Cisco ASDM ユーザ ガイド Version 6.0(3)

アプリケーション プロトコル検査を使用するタイミング

ユーザが接続を確立すると、セキュリティ アプライアンスはアクセスリストと照合してパケットをチェックし、アドレス変換を作成し、高速パスでのセッション用にエントリを作成して、後続のパケットが時間のかかるチェックをバイパスできるようにします。 ただし、高速パスは予測可能なポート番号に基づいており、パケット内部のアドレス変換を実行しません。

多くのプロトコルは、セカンダリの TCP ポートまたは UDP ポートを開きます。ウェルノウン ポート上の初期セッションは、ダイナミックに割り当てられたポート番号をネゴシエートするために使用されます。

パケットに IP アドレスを埋め込むアプリケーションもあります。この IP アドレスは送信元アドレスと一致する必要があり、通常、セキュリティ アプライアンスを通過するときに変換されます。

このようなアプリケーションを使用する場合は、アプリケーション検査をイネーブルにする必要があります。

IP アドレスを埋め込むサービスに対してアプリケーション検査をイネーブルにすると、セキュリティ アプライアンスは埋め込まれたアドレスを変換し、チェックサムや変換の影響を受けたその他のフィールドを更新します。

ダイナミックに割り当てられたポートを使用するサービスに対してアプリケーション検査をイネーブルにすると、セキュリティ アプライアンスはセッションを監視してダイナミックに割り当てられたポートを特定し、所定のセッションの間、それらのポートでのデータ交換を許可します。

検査に関する制約事項

アプリケーション プロトコル検査には次の制約事項があります。

• 検査が必要なマルチメディア セッションのステート情報は、ステートフル フェールオーバーのステート リンク経由では渡されません。 GTP は例外で、ステート リンクで複製されます。

• 一部の検査エンジンは、PAT、NAT、外部 NAT、または同一セキュリティ インターフェイス間の NAT をサポートしません。NAT サポートの詳細については、「デフォルトの検査ポリシー」を参照してください。

デフォルトの検査ポリシー

デフォルトでは、すべてのデフォルト アプリケーション検査トラフィックを照合するポリシーがコンフィギュレーションに含まれ、すべてのインターフェイス上のトラフィックに検査を適用します（グローバル ポリシー）。 デフォルト アプリケーション検査トラフィックには、各プロトコルのデフォルト ポートへのトラフィックが含まれます。 適用できるグローバル ポリシーは 1 つだけなので、グローバル ポリシーを変更する場合（標準以外のポートに検査を適用する場合や、デフォルトでイネーブルになっていない検査を追加する場合など）は、デフォルトのポリシーを編集するか、デフォルトのポリシーをディセーブルにして新しいポリシーを適用する必要があります。

表24-1 に、サポートされているすべての検査、デフォルトのクラスマップで使用されるデフォルトのポート、およびデフォルトでオンになっている検査エンジン（太字）を示します。 この表には、NAT に関する制約事項も含まれています。

CTIQBE 検査の概要

CTIQBE プロトコル検査では、NAT、PAT、および双方向 NAT がサポートされます。これによって、Cisco IP SoftPhone と他の Cisco TAPI/JTAPI アプリケーションが Cisco CallManager と連動し、セキュリティ アプライアンスを越えてコール セットアップを行うことができるようになります。

TAPI と JTAPI は、多くの Cisco VoIP アプリケーションで使用されます。 CTIQBE は、Cisco TSP が Cisco CallManager と通信するために使用されます。

制約事項

CTIQBE アプリケーション検査を使用する場合、次の制約事項が適用されます。

• CTIQBE アプリケーション検査は、alias コマンドを使用するコンフィギュレーションをサポートしません。

• CTIQBE コールのステートフル フェールオーバーはサポートされません。

• debug ctiqbe コマンドを入力すると、メッセージの伝送が遅れる場合があり、リアルタイム環境のパフォーマンスに影響を与えることがあります。 このデバッグまたはロギングをイネーブルにしたことで、Cisco IP SoftPhone がセキュリティ アプライアンスを介したコール セットアップを完了できないと考えられる場合は、Cisco IP SoftPhone が動作するシステムで Cisco TSP 設定のタイムアウト値を増やしてください。

CTIQBE アプリケーション検査を特定のシナリオで使用する場合に、特に注意が必要な考慮事項を次にまとめます。

• 2 つの Cisco IP SoftPhone が異なる Cisco CallManager に登録されていて、各 CallManager がセキュリティ アプライアンスの異なるインターフェイスに接続されている場合、これら 2 つの電話間のコールは失敗します。

• Cisco CallManager が Cisco IP SoftPhone よりもセキュリティの高いインターフェイス上にある状態で、NAT または外部 NAT が Cisco CallManager の IP アドレスに必要な場合、マッピングはスタティックである必要があります。これは、Cisco IP SoftPhone では Cisco CallManager の IP アドレスを PC 上の Cisco TSP コンフィギュレーションで明示的に指定することが必要なためです。

• PAT または外部 PAT を使用しているときに Cisco CallManager の IP アドレスを変換する場合、Cisco IP SoftPhone を正常に登録するには、TCP ポート 2748 を PAT（インターフェイス）アドレスの同一ポートに対してスタティックにマッピングする必要があります。 CTIQBE リスニング ポート（TCP 2748）は固定されていて、Cisco CallManager、Cisco IP SoftPhone、Cisco TSP のいずれでもユーザは設定を行うことはできません。

DNS アプリケーション検査の動作

セキュリティ アプライアンスは、DNS 応答を転送するとすぐに DNS クエリーに関連付けられた DNS セッションを切断します。 また、メッセージ交換を監視して、DNS 応答の ID が DNS クエリーの ID と一致することを確認します。

DNS 検査をイネーブルにすると（デフォルトはイネーブル）、セキュリティ アプライアンスは次の追加のタスクを実行します。

• NAT ルールを使用して作成されたコンフィギュレーションに基づいて DNS レコードを変換します。 変換は、DNS 応答の A レコードにだけ適用されるため、PTR レコードを必要とする逆ルックアップが DNS リライトによって影響を受けることはありません。

（注） DNS リライトは PAT には適用できません。これは、1 つの A レコードに複数の PAT ルールが適用可能で、使用する PAT ルールがあいまいになるためです。

• 最大 DNS メッセージ長（デフォルトは 512 バイト、最大長は 65535 バイト）を適用します。 セキュリティ アプライアンスは必要に応じてリアセンブリを実行し、パケット長が設定されている最大長よりも短いことを確認します。 最大長を超えるパケットはドロップされます。

• ドメイン名の長さを 255 バイトに、ラベルの長さを 63 バイトに制限します。

• DNS メッセージ内に圧縮ポインタが出現した場合、ポインタが参照するドメイン名の整合性を確認します。

• 圧縮ポインタのループが存在するかどうか確認します。

複数の DNS セッションが同じ 2 つのホスト間で発生し、それらのセッションの 5 つのタプル（送信元および宛先 IP アドレス、送信元および宛先ポート、プロトコル）が同じである場合、それらのセッションに対して接続が 1 つだけ作成されます。 DNS ID は app_id で追跡され、各 app_id のアイドル タイマーは独立して実行されます。

app_id の期限はそれぞれ独立して満了するため、正当な DNS 応答がセキュリティ アプライアンスを通過できるのは限られた期間内のみであり、リソースの継続使用はできません。 ただし、 show conn コマンドを入力すると、新しい DNS セッションによってリセットされた DNS 接続のアイドル タイマーが表示されます。 これは共有 DNS 接続の性質によるものであり、仕様です。

DNS リライトの動作

DNS 検査がイネーブルの場合、DNS リライトは、任意のインターフェイスから送信された DNS メッセージの NAT を完全にサポートします。

内部ネットワーク上のクライアントが、外部インターフェイス上の DNS サーバから送信される内部アドレスの DNS 解決を要求した場合、DNS A レコードは正しく変換されます。 DNS 検査エンジンがディセーブルの場合、A レコードは変換されません。

DNS 検査がイネーブルであれば、NAT ルールを使用して DNS リライトを設定できます。

DNS リライトは次の 2 つの機能を実行します。

• DNS クライアントがプライベート インターフェイスにある場合、 DNS 応答 のパブリック アドレス（ルーティング可能なアドレスまたは「マッピング」アドレス）をプライベート アドレス（「実際の」アドレス）に変換します。

• DNS クライアントがパブリック インターフェイスにある場合、プライベート アドレスをパブリック アドレスに変換します。

図24-1 では、DNS サーバは外部（ISP）ネットワークにあります。サーバの実際のアドレス（192.168.100.1）は、スタティック NAT ルールを使用して ISP が割り当てるアドレス（209.165.200.5）にマッピングされています。 内部インターフェイスの Web クライアントが http://server.example.com という URL を持つ Web サーバにアクセスしようとすると、Web クライアントが動作するホストが、Web サーバの IP アドレスの解決を求める DNS 要求を DNS サーバに送信します。 セキュリティ アプライアンスは、IP ヘッダーに含まれるルーティング不可の送信元アドレスを変換し、外部インターフェイスの ISP ネットワークに要求を転送します。 DNS 応答が返されると、セキュリティ アプライアンスはアドレス変換を宛先アドレスだけではなく、DNS 応答の A レコードに含まれている、Web サーバの埋め込み IP アドレスにも適用します。 結果として、内部ネットワーク上の Web クライアントは、内部ネットワーク上の Web サーバと接続するための正しいアドレスを取得します。

図24-1 DNS 応答に含まれるアドレスの変換（DNS リライト）

DNS リライトは、DNS 要求を行うクライアントが DMZ ネットワークにあり、DNS サーバが内部インターフェイスにある場合にも機能します。

FTP 検査の概要

FTP アプリケーション検査は、FTP セッションを検査し、次の 4 つのタスクを実行します。

• ダイナミックなセカンダリ データ接続の準備

• FTP コマンドと応答のシーケンスの追跡

• 監査証跡の生成

• 埋め込み IP アドレスの変換

FTP アプリケーション検査は、FTP データ転送用にセカンダリ チャネルを用意します。 これらのチャネルのポートは、PORT コマンドまたは PASV コマンドを使用してネゴシエートされます。 セカンダリ チャネルは、ファイル アップロード イベント、ファイル ダウンロード イベント、またはディレクトリ リスト イベントに応答して割り当てられます。

（注） FTP 検査エンジンをディセーブルにすると、発信ユーザはパッシブ モードでしか接続を開始できなくなり、着信 FTP はすべてディセーブルになります。

厳密な FTP の使用方法

strict オプションにより厳密な FTP を使用すると、Web ブラウザが FTP 要求内の埋め込みコマンドを送信できなくなるため、保護されたネットワークのセキュリティが強化されます。 厳密な FTP をイネーブルにするには、Configuration > Firewall > Service Policy Rules > Edit Service Policy Rule > Rule Actions > Protocol Inspection タブで、FTP の横にある Configure をクリックします。

（注） セキュリティ アプライアンスの通過を禁止する FTP コマンドを指定するには、「FTP Class Map」に従って FTP 検査マップを作成します。

インターフェイスに対して strict オプションをオンにすると、FTP 検査によって次の動作が適用されます。

• FTP コマンドが確認応答されてからでないと、セキュリティ アプライアンスは新しいコマンドを許可しません。

• セキュリティ アプライアンスは、埋め込みコマンドを送信する接続をドロップします。

• 227 コマンドと PORT コマンドを、エラー文字列に表示されないようにチェックします。

strict オプションがイネーブルの場合、各 FTP コマンドと応答のシーケンスを追跡し、次の異常なアクティビティがないかチェックします。

• 切り捨てされたコマンド：PORT コマンドおよび PASV 応答コマンド内のカンマの数が 5 であるかどうかをチェックします。 5 でない場合は、PORT コマンドが切り捨てられていると見なし、TCP 接続を閉じます。

• 不正なコマンド：FTP コマンドが、RFC の要求通りに <CR><LF> 文字で終了しているかどうかをチェックします。 この文字で終了していない場合は、接続を閉じます。

• RETR コマンドと STOR コマンドのサイズ：固定の定数と照合します。 サイズが定数より大きい場合は、エラーメッセージをログに記録し、接続を閉じます。

• コマンド スプーフィング：PORT コマンドは、常にクライアントから送信される必要があります。 PORT コマンドがサーバから送信されている場合、TCP 接続を拒否します。

• 応答スプーフィング：PASV 応答コマンド（227）は、常にサーバから送信される必要があります。 PASV 応答コマンドがクライアントから送信されている場合、TCP 接続を拒否します。 これにより、ユーザが「227 xxxxx a1, a2, a3, a4, p1, p2.」を実行する場合のセキュリティ ホールを予防できます。

• TCP ストリーム編集：セキュリティ アプライアンスは、TCP ストリーム編集を検出した場合に接続を閉じます。

• 無効ポート ネゴシエーション：ネゴシエートされたダイナミック ポート値が 1024 未満であるかどうかをチェックします。1 ～ 1024 の範囲のポート番号はウェルノウン接続用に予約されているため、ネゴシエートされたポートがこの範囲内であった場合、TCP 接続を解放します。

• コマンド パイプライン：PORT コマンドと PASV 応答コマンド内のポート番号の後に続く文字数を、定数の 8 と比較します。8 より大きい場合は、TCP 接続を閉じます。

• FTP クライアントがサーバのシステム タイプを取得できないように、セキュリティ アプライアンスは、SYST コマンドに対する FTP サーバ応答を連続する X で置き換えます。 このデフォルトの動作を無効にするには、FTP マップで Low 設定を使用します。

FTP 検査の確認と監視

FTP アプリケーション検査は、次のログメッセージを生成します。

• An Audit record 302002 is generated for each file that is retrieved or uploaded.

