FireSIGHT システム ユーザ ガイド バージョン 5.3.1

インライン セットの表示

ライセンス：Protection

[Device Management] ページの [Inline Sets] タブには、デバイス上に設定済みのすべてのインライン セットのリストが表示されます。仮想デバイスまたは Sourcefire Software for X-Seriesで、バイパス モードになるようインライン セットを設定できないことに注意してください。「インライン セット テーブル ビューのフィールド」表には、各セットの要約情報が含まれています。

インライン セットの追加

ライセンス：Protection

[Device Management] ページの [Inline Sets] タブからインライン セットを追加できます。また、インライン インターフェイスを設定する際に、インライン セットを追加することもできます。

インライン セットにはインライン インターフェイス ペアだけを割り当てることができます。管理対象デバイスでインライン インターフェイスを設定する前にインライン セットを作成する必要がある場合は、空のインライン セットを作成し、あとでそれにインターフェイスを追加できます。

また、次の図に示すように、ネットワークで非同期ルーティングが使用される場合、複数のインターフェイス ペアを追加することもできます。

トラフィックがインバンドであるかアウトバンドであるかに応じて、異なるインライン インターフェイス ペアを介してネットワーク上のホストと外部ホストの間のトラフィックをルーティングするよう、ネットワークを設定することが可能です。インライン セットに 1 つのインターフェイス ペアだけを含めた場合、トラフィックの半分しか認識しないためにデバイスがネットワーク トラフィックを適切に分析できない可能性があります。

インライン セットを使用するデバイスでは、デバイス再起動後にパケットを転送するようソフトウェア ブリッジが自動的にセットアップされます。デバイスが再起動しているときには、実行中のソフトウェア ブリッジがありません。インライン セットでパイパス モードを有効にすると、デバイスの再起動中にハードウェア バイパスになります。その場合、システムが停止して再起動する際に、デバイスとのリンクの再ネゴシエーションが原因で数秒間のパケットが失われる可能性があります。ただし、Snort の再起動中にシステムはトラフィックを通過させます。

既存のインライン セットを編集するには、セットの横にある編集アイコン（ ）をクリックします。

インライン セットを追加する方法：

アクセス：Admin/Network Admin

ステップ 1 [Devices] > [Device Management] を選択します。

[Device Management] ページが表示されます。

ステップ 2 インライン セットを追加するデバイスの横にある編集アイコン（ ）をクリックします。

[Interfaces] タブが表示されます。

ステップ 3 [Inline Sets] をクリックします。

[Inline Sets] タブが表示されます。

ステップ 4 [Add Inline Set] をクリックします。

[Add Inline Set] ポップアップ ウィンドウが表示されます。

ステップ 5 [Name] フィールドに、インライン セットの名前を入力します。英数字とスペースを使用できます。

ステップ 6 インライン セットに追加するインライン インターフェイス ペアを選択する方法として、次の 2 つのオプションがあります。

• [Interfaces] の横で、1 つ以上のインライン インターフェイス ペアを選択し、選択項目の追加アイコン（ ）をクリックします。複数のインライン インターフェイス ペアを選択するには、Ctrl キーまたは Shift キーを使用します。

• すべてのインターフェイス ペアをインライン セットに追加するには、「すべてを追加」アイコン（ ）をクリックします。

ヒント インライン セットからインライン インターフェイスを削除するには、1 つ以上のインライン インターフェイス ペアを選択して、選択項目の削除アイコン（）をクリックします。インライン セットからすべてのインターフェイス ペアを削除するには、「すべてを削除」アイコン（）をクリックします。また、[Interfaces] タブでペアのいずれかのインターフェイスを無効にすると、ペアも除去されます。

ステップ 7 [MTU] フィールドに最大伝送単位（MTU）を入力します。この値は、許容されるパケット最大サイズを指定します。

MTU を設定できる範囲は、FireSIGHT システム デバイスのモデルとインターフェイス タイプに応じて異なる場合があります。詳細については、「インターフェイス MTU の設定」を参照してください。

ステップ 8 オプションで、[Failsafe] を選択すると、トラフィックは検出をバイパス（迂回）してデバイスを引き続き通過することを許可されます。管理対象デバイスは、内部トラフィック バッファを監視し、それらのバッファが満杯である場合は検出をバイパスします。

なお、シリーズ 3 および 3D9900 のデバイスでのみ、このオプションを使用できます。

ステップ 9 インターフェイスでの障害発生時にインライン インターフェイスのリレーがどのように応答するかを設定するために、次のようにバイパス モードを選択します。

• トラフィックがインターフェイスを通過し続けることを許可するには、[Bypass] を選択します。

• トラフィックをブロックするには、[Non-Bypass] を選択します。

注 バイパス モードでは、アプライアンスのリブート時に少数のパケットが失われることがあります。また、仮想デバイスまたは Sourcefire Software for X-Series でのインライン セット用、8000 シリーズ デバイスでの非バイパス NetMod 用、および 3D7115 または 3D7125 デバイスの SFP モジュール用にバイパス モードを設定できないことに注意してください。

