Cisco ASA シリーズファイアウォールCLIコンフィギュレーションガイドソフトウェアバージョン 9.3

ASA IPS モジュールがどのように ASA と連携するか

ASA IPS モジュールは、ASA とは別のアプリケーションを実行します。ASA IPS モジュールに外部管理インターフェイスが搭載されている場合は、ASA IPS モジュールに直接接続することができます。管理インターフェイスが搭載されていない場合は、ASA インターフェイスを介して ASA IPS モジュールに接続できます。ASA 5585-X 上の ASA IPS SSP にはデータ インターフェイスが含まれます。このインターフェイスによって、ASA のポート密度が増加します。ただし、ASA の全体的なスループットは増加しません。

トラフィックは、ファイアウォール検査を通過してから ASA IPS モジュールへ転送されます。ASA で IPS インスペクション対象として指定されたトラフィックは、次に示すように ASA および ASA IPS モジュールを通過します。 注 ：この例は「インライン モード」の場合です。ASA がトラフィックのコピーを ASA IPS モジュールに送信するだけである「無差別モード」については、 「動作モード」 を参照してください。

1. トラフィックは ASA に入ります。

2. 着信 VPN トラフィックが復号化されます。

3. ファイアウォール ポリシーが適用されます。

4. トラフィックが ASA IPS モジュールに送信されます。

5. ASA IPS モジュールはセキュリティ ポリシーをトラフィックに適用し、適切なアクションを実行します。

6. 有効なトラフィックが ASA に返送されます。ASA IPS モジュールは、セキュリティ ポリシーに従ってトラフィックをブロックすることがあり、ブロックされたトラフィックは渡されません。

7. 発信 VPN トラフィックが暗号化されます。

8. トラフィックが ASA から出ます。

図 19-1 は、ASA IPS モジュールをインライン モードで実行している場合のトラフィック フローを示します。この例では、ASA IPS モジュールが攻撃と見なしたトラフィックは自動的にブロックされます。それ以外のトラフィックは、ASA を通って転送されます。

図 19-1 ASA での ASA IPS モジュールのトラフィック フロー：インライン モード

動作モード

次のいずれかのモードを使用して、トラフィックを ASA IPS モジュールに送信できます。

• インライン モード：このモードでは、ASA IPS モジュールはトラフィック フローの中に直接配置されます（図 19-1 を参照）。IPS インスペクション対象として指定されたトラフィックは、ASA IPS モジュールに渡されて検査を受けてからでなければ、ASA を通過することはできません。インスペクション対象と識別されたすべてのパケットは通過する前に分析されるため、このモードは最もセキュアです。また、ASA IPS モジュールはパケット単位でブロッキング ポリシーを実装できます。ただし、このモードは、スループットに影響を与えることがあります。

• 無差別モード：このモードでは、トラフィックの複製ストリームが ASA IPS モジュールに送信されます。このモードは安全性では劣りますが、トラフィックのスループットにほとんど影響を与えません。インライン モードとは異なり、無差別モードでは、ASA IPS モジュールがトラフィックをブロックできるのは、ASA にトラフィックの排除を指示するか、ASA 上の接続をリセットした場合だけです。また、ASA IPS モジュールがトラフィックを分析している間は、ASA IPS モジュールがそのトラフィックを排除できるようになる前に、少量のトラフィックが ASA を通過することがあります。図 19-2 は、無差別モードでの ASA IPS モジュールを示します。この例では、ASA IPS モジュールは脅威と見なしたトラフィックについての排除メッセージを ASA に送信します。

図 19-2 ASA での ASA IPS モジュールのトラフィック フロー：無差別モード

仮想センサーの使用

IPS ソフトウェアのバージョン 6.0 以降を実行している ASA IPS モジュールでは、複数の仮想センサーを実行できます。つまり、ASA IPS モジュールで複数のセキュリティ ポリシーを設定することができます。各 ASA セキュリティ コンテキストまたはシングル モードの ASA を 1 つまたは複数の仮想センサーに割り当てる、または複数のセキュリティ コンテキストを同じ仮想センサーに割り当てることができます。仮想センターの詳細（サポートされている最大センサー数など）については、IPS のマニュアルを参照してください。