• The FTP command is checked to see if it is RETR or STOR and the retrieve and store commands are logged.

• The username is obtained by looking up a table providing the IP address.

• The username, source IP address, destination IP address, NAT address, and the file operation are logged.

• Audit record 201005 is generated if the secondary dynamic channel preparation failed due to memory shortage.

FTP アプリケーション検査は、NAT と連携して、アプリケーション ペイロード内の IP アドレスを変換します。 これは、RFC 959 に詳細に記述されています。

H.323 検査の概要

H.323 検査は、Cisco CallManager や VocalTec Gatekeeper など、H.323 準拠のアプリケーションをサポートします。 H.323 は、International Telecommunication Union（ITU; 国際電気通信連合）によって定義された、LAN を介したマルチメディア会議用のプロトコル群です。 セキュリティ アプライアンスは、H.323 v3 機能である同一コール シグナリング チャネルでの複数コールを含む、Version 4 までの H.323 をサポートします。

H.323 検査をイネーブルにすると、セキュリティ アプライアンスは、H.323 Version 3 で導入された機能である、同一コール シグナリング チャネルでの複数コールをサポートします。この機能によってコール セットアップ時間が短縮され、セキュリティ アプライアンスでのポートの使用が減少します。

H.323 検査には、次の 2 つの主要な機能があります。

• H.225 および H.245 メッセージ内の必要な埋め込み IPv4 アドレスに対して NAT を実行します。 H.323 メッセージは PER エンコード形式でエンコードされているため、セキュリティ アプライアンスは ASN.1 デコーダを使用して H.323 メッセージをデコードします。

• ネゴシエートされた H.245 と RTP/RTCP 接続をダイナミックに割り当てます。

H.323 の動作

H.323 のプロトコルのコレクションは、合計で最大 2 つの TCP 接続と 4 ～ 6 つの UDP 接続を使用できます。 FastConnect は TCP 接続を 1 つだけ使用し、RAS は登録、アドミッション、およびステータス用に UDP 接続を 1 つ使用します。

H.323 クライアントは、最初に TCP ポート 1720 を使用して H.323 サーバへの TCP 接続を確立し、Q.931 コール セットアップを要求する場合があります。 H.323 端末は、コール セットアップ プロセスの一部として、H.245 TCP 接続に使用するためのポート番号を 1 つクライアントに供給します。 H.323 ゲートキーパーが使用されている環境では、初期パケットは UDP を使用して送信されます。

H.323 検査は、Q.931 TCP 接続を監視して、H.245 ポート番号を決定します。 H.323 端末が FastConnect を使用しない場合、セキュリティ アプライアンスが H.225 メッセージの検査に基づいて、H.245 接続をダイナミックに割り当てます。

各 H.245 メッセージ内で、H.323 エンドポイントが、後続の UDP データ ストリームに使用するポート番号を交換します。 H.323 検査は、H.245 メッセージを検査してこれらのポートを識別し、メディア交換用の接続をダイナミックに作成します。 RTP はネゴシエートされたポート番号を使用し、RTCP はその次に高いポート番号を使用します。

H.323 制御チャネルは、H.225、H.245、および H.323 RAS を処理します。 H.323 検査では、次のポートが使用されます。

• 1718：ゲートキーパー検出 UDP ポート

• 1719：RAS UDP ポート

• 1720：TCP 制御ポート

H.225 コール シグナリング用にウェルノウン H.323 ポート 1720 のトラフィックを許可する必要があります。ただし、H.245 シグナリング ポートは、H.225 シグナリングのエンドポイント間でネゴシエートされます。 H.323 ゲートキーパーの使用時、セキュリティ アプライアンスは、ACF メッセージの検査に基づいて H.225 接続を開きます。

H.225 メッセージを検査した後、セキュリティ アプライアンスは H.245 チャネルを開き、H.245 チャネルで送信されるトラフィックも検査します。 セキュリティ アプライアンスを通過するすべての H.245 メッセージは、H.245 アプリケーション検査を受けます。この検査では、埋め込み IP アドレスが変換され、H.245 メッセージでネゴシエートされたメディア チャネルが開かれます。

H.323 ITU 規格では、メッセージ長を定義する TPKT ヘッダーを最初に送信してから、H.225 と H.245 を信頼できる接続に送信することを要求しています。 TPKT ヘッダーは、必ずしも H.225 メッセージや H.245 メッセージと同じ TCP パケット内で送信される必要はないため、セキュリティ アプライアンスは、メッセージを正しく処理してデコードするために TPKT 長を記憶しておく必要があります。 セキュリティ アプライアンスは、次のメッセージに備えて、TPKT 長が保存されたレコードを接続ごとに保持します。

セキュリティ アプライアンスでメッセージ内の IP アドレスに NAT を行う必要がある場合、チェックサム、UUIE 長、および TPKT（H.225 メッセージが入っている TCP パケットに含まれている場合）は変更されます。 TPKT が別の TCP パケットで送信される場合、セキュリティ アプライアンスがその TPKT へのプロキシ ACK を実行し、新しい TPKT を新しい長さで H.245 メッセージに追加します。

（注） セキュリティ アプライアンスは、TPKT に対するプロキシ ACK では TCP オプションをサポートしていません。

H.323 検査を受けるパケットが通る各 UDP 接続は、H.323 接続としてマークされ、Configuration > Firewall > Advanced > Global Timeouts ペインで設定された H.323 タイムアウト値でタイムアウトします。

制約事項

H.323 アプリケーション検査を使用する場合、次の既知の問題および制約事項があります。

• スタティック PAT は、H.323 メッセージのオプション フィールドに埋め込まれた IP アドレスを正しく変換できないことがあります。 この種の問題が発生した場合は、H.323 でスタティック PAT を使用しないでください。

• H.323 アプリケーション検査は、同一セキュリティ レベルのインターフェイス間の NAT ではサポートされていません。

• NetMeeting クライアントが H.323 ゲートキーパーに登録し、同じく H.323 ゲートキーパーに登録されている H.323 ゲートウェイを呼び出そうとすると、接続は確立されますが、どちらの方向でも音声が聞こえません。 この問題は、セキュリティ アプライアンスの問題ではありません。

• ネットワーク スタティック アドレスを設定した場合、このネットワーク スタティック アドレスが第三者のネットマスクおよびアドレスと同じであると、すべての発信 H.323 接続が失敗します。

RTSP 検査の概要

RTSP 検査エンジンを使用することにより、セキュリティ アプライアンスは RTSP パケットを通過させることができます。 RTSP は、RealAudio、RealNetworks、Apple QuickTime 4、RealPlayer、および Cisco IP/TV 接続で使用されます。

（注） Cisco IP/TV には、RTSP TCP ポート 554 と TCP 8554 を使用してください。

RTSP アプリケーションは、制御チャネルとして TCP（まれに UDP）でウェルノウン ポート 554 を使用します。 セキュリティ アプライアンスは、RFC 2326 に準拠して、TCP だけをサポートします。この TCP 制御チャネルは、クライアント上に設定されている転送モードに応じて、音声/ビデオ トラフィックの送信に使用されるデータ チャネルのネゴシエーションに使用されます。

サポートされている RDT 転送は、rtp/avp、rtp/avp/udp、x-real-rdt、x-real-rdt/udp、x-pn-tng/udp です。

セキュリティ アプライアンスは、ステータス コード 200 の Setup 応答メッセージを解析します。応答メッセージが着信である場合、サーバはセキュリティ アプライアンスから見て外部に存在することになるため、サーバから着信する接続に対してダイナミック チャネルを開く必要があります。 この応答メッセージが発信である場合、セキュリティ アプライアンスがダイナミック チャネルを開く必要はありません。

RFC 2326 では、クライアント ポートとサーバ ポートが SETUP 応答メッセージに含まれていることが必須ではないため、セキュリティ アプライアンスは、状態を保持し、SETUP メッセージ内のクライアント ポートを記憶します。 QuickTime が、SETUP メッセージ内にクライアント ポートを設定すると、サーバはサーバ ポートだけで応答します。

RTSP 検査は、PAT またはデュアル NAT をサポートしていません。また、セキュリティ アプライアンスは、RTSP メッセージが HTTP メッセージ内に隠される HTTP クローキングを認識できません。

RealPlayer の使用方法

RealPlayer を使用する場合は、転送モードを正しく設定することが重要です。 セキュリティ アプライアンスの場合、サーバからクライアントに、またはその逆にアクセス ルールを追加します。 RealPlayer の場合、 Options > Preferences > Transport > RTSP Settings をクリックして転送モードを変更します。

RealPlayer で TCP モードを使用する場合は、 Use TCP to Connect to Server チェックボックスおよび Attempt to use TCP for all content チェックボックスをオンにします。 セキュリティ アプライアンス上に検査エンジンを設定する必要はありません。

RealPlayer で UDP モードを使用する場合、 Use TCP to Connect to Server チェックボックスおよび Attempt to use UDP for static content, and for live content not available via Multicast チェックボックスをオンにします。 セキュリティ アプライアンスで、 inspect rtsp port コマンドを追加します。

制約事項

RTSP 検査には、次の制約事項が適用されます。

• セキュリティ アプライアンスは、マルチキャスト RTSP または UDP 経由の RTSP メッセージをサポートしません。

• PAT はサポートされていません。

• セキュリティ アプライアンスは、RTSP メッセージが HTTP メッセージ内に隠されている HTTP クローキングを認識できません。

• 埋め込み IP アドレスが HTTP メッセージまたは RTSP メッセージの一部として SDP ファイル内に含まれているため、セキュリティ アプライアンスは、RTSP メッセージに NAT を実行できません。 パケットはフラグメント化する可能性があり、セキュリティ アプライアンスはフラグメント化されたパケットに対して NAT を実行できません。

• Cisco IP/TV では、メッセージの SDP 部分に対してセキュリティ アプライアンスが実行する変換の数は、Content Manager にあるプログラム リストの数に比例します（各プログラム リストには、少なくとも 6 個の埋め込み IP アドレスを含めることができます）。

• Apple QuickTime 4 または RealPlayer に NAT を設定できます。 Cisco IP/TV は、ビューアと Content Manager が外部ネットワークにあり、サーバが内部ネットワークにあるときだけ NAT を使用できます。

SIP 検査の概要

SIP は、IETF で定義されているように、特に 2 者間の音声会議などのコール処理セッション、つまり「コール」を使用できるようにします。SIP は、コール シグナリング用の SDP で動作します。 SDP は、メディア ストリーム用のポートを指定します。 SIP を使用することにより、セキュリティ アプライアンスは SIP VoIP ゲートウェイおよび VoIP プロキシ サーバをサポートできます。 SIP と SDP は、次の RFC で定義されています。

• SIP：Session Initiation Protocol、RFC 2543

• SDP：Session Description Protocol、RFC 2327

セキュリティ アプライアンスを通過する SIP コールをサポートするには、メディア接続アドレスのシグナリング メッセージ、メディア ポート、およびメディアの初期接続を検査する必要があります。これは、シグナリングがウェルノウン宛先ポート（UDP/TCP 5060）経由で送信される一方で、メディア ストリームはダイナミックに割り当てられるためです。 また、SIP は、IP パケットのユーザ データ部分に IP アドレスを埋め込みます。 SIP 検査は、それらの埋め込み IP アドレスに NAT を適用します。

PAT を SIP で使用する場合、次の制約事項が適用されます。

• セキュリティ アプライアンスで保護されているネットワークの SIP プロキシにリモート エンドポイントを登録しようとすると、次のようなきわめて限定された条件では登録が失敗します。

–PAT がリモート エンドポイント用に設定されている。

–SIP レジストラ サーバが外部ネットワークにある。

–エンドポイントからプロキシ サーバに送信された REGISTER メッセージの接続先フィールドにポートが設定されていない。

• SDP 部分の所有者/作成者フィールド（o=）の IP アドレスが接続フィールド（c=）の IP アドレスと異なるパケットを SIP デバイスが送信すると、o= フィールドの IP アドレスが正しく変換されない場合があります。 これは、o= フィールドでポート値を提供しないという SIP プロトコルの制限によるものです。

SIP インスタント メッセージ

インスタント メッセージとは、ほぼリアルタイムにユーザ間でメッセージを転送することです。 SIP は、Windows Messenger RTC Client バージョン 4.7.0105 を使用する Windows XP のチャット機能のみをサポートします。 次の RFC で定義されているように、MESSAGE/INFO 方式および 202 Accept 応答を使用して IM をサポートします。

• Session Initiation Protocol（SIP）：Specific Event Notification、RFC 3265

• Session Initiation Protocol（SIP）：Extension for Instant Messaging、RFC 3428

MESSAGE/INFO 要求は、登録または加入の後であれば、いつでも受け取ることができます。 たとえば、2 人のユーザはいつでもオンラインになる可能性がありますが、何時間もチャットをすることはありません。 そのため、SIP 検査エンジンは、設定されている SIP タイムアウト値に従ってタイムアウトするピンホールを開きます。 この値は、加入継続時間よりも 5 分以上長く設定する必要があります。 加入継続時間は Contact Expires 値で定義され、通常 30 分です。

