目次

はじめに

前提条件

要件

使用するコンポーネント

表記法

False Positive アラームと False Negative アラーム

Cisco Secure IPS はメカニズムを除きます

ホストの除外

ネットワークを除外して下さい

グローバルに シグニチャを無効に して下さい

関連情報

はじめに

このドキュメントでは、Cisco Secure Intrusion Prevention System（IPS）の false positive アラームの除外について説明します。

前提条件

要件

このドキュメントに関しては個別の要件はありません。

使用するコンポーネント

この資料に記載されている情報は基づいた on Cisco セキュア侵入防御システム（IPS） バージョン 7.0 および Cisco IPS Manager Express 7.0 です。

本書の情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。 このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。 稼働中のネットワークで作業を行う場合、コマンドの影響について十分に理解したうえで作業してください。

表記法

ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。

False Positive アラームと False Negative アラーム

パケットのある特定のパケットかシーケンスが Cisco Secure IPS シグニチャで定義される既知不正侵入プロファイルの特性と一致するとき Cisco Secure IPS はアラームを誘発します。 重要な IPS シグニチャ設計基準は false positive および偽負アラームの発生回数を最小限に抑えることです。

IPS が悪意のあるようにある特定の良性 アクティビティを報告すると False positive （正常動作でのトリガー）は行われます。 これは人間介入がイベントを診断するように要求します。 多数の false positive はかなりリソースを流出できそれらを分析するために必要となる専門にされたスキルは高価、見つけにくいです。

偽負は IPS が実際の悪意のあるアクティビティを検出しないし、報告すると発生します。 これの結果は破局的である場合もあり、新しいエクスプロイトおよび切り刻む手法が検出されると同時にシグニチャは絶えずアップデートする必要があります。 偽負を最小化することは false positive のより高い発生を犠牲にして非常に高優先順位を、時々与えられます。

悪意のあるアクティビティを検出するのに IPS が使用するシグニチャの性質が原因で完全に IPS の効果を大幅に低下させるか、またはひどく組織のコンピューティング インフラストラクチャを破壊しないで false positive および負を除去することはほとんど不可能です（ホストおよびネットワークのような）。 IPS が展開されるときカスタマイズされた調整は false positive を最小化します。 新しいシステムおよびアプリケーションが展開されるとき）計算環境が変更するとき定期的な再調整が必要となります（たとえば。 Cisco Secure IPS は定常オペレーションの間に false positive を最小化できる適用範囲が広い調整機能を提供します。

Cisco Secure IPS はメカニズムを除きます

Cisco Secure IPS は特定のホストかネットワーク アドレスからまたはに特定のシグニチャを除くために機能を提供します。 除かれたシグニチャはこのメカニズムによってとりわけ除外されるネットワークかホストから誘発されるときアラーム アイコンを生成しませんし、レコードを記録 しません。 たとえば、ネットワーク管理ステーションはエコー シグニチャ（2100） シグニチャ ID との ICMP ネットワーク スイープするを誘発する ping スイープの実行によってネットワーク ディスカバリを行うかもしれません。 シグニチャを除く場合、ネットワーク発見のプロセスが動作する度にアラームを分析し、それを削除する必要がありません。

ホストの除外

特定のシグニチャ アラームの生成から特定のホスト（ソース IP アドレス）を除外するためにこれらのステップを完了して下さい:

1. > Corp IPS > ポリシー > 検知時のアクション支配し > rules0、クリックします検知時のアクション Filters タブを『Configuration』 を選択 して下さい。

2. [Add] をクリックします。

3. 適切なフィールドで引くフィルタ名前、シグニチャ ID、攻撃者の IPv4 アドレスおよび操作を入力し次に『OK』 をクリック して下さい。

注: 異なるネットワークから複数の IP アドレスを除外する必要がある場合デリミタとしてカンマを使用できます。 ただしカンマを使用したら、カンマの後で後ろのスペースを避けて下さい; さもなければ、エラーを受け取るかもしれません。

注: さらに、事象変数タブで定義される変数を使用できます。 これらの変数は同じ値が複数のイベント アクション フィルターで繰り返す必要があるとき役立ちます。 変数にプレフィクスとしてドル記号（$）を使用して下さい。 変数はこれらの形式の 1 つである場合もあります:

- 完全な IP アドレス; たとえば、10.77.23.23。

- IP アドレスの範囲; たとえば、10.9.2.10-10.9.2.155。

- IP アドレスの範囲のセット; たとえば、172.16.33.15-172.16.33.100,192.168.100.1-192.168.100.11。

ネットワークを除外して下さい

検知時のアクション フィルタはまた送信元/宛先 ネットワーク アドレスに基づいてアラームを始動させるために特定のシグニチャを除きます。

特定のシグニチャ アラームの生成からネットワークを除外するためにこれらのステップを完了して下さい:

1. 検知時のアクション Filters タブをクリックして下さい。

2. [Add] をクリックします。

3. 適切なフィールドで引くフィルタ名前、シグニチャ ID、サブネットマスクのネットワーク アドレス、および操作を入力し次に『OK』 をクリック して下さい。

グローバルに シグニチャを無効に して下さい

いつでも警告からのシグニチャを無効に したいと思うかもしれません。 、有効に なるために無効に し、シグニチャを終了させますために、これらのステップを完了して下さい:

1. 管理者またはオペレータ特権のアカウントを使用して IME へのログイン。

2. > sensor_name > ポリシー > シグニチャ 定義 > sig0 > すべてのシグニチャ 『Configuration』 を選択 して下さい。

3. シグニチャを見つけるために、フィルタ ドロップダウン リストからソート オプションを選択して下さい。 たとえば ICMP ネットワーク スイープする シグニチャを捜したら、sig0 の下で『All Signatures』 を選択 しか、そしてシグニチャ ID によって検索するか、または指名して下さい。 sig0 ペインは分類規準を満たしたそれらのシグニチャだけリフレッシュし、表示します。

4. 既存のシグニチャを無効に するために有効に するか、または、シグニチャを選択し、これらのステップを完了して下さい:

1. シグニチャのステータスを判別するために Enabled カラムを表示して下さい。 有効に なる シグニチャにチェックされるチェックボックスがあります。

2. 無効に なる シグニチャを有効に するために、Enabled チェックボックスをチェックして下さい。

3. 有効に なる シグニチャを無効に するために、Enabled チェックボックスのチェックを外して下さい。

4. 1つ以上のシグニチャを終了させますために、シグニチャを選択し、右クリックし、それからステータスをに > 終了させまされる 『Change』 をクリック して下さい。

5. 変更を加え、修正された設定を保存するために『Apply』 をクリック して下さい。

関連情報

- Cisco Secure IDS ディレクターのための販売の終わり

- Cisco Secure Intrusion Detection のサポートページ

- テクニカル サポートとドキュメント – Cisco Systems