ASDM ユーザ ガイド Version 5.2(2)

Rule Queries

Configuration > Security Policy > Rule Queries

Rule Queries ダイアログボックスでは、ルールを検索するときに Filter フィールドで使用できる名前付きルール クエリーを管理できます。

フィールド

• Add：ルール クエリーを追加します。

• Edit：ルール クエリーを編集します。

• Delete：ルール クエリーを削除します。

• Name：ルール クエリーの名前を一覧表示します。

• Description：ルール クエリーの説明を一覧表示します。

モード

次の表に、この機能を使用できるモードを示します。

New/Edit Rule Query

Configuration > Security Policy > Rule Queries > New/Edit Rule Query

New/Edit Rule Query ダイアログボックスでは、ルールを検索するときに Filter フィールドで使用できる名前付きルール クエリーを追加または編集できます。

フィールド

• Name：ルール クエリーの名前を入力します。

• Description：ルール クエリーの説明を入力します。

• Match Criteria：この領域には、フィルタリングのための基準が一覧表示されます。

–any of the following criteria：一覧表示された任意の基準に一致するようにルール クエリーを設定します。

–all of the following criteria：一覧表示されたすべての基準に一致するようにルール クエリーを設定します。

–Field：基準のタイプを一覧表示します。 インターフェイスまたは送信元などです。

–Value：「inside」など、基準の値を一覧表示します。

–Remove：選択した基準を削除します。

• Define New Criteria：この領域では、新しい基準を定義して、照合基準に追加します。

–Field：ルール クエリーにネストされる Interface、Source、Destination、Service、Action、または他の Rule Query などの基準のタイプを選択します。

–Value：検索する値を入力します。 Interface タイプの場合、このフィールドはドロップダウン リストになり、インターフェイス名を選択できます。 Action タイプの場合、ドロップダウン リストには Permit と Deny が表示されます。 Rule Query タイプの場合、ドロップダウン リストにはすべての定義済みルール クエリーが含まれます。 Source および Destination タイプの場合は、IP アドレスを受け入れます。 IP アドレスを 1 つ手動で入力するか、 ... ボタンをクリックし、 Browse Address ダイアログボックスを開いて参照します。 Service タイプの場合は、TCP、UDP、TCP-UDP、ICMP、または IP プロトコル タイプを受け入れます。 IP アドレスを 1 つ手動で入力するか、 ... ボタンをクリックし、 Browse Service Groups ダイアログボックスを開いて参照します。

–Add：Match Criteria テーブルに基準を追加します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit Access Rule

Configuration > Security Policy > Access Rules > Add/Edit Access Rule

Add/Edit Rule ダイアログボックスでは、新しいルールの作成、または既存のルールの変更が実行できます。

フィールド

• Interface：ルールを適用するインターフェイスを指定します。

• Action：新しいルールのアクション タイプを決定します。 Permit または Deny のいずれかを選択します。

–Permit：すべての一致トラフィックを許可します。

–Deny：すべての一致トラフィックを拒否します。

• Direction：どちらの方向のトラフィックにルールを適用するかを決定します。

–Incoming：送信元インターフェイスへの着信トラフィックを選択します。

–Outgoing：宛先インターフェイスからの発信トラフィックを選択します。

• Source Type：Destination Type フィールドで指定された宛先へのトラフィックが許可または拒否される IP アドレス、ネットワーク オブジェクト グループ、インターフェイス IP、または any を指定します。

–IP Address：Destination Type フィールドで指定された宛先へのトラフィックが許可または拒否される IP アドレスを指定します。

IP address：IP アドレスを指定します。

... ：既存の IP アドレス オブジェクト、IP 名、ネットワーク オブジェクト グループ、またはすべてを選択、追加、編集、削除、または検索できます。

Netmask：ネットマスクを指定します。

–Network Object Group：Destination Type フィールドで指定された宛先へのトラフィックが許可または拒否されるネットワーク オブジェクト グループを指定します。

Group Name：ネットワーク オブジェクト グループ名を指定します。

...：既存の IP アドレス オブジェクト、IP 名、ネットワーク オブジェクト グループ、またはすべてを選択、追加、編集、削除、または検索できます。

–Interface IP：Destination Type フィールドで指定された宛先へのトラフィックが許可または拒否されるインターフェイス IP、または any を指定します。