図 19-3 では、1 つのセキュリティ コンテキストと 1 つの仮想センター（インライン モード）がペアになり、2 つのセキュリティ コンテキストが同じ仮想センサーを共有しています。

図 19-3 セキュリティ コンテキストと仮想センサー

図 19-4 では、シングル モードの ASA が複数の仮想センサー（インライン モード）とペアになっています。定義されている各トラフィック フローは異なるセンサーに進みます。

図 19-4 複数の仮想センサーがあるシングル モードの ASA

管理アクセスに関する情報

次の方法を使用して、IPS アプリケーションを管理できます。

• ASA からモジュールへのセッション接続：ASA に CLI アクセスが可能な場合は、モジュールにセッション接続し、そのモジュール CLI にアクセスできます。「ASA からモジュールへのセッションの開始」を参照してください。

• ASDM または SSH を使用して IPS 管理インターフェイスに接続する：ASDM を ASA から起動すると、IPS アプリケーションを設定するために管理ステーションがモジュール管理インターフェイスに接続します。SSH の場合、モジュール管理インターフェイスでモジュール CLI に直接アクセスできます（Telnet アクセスでは、モジュール アプリケーションで追加の設定が必要になります）。モジュール管理インターフェイスは、syslog メッセージの送信や、シグニチャ データベースの更新などのモジュール アプリケーションの更新に使用できます。

管理インターフェイスについては、次の情報を参照してください。

– ASA 5585-X：IPS 管理インターフェイスは、独立した外部ギガビット イーサネット インターフェイスです。

– ASA 5512-X、ASA 5515-X、ASA 5525-X、ASA 5545-X、ASA 5555-X：これらのモデルは、ASA IPS モジュールをソフトウェア モジュールとして実行します。IPS 管理インターフェイスは、Management 0/0 インターフェイスを ASA と共有します。ASA と ASA IPS モジュールのそれぞれに別の MAC アドレスと IP アドレスがサポートされます。IPS IP アドレスの設定は、IPS オペレーティング システム内で（CLI または ASDM を使用して）実行する必要があります。ただし、物理特性（インターフェイスのイネーブル化など）は、ASA 上で設定されます。ASA インターフェイス コンフィギュレーションを削除して（特にインターフェイス名）、このインターフェイスを IPS 専用インターフェイスとすることができます。このインターフェイスは管理専用です。

ASA IPS モジュールのタスク フロー

ASA IPS モジュールの設定プロセスでは、IPS セキュリティ ポリシーを ASA IPS モジュール上で設定してから、トラフィックを ASA IPS モジュールに送信するように ASA を設定します。ASA IPS モジュールを設定するには、次の手順に従います。

ステップ 1 ASA IPS 管理インターフェイスにケーブル接続します。「ASA IPS 管理インターフェイスの接続」を参照してください。

ステップ 2 モジュールへのセッションを開始します。バックプレーンを介して IPS CLI にアクセスします。「ASA からモジュールへのセッションの開始」を参照してください。

ステップ 3 （ASA 5512-X ～ ASA 5555-X、必須の可能性があります）ソフトウェア モジュールをインストールします。「（ASA 5512-X ～ ASA 5555-X）ソフトウェア モジュールの起動」を参照してください。

ステップ 4 ASA は、IPS モジュールの基本的なネットワーク設定を設定します。「IPS モジュールの基本的なネットワーク設定値の設定」を参照してください。

ステップ 5 モジュール上で、インスペクションと保護のポリシーを設定します。このポリシーによって、トラフィックの検査方法と侵入検出時の処理が決まります。「ASA IPS モジュールでのセキュリティ ポリシーの設定」を参照してください。

ステップ 6 （任意）マルチ コンテキスト モードの ASA で、各コンテキストで使用可能な IPS 仮想センサーを指定します（仮想センサーが設定されている場合）。「セキュリティ コンテキストへの仮想センサーの割り当て」を参照してください。