MESSAGE/INFO 要求は、通常、ポート 5060 以外のダイナミックに割り当てられたポートを使用して送信されるため、SIP 検査エンジンを通過する必要があります。

（注） 現在は、チャット機能のみがサポートされています。 ホワイトボード、ファイル転送、アプリケーション共有はサポートされていません。 RTC Client 5.0 はサポートされていません。

SIP 検査は、テキストベースの SIP メッセージを変換し、メッセージの SDP 部分の内容長を再計算した後、パケット長とチェックサムを再計算します。 また、SIP メッセージの SDP 部分に、エンドポイントがリスンすべきアドレスまたはポートとして指定されたポートに対するメディア接続をダイナミックに開きます。

SIP 検査では、SIP ペイロードから取得したインデックス CALL_ID/FROM/TO を持つデータベースが使用されます。 これらのインデックスにより、コール、送信元、宛先が識別されます。 このデータベースには、SDP のメディア情報フィールド内で見つかったメディア アドレスとメディア ポート、およびメディア タイプが格納されています。 1 つのセッションに対して、複数のメディア アドレスとポートを設定できます。 セキュリティ アプライアンスは、これらのメディア アドレス/ポートを使用して、2 つのエンドポイント間に RTP/RTCP 接続を開きます。

初期コール セットアップ（INVITE）メッセージでは、ウェルノウン ポート 5060 を使用する必要があります。ただし、後続のメッセージにはこのポート番号がない場合もあります。 SIP 検査エンジンはシグナリング接続のピンホールを開き、それらの接続を SIP 接続としてマークします。 これは、SIP アプリケーションに到達した変換対象のメッセージに対して行われます。

コールがセットアップされるとき、SIP セッションは、着信側エンドポイントから応答メッセージでメディア アドレスとメディア ポートを受信し、着信側エンドポイントがリスンする RTP ポートを知らされるまで、「一時的な」状態にあります。 1 分以内に応答メッセージを受信できないと、シグナリング接続は切断されます。

最終的なハンドシェイクが行われると、コール状態はアクティブに移行し、シグナリング接続は、BYE メッセージを受信するまで継続されます。

内部エンドポイントが外部エンドポイントへのコールを開始した場合、メディア ホールが外部インターフェイスに対して開き、内部エンドポイントからの INVITE メッセージで指定された内部エンドポイントのメディア アドレスとメディア ポートに RTP/RTCP UDP パケットが流れることが可能になります。 要求していないのに内部インターフェイスに送信される RTP/RTCP UDP パケットは、セキュリティ アプライアンスのコンフィギュレーションで特に許可されていない限り、セキュリティ アプライアンスを通過できません。

SCCP 検査の概要

Skinny（SCCP）は、VoIP ネットワークで使用される簡易プロトコルです。 SCCP を使用する Cisco IP Phone は、H.323 環境内で共存できます。 Cisco CallManager と併用すると、SCCP クライアントは H.323 準拠端末と相互運用できます。 セキュリティ アプライアンスのアプリケーション レイヤ機能は、SCCP バージョン 3.3 を認識します。 SCCP プロトコルには、5 つのバージョン（2.4、3.0.4、3.1.1、3.2、3.3.2）があります。セキュリティ アプライアンスは、バージョン 3.3.2 までのすべてのバージョンをサポートします。

セキュリティ アプライアンスは、SCCP に対して PAT と NAT をサポートします。 IP 電話で使用できるグローバル IP アドレスよりも IP 電話が多い場合は、PAT が必要です。 Skinny アプリケーション検査は、SCCP シグナリング パケットの NAT と PAT をサポートすることで、すべての SCCP シグナリングとメディア パケットがセキュリティ アプライアンスを通過できるようにします。

Cisco CallManager と Cisco IP Phones 間の通常のトラフィックは SCCP を使用しており、特別な設定をしなくても SCCP 検査によって処理されます。 セキュリティ アプライアンスは、TFTP サーバの場所を Cisco IP Phone とその他の DHCP クライアントに送信することで、DHCP オプション 150 および 66 もサポートします。 Cisco IP Phone では、デフォルト ルートを設定する DHCP オプション 3 を要求に含めることもできます。

Cisco IP Phone のサポート

Cisco CallManager が Cisco IP Phone よりもセキュリティの高いインターフェイスにあるトポロジでは、NAT が Cisco CallManager の IP アドレスに必要な場合、マッピングはスタティックである必要があります。これは、Cisco IP Phone では Cisco CallManager の IP アドレスをコンフィギュレーションで明示的に指定する必要があるためです。 スタティック アイデンティティ エントリを使用すると、セキュリティが高いインターフェイス上にある Cisco CallManager が Cisco IP Phone からの登録を受け付けるようにできます。

Cisco IP Phone では、TFTP サーバにアクセスして、Cisco CallManager サーバに接続するために必要なコンフィギュレーション情報をダウンロードする必要があります。

Cisco IP Phone が TFTP サーバよりもセキュリティの低いインターフェイス上にある場合は、アクセスリストを使用し、保護された TFTP サーバに UDP ポート 69 で接続する必要があります。TFTP サーバにはスタティック エントリが必要ですが、アイデンティティ スタティック エントリである必要はありません。 NAT を使用する場合、アイデンティティ スタティック エントリは同じ IP アドレスにマッピングされます。 PAT を使用する場合は、同じ IP アドレスとポートにマッピングされます。

Cisco IP Phone が TFTP サーバおよび Cisco CallManager よりもセキュリティの高いインターフェイス上にある場合、Cisco IP Phone が接続を開始できるようにするためには、アクセスリストもスタティック エントリも必要ありません。

制約事項

SCCP に対する現在のバージョンの PAT および NAT のサポートには、次の制約事項が適用されます。

• PAT は、alias コマンドを含むコンフィギュレーションでは動作しません。

• 外部 NAT および PAT はサポートされません。

内部の Cisco CallManager のアドレスが NAT または PAT 用に別の IP アドレスまたはポートに設定されている場合、外部の Cisco IP Phone 用の登録は失敗します。これは、現在セキュリティ アプライアンスが、TFTP 経由で転送するファイルの内容に対する NAT または PAT をサポートしていないためです。 セキュリティ アプライアンスは TFTP メッセージの NAT をサポートし、TFTP ファイル用にピンホールを開きますが、電話の登録中に TFTP によって転送された Cisco IP Phone のコンフィギュレーション ファイルに埋め込まれた Cisco CallManager の IP アドレスとポートを変換することはできません。

（注） セキュリティ アプライアンスは、コール セットアップ中のコールを除き、SCCP コールのステートフル フェールオーバーをサポートします。

Sun RPC 検査の概要

Sun RPC 検査エンジンは、Sun RPC プロトコルのアプリケーション検査をイネーブルまたはディセーブルにします。 Sun RPC は、NFS および NIS で使用されます。 Sun RPC サービスはどのポート上でも実行できます。 サーバ上の Sun RPC サービスにアクセスしようとするクライアントは、そのサービスが実行されているポートを知る必要があります。 そのためには、ウェルノウン ポート 111 でポート マッパー プロセス（通常は rpcbind）に照会します。

クライアントがサービスの Sun RPC プログラム番号を送信すると、ポート マッパー プロセスはサービスのポート番号を応答します。 クライアントは、ポート マッパー プロセスによって特定されたポートを指定して、Sun RPC クエリーをサーバに送信します。 サーバが応答すると、セキュリティ アプライアンスはこのパケットを代行受信し、そのポートで TCP と UDP の両方の初期接続を開きます。

（注） Sun RPC ペイロード情報の NAT または PAT はサポートされていません。

SUNRPC Server

Configuration > Firewall > Advanced > SUNRPC Server ペインには、セキュリティ アプライアンスを通過できる SunRPC サービスと、その固有のタイムアウト値がサーバ単位で表示されます。

フィールド

• Interface ：SunRPC サーバが常駐するインターフェイスを表示します。

• IP address ：SunRPC サーバの IP アドレスを表示します。

• Mask ：SunRPC サーバの IP アドレスのサブネット マスクを表示します。

• Service ID ：セキュリティ アプライアンスを通過することを許可する、SunRPC プログラム番号、またはサービス ID を表示します。

• Protocol ：SunRPC 転送プロトコル（TCP または UDP）を表示します。

• Port ：SunRPC プロトコルのポート範囲を表示します。

• Timeout ：SunRPC サービス トラフィックへのアクセスが閉じられるまでのアイドル時間を表示します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit SUNRPC Service

Configuration > Firewall > Advanced > SUNRPC Server > Add/Edit SUNRPC Service ダイアログボックスでは、セキュリティ アプライアンスを通過することを許可する SunRPC サービス、およびそれらの固有タイムアウトをサーバ単位で指定できます。

フィールド

• Interface Name ：SunRPC サーバが常駐するインターフェイスを指定します。

• Protocol ：SunRPC 転送プロトコル（TCP または UDP）を指定します。

• IP address ：SunRPC サーバの IP アドレスを指定します。

• Port ：SunRPC プロトコルのポート範囲を指定します。

• Mask ：SunRPC サーバの IP アドレスのサブネット マスクを指定します。

• Timeout ：SunRPC サービス トラフィックへのアクセスが閉じられるまでのアイドル時間を指定します。形式は、HH:MM:SS です。

• Service ID ：セキュリティ アプライアンスを通過することを許可する、SunRPC プログラム番号、またはサービス ID を指定します。

モード

次の表に、この機能を使用できるモードを示します。

Rule Actions > Protocol Inspection タブ

フィールド

• CTIQBE： CTIQBE プロトコルでのアプリケーション検査をイネーブルにします。

• DCERPC： DCERPC プロトコルでのアプリケーション検査をイネーブルにします。

–Configure： Select DCERPC Map ダイアログボックスを表示します。このダイアログボックスでは、このプロトコルで使用するマップ名を選択できます。

• DNS： DNS プロトコルでのアプリケーション検査をイネーブルにします。

–Configure： Select DNS Map ダイアログボックスを表示します。このダイアログボックスでは、このプロトコルで使用するマップ名を選択できます。

• ESMTP： ESMTP プロトコルでのアプリケーション検査をイネーブルにします。

–Configure： Select ESMTP Map ダイアログボックスを表示します。このダイアログボックスでは、このプロトコルで使用するマップ名を選択できます。

• FTP： FTP プロトコルでのアプリケーション検査をイネーブルにします。

–Configure： Select FTP Map ダイアログボックスを表示します。このダイアログボックスでは、このプロトコルで使用するマップ名を選択できます。

• GTP： GTP プロトコルでのアプリケーション検査をイネーブルにします。

–Configure： Select GTP Map ダイアログボックスを表示します。このダイアログボックスでは、このプロトコルで使用するマップ名を選択できます。

（注） GTP 検査には、特別なライセンスが必要です。

• H323 H225： H323 H225 プロトコルでのアプリケーション検査をイネーブルにします。

–Configure： Select H323 H225 Map ダイアログボックスを表示します。このダイアログボックスでは、このプロトコルで使用するマップ名を選択できます。

• H323 RAS： H323 RAS プロトコルでのアプリケーション検査をイネーブルにします。

–Configure： Select H323 RAS Map ダイアログボックスを表示します。このダイアログボックスでは、このプロトコルで使用するマップ名を選択できます。

• HTTP： HTTP プロトコルでのアプリケーション検査をイネーブルにします。

–Configure： Select HTTP Map ダイアログボックスを表示します。このダイアログボックスでは、このプロトコルで使用するマップ名を選択できます。

• ICMP： ICMP プロトコルでのアプリケーション検査をイネーブルにします。

• ICMP Error： ICMP Error プロトコルでのアプリケーション検査をイネーブルにします。

• ILS： ILS プロトコルでのアプリケーション検査をイネーブルにします。

• IM： IM プロトコルでのアプリケーション検査をイネーブルにします。

–Configure： Select IM Map ダイアログボックスを表示します。このダイアログボックスでは、このプロトコルで使用するマップ名を選択できます。

• IPSec-Pass-Thru： IPSec プロトコルでのアプリケーション検査をイネーブルにします。

–Configure： Select IPSec Map ダイアログボックスを表示します。このダイアログボックスでは、このプロトコルで使用するマップ名を選択できます。

• MGCP： MGCP プロトコルでのアプリケーション検査をイネーブルにします。

–Configure： Select MGCP Map ダイアログボックスを表示します。このダイアログボックスでは、このプロトコルで使用するマップ名を選択できます。

• NETBIOS： NetBIOS プロトコルでのアプリケーション検査をイネーブルにします。

–Configure： Select NETBIOS Map ダイアログボックスを表示します。このダイアログボックスでは、このプロトコルで使用するマップ名を選択できます。

• PPTP： PPTP プロトコルでのアプリケーション検査をイネーブルにします。

• RSH： RSH プロトコルでのアプリケーション検査をイネーブルにします。

• RTSP： RTSP プロトコルでのアプリケーション検査をイネーブルにします。

• SCCP SKINNY： Skinny プロトコルでのアプリケーション検査をイネーブルにします。

–Configure： Select SCCP (Skinny) Map ダイアログボックスを表示します。このダイアログボックスでは、このプロトコルで使用するマップ名を選択できます。

