選択したアクションによって、侵入ルールでブロックしてアラートを発生させるか（防御モード）、またはアラートを発生させるのみにするか（検出モード）が決まります。

システム提供のポリシーまたは既存のポリシーをベースポリシーとして使用できます。

新しいポリシーにはベースポリシーと同じ設定項目が含まれています。

• モードの変更：検査モードを変更するには、[モード（Mode）] ドロップダウンをクリックします。

• [防御（Prevention）]：トリガーされたブロックルールはイベント（アラート）を作成し、接続をドロップします。

• [検出（Detection）]：トリガーされたブロックルールはアラートを生成します。

  防御モードに入る前に、検出モードを選択できます。たとえば、防御モードを選択する前に、多くの誤検出の原因となるルールを特定できるように、ブロックルールでアラートのみを生成することができます。

• 検索ルール：検索フィールドを使用して表示をフィルタ処理します。GID、SID、ルールメッセージ、または参照情報を入力できます。たとえば、GID:1; SID:9621 は ルール 1:962 のみを表示し 、SID:9621,9622,9623 は異なる SID を持つ複数のルールを表示します。[検索（Search）] テキストボックス内をクリックして、次のオプションのいずれかを選択することもできます。

  • フィルタ [アクション = アラート（Action = Alert）] または [アクション：ブロック（Action: Block）] を適用する

  • [無効なルール（Disabled Rules）] フィルタを適用する

  • [カスタム/ユーザ定義ルール（Custom/User Defined Rules）] を表示する

  • GID、SID、または GID:SID でフィルタ処理する

  • CVE でフィルタ処理する

  • コメントでフィルタ処理する

• フィルタ処理されたルールの表示：[プリセット（Presets）] のいずれかをクリックすると、アラート、ブロック、無効などに設定されているルールが表示されます。

  オーバーライドされたルールは、ルールアクションがデフォルトアクションから別のアクションに変更されたルールを示します。変更すると、元のデフォルトアクションに戻す場合でも、ルールアクションのステータスは [オーバーライド済み（Overridden ）] になります。ただし、[ルールアクション（Rule Action）] ドロップダウンリストから [デフォルトに戻す（Revert to default）] を選択すると、[オーバーライド済み（Overridden）] ステータスが削除されます。

  [高度なフィルタ（Advanced Filters）] は、Lightweight Security Package（LSP）のリリース、侵入の分類、および Microsoft の脆弱性に基づくフィルタオプションを提供します。

• ルールドキュメントの表示：ルールの Talos マニュアルを表示するには、ルール ID または [ルールマニュアル（Rule Documentation）] アイコンをクリックします。

• ルールの詳細の表示：ルールの詳細を表示するには、ルール行の 展開矢印（[展開矢印（expand arrow）] アイコン [展開矢印（expand arrow）] アイコン） アイコンをクリックします。

• ルールコメントの追加：ルールに関するコメントを追加するには、[コメント（Comments）] 列の下にある [コメント（Comment）]（）をクリックします。

• ルールグループの検索：検索フィールドを使用してキーワードを入力し、ルールグループを検索します。

• 左側のパネルで、ルールグループを検索するためのプリセット フィルタ オプションのいずれかを選択できます。

  • [すべて（All）]：すべてのルールグループを表示します。

  • [除外（Excluded）]：除外されたグループを表示します。

  • [含む（Included）]：含まれているグループを表示します。

  • [オーバーライド（Overridden）]：設定がオーバーライドされたルールグループを表示します。

• ルールグループのセキュリティレベルの設定：左側のペインで必要なルールグループに移動し、クリックします。システム定義のルール設定に基づいてセキュリティレベルを引き上げるか、または引き下げるには、ルールグループの [セキュリティレベル（Security Level）] の横にある [編集（Edit）] をクリックします。

  [セキュリティレベルの編集（Edit Security Level）] ダイアログボックスには、[デフォルトに戻す（Revert to Default）] をクリックするオプションがあります。これにより、行った変更が元に戻ります。