ステップ 7 ASA で、ASA IPS モジュールに誘導するトラフィックを指定します。「ASA IPS モジュールへのトラフィックの誘導」を参照してください。

ASA IPS 管理インターフェイスの接続

IPS モジュールへの管理アクセスを提供する以外に、IPS 管理インターフェイスは、HTTP プロキシ サーバまたは DNS サーバおよびインターネットへのアクセスを必要とします。グローバル相関、シグニチャ アップデートおよびライセンス要求をダウンロードできるようにするためです。この項では、推奨されるネットワーク コンフィギュレーションを示します。実際のネットワークでは、異なる可能性があります。

• 「ASA 5585-X（ハードウェア モジュール）」

• 「ASA 5512-X ～ ASA 5555-X（ソフトウェア モジュール）」

ASA 5585-X（ハードウェア モジュール）

IPS モジュールには、ASA とは別の管理インターフェイスが含まれます。

内部ルータがある場合

内部ルータがある場合は、管理ネットワーク（これには ASA Management 0/0 インターフェイスおよび IPS Management 1/0 インターフェイスの両方を含めることができます）と ASA 内部ネットワークとの間でルーティングできます。必ず、内部ルータを介して管理ネットワークに到達するためのルートを ASA に追加してください。

内部ルータがない場合

内部ネットワークが 1 つだけの場合は、別の管理ネットワークも持つことはできません（仮に持つとすれば、内部ルータがネットワーク間のルーティングを行う必要があります）。この場合は、Management 0/0 インターフェイスの代わりに内部インターフェイスから ASA を管理できます。IPS モジュールは ASA とは別のデバイスであるため、内部インターフェイスと同じネットワーク上に IPS Management 1/0 アドレスを設定できます。

ASA 5512-X ～ ASA 5555-X（ソフトウェア モジュール）

これらのモデルは、IPS モジュールをソフトウェア モジュールとして実行し、IPS 管理インターフェイスは Management 0/0 インターフェイスを ASA と共有します。

内部ルータがある場合

内部ルータがある場合は、Management 0/0 ネットワーク（これには ASA および IPS の両方の管理 IP アドレスとが含まれます）と内部ネットワークとの間でルーティングできます。必ず、内部ルータを介して管理ネットワークに到達するためのルートを ASA に追加してください。

内部ルータがない場合

内部ネットワークが 1 つだけの場合は、別の管理ネットワークも持つことはできません。この場合は、Management 0/0 インターフェイスの代わりに内部インターフェイスから ASA を管理できます。ASA で設定された名前を Management 0/0 インターフェイスから削除した場合も、そのインターフェイスの IPS IP アドレスを設定できます。IPS モジュールは実質的に ASA とは別のデバイスであるため、内部インターフェイスと同じネットワーク上に IPS 管理アドレスを設定できます。

（注） Management 0/0 に対して ASA で設定された名前を削除する必要があります。この名前が ASA 上で設定されている場合は、IPS のアドレスは ASA と同じネットワーク上にあることが必要になり、その結果、他の ASA インターフェイス上ですでに設定されたネットワークが除外されます。名前が設定されていない場合は、IPS のアドレスが存在するのはどのネットワークでも、たとえば、ASA 内部ネットワークでもかまいません。

次の作業

• 基本的なネットワーク設定を設定します。「IPS モジュールの基本的なネットワーク設定値の設定」を参照してください。

ASA からモジュールへのセッションの開始

IPS モジュール CLI に ASA からアクセスするには、ASA からセッションを開始します。ソフトウェア モジュールの場合は、モジュールへのセッションを開始することも（Telnet を使用）、仮想コンソール セッションを作成することもできます。コンソール セッションは、コントロール プレーンがダウンし、Telnet セッションを確立できない場合に便利です。

手順の詳細

（ASA 5512-X ～ ASA 5555-X）ソフトウェア モジュールの起動

ASA には一般的に、IPS モジュール ソフトウェアが付属しており、Disk0 に収録されています。このモジュールが実行されていない場合や、IPS モジュールを既存の ASA に追加する場合は、モジュール ソフトウェアを起動する必要があります。モジュールが実行中か不明な場合は、セッションを開始できません。

手順の詳細

ステップ 1 次のどちらかを実行します。

•プリインストール済みの IPS を搭載する新しい ASA：フラッシュ メモリで IPS モジュール ソフトウェアのファイル名を表示するには、次のコマンドを入力します。