• SIP： SIP プロトコルでのアプリケーション検査をイネーブルにします。

–Configure： Select SIP Map ダイアログボックスを表示します。このダイアログボックスでは、このプロトコルで使用するマップ名を選択できます。

• SNMP： SNMP プロトコルでのアプリケーション検査をイネーブルにします。

–Configure： Select SNMP Map ダイアログボックスを表示します。このダイアログボックスでは、このプロトコルで使用するマップ名を選択できます。

• SQLNET： SQLNET プロトコルでのアプリケーション検査をイネーブルにします。

• SUNRPC： SunRPC プロトコルでのアプリケーション検査をイネーブルにします。

• TFTP： TFTP プロトコルでのアプリケーション検査をイネーブルにします。

• XDMCP： XDMCP プロトコルでのアプリケーション検査をイネーブルにします。

モード

次の表に、この機能を使用できるモードを示します。

詳細情報

「検査マップのフィールドの説明」

『 Cisco Security Appliance Command Reference 』にあるプロトコルごとの Inspect コマンド ページ

Select DCERPC Map

Select DCERPC Map ダイアログボックスでは、 DCERPC マップを選択または新しく作成できます。 DCERPC マップにより、 DCERPC アプリケーション検査で使用されるコンフィギュレーションの値を変更できます。 Select DCERPC Map テーブルには、アプリケーション検査で選択可能な事前に設定されたマップのリストが表示されます。

フィールド

• Use the default DCERPC inspection map ：デフォルトの DCERPC マップの使用を指定します。

• Select a DCERPC map for fine control over inspection ：定義済みのアプリケーション検査マップを選択するか、新しいマップを追加できます。

• Add：その検査の Add Policy Map ダイアログボックスを開きます。

モード

次の表に、この機能を使用できるモードを示します。

Select DNS Map

Select DNS Map ダイアログボックスでは、 DNS マップを選択または新しく作成できます。 DNS マップにより、 DNS アプリケーション検査で使用されるコンフィギュレーションの値を変更できます。 Select DNS Map テーブルには、アプリケーション検査で選択可能な事前に設定されたマップのリストが表示されます。

フィールド

• Use the default DNS inspection map ：デフォルトの DNS マップの使用を指定します。

• Select a DNS map for fine control over inspection ：定義済みのアプリケーション検査マップを選択するか、新しいマップを追加できます。

• Add：その検査の Add Policy Map ダイアログボックスを開きます。

モード

次の表に、この機能を使用できるモードを示します。

Select ESMTP Map

Select ESMTP Map ダイアログボックスでは、 ESMTP マップを選択または新しく作成できます。 ESMTP マップにより、 ESMTP アプリケーション検査で使用されるコンフィギュレーションの値を変更できます。 Select ESMTP Map テーブルには、アプリケーション検査で選択可能な事前に設定されたマップのリストが表示されます。

フィールド

• Use the default ESMTP inspection map ：デフォルトの ESMTP マップの使用を指定します。

• Select an ESMTP map for fine control over inspection ：定義済みのアプリケーション検査マップを選択するか、新しいマップを追加できます。

• Add：その検査の Add Policy Map ダイアログボックスを開きます。

モード

次の表に、この機能を使用できるモードを示します。

Select FTP Map

Select FTP Map ダイアログボックスでは、厳密な FTP アプリケーション検査のイネーブル化、FTP マップの選択、または新しい FTP マップの作成を行うことができます。FTP マップにより、FTP アプリケーション検査で使用されるコンフィギュレーションの値を変更できます。 Select FTP Map テーブルには、アプリケーション検査で選択可能な事前に設定されたマップのリストが表示されます。

フィールド

• FTP Strict (prevent web browsers from sending embedded commands in FTP requests)： 厳密な FTP アプリケーション検査をイネーブルにします。これによってセキュリティ アプライアンスは、埋め込みコマンドが FTP 要求に含まれている場合には接続をドロップします。

• Use the default FTP inspection map ：デフォルトの FTP マップの使用を指定します。

• Select an FTP map for fine control over inspection ：定義済みのアプリケーション検査マップを選択するか、新しいマップを追加できます。

• Add：その検査の Add Policy Map ダイアログボックスを開きます。

モード

次の表に、この機能を使用できるモードを示します。

Select GTP Map

Select GTP Map ダイアログボックスでは、GTP マップを選択または新しく作成できます。GTP マップにより、GTP アプリケーション検査で使用されるコンフィギュレーションの値を変更できます。Select GTP Map テーブルには、アプリケーション検査で選択可能な事前に設定されたマップのリストが表示されます。

（注） GTP 検査には、特別なライセンスが必要です。必要なライセンスがないときにセキュリティ アプライアンスで GTP アプリケーション検査のイネーブル化を試みると、セキュリティ アプライアンスはエラー メッセージを表示します。

フィールド

• Use the default GTP inspection map ：デフォルトの GTP マップの使用を指定します。

• Select an GTP map for fine control over inspection ：定義済みのアプリケーション検査マップを選択するか、新しいマップを追加できます。

• Add：その検査の Add Policy Map ダイアログボックスを開きます。

モード

次の表に、この機能を使用できるモードを示します。

Select H.323 Map

Select H.323 Map ダイアログボックスでは、 H.323 マップを選択または新しく作成できます。 H.323 マップにより、 H.323 アプリケーション検査で使用されるコンフィギュレーションの値を変更できます。Select H.323 Map テーブルには、アプリケーション検査で選択可能な事前に設定されたマップのリストが表示されます。

フィールド

• Use the default H.323 inspection map ：デフォルトの H.323 マップの使用を指定します。

• Select an H.323 map for fine control over inspection ：定義済みのアプリケーション検査マップを選択するか、新しいマップを追加できます。

• Add：その検査の Add Policy Map ダイアログボックスを開きます。

モード

次の表に、この機能を使用できるモードを示します。

Select HTTP Map

Select HTTP Map ダイアログボックスでは、HTTP マップを選択または新しく作成できます。HTTP マップにより、HTTP アプリケーション検査で使用されるコンフィギュレーションの値を変更できます。Select HTTP Map テーブルには、アプリケーション検査で選択可能な事前に設定されたマップのリストが表示されます。

フィールド

• Use the default HTTP inspection map ：デフォルトの HTTP マップの使用を指定します。

• Select an HTTP map for fine control over inspection ：定義済みのアプリケーション検査マップを選択するか、新しいマップを追加できます。

• Add：その検査の Add Policy Map ダイアログボックスを開きます。

モード

次の表に、この機能を使用できるモードを示します。

Select IM Map

Select IM Map ダイアログボックスでは、 IM マップを選択または新しく作成できます。 IM マップにより、 IM アプリケーション検査で使用されるコンフィギュレーションの値を変更できます。Select IM Map テーブルには、アプリケーション検査で選択可能な事前に設定されたマップのリストが表示されます。

フィールド

• Add：その検査の Add Policy Map ダイアログボックスを開きます。

モード

次の表に、この機能を使用できるモードを示します。

Select IPSec-Pass-Thru Map

Select IPSec-Pass-Thru ダイアログボックスでは、 IPSec マップを選択または新しく作成できます。 IPSec マップにより、 IPSec アプリケーション検査で使用されるコンフィギュレーションの値を変更できます。Select IPSec Map テーブルには、アプリケーション検査で選択可能な事前に設定されたマップのリストが表示されます。

フィールド

• Use the default IPSec inspection map ：デフォルトの IPSec マップの使用を指定します。

• Select an IPSec map for fine control over inspection ：定義済みのアプリケーション検査マップを選択するか、新しいマップを追加できます。

• Add：その検査の Add Policy Map ダイアログボックスを開きます。

モード

次の表に、この機能を使用できるモードを示します。

Select MGCP Map

Select MGCP Map ダイアログボックスでは、MGCP マップを選択または新しく作成できます。MGCP マップにより、MGCP アプリケーション検査で使用されるコンフィギュレーションの値を変更できます。 Select MGCP Map テーブルには、アプリケーション検査で選択可能な事前に設定されたマップのリストが表示されます。

フィールド

• Use the default MGCP inspection map ：デフォルトの MGCP マップの使用を指定します。

• Select an MGCP map for fine control over inspection ：定義済みのアプリケーション検査マップを選択するか、新しいマップを追加できます。

• Add：その検査の Add Policy Map ダイアログボックスを開きます。

モード

次の表に、この機能を使用できるモードを示します。

Select NETBIOS Map

Select NETBIOS Map ダイアログボックスでは、 NetBIOS マップを選択または新しく作成できます。 NetBIOS マップにより、 NetBIOS アプリケーション検査で使用されるコンフィギュレーションの値を変更できます。Select NetBIOS Map テーブルには、アプリケーション検査で選択可能な事前に設定されたマップのリストが表示されます。

フィールド

• Use the default NetBIOS inspection map ：デフォルトの NetBIOS マップの使用を指定します。

• Select a NetBIOS map for fine control over inspection ：定義済みのアプリケーション検査マップを選択するか、新しいマップを追加できます。

• Add：その検査の Add Policy Map ダイアログボックスを開きます。

モード

次の表に、この機能を使用できるモードを示します。

Select RTSP Map

Select RTSP Map ダイアログボックスでは、 RTSP マップを選択または新しく作成できます。RTSP マップにより、 RTSP アプリケーション検査で使用されるコンフィギュレーションの値を変更できます。Select RTSP Map テーブルには、アプリケーション検査で選択可能な事前に設定されたマップのリストが表示されます。

フィールド

• Use the default RTSP inspection map ：デフォルトの RTSP 検査マップの使用を指定します。

• Select a RTSP inspect map for fine control over inspection ：定義済みのアプリケーション検査マップを選択するか、新しいマップを追加できます。

• Add：その検査の Add Policy Map ダイアログボックスを開きます。

モード

次の表に、この機能を使用できるモードを示します。

Select SCCP (Skinny) Map

Select SCCP (Skinny) Map ダイアログボックスでは、 SCCP (Skinny) マップを選択または新しく作成できます。 SCCP (Skinny) マップにより、 SCCP (Skinny) アプリケーション検査で使用されるコンフィギュレーションの値を変更できます。Select SCCP (Skinny) Map テーブルには、アプリケーション検査で選択可能な事前に設定されたマップのリストが表示されます。

フィールド

• Use the default SCCP (Skinny) inspection map ：デフォルトの SCCP (Skinny) マップの使用を指定します。

• Select an SCCP (Skinny) map for fine control over inspection ：定義済みのアプリケーション検査マップを選択するか、新しいマップを追加できます。

• Add：その検査の Add Policy Map ダイアログボックスを開きます。

• TLS Proxy：検査マップの TLS プロキシ設定を指定できます。

–Use TLS Proxy to enable inspection of encrypted traffic：TLS プロキシを使用して、暗号化されたトラフィックの検査をイネーブルにすることを指定します。

TLS Proxy Name：既存の TLS プロキシの名前。

New：TLS プロキシを追加するための Add TLS Proxy ダイアログボックスを開きます。

モード

次の表に、この機能を使用できるモードを示します。

Select SIP Map

Select SIP Map ダイアログボックスでは、 SIP マップを選択または新しく作成できます。 SIP マップにより、 SIP アプリケーション検査で使用されるコンフィギュレーションの値を変更できます。Select SIP Map テーブルには、アプリケーション検査で選択可能な事前に設定されたマップのリストが表示されます。

フィールド

• Use the default SIP inspection map ：デフォルトの SIP マップの使用を指定します。

• Select a SIP map for fine control over inspection ：定義済みのアプリケーション検査マップを選択するか、新しいマップを追加できます。

• Add：その検査の Add Policy Map ダイアログボックスを開きます。

• TLS Proxy：検査マップの TLS プロキシ設定を指定できます。

–Use TLS Proxy to enable inspection of encrypted traffic：TLS プロキシを使用して、暗号化されたトラフィックの検査をイネーブルにすることを指定します。

TLS Proxy Name：既存の TLS プロキシの名前。

New：TLS プロキシを追加するための Add TLS Proxy ダイアログボックスを開きます。

モード

次の表に、この機能を使用できるモードを示します。

Select SNMP Map

Select SNMP Map ダイアログボックスでは、SNMP マップを選択または新しく作成できます。SNMP マップにより、SNMP アプリケーション検査で使用されるコンフィギュレーションの値を変更できます。Select SNMP Map テーブルには、アプリケーション検査で選択可能な事前に設定されたマップのリストが表示されます。

フィールド

• Use the default SNMP inspection map ：デフォルトの SNMP マップの使用を指定します。

• Select an SNMP map for fine control over inspection ：定義済みのアプリケーション検査マップを選択するか、新しいマップを追加できます。

• Add：その検査の Add Policy Map ダイアログボックスを開きます。

モード

次の表に、この機能を使用できるモードを示します。

DNS Class Map

DNS Class Map パネルでは、DNS 検査のクラスマップを設定できます。

検査クラスマップで、アプリケーションのトラフィックをアプリケーション固有の基準と照合します。次に、クラスマップを検査マップから特定して、アクションをイネーブルにします。クラスマップを作成することと検査マップでトラフィックの照合を直接定義することの違いは、クラスマップでは複雑な照合基準を作成でき、クラスマップを再利用できるという点です。検査クラスマップは DNS、FTP、H.323、HTTP、IM、SIP のアプリケーションでサポートされます。

