FireSIGHT システム ユーザ ガイド バージョン 5.3.1

レイヤの共有

ライセンス：Protection

他の侵入ポリシーとユーザ設定可能なレイヤを共有できます。レイヤを共有した後にそのレイヤ内で設定を編集する場合、変更内容を確定すると共有レイヤを使用するすべてのポリシーが更新され、影響を受けるすべてのポリシーのリストが表示されます。作成したポリシーの共有レイヤのみ変更できます。

以下の図には、サイト固有のポリシーのソースとして機能するマスター侵入ポリシーの例が示されています。

図のマスター ポリシーには、Site A と Site B の侵入ポリシーに適用可能な設定を持つ全社的レイヤが含まれます。また、各ポリシーのサイト固有のレイヤも含まれます。たとえば、Site A には監視対象ネットワークに Web サーバがないため、保護したり、HTTP インスペクション プリプロセッサのオーバーヘッドを処理したりする必要はありませんが、両方のサイトで TCP ストリームの前処理が必要になる場合があります。この場合、両方のサイトで共有する全社的レイヤで TCP ストリーム処理を有効にし、Site A で共有するサイト固有のレイヤで HTTP Inspect プリプロセッサを無効にして、Site B で共有するサイト固有のレイヤで HTTP Inspect プリプロセッサを有効にできます。設定の調整が必要な場合、サイト固有のポリシーのより上位のレイヤで設定を編集することによって、各サイトのポリシーをさらに調整することもできます。

この例のマスター ポリシーでフラット化された設定値そのものがトラフィックを監視するのに役立つ訳ではありませんが、サイト固有のポリシーを設定および更新する際に時間が節約されるため、ポリシーのレイヤで活用することができます。

その他にも多くの高度なレイヤ設定が可能です。たとえば、企業、部門、ネットワーク、さらにはユーザごとにポリシーのレイヤを定義できます。また、1 番目のレイヤにプリプロセッサ設定、2 番目のレイヤにのその他の詳細設定、3 番目のレイヤにルール設定を含めることもできます。

共有レイヤの設定方法については、 「ポリシー レイヤの設定操作」 の表を参照してください。

ヒント 基本ポリシーが、共有するレイヤが作成されたカスタム ポリシーである場合、侵入ポリシーに共有レイヤを追加することはできません。変更を保存しようとすると、ポリシーに循環依存関係が含まれていることを示すエラー メッセージが表示されます。詳細については、「カスタム基本ポリシーの使用」を参照してください。

レイヤでのルールの使用

ライセンス：Protection

ユーザ設定可能なすべてのレイヤで、ルールのルール状態、イベント フィルタリング、動的状態、アラート、およびルール コメントを設定できます。変更を加えるレイヤにアクセスした後、そのレイヤの [Rules] ページの設定を、侵入ポリシーの [Rules] ページの設定と同じように追加します。レイヤの [Rules] ページで個々の設定を表示することも、[Rules] ページのポリシー ビューで有効な設定を表示することもできます。[Rules] ページのポリシー ビューのルール設定を変更する場合、ポリシーの最上位のユーザ設定可能なレイヤを変更します。レイヤのドロップダウン リストを使用して、別のレイヤにいつでも切り替えることができます。

次の表では、複数のレイヤで同じ種類の設定を構成した場合の結果について説明しています。

たとえば、あるレイヤでルール状態を [Drop and Generate Events] に設定し、それよりも上位のレイヤで [Disabled] に設定した場合、侵入ポリシーの [Rules] ページには、ルールが無効であることが示されます。

別の例として、あるレイヤでルールの送信元ベースの抑制を 192.168.1.1 に設定し、別のレイヤでそのルールの宛先ベースの抑制を 192.168.1.2 に設定した場合、[Rules] ページには、送信元アドレス 192.168.1.1 と宛先アドレス 192.168.1.2 に関するイベントを抑制する累積的な結果が示されます。抑制およびレートベースのルール状態の設定では、選択した各ルールの同じ種類の設定が、ルール状態がそのルールに対して設定された最初の下位レイヤまで累積的に組み合わせられることに注意してください。ルール状態が設定されているレイヤより下の設定は無視されます。

レイヤのビューでルールを変更するには、以下を行います。

アクセス：Admin/Intrusion Admin

ステップ 1 [Policies] > [Intrusion] > [Intrusion Policy] の順に選択します。

[Intrusion Policy] ページが表示されます。

ステップ 2 表示または編集するポリシーの横にある編集アイコン（ ）をクリックします。

別のポリシーに保存していない変更がある場合は、[OK] をクリックしてそれらの変更を破棄して続行します。別のポリシーでの未保存の変更の保存方法については、「侵入ポリシー変更のコミット」を参照してください。