  Management Center は、設定されたセキュリティレベルのルールグループのルールアクションを自動的に変更します。[ルールのオーバーライド（Rule Overrides）] レイヤで、セキュリティレベルを変更するたびに、[事前設定（Presets）] の [ブロックルール（Block Rules）] と [無効ルール（Disabled Rules）] の数に注意してください。

• セキュリティレベルを一括変更して、特定のルールカテゴリ内のすべてのルールグループのセキュリティレベルを変更できます。セキュリティレベルの一括変更は、複数のルールグループを含むルールグループに適用されます。ルールグループの一括更新後も、その中の関連するルールグループのセキュリティレベルを更新できます。

  ルールグループ内で [混在（mixed）] セキュリティレベルとすることができます。[混在（mixed）] は、子グループに親ルールグループ内のセキュリティレベルが混在していることを示します。

• ルールグループを含めるまたは除外する：表示されるルールグループは、システムによって提供される基本の侵入ポリシーに関連付けられているデフォルトのルールグループです。侵入ポリシーにルールグループを含めたり、除外したりできます。除外されたルールグループは侵入ポリシーから削除され、そのルールはトラフィックに適用されません。Management Center にカスタムルールをアップロードする方法については、ルールグループへのカスタムルールの追加を参照してください。

  ルールグループを除外するには、次の手順を実行します。

  1. [ルールグループ（Rule Groups）] ペインに移動し、除外するルールグループを選択します。

  2. 右側のペインで [除外（Exclude）] ハイパーリンクをクリックします。

  3. [除外（Exclude）] をクリックします。

  アップロードされたカスタムルールまたは以前に除外されたルールグループを使用して 1 つまたは複数の新しいルールグループを含めるには、次の手順を実行します。

  1. ルール グループ フィルタ ドロップダウン リストの横にある Add ( ) をクリックします。

  2. ルールグループの横にあるチェックボックスをオンにして、追加するグループをすべて選択します。

  3. [保存（Save）] をクリックします。

• リーフルールグループの場合、[オーバーライド（Override）] 列ヘッダーの下にあるアイコンをクリックして、ルールアクションの証跡を表示します。これは、侵入ルールのベースポリシーおよびグループのオーバーライドのために割り当てることができる、オーバーライドされたルールアクションのシーケンスを示しています。ルールアクションは、ベースポリシー構成またはユーザーグループのオーバーライドから取得できます。ユーザーグループのオーバーライドは、この 2 つの間の優先順位を取得します。優先順位は、ルールグループに割り当てられた、オーバーライドされた最終的なアクションを参照します。

• [ルールカウント（Rule Count）] 列ヘッダーの下にあるルールカウント（数）をクリックして、ルールグループの一部であるルールの概要を表示します。

• [設定者（Set By）] 列には、状態（ベースポリシー）ごとのデフォルトのセット、またはグループのオーバーライド、ルールのオーバーライド、または推奨事項ごとに変更されたルールの状態が表示されます。[すべてのルール（All Rules）]（左ペイン）の [設定者（Set By）] 列には、優先順位に基づいたルールアクションのオーバーライドアクションの証跡が表示されます。ルールアクションの優先順位は、[ルールのオーバーライド（Rule Override）] > [推奨事項（Recommendations）] > [グループのオーバーライド（Group Override）] > [ベースポリシー（Base Policy）] です。

• [ルールアクション（Rule Action）] の変更：ルールアクションを変更するには、次のいずれかを選択します。

  • 一括編集：1 つまたは複数のルールを選択し、[ルールアクション（Rule Action）] ドロップダウンリストから必要なアクションを選択し、[保存（Save）] をクリックします。