フィールド

• Name：DNS クラスマップの名前を示します。

• Match Conditions：クラスマップに設定されているタイプ、照合基準、値を示します。

–Match Type：一致タイプを示します。肯定一致と否定一致があります。

–Criterion：DNS クラスマップの基準を示します。

–Value：DNS クラスマップで照合する値を示します。

• Description：クラスマップの説明を示します。

• Add：DNS クラスマップの照合条件を追加します。

• Edit：DNS クラスマップの照合条件を編集します。

• Delete：DNS クラスマップの照合条件を削除します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit DNS Traffic Class Map

Add/Edit DNS Traffic Class Map ダイアログボックスでは、DNS クラスマップを定義できます。

フィールド

• Name：DNS クラスマップの名前を 40 文字以内で入力します。

• Description：DNS クラスマップの説明を入力します。

• Add：DNS クラスマップを追加します。

• Edit：DNS クラスマップを編集します。

• Delete：DNS クラスマップを削除します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit DNS Match Criterion

Add/Edit DNS Match Criterion ダイアログボックスでは、DNS クラスマップの照合基準と値を定義できます。

フィールド

• Match Type：基準に一致したトラフィックをクラスマップに含めるか、または一致しないトラフィックを含めるか指定します。

たとえば、文字列「example.com」で「No Match」を選択した場合、「example.com」を含むトラフィックはすべてクラスマップの対象外になります。

• Criterion：DNS トラフィックに適用する照合基準を指定します。

–Header Flag：ヘッダーの DNS フラグを照合します。

–Type：DNS クエリーまたはリソース レコードのタイプを照合します。

–Class：DNS クエリーまたはリソース レコードのクラスを照合します。

–Question：DNS の問い合せを照合します。

–Resource Record：DNS リソース レコードを照合します。

–Domain Name：DNS クエリーやリソース レコードのドメイン名を照合します。

• Header Flag Criterion Values：DNS ヘッダー フラグの照合値の詳細を指定します。

–Match Option：完全一致または全ビット一致（ビット マスク一致）のどちらかを指定します。

–Match Value：ヘッダー フラグについて名前と値のどちらを照合するか指定します。

Header Flag Name：照合するヘッダー フラグ名を 1 つ以上選択できます。AA（authoritative answer）、QR（query）、RA（recursion available）、RD（recursion denied）、TC（truncation）のフラグ ビットがあります。

Header Flag Value：任意の 16 ビットの値を 16 進数で入力して照合できます。

• Type Criterion Values：DNS タイプの照合値の詳細を指定します。

–DNS Type Field Name：選択する DNS タイプを一覧表示します。

A：IPv4 アドレス

NS：信頼できるネーム サーバ

CNAME：正規名

SOA：信頼ゾーンの開始

TSIG：トランザクション シグニチャ

IXFR：差分（ゾーン）転送

AXFR：完全（ゾーン）転送

–DNS Type Field Value：DNS タイプ フィールドについて値と範囲のどちらを照合するか指定します。

Value：0 ～ 65535 の範囲の値を入力して照合できます。

Range：範囲を入力して照合します。両方とも 0 ～ 65535 の範囲の値を指定します。

• Class Criterion Values：DNS クラスの照合値の詳細を指定します。

–DNS Class Field Name：インターネットで照合する DNS クラス フィールド名を指定します。

–DNS Class Field Value：DNS クラス フィールドについて値と範囲のどちらを照合するか指定します。

Value：0 ～ 65535 の範囲の値を入力して照合できます。

Range：範囲を入力して照合します。両方とも 0 ～ 65535 の範囲の値を指定します。

• Question Criterion Values：DNS の問い合せセクションの照合方法を指定します。

• Resource Record Criterion Values：DNS リソース レコードのセクションの照合方法を指定します。

–Resource Record：照合対象セクションを一覧表示します。

Additional：DNS 追加リソース レコード

Answer：DNS 応答リソース レコード

Authority：DNS 認証リソース レコード

• Domain Name Criterion Values：DNS ドメイン名の照合方法を指定します。

–Regular Expression：照合する定義された正規表現を一覧表示します。

–Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

–Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

–Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

モード

次の表に、この機能を使用できるモードを示します。

Manage Regular Expressions

Manage Regular Expressions ダイアログボックスでは、 Regular Expressions を設定し、パターン照合で使用できます。「_default」で始まる正規表現はデフォルトの正規表現です。変更または削除はできません。

フィールド

• Name：正規表現の名前を示します。

• Value：正規表現の定義値を示します。

• Add：正規表現を追加します。

• Edit：正規表現を編集します。

• Delete：正規表現を削除します。

モード

次の表に、この機能を使用できるモードを示します。

Manage Regular Expression Class Maps

Manage Regular Expression Class Maps ダイアログボックスでは、正規表現クラスマップを設定できます。詳細については、「Regular Expressions」を参照してください。

フィールド

• Name：正規表現クラスマップの名前を示します。

• Match Conditions：クラスマップの照合タイプと正規表現を示します。

–Match Type：照合タイプを示します。正規表現の場合、常に基準の肯定一致タイプ（等号（=）を表示したアイコン）になります。また、検査クラスマップで否定一致（赤丸を表示したアイコン）の作成もできます。クラスマップに正規表現が複数ある場合は、照合タイプ アイコンの隣にそれぞれ「OR」を表示し、「match any」クラスマップになっていることを示します。正規表現のいずれか 1 つと一致するだけで、トラフィックがクラスマップに一致します。

–Regular Expression：クラスマップごとに登録されている正規表現を一覧表示します。

• Description：クラスマップの説明を示します。

• Add：正規表現クラスマップを追加します。

• Edit：正規表現クラスマップを編集します。

• Delete：正規表現クラスマップを削除します。

モード

次の表に、この機能を使用できるモードを示します。

FTP Class Map

FTP Class Map パネルでは、FTP 検査のクラスマップを設定できます。

検査クラスマップで、アプリケーションのトラフィックをアプリケーション固有の基準と照合します。次に、クラスマップを検査マップから特定して、アクションをイネーブルにします。クラスマップを作成することと検査マップでトラフィックの照合を直接定義することの違いは、クラスマップでは複雑な照合基準を作成でき、クラスマップを再利用できるという点です。検査クラスマップは DNS、FTP、H.323、HTTP、IM、SIP のアプリケーションでサポートされます。

フィールド

• Name：FTP クラスマップの名前を示します。

• Match Conditions：クラスマップに設定されているタイプ、照合基準、値を示します。

–Match Type：一致タイプを示します。肯定一致と否定一致があります。

–Criterion：FTP クラスマップの基準を示します。

–Value：FTP クラスマップで照合する値を示します。

• Description：クラスマップの説明を示します。

• Add：FTP クラスマップを追加します。

• Edit：FTP クラスマップを編集します。

• Delete：FTP クラスマップを削除します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit FTP Traffic Class Map

Add/Edit FTP Traffic Class Map ダイアログボックスでは、FTP クラスマップを定義できます。

フィールド

• Name：FTP クラスマップの名前を 40 文字以内で入力します。

• Description：FTP クラスマップの説明を入力します。

• Add：FTP クラスマップを追加します。

• Edit：FTP クラスマップを編集します。

• Delete：FTP クラスマップを削除します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit FTP Match Criterion

Add/Edit FTP Match Criterion ダイアログボックスでは、FTP クラスマップの照合基準と値を定義できます。

フィールド

• Match Type：基準に一致したトラフィックをクラスマップに含めるか、または一致しないトラフィックを含めるか指定します。

たとえば、文字列「example.com」で「No Match」を選択した場合、「example.com」を含むトラフィックはすべてクラスマップの対象外になります。

• Criterion：FTP トラフィックに適用する照合基準を指定します。

–Request-Command：FTP 要求コマンドを照合します。

–File Name：FTP 転送のファイル名を照合します。

–File Type：FTP 転送のファイル タイプを照合します。

–Server：FTP サーバを照合します。

–User Name：FTP ユーザを照合します。

• Request-Command Criterion Values：FTP 要求コマンドの照合値の詳細を指定します。

–Request Command：照合する要求コマンドを 1 つ以上選択できます。

APPE：ファイルに追加します。

CDUP：現在のディレクトリから親ディレクトリへ移動します。

DELE：サーバ サイトのファイルを削除します。

GET：retr（retrieve a file）コマンドの FTP クライアント コマンドです。

HELP：サーバのヘルプ情報です。

MKD：ディレクトリを作成します。

PUT：stor（store a file）コマンドの FTP クライアント コマンドです。

RMD：ディレクトリを削除します。

RNFR：この名前からリネームします。

RNTO：この名前にリネームします。

SITE：サーバ固有のコマンドを指定します。

STOU：ファイルに一意の名前をつけて保存します。

• File Name Criterion Values：FTP 転送のファイル名の照合方法を指定します。

–Regular Expression：照合する定義された正規表現を一覧表示します。

–Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

–Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

–Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

• File Type Criterion Values：FTP 転送のファイル タイプの照合方法を指定します。

–Regular Expression：照合する定義された正規表現を一覧表示します。

–Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

–Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

–Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

• Server Criterion Values：FTP サーバの照合方法を指定します。

–Regular Expression：照合する定義された正規表現を一覧表示します。

–Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

–Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

–Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

• User Name Criterion Values：FTP ユーザの照合方法を指定します。

–Regular Expression：照合する定義された正規表現を一覧表示します。

–Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

–Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

–Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

モード

次の表に、この機能を使用できるモードを示します。

H.323 Class Map

H.323 Class Map パネルでは、H.323 検査のクラスマップを設定できます。

検査クラスマップで、アプリケーションのトラフィックをアプリケーション固有の基準と照合します。次に、クラスマップを検査マップから特定して、アクションをイネーブルにします。クラスマップを作成することと検査マップでトラフィックの照合を直接定義することの違いは、クラスマップでは複雑な照合基準を作成でき、クラスマップを再利用できるという点です。検査クラスマップは DNS、FTP、H.323、HTTP、IM、SIP のアプリケーションでサポートされます。

フィールド

• Name：H.323 クラスマップの名前を示します。

• Match Conditions：クラスマップに設定されているタイプ、照合基準、値を示します。

–Match Type：一致タイプを示します。肯定一致と否定一致があります。

–Criterion：H.323 クラスマップの基準を示します。

–Value：H.323 クラスマップで照合する値を示します。

• Description：クラスマップの説明を示します。

• Add：H.323 クラスマップを追加します。

• Edit：H.323 クラスマップを編集します。

• Delete：H.323 クラスマップを削除します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit H.323 Traffic Class Map

Add/Edit H.323 Traffic Class Map ダイアログボックスでは、H.323 クラスマップを定義できます。

フィールド

• Name：H.323 クラスマップの名前を 40 文字以内で入力します。

• Description：H.323 クラスマップの説明を入力します。

• Add：H.323 クラスマップを追加します。

• Edit：H.323 クラスマップを編集します。

• Delete：H.323 クラスマップを削除します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit H.323 Match Criterion

Add/Edit H.323 Match Criterion ダイアログボックスでは、H.323 クラスマップの照合基準と値を定義できます。

フィールド

• Match Type：基準に一致したトラフィックをクラスマップに含めるか、または一致しないトラフィックを含めるか指定します。

たとえば、文字列「example.com」で「No Match」を選択した場合、「example.com」を含むトラフィックはすべてクラスマップの対象外になります。

• Criterion：H.323 トラフィックに適用する照合基準を指定します。

–Called Party：受信側を照合します。

–Calling Party：発信元を照合します。

–Media Type：メディア タイプを照合します。

• Called Party Criterion Values：H.323 受信側の照合方法を指定します。

–Regular Expression：照合する定義された正規表現を一覧表示します。

–Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

–Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

–Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

• Calling Party Criterion Values：H.323 発信元の照合方法を指定します。

–Regular Expression：照合する定義された正規表現を一覧表示します。

–Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

–Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

–Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

• Media Type Criterion Values：照合するメディア タイプを指定します。

–Audio：音声タイプを照合します。

–Video：ビデオ タイプを照合します。

–Data：データ タイプを照合します。

モード

次の表に、この機能を使用できるモードを示します。

HTTP Class Map

HTTP Class Map パネルでは、HTTP 検査のクラスマップを設定できます。

検査クラスマップで、アプリケーションのトラフィックをアプリケーション固有の基準と照合します。次に、クラスマップを検査マップから特定して、アクションをイネーブルにします。クラスマップを作成することと検査マップでトラフィックの照合を直接定義することの違いは、クラスマップでは複雑な照合基準を作成でき、クラスマップを再利用できるという点です。検査クラスマップは DNS、FTP、H.323、HTTP、IM、SIP のアプリケーションでサポートされます。

フィールド

• Name：HTTP クラスマップの名前を示します。

• Match Conditions：クラスマップに設定されているタイプ、照合基準、値を示します。

–Match Type：一致タイプを示します。肯定一致と否定一致があります。

–Criterion：HTTP クラスマップの基準を示します。

–Value：HTTP クラスマップで照合する値を示します。

• Description：クラスマップの説明を示します。

• Add：HTTP クラスマップを追加します。

• Edit：HTTP クラスマップを編集します。

• Delete：HTTP クラスマップを削除します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit HTTP Traffic Class Map

