デバイス、ライセンス、ポリシーの管理

• 表、グラフ、図に表示されるイベント情報と状況情報
• ヘルスとパフォーマンスのモニタリング
• 外部通知とアラート
• 脅威へリアルタイムに対応するための相関付け、侵害の痕跡、および修復の機能

カスタムもしくはテンプレートベースのレポート作成

多くの物理防御センターでは、高可用性（冗長）機能により操作の継続性が保証されています。

組織のホスト、オペレーティング システム、アプリケーション、ユーザ、ファイル、ネットワーク、および脆弱性に関する詳細情報を収集する

• ネットワークベースのさまざまな基準、およびアプリケーション、ユーザ、URL、IP アドレスの評価、および侵入やマルウェアの調査結果を含めた他の基準によって、ネットワーク トラフィックをブロックまたは許可する
• 設定可能なバイパス インターフェイス、高速パス ルール、および厳密な TCP の適用の他に、スイッチング、ルーティング、DHCP、NAT、VPN の機能を備えている

クラスタリング（冗長性）により操作の継続性を保証する、スタッキングにより複数のデバイスのリソースを組み合わせることができる

シリーズ 2 のアプライアンス

• シリーズ 3 のアプライアンス
• 仮想アプライアンス
• X-シリーズの Sourcefire ソフトウェア
• バージョン 5.3 で配布されるアプライアンス

アプライアンスのモデル別のサポートされる機能

シリーズ 2 のアプライアンス

シリーズ 2 は Sourcefire の物理アプライアンスの 2 番目のシリーズです。リソースとアーキテクチャの制限により、シリーズ 2 のデバイスは、Sourcefire 3D System の一部の機能セットしかサポートしていません。

Sourcefire では新しい シリーズ 2 のアプライアンスを出荷していませんが、シリーズ 2 デバイスおよび防御センターをバージョン 5.3 に再イメージングすることができます。再イメージングを実行すると、アプライアンス上の すべての 設定およびイベント データが失われます。詳細については、『 Sourcefire 3D System Installation Guide 』を参照してください。

バージョン 5.3 を実行している場合、シリーズ 2 のデバイスは 保護ライセンスに関連付けられているほとんどの機能（侵入検知および防御、ファイル制御、基本的なアクセス制御など）を自動的に備えています。ただし、シリーズ 2 のデバイスはセキュリティ インテリジェンス フィルタリング、高度なアクセス制御、または高度なマルウェア対策は実行できません。また、シリーズ 2 のデバイスでライセンスを取得した他の機能を有効にすることもできません。高速パス ルール、スタッキング、およびタップ モードをサポートしている 3D9900 を除いて、シリーズ 2 のデバイスは、シリーズ 3 のデバイスに関連付けられているハードウェアベースの機能（スイッチング、ルーティング、NAT など）をサポートしていません。

バージョン 5.3、DC1000、および DC3000 シリーズ 2 防御センターは、Sourcefire 3D System のすべての機能をサポートしていますが、DC500 には、制限された機能のみ付随しています。

シリーズ 3 のアプライアンス

シリーズ 3 はSourcefire の物理アプライアンスの 3 番目のシリーズです。すべての 7000 シリーズ および8000 シリーズ のデバイスはシリーズ 3 のアプライアンスです。8000 シリーズ のデバイスはより強力で、7000 シリーズ のデバイスがサポートしていない機能をサポートしています。

仮想アプライアンス

64 ビットの仮想防御センターとデバイスを、VMware ESXi および VMware vCloud Director ホスティング環境でホストすることができます。仮想防御センターは最大 25 個の物理または仮想デバイスを管理することが可能で、物理防御センターは仮想デバイスを管理することが可能です。

インストールおよび適用されているライセンスに関係なく、仮想アプライアンスはシステムのハードウェアベースの機能（冗長性、リソース共有、スイッチング、ルーティングなど）をサポートしません。また、仮想デバイスには Web インターフェイスがありません。

X-シリーズの Sourcefire ソフトウェア

Crossbeam プラットフォーム上でソフトウェアベースの X-シリーズの Sourcefire ソフトウェア をホストすることができます。これは仮想デバイスと類似の機能を備えています。仮想デバイスと同様に、X-シリーズの Sourcefire ソフトウェア には Web インターフェイスがありません。