ステップ 10 [OK] をクリックします。

インライン セットが追加されます。デバイス設定を適用するまでは、変更内容が有効にならないことに注意してください（詳しくは「デバイスへの変更の適用」を参照してください）。

ヒント タップ モード、リンク ステート伝達、トランスペアレント インライン モードなど、インライン セットの詳細設定については、「インライン セットの詳細オプションの設定」を参照してください。

インライン セットの詳細オプションの設定

ライセンス：Protection

サポート対象デバイス：機能に応じて異なる

インライン セットを設定する際に考慮できるオプションがいくつかあります。各オプションの詳細については、後述の項を参照してください。

タップ モード

サポート対象デバイス：シリーズ 3、3D9900

3D9900 およびシリーズ 3 デバイスでは、インライン（またはフェール オープン付きインライン）インターフェイス セットを作成するときにタップ モードを使用できます。

タップ モードの場合、デバイスはインラインで展開されますが、パケットがデバイスを通過する代わりに各パケットのコピーがデバイスに送信され、ネットワーク トラフィック フローは影響を受けません。パケット自体ではなくパケットのコピーを処理するため、ドロップするように設定したルール、および置換キーワードを使用するルールはパケット ストリームに影響を与えません。ただし、これらのタイプのルールでは、トリガーされた侵入イベントが生成され、侵入イベントのテーブル ビューには、トリガーの原因となったパケットがインライン展開でドロップされたことが示されます。

インライン展開されたデバイスでタップ モードを使用することには、利点があります。たとえば、デバイスがインラインであるかのようにデバイスとネットワークの間の配線をセットアップし、デバイスが生成するタイプの侵入イベントを分析することができます。その結果に基づいて、効率性に影響を与えることなく最適なネットワーク保護を提供するように、侵入ポリシーを変更して廃棄ルールを追加できます。デバイスをインラインで展開する準備ができたら、タップ モードを無効にして、デバイスとネットワークの間の配線を再びセットアップすることなく、不審なトラフィックをドロップし始めることができます。

同じインライン セットでこのオプションと厳密な TCP 強制を有効にすることはできないことに注意してください。

リンク ステートの伝搬

サポート対象デバイス：シリーズ 2、シリーズ 3

リンク ステート伝播は、インライン セットのペアの両方で状態を追跡できるよう、バイパス モードで設定されるインライン セットの機能です。

リンク ステート伝播によって、インライン セットのインターフェイスの 1 つが停止した場合、インライン インターフェイス ペアのもう 2 番目のインターフェイスも自動的に停止されます。停止したインターフェイスが再び起動すると、2 番目のインターフェイスも自動的に起動します。つまり、1 つのインターフェイスのリンク ステートが変化すると、それに一致するよう他方のインターフェイスのリンク ステートが自動的に変更されます。リンク ステート伝搬は、銅線および光ファイバの両方の設定可能なバイパス インターフェイスで使用できます。

注 リンク ステート伝達がトリガーされると、シリーズ 2 デバイス（3D9900 を除く）でフェール オープンとして設定された光ファイバ インライン セットは、ハードウェア バイパス モードをアクティブ化します。この場合、関連するインターフェイス カードのバイパスは自動的に終了しません。バイパス モードを手動で解除する必要があります。インライン セットの光ファイバ インターフェイスおよびハードウェア バイパスの詳細については、「フェール オープンに設定された光ファイバ インライン セットでのバイパス モードの除去」を参照してください。

障害状態のネットワーク デバイスを避けてトラフィックを自動的に再ルーティングするようルータが設定された復元力の高いネットワーク環境では、リンク ステート伝播が特に有効です。

クラスタ化されたデバイスで設定されたインライン セットのリンク ステートの伝達を無効にすることはできません。

仮想デバイスと Sourcefire Software for X-Series では、リンク ステートの伝達がサポートされないことに注意してください。

トランスペアレント インライン モード

トランスペアレント インライン モード オプションを使用すると、デバイスは「Bump In The Wire」として機能できます。これは、送信元/宛先に関係なく、認識されるすべてのネットワーク トラフィックをデバイスが転送することを意味します。シリーズ 3 および 3D9900 のデバイスではこのオプションを無効にできないことに注意してください。

厳密な TCP 強制

サポート対象デバイス：シリーズ 3

最大の TCP セキュリティを実現するには、厳密な強制を有効にできます。この機能は、3 ウェイ ハンドシェイクが完了していない接続をブロックします。さらに、厳密な強制では次のものもブロックされます。

• 3 ウェイ ハンドシェイクが完了していない接続に関する非 SYN TCP パケット

• レスポンダが SYN-ACK を送信する前の TCP 接続上のイニシエータからの非 SYN/RST パケット

• SYN 後かつセッション確立前の TCP 接続上のレスポンダからの非 SYN-ACK/RST パケット

• イニシエータまたはレスポンダからの、確立済みの TCP 接続上の SYN パケット

シリーズ 2、仮想デバイス、および Sourcefire Software for X-Series では、このオプションがサポートされないことに注意してください。また、同じインライン セットで、このオプションとタップ モードを有効にすることはできません。

