暗号化トラフィック分析の設定

暗号化トラフィック分析の制約事項

  • SD-Access 導入環境の場合、ETA は、アクセスポートとワイヤレス VLAN でサポートされます。

  • ETA は、管理、ポートチャネル、SVI、ループバックの各インターフェイスではサポートされません。

  • ETA と送信（Tx）スイッチドポートアナライザ（SPAN）は、同じインターフェイスではサポートされません。

暗号化トラフィック分析について

ここでは、暗号化トラフィック分析について説明します。

概要

暗号化トラフィック分析（ETA）はアプリケーションに機械学習を使用して、マルウェア分析や暗号監査などのフロー特性を特定します。

フローモニターに関連付けられた フローレコードに基づき、派生収集フィールドを使用して NetFlow レコードを表示するエクスポータ テンプレートをスイッチが作成します。ETA データとともに、対応するフローの FNF データもエクスポートされます。

ETA は、設定のエクスポート用の複数のテンプレートをサポートします。ETA 属性ごとに 1 つのテンプレートがあり、ETA は各テンプレートの個々の属性の詳細をエクスポート時に送信します。パケット長と時間のシーケンス（SPLT）および初期データ パケット（IDP）は、別個のテンプレートに格納され、NetFlow レコードの生成に使用されます。これらの NetFlow レコードの両方が、指定のアプリケーション フローに送信されます。

これらのテンプレートは、データの準備が整うたびに送信されます。これにより、NetFlow コレクタは正しい属性値でデータを解釈することができます。エクスポータの宛先とポートがすべてのインターフェイスに共通となり、この値がグローバル et-analytics コンフィギュレーション コマンドで提供されます。ETA のスケール数は 2000 フロー/秒です。

このテンプレート エクスポートは、ETA フローモニターで 1 つのエクスポータ IP アドレスのみをサポートします。複数テンプレートのエクスポートは、以降の NetrFlow v9 バージョンでサポートされます

暗号化トラフィック分析のエクスポート

次の 2 つの条件のいずれかが満たされた場合にのみ ETA 情報がエクスポートされます。

  • 必要なデータが計算され、ETA コレクタによって必要な数のパケットが確認された場合。

  • 確立されたフローが非アクティブ タイムアウトとして設定された期間にわたってアイドル状態のままになっていて、一部のデータがエクスポートされる場合。


（注）  

設定した非アクティブ タイマーはグローバルに適用されます。異なるポートを異なる値で設定することはできません。

暗号化トラフィック分析の設定方法

ここでは、暗号化トラフィック分析の設定方法について説明します。

エクスポータ IP とポートの設定

グローバルコレクタの宛先 IP アドレスとポートを設定するには、次の手順に従います。

手順

  コマンドまたはアクション 目的

ステップ 1

enable

例:

Device> enable

特権 EXEC モードを有効にします。パスワードを入力します（要求された場合）。

ステップ 2

configure terminal

例:

Device# config terminal

グローバル コンフィギュレーション モードを開始します。

ステップ 3

et-analytics

例:

Device(config)# et-analytics

グローバル et-analytics コンフィギュレーション モードを開始します。

ステップ 4

ip flow-export destination destination_ip_address port

例:

Device(config-et-analytics)# ip flow-export destination 10.1.1.1 2055

グローバル コレクタの宛先 IP アドレスとポートを設定します。

Active-Timeout 値の設定

次の手順に従って、active-timeout 値を設定します。

手順

  コマンドまたはアクション 目的

ステップ 1

enable

例:

Device> enable

特権 EXEC モードを有効にします。パスワードを入力します（要求された場合）。

ステップ 2

configure terminal

例:

Device# config t

グローバル コンフィギュレーション モードを開始します。

ステップ 3

et-analytics

例:

Device(config)# et-analytics

グローバル et-analytics コンフィギュレーション モードを開始します。

ステップ 4

active-timeout time in seconds

例:

Device(config-et-analytics)# active-timeout 300

active-timeout 値を設定します。範囲は 1 〜 604800 で、デフォルト値は 30 分です。

非アクティブ タイマー値の設定

非アクティブ タイマー値を設定するには、次の手順に従います。

手順

  コマンドまたはアクション 目的

ステップ 1

enable

例:

Device> enable

特権 EXEC モードを有効にします。パスワードを入力します（要求された場合）。

ステップ 2

configure terminal

例:

Device# config t

グローバル コンフィギュレーション モードを開始します。

ステップ 3

et-analytics

例:

Device(config)# et-analytics

グローバル et-analytics コンフィギュレーション モードを開始します。

ステップ 4

inactive time time in seconds

例:

Device(config-et-analytics)# inactive time 10

非アクティブ タイマー値を設定します。範囲は 1 ～ 604800 で、デフォルトは 15 秒です。

暗号化トラフィック分析の有効化

脅威の可視性をイネーブルにするには、次の手順に従います。

手順

  コマンドまたはアクション 目的

ステップ 1

enable

例:

Device> enable

特権 EXEC モードを有効にします。パスワードを入力します（要求された場合）。

ステップ 2

configure terminal

例:

Device# config t

グローバル コンフィギュレーション モードを開始します。

ステップ 3

interface interface-id

例:

Device(config)# interface gi1/0/2

インターフェイス コンフィギュレーション モードを開始します。

ステップ 4

et-analytics enable

例:

Device(config-if)# et-analytics enable

特定のインターフェイス上で et-analytics イネーブルにします。

暗号化トラフィック分析の設定例

ここでは、暗号化トラフィック分析の設定例を示します。

例：エクスポータ IP とポートの設定

次に、フローエクスポータの宛先 IP アドレスを 10.1.1.1 に、ポートを 2055 に設定する例を示します。 

Device#config terminal
Device (config)#et-analytics
Device (config-et-analytics)#ip flow-export destination 10.1.1.1 2055

例：Active-Timeout 値の設定

この例は、300 秒の active-timeout value 値を設定する方法を示しています。

Device#config terminal
Device (config)#et-analytics
Device (config-et-analytics)#active-timeout 300

例：非アクティブ タイマーの設定

次に、非アクティブ タイマーを 10 秒に設定する例を示します。

Device#config terminal
Device (config)#et-analytics
Device (config-et-analytics)#inactive time 10

例：et-analytics の有効化

次に、インターフェイス GigabitEthernet1/0/2 で et-analytics を有効にする例を示します。

Device#config terminal
Device (config)#interface gi1/0/2
Device (config-if)#et-analytics enable

例：et-analytics 設定の確認

次に、グローバル et-analytics コンフィギュレーションを表示する例を示します。

Device#show platform software et-analytics global
ET-Analytics Global state
=========================
All Interfaces : Off
IP Flow-record Destination: 172.26.202.123 : 2055
Inactive timer: 10

ET-Analytics interfaces
GigabitEthernet1/0/26
GigabitEthernet1/0/36

ET-Analytics VLANs

次に、インターフェイス et-analytics コンフィギュレーションを表示する例を示します。

Device#show platform software et-analytics interface
ET-Analytics interfaces
GigabitEthernet1/0/3

次に、ETA モニター キャッシュ出力を表示する例を示します。

Device#show flow monitor etta-mon cache
Cache type: Normal (Platform cache)
Cache size: 10000
Current entries: 4

Flows added: 6
Flows aged: 2
- Inactive timeout ( 15 secs) 2

IPV4 DESTINATION ADDRESS: 15.15.15.35
IPV4 SOURCE ADDRESS: 72.163.128.140
IP PROTOCOL: 17
TRNS SOURCE PORT: 53
TRNS DESTINATION PORT: 12032
counter bytes long: 128
counter packets long: 1
timestamp abs first: 06:23:24.799
timestamp abs last: 06:23:24.799
interface input: Null
interface output: Null

暗号化トラフィック分析の機能履歴

次の表に、このモジュールで説明する機能のリリースおよび関連情報を示します。

これらの機能は、特に明記されていない限り、導入されたリリース以降のすべてのリリースで使用できます。

リリース

機能

機能情報
Cisco IOS XE Fuji 16.8.1a

暗号化トラフィック分析

暗号化トラフィック分析（ETA）はアプリケーションに機械学習を使用して、マルウェア分析や暗号監査などのフロー特性を特定します。
Cisco IOS XE Amsterdam 17.3.1

アプリケーションの可視性およびコントロールと暗号化トラフィック分析の相互運用性

同じポートでのアプリケーションの表示およびコントロールと暗号化トラフィック分析の相互運用性のサポートが導入されました。
Cisco IOS XE Bengaluru 17.6.1

active-timeout 値の設定のサポート

active-timeout 値を設定するサポートが導入されました。Cisco IOS XE Bengaluru 17.6.1 以前では、active-timeout 値はデフォルトで 1800 秒に設定されていました。

Cisco Feature Navigator を使用すると、プラットフォームおよびソフトウェアイメージのサポート情報を検索できます。Cisco Feature Navigator にアクセスするには、https://cfnng.cisco.com/ に進みます。