Add/Edit HTTP Traffic Class Map ダイアログボックスでは、HTTP クラスマップを定義できます。

フィールド

• Name：HTTP クラスマップの名前を 40 文字以内で入力します。

• Description：HTTP クラスマップの説明を入力します。

• Add：HTTP クラスマップを追加します。

• Edit：HTTP クラスマップを編集します。

• Delete：HTTP クラスマップを削除します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit HTTP Match Criterion

Add/Edit HTTP Match Criterion ダイアログボックスでは、HTTP クラスマップの照合基準と値を定義できます。

フィールド

• Match Type：基準に一致したトラフィックをクラスマップに含めるか、または一致しないトラフィックを含めるか指定します。

たとえば、文字列「example.com」で「No Match」を選択した場合、「example.com」を含むトラフィックはすべてクラスマップの対象外になります。

• Criterion：HTTP トラフィックに適用する照合基準を指定します。

–Request/Response Content Type Mismatch：応答のコンテンツ タイプを、要求の accept フィールドの MIME タイプの 1 つに一致させるかどうかを指定します。

–Request Arguments：要求の引数を正規表現で照合します。

Regular Expression：照合する定義された正規表現を一覧表示します。

Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

–Request Body Length：要求の本文に指定したバイト数より長いフィールドがある場合、正規表現で照合します。

Greater Than Length：要求フィールドの長さと照合するフィールドの値をバイト単位で入力します。

–Request Body：要求の本文を正規表現で照合します。

Regular Expression：照合する定義された正規表現を一覧表示します。

Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

–Request Header Field Count：要求ヘッダーのフィールド数が最大値の場合、正規表現で照合します。

Predefined：要求のヘッダー フィールドを次の中から指定します。accept、accept-charset、accept-encoding、accept-language、allow、authorization、cache-control、connection、content-encoding、content-language、content-length、content-location、content-md5、content-range、content-type、cookie、date、expect、expires、from、host、if-match、if-modified-since、if-none-match、if-range、if-unmodified-since、last-modified、max-forwards、pragma、proxy-authorization、range、referer、te、trailer、transfer-encoding、upgrade、user-agent、via、warning。

Regular Expression：照合する定義された正規表現を一覧表示します。

Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

Greater Than Count：ヘッダー フィールド数の最大値を入力します。

–Request Header Field Length：要求ヘッダーに指定したバイト数より長いフィールドがある場合、正規表現で照合します。

Predefined：要求のヘッダー フィールドを次の中から指定します。accept、accept-charset、accept-encoding、accept-language、allow、authorization、cache-control、connection、content-encoding、content-language、content-length、content-location、content-md5、content-range、content-type、cookie、date、expect、expires、from、host、if-match、if-modified-since、if-none-match、if-range、if-unmodified-since、last-modified、max-forwards、pragma、proxy-authorization、range、referer、te、trailer、transfer-encoding、upgrade、user-agent、via、warning。

Regular Expression：照合する定義された正規表現を一覧表示します。

Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

Greater Than Length：要求フィールドの長さと照合するフィールドの値をバイト単位で入力します。

–Request Header Field：要求ヘッダーを正規表現で照合します。

Predefined：要求のヘッダー フィールドを次の中から指定します。accept、accept-charset、accept-encoding、accept-language、allow、authorization、cache-control、connection、content-encoding、content-language、content-length、content-location、content-md5、content-range、content-type、cookie、date、expect、expires、from、host、if-match、if-modified-since、if-none-match、if-range、if-unmodified-since、last-modified、max-forwards、pragma、proxy-authorization、range、referer、te、trailer、transfer-encoding、upgrade、user-agent、via、warning。

Regular Expression：照合する定義された正規表現を一覧表示します。

Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

–Request Header Count：要求ヘッダー数が最大値の場合、正規表現で照合します。

Greater Than Count：ヘッダー数の最大値を入力します。

–Request Header Length：要求ヘッダーが指定したバイト数より長い場合、正規表現で照合します。

Greater Than Length：ヘッダーの長さをバイト単位で入力します。

–Request Header non-ASCII：要求ヘッダーに含まれる ASCII 以外の文字を照合します。

–Request Method：要求の方式を正規表現で照合します。

Method：照合する要求方式を次の中から指定します。bcopy、bdelete、bmove、bpropfind、bproppatch、connect、copy、delete、edit、get、getattribute、getattributenames、getproperties、head、index、lock、mkcol、mkdir、move、notify、options、poll、post、propfind、proppatch、put、revadd、revlabel、revlog、revnum、save、search、setattribute、startrev、stoprev、subscribe、trace、unedit、unlock、unsubscribe。

Regular Expression：正規表現の照合方法を指定します。

Regular Expression：照合する定義された正規表現を一覧表示します。

Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

–Request URI Length：要求の URI が指定したバイト数より長い場合、正規表現で照合します。

Greater Than Length：URI の長さをバイト単位で入力します。

–Request URI：要求の URI を正規表現で照合します。

Regular Expression：照合する定義された正規表現を一覧表示します。

Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

–Response Body：要求の本文を regex で照合します。

ActiveX：ActiveX の照合方法を指定します。

Java Applet：Java アプレットの照合方法を指定します。

Regular Expression：正規表現の照合方法を指定します。

Regular Expression：照合する定義された正規表現を一覧表示します。

Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

–Response Body Length：応答の本文に指定したバイト数より長いフィールドがある場合、正規表現で照合します。

Greater Than Length：応答フィールドの長さと照合するフィールドの値をバイト単位で入力します。

–Response Header Field Count：応答ヘッダーのフィールド数が最大値の場合、正規表現で照合します。

Predefined：応答のヘッダー フィールドを次の中から指定します。accept-ranges、age、allow、cache-control、connection、content-encoding、content-language、content-length、content-location、content-md5、content-range、content-type、date、etag、expires、last-modified、location、pragma、proxy-authenticate、retry-after、server、set-cookie、trailer、transfer-encoding、upgrade、vary、via、warning、www-authenticate。

Regular Expression：照合する定義された正規表現を一覧表示します。

Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

Greater Than Count：ヘッダー フィールド数の最大値を入力します。

–Response Header Field Length：応答ヘッダーに指定したバイト数より長いフィールドがある場合、正規表現で照合します。

Predefined：応答のヘッダー フィールドを次の中から指定します。accept-ranges、age、allow、cache-control、connection、content-encoding、content-language、content-length、content-location、content-md5、content-range、content-type、date、etag、expires、last-modified、location、pragma、proxy-authenticate、retry-after、server、set-cookie、trailer、transfer-encoding、upgrade、vary、via、warning、www-authenticate。

Regular Expression：照合する定義された正規表現を一覧表示します。

Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

Greater Than Length：応答フィールドの長さと照合するフィールドの値をバイト単位で入力します。

–Response Header Field：応答ヘッダーを正規表現で照合します。

Predefined：応答のヘッダー フィールドを次の中から指定します。accept-ranges、age、allow、cache-control、connection、content-encoding、content-language、content-length、content-location、content-md5、content-range、content-type、date、etag、expires、last-modified、location、pragma、proxy-authenticate、retry-after、server、set-cookie、trailer、transfer-encoding、upgrade、vary、via、warning、www-authenticate。

Regular Expression：照合する定義された正規表現を一覧表示します。

Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

–Response Header Count：応答ヘッダー数が最大値の場合、正規表現で照合します。

Greater Than Count：ヘッダー数の最大値を入力します。

–Response Header Length：応答ヘッダーが指定したバイト数より長い場合、正規表現で照合します。

Greater Than Length：ヘッダーの長さをバイト単位で入力します。

–Response Header non-ASCII：応答ヘッダーに含まれる ASCII 以外の文字を照合します。

–Response Status Line：ステータス行を正規表現で照合します。

Regular Expression：照合する定義された正規表現を一覧表示します。

Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

モード

次の表に、この機能を使用できるモードを示します。

IM Class Map

IM Class Map パネルでは、IM 検査のクラスマップを設定できます。

検査クラスマップで、アプリケーションのトラフィックをアプリケーション固有の基準と照合します。次に、クラスマップを検査マップから特定して、アクションをイネーブルにします。クラスマップを作成することと検査マップでトラフィックの照合を直接定義することの違いは、クラスマップでは複雑な照合基準を作成でき、クラスマップを再利用できるという点です。検査クラスマップは DNS、FTP、H.323、HTTP、IM、SIP のアプリケーションでサポートされます。

フィールド

• Name：IM クラスマップの名前を示します。

• Match Conditions：クラスマップに設定されているタイプ、照合基準、値を示します。

–Match Type：一致タイプを示します。肯定一致と否定一致があります。

–Criterion：IM クラスマップの基準を示します。

–Value：IM クラスマップで照合する値を示します。

• Description：クラスマップの説明を示します。

• Add：IM クラスマップを追加します。

• Edit：IM クラスマップを編集します。

• Delete：IM クラスマップを削除します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit IM Traffic Class Map

Add/Edit IM Traffic Class Map ダイアログボックスでは、IM クラスマップを定義できます。

フィールド

• Name：IM クラスマップの名前を 40 文字以内で入力します。

• Description：IM クラスマップの説明を入力します。

• Add：IM クラスマップを追加します。

• Edit：IM クラスマップを編集します。

• Delete：IM クラスマップを削除します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit IM Match Criterion

Add/Edit IM Match Criterion ダイアログボックスでは、IM クラスマップの照合基準と値を定義できます。

フィールド

• Match Type：基準に一致したトラフィックをクラスマップに含めるか、または一致しないトラフィックを含めるか指定します。

たとえば、文字列「example.com」で「No Match」を選択した場合、「example.com」を含むトラフィックはすべてクラスマップの対象外になります。

• Criterion：IM トラフィックに適用する照合基準を指定します。

–Protocol：IM プロトコルを照合します。

–Service：IM サービスを照合します。

–Version：IM ファイル転送のサービス バージョンを照合します。

–Client Login Name：IM サービスのクライアント ログイン名を照合します。

–Client Peer Login Name：IM サービスのクライアントのピア ログイン名を照合します。

–Source IP Address：送信元 IP アドレスを照合します。

–Destination IP Address：宛先 IP アドレスを照合します。

–Filename：IM ファイル転送サービスのファイル名を照合します。

• Protocol Criterion Values：照合する IM プロトコルを指定します。

–Yahoo! Messenger：Yahoo! Messenger のインスタント メッセージを照合します。

–MSN Messenger：MSN Messenger のインスタント メッセージを照合します。

• Service Criterion Values：照合する IM サービスを指定します。

–Chat：IM メッセージ チャット サービスを照合します。

–Conference：IM コンファレンス サービスを照合します。

–File Transfer：IM ファイル転送サービスを照合します。

–Games：IM ゲーム サービスを照合します。

–Voice Chat：IM 音声チャット サービスを照合します（Yahoo の IM は対象外です）。

–Web Cam：IM Web カメラ サービスを照合します。

• Version Criterion Values：IM ファイル転送サービスで照合するバージョンを指定します。正規表現で照合します。

–Regular Expression：照合する定義された正規表現を一覧表示します。

–Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

–Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

–Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

• Client Login Name Criterion Values：IM サービスで照合するクライアント ログイン名を指定します。正規表現で照合します。

–Regular Expression：照合する定義された正規表現を一覧表示します。

–Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

–Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

–Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

• Client Peer Login Name Criterion Values：IM サービスで照合するクライアントのピア ログイン名を指定します。正規表現で照合します。

–Regular Expression：照合する定義された正規表現を一覧表示します。

–Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

–Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

–Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

• Source IP Address Criterion Values：IM サービスで照合する送信元 IP アドレスを指定します。

–IP Address：IM サービスの送信元 IP アドレスを入力します。

–IP Mask：送信元 IP アドレスのマスクです。

• Destination IP Address Criterion Values：IM サービスで照合する宛先 IP アドレスを指定します。

–IP Address：IM サービスの宛先 IP アドレスを入力します。

–IP Mask：宛先 IP アドレスのマスクです。

• Filename Criterion Values：IM ファイル転送サービスで照合するファイル名を指定します。正規表現で照合します。

–Regular Expression：照合する定義された正規表現を一覧表示します。

–Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

–Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

–Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

モード

次の表に、この機能を使用できるモードを示します。

SIP Class Map

SIP Class Map パネルでは、SIP 検査のクラスマップを設定できます。

検査クラスマップで、アプリケーションのトラフィックをアプリケーション固有の基準と照合します。次に、クラスマップを検査マップから特定して、アクションをイネーブルにします。クラスマップを作成することと検査マップでトラフィックの照合を直接定義することの違いは、クラスマップでは複雑な照合基準を作成でき、クラスマップを再利用できるという点です。検査クラスマップは DNS、FTP、H.323、HTTP、IM、SIP のアプリケーションでサポートされます。

フィールド

• Name：SIP クラスマップの名前を示します。

• Match Conditions：クラスマップに設定されているタイプ、照合基準、値を示します。

–Match Type：一致タイプを示します。肯定一致と否定一致があります。

–Criterion：SIP クラスマップの基準を示します。

–Value：SIP クラスマップで照合する値を示します。

• Description：クラスマップの説明を示します。

• Add：SIP クラスマップを追加します。

• Edit：SIP クラスマップを編集します。

• Delete：SIP クラスマップを削除します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit SIP Traffic Class Map

Add/Edit SIP Traffic Class Map ダイアログボックスでは、SIP クラスマップを定義できます。

フィールド

• Name：SIP クラスマップの名前を 40 文字以内で入力します。

• Description：SIP クラスマップの説明を入力します。

• Add：SIP クラスマップを追加します。

• Edit：SIP クラスマップを編集します。

• Delete：SIP クラスマップを削除します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit SIP Match Criterion