インストールおよび適用されているライセンスに関係なく、X-シリーズの Sourcefire ソフトウェア はハードウェアベースの機能（冗長性、リソースの共有、スタッキング、クラスタリング、スイッチング、ルーティング、VPN、NAT など）をサポートしません。

Sourcefire 3D System を使用して冗長性を設定することはできませんが、X-シリーズの Sourcefire ソフトウェアのパッケージをインストールするときに冗長性を設定することができます。詳細については、『 Sourcefire Software for X-Series Installation Guide 』を参照してください。

バージョン 5.3 で配布されるアプライアンス

以下の表は、Sourcefire が Sourcefire 3D System のバージョン 5.3 で配布するアプライアンスについて示しています。

Sourcefire では新しい シリーズ 2 のアプライアンスを出荷していませんが、シリーズ 2 デバイスおよび防御センターをバージョン 5.3 に再イメージングすることができます。再イメージングを実行すると、アプライアンス上の すべての 設定およびイベント データが失われます。詳細については、『 Sourcefire 3D System Installation Guide 』を参照してください。

防御センター バージョン 4.10.3 または 3D Sensor の特定の設定とイベント データを、防御センター バージョン 5.2 へ移行し、その後でバージョン 5.3 にアップグレードすることができます。詳細については、『 Sourcefire 3D System Migration Guide 』でバージョン 5.2 を参照してください。ガイドおよび移行スクリプトの入手については、Sourcefire のサポートへお問い合わせください。

X-シリーズの Sourcefire ソフトウェア には、Crossbeam プラットフォームに固有のコマンド ライン インターフェイスがあります。ユーザはこれを使用して冗長性やロードバランシング、あるいはその両方を設定することができます。詳細については、『 Sourcefire Software for X-Series Installation Guide 』を参照してください。

防御センター高可用性

操作の継続性を確保するために、防御センターの 高可用性 機能を使用して、冗長な DC1000、DC1500、DC3000、または DC3500 の防御センターでデバイスを管理するよう指定することができます。イベント データは、管理対象デバイスから両方の防御センターへストリームされます。いくつかの設定要素は、両方の防御センターで保持されます。一方の防御センターで障害が発生した場合、他方の防御センターの使用を中断せずにネットワークを監視することができます。

デバイスのスタッキング

デバイスのスタッキング では、1 つのスタック構成内で 2 ～ 4 個の物理デバイスを接続することにより、ネットワーク セグメントで検査されるトラフィックの量を増やすことができます。スタック型の構成を確立する場合は、スタックされている各デバイスのリソースを、共有している 1 つの構成に統合します。

デバイスのクラスタリング

デバイスのクラスタリング （デバイスの高可用性とも呼ばれる）では、2 つ以上の シリーズ 3 デバイスまたはスタック間でのネットワーキング機能および設定データの冗長性を確立することができます。2 つ以上のピア デバイスまたはスタックをクラスタリングすると、ポリシーの適用、システムの更新、および登録について 1 つの論理システムが生成されます。デバイスのクラスタリングを使用して、システムは手動または自動でフェイルオーバーを実現することが可能です。

ほとんどの場合には、Sourcefire Redundancy Protocol（SFRP）を使用することによって、デバイスをクラスタリングせずにレイヤ 3 の冗長性を実現できます。SFRP では、指定した IP アドレスに対する冗長なゲートウェイとしてデバイスを機能させることができます。ネットワークの冗長性では、2 つ以上のデバイスまたはスタックが同じネットワーク接続を提供し、ネットワーク上の他のホストに対する接続性を保証するよう設定することができます。

X-シリーズの Sourcefire ソフトウェア の冗長性

Sourcefire 3D System を使用して X-シリーズの Sourcefire ソフトウェア をクラスタ化することはできませんが、X-シリーズの Sourcefire ソフトウェア パッケージをインストールするときに冗長性を設定することができます。詳細については、『 Sourcefire Software for X-Series Installation Guide 』を参照してください。

