不正なアクセスポイントの分類

不正なアクセスポイントの分類について

コントローラソフトウェアでは、不正アクセスポイントを Friendly、Malicious、Custom、または Unclassified に分類して表示するルールを作成できます。

デフォルトでは、いずれの分類ルールも使用されません。ルールを有効にする必要があります。したがって、すべての未知（管理対象外）のアクセスポイントは Unclassified に分類されます。ルールを作成または変更し、条件を設定して有効にすると、すべての不正アクセスポイントが再分類されます。ルールを変更するたびに、すべてのアクセスポイント（Friendly、Malicious、および Unclassified）にルールが適用されます。

（注）

ルールベースの分類は、アドホック不正クライアントおよび不正クライアントには適用されません。
1 台のコントローラにつき最大 64 の不正分類ルールを設定できます。

コントローラは、管理対象のアクセスポイントの 1 つから不正レポートを受信すると、次のように応答します。

不明なアクセスポイントが危険性のない MAC アドレスのリストに含まれている場合、コントローラはそのアクセスポイントを Friendly に分類します。
不明なアクセスポイントが危険性のない MAC アドレスのリストに含まれていない場合、コントローラはそのアクセスポイントに対して不正分類ルールの適用を開始します。
不正アクセスポイントを手動で分類する場合は、不正ルールが適用されません。
設定されているルールの条件に不正アクセスポイントが一致すると、コントローラはそのルールに設定された分類タイプに基づいて不正を分類します。
設定されたルールのいずれにも不正アクセスポイントが一致しない場合、不正は Unclassified のままになります。

コントローラは、すべての不正アクセスポイントに対して上記の手順を繰り返します。
不正アクセスポイントが同じ有線ネットワーク上で検出されると、ルールが設定されていなくても、コントローラは不正の状態を Threat とマークし、そのアクセスポイントを自動的に Malicious に分類します。その後は、不正を手動で封じ込めて不正の状態を Contained に変更できます。不正アクセスポイントがネットワーク上で使用不可能な場合、コントローラは不正の状態を Alert としてマークします。その後は、不正を手動で封じ込めることができます。
必要に応じて、各アクセスポイントを本来とは異なる分類タイプや不正の状態に手動で変更することも可能です。
分類を実行する前に、不正アクセスポイントは一時的に Pending としてマークされます。

表 1. 分類マッピング
ルールベースの分類タイプ	不正の状態
Custom	Alert：管理ステーションへの通知以外の操作は実行されません。コントローラの管理ステーションは、コントローラと有線ネットワークを管理します。 Contained：未知（管理対象外）のアクセスポイントが封じ込められています。どの管理対象アクセスポイントも封じ込めに使用できない場合、不正は Contained Pending 状態になります。
[Delete]	不正アクセスポイントを削除します。
Friendly	Internal：不明なアクセスポイントが WLAN のセキュリティに脅威を与えない場合は、手動で Friendly、Internal に設定できます。たとえば、ラボネットワーク内のアクセスポイントがこれに該当します。 External：ネットワーク内に存在する不明なアクセスポイントが WLAN のセキュリティに脅威を与えない場合は、手動で Friendly、External に設定できます。たとえば、隣接するコーヒーショップのアクセスポイントがこれに該当します。 Alert：管理ステーションへの通知以外の操作は実行されません。管理ステーションは、コントローラと有線ネットワークを管理します。
Malicious	Alert：管理ステーションへの通知以外の操作は実行されません。管理ステーションは、コントローラと有線ネットワークを管理します。 Threat：未知（管理対象外）のアクセスポイントがネットワーク上に発見され、WLAN のセキュリティに脅威を与えています。 Contained：未知（管理対象外）のアクセスポイントが封じ込められています。どの管理対象アクセスポイントも封じ込めに使用できない場合、不正は Contained Pending 状態になります。
Unclassified	Alert：管理ステーションへの通知以外の操作は実行されません。管理ステーションは、コントローラと有線ネットワークを管理します。 Contained：未知（管理対象外）のアクセスポイントが封じ込められています。どの管理対象アクセスポイントも封じ込めに使用できない場合、不正は Contained Pending 状態になります。

前述したように、ユーザ定義のルールに基づいて、未知のアクセスポイントの分類タイプと不正の状態をコントローラで自動的に変更できます。または、手動で未知のアクセスポイントを別の分類タイプや不正の状態に移行させることも可能です。

