Cisco ASA with FirePOWER Services ローカル管理設定ガイド

侵入廃棄ルールでのアクティブ応答の開始

ライセンス： Protection

廃棄ルールは、ルール状態が [ドロップしてイベントを生成する（Drop and Generate Events）] に設定された侵入ルールまたはプリプロセッサ ルールです。インライン展開では、システムは TCP または UDP 廃棄ルールに応答するために、トリガーしたパケットをドロップし、そのパケットが開始されたセッションをブロックします。パッシブ展開の場合、システムがパケットをドロップすることはできません。また、セッションをブロックすることもありませんが、アクティブ応答を使用する場合はその限りではありません。

ヒント UDP データ ストリームは一般にセッションという観点では考慮されないため、ストリーム プリプロセッサがカプセル化 IP データグラム ヘッダーの送信元および宛先 IP アドレス フィールドと UDP ヘッダーのポート フィールドを使用してフローの方向を判別し、UDP セッションを識別する方法については、UDP ストリームの前処理の使用で詳しく説明しています。

[最大アクティブ応答数（Maximum Active Responses）] オプションを設定することで、問題のあるパケットによって TCP または UDP 廃棄ルールがトリガーされた時点で、1 つ以上の アクティブ応答 を開始して、より正確かつ明示的に TCP 接続または UDP セッションを閉じることができます。

インライン展開でアクティブ応答が有効にされている場合、システムは TCP 廃棄ルールへの応答として、トリガーしたパケットをドロップし、クライアントとサーバの両方のトラフィックに TCP リセット（RST）パケットを挿入します。システムはパッシブ展開でパケットをドロップできません。アクティブ応答がパッシブ展開で有効になっている場合、システムは TCP 接続のクライアント側とサーバ側の両方に TCP リセットを送信することによって TCP 廃棄ルールに応答します。インライン展開またはパッシブ展開でアクティブ応答が有効にされていると、システムはセッションの両端に ICMP 到達不能パケットを送信することによって UDP セッションを閉じます。リセットは接続やセッションに影響を与えるのに間に合うまでに到着する可能性が高いため、アクティブ応答はインライン展開で最も効果を発揮します。

[最大アクティブ応答数（Maximum Active Responses）] オプションの設定方法によっては、接続またはセッションのいずれかの側からさらにトラフィックが発生しているようであれば、システムが追加のアクティブ応答を開始することもできます。システムは、指定された間隔（秒数）で、指定された最大回数まで追加のアクティブ応答を開始します。

アクティブ応答の最大数を設定する方法については、TCP グローバル オプションの選択を参照してください。

[最大アクティブ応答数（Maximum Active Responses）] の設定とは関係なく、 resp または react ルールがトリガーされた場合にも、アクティブ応答が開始されることに注意してください。ただし、[最大アクティブ応答数（Maximum Active Responses）] は、廃棄ルールに対するアクティブ応答の最大数を制御するのと同じ方法で、 resp および react ルールに対して追加のアクティブ応答をシステムが開始するかどうかを制御します。詳細については、ルール キーワードを使用したアクティブ応答の開始を参照してください。

config response コマンドを使用して、使用するアクティブ応答インターフェイス、およびパッシブ展開で試行する TCP リセットの回数を設定することもできます。詳細については、アクティブ応答のリセット試行とインターフェイスの設定を参照してください。

プリプロセッサ ルールは、次のオプションに関連付けられていません。

最大アクティブ応答数（Maximum Active Responses）

TCP 接続あたりのアクティブ応答の最大数を 1 ～ 25 の範囲で指定します。アクティブ応答が開始された接続でさらにトラフィックが発生し、前のアクティブ応答を送信してから [最小応答秒数（Minimum Response Seconds）] を超えるトラフィックが発生した場合、システムは指定された最大数に達するまで、別のアクティブ応答を送信します。0 を設定すると、廃棄ルールによってトリガーされるアクティブ応答が無効になり、 resp または react ルールによってトリガーされる追加のアクティブ応答も無効になります。詳細については、侵入廃棄ルールでのアクティブ応答の開始およびルール キーワードを使用したアクティブ応答の開始を参照してください。

最小応答秒数（Minimum Response Seconds）

[最小応答秒数（Maximum Active Responses）] に達するまで、システムがアクティブ応答を開始した接続で発生した追加のトラフィックに対して次のアクティブ応答を送信するまで待機する時間を 1 ～ 300 秒の範囲で指定します。

