Cisco Traffic Anomaly Detector Module Web-Based Manager コンフィギュレーション ガイド (Software Release 5.1)

Policy template

選択したポリシー テンプレートに基づいて作成されたポリシー。

Service

選択したサービスのために作成されたポリシー。

Protection level

選択した保護レベルを持つポリシー。

Type

選択したパケット タイプを持つポリシー。

Policy

選択したキーを持つポリシー。

State

選択した動作状態になっているポリシー。

Action

選択したアクションを使用して設定されているポリシー。

Policies

現在の設定のポリシー、またはスナップショット（使用可能な場合）のポリシー。

Policy Template

Detector モジュールがポリシーの構築に使用したポリシー テンプレート。各ポリシー テンプレートは、Detector モジュールが特定の DDoS 攻撃の検出で必要とする特性を処理します。

Service

トラフィック フローに含まれていて、ポリシーが監視しているサービス。サービスは、ポート番号またはプロトコル番号のいずれかです。「サービスの追加または削除」を参照してください。

Detector モジュールは、同じポリシー テンプレートから作成された他のサービスと特に一致しないすべてのトラフィックに対して any というサービス値を表示します。

Level

ポリシーがトラフィック フローに適用する異常検出のレベル。Detector モジュールでは常に analysis です。

Type

Detector モジュールが監視するパケット タイプ。

パケット タイプの値は、次のいずれかです。

• auth_pkts ：TCP ハンドシェイクまたは UDP 認証のいずれかが実行されたパケット。

• auth_tcp_pkts ：TCP ハンドシェイクが実行されたパケット。

• auth_udp_pkts ：UDP 認証が実行されたパケット。

• in_nodata_conns ：ゾーンへの着信接続のうち、接続時にデータ転送が行われない（データ ペイロードのないパケット）もの。

• in_conns ：ゾーンへの着信接続。

• in_pkts ：ゾーンに着信する DNS クエリー パケット。

• in_unauth_pkts ：ゾーンに着信する未認証の DNS クエリー。

Type

（続き）

• non_estb_conns ：確立されていない接続。失敗したゾーン着信接続。要求に対する応答がなかった TCP 接続要求（SYN パケット）。

• num_sources ：Detector モジュールのスプーフィング防止機能で認証された、ゾーンが宛先となっている TCP 送信元 IP アドレスのパケット。

• out_pkts ：ゾーンに着信する DNS 応答パケット。

• reqs ：データ ペイロードを含んだ要求パケット。

• syns ：同期パケット（TCP SYN フラグの付いたパケット）。

• syn_by_fin ：SYN フラグ付きパケットと FIN フラグ付きパケット。Detector モジュールは、SYN フラグの付いたパケット数と FIN フラグの付いたパケット数の比率を確認します。

• unauth_pkts ：TCP ハンドシェイクを受けていないパケット。

• pkts ：同じ保護レベルになっている他のいずれのカテゴリにも該当しない、すべてのパケット タイプ。

Key

ポリシーの集約に使用されたトラフィック特性。キー名をクリックすると詳細が表示されます。

キー名の値は、次のいずれかです。

• dst_ip ：ゾーンの IP アドレスが宛先となっているトラフィック。

• dst_ip_ratio ：特定の IP アドレスが宛先となっている SYN フラグ付きパケットと FIN フラグ付きパケットの比率。

• dst_port_ratio ：特定のポートが宛先となっている SYN フラグ付きパケットと FIN フラグ付きパケットの比率。

• global ：他のポリシー セクションによって定義された、すべてのトラフィック フローの合計。

• src_ip ：送信元 IP アドレスに基づいて集計された、ゾーンが宛先となっているトラフィック。

• dst_port ：ゾーンの特定のポートが宛先となっているトラフィック。

• protocol ：プロトコルに基づいて集計された、ゾーンが宛先となっているトラフィック。

• src_ip_many_dst_ips ：同一のポートで多数のゾーン IP アドレスをプローブする 1 つの IP アドレスからのトラフィック。このキーは IP スキャニングに使用されます。

• src_ip_many_ports ：ゾーンの宛先 IP アドレスで多数のポートをプローブする 1 つの IP アドレスからのトラフィック。このキーはポート スキャニングに使用されます。

• scanners ：特定の宛先ポート上でゾーンの宛先 IP アドレスをスキャンする送信元 IP アドレスのヒストグラム。

State

ポリシーの動作状態。ポリシーは、次のいずれかの状態で動作します。

アクティブ：Detector モジュールは、トラフィック フローにポリシーを適用します。トラフィック フローがポリシーのしきい値を超過すると、ポリシーがアクションを実行します。