スイッチング

複数のネットワーク セグメントの間でパケットのスイッチングが可能になるように、レイヤ 2 の展開で Sourcefire 3D System を設定することができます。レイヤ 2 の展開では、スタンドアロンのブロードキャスト ドメインとして動作するよう、管理対象デバイス上でスイッチド インターフェイスおよび仮想スイッチを設定します。仮想スイッチは、ホストの MAC アドレスを使用してパケットの送信先を決定します。

ルーティング

複数のインターフェイス間でトラフィックをルーティングするように、レイヤ 3 の展開で、Sourcefire 3D System を設定することができます。レイヤ 3 の展開では、トラフィックを受信および転送するように、管理対象デバイス上でルーテッド インターフェイスと仮想ルータを設定します。システムは宛先の IP アドレスに従ってパケットの転送を判断することによって、パケットをルーティングします。ルータは転送基準に基づいて発信インターフェイスから宛先を取得し、アクセス コントロール ルールは、適用するセキュリティ ポリシーを指定します。

仮想ルータを設定するときに、スタティック ルートを定義できます。また、Routing Information Protocol（RIP）およびOpen Shortest Path First（OSPF）のダイナミック ルーティング プロトコルを設定することができます。スタティック ルートと RIP、またはスタティック ルートと OSPF の組み合わせを設定することもできます。ユーザは、設定するそれぞれの仮想ルータに対して DHCP リレーを設定できます。

Sourcefire アプライアンスの設定で仮想スイッチと仮想ルータの両方を使用する場合は、それらの 2 つの間でトラフィックをブリッジするように関連付けられているハイブリッド インターフェイスを設定できます。これらのユーティリティはトラフィックを分析し、そのタイプと適切な応答（ルート、スイッチ、またはそれ以外）を判断します。

NAT

レイヤ 3 の展開で、ネットワーク アドレス変換（NAT）を設定できます。内部サーバを外部ネットワークに公開することも、内部ホストまたはサーバを外部アプリケーションに接続できるようにすることも可能です。また、IP アドレスのブロックを使用するか、IP アドレスおよびポート変換の制限付きのブロックを使用することにより、外部ネットワークからプライベート ネットワーク アドレスを隠すよう、NAT を設定することもできます。

VPN

バーチャル プライベート ネットワーク（VPN）は、インターネットや他のネットワークなどのパブリック ソースを介したエンドポイント間でセキュアなトンネルを確立するネットワーク接続です。シリーズ 3 デバイスの仮想ルータ間で安全な VPN トンネルを構築するよう、Sourcefire 3D System を設定することができます。

すべてのトラフィックをネットワークに入ることができないようにブロックする

• ネットワークに入るすべてのトラフィックを詳細な検査なしで信頼する
• すべてのトラフィックがネットワークに入ることを許可し、ネットワーク ディスカバリ ポリシーのみを使用してトラフィックを検査する

すべてのトラフィックがネットワークに入ることを許可し、侵入およびネットワーク ディスカバリ ポリシーを使用してトラフィックを検査する

アクセス制御ポリシーにアクセス制御ルールを含めて、対象のデバイスがトラフィックをどのように処理するか（簡単な IP アドレスのマッチングから、異なるユーザ、アプリケーション、ポート、および URL が関与する複雑なシナリオまで）、より詳しく定義することができます。それぞれのルールについて、ユーザはルールの アクション 、つまり侵入またはファイル ポリシーと一致するトラフィックを信頼、監視、ブロック、または検査するかどうかを指定します。

それぞれのアクセス制御ポリシーについてカスタム HTML ページを作成することができます。このページは、システムが HTTP 要求をブロックするときに表示されます。オプションで、ユーザに警告するページを表示することができますが、ユーザはボタンをクリックして最初に要求されたサイトの表示を継続できるようにすることも可能です。

アクセス制御の一部として、セキュリティ インテリジェンス機能により、トラフィックがアクセス制御ルールによって分析される前に特定の IP アドレスをブラックリストに登録（トラフィックの入出を拒否）することができます。システムで地理情報をサポートしている場合は、検出された送信元および宛先の国および大陸に基づいて、トラフィックをフィルタすることもできます。