[Policy Information] ページが表示されます。

ステップ 3 ナビゲーション パネルで [Policy Layers] を展開し、表示または編集するポリシー レイヤを展開します。

ステップ 4 表示または編集するポリシー レイヤの下の [Rules] をクリックします。

レイヤの [Rules] ページが表示されます。

表 「複数のレイヤでのルール設定」 のいずれかの設定を変更できます。

編集可能なレイヤから個々の設定を削除するには、そのレイヤの [Rules] ページでルール メッセージをダブルクリックして、ルールの詳細を表示します。削除する設定の横にある [Delete] をクリックして [OK] を 2 回クリックします。

マルチレイヤのルール設定の削除

ライセンス：Protection

[Rules] ページの侵入ポリシー ビューで 1 つ以上のルールを選択し、ポリシーの複数のレイヤから特定の種類のイベント フィルタ、動的状態、またはアラートを同時に削除できます。

システムは、すべての設定を削除するか、ルール状態がルールに対して設定されているレイヤに遭遇するまで、下位方向にある各レイヤの同じ種類の設定を削除します。ルール状態が設定されているレイヤに遭遇したら、そのレイヤから設定を削除し、それより下のすべてのレイヤは無視します。

共有レイヤまたは基本ポリシーで同じ種類の設定に遭遇したときに、ポリシーの最上位のレイヤが編集可能である場合、システムはそのルールの残りの設定およびルール状態をその編集可能なレイヤにコピーします。そうではない場合、ポリシーの最上位のレイヤが共有レイヤであれば、システムは新しい編集可能なレイヤをその共有レイヤの上に作成し、そのルールの残りの設定およびルール状態をその編集可能なレイヤにコピーします。

注 共有レイヤまたは基本ポリシーからルール設定を削除すると、下位レイヤまたは基本ポリシーにおけるこのルールへの変更は無視されます。下位レイヤまたは基本ポリシーにおける変更を無視しないようにするには、最上位のレイヤでルール状態を [Inherit] に設定します。詳細については、「ルール状態の設定」を参照してください。

[Rules] ページを使用して複数のレイヤの設定を削除するには、以下を行います。

アクセス：Admin/Intrusion Admin

ステップ 1 [Policies] > [Intrusion] > [Intrusion Policy] の順に選択します。

[Intrusion Policy] ページが表示されます。

ステップ 2 複数の設定を削除する侵入ポリシーの横にある編集アイコン（ ）をクリックします。

別のポリシーに保存していない変更がある場合は、[OK] をクリックしてそれらの変更を破棄して続行します。別のポリシーでの未保存の変更の保存方法については、「侵入ポリシー変更のコミット」を参照してください。

[Policy Information] ページが表示されます。

ステップ 3 侵入ポリシーの [Rules] ページにアクセスするには、境界線の上のナビゲーション パネルの上部にある [Rules] をクリックします。

ヒント また、任意のレイヤの [Rules] ページでレイヤのドロップダウン リストから [Policy] を選択するか、[Policy Information] ページの [Manage Rules] を選択することもできます。

侵入ポリシーの [Rules] ページが表示されます。デフォルトで、このページにはルールがメッセージのアルファベット順に表示されます。

ステップ 4 複数の設定を削除するルールを見つけます。次の選択肢があります。

• 現在の表示を並び替えるには、列見出しまたはアイコンをクリックします。ソートを反転させるには、再度クリックします。

• 左側のフィルタ パネルでキーワードまたは引数をクリックしてフィルタを構築します。詳細については、「侵入ポリシー内のルール フィルタ処理について」および「侵入ポリシー内のルール フィルタの設定」を参照してください。

ページが更新され、一致するルールがすべて表示されます。

ステップ 5 複数の設定を削除するルールを選択します。次の選択肢があります。

• 特定のルールを選択するには、そのルールの横にあるチェック ボックスをオンにします。

• 現在のリストのすべてのルールを選択するには、列の一番上にあるチェック ボックスを選択します。

ステップ 6 次の選択肢があります。

• ルールのすべてのしきい値を削除するには、[Event Filtering] > [Remove Thresholds] を選択します。表示される確認のポップアップ ウィンドウで [OK] をクリックします。

• ルールのすべての抑制を削除するには、[Event Filtering] > [Remove Suppressions] を選択します。表示される確認のポップアップ ウィンドウで [OK] をクリックします。