Add/Edit SIP Match Criterion ダイアログボックスでは、SIP クラスマップの照合基準と値を定義できます。

フィールド

• Match Type：基準に一致したトラフィックをクラスマップに含めるか、または一致しないトラフィックを含めるか指定します。

たとえば、文字列「example.com」で「No Match」を選択した場合、「example.com」を含むトラフィックはすべてクラスマップの対象外になります。

• Criterion：SIP トラフィックに適用する照合基準を指定します。

–Called Party：To ヘッダーに指定された受信側を照合します。

–Calling Party：From ヘッダーに指定された発信元を照合します。

–Content Length：ヘッダーのコンテンツの長さを照合します。0 ～ 65536 の範囲の値です。

–Content Type：ヘッダーのコンテンツ タイプを照合します。

–IM Subscriber：SIP IM の加入者を照合します。

–Message Path：SIP の Via ヘッダーを照合します。

–Request Method：SIP の要求方式を照合します。

–Third-Party Registration：サード パーティの登録要求者を照合します。

–URI Length：SIP ヘッダーにある URI を照合します。0 ～ 65536 の範囲の値です。

• Called Party Criterion Values：照合する受信側を指定します。正規表現で照合します。

–Regular Expression：照合する定義された正規表現を一覧表示します。

–Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

–Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

–Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

• Calling Party Criterion Values：照合する発信元を指定します。正規表現で照合します。

–Regular Expression：照合する定義された正規表現を一覧表示します。

–Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

–Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

–Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

• Content Length Criterion Values：指定値より長い SIP コンテンツ ヘッダーを照合します。

–Greater Than Length：ヘッダーの長さをバイト単位で入力します。

• Content Type Criterion Values：照合する SIP コンテンツ ヘッダーのタイプを指定します。

–SDP：SDP タイプの SIP コンテンツ ヘッダーを照合します。

–Regular Expression：正規表現を照合します。

Regular Expression：照合する定義された正規表現を一覧表示します。

Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

• IM Subscriber Criterion Values：照合する IM 登録者を指定します。正規表現で照合します。

–Regular Expression：照合する定義された正規表現を一覧表示します。

–Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

–Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

–Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

• Message Path Criterion Values：照合する SIP の Via ヘッダーを指定します。正規表現で照合します。

–Regular Expression：照合する定義された正規表現を一覧表示します。

–Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

–Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

–Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

• Request Method Criterion Values：照合する SIP 要求方式を指定します。

–Request Method：次の中から要求方式を指定します。ack、bye、cancel、info、invite、message、notify、options、prack、refer、register、subscribe、unknown、update。

• Third-Party Registration Criterion Values：照合するサード パーティの登録要求者を指定します。正規表現で照合します。

–Regular Expression：照合する定義された正規表現を一覧表示します。

–Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

–Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

–Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

• URI Length Criterion Values：SIP ヘッダーで指定した値より長い、選択したタイプの URI を照合します。

–URI type：SIP URI または TEL URI を指定して照合します。

–Greater Than Length：長さをバイト単位で指定します。

モード

次の表に、この機能を使用できるモードを示します。

DCERPC Inspect Map

DCERPC ペインでは、DCERPC アプリケーションの事前に設定された検査マップを表示できます。DCERPC マップでは、DCERPC アプリケーション検査のデフォルト設定値を変更できます。

DCERPC は、Microsoft のクライアント/サーバ アプリケーションで広く使われているプロトコルです。このプロトコルによって、ソフトウェア クライアントがサーバにあるプログラムをリモートで実行できるようになります。

通常、このプロトコルの接続では、クライアントがウェルノウン ポート番号で接続を受け入れるエンドポイント マッパー（EPM）というサーバに、必要なサービスについてダイナミックに割り当てられるネットワーク情報を問い合せます。次に、クライアントは、サービスを提供しているサーバのインスタンスへのセカンダリ接続を確立します。セキュリティ アプライアンスは、適切なポート番号とネットワーク アドレスへのセカンダリ接続を許可し、必要に応じて NAT を行います。

DCERPC 検査マップは、TCP のウェルノウン ポート 135 を経由した、EPM とクライアント間のネイティブ TCP の通信を検査します。クライアント用に EPM のマッピングとルックアップがサポートされています。クライアントとサーバは、どのセキュリティ ゾーンにあってもかまいません。サーバの埋め込まれた IP アドレスとポート番号は、EPM からの応答メッセージで受け取ります。クライアントが EPM から返されたサーバのポート番号で複数の接続を確立する可能性があるので、ピンホールを複数使用でき、ユーザがそのタイムアウトを設定できるようになっています。

フィールド

• DCERPC Inspect Maps：定義されている DCERPC 検査マップを一覧表示するテーブルです。

• Add：新しい DCERPC 検査マップを設定します。 DCERPC 検査マップを編集するには、DCERPC Inspect Maps テーブルで DCERPC のエントリを選択し、Customize をクリックします。

• Delete：DCERPC Inspect Maps テーブルで選択した検査マップを削除します。

• Security Level：セキュリティ レベル（High、Medium、Low）を選択します。

–Low

ピンホールのタイムアウト：00:02:00

エンドポイント マッパー サービス：適用強制しない

エンドポイント マッパー サービス ルックアップ：イネーブル

エンドポイント マッパー サービス ルックアップのタイムアウト：00:05:00

–Medium：デフォルト

ピンホールのタイムアウト：00:01:00

エンドポイント マッパー サービス：適用強制しない

エンドポイント マッパー サービス ルックアップ：ディセーブル

–High

ピンホールのタイムアウト：00:01:00

エンドポイント マッパー サービス：適用強制する

エンドポイント マッパー サービス ルックアップ：ディセーブル

–Customize：Add/Edit DCERPC Policy Map ダイアログボックスを開き、追加の設定を行います。

–Default Level：セキュリティ レベルをデフォルトの Medium レベルに戻します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit DCERPC Policy Map

Add/Edit DCERPC Policy Map ペインでは、DCERPC アプリケーション検査マップのセキュリティ レベルとパラメータを設定できます。

フィールド

• Name：DCERPC マップの追加時に DCERPC マップの名前を入力します。 DCERPC マップの編集時には、事前に設定した DCERPC マップの名前が表示されます。

• Description：DCERPC マップの説明を 200 文字以内で入力します。

• Security Level：セキュリティ レベル（High、Medium、Low）を選択します。

–Low

ピンホールのタイムアウト：00:02:00

エンドポイント マッパー サービス：適用強制しない

エンドポイント マッパー サービス ルックアップ：イネーブル

エンドポイント マッパー サービス ルックアップのタイムアウト：00:05:00

–Medium：デフォルト

ピンホールのタイムアウト：00:01:00

エンドポイント マッパー サービス：適用強制しない

エンドポイント マッパー サービス ルックアップ：ディセーブル

–High

ピンホールのタイムアウト：00:01:00

エンドポイント マッパー サービス：適用強制する

エンドポイント マッパー サービス ルックアップ：ディセーブル

–Default Level：セキュリティ レベルをデフォルトの Medium レベルに戻します。

• Details：詳細な設定を行うためのパラメータを表示します。

–Pinhole Timeout：ピンホール タイムアウトを設定します。クライアントが使用するサーバ情報は、複数の接続のエンドポイント マッパーから返される場合があるため、タイムアウト値はクライアントのアプリケーション環境を考慮して設定します。0:0:1 ～ 1193:0:0 の範囲で指定します。デフォルト値は 2 分です。

–Enforce endpoint-mapper service：バインディング中にエンドポイント マッパー サービスを適用します。

–Enable endpoint-mapper service lookup：エンドポイント マッパー サービスのルックアップをイネーブルにします。ディセーブルの場合、ピンホール タイムアウトが適用されます。

Enforce Service Lookup Timeout：指定されたサービス ルックアップ タイムアウトを適用します。

Service Lookup Timeout：ルックアップでピンホールした場合のタイムアウトを設定します。

モード

次の表に、この機能を使用できるモードを示します。

DNS Inspect Map

DNS ペインでは、DNS アプリケーションの事前に設定された検査マップを表示できます。DNS マップでは、DNS アプリケーション検査のデフォルト設定値を変更できます。

DNS アプリケーション検査は、DNS スプーフィングとキャッシュ ポイズニングを防ぐための DNS メッセージの管理機能をサポートしています。ユーザが設定できるルールを使用して、特定の DNS タイプを許可、ドロップ、ロギングし、他の DNS タイプをブロックすることができます。たとえば、ゾーン転送をこの機能のあるサーバ間だけに制限します。

公開サーバが特定の内部ゾーンだけをサポートしている場合に、DNS パケットのヘッダーにある Recursion Desired フラグと Recursion Available フラグをマスクして、サーバを攻撃から守ることができます。また、DNS のランダム化をイネーブルにすると、ランダム化をサポートしていないサーバや強度の低い擬似乱数ジェネレータを使用するサーバのスプーフィングやキャッシュ ポイズニングを回避できます。照会できるドメイン名を制限することにより、公開サーバの保護がさらに確実になります。

DNS の不一致の応答数が増える（キャッシュ ポイズニング攻撃を示す可能性があります）と、DNS の不一致のアラートを設定して通知されるようします。さらに、DNS のすべてのメッセージに Transaction Signature（TSIG; トランザクション シグニチャ）を付け、メッセージをチェックする設定も行えます。

フィールド

• DNS Inspect Maps：定義されている DNS 検査マップを一覧表示するテーブルです。

• Add：新しい DNS 検査マップを設定します。 DNS 検査マップを編集するには、DNS Inspect Maps テーブルで DNS のエントリを選択し、Customize をクリックします。

• Delete：DNS Inspect Maps テーブルで選択した検査マップを削除します。

• Security Level：セキュリティ レベル（High、Medium、Low）を選択します。

–Low：デフォルト

DNS Guard：イネーブル

NAT のリライト：イネーブル

プロトコル適用：イネーブル

ID のランダム化：ディセーブル

メッセージの長さのチェック：イネーブル

メッセージの最大長：512

不一致レートのロギング：ディセーブル

TSIG リソース レコード：適用強制しない

–Medium

DNS Guard：イネーブル

NAT のリライト：イネーブル

プロトコル適用：イネーブル

ID のランダム化：イネーブル

メッセージの長さのチェック：イネーブル

メッセージの最大長：512

不一致レートのロギング：イネーブル

TSIG リソース レコード：適用強制しない

–High

DNS Guard：イネーブル

NAT のリライト：イネーブル

プロトコル適用：イネーブル

ID のランダム化：イネーブル

メッセージの長さのチェック：イネーブル

メッセージの最大長：512

不一致レートのロギング：イネーブル

TSIG リソース レコード：適用強制する

• Customize：Add/Edit DNS Policy Map ダイアログボックスを開き、追加の設定を行います。

• Default Level：セキュリティ レベルをデフォルトの Low レベルに戻します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit DNS Policy Map（セキュリティ レベル）

Add/Edit DNS Policy Map ペインでは、DNS アプリケーション検査マップのセキュリティ レベルと追加の設定値を設定できます。

フィールド

• Name：DNS マップの追加時に DNS マップの名前を入力します。 DNS マップの編集時には、事前に設定した DNS マップの名前が表示されます。

• Description：DNS マップの説明を 200 文字以内で入力します。

• Security Level：セキュリティ レベル（High、Medium、Low）を選択します。

–Low：デフォルト

DNS Guard：イネーブル

NAT のリライト：イネーブル

プロトコル適用：イネーブル

ID のランダム化：ディセーブル

メッセージの長さのチェック：イネーブル

メッセージの最大長：512

不一致レートのロギング：ディセーブル

TSIG リソース レコード：適用強制しない

–Medium

DNS Guard：イネーブル

NAT のリライト：イネーブル

プロトコル適用：イネーブル

ID のランダム化：イネーブル

メッセージの長さのチェック：イネーブル

メッセージの最大長：512

不一致レートのロギング：イネーブル

TSIG リソース レコード：適用強制しない

–High

DNS Guard：イネーブル

NAT のリライト：イネーブル

プロトコル適用：イネーブル

ID のランダム化：イネーブル

メッセージの長さのチェック：イネーブル

メッセージの最大長：512

不一致レートのロギング：イネーブル

TSIG リソース レコード：適用強制する

–Default Level：セキュリティ レベルをデフォルトの Low レベルに戻します。

• Details：詳細な設定を行うための Protocol Conformance タブ、Filtering タブ、Mismatch Rate タブ、および Inspection タブを表示します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit DNS Policy Map（詳細）

Add/Edit DNS Policy Map ペインでは、DNS アプリケーション検査マップのセキュリティ レベルと追加の設定値を設定できます。

フィールド

• Name：DNS マップの追加時に DNS マップの名前を入力します。 DNS マップの編集時には、事前に設定した DNS マップの名前が表示されます。

• Description：DNS マップの説明を 200 文字以内で入力します。

• Security Level：設定するセキュリティ レベルを表示します。

• Protocol Conformance：このタブで DNS のプロトコル準拠を設定します。

–Enable DNS guard function：DNS ヘッダーの識別フィールドを使用して、DNS クエリーと応答の不一致のチェックを行います。1 つのクエリーに対して 1 つの応答がセキュリティ アプライアンスを通過できます。