    （注）	ルールアクションの一括変更は、最初の 500 個のルールでのみサポートされます。

  • 単一ルールの編集：[ルールアクション（Rule Action）] 列のドロップダウンリストからルールアクションを選択します。

  ルールアクションは次のとおりです。

  • [ブロック（Block）]：イベントを生成し、現在の一致するパケットと、この接続内の後続のすべてのパケットをブロックします。

  • [アラート（Alert）]：一致するパケットのイベントのみを生成し、パケットまたは接続をドロップしません。

  • [無効（Disabled）]：このルールとトラフィックを照合しません。イベントは生成されません。

  • [デフォルトに戻す（Revert to default）]：システムのデフォルトアクションに戻します。

  • [成功（Pass）]：イベントは生成されず、後続の Snort ルールによる以降の評価なしでパケットが通過できます。

    （注）	[成功（Pass）] アクションは、カスタムルールでのみ使用でき、システム提供のルールでは使用できません。

  • [ドロップ（Drop）]：イベントを生成し、一致するパケットをドロップし、この接続でそれ以上のトラフィックをブロックしません。

  • [拒否（Reject）]：イベントを生成し、一致するパケットをドロップし、この接続で後続のトラフィックをブロックして、TCP プロトコルの場合は TCP リセットを送信元および接続ホストに送信します。

    クライアントまたはサーバーに関連するさまざまなファイアウォールモードおよび IP アドレスまたは送信元または宛先での拒否の動作：Snort は、ルーティングされた、インライン、およびブリッジされたインターフェイスの場合、クライアントとサーバーの両方に RST パケットを送信します。Snort は 2 つの RST パケットを送信します。クライアント方向の RST パケットでは、送信元がサーバーの IP に設定され、宛先がクライアントの IP に設定されます。サーバー方向の RST パケットでは、送信元がクライアントの IP に設定され、宛先がサーバーの IP に設定されます。

  • [書き換え（Rewrite）]：ルールの置き換えオプションに基づいて、イベントを生成し、パケットの内容を上書きします。

  IPS ルールアクションのロギングについては、「ルールアクションのロギング」を参照して ください。

  [対応（React）] ルールがある場合は、アラートアクションに変換されます。

• ポリシーのルール分布、つまり、アクティブなルール、無効なルールなど。

• ポリシーをエクスポートし、侵入ポリシーのレポートを生成するオプション。

• ベースポリシーの詳細。

• 推奨事項を生成するオプション。

• オーバーライドしたグループのリストを表示するグループオーバーライド。

• オーバーライドしたルールのリストを表示するルールオーバーライド。

• [概要（Summary）] レイヤで、[?] アイコンをクリックして、Snort レイヤリングの概念を説明する Snort ヘルパーガイドのポップアップウィンドウを開きます。

ベースポリシーを変更するには、侵入ポリシーのベースポリシーの変更を参照してください。

• 作成：[ポリシーの作成（Create Policy）] をクリックします。カスタム Snort 3 侵入ポリシーの作成を参照してください。

• 削除：削除するポリシーの横にある をクリックします。別のユーザが保存していないポリシーの変更がある場合は、システムによって確認と通知のプロンプトが表示されます。[OK] をクリックして確認します。

  コントロールが淡色表示されている場合、設定は先祖ドメインに属しており、設定を変更する権限がありません。

• 侵入ポリシーの詳細の編集：編集するポリシーの横にある [編集（Edit）]（） をクリックします。侵入ポリシーの [名前（Name）]、[検査モード（Inspection Mode）]、および [ベースポリシー（Base Policy）] を編集できます。

• 侵入ポリシー設定の編集：[Snort 3 バージョン（Snort 3 Version）] をクリックします。Snort 3 侵入ポリシーの編集を参照してください。

• エクスポート：侵入ポリシーをエクスポートして別の Management Center にインポートする場合は、[エクスポート（Export）] をクリックします。最新バージョンの『Cisco Secure Firewall Management Center Configuration Guide』の「Exporting Configurations」トピックを参照してください。

• 展開：[展開（Deploy）] > [展開（Deployment）]を選択します。設定変更の展開を参照してください。

• レポート：[レポート（Report）] をクリックします。最新バージョンの『Cisco Secure Firewall Management Center Configuration Guide』の「Generating Current Policy Reports」トピックを参照してください。ポリシーバージョンごとに 1 つずつ、2 つのレポートを生成します。