廃棄ルールでのアクティブ応答の開始方法：

手順 1 [設定（Configuration）] > [ASA FirePOWER 設定（ASA FirePOWER Configuration）] > [ポリシー（Policies）] > [アクセス コントロール ポリシー（Access Control Policy）] の順に選択します。

[アクセス コントロール ポリシー（Access Control Policy）] ページが表示されます。

手順 2 編集するアクセス コントロール ポリシーの横にある編集アイコン（ ）をクリックします。

アクセス コントロール ポリシー エディタが表示されます。

手順 3 [詳細設定（Advanced）] タブを選択します。

アクセス コントロール ポリシーの詳細設定ページが表示されます。

手順 4 [ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] の横にある編集アイコン（ ）をクリックします。

[ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] ポップアップ ウィンドウが表示されます。

手順 5 [ネットワーク分析ポリシー リスト（Network Analysis Policy List）] をクリックします。

[ネットワーク分析ポリシー リスト（Network Analysis Policy List）] ポップアップ ウィンドウが表示されます。

手順 6 編集するアクセス コントロール ポリシーの横にある編集アイコン（ ）をクリックします。

アクセス コントロール ポリシー エディタが表示されます。

手順 7 [詳細設定（Advanced）] タブを選択します。

アクセス コントロール ポリシーの詳細設定ページが表示されます。

手順 8 [転送またはネットワークレイヤプリプロセッサ設定（Transport/Network Layer Preprocessor Settings）] の横にある編集アイコン（ ）をクリックします。

[転送またはネットワークレイヤープリプロセッサ設定（Transport/Network Layer Preprocessor Settings）] ポップアップ ウィンドウが表示されます。

手順 9 次の選択肢があります。

• TCP 接続 1 つあたりの [最大アクティブ応答数（Maximum Active Responses）] を 1 ～ 25 の値で指定します。0 を設定すると、廃棄ルールによってトリガーされるアクティブ応答が無効になり、 resp または react ルールによってトリガーされる追加のアクティブ応答も無効になります。
• [最大アクティブ応答数（Maximum Active Responses）] が発生するか、またはシステムがアクティブ応答を開始した接続で追加のトラフィックが次のアクティブ応答をもたらすまで待機する [最小応答秒数（Maximum Active Responses）] を 1 ～ 300 の値で指定します。

手順 10 [OK] をクリックします。

変更を反映させるには、アクセス コントロール ポリシーを適用する必要があります。設定変更の展開を参照してください。

トラブルシューティング：セッション終了メッセージのロギング

ライセンス： 保護

トラブルシューティングの電話中に、個別の接続が指定したしきい値を超えた場合にメッセージを記録するようにシステムを設定することをサポートから依頼される場合があります。このオプションの設定を変更するとパフォーマンスに影響するので、必ずサポートのガイダンスに従って実行してください。

セッション終了メッセージの記録方法：

手順 1 [設定（Configuration）] > [ASA FirePOWER 設定（ASA FirePOWER Configuration）] > [ポリシー（Policies）] > [アクセス コントロール ポリシー（Access Control Policy）] の順に選択します。

[アクセス コントロール ポリシー（Access Control Policy）] ページが表示されます。

手順 2 編集するアクセス コントロール ポリシーの横にある編集アイコン（ ）をクリックします。

アクセス コントロール ポリシー エディタが表示されます。

手順 3 [詳細設定（Advanced）] タブを選択します。

アクセス コントロール ポリシーの詳細設定ページが表示されます。

手順 4 [ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] の横にある編集アイコン（ ）をクリックします。

[ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] ポップアップ ウィンドウが表示されます。

手順 5 [ネットワーク分析ポリシー リスト（Network Analysis Policy List）] をクリックします。

[ネットワーク分析ポリシー リスト（Network Analysis Policy List）] ポップアップ ウィンドウが表示されます。

手順 6 編集するアクセス コントロール ポリシーの横にある編集アイコン（ ）をクリックします。

アクセス コントロール ポリシー エディタが表示されます。

手順 7 [詳細設定（Advanced）] タブを選択します。

アクセス コントロール ポリシーの詳細設定ページが表示されます。

手順 8 [転送またはネットワークレイヤープリプロセッサ設定（Transport/Network Layer Preprocessor Settings）] の横にある編集アイコン（ ）をクリックします。