不正なアクセスポイントの分類の制限

カスタムタイプの不正の分類は、不正ルールに関連付けられています。このため、不正を手動で Custom として分類することはできません。カスタムクラスの変更は、不正ルールが使用されている場合にのみ行われます。
一部の SNMP トラップは、不正分類の変更に対して、ルールによって 30 分ごとに封じ込めのために送信されます。
不正ルールは、優先順位に従って、コントローラ内の新しい着信不正レポートごとに適用されます。
不正がのルールを満たし、分類されると、同じレポートの優先順位リスト内で下位に下がることはありません。
不正分類ルールは、管理対象アクセスポイントで受信するすべてのレポートで再評価されます。したがって、不正アクセスポイントは、別のルールが最後のレポートと一致している場合、1 つの状態から別の状態に移行することがあります。
不正 AP が Friendly に分類されるか、または無視された場合、その不正 AP に関連付けられている不正クライアントはすべて追跡されません。

不正なアクセスポイントの分類方法

不正アクセスポイントおよびクライアントの手動による分類（GUI）

手順

ステップ 1	[Monitoring] > [Wireless] > [Rogues] の順に選択します。
ステップ 2	[Unclassified] タブで AP を選択し、下部のペインに詳細を表示します。
ステップ 3	[Class Type] ドロップダウンを使用して、ステータスを設定します。
ステップ 4	[Apply] をクリックします。

不正アクセスポイントおよびクライアントの手動による分類（CLI）

手順

	コマンドまたはアクション	目的
ステップ 1	configure terminal 例: `Device# configure terminal`	グローバルコンフィギュレーションモードを開始します。
ステップ 2	wireless wps rogue adhoc { alert `mac-addr` \| auto-contain \| contain `mac-addr` `containment-level` \| internal `mac-addr` \| external `mac-addr`} 例: `Device(config)# wireless wps rogue adhoc alert 74a0.2f45.c520`	アドホック不正を検出して報告します。 adhoc キーワードの後に、次のいずれかのオプションを入力します。 alert：アドホック不正アクセスポイントをアラートモードに設定します。このオプションを選択した場合は、`mac-addr` パラメータに MAC アドレスを入力します。 auto-contain：アドホック不正の自動的な封じ込めを自動封じ込めモードに設定します。 contain：アドホック不正アクセスポイントの封じ込めを封じ込めモードに設定します。このオプションを選択した場合は、`mac-addr` パラメータに MAC アドレスを入力し、`containment-level` パラメータに封じ込めレベルを入力します。containment-level の有効な範囲は 1 ～ 4 です。 external：アドホック不正アクセスポイントを external に設定します。このオプションを選択した場合は、`mac-addr` パラメータに MAC アドレスを入力します。 internal：アドホック不正アクセスポイントを internal に設定します。このオプションを選択した場合は、`mac-addr` パラメータに MAC アドレスを入力します。
ステップ 3	wireless wps rogue ap { friendly `mac-addr` state [external \| internal] \| malicious `mac-addr` state [alert \| contain `containment-level`]} 例: `Device(config)# wireless wps rogue ap malicious 74a0.2f45.c520 state contain 3`	不正アクセスポイントを設定します。 ap キーワードの後に、次のいずれかのオプションを入力します。 friendly：危険性のない不正アクセスポイントを設定します。このオプションを選択した場合は、`mac-addr` パラメータに MAC アドレスを入力します。その後、state キーワードに続けて internal または external のいずれかのオプションを入力します。internal オプションを選択した場合は、外部アクセスポイントを信頼していることを示します。external オプションを選択した場合は、不正アクセスポイントの存在を認識していることを示します。 malicious：悪意のある不正アクセスポイントを設定します。このオプションを選択した場合は、`mac-addr` パラメータに MAC アドレスを入力します。その後、state キーワードに続けて alert または contain のいずれかのオプションを入力します。 alert：悪意のある不正アクセスポイントをアラートモードに設定します。 contain：悪意のある不正アクセスポイントを封じ込めモードに設定します。このオプションを選択した場合は、`containment-level` パラメータに封じ込めレベルを入力します。有効な範囲は 1 ～ 4 です。
ステップ 4	wireless wps rogue client { contain `mac-addr` `containment-level`} 例: `Device(config)# wireless wps rogue client contain 74a0.2f45.c520 2`	不正クライアントを設定します。 client キーワードの後に次のオプションを入力します。 contain：不正クライアントを封じ込めます。このオプションを選択した後は、`mac-addr` パラメータに MAC アドレスを入力し、`containment-level` パラメータに封じ込めレベルを入力します。containment-level の有効な範囲は 1 ～ 4 です。
ステップ 5	end 例: `Device(config)# end`	特権 EXEC モードに戻ります。また、Ctrl+Z キーを押しても、グローバルコンフィギュレーションモードを終了できます。