• ルールのすべてのレートベースのルール状態を削除するには、[Dynamic State] > [Remove Rate-Based Rule States] を選択します。表示される確認のポップアップ ウィンドウで [OK] をクリックします。

• ルールのすべての SNMP アラート設定を削除するには、[Alerting] > [Remove SNMP Alerts] を選択します。表示される確認のポップアップ ウィンドウで [OK] をクリックします。

システムは選択された設定を削除し、ルールの残りの設定をポリシーの最上位の編集可能なレイヤにコピーします。システムが残りの設定をコピーする方法に影響を与える条件については、この手順の概要を参照してください。

注 共有レイヤまたは基本ポリシーからルール設定を削除すると、下位レイヤまたは基本ポリシーにおけるこのルールへの変更は無視されます。下位レイヤまたは基本ポリシーにおける変更を無視しないようにするには、最上位のレイヤでルール状態を [Inherit] に設定します。詳細については、「ルール状態の設定」を参照してください。

ステップ 7 ポリシーの保存、編集の続行、変更の破棄を行うか、またはシステム キャッシュで変更をそのままにしながら終了します。詳細については、 「一般的な侵入ポリシー編集操作」 の表を参照してください。

推奨FireSIGHTレイヤの使用

ライセンス：Protection

ルール状態の推奨を生成した場合、その推奨に基づいてルール状態を自動的に変更するかどうかを選択できます。

推奨されたルール状態を使用することを選択すると、侵入ポリシーの基本レイヤのすぐ上に読み取り専用の組み込み FireSIGHT 推奨システム レイヤが追加または更新されます。それ以後、推奨されたルール状態を使用しないことを選択すると、FireSIGHT 推奨システム レイヤは削除されます。推奨を使用するかしないかを選択することによって、FireSIGHT 推奨レイヤの削除と復元を繰り返すことができますが、レイヤを手動で削除できないことに注意してください。

FireSIGHT 推奨レイヤを追加すると、ナビゲーション パネルの [Policy Layers] の下に FireSIGHT 推奨リンクが追加されます。そのリンクによって、FireSIGHT 推奨レイヤ ページの読み取り専用ビューに誘導されます。FireSIGHT 推奨レイヤ ページから、[Rules] ページの推奨でフィルタリングされたビューを読み取り専用モードで表示できます。[Rules] ページで、さらに読み取り専用の推奨をフィルタリングしたり、列で表示を並び替えたり、個々のルールの詳細を表示したりできます。[Rules] ページでのルールの使用の詳細については、「侵入ポリシー内のルールの管理」を参照してください。

FireSIGHT 推奨レイヤを追加すると、ナビゲーション パネルの FireSIGHT 推奨リンクの下に [Rules] のサブリンクも追加されます。[Rules] ルのサブリンクによって、FireSIGHT 推奨レイヤの [Rules] ページの読み取り専用画面へのアクセスが提供されます。このビューでは次の点に注意してください。

• 状態列にルール状態のアイコンがない場合、状態は基本ポリシーから継承されます。

• このビューまたは他の [Rules] ページ ビューの FireSIGHT 推奨列にルール状態のアイコンがない場合、このルールに対する推奨は存在しません。

注意すべき点として、FireSIGHT 推奨レイヤのルールに推奨がない場合、推奨が最後に生成されたときに、そのルールのオーバーヘッド評価は [Recommendation Threshold (By Rule Overhead)] の設定値よりも高くなりました。詳細については、「ルール オーバーヘッドについて」を参照してください。

詳細については、「FireSIGHT ルール状態推奨の管理」を参照してください。

詳細設定でのレイヤの使用

ライセンス：Protection

ナビゲーション パネルで [Advanced Settings] を選択すると、[Advanced Settings] ページに移動します。このページで侵入ポリシーの詳細設定を有効または無効にしたり、詳細設定の設定ページにアクセスしたりできます。[Advanced Settings] ページでは、侵入ポリシーのすべての詳細設定の有効な状態のサマリが示されます。たとえば、あるレイヤの [SSL Configuration] が [Disabled] に設定され、それより上位のレイヤで [Enabled] に設定されている場合、[Advanced Settings] ページには、[SSL Configuration] が [Enabled] に設定されているように表示されます。[Advanced Settings] ページで加えられる変更は、ポリシーの最上位のレイヤに表示されます。[Advanced Settings] ページでの詳細設定の使用の詳細については、「詳細設定の変更」を参照してください。