[転送またはネットワークレイヤープリプロセッサ設定（Transport/Network Layer Preprocessor Settings）] ポップアップ ウィンドウが表示されます。

手順 9 [トラブルシューティング オプション（Troubleshooting Options）] を展開します。

手順 10 [セッション終了ロギングしきい値（Session Termination Logging Threshold）] にメッセージの記録を開始するバイト数を指定します。セッションが終了し、そのバイト数を超えている場合はメッセージが記録されます。

上限は 1 GB ですが、デバイス上でストリーム処理のために割り振られるメモリの量によっても制限されます。

手順 11 [OK] をクリックします。

変更を反映させるには、アクセス コントロール ポリシーを適用する必要があります。設定変更の展開を参照してください。

IP フラグメンテーション エクスプロイトについて

ライセンス： Protection

IP 最適化を有効にすると、ネットワーク上のホストに対する攻撃（ティアドロップ攻撃など）や、システム自体に対するリソース消費攻撃（Jolt2 攻撃など）を検出するのに役立ちます。

ティアドロップ攻撃は、特定のオペレーティング システムのバグを悪用して、そのオペレーティング システムがオーバーラップした IP フラグメントを再構成しようとするとクラッシュするように仕掛けます。IP 最適化プリプロセッサを有効にして、オーバーラップしたフラグメントを識別するように設定すれば、該当するフラグメントを識別できます。IP 最適化プリプロセッサは、ティアドロップ攻撃などのオーバーラップ フラグメント攻撃で、最初のパケットを検出するだけで、同じ攻撃での後続のパケットは検出しません。

Jolt2 攻撃では、IP 最適化機能を酷使させるという方法でサービス妨害攻撃を仕掛けるために、フラグメント化された同じ IP パケットのコピーを大量に送信します。IP 最適化プリプロセッサでは、メモリ使用量の上限によって、このような攻撃を阻止し、包括的検査においてシステムを自己防衛状態にします。システムは攻撃によって過負荷にならず、運用可能な状態を維持し、ネットワーク トラフィックの検査を続行します。

フラグメント化されたパケットを再構成する方法は、オペレーティング システムによって異なります。ホストがどのオペレーティング システムで実行されているのかを攻撃者が特定できれば、その攻撃者はターゲット ホストが特定の方法で再構成するように不正なパケットをフラグメント化することも可能です。モニタ対象のネットワーク上でホストを実行しているオペレーティング システムは、システムには不明です。したがって、プリプロセッサがパケットを誤った方法で再構成して検査し、それによってエクスプロイトが検出されないままパス スルーする可能性があります。このような攻撃を軽減するために、ネットワーク上のホストごとに適切な方法でパケットを最適化するよう、最適化プリプロセッサを設定できるようになっています。詳細については、ターゲットベースの最適化ポリシーを参照してください。

適応型プロファイルを使用することで、パケットのターゲット ホストのホスト オペレーティング システム情報に応じて、IP 最適化プリプロセッサに適用するターゲットベースのポリシーが動的に選択されるようにすることができます。詳細については、パッシブ展開における前処理の調整を参照してください。

ターゲットベースの最適化ポリシー

ライセンス： Protection

ホストのオペレーティング システムは、パケットを再構成する際に優先するパケット フラグメントを判断するために、3 つの基準を使用します。それは、オペレーティング システムがフラグメントを受信した順序、フラグメントのオフセット（パケットの先頭からのフラグメントの距離（バイト単位））、オーバーラップ フラグメントとの相対開始位置および終了位置です。これらの基準はすべてのオペレーティング システムで使用されているものの、フラグメント化されたパケットを再構成するときに優先するフラグメントは、オペレーティング システムによって異なります。したがって、ネットワーク上で異なるオペレーティング システムを使用する 2 台のホストが、同じオーバーラップ フラグメントをまったく異なる方法で再構成する場合も考えられます。

いずれかのホストのオペレーティング システムを認識している攻撃者が、オーバーラップしたパケット フラグメントに不正なコンテンツを忍ばせて送信することによって、エクスプロイトの検出を免れ、そのホストを悪用する可能性があります。このパケットが他のホストで再構成されて検査されても、パケットに害はないように見えますが、ターゲット ホストで再構成される場合には不正なエクスプロイトが含まれています。ただし、モニタ対象のネットワーク セグメントで稼働するオペレーティング システムを認識するように IP 最適化プリプロセッサを設定すれば、このプリプロセッサがターゲット ホストと同じ方法でフラグメントを再構成することによって、攻撃を識別できます。