–Interface：インターフェイスを指定します。

• Destination Type：Source Type フィールドで指定した送信元からのトラフィックを許可または拒否する IP アドレス、ネットワーク オブジェクト グループ、インターフェイス IP、または any を指定します。

–IP Address：Source Type フィールドで指定された宛先へのトラフィックが許可または拒否される IP アドレスを指定します。

IP address：IP アドレスを指定します。

... ：既存の IP アドレス オブジェクト、IP 名、ネットワーク オブジェクト グループ、またはすべてを選択、追加、編集、削除、または検索できます。

Netmask：ネットマスクを指定します。

–Network Object Group：Source Type フィールドで指定された送信元からのトラフィックが許可または拒否されるネットワーク オブジェクト グループを指定します。

Group Name： ネットワーク オブジェクト グループ名を指定します。

...：既存の IP アドレス オブジェクト、IP 名、ネットワーク オブジェクト グループ、またはすべてを選択、追加、編集、削除、または検索できます。

–Interface IP：Source Type フィールドで指定された送信元からのトラフィックが許可または拒否されるインターフェイス IP、または any を指定します。

–Interface：インターフェイスを指定します。

• Protocol and Service: TCP and UDP：ルールの TCP または UDP プロトコルを選択します。 Source Port および Destination Port 領域では、アクセスリストがパケットの照合に使用するポートを指定できます。

–Service：HTTP または FTP など、サービスのリストからポート番号、ポートの範囲、またはウェルノウン サービス名を指定するには、このオプションを選択します。 演算子ドロップダウン リストは、アクセスリストがポートを照合する方法を指定します。次のいずれかの演算子を選択します。

= ：ポート番号と等しい。

not = ：ポート番号と等しくない。

> ：ポート番号より大きい。

< ：ポート番号より小さい。

range：その範囲のポート番号の 1 つと等しい。

–Group：Service Group ドロップダウン リストからサービス グループを指定します。

Browse ボタンでは Browse Source Port ダイアログボックスが表示され、事前に設定されたリストから送信元タイプを選択したり、追加、編集、削除または検索したりできます。

• Protocol and Service: IP：IP Protocol フィールドにあるルールの IP プロトコルを指定します。

• Protocol and Service: ICMP：ICMP タイプ フィールドにあるルールまたは ICMP グループの ICMP タイプを指定します。

–Browse ボタンでは Browse ICMP ダイアログボックスが表示され、事前に設定されたリストから送信元タイプを選択したり、追加、編集、削除または検索したりできます。

• Rule Flow Diagram：ネットワーク、トラフィックのタイプ、インターフェイス名、フローの方向、およびアクションを表示します。

• Options：アクセスリストのロギングをイネーブルにして、ロギング オプションを設定します。 ロギング オプションは次のとおりです。

–デフォルトのロギング動作を使用します。

–ルールのロギングをイネーブルにします。 許可ロギングおよび拒否ロギングのレベルおよび間隔を設定します。詳細については、「Log Options」を参照してください。

Syslog Level：emergencies、alerts、critical、errors、warnings、notifications、informational、または debugging を指定します。

Log Interval：ロギングの間隔を指定します。

–ルールのロギングをディセーブルにします。

–Time Range：このルールに定義されている時間範囲をドロップダウン リストから選択します。

Browse ボタンでは Browse Time Range ダイアログボックスが表示され、事前に設定されたリストから時間範囲を選択、追加、編集、または削除できます。

–Description：（オプション）アクセス ルールの説明を入力します。

モード

次の表に、この機能を使用できるモードを示します。

Manage Service Groups

Configuration > Security Policy > Access Rules > Add/Edit Access Rule > Manage Service Groups

Manage Service Groups ダイアログボックスでは、名前付きグループにある複数の TCP、UDP、または TCP-UDP サービス（ポート）を関連付けます。以後、アクセスや、IPSec ルール、コンジットなどの ASDM および CLI 内の機能でサービス グループを使用できます。