非アクティブ：Detector モジュールは、トラフィック フローにポリシーを適用します。トラフィック フローがポリシーのしきい値を超過しても、ポリシーはアクションを実行しません。

ディセーブル：Detector モジュールは、トラフィック フローにポリシーを適用しません。

Action

ポリシーに割り当てられているアクション。トラフィック フローがポリシーのしきい値を超過すると、ポリシーがアクションを実行します。詳細については、「ポリシーのパラメータの変更」の項を参照してください。

Threshold

ポリシーのしきい値となるトラフィック レート。トラフィック フローがポリシーのこのしきい値を超過すると、ポリシーは割り当てられているアクションを実行します。ポリシーのしきい値は、ユーザが手動で設定することも、ラーニング プロセスのしきい値調整フェーズで Detector モジュールが設定するように指定することもできます。

デフォルトでは、しきい値はオンデマンドの保護に適した値に設定されています。

Timeout

ポリシーがトラフィック フローにその割り当てられたアクションを適用するまでの最短時間。

Fixed

ポリシーのしきい値の動作ステータス。チェック マークは、このしきい値が固定値であり、ラーニング プロセスのしきい値調整フェーズ実行中に変更できないことを示します。 x は、このしきい値が固定値ではないことを示し、Detector モジュールがしきい値調整プロセス中にポリシーのしきい値を変更する可能性があることを意味します。

Learning Multiplier

Detector モジュールがしきい値調整フェーズの結果を受け入れるときに、しきい値に掛ける係数。

State

ポリシーの状態。使用可能な値は、次のいずれかです。

• active ：Detector モジュールは、ポリシーをトラフィックに適用します。トラフィックがポリシーのしきい値を超過すると、ポリシーは割り当てられているアクションを実行します。

• inactive ：Detector モジュールは、ポリシーをトラフィックに適用します。ただし、トラフィックがポリシーのしきい値を超過しても、ポリシーは割り当てられているアクションを実行しません。

• disabled ：Detector モジュールは、ポリシーをトラフィックに適用しません。

Action

トラフィックがポリシーのしきい値を超過したときに、ポリシーが実行するアクション。ポリシーのアクションをドロップダウン リストから選択します。

• notify ：ポリシーからユーザに通知します。

• remote_activation ：ポリシーによって Cisco Anomaly Guard Module がアクティブになります。ゾーンのトラフィックはポリシー自身に宛先変更され、ゾーンの保護プロセスを管理します。Detector モジュールがアクティブにする Cisco Anomaly Guard Module を定義するには、CLI を使用してリモート Guard リストを設定します。

Threshold

ポリシーのしきい値となるトラフィック レート。トラフィックがこのしきい値を超過すると、ポリシーはアクションを実行してゾーンを保護します。

このしきい値は、単一のポリシーに対してだけ設定できます。

しきい値は、次のポリシー テンプレートから構築されたポリシーを除いて pps 単位で測定されます。

• num_soruces：しきい値は、IP アドレスまたはポートの数で測定されます。

• tcp_connections：しきい値は、接続の数で測定されます。

• tcp_ratio：しきい値は、比率値で測定されます。

Threshold multiplier

ポリシーのしきい値を増減するための係数。

しきい値係数は、グループ化されたポリシーに対してだけ設定できます。

ポリシーのしきい値がゾーンのトラフィックに対して適切でないときに、しきい値を増減する係数を入力します。

（注） 新しい値を固定値として設定しない場合、その値は後続のしきい値調整フェーズで変更されることがあります。

Timeout

ポリシーがアクションを適用するために作成する動的フィルタの最短時間。タイムアウト値を秒単位で入力します。

Learning parameters

しきい値調整フェーズの結果を Detector モジュールが受け入れ、ポリシーのしきい値を変更する方法。

ラーニング パラメータを設定するには、Learning parameters チェックボックスをオンにします。次のラーニング パラメータが設定できます。

• Set as fixed ：Detector モジュールは、ポリシーの現在のしきい値を固定値として定義します。Detector モジュールは、しきい値調整フェーズの結果を受け入れるとき、このポリシーのしきい値を変更しません。

• Learning multiplier ：Detector モジュールは、後続のしきい値調整フェーズの結果を受け入れる前に、ラーニングしたしきい値に、指定された係数を乗算して新しいポリシーのしきい値を計算します。Detector モジュールは、設定したしきい値の選択方法を使用して、しきい値調整フェーズの結果を受け入れます。ポリシーのしきい値を掛ける正の実数（浮動小数点数 2 桁）を入力します。1 未満の数字を入力するとポリシーのしきい値が減少します。