たとえば、IPS-SSP_5512-K9-sys-1.1-a-7.1-4-E4.aip のようなファイル名を検索します。ファイル名をメモしておきます。このファイル名は、この手順で後ほど必要になります。

•既存の ASA に新しい IPS をインストールする場合：IPS ソフトウェアを Cisco.com から TFTP サーバ にダウンロードします。 Cisco.com のログインをお持ちの場合は、次の Web サイトからソフトウェアを入手できます。

http://www.cisco.com/cisco/software/navigator.html?mdfid=282164240

ASA にソフトウェアをコピーします。

他のダウンロード サーバ タイプの場合は、一般的な操作のコンフィギュレーション ガイドを参照してください。

ファイル名をメモしておきます。このファイル名は、この手順で後ほど必要になります。

ステップ 2 disk0 の IPS モジュール ソフトウェアの場所を設定するには、次のコマンドを入力します。

たとえば、この例のステップ 1 のファイル名を使用するには、次のとおりに入力します。

ステップ 3 IPS モジュール ソフトウェアをインストールし、ロードするには、次のコマンドを入力します。

ステップ 4 イメージ転送とモジュール再起動プロセスの進行状況を確認するには、次のコマンドを入力します。

出力の [Status] フィールドが、モジュールの動作ステータスを示します。モジュールの動作ステータスは、通常は「Up」と表示されます。ASA によってアプリケーション イメージがモジュールに転送されているときは、出力の [Status] フィールドには [Recover] と表示されます。ASA によるイメージの転送が完了してモジュールが再起動されると、新たに転送されたイメージが実行されます。

IPS モジュールの基本的なネットワーク設定値の設定

マルチ コンテキスト モードでは、ASA からモジュールへのセッションを開始し、 setup コマンドを使用して基本設定を行います。

（注） （ASA 5512-X ～ ASA 5555-X）モジュールへのセッションを開始できない場合は、IPS モジュールが動作していません。「（ASA 5512-X ～ ASA 5555-X）ソフトウェア モジュールの起動」を参照し、モジュールをインストールした後でこの手順をもう一度実行してください。

手順の詳細

ASA IPS モジュールでのセキュリティ ポリシーの設定

この項では、ASA IPS モジュール アプリケーションを設定する方法について説明します。

手順の詳細

ステップ 1 次のいずれかの方法を使用して ASA IPS モジュール CLI にアクセスします。

• ASA から ASA IPS モジュールへのセッションを開始します。「ASA からモジュールへのセッションの開始」を参照してください。

• SSH を使用して IPS 管理インターフェイスに接続します。変更していなければ、デフォルトの管理 IP アドレスは 192.168.1.2 です。デフォルトのユーザ名は cisco 、デフォルトのパスワードは cisco です。管理インターフェイスの詳細については、「管理アクセスに関する情報」を参照してください。

ステップ 2 IPS のマニュアルに従って IPS セキュリティ ポリシーを設定します。

IPS に関連するすべてのドキュメントを利用するには、 http://www.cisco.com/c/en/us/support/security/ips-4200-series-sensors/products-documentation-roadmaps-list.html にアクセスします。

ステップ 3 仮想センサーを設定する場合は、センサーの 1 つをデフォルトとして指定します。ASA のコンフィギュレーションで仮想センサー名が指定されていない場合は、デフォルト センサーが使用されます。

ステップ 4 ASA IPS モジュールの設定が完了したら、次のコマンドを入力して IPS ソフトウェアを終了します。

ASA IPS モジュールへのセッションを ASA から開始した場合は、ASA のプロンプトに戻ります。

次の作業

• マルチ コンテキスト モードの ASA の場合は、「セキュリティ コンテキストへの仮想センサーの割り当て」を参照してください。

• シングル コンテキスト モードの ASA の場合は、「ASA IPS モジュールへのトラフィックの誘導」を参照してください。

セキュリティ コンテキストへの仮想センサーの割り当て

ASA がマルチ コンテキスト モードにある場合、1 つまたは複数の IPS 仮想センサーを各コンテキストに割り当てることができます。このようにすると、トラフィックを ASA IPS モジュールに送信するようにコンテキストを設定するときに、そのコンテキストに割り当てられているセンサーを指定できます。そのコンテキストに割り当てられていないセンサーを指定することはできません。コンテキストにセンサーを割り当てない場合は、ASA IPS モジュール上で設定されているデフォルト センサーが使用されます。同じセンサーを複数のコンテキストに割り当てることができます。