不正分類ルールの設定（GUI）

手順

ステップ 1	[Configuration] > [Security] > [Wireless Protection Policies] を選択します。
ステップ 2	[Wireless Protection Policies] ページで [Rogue AP Rules] タブを選択します。
ステップ 3	[Rogue AP Rules] ページで、ルールの名前をクリックするか、[Add] をクリックして新しいルールを作成します。
ステップ 4	表示される [Add/Edit Rogue AP Rule] ウィンドウで、[Rule Name] フィールドにルールの名前を入力します。
ステップ 5	次の [Rule Type] ドロップダウンリストのオプションからルールタイプを選択します。 Friendly Malicious Unclassified Custom

不正分類ルールの設定（CLI）

手順

コマンドまたはアクション目的

ステップ 1

configure terminal

例:

Device# configure terminal

グローバルコンフィギュレーションモードを開始します。

ステップ 2

wireless wps rogue rule rule-name priority priority

例:

Device(config)# wireless wps rogue rule rule_3 priority 3

ルールを作成またはイネーブルにします。ルールの作成時にルールのプライオリティを入力する必要があります。

（注）

ルールの作成後に編集およびプライオリティの変更が可能なのは、無効になっている不正ルールのみです。有効になっている不正ルールのプライオリティは変更できません。編集時の不正ルールのプライオリティ変更は任意です。

ステップ 3

classify {friendly | malicious}

例:

Device(config)# wireless wps rogue rule rule_3 priority 3

Device(config-rule)# classify friendly

このルールに一致する不正アクセスポイントに適用する必要がある分類を指定します。

ステップ 4

condition {client-count value| duration duration_value| encryption | infrastructure | rssi | ssid ssid_name | wildcard-ssid}

例:

Device(config)# wireless wps rogue rule rule_3 priority 3

Device(config-rule)# condition client-count 5

不正アクセスポイントが満たす必要がある次の条件をルールに追加します。

client-count ：不正アクセスポイントに最小数のクライアントがアソシエートされている必要があります。たとえば、不正アクセスポイントに関連付けられているクライアントの数が設定値以上の場合、アクセスポイントは Malicious に分類されます。このオプションを選択する場合は、不正アクセスポイントに関連付けられるクライアントの最小数を value パラメータに入力します。有効な範囲は 1 ～ 10（両端の値を含む）で、デフォルト値は 0 です。
duration ：不正アクセスポイントが最小期間で検出される必要があります。このオプションを選択する場合は、duration_value パラメータに最小検出期間の値を入力します。有効な範囲は 0 ～ 3600 秒（両端の値を含む）で、デフォルト値は 0 秒です。
encryption ：アドバタイズされた WLAN で暗号化が無効になっている必要があります。
infrastructure ：SSID がコントローラで認識される必要があります。
rssi ：最小 RSSI 値の不正アクセスポイントが検出される必要があります。分類が Friendly の場合、この条件では、最大 RSSI 値の不正アクセスポイントが検出される必要があります。有効な範囲は -95 ～ -50 dBm（両端の値を含む）です。
ssid ：不正アクセスポイントには、特定の SSID が必要です。コントローラによって管理されていない SSID が必要です。このオプションを選択する場合は、ssid_name パラメータに SSID を入力します。SSID は事前に作成した設定済みの SSID リストに追加されます。
wildcard-ssid ：不正アクセスポイントによってアドバタイズされた SSID の部分文字列（一部）が、指定した入力値と一致する必要があります。

ステップ 5

match {all | any}

例:

Device(config)# wireless wps rogue rule rule_3 priority 3

Device(config-rule)# match all

検出された不正アクセスポイントがルールに一致していると見なされ、そのルールの分類タイプが適用されるには、ルールで定義されているすべての条件を満たす必要があるか、一部の条件を満たす必要があるかを指定します。

ステップ 6

default

例:

Device(config)# wireless wps rogue rule rule_3 priority 3

Device(config-rule)# default

コマンドをデフォルトに設定します。

ステップ 7

exit

例:

Device(config)# wireless wps rogue rule rule_3 priority 3

Device(config-rule)# exit

Device(config)#

サブモードを終了します。

ステップ 8

shutdown

例:

Device(config)# wireless wps rogue rule rule_3 priority 3

Device(config-rule)# shutdown

特定の不正ルールを無効にします。この例では、ルール rule_3 が無効になります。

ステップ 9

end

例:

Device(config)# end

特権 EXEC モードに戻ります。また、Ctrl+Z キーを押しても、グローバルコンフィギュレーションモードを終了できます。

ステップ 10

configure terminal

例:

Device# configure terminal

グローバルコンフィギュレーションモードを開始します。

ステップ 11

wireless wps rogue rule shutdown

例:

Device(config)# wireless wps rogue rule shutdown

すべての不正ルールを無効にします。

ステップ 12

end

例:

Device(config)# end

特権 EXEC モードに戻ります。また、Ctrl+Z キーを押しても、グローバルコンフィギュレーションモードを終了できます。

不正分類ルールのモニタリング

次のコマンドを使用して、不正分類ルールをモニタリングできます。

表 2. 不正分類ルールのモニタリング用コマンド
コマンド	目的
show wireless wps rogue rule detailed	分類ルールの詳細情報を表示します。
show wireless wps rogue rule summary	分類ルールの概要を表示します。

例：不正なアクセスポイントの分類

次に、不正アクセスポイントを Friendly として分類および表示できるルールの作成例を示します。


Device# configure terminal
Device(config)# wireless wps rogue rule ap1 priority 1
Device(config-rule)# classify friendly state internal
Device(config-rule)# end

この例は、不正アクセスポイントが満たす必要がある条件を適用する方法を示しています。


Device# configure terminal
Device(config)# wireless wps rogue rule ap1 priority 1
Device(config-rule)# condition client-count 5
Device(config-rule)# condition duration 1000
Device(config-rule)# end

次の例では、ルールを有効にする方法を示します。


Device# configure terminal
Device(config)# wireless wps rogue rule ap1 priority 1
Device(config-rule)# no shutdown

Cisco Catalyst 9800 シリーズワイヤレスコントローラ（Cisco IOS XE Gibraltar 16.10.x）ソフトウェアコンフィギュレーションガイド

偏向のない言語

翻訳について

Book Title

Cisco Catalyst 9800 シリーズワイヤレスコントローラ（Cisco IOS XE Gibraltar 16.10.x）ソフトウェアコンフィギュレーションガイド

Chapter Title

不正なアクセスポイントの分類

検索結果

章のタイトル：不正なアクセスポイントの分類

不正なアクセスポイントの分類

不正なアクセスポイントの分類について

不正なアクセスポイントの分類の制限

不正アクセスポイントおよびクライアントの手動による分類（GUI）

手順

不正アクセスポイントおよびクライアントの手動による分類（CLI）

手順

例:

例:

例:

例:

例:

不正分類ルールの設定（GUI）

手順

不正分類ルールの設定（CLI）

手順

例:

例:

例:

例:

例:

例:

例:

例:

例:

例:

例:

例:

不正分類ルールのモニタリング

例：不正なアクセスポイントの分類

このドキュメントは役に立ちましたか?

シスコに問い合わせ

Cisco Catalyst 9800 シリーズ ワイヤレス コントローラ（Cisco IOS XE Gibraltar 16.10.x）ソフトウェア コンフィギュレーション ガイド

偏向のない言語

翻訳について

検索結果

章のタイトル： 不正なアクセス ポイントの分類

不正なアクセス ポイントの分類

不正なアクセス ポイントの分類について

不正なアクセス ポイントの分類の制限

不正アクセス ポイントおよびクライアントの手動による分類（GUI）

手順

不正アクセス ポイントおよびクライアントの手動による分類（CLI）

手順

例:

例:

例:

例:

例:

不正分類ルールの設定（GUI）

手順

不正分類ルールの設定（CLI）

手順

例:

例:

例:

例:

例:

例:

例:

例:

例:

例:

例:

例:

不正分類ルールのモニタリング

例：不正なアクセス ポイントの分類

このドキュメントは役に立ちましたか?

シスコに問い合わせ

Cisco Catalyst 9800 シリーズワイヤレスコントローラ（Cisco IOS XE Gibraltar 16.10.x）ソフトウェアコンフィギュレーションガイド

章のタイトル：不正なアクセスポイントの分類

不正なアクセスポイントの分類

不正なアクセスポイントの分類について

不正なアクセスポイントの分類の制限

不正アクセスポイントおよびクライアントの手動による分類（GUI）

不正アクセスポイントおよびクライアントの手動による分類（CLI）

例：不正なアクセスポイントの分類