[ポリシー（Policies）] > [侵入（Intrusion）] を選択するときに、脅威を特定するために利用できるすべての侵入ルールのリストを参照してください。上記の表で、侵入ポリシーの名前をクリックすると、各ポリシーのルールを表示できます。

各ポリシーのルールのリストには、アラートまたはドロップに設定されているルールと、明示的に無効にしたルールだけが示されます。デフォルトで無効になっているルールは表示されません。30,000 以上のルールがありますが、すべての可能なルールのサブセットのみが表示されます。しかし、最小の有効なルール セットですら、リスト全体をスクロールするには時間がかかります。ルールは、スクロールしていくと明らかになります。

次に、各ルールを定義する属性を示します。

> (シグニチャの説明)

左の列の [>] ボタンをクリックして、署名の説明を開きます。説明は、トラフィックとルールを照合するために、Snort インスペクション エンジンによって使用されます。コードの説明はこのドキュメントの範囲外ですが、『Firepower Management Center Configuration Guide』で詳しく説明しています。http://www.cisco.com/c/en/us/support/security/defense-center/products-installation-and-configuration-guides-list.html からご使用のソフトウェアのバージョン用のブックを選択してください。侵入ルールの編集についての情報を探します。

署名には、特定の項目の変数が含まれています。詳細については、デフォルトの侵入変数セットを参照してください。

GID

ジェネレータ識別子（ID）。この数は、ルールを評価し、イベントを生成する、システム コンポーネントを示します。1 は標準テキスト侵入ルール、3 は共有オブジェクト侵入ルールを示します（これらのルール タイプの違いは Firepower Device Manager ユーザにとって意味はありません）。これらは、侵入ポリシーを設定するときに対象となる主なルールです。その他の GID の詳細については、ジェネレータ識別子を参照してください。

SID

Snort 識別子（ID）。署名 ID とも呼ばれます。1000000 より小さい Snort ID は Cisco Talos Intelligence Group（Talos） によって作成されたものです。

アクション

選択した侵入ポリシーでのこのルールの状態。各ルールに対し、このポリシー内のルールのデフォルト アクションに「（デフォルト）」が追加されます。ルールをデフォルトの設定に戻すには、このアクションを選択します。指定できるアクションは、次のとおりです。

• [アラート（Alert）]：このルールがトラフィックと一致するとイベントを作成しますが、接続はドロップしません。

• [ドロップ（Drop）]：このルールがトラフィックと一致するとイベントを作成し、接続をドロップします。

• [無効（Disabled）]：このルールではトラフィックは一致しません。イベントは生成されません。

ステータス

ルールに対するデフォルトのアクションを変更すると、この列に「上書き済み」と表示されます。それ以外の場合は、この列は空です。

メッセージ

これはルールの名前で、ルールによってトリガーされたイベントにも表示されます。メッセージは通常、署名が一致した脅威を識別します。それぞれの脅威の詳細についてインターネットで検索できます。

侵入ルールの署名には、特定の項目の変数が含まれます。変数のデフォルト値を次に示します。$HOME_NET と $EXTERNAL_NET が最もよく使用される変数です。プロトコルはポート番号とは別々に指定されるため、ポート変数は数字のみです。

• $AIM_SERVERS = ネットワークまたはホストのアドレス 20 個：64.12.24.0/23、64.12.28.0/23、64.12.31.136、64.12.46.140、64.12.161.0/24、64.12.163.0/24、64.12.186.85、64.12.200.0/24、205.188.1.132、205.188.3.0/24、205.188.5.0/24、205.188.7.0/24、205.188.9.0/24、205.188.11.228、205.188.11.253、205.188.11.254、205.188.153.0/24、205.188.179.0/24、205.188.210.203、205.188.248.0/24。