–Enable NAT re-write function：DNS 応答の A レコードにある IP アドレスの変換をイネーブルにします。

–Enable protocol enforcement：DNS メッセージの形式チェックをイネーブルにします。ドメイン名、ラベルの長さ、圧縮、ループしたポインタなどをチェックします。

–Randomize the DNS identifier for DNS query：DNS クエリー メッセージの DNS 識別子をランダム化します。

–Enforce TSIG resource record to be present in DNS message：TSIG リソース レコードが DNS トランザクションに存在する必要があります。TSIG を強制的に適用すると、次のアクションが実行されます。

Drop packet：パケットをドロップします（ロギングはイネーブルまたはディセーブルに指定できます）。

Log：ロギングをイネーブルにします。

• Filtering：このタブで DNS のフィルタリングを設定します。

–Global Settings：設定がグローバルに適用されます。

Drop packets that exceed specified maximum length (global)：最大長（バイト）を超えるパケットをドロップします。

Maximum Packet Length：パケットの最大長をバイト単位で入力します。

–Server Settings：サーバの設定だけを適用します。

Drop packets that exceed specified maximum length：最大長（バイト）を超えるパケットをドロップします。

Maximum Packet Length：パケットの最大長をバイト単位で入力します。

Drop packets sent to server that exceed length indicated by the RR：Resource Record で指定された長さを超えるパケットがサーバに送信された場合はドロップします。

–Client Settings：クライアントの設定だけを適用します。

Drop packets that exceed specified maximum length：最大長（バイト）を超えるパケットをドロップします。

Maximum Packet Length：パケットの最大長をバイト単位で入力します。

Drop packets sent to client that exceed length indicated by the RR：Resource Record で指定された長さを超えるパケットがクライアントに送信された場合はドロップします。

• Mismatch Rate：このタブで DNS の ID 不一致レートを設定します。

–Enable Logging when DNS ID mismatch rate exceeds specified rate：DNS 識別子の不一致が多く発生した場合にレポートを表示します。

Mismatch Instance Threshold：不一致のインスタンスの最大数を入力します。この値を超えると、システム メッセージ ログに出力されます。

Time Interval：監視間隔時間（秒単位）を入力します。

• Inspections：このタブで DNS 検査のコンフィギュレーションを表示して、追加や編集ができます。

–Match Type：一致タイプを示します。肯定一致と否定一致があります。

–Criterion：DNS 検査の基準を示します。

–Value：DNS 検査で照合する値を示します。

–Action：照合条件が一致したときのアクションを示します。

–Log：ログの状態を示します。

–Add：Add DNS Inspect ダイアログボックスが開き、DNS 検査を追加できます。

–Edit：Edit DNS Inspect ダイアログボックスが開き、DNS 検査を編集できます。

–Delete：DNS 検査を削除します。

–Move Up：検査をリストの上に移動します。

–Move Down：検査をリストの下に移動します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit DNS Inspect

Add/Edit DNS Inspect ダイアログボックスでは、DNS 検査マップの照合基準と値を定義できます。

フィールド

• Single Match：DNS 検査に照合文が 1 つだけの場合に指定します。

• Match Type：トラフィックと値を一致させるかどうかを指定します。

たとえば、文字列「example.com」で「No Match」を選択した場合、「example.com」を含むトラフィックはすべてクラスマップの対象外になります。

• Criterion：DNS トラフィックに適用する照合基準を指定します。

–Header Flag：ヘッダーの DNS フラグを照合します。

–Type：DNS クエリーまたはリソース レコードのタイプを照合します。

–Class：DNS クエリーまたはリソース レコードのクラスを照合します。

–Question：DNS の問い合せを照合します。

–Resource Record：DNS リソース レコードを照合します。

–Domain Name：DNS クエリーやリソース レコードのドメイン名を照合します。

• Header Flag Criterion Values：DNS ヘッダー フラグの照合値の詳細を指定します。

–Match Option：完全一致または全ビット一致（ビット マスク一致）のどちらかを指定します。

–Match Value：ヘッダー フラグについて名前と値のどちらを照合するか指定します。

Header Flag Name：照合するヘッダー フラグ名を 1 つ以上選択できます。AA（authoritative answer）、QR（query）、RA（recursion available）、RD（recursion denied）、TC（truncation）のフラグ ビットがあります。

Header Flag Value：任意の 16 ビットの値を 16 進数で入力して照合できます。

• Type Criterion Values：DNS タイプの照合値の詳細を指定します。

–DNS Type Field Name：選択する DNS タイプを一覧表示します。

A：IPv4 アドレス

NS：信頼できるネーム サーバ

CNAME：正規名

SOA：信頼ゾーンの開始

TSIG：トランザクション シグニチャ

IXFR：差分（ゾーン）転送

AXFR：完全（ゾーン）転送

–DNS Type Field Value：DNS タイプ フィールドについて値と範囲のどちらを照合するか指定します。

Value：0 ～ 65535 の範囲の値を入力して照合できます。

Range：範囲を入力して照合します。両方とも 0 ～ 65535 の範囲の値を指定します。

• Class Criterion Values：DNS クラスの照合値の詳細を指定します。

–DNS Class Field Name：インターネットで照合する DNS クラス フィールド名を指定します。

–DNS Class Field Value：DNS クラス フィールドについて値と範囲のどちらを照合するか指定します。

Value：0 ～ 65535 の範囲の値を入力して照合できます。

Range：範囲を入力して照合します。両方とも 0 ～ 65535 の範囲の値を指定します。

• Question Criterion Values：DNS の問い合せセクションの照合方法を指定します。

• Resource Record Criterion Values：DNS リソース レコードのセクションの照合方法を指定します。

–Resource Record：照合対象セクションを一覧表示します。

Additional：DNS 追加リソース レコード

Answer：DNS 応答リソース レコード

Authority：DNS 認証リソース レコード

• Domain Name Criterion Values：DNS ドメイン名の照合方法を指定します。

–Regular Expression：照合する定義された正規表現を一覧表示します。

–Manage：Manage Regular Expressions ダイアログボックスが開き、正規表現を設定できます。

–Regular Expression Class：照合する定義された正規表現クラスを一覧表示します。

–Manage：Manage Regular Expression Class ダイアログボックスが開き、正規表現クラスマップを設定できます。

• Multiple Matches：DNS 検査の複数の照合文を指定します。

–DNS Traffic Class：DNS トラフィック クラスを照合します。

–Manage：Manage DNS Class Maps ダイアログボックスが開き、DNS クラスマップの追加、編集、削除ができます。

• Actions：プライマリ アクションおよびログを設定します。

–Primary Action：マスク、パケットをドロップ、接続をドロップ、なし。

–Log：イネーブルまたはディセーブルにします。

–Enforce TSIG：適用強制しない、パケットをドロップ、ログに出力、パケットをドロップしてログに出力。

モード

次の表に、この機能を使用できるモードを示します。

Manage Class Maps

Manage Class Map ダイアログボックスでは、検査のクラスマップを設定できます。

検査クラスマップで、アプリケーションのトラフィックをアプリケーション固有の基準と照合します。次に、クラスマップを検査マップから特定して、アクションをイネーブルにします。クラスマップを作成することと検査マップでトラフィックの照合を直接定義することの違いは、クラスマップでは複雑な照合基準を作成でき、クラスマップを再利用できるという点です。検査クラスマップは DNS、FTP、H.323、HTTP、インスタント メッセージ（IM）、SIP のアプリケーションでサポートされます。

フィールド

• Name：クラスマップの名前を示します。

• Match Conditions：クラスマップに設定されているタイプ、照合基準、値を示します。

–Match Type：一致タイプを示します。肯定一致と否定一致があります。

–Criterion：クラスマップの基準を示します。

–Value：クラスマップで照合する値を示します。

• Description：クラスマップの説明を示します。

• Add：クラスマップの照合条件を追加します。

• Edit：クラスマップの照合条件を編集します。

• Delete：クラスマップの照合条件を削除します。

モード

次の表に、この機能を使用できるモードを示します。

ESMTP Inspect Map

ESMTP ペインでは、ESMTP アプリケーションの事前に設定された検査マップを表示できます。ESMTP マップでは、ESMTP アプリケーション検査のデフォルト設定値を変更できます。

スパム、フィッシング、不正な形式のメッセージ、バッファ オーバーフロー/アンダーフローなどの攻撃の大部分は ESMTP トラフィックから発生するので、ESMTP トラフィックのパケットを詳細に検査して制御します。アプリケーション セキュリティとプロトコルで正常な ESMTP メッセージだけを通し、各種の攻撃の検出、送受信者およびメール中継のブロックも行います。

フィールド

• ESMTP Inspect Maps：定義されている ESMTP 検査マップを一覧表示するテーブルです。

• Add：新しい ESMTP 検査マップを設定します。 ESMTP 検査マップを編集するには、ESMTP Inspect Maps テーブルで ESMTP のエントリを選択し、Customize をクリックします。

• Delete：ESMTP Inspect Maps テーブルで選択した検査マップを削除します。

• Security Level：セキュリティ レベル（High、Medium、Low）を選択します。

–Low：デフォルト

コマンドラインの長さが 512 を超える場合、ログを出力

コマンドの宛先の数が 100 を超える場合、ログを出力

本文の行の長さが 1000 を超える場合、ログを出力

送信者のアドレスの長さが 320 を超える場合、ログを出力

MIME ファイル名の長さが 255 を超える場合、ログを出力

–Medium

サーバ バナーを難読化

コマンドラインの長さが 512 を超える場合、接続をドロップ

コマンドの宛先の数が 100 を超える場合、接続をドロップ

本文の行の長さが 1000 を超える場合、接続をドロップ

送信者のアドレスの長さが 320 を超える場合、接続をドロップ

MIME ファイル名の長さが 255 を超える場合、接続をドロップ

–High

サーバ バナーを難読化

コマンドラインの長さが 512 を超える場合、接続をドロップ

コマンドの宛先の数が 100 を超える場合、接続をドロップ

本文の行の長さが 1000 を超える場合、接続をドロップ

送信者のアドレスの長さが 320 を超える場合、接続をドロップしてログを出力

MIME ファイル名の長さが 255 を超える場合、接続をドロップしてログを出力

–MIME File Type Filtering：MIME Type Filtering ダイアログボックスを開き、MIME ファイル タイプのフィルタを設定します。

–Customize：Add/Edit ESMTP Policy Map ダイアログボックスを開き、追加の設定を行います。

–Default Level：セキュリティ レベルをデフォルトの Low レベルに戻します。

モード

次の表に、この機能を使用できるモードを示します。

MIME File Type Filtering

MIME File Type Filtering ダイアログボックスでは、MIME ファイル タイプのフィルタを設定できます。

フィールド

• Match Type：一致タイプを示します。肯定一致と否定一致があります。

• Criterion：検査の基準を示します。

• Value：検査で照合する値を示します。

• Action：照合条件が一致したときのアクションを示します。

• Log：ログの状態を示します。

• Add：Add MIME File Type Filter ダイアログボックスが開き、MIME ファイル タイプのフィルタを追加できます。

• Edit：Edit MIME File Type Filter ダイアログボックスが開き、MIME ファイル タイプのフィルタを編集できます。

• Delete：MIME ファイル タイプのフィルタを削除します。

• Move Up：エントリをリストの上に移動します。

• Move Down：エントリをリストの下に移動します。

モード

次の表に、この機能を使用できるモードを示します。

Add/Edit ESMTP Policy Map（セキュリティ レベル）

Add/Edit ESMTP Policy Map ペインでは、ESMTP アプリケーション検査マップのセキュリティ レベルと追加の設定値を設定できます。

フィールド

• Name：ESMTP マップの追加時に ESMTP マップの名前を入力します。 ESMTP マップの編集時には、事前に設定した ESMTP マップの名前が表示されます。

• Description：ESMTP マップの説明を 200 文字以内で入力します。

• Security Level：セキュリティ レベル（High、Medium、Low）を選択します。

–Low：デフォルト

コマンドラインの長さが 512 を超える場合、ログを出力

コマンドの宛先の数が 100 を超える場合、ログを出力

本文の行の長さが 1000 を超える場合、ログを出力

送信者のアドレスの長さが 320 を超える場合、ログを出力

MIME ファイル名の長さが 255 を超える場合、ログを出力

–Medium

サーバ バナーを難読化

コマンドラインの長さが 512 を超える場合、接続をドロップ

コマンドの宛先の数が 100 を超える場合、接続をドロップ

本文の行の長さが 1000 を超える場合、接続をドロップ

送信者のアドレスの長さが 320 を超える場合、接続をドロップ

MIME ファイル名の長さが 255 を超える場合、接続をドロップ

–High

サーバ バナーを難読化

コマンドラインの長さが 512 を超える場合、接続をドロップ

コマンドの宛先の数が 100 を超える場合、接続をドロップ

本文の行の長さが 1000 を超える場合、接続をドロップ

送信者のアドレスの長さが 320 を超える場合、接続をドロップしてログを出力

MIME ファイル名の長さが 255 を超える場合、接続をドロップしてログを出力

–MIME File Type Filtering：MIME Type Filtering ダイアログボックスを開き、MIME ファイル タイプのフィルタを設定します。

–Default Level：セキュリティ レベルをデフォルトの Low レベルに戻します。

• Details：詳細な設定を行うための Parameters タブと Inspections タブを表示します。

モード

次の表に、この機能を使用できるモードを示します。