ナビゲーション パネルで [Policy Layers] を展開し、ユーザ設定可能なレイヤのいずれかを選択すると、そのレイヤの [Layer] サマリ ページに移動します。このページで詳細設定を有効または無効にしたり、レイヤの詳細設定の設定ページにアクセスしたりできます。レイヤの名前と説明を変更し、他の侵入ポリシーとレイヤを共有するかどうかを設定できます。詳細については、「レイヤの共有」を参照してください。

詳細設定についてその状態と設定を基本ポリシーまたは下位レイヤから継承する場合、状態を [Inherit] に設定します。[Advanced Settings] ページで操作するときに、[Inherit] の状態は表示されないことに注意してください。ナビゲーション パネルの [Policy Layers] の下のレイヤの名前を選択することによって、別のレイヤの [Layer] サマリ ページにいつでも切り替えることができます。

詳細設定を有効にすると、詳細設定の設定ページへのサブリンクがナビゲーション パネルのレイヤの名前の下に表示され、詳細設定の設定ページへの [Edit] リンクは、有効にした詳細設定の [Layer] サマリ ページに表示されます。レイヤ内の詳細設定を無効にするか、または [Inherit] に設定すると、詳細設定のサブリンクおよび [Edit] リンクは表示されなくなります。

無効にされている場合はまず有効にしてから、[Edit] をクリックすることによって、[Layer] サマリ ページから詳細設定の設定ページを表示できます。レイヤの詳細設定が有効な場合、ナビゲーション パネルの [Policy Layers] の下にある詳細設定の名前が付いたサブリンクをクリックすることによって、その設定ページを表示できます。

現在のレイヤ、またはそのレイヤの上下のレイヤの詳細設定の状態（有効または無効）を設定できます。レイヤの詳細設定の状態を設定すると、下位レイヤのその詳細設定の状態が上書きされます。あるレイヤで詳細設定が有効な場合、そのレイヤの設定は下位レイヤの詳細設定の構成を上書きします。

別のレイヤで設定された詳細設定の状態は、上位または下位のいずれのレイヤで設定されているかを示すため、色分けされます。[Advanced Settings] ページはすべての状態設定の複合ビューであるため、詳細設定の状態がレイヤの順序で設定されているかどうかを示すために色分けを使用しないことに注意してください。

システムは、設定が有効にされている最上位のレイヤの詳細設定の構成を使用します。設定を明示的に変更しなかった場合は、デフォルト設定が使用されます。たとえば、あるレイヤで DCE/RPC 設定を有効にして変更するものの、それより上位のレイヤで DCE/RPC 設定を有効にして変更しない場合、システムは上位レイヤのデフォルト設定を使用します。

ナビゲーション パネルで [Policy Layers] をクリックすることによって、詳細設定が有効なレイヤ、無効なレイヤ、および継承されたレイヤを表示できます。詳細については、「ユーザ レイヤの設定」を参照してください。

次の表に、侵入ポリシーのユーザ設定可能なレイヤの [Layer] サマリ ページで実行できる操作を示します。

レイヤのビューで詳細設定を表示または変更するには、以下を行います。

アクセス：Admin/Intrusion Admin

ステップ 1 [Policies] > [Intrusion] > [Intrusion Policy] の順に選択します。

[Intrusion Policy] ページが表示されます。

ステップ 2 表示または編集するポリシーの横にある編集アイコン（ ）をクリックします。

別のポリシーに保存していない変更がある場合は、[OK] をクリックしてそれらの変更を破棄して続行します。別のポリシーでの未保存の変更の保存方法については、「侵入ポリシー変更のコミット」を参照してください。

[Policy Information] ページが表示されます。

ステップ 3 ナビゲーション パネルで [Policy Layers] を展開し、表示または編集するレイヤの名前をクリックします。

レイヤの [Layer] サマリ ページが表示されます。

ステップ 4 必要に応じて、表 「[Layer] サマリ ページの操作」 の操作を実行できます。

ステップ 5 ポリシーの保存、編集の続行、変更の破棄を行うか、またはシステム キャッシュで変更をそのままにしながら終了します。詳細については、 「一般的な侵入ポリシー編集操作」 の表を参照してください。

ステップ 4 必要に応じて、表 「ポリシー レイヤの設定操作」 の操作を実行できます。

ステップ 5 ポリシーの保存、編集の続行、変更の破棄を行うか、またはシステム キャッシュで変更をそのままにしながら終了します。詳細については、 「一般的な侵入ポリシー編集操作」 の表を参照してください。