高度なインライン セット オプションを設定する方法：

アクセス：Admin/Network Admin

ステップ 1 [Devices] > [Device Management] を選択します。

[Device Management] ページが表示されます。

ステップ 2 インライン セットを編集するデバイスの横にある編集アイコン（ ）をクリックします。

[Interfaces] タブが表示されます。

ステップ 3 [Inline Sets] をクリックします。

[Inline Sets] タブが表示されます。

ステップ 4 編集するインライン セットの横にある編集アイコン（ ）をクリックします。

[Edit Inline Set] ポップアップ ウィンドウが表示されます。

ステップ 5 [Advanced] をクリックします。

[Advanced] タブが表示されます。

ステップ 6 オプションで、シリーズ 3 および 3D9900 デバイスのインライン インターフェイスでタップ モードを有効にするために [Tap Mode] を選択します。

仮想デバイス、Sourcefire Software for X-Series、および シリーズ 2 デバイス（3D9900 を除く）ではこのオプションがサポートされないことに注意してください。さらに、同じインライン セットで、[Tap Mode] と [Strict TCP Enforcement] を有効にすることはできません。

ステップ 7 オプションで、シリーズ 2 またはシリーズ 3 デバイスで [Propagate Link State] を選択します。停止したネットワーク デバイスを避けてトラフィックを再ルーティングする機能がネットワークのルータに備わっている場合、このオプションが特に便利です。

クラスタ化されたデバイスで設定されたインライン セットのリンク ステートの伝達を無効にすることはできません。

仮想デバイスおよび Sourcefire Software for X-Series では、このオプションがサポートされないことに注意してください。

ステップ 8 オプションで、シリーズ 3 デバイスで厳密な TCP 強制を有効にするために [Strict TCP Enforcement] を選択します。

シリーズ 2、仮想デバイス、および Sourcefire Software for X-Series では、このオプションがサポートされないことに注意してください。また、同じインライン セットで、[Strict TCP Enforcement] と [Tap Mode] を有効にすることはできません。

ステップ 9 オプションで、[Transparent Inline Mode] を選択します。

シリーズ 3 および 3D9900 のデバイスではこのオプションを無効にできないことに注意してください。

ステップ 10 [OK] をクリックします。

変更が保存されます。デバイス設定を適用するまでは、変更内容が有効にならないことに注意してください（詳しくは「デバイスへの変更の適用」を参照してください）。

フェール オープンに設定された光ファイバ インライン セットでのバイパス モードの除去

ライセンス：Protection

サポート対象デバイス：シリーズ 2（3D9900 を除く）

フェール オープンに設定された光ファイバ インライン セットを持つシリーズ 2 デバイスでリンク ステート伝達が有効になっている場合、そのデバイスがバイパス モードになると、すべてのネットワーク トラフィックは分析されずにインライン セットを通過します。リンクが復元した場合、フェール オープンに設定されているほとんどの光ファイバ インライン セットは、自動的にはバイパスから戻りません。コマンド ライン ツールを使用して、インライン セットのバイパス モードを強制的に解除できます。

このツールは、フェール オープンに設定された光ファイバ インライン インターフェイスを持つインライン セットに対して機能します。フェール オープンに設定された銅線インライン インターフェイスを持つインライン セットでこのツールを使用する必要はありません。

注 デバイス上でフェール オープンに設定されたインライン セットに問題がある場合は、サポート担当に連絡してください。

デバイス上で、フェール オープンに設定された光ファイバ インライン セットのバイパス モードを強制的に解除する方法：

アクセス：Admin/Network Admin

ステップ 1 デバイスでターミナル ウィンドウを開き、admin ユーザとしてサインインします。

ステップ 2 コマンドラインに次のように入力します。

パスワードを求めるプロンプトが表示されます。

ステップ 3 インターフェイスを切り替えてバイパス モードを解除すると、デバイスがトラフィックを分析していることを示すメッセージが syslog に表示されます。次に例を示します。

インライン セットの削除

ライセンス：Protection

インライン セットを削除すると、そのセットに割り当てられたインライン インターフェイスを別のセットに含めることができるようになります。それらのインターフェイスは削除されません。

インライン セットを削除する方法：

アクセス：Admin/Network Admin

ステップ 1 [Devices] > [Device Management] を選択します。

[Device Management] ページが表示されます。

ステップ 2 インライン セットを削除するデバイスの横にある編集アイコン（ ）をクリックします。

[Interfaces] タブが表示されます。

ステップ 3 [Inline Sets] をクリックします。

[Inline Sets] タブが表示されます。

ステップ 4 削除するインライン セットの横にある削除アイコン（ ）をクリックします。

ステップ 5 プロンプトが表示されたら、インライン セットを削除することを確認します。

インライン セットが削除されます。デバイス設定を適用するまでは、変更内容が有効にならないことに注意してください（詳しくは「デバイスへの変更の適用」を参照してください）。