ターゲット ホストのオペレーティング システムに応じて、7 つの最適化ポリシーのうちのいずれかを使用するように IP 最適化プリプロセッサを設定できます。以下の表に、7 つのポリシーと、それぞれのポリシーを使用するオペレーティング システムを記載します。First と Last というポリシー名は、これらのポリシーが元のオーバーラップ パケットまたは後続のオーバーラップ パケットのどちらを優先するかを反映しています。

最適化オプションの選択

ライセンス： Protection

IP 最適化を有効または無効にすることだけを選択することもできますが、シスコでは、それよりも細かいレベルで、有効にする IP 最適化プリプロセッサの動作を指定することを推奨しています。

以下の説明でプリプロセッサ ルールが言及されていない場合、オプションにはプリプロセッサ ルールが関連付けられていません。

[事前に割り当てられたフラグメント（Preallocated Fragments）] グローバル オプションを設定できます。

事前に割り当てられたフラグメント（Preallocated Fragments）

プリプロセッサが一度に処理できる個々のフラグメントの最大数。事前割り当てするフラグメント ノードの数を指定すると、静的メモリ割り当てが有効になります。

注意 個々のフラグメントの処理には、約 1550 バイトのメモリが使用されます。プリプロセッサで個々のフラグメントを処理するために必要なメモリが、管理対象デバイスに事前定義された使用可能なメモリ量の制限を上回る場合は、デバイスのメモリ制限が優先されます。

---

IP 最適化ポリシーごとに、以下のオプションを設定できます。

ネットワーク（Networks）

最適化ポリシーを適用するホスト（複数可）の IP アドレス。

単一の IP アドレスまたはアドレス ブロック、あるいはこれらのいずれかまたは両方をカンマで区切ったリストを指定できます。デフォルト ポリシーを含め、合計で最大 255 個のプロファイルを指定できます。ASA FirePOWER モジュールでの IPv4 および IPv6 アドレス ブロックの使用については、IP アドレスの規則を参照してください。

デフォルト ポリシーの default 設定では、別のターゲットベース ポリシーでカバーされていないモニタ対象ネットワーク セグメントのすべての IP アドレスが指定されることに注意してください。したがって、デフォルト ポリシーの IP アドレスまたは CIDR ブロック/プレフィックス長は指定できず、また指定する必要もありません。また、別のポリシーでこの設定を空白にしたり、 any を表すアドレス表記（0.0.0.0/0 または ::/0）を使用したりすることはできません。

また、ターゲットベースのポリシーでトラフィックを処理する場合、特定するネットワークは、ターゲットベースのポリシーの設定対象となるネットワーク分析ポリシーによって処理されるネットワークおよびゾーンのサブセットであるか、またはそれらに一致する必要があります。詳細については、ネットワーク分析ポリシーによる前処理のカスタマイズを参照してください。

ポリシー

モニタ対象ネットワーク セグメント上のホスト一式に使用する最適化ポリシー。7 つのポリシー（BSD、BSD-Right、First、Linux、Last、Solaris、Windows）の中から選択できます。これらのポリシーの詳細については、ターゲットベースの最適化ポリシーを参照してください。

タイムアウト（Timeout）

プリプロセッサ エンジンがフラグメント化されたパケットを再構成する際に使用できる最大時間（秒数）を指定します。指定された時間内にパケットを再構成できない場合、プリプロセッサ エンジンはパケットの再構成試行を停止し、受信したフラグメントを破棄します。

最小 TTL（Minimum TTL）

パケットに許容される最小 TTL 値を指定します。このオプションは、TTL ベースの挿入攻撃を検出します。

このオプションのイベントを生成するには、ルール 123:1 を有効にします。詳細については、ルール状態の設定を参照してください。

異常検知（Detect Anomalies）

オーバーラップ フラグメントのようなフラグメンテーション問題を識別します。

以下のルールを有効にすることで、このオプションに対するイベントを生成できます。

• 123:1 ～ 123:4
• 123:5（BSD ポリシー）
• 123:6 ～ 123:8

オーバーラップ範囲（Overlap Limit）

セッションで最適化を停止する条件とする、セッションでのオーバーラップ セグメントの検出数を 0（無制限）～ 255 の範囲で指定します。このオプションを設定するには、[異常検知（Detect Anomalies）] を有効にする必要があります。値が空白の場合、このオプションは無効になります。

