクセス ポイントが危険性のない MAC アドレスのリストに含まれていない場合、コントローラは、不正状態の分類ルール適用処理を開始します。
不正なアクセス ポイントが Malicious、Alert または Friendly、Internal または External にすでに分類されている場合は、コントローラはそのアクセス ポイントを自動的に分類しません。不正なアクセス ポイントがそれ以外に分類されており、Alert 状態にある場合に限り、コントローラはそのアクセス ポイントを自動的に分類し直します。
コントローラは、優先度の一番高いルールを適用します。不正なアクセス ポイントがルールで指定された条件に一致すると、コントローラはそのアクセス ポイントをルールに設定された分類タイプに基づいて分類します。
不正なアクセス ポイントが設定されたルールのいずれにも一致しないと、コントローラはそのアクセス ポイントを Unclassified に分類します。
コントローラは、すべての不正なアクセス ポイントに対して上記の手順を繰り返します。
不正なアクセス ポイントが社内ネットワーク上にあると RLDP で判断されると、ルールが設定されていない場合でも、コントローラは不正の状態を Threat とマークし、そのアクセス ポイントを自動的に Malicious に分類します。その後、不正なアクセス ポイントに対して手動で封じ込め処理を行うことができますが（不正を自動的に封じ込めるよう RLDP が設定されていない限り）、その場合は不正の状態が Contained に変更されます。不正なアクセス ポイントがネットワーク上にないと、コントローラによって不正の状態が Alert とマークされ、そのアクセス ポイントを手動で封じ込め処理を行うことができるようになります。
必要に応じて、各アクセス ポイントを本来とは異なる分類タイプや不正の状態に手動で変更することも可能です。
|
ルール ベースの分類タイプ |
不正の状態 |
|---|---|
| Friendly |
|
| Malicious |
|
| 未分類 |
|
Known から Friendly、Internal
Acknowledged から Friendly、External
Contained から Malicious、Contained
前述のように、コントローラでは、ユーザ定義のルールに基づいて未知（管理対象外）のアクセス ポイントの分類タイプと不正の状態が自動的に変更されます。もしくは、未知（管理対象外）のアクセス ポイントを本来とは異なる分類タイプと不正の状態に手動で変更することができます。
|
遷移元 |
目的 |
|---|---|
| Friendly（Internal、External、Alert） | Malicious（Alert） |
| Friendly（Internal、External、Alert） | Unclassified（Alert） |
| Friendly（Alert） | Friendly（Internal、External） |
| Malicious（Alert、Threat） | Friendly（Internal、External） |
| Malicious（Contained、Contained Pending） | Malicious（Alert） |
| Unclassified（Alert、Threat） | Friendly（Internal、External） |
| Unclassified（Contained、Contained Pending） | Unclassified（Alert） |
| Unclassified（Alert） | Malicious（Alert） |
不正の状態が Contained の場合、不正なアクセス ポイントの分類タイプを変更する前に、そのアクセス ポイントが封じ込められないようにする必要があります。不正なアクセス ポイントを Malicious から Unclassified に変更する場合は、そのアクセス ポイントを削除して、コントローラで分類し直せるようにする必要があります。
カスタム タイプの不正の分類は、不正ルールに関連付けられています。このため、不正を手動で Custom として分類することはできません。カスタム クラスの変更は不正ルールを使用する場合にのみ行えます。
不正分類の変更に対して、ルールによって 30 分ごとに阻止用のトラップが送信されます。カスタム分類の場合、最初のトラップはカスタム分類よりも前に存在していたため、そのトラップに重大度スコアは含まれません。不正が分類されると、30 分後に生成される後続のトラップから重大度スコアが取得されます。
不正ルールは、優先順位に従って、コントローラ内の新しい着信不正レポートごとに適用されます。
不正がより高い優先度ルールを満たし、分類されると、同じレポートの優先順位リスト内で下位に下がることはありません。
ルールによって Friendly に分類され、状態が ALERT に設定されている不正は、新しい不正レポートを受け取ると再分類が開始されます。
不正が管理者によって Friendly に手動で分類されると、状態は INTERNAL になり、次に続く不正レポートで再分類されません。
不正が Malicious に分類されると、その状態に関係なく、後続の不正レポートで再分類されません。
一部の属性が新しい不正レポートで欠落している場合、複数の不正ルールによって、Friendly から Malicious に不正の状態が遷移する可能性があります。
どの不正ルールによっても、Malicious から他の分類に不正の状態が遷移することはありません。
不正 AP が Friendly に分類される場合、その不正 AP は近くに存在し、既知の AP であり、追跡する必要はないことを意味します。したがって、すべての不正 AP は Friendly な不正 AP に関連付けられている場合、削除されるか追跡されません。
サービス セット識別子（SSID）が不正ルールの一部として定義され、show wireless wps rogue rule detailedshow wireless wps rogue rule detailed コマンドを使用して不正ルールの詳細が表示されている場合、Cisco IOS XE リリース 3.7E 以前のリリースと Cisco IOS XE Denali 16.1.1 以降のリリースでは出力が異なります。