アクセス制御には、侵入の検知および防御、ファイル コントロール、および高度なマルウェア防御が含まれています。詳細については、次の項を参照してください。

プロトコル ヘッダー値、ペイロードの内容、特定のパケット サイズの特性を検査するルール

• FireSIGHT の推奨事項に基づいたルール状態の設定
• プリプロセッサやその他の検出、パフォーマンス機能などの詳細設定

プリプロセッサのルール（これにより、関連付けられているプリプロセッサおよびプリプロセッサのオプションについてイベントを生成できる）

ファイル制御

ファイル制御 により、管理対象デバイスは、ユーザが特定のアプリケーション プロトコルを介して特定のタイプのファイルをアップロード（送信）またはダウンロード（受信）するのを検出およびブロックすることができます。ファイル制御をアクセス制御設定全体の一部として設定することができます。アクセス制御ルールに関連付けられているファイル ポリシーは、ルールの条件に一致するネットワーク トラフィックを検査します。

ネットワークベースの高度なマルウェア防御（AMP）

ネットワークベースの 高度なマルウェア防御 （AMP）を使用して、システムはネットワーク トラフィックでいくつかのファイル タイプ（PDF、Microsoft Office の多数のドキュメント、その他のタイプなど）でマルウェアを検査することができます。マルウェアが検出されると、管理対象デバイスはこれらのファイルを手動で分析するためにハード ドライブまたはマルウェアのストレージ パックに保存することができます。デバイスがファイルを保存するかどうかに関係なく、デバイスは 動的分析 のためにファイルを Sourcefire のクラウドへ送信することが可能です。また、防御センターは以下の結果に基づいて、ファイルの性質を割り当てます。

FireAMP の統合

FireAMP は Sourcefire のエンタープライズクラスの高度なマルウェア分析および防御ソリューションで、高度なマルウェアの発生、高度で継続的な脅威、および標的型攻撃を検出、認識、ブロックします。

組織に FireAMP のサブスクリプションがある場合は、個々のユーザが自身のコンピュータおよびモバイル デバイス（ エンドポイント とも呼ばれる）に FireAMP Connector をインストールします。これらの軽量なエージェントは Sourcefire クラウドと通信し、これが防御センターと通信します。防御センターをクラウドに接続するように設定した後で防御センターの Web インターフェイスを使用して、組織のエンドポイントでのスキャン、検出、および検疫の結果として生成されたエンドポイントベースのマルウェア イベントを表示することができます。

FireAMP ポータル （ http://amp.sourcefire.com/ ）を使用して、FireAMP の展開を設定します。ポータルは、マルウェアをすばやく特定および検疫するうえで有用です。ユーザはマルウェアを発生時に特定し、それらのトラジェクトリを追跡して影響を把握し、正常にリカバリする方法を学習することができます。FireAMP を使用してカスタム保護を作成する、グループ ポリシーに基づいて特定のアプリケーションの実行をブロックする、カスタム ホワイトリストを作成する、といったことも可能です。

ネットワーク ファイルのトラジェクトリ

ネットワーク ファイルのトラジェクトリ機能により、ネットワークにおけるファイルの伝送経路を追跡することができます。システムは SHA-256 ハッシュ値を使用してファイルを追跡するため、ファイルを追跡するには、システムで以下のいずれかの処理を行う必要があります。

eStreamer

Event Streamer（eStreamer）では、Sourcefire のアプライアンスからカスタム開発のクライアント アプリケーションへ、いくつかの種類のイベント データをストリームすることができます。クライアント アプリケーションを作成したら、ユーザはそれを eStreamer サーバ（防御センターまたは管理対象デバイス）に接続し、eStreamer サービスを開始して、データのやりとりを始めることができます。

eStreamer の統合ではカスタム プログラミングが必要ですが、これによりユーザはアプライアンスの特定のデータを要求することができます。たとえば、ネットワーク管理アプリケーションの 1 つにネットワーク ホスト データを表示する場合、防御センターからホストの重要度または脆弱性のデータを取得し、その情報を表示に追加するためのプログラムを記述することができます。

外部データベースのアクセス

データベース アクセス機能により、JDBC SSL 接続をサポートしているサードパーティのクライアントを使用して、Sourcefire 防御センターのいくつかのデータベース テーブルに対しクエリを実行することができます。