このオプションのイベントを生成するには、ルール 123:12 を有効にします。詳細については、ルール状態の設定を参照してください。

最小フラグメント サイズ（Minimum Fragment Size）

パケットを不正と見なす条件とする、検出されたフラグメント（最後のフラグメントを除く）の最小サイズを 0（無制限）～ 255 バイトの間で指定します。このオプションを設定するには、[異常検知（Detect Anomalies）] を有効にする必要があります。値が空白の場合、このオプションは無効になります。

このオプションのイベントを生成するには、ルール 123:13 を有効にします。詳細については、ルール状態の設定を参照してください。

IP デフラグの設定

ライセンス： Protection

IP 最適化プリプロセッサを設定するには、次の手順を実行します。IP 最適化プリプロセッサの設定オプションの詳細については、最適化オプションの選択を参照してください。

IP 最適化の設定方法：

手順 1 [設定（Configuration）] > [ASA FirePOWER 設定（ASA FirePOWER Configuration）] > [ポリシー（Policies）] > [アクセス コントロール ポリシー（Access Control Policy）] の順に選択します。

[アクセス コントロール ポリシー（Access Control Policy）] ページが表示されます。

手順 2 編集するアクセス コントロール ポリシーの横にある編集アイコン（ ）をクリックします。

アクセス コントロール ポリシー エディタが表示されます。

手順 3 [詳細設定（Advanced）] タブを選択します。

アクセス コントロール ポリシーの詳細設定ページが表示されます。

手順 4 [ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] の横にある編集アイコン（ ）をクリックします。

[ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] ポップアップ ウィンドウが表示されます。

手順 5 [ネットワーク分析ポリシー リスト（Network Analysis Policy List）] をクリックします。

[ネットワーク分析ポリシー リスト（Network Analysis Policy List）] ポップアップ ウィンドウが表示されます。

手順 6 編集するポリシーの横にある編集アイコン（ ）をクリックします。

別のポリシーに未保存の変更がある場合は、[OK] をクリックしてそれらの変更を破棄し、処理を続行します。別のポリシーでの未保存の変更の保存方法については、競合の解決とポリシー変更の確定を参照してください。

[ポリシーの編集（Edit Policy）] ページが表示されます。

手順 7 左側のナビゲーション パネルで [設定（Settings）] をクリックします。

[設定（Settings）] ページが表示されます。

手順 8 [トランスポートまたはネットワーク レイヤー プロセッサ（Transport/Network Layer Preprocessors）] で [IP 最適化（IP Defragmentation）] が有効にされているかどうかによって、以下の 2 つの選択肢があります。

• 設定が有効な場合、[編集（Edit）] をクリックします。
• 設定が無効である場合、[有効（Enabled）] をクリックし、[編集（Edit）] をクリックします。

[IP 最適化（IP Defragmentation）] ページが表示されます。ページ下部のメッセージは、設定を含むポリシー階層を示します。詳細については、ネットワーク分析ポリシーまたは侵入ポリシーでのレイヤの使用を参照してください。

手順 9 必要に応じて、[グローバル設定（Global Settings）] ページ領域にある [事前に割り当てられたフラグメント（Preallocated Fragments）] の設定を変更できます。

手順 10 次の 2 つの対処法があります。

• 新しいターゲットベースのポリシーを追加します。ページの左側で [サーバ（Servers）] の横にある追加アイコン（
）をクリックします。[ターゲットの追加（Add Target）] ポップアップ ウィンドウが表示されます。[ホスト アドレス（Host Address）] フィールドに 1 つまたは複数の IP アドレスを指定し、[OK] をクリックします。

単一の IP アドレスまたはアドレス ブロック、あるいはこれらのいずれかまたは両方をカンマで区切ったリストを指定できます。デフォルト ポリシーを含め、合計で最大 255 個のターゲットベースのポリシーを作成できます。ASA FirePOWER モジュールで IP アドレス ブロックを使用する方法については、IP アドレスの規則を参照してください。

ターゲットベースのポリシーでトラフィックを処理する場合、特定するネットワークは、ターゲットベースのポリシーの設定対象となるネットワーク分析ポリシーによって処理されるネットワークおよびゾーンのサブセットであるか、またはそれらに一致する必要があります。詳細については、ネットワーク分析ポリシーによる前処理のカスタマイズを参照してください。