Switch# show wireless wps rogue rule detailed test
Priority : 1
Rule Name : wpstest
State : Disabled
Type : Pending
Match Operation : Any
Hit Count : 0
Total Conditions : 1
Condition :
type : Ssid
SSID Count : 2
SSID 1 : ssid1
SSID 2 : ssid2
Switch# show wireless wps rogue rule detailed test
Priority : 1
Rule Name : wpstest
State : Disabled
Type : Pending
Match Operation : Any
Hit Count : 0
Total Conditions : 1
Condition :
type : Ssid
SSID Count : 2
SSID : ssid1
SSID : ssid2
不正なアクセス ポイントの分類方法
| コマンドまたはアクション | 目的 | |||
|---|---|---|---|---|
| ステップ 1 |
configure terminal 例: |
グローバル コンフィギュレーション モードを開始します。 |
||
| ステップ 2 |
wireless wps rogue rule rule-namepriority priority 例: |
ルールを作成またはイネーブルにします。ルールを作成する場合、ルールのプライオリティを入力する必要があります。
|
||
| ステップ 3 |
classify {friendly | malicious } 例: |
ルールを分類します。 |
||
| ステップ 4 |
condition {client-count | duration | encryption | infrastructure | rssi | ssid } 例: |
|
||
| ステップ 5 |
match {all | any } 例: |
検出された不正なアクセス ポイントがルールに一致していると見なされ、そのルールの分類タイプが適用されるためには、ルールで定義されているすべての条件を満たす必要があるか、一部の条件を満たす必要があるかを指定します。 |
||
| ステップ 6 |
default 例: |
コマンドをデフォルトに設定するように指定します。 |
||
| ステップ 7 |
exit 例: |
サブモードの終了を指定します。 |
||
| ステップ 8 |
shutdown 例: |
特定の不正ルールをディセーブルにすることを指定します。たとえば、ルール rule_3 はディセーブルです。 |
||
| ステップ 9 |
end 例: |
特権 EXEC モードに戻ります。また、Ctrl+Z キーを押しても、グローバル コンフィギュレーション モードを終了できます。 |
||
| ステップ 10 |
configure terminal 例: |
グローバル コンフィギュレーション モードを開始します。 |
||
| ステップ 11 |
wireless wps rogue rule shutdown 例: |
すべての不正ルールをディセーブルにすることを指定します。 |
||
| ステップ 12 |
end 例: |
特権 EXEC モードに戻ります。また、Ctrl+Z キーを押しても、グローバル コンフィギュレーション モードを終了できます。 |
Device# configure terminal
Device(config)# wireless wps rogue rule ap1 priority 1
Device(config-rule)# classify friendly
Device(config-rule)# end
Device# configure terminal
Device(config)# wireless wps rogue rule ap1 priority 1
Device(config-rule)# condition client-count 5
Device(config-rule)# condition duration 1000
Device(config-rule)# end
| 関連項目 | マニュアル タイトル |
|---|---|
| セキュリティ コマンド |
『Security Command Reference Guide, Cisco IOS XE Release 3SE (Cisco WLC 5700 Series)』 |
| 標準/RFC | Title |
|---|---|
| なし |
— |
| MIB | MIB のリンク |
|---|---|
| 本リリースでサポートするすべての MIB |
選択したプラットフォーム、Cisco IOS リリース、およびフィーチャ セットに関する MIB を探してダウンロードするには、次の URL にある Cisco MIB Locator を使用します。 |
| 説明 | Link |
|---|---|
|
シスコのサポート Web サイトでは、シスコの製品やテクノロジーに関するトラブルシューティングにお役立ていただけるように、マニュアルやツールをはじめとする豊富なオンライン リソースを提供しています。 お使いの製品のセキュリティ情報や技術情報を入手するために、Cisco Notification Service（Field Notice からアクセス）、Cisco Technical Services Newsletter、Really Simple Syndication（RSS）フィードなどの各種サービスに加入できます。 シスコのサポート Web サイトのツールにアクセスする際は、Cisco.com のユーザ ID およびパスワードが必要です。 |
| リリース | 機能情報 |
|---|---|
| Cisco IOS XE 3.3SE | この機能が導入されました。 |
フィードバック