Cisco ASA with FirePOWER Services ローカル管理設定ガ イ ド 6.0

アクセス コントロールのデフォルト ネットワーク分析ポリシーの設定

ライセンス： 任意

デフォルトでは、システムによって提供される [バランスの取れたセキュリティと接続（Balanced Security and Connectivity）] ネットワーク分析ポリシーは、アクセス コントロール ポリシーによって処理されるすべてのトラフィックに適用されます。トラフィックの前処理オプションを調整するためにネットワーク分析ルールを追加する場合は、デフォルトのネットワーク分析ポリシーがそのルールで処理されないすべてのトラフィックを前処理します。

アクセス コントロール ポリシーの詳細設定によって、このデフォルト ポリシーを変更することができます。

アクセス コントロール ポリシーのデフォルトのネットワーク分析ポリシーを変更するには、次の手順を実行します。

ステップ 1 デフォルトのネットワーク分析ポリシーを変更するアクセス コントロール ポリシーで、[詳細設定（Advanced）] タブを選択し、[ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] セクションの横にある編集アイコン（ ）をクリックします。

[ネットワーク分析ポリシー（Network Analysis Policies）] ダイアログボックスが表示されます。

ステップ 2 [デフォルトのネットワーク分析ポリシー（Default Network Analysis Policy）] ドロップダウンリストから、デフォルトのネットワーク分析ポリシーを選択します。システムによって作成されたポリシーまたはユーザが作成したポリシーを選択できます。

ユーザが作成したポリシーを選択した場合は、編集アイコン（ ）をクリックして、新しいウィンドウでポリシーを編集できます。システムによって提供されたポリシーは編集できません。

注意 シスコの担当者から指示された場合を除き、 Experimental Policy 1 は使用 しないでください。シスコでは、試験用にこのポリシーを使用します。

---

ステップ 3 [OK] をクリックして変更を保存します。

変更を反映するには、アクセス コントロール ポリシーを適用する必要があります。

ネットワーク分析ルールを使用して前処理するトラフィックの指定

ライセンス： 任意

アクセス コントロール ポリシーの詳細設定で、ネットワーク分析ルールを使用してネットワーク トラフィックへの前処理設定を調整できます。アクセス コントロール ルールと同様に、ネットワーク分析ルールには 1 から始まる番号が付いています。

システムがトラフィックを前処理するときに、パケットはルール番号の昇順で上から順にネットワーク分析ルールに照合され、すべてのルールの条件が一致する最初のルールに従ってトラフィックが前処理されます。次の表に、ルールに追加できる条件を示します。

 

表 17-1 ネットワーク分析ルール条件のタイプ

条件	トラフィックの照合	詳細
ゾーン	特定のセキュリティ ゾーンでインターフェイスを介したデバイスへの着信またはデバイスからの発信	セキュリティ ゾーンは、ご使用の導入ポリシーおよびセキュリティ ポリシーに準じた 1 つ以上のインターフェイスの論理グループです。ゾーン条件を作成するには、ゾーンごとのトラフィックの前処理を参照してください。
ネットワーク	その送信元または宛先 IP アドレスによる	IP アドレスを明示的に指定できます。ネットワーク条件を作成するには、ネットワークごとのトラフィックの前処理 を参照してください。

ルールに対し特定の条件を設定しない場合、システムはその基準に基づいてトラフィックを照合しません。たとえば、ネットワーク条件を持つがゾーン条件を持たないルールは、その入力または出力インターフェイスに関係なく、送信元または宛先 IP アドレスに基づいてトラフィックを評価します。いずれのネットワーク分析ルールにも一致しないトラフィックは、デフォルトのネットワーク分析ポリシーによって前処理されます。

カスタム ネットワーク分析ルールを追加するには、次の手順を実行します。

---

ステップ 1 カスタム前処理設定を作成するアクセス コントロール ポリシーで、[詳細設定（Advanced）] タブを選択して、[ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] セクションの横にある編集アイコン（ ）をクリックします。

[ネットワーク分析ポリシー（Network Analysis Policies）] ダイアログボックスが表示されます。カスタム ネットワーク分析ルールを追加していない場合、モジュール インターフェイスには カスタム ルールがない ことが示され、追加している場合は、設定している数が表示されます。

---

ヒント 新しいウィンドウで [ネットワーク分析ポリシー（Network Analysis Policies）] ページを表示するには、[ネットワーク分析ポリシー リスト（Network Analysis Policy List）] をクリックします。このページは、カスタム ネットワーク分析ポリシーを表示および編集するために使用します。ネットワーク分析ポリシーの管理を参照してください。

---

ステップ 2 [ネットワーク分析ルール（Network Analysis Rules）] の横にある、所持しているカスタム ルールの数を示したステートメントをクリックします。