Crystal Reports、Actuate BIRT、JasperSoft iReport などの業界標準のレポート作成ツールを使用してクエリを作成し、送信することができます。また、独自のカスタム アプリケーションを設定して Sourcefire データをクエリすることもできます。たとえば、侵入およびディスカバリ イベント データについて定期的にレポートしたり、アラート ダッシュボードをリフレッシュしたりするサーブレットを構築することが可能です。

ホスト入力

ホスト入力機能では、スクリプトまたはコマンドライン ファイルを使用してサードパーティのソースからデータをインポートすることにより、ネットワーク マップの情報を増やすことができます。

Web インターフェイスにもいくつかのホスト入力機能があります。これらの機能では、オペレーティング システムまたはアプリケーション プロトコルの識別情報を変更し、脆弱性を有効化または無効化し、ネットワーク マップからさまざまな項目（クライアントやサーバ ポーとなど）を削除することができます。

修復

システムには API が含まれており、ユーザはこれを使用して 修復 を作成することができます。ネットワークの条件が、関連付けられている相関ポリシーまたはコンプライアンス ホワイトリストに違反したときに防御センターが自動的に修復を起動できます。これにより、ユーザが攻撃に即時に対処できない場合でも攻撃の影響を自動的に緩和でき、またシステムが組織のセキュリティ ポリシーに準拠し続けるようにすることができます。ユーザが作成する修復のほかに、防御センターにはいくつかの事前定義された修復モジュールが付属しています。

FireSIGHT

FireSIGHT ライセンスは防御センターに含まれており、ホスト、アプリケーション、およびユーザ ディスカバリの実行に必要です。防御センターでのFireSIGHT ライセンスは、防御センターとその管理対象デバイスで監視可能なホストおよびユーザの数、ユーザ制御を実行ために使用可能なユーザの数を決定します。

防御センターが以前にバージョン 4.10.x を実行していた場合は、FireSIGHT ライセンスの代わりに古い RNA Host および RUA User ライセンスを使用できる可能性があります。

保護

保護ライセンスでは、管理対象デバイスで侵入の検出および防御、ファイル制御、セキュリティ インテリジェンスのフィルタリングを実行することができます。

制御

制御ライセンスでは、管理対象デバイスでユーザおよびアプリケーションの制御を実行することができます。また、デバイスがスイッチングおよびルーティング（DHCP リレーを含む）や NAT を実行したり、デバイスおよびスタックをクラスタ化したりできます。制御ライセンスには保護ライセンスが必要です。

URL フィルタリング

URL フィルタリング ライセンスでは、管理対象デバイスが定期的に更新されるクラウドベースのカテゴリおよびレピュテーション データを使用して、監視対象ホストが要求した URL に基づいて、ネットワークを通貨できるトラフィックを判別できます。URL フィルタリング ライセンスには保護ライセンスが必要です。

マルウェア

マルウェア ライセンスでは、管理対象デバイスがネットワークベースの高度なマルウェア防御（AMP）を実行できます。これは、ネットワーク上で転送されるファイルに含まれるマルウェアを検出、取得、およびブロックし、動的な分析のためにこれらのファイルを送信することができる機能です。また、ネットワーク上で転送されるファイルを追跡するトラジェクトリを表示することもできます。マルウェア ライセンスには保護ライセンスが必要です。

VPN

VPN ライセンスでは、Sourcefire の管理対象デバイスの仮想ルータ間で安全な VPN トンネルを構築することができます。VPN ライセンスには保護および制御ライセンスが必要です。

ライセンス付きの機能の多くは追加機能であるため、このドキュメントでは、各機能で最も必要なライセンスについてのみ記載しています。たとえば、ある機能で FireSIGHT、保護、および制御のライセンスが必要な場合、制御のみが記載されています。

ライセンス文の "または" という語は、この項に記載されている機能を使用するには特定のライセンスが必要であるが、追加のライセンスで機能を追加することができることを示しています。たとえば、あるファイル ポリシーで、一部のファイル ルール アクションには保護ライセンスが必要であり、その他のファイル ルール アクションではマルウェア ライセンスが必要であるとします。この場合、そのファイル ルールの説明のライセンス文には、"保護またはマルウェア" と示されます。