• $DNS_SERVERS = $HOME_NET（任意の IP アドレスを示します）。

• $EXTERNAL_NET = 任意の IP アドレス。

• $FILE_DATA_PORTS = $HTTP_PORTS、143、110。

• $FTP_PORTS = 21、2100、3535。

• $GTP_PORTS = 3386、2123、2152。

• $HOME_NET = 任意の IP アドレス。

• $HTTP_PORTS = 次の番号の 144 個のポート：36、80 ～ 90、311、383、443、555、591、593、631、666、801、808、818、901、972、1158、1212、1220、1414、1422、1533、1741、1830、1942、2231、2301、2381、2578、2809、2980、3029、3037、3057、3128、3443、3507、3702、4000、4343、4848、5000、5117、5222、5250、5450、5600、5814、6080、6173、6767、6988、7000、7001、7005、7071、7080、7144、7145、7510、7770、7777 ～ 7779、8000、8001、8008、8014、8015、8020、8028、8040、8060、8080 ～ 8082、8085、8088、8118、8123、8161、8180 ～ 8182、8222、8243、8280、8300、8333、8344、8400、8443、8500、8509、8787、8800、8888、8899、8983、9000、9002、9060、9080、9090、9091、9111、9290、9443、9447、9710、9788、9999、10000、11371、12601、13014、15489、19980、23472、29991、33300、34412、34443、34444、40007、41080、44449、50000、50002、51423、53331、55252、55555、56712。

• $HTTP_SERVERS = $HOME_NET（任意の IP アドレスを示します）。

• $ORACLE_PORTS = 任意。

• $SHELLCODE_PORTS = 180。

• $SIP_PORTS = 5060、5061、5600。

• $SIP_SERVERS = $HOME_NET（任意の IP アドレスを示します）。

• $SMTP_SERVERS = $HOME_NET（任意の IP アドレスを示します）。

• $SNMP_SERVERS = $HOME_NET（任意の IP アドレスを示します）。

• $SQL_SERVERS = $HOME_NET（任意の IP アドレスを示します）。

• $SSH_PORTS = 22。

• $SSH_SERVERS = $HOME_NET（任意の IP アドレスを示します）。

• $TELNET_SERVERS = $HOME_NET（任意の IP アドレスを示します）。

ジェネレータ識別子（GID）は、侵入ルールを評価し、イベントを生成するサブシステムを識別します。標準のテキスト侵入ルールのジェネレータ ID は 1、共有オブジェクト侵入ルールのジェネレータ ID は 3 です。また、各種プリプロセッサに対して複数のルール セットがあります。次の表で、GID について説明します。

ネットワーク分析ポリシーを直接割り当てることはできません。代わりに、システムは、アクセス制御ルールで割り当てた侵入ポリシーに基づいて NAP ルールを自動的に生成します。

NAP ルールは、セキュリティ ゾーンとネットワーク仕様にのみ基づいています。したがって、侵入ポリシーを含むアクセス制御ルールごとに、同じ送信元/送信先のセキュリティ ゾーンとネットワークに、同じ名前のネットワーク分析ポリシーを適用する NAP ルールが作成されます。ポート、URL、ユーザ、およびアプリケーションの基準は無視されます。

これは重要な違いです。ポート、アプリケーション、URL などのレイヤ 4 または 7 基準に基づいて異なる侵入ポリシーを適用できますが、それより高い層の基準はネットワーク分析ポリシーの選択に影響を与えません。

システムは、アクセス制御ルールと同じ順序で NAP ルールを順序付けします。システムでは、最初に一致した NAP ルールを使用して、適用するネットワーク分析ポリシーを決定します。

したがって、同じ送信元/送信先ゾーンとネットワーク オブジェクトの組み合わせのトラフィックを許可する制御ルールが複数あるが、別のトラフィック一致基準では異なる場合、システムは重複する複数の NAP ルールを生成し、2 番目とその後の重複するルールは、トラフィックに一致しなくなります。これらの「重複する」ルールに別の侵入ポリシーを適用する場合、少なくともトラフィックの一部は、侵入およびネットワーク分析ポリシーに一致しなくなります。