（注） 仮想センサーを使用するためにマルチ コンテキスト モードを開始する必要はありません。シングル モードでトラフィック フローごとに異なるセンサーを使用できます。

前提条件

コンテキストの設定の詳細については、一般的な操作のコンフィギュレーション ガイドを参照してください。

手順の詳細

例

次に、sensor1 と sensor2 をコンテキスト A に、sensor1 と sensor3 をコンテキスト B に割り当てる例を示します。両方のコンテキストで、センサー名を「ips1」と「ips2」にマッピングしています。コンテキスト A では、sensor1 がデフォルト センサーとして設定されていますが、コンテキスト B ではデフォルトは設定されていないため、ASA IPS モジュールで設定されているデフォルトが使用されます。

次の作業

IPS セキュリティ ポリシーを設定するには各コンテキストに切り替えます（「ASA IPS モジュールへのトラフィックの誘導」で説明されています）。

ASA IPS モジュールへのトラフィックの誘導

この項では、ASA から ASA IPS モジュールに誘導するトラフィックを指定します。

前提条件

マルチ コンテキスト モードでは、各コンテキスト実行スペースでこれらの手順を実行します。コンテキストに変更するには、 changeto context context_name コマンドを入力します。

手順の詳細

モジュール上でのイメージのインストールおよび起動

モジュールに障害が発生して、モジュール アプリケーション イメージを実行できない場合は、TFTP サーバから（ハードウェア モジュールの場合）、またはローカル ディスク（ソフトウェア モジュールの場合）から、モジュール上に新しいイメージを再インストールできます。

（注） モジュール ソフトウェア内部では、イメージをインストールするために upgrade コマンドを使用しないでください。

前提条件

• ハードウェア モジュール：指定する TFTP サーバが、最大 60 MB のファイルを転送できることを確認してください。

（注） ネットワークとイメージのサイズに応じて、このプロセスは完了までに約 15 分間かかることがあります。

• ソフトウェア モジュール：この手順を実行する前に、イメージを ASA 内部フラッシュ（disk0）にコピーします。

（注） IPS ソフトウェアを disk0 にダウンロードする前に、フラッシュ メモリの最低 50% が空いていることを確認します。IPS をインストールするときに、IPS のファイル システム用に内部フラッシュ メモリの 50% が予約されます。

手順の詳細

モジュールのシャットダウン

モジュール ソフトウェアをシャットダウンするのは、コンフィギュレーション データを失うことなく安全にモジュールの電源をオフにできるように準備するためです。 注 ：ASA をリロードする場合は、モジュールは自動的にはシャットダウンされないので、ASA のリロード前にモジュールをシャットダウンすることを推奨します。モジュールをグレースフル シャットダウンするには、ASA CLI で次の手順を実行します。

手順の詳細

ソフトウェア モジュール イメージのアンインストール

ソフトウェア モジュール イメージおよび関連するコンフィギュレーションをアンインストールするには、次の手順を実行します。

手順の詳細

パスワードのリセット

モジュールのパスワードをデフォルトにリセットできます。ユーザ cisco のデフォルトのパスワードは cisco です。パスワードをリセットした後は、モジュール アプリケーションを使用してパスワードを独自の値に変更する必要があります。

モジュールのパスワードをリセットすると、モジュールがリブートします。モジュールのリブート中は、サービスを使用できません。

モジュールのパスワードをデフォルトの「cisco」にリセットするには、次の手順を実行します。

手順の詳細

モジュールのリロードまたはリセット

モジュールをリロードまたはリセットするには、ASA CLI で次のいずれかのコマンドを入力します。

手順の詳細

例

次に、 show module details コマンドの出力例を示します。この出力の内容は、SSC がインストールされている ASA に関する追加情報です。

ASA 5525-X に IPS SSP ソフトウェア モジュールがインストールされている場合の show module ips コマンドの出力例を次に示します。