ページの左側にあるターゲットのリストに新しいエントリが表示されます。このエントリは、強調表示によって選択された状態であることが示されます。また、[設定（Configuration）] セクションが更新されて、追加したポリシーの現在の構成が反映されます。

• 既存のターゲットベースのポリシーの設定を変更します。ページの左側の [ホスト（Hosts）] に追加されているポリシーの設定済みアドレスをクリックするか、[デフォルト（default）] をクリックします。

選択したエントリが強調表示され、[設定（Configuration）] セクションが更新されて、選択したポリシーの現在の設定が表示されます。既存のターゲットベースのポリシーを削除するには、削除するポリシーの横にある削除アイコン（ ）をクリックします。

手順 11 オプションで、[設定（Configuration）] ページ領域にあるオプションのいずれかを変更できます。

手順 12 ポリシーを保存する、編集を続行する、変更を破棄する、基本ポリシーのデフォルト設定に戻す、変更をシステム キャッシュに残して終了する、のいずれかを行います。詳細については、競合の解決とポリシー変更の確定を参照してください。

パケット復号化の設定

ライセンス： Protection

パケットのデコードは、[パケット デコーディング（Packet Decoding）] 設定ページで設定できます。パケットのデコード設定オプションの詳細については、パケット復号化についてを参照してください。

パケットのデコードの設定方法：

手順 1 [設定（Configuration）] > [ASA FirePOWER 設定（ASA FirePOWER Configuration）] > [ポリシー（Policies）] > [アクセス コントロール ポリシー（Access Control Policy）] の順に選択します。

[アクセス コントロール ポリシー（Access Control Policy）] ページが表示されます。

手順 2 編集するアクセス コントロール ポリシーの横にある編集アイコン（ ）をクリックします。

アクセス コントロール ポリシー エディタが表示されます。

手順 3 [詳細設定（Advanced）] タブを選択します。

アクセス コントロール ポリシーの詳細設定ページが表示されます。

手順 4 [ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] の横にある編集アイコン（ ）をクリックします。

[ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] ポップアップ ウィンドウが表示されます。

手順 5 [ネットワーク分析ポリシー リスト（Network Analysis Policy List）] をクリックします。

[ネットワーク分析ポリシー リスト（Network Analysis Policy List）] ポップアップ ウィンドウが表示されます。

手順 6 編集するポリシーの横にある編集アイコン（ ）をクリックします。

別のポリシーに未保存の変更がある場合は、[OK] をクリックしてそれらの変更を破棄し、処理を続行します。別のポリシーでの未保存の変更の保存方法については、競合の解決とポリシー変更の確定を参照してください。

[ポリシーの編集（Edit Policy）] ページが表示されます。

手順 7 左側のナビゲーション パネルで [設定（Settings）] をクリックします。

[設定（Settings）] ページが表示されます。

手順 8 [トランスポートまたはネットワーク レイヤー プロセッサ（Transport/Network Layer Preprocessors）] で [パケット デコーディング（Packet Decoding）] が有効にされているかどうかによって、以下の 2 つの選択肢があります。

• 設定が有効な場合、[編集（Edit）] をクリックします。
• 設定が無効である場合、[有効（Enabled）] をクリックし、[編集（Edit）] をクリックします。

[パケット デコーディング（Packet Decoding）] ページが表示されます。ページ下部のメッセージは、設定を含むポリシー階層を示します。詳細については、競合の解決とポリシー変更の確定を参照してください。

手順 9 [パケット デコーディング（Packet Decoding）] ページの任意の検出オプションを有効または無効にできます。詳細については、パケット復号化についてを参照してください。

手順 10 ポリシーを保存する、編集を続行する、変更を破棄する、基本ポリシーのデフォルト設定に戻す、変更をシステム キャッシュに残して終了する、のいずれかを行います。詳細については、競合の解決とポリシー変更の確定を参照してください。

状態に関連する TCP のエクスプロイトについて

ライセンス： Protection

侵入ルールに established 引数と組み合わせた flow キーワードを追加すると、侵入ルール エンジンはステートフル モードでルールとフロー ディレクティブに一致するパケットを検査します。ステートフル モードでは、クライアントとサーバの間で正当な 3 ウェイ ハンドシェイクによって確立された TCP セッションの一部であるトラフィックだけが評価されます。以下の図に、3 ウェイ ハンドシェイクを示します。