ダイアログボックスが展開され、カスタム ルールが表示されます（ある場合）。

ステップ 3 [ルールの追加（Add Rule）] をクリックします。

ネットワーク分析ルール エディタが表示されます。

ステップ 4 ルールの条件を作成します。次の基準を使用して、NAP の前処理を制限できます。

• ゾーンごとのトラフィックの前処理
• ネットワークごとのトラフィックの前処理

ステップ 5 [ネットワーク分析（Network Analysis）] タブをクリックし、[ネットワーク分析ポリシー（Network Analysis Policy）] ドロップダウンリストからポリシーを選択することによって、ネットワーク分析ポリシーをルールに関連付けます。

システムは、ユーザが選択したネットワーク分析ポリシーを使用して、すべてのルールの条件を満たすトラフィックを前処理します。ユーザが作成したポリシーを選択した場合は、編集アイコン（ ）をクリックして、新しいウィンドウでポリシーを編集できます。システムによって提供されたポリシーは編集できません。

---

注意 シスコの担当者から指示された場合を除き、 Experimental Policy 1 は使用 しないでください。シスコでは、試験用にこのポリシーを使用します。

---

ステップ 6 [追加（Add）] をクリックします。

このルールは他のルールの後に追加されます。ルールの評価順序を変更する場合は、ネットワーク分析ルールの管理を参照してください。

---

 

ゾーンごとのトラフィックの前処理

ライセンス： 任意

ネットワーク分析ルール内のゾーン条件によって、その送信元および宛先セキュリティ ゾーン別にトラフィックを前処理することができます。セキュリティ ゾーンは 1 つ以上のインターフェイスのグループです。ゾーン作成の詳細については、セキュリティ ゾーンの操作を参照してください。

1 つのゾーン条件で [送信元ゾーン（Source Zones）] および [宛先ゾーン（Destination Zones）] それぞれに対し、最大 50 のゾーンを追加できます。

• ゾーン内のインターフェイスからデバイスから 発信する トラフィックを照合するには、そのゾーンを [宛先ゾーン（Destination Zones）] に追加します。パッシブに展開されたデバイスはトラフィックを送信しないので、 宛先ゾーン 条件でパッシブ インターフェイスから構成されるゾーンは使用できないことに注意してください。
• ゾーン内のインターフェイスからデバイスに 着信する トラフィックを照合するには、そのゾーンを [送信元ゾーン（Source Zones）] に追加します。

送信元ゾーン条件と宛先ゾーン条件の両方をルールに追加する場合、一致するトラフィックは指定された送信元ゾーンの 1 つから発生し、宛先ゾーンの 1 つを通って出力する必要があります。

警告アイコン（ ）は、インターフェイスが含まれていないゾーンなどの無効な設定を示します。詳細については、アクセス コントロール ポリシーおよびルールのトラブルシューティングを参照してください。

ゾーン別にトラフィックを前処理するには、次の手順を実行します。

ステップ 1 ゾーン別にトラフィックを前処理するアクセス コントロール ポリシーで、新しいネットワーク分析ルールを作成するか、または既存のルールを編集します。

詳細な手順については、ネットワーク分析ルールを使用して前処理するトラフィックの指定を参照してください。

ステップ 2 ネットワーク分析ルール エディタで、[ゾーン（Zones）] タブを選択します。

[ゾーン（Zones）] タブが表示されます。

ステップ 3 [利用可能なゾーン（Available Zones）] から追加するゾーンを見つけて選択します。

追加するゾーンを検索するには、[利用可能なゾーン（Available Zones）] リストの上にある [名前で検索（Search by name）] プロンプトをクリックし、ゾーン名を入力します。入力すると、リストが更新されて一致するゾーンが表示されます。

クリックすると、ゾーンを選択できます。複数のゾーンを選択するには、Shift キーおよび Ctrl キーを使用するか、または右クリックして [すべて選択（Select All）] を選択します。

ステップ 4 [送信元に追加（Add to Source）] または [宛先に追加（Add to Destination）] をクリックして、選択したゾーンを適切なリストに追加します。

選択したゾーンをドラッグ アンド ドロップすることもできます。

ステップ 5 ルールを保存するか、編集を続けます。

変更を反映させるには、アクセス コントロール ポリシーを適用する必要があります。設定変更の展開 を参照してください。

ネットワークごとのトラフィックの前処理

ライセンス： 任意

ネットワーク分析ルール内のネットワーク条件によって、その送信元および宛先 IP アドレス別にトラフィックを前処理することができます。前処理するトラフィックに対し送信元と宛先 IP アドレスを手動で指定でき、または、再利用可能で名前を 1 つ以上の IP アドレスおよびアドレス ブロックに関連付けるネットワーク オブジェクトでネットワーク条件を設定できます。

ヒント ネットワーク オブジェクトを作成した後、それを使用して、ネットワーク分析ルールを作成するだけでなく、システムのモジュール インターフェイスの他のさまざまな場所で IP アドレスを表すことができます。これらのオブジェクトはオブジェクト マネージャを使用して作成できます。また、ネットワーク分析ルールの設定時にネットワーク オブジェクトをオンザフライで作成することもできます。詳細については、ネットワーク オブジェクトの操作を参照してください。