たとえば、次のルールについて考えてみます。

1. アクセス ルール 1

   • アクション：許可
   • [送信元ゾーン（Source zone）]：inside_zone
   • [送信元ネットワーク（Source network）]：any
   • [送信先ゾーン（Destination zone）]：outside_zone
   • [送信先ネットワーク（Destination Network）]：any
   • [URLカテゴリ（URL category）]：ソーシャル ネットワーク
   • [侵入ポリシー（Intrusion policy）]：接続性よりもセキュリティを優先

2. アクセス ルール 2

   • アクション：許可
   • [送信元ゾーン（Source zone）]：inside_zone
   • [送信元ネットワーク（Source network）]：any
   • [送信先ゾーン（Destination zone）]：outside_zone
   • [送信先ネットワーク（Destination Network）]：any
   • [侵入ポリシー（Intrusion policy）]：バランスのとれたセキュリティと接続性

この場合、2 つの NAP ルールがあります。

1. NAP ルール 1

   • [送信元ゾーン（Source zone）]：inside_zone
   • [送信元ネットワーク（Source network）]：any
   • [送信先ゾーン（Destination zone）]：outside_zone
   • [送信先ネットワーク（Destination Network）]：any
   • [ネットワーク分析ポリシー（Network analysis policy）]：接続性よりもセキュリティを優先

2. NAP ルール 2

   • [送信元ゾーン（Source zone）]：inside_zone
   • [送信元ネットワーク（Source network）]：any
   • [送信先ゾーン（Destination zone）]：outside_zone
   • [送信先ネットワーク（Destination Network）]：any
   • [ネットワーク分析ポリシー（Network analysis policy）]：バランスのとれたセキュリティと接続性

両方の NAP ルールには同じ一致基準があるために、システムは [接続性よりもセキュリティを優先（Security over Connectivity）] ネットワーク分析ポリシーを、アクセス制御ルール 1 または 2 のいずれかに一致するトラフィックに適用します。ただし、アクセス制御ルール 2 に一致するほとんどのトラフィックは、バランスのとれた侵入ポリシーを使用します。したがって、アクセス制御ルール 2 に一致するトラフィックは、NAP および侵入ポリシーに一致しません。

（注）	アクセス制御ポリシーで 1 つの侵入ポリシーを使用する場合、システムはデフォルトのポリシーと同じ名前のネットワーク分析ポリシーを設定するだけで、NAP ルールは生成しません。それ以外の場合は、デフォルトのネットワーク分析ポリシーとしてバランスのとれたポリシーを設定します。他の NAP ルールが適用されない場合はデフォルトのポリシーが適用されます。これは侵入ポリシーを割り当てていないゾーンとネットワークの組み合わせでは一般的です。

適したネットワーク分析ポリシーを得るために侵入ポリシーの割り当て方法を決定する際は、次の推奨事項を考慮してください。

• 同じ侵入ポリシーを常に使用する場合、同じ名前のネットワーク分析ポリシーをデフォルトとして設定し、常に適した侵入ポリシーおよびネットワーク分析ポリシーを取得します。

• 特定のトラフィックに対して異なる侵入ポリシーを使用する必要がある場合は、送信元/送信先のセキュリティ ゾーンとネットワーク オブジェクトの同じ組み合わせに対し常に同じ侵入ポリシーを使用します。これにより NAP ルールは、すべての関連付けられているアクセス制御ルールに対し同じ名前のネットワーク分析ポリシーを割り当てることが保証されます。

  たとえば、network_one の inside_zone から outside_zone への一部のトラフィックに対し、[接続性よりもセキュリティを優先（Security over Connectivity）] ポリシーを使用する必要があると決定した場合、同じ送信元/送信先ゾーンとネットワーク仕様を持つアクセス制御ルールごとに 、[接続性よりもセキュリティを優先（Security over Connectivity）] ポリシーを割り当てます。