アーキテクチャとリソースの制限により、すべての管理対象デバイスにすべてのライセンスが適用できるわけではないことに注意してください。一般に、デバイスがサポートしていない機能のライセンスは付与できません。 アプライアンスのモデル別のサポートされる機能を参照してください。ユーザが使用できる機能に対してライセンスがどのような影響を与えるかについて、および古い RNA Host および RUA User ライセンスの使用についての詳細は、『 Sourcefire 3D System User Guide 』の「Understanding Licensing」を参照してください。

カスタム ロールを持っているユーザは、事前定義されたロールとは異なる権限セットを持つことができます。事前定義のロールを使用して、ある手順に対するアクセス要件を示す場合は、類似の権限を持つカスタム ロールもアクセス権限を持っています。カスタム ユーザ ロールの詳細については、『 Sourcefire 3D System User Guide 』の「Managing Custom User roles」を参照してください。

ログインの年、月、日、曜日

• ログイン時のアプライアンスのローカル時間（24 時間表記）

アプライアンスにアクセスするために最後に使用されたホストとドメイン名

デフォルトでは、ユーザがセッションからタイムアウトされないと設定されていない限り、非活動の状態が 1 時間経過した後で、自動的にセッションからユーザがログアウトされます。Administrator ロールを持つユーザは、システム ポリシーでセッションのタイムアウト間隔を変更できます。詳細については、『 Sourcefire 3D System User Guide 』の「Managing User Login Settings and Configuring User Interface Settings」を参照してください。

プロセスの中には長時間かかるものがあります。このため、Web ブラウザで、スクリプトが応答しなくなっていることを示すメッセージが表示されることがあります。このような場合は、プロセスが完了してからスクリプトを続行するようにしてください。

Any

1. ブラウザで https:// hostname / にアクセスします。ここで hostname はアプライアンスのホスト名を表します。

ログイン ページが表示されます。

CLI の基本設定

1. hostname でアプライアンスに対する SSH 接続を開きます。ここで hostname はアプライアンスのホスト名を表します。

login as: コマンド プロンプトが表示されます。

外部認証されているユーザ アカウントのデフォルト ロールが特定のアクセス ロールに設定されている場合、ユーザは（システム管理者による追加の設定なしで）外部のアカウント資格情報を使用してアプライアンスにログインすることができます。

アカウントが外部で認証されており、デフォルトではアクセス権が付与されない場合、ログインはできますが機能にはアクセスできません。ユーザ（またはシステム管理者）は、ユーザ機能へ適切なアクセス権を付与する権限を変更することができます。

シェル アクセス ユーザの場合、システムはアプライアンス上にローカル ユーザ アカウントを作成しません。シェル アクセスは、シェル アクセス フィルタ、または LDAP サーバに設定されている PAM ログイン属性、あるいは RADIUS サーバ上のシェル アクセスリストによってすべて制御されます。

シェル ユーザは、小文字、大文字、または小文字と大文字が混在するユーザ名を使用してログインすることができます。シェルのログイン認証では大文字と小文字が区別されます。LDAP ユーザ名には、下線（ _ ）、ピリオド（ . ）、ハイフン（ - ）を使用することができますが、それ以外では英数字しかサポートされていません。

ログイン時に組織で SecurID トークンを使用している場合は、SecurID PIN にトークンが付加され、ログインするためのパスワードとして使用されます。たとえば、PIN が 1111 で SecurID トークンが 222222 の場合は、 1111222222 と入力します。

重要! Web インターフェイスにアクセスする権限を持っていない場合は、システム管理者に連絡してアカウントの権限を変更してもらうか、Administrator のアクセス権を持つユーザとしてログインし、対象のアカウントの権限を変更します。詳細については、『Sourcefire 3D System User Guide』の「Modifying User Privileges and Options」を参照してください。

Any

1. ブラウザで https:// hostname / にアクセスします。ここで hostname はアプライアンスのホスト名を表します。

ログイン ページが表示されます。

[Username] と [Password] のフィールドに値を入力します。

重要! 企業で SecurID を使用している場合、SecurID トークンが SecurID PIN に付加され、ログイン時にパスワードとして使用されます。

Any

コンテキスト メニューにアクセスするには：