1 つのネットワーク条件で [送信元ネットワーク（Source Networks）] および [宛先ネットワーク（Destination Networks）] それぞれに対し、最大 50 の項目を追加できます。

• IP アドレスからのトラフィックを照合するには、[送信元ネットワーク（Source Networks）] を設定します。
• IP アドレスへのトラフィックを照合するには、[宛先ネットワーク（Destination Networks）] を設定します。

送信元（Source）ネットワーク条件と宛先（Destination）ネットワーク条件の両方をルールに追加する場合、送信元 IP アドレスから発信されかつ宛先 IP アドレスに送信されるトラフィックの照合を行う必要があります。

ネットワーク条件を作成する際、警告アイコン（ ）は無効な設定を示します。詳細については、アクセス コントロール ポリシーおよびルールのトラブルシューティングを参照してください。

ネットワーク別にトラフィックを前処理するには、次の手順を実行します。

ステップ 1 ネットワーク別にトラフィックを前処理するアクセス コントロール ポリシーで、新しいネットワーク分析ルールを作成するか、または既存のルールを編集します。

詳細な手順については、ネットワーク分析ルールを使用して前処理するトラフィックの指定を参照してください。

ステップ 2 ネットワーク分析ルール エディタで、[ネットワーク（Networks）] タブを選択します。

[ネットワーク（Networks）] タブが表示されます。

ステップ 3 [利用可能なネットワーク（Available Networks）] から、次のように追加するネットワークを見つけて選択します。

• ここでネットワーク オブジェクトを作成してリストに追加するには、[利用可能なネットワーク（Available Networks）] リストの上にある追加アイコン（
）をクリックし、 ネットワーク オブジェクトの操作の手順に従います。

• 追加するネットワークを検索するには、[利用可能なネットワーク（Available Networks）] リストの上にある [名前または値で検索（Search by name or value）] プロンプトをクリックし、オブジェクトのコンポーネントの 1 つのオブジェクト名または値を入力します。入力すると、リストが更新されて一致するオブジェクトが表示されます。

オブジェクトを選択するには、そのオブジェクトをクリックします。複数のオブジェクトを選択するには、Shift キーおよび Ctrl キーを使用するか、または右クリックして [すべて選択（Select All）] を選択します。

ステップ 4 [送信元に追加（Add to Source）] または [宛先に追加（Add to Destination）] をクリックして、選択したオブジェクトを適切なリストに追加します。

選択したオブジェクトをドラッグ アンド ドロップすることもできます。

ステップ 5 手動で指定する送信元または宛先 IP アドレスまたはアドレス ブロックを追加します。

[送信元ネットワーク（Source Networks）] リストまたは [宛先ネットワーク（Destination Networks）] リストの下にある [IP アドレスの入力（Enter an IP address）] プロンプトをクリックし、1 つの IP アドレスまたはアドレス ブロックを入力して [追加（Add）] をクリックします。

ステップ 6 ルールを保存するか、編集を続けます。

変更を反映させるには、アクセス コントロール ポリシーを適用する必要があります。設定変更の展開 を参照してください。

ネットワーク分析ルールの管理

ライセンス： 任意

ネットワーク分析ルールは、これらの条件に一致するトラフィックを前処理する方法を指定する設定および条件の単純なセットにすぎません。既存のアクセス コントロール ポリシーの詳細オプションでネットワーク分析ルールを作成および編集します。各ルールは 1 つのポリシーにのみ属します。

カスタム ネットワーク分析ルールを編集するには、次の手順を実行します。

ステップ 1 カスタム前処理設定を変更するアクセス コントロール ポリシーで、[詳細設定（Advanced）] タブを選択して、[ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] セクションの横にある編集アイコン（ ）をクリックします。

[ネットワーク分析ポリシー（Network Analysis Policies）] ダイアログボックスが表示されます。カスタム ネットワーク分析ルールを追加していない場合、モジュール インターフェイスには カスタム ルールがない ことが示され、追加している場合は、設定している数が表示されます。

ステップ 2 [ネットワーク分析ルール（Network Analysis Rules）] の横にある、所持しているカスタム ルールの数を示したステートメントをクリックします。

ダイアログボックスが展開され、カスタム ルールが表示されます（ある場合）。

ステップ 3 カスタム ルールを編集します。次の選択肢があります。

• ルールの条件を編集する、またはルールによって呼び出されるネットワーク分析ポリシーを変更するには、ルールの横にある編集アイコン（
）をクリックします。

• ルールの評価順序を変更するには、ルールをクリックして正しい位置にドラッグします。複数のルールを選択するには、Shift キーおよび Ctrl キーを使用します。
• ルールを削除するには、ルールの横にある削除アイコン（
）をクリックします。

ステップ 4 [OK] をクリックして変更を保存します。

変更を反映させるには、アクセス コントロール ポリシーを適用する必要があります。設定変更の展開 を参照してください。