用語の サービス は、既知のポート番号と「リテラル」名（ftp、telnet、smtp など）を持つ、アプリケーション レベル サービスと関連付けられた上位レイヤ プロトコルを指します。

セキュリティ アプライアンスは、次の TCP リテラル名を許可します。

bgp、chargen、cmd、daytime、discard、domain、echo、exec、finger、ftp、ftp-data、gopher、h323、hostname、http、ident、irc、klogin、kshell、lpd、nntp、pop2、pop3、pptp、smtp、sqlnet、sunrpc、tacacs、talk、telnet、time、uucp、whois、www。

サービス グループの名前は、オブジェクト グループの 4 つすべてのタイプで、一意である必要があります。たとえば、サービス グループとネットワーク グループで、同じ名前を共有することはできません。

複数のサービス グループを「グループのグループ」にネストして、単一グループとして使用できます。サービス オブジェクト グループを削除すると、使用されているすべてのサービス オブジェクト グループから削除されます。

サービス グループがアクセス ルールで使用されている場合は、削除しないでください。アクセス ルールで使用されているサービス グループを空にすることはできません。

フィールド

• TCP：TCP サービスまたはポート番号をオブジェクト グループに追加するには、このオプションを選択します。

• UDP：UDP サービスまたはポート番号をオブジェクト グループに追加するには、このオプションを選択します。

• TCP-UDP：TCP および UDP に共通のサービスまたはポート番号をオブジェクト グループに追加するには、このオプションを選択します。

• Service Group table：このテーブルには、各サービス オブジェクト グループの記述名を含みます。 このリストのグループを変更または削除するには、グループを選択して Edit または Delete をクリックします。 新しいグループをこのリストに追加するには、Add をクリックします。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit Service Group

Configuration > Security Policy > Access Rules > Add/Edit Access Rule > Manage Service Groups > Add/Edit Service Group

Add/Edit Service Group ダイアログボックスでは、TCP および UDP サービスまたはポートのグループを管理できます。

フィールド

• Service Group Name：サービス グループの名前を指定します。 名前は、すべてのオブジェクト グループで一意である必要があります。 サービス グループ名はネットワーク グループと名前を共有できません。

• Description：サービス グループの説明を指定します。

• Service：事前に定義されたドロップダウン リストからサービス グループのサービスを選択できます。

• Range/Port #：サービス グループのポートの範囲を指定できます。

モード

次の表に、この機能を使用できるモードを示します。

Advanced Access Rule Configuration

Configuration > Security Policy > Access Rules > Advanced Access Rule Configuration

Advanced Access Rule Configuration ダイアログボックスでは、グローバル アクセスリストのロギング オプションを設定できます。

ロギングがイネーブルで、パケットが ACE と一致した場合、セキュリティ アプライアンスはフロー エントリを作成して、指定された時間内で受信したパケットの数を追跡します（ログ オプションを参照）。セキュリティ アプライアンスは、最初のヒットがあったとき、および各間隔の終わりにシステム ログ メッセージを生成し、その間隔におけるヒットの合計数を示します。各間隔の終わりに、セキュリティ アプライアンスはヒット数を 0 にリセットします。1 つの間隔内で ACE と一致するパケットがなかった場合、セキュリティ アプライアンスはそのフロー エントリを削除します。

どの時点でも大量のフローが同時に存在する可能性があります。メモリおよび CPU リソースが無制限に消費されないようにするために、セキュリティ アプライアンスは同時拒否フロー数に制限を設定します。この制限は、拒否フローに対してのみ設定されます（許可フローには設定されません）。これは、拒否フローは攻撃を示している可能性があるためです。制限に達すると、セキュリティ アプライアンスは既存の拒否フローが期限切れになるまで新しい拒否フローを作成しません。 DoS 攻撃（サービス拒絶攻撃）が開始された場合、セキュリティ アプライアンスは非常に大量の拒否フローをごく短時間のうちに作成する可能性があります。拒否フロー数を制限することにより、メモリおよび CPU リソースが無制限に消費されないようにします。

前提条件

アクセスリストのアクセス コントロール エントリ（別名ルール）に対して、さらに新しいロギング メカニズムをイネーブルにする場合にのみ、この設定が適用されます。 詳細については、「Log Options」を参照してください。