確立された TCP セッションの一部として識別できない TCP トラフィックをプリプロセッサが検出するようにシステムを設定することは可能です。しかし、このようなイベントは、システムをすぐに過負荷状態に陥らせ、しかも意味のあるデータを提供しないため、通常の使用法では推奨されません。

Stick や Snot などの攻撃では、システムの自身に対する広範なルール セットとパケット インスペクションを悪用します。これらのツールは、Snort ベースの侵入ルールのパターンに基づいてパケットを生成し、ネットワークに送信します。ステートフル インスペクションに対して設定するルールに flow または flowbits キーワードを含めなければ、パケットのそれぞれがルールをトリガーするため、システムが過負荷状態になります。ステートフル インスペクションを使用することで、確立された TCP セッションに含まれず、意味のある情報を提供しないこれらのパケットを無視できます。ステートフル インスペクションを実行すると、ルール エンジンは確立された TCP セッションに含まれる攻撃のみを検出するため、アナリストが stick や snot によって大量に生成されるイベントに時間を取られることがなくなります。

TCP グローバル オプションの選択

ライセンス： Protection

TCP ストリーム プリプロセッサには、TCP ストリーム プリプロセッサの動作を制御するグローバル オプションが 1 つあります。

プリプロセッサ ルールは、このオプションに関連付けられていません。

パケット タイプ パフォーマンスの向上（Packet Type Performance Boost）

送信元ポートおよび宛先ポートの両方を any に設定した TCP ルールで、 flow または flowbits オプションが使用されている場合を除き、有効化された侵入ルールに指定されていないポートおよびアプリケーション プロトコルのすべてについて、TCP トラフィックを無視するように設定します。このオプションはパフォーマンスを向上させますが、攻撃を見逃す可能性があります。

ターゲットベースの TCP ポリシーについて

ライセンス： Protection

オペレーティング システムによって、TCP の実装方法は異なります。たとえば、セッションをリセットするために、Windows やその他のオペレーティング システムの一部では TCP リセット セグメントに正確な TCP シーケンス番号を割り当てる必要があるのに対し、Linux や他のオペレーティング システムではシーケンス番号の範囲を使用できます。この例の場合、ストリーム プリプロセッサは、シーケンス番号に基づき、宛先ホストがリセットにどのように応答するかを正確に把握しなければなりません。ストリーム プリプロセッサがセッションの追跡を停止するのは、宛先ホストがリセットが有効であると見なした場合のみです。したがって、プリプロセッサがストリームの検査を停止した後は、パケットを送信することによって攻撃が検出を免れることはできません。TCP の実装方法の違いには、オペレーティング システムで TCP タイムスタンプ オプションを採用しているかどうか、採用している場合にはどのようにタイムスタンプを処理するか、そしてオペレーティング システムで SYN パケットのデータを受け入れるか、無視するかどうかも含まれます。

また、オーバーラップ TCP セグメントを再構成する方法も、オペレーティング システムによって異なります。オーバーラップ TCP セグメントは、確認応答済み TCP トラフィックの通常の再送信を反映する場合があります。あるいは、ホストのオペレーティング システムを認識している攻撃者が、エクスプロイトの検出を免れるためにオーバーラップ セグメントに不正なコンテンツを忍ばせて送信し、そのホストを悪用しようとしている場合もあります。ただし、モニタ対象のネットワーク セグメント上で稼働するオペレーティング システムを認識するようにストリーム プリプロセッサを設定すれば、そのプリプロセッサがターゲット ホストと同じ方法でセグメントを再構成することによって、攻撃を識別できます。

モニタ対象のネットワーク セグメント上のさまざまなオペレーティング システムに合わせて TCP ストリーム インスペクションおよび再構成を調整するために、1 つ以上の TCP ポリシーを作成することができます。ポリシーごとに、13 のオペレーティング システム ポリシーのうちの 1 つを特定します。異なるオペレーティング システムを使用するホストのいずれか、あるいはすべてを識別するために必要な数だけ TCP ポリシーを使用し、各 TCP ポリシーを特定の IP アドレスまたはアドレス ブロックにバインドします。デフォルトの TCP ポリシーは、他の TCP ポリシーで指定されていないモニタ対象