ライセンス：任意

DNS ポリシーのルールには 1 から始まる番号が付いています。ASA FirePOWER モジュールは、ルール番号の昇順で、DNS ルールを上から順にトラフィックと照合します。ほとんどの場合、モジュールによるネットワーク トラフィックの処理は、すべてのルールの条件がトラフィックに一致する最初の DNS ルールに従って行われます。

• モニタ ルールの場合、モジュールはトラフィックをログに記録し、優先度が低い DNS ブラックリスト ルールに突き合わせてトラフィックの評価を続行します。

• 非モニタ ルールの場合、トラフィックがルールに一致したら、モジュールは追加の優先度が低い DNS ルールに突き合わせた評価を続行しません。

ルールの順序に関して、次の点に注意してください。

• グローバル ホワイトリストは必ず最初に使用され、他のすべてのルールに優先します。

• [Whitelist] セクションは [Blacklist] セクションに優先します。ホワイトリスト ルールは他のルールにいつでも必ず優先します。

• グローバル ブラックリストは [Blacklist] セクション内で必ず最初に使用され、他のすべてのモニタ ルールやブラックリスト ルールに優先します。

• [Blacklist] セクションには、モニタ ルールとブラックリスト ルールが含まれます。

• DNS ルールの最初の作成時に、モジュールはそれを、[Whitelist] アクションを割り当てる場合には [Whitelist] セクションの末尾に配置し、その他のアクションを割り当てる場合は [Blacklist] セクションの末尾に配置します。

それらを並べ替えて評価順序を変更するルールをドラッグ アンド ドロップできます。

ライセンス：任意

すべての DNS ルールには、一致するトラフィックについて次のことを決定するアクションがあります。

• 処理：第一に、ルール アクションは、モジュールがルールの条件に一致するトラフィックをホワイトリストに登録、モニタ、ブラックリストに登録するかどうかを制御します。
• ロギング：ルール アクションによって、一致するトラフィックの詳細をいつ、どのようにログに記録できるかが決まります。

インラインで展開されたデバイスのみがトラフィックをブラックリスト登録できることに留意してください。パッシブに展開されたデバイスは、ホワイトリストの登録やログの記録を実行できますが、トラフィックに影響を与えることはありません。

ライセンス：任意

DNS ルールの条件は、ルールで処理するトラフィックのタイプを特定します。条件は単純なものにも複雑なものにもできます。DNS フィードまたはリスト条件を定義する必要があります。セキュリティ ゾーンまたはネットワークでトラフィックをさらに制御できます。

条件を DNS ルールに追加するには、以下の手順に従います。

• ルールに対し特定の条件を設定しない場合、モジュールはその基準に基づいてトラフィックを照合しません。

• 1 つのルールにつき複数の条件を設定できます。ルールがトラフィックに適用されるには、トラフィックがそのルールのすべての条件に一致する必要があります。

• ルールの条件ごとに、最大 50 の基準を追加できます。条件の基準のいずれかに一致するトラフィックはその条件を満たします。たとえば、最大で 50 DNS のリストとフィードに基づいてトラフィックをブラックリストに登録する単一のルールを使用できます。