フィールド

• Maximum Deny-flows：セキュリティ アプライアンスがロギングを停止する前に許可される拒否フローの最大数で、1 とデフォルト値の間です。デフォルトは 4096 です。

• Alert Interval：拒否フローの最大数に達したことを識別するシステム ログ メッセージ（番号 106101）の間の時間（1 ～ 3600 秒）です。デフォルトは、300 秒です。

• Per User Override table：ユーザごとの上書き機能の状態を指定します。 インバウンド アクセスリストでユーザごとの上書き機能がイネーブルになっている場合、RADIUS サーバによって提供されるアクセスリストは、そのインターフェイス上で設定されたアクセスリストに置き換えられます。 ユーザごとの上書き機能がディセーブルになっている場合、RADIUS サーバによって提供されるアクセスリストは、そのインターフェイス上で設定されたアクセスリストに結合されます。 インターフェイスにインバウンド アクセスリストが設定されていない場合、ユーザごとの上書きは設定できません。

モード

次の表に、この機能を使用できるモードを示します。

Log Options

Configuration > Security Policy > Access Rules > Add/Edit Access Rule > Log Options（このダイアログボックスに移動するパスは数種類あります。）

Log Options ダイアログボックスでは、アクセス コントロール リストの各アクセス コントロール エントリ（別名ルール）のロギング オプションを設定できます。コンジット リストおよびアウトバウンド リストはロギングをサポートしません。 グローバル ロギング オプションの設定については、「高度なアクセス ルール設定」を参照してください。

このダイアログボックスでは、旧式のロギング メカニズム（拒否されたトラフィックだけが記録される）を使用したり、新しいロギング メカニズム（許可および拒否されたトラフィックがパケットのヒット数などの追加情報と共に記録される）を使用したり、ロギングをディセーブルにしたりできます。

Log オプションをイネーブルにすると、一定量のメモリを消費します。 潜在的な DoS 攻撃のリスクを制御するには、Access Rules ウィンドウの Advanced を選択して、Maximum Deny-flow 設定を実行すると役立ちます。

フィールド

• Use default logging behavior：旧式のアクセスリスト ロギング メカニズムを使用します。セキュリティ アプライアンスは、パケットが拒否されるとシステム ログ メッセージ番号 106023 を記録します。 デフォルト設定に戻すには、このオプションを選択します。

• Enable logging for the rule：新しいアクセスリスト ロギング メカニズムをイネーブルにします。セキュリティ アプライアンスは、パケットが ACE（許可または拒否のいずれか）に一致したとき、システム ログ メッセージ番号 106100 を記録します。

パケットが ACE と一致した場合、セキュリティ アプライアンスはフロー エントリを作成して、指定された間隔で受信したパケットの数を追跡します（Logging Interval フィールドを参照）。セキュリティ アプライアンスは、最初のヒットがあったとき、および各間隔の終わりにシステム ログ メッセージを生成し、その間隔におけるヒットの合計数を示します。各間隔の終わりに、セキュリティ アプライアンスはヒット数を 0 にリセットします。1 つの間隔内で ACE と一致するパケットがなかった場合、セキュリティ アプライアンスはそのフロー エントリを削除します。

–Logging Level：syslog サーバに送信されるロギング メッセージのレベルをドロップダウン リストから選択します。 レベルは次のように定義されています。

Emergencies（レベル 0）：セキュリティ アプライアンスでは、このレベルは使用しません。

Alert（レベル 1、即時対処が必要）

Critical（レベル 2、クリティカル条件）

Error（レベル 3、エラー条件）

Warning（レベル 4、警告条件）

Notification（レベル 5、正常だが顕著な条件）

Informational（レベル 6、情報メッセージのみ）

Debugging（レベル 7、デバッグ中のみ表示）

–Logging Interval：セキュリティ アプライアンスがフロー統計情報を syslog に送信する前に待機する時間を秒数（1 ～ 600 秒）で設定します。この設定は、ACE と一致するパケットがない場合にフローを削除するタイムアウト値としても機能します。デフォルトは、300 秒です。

• Disable logging for the rule ：ACE のすべてのロギングをディセーブルにします。

モード

次の表に、この機能を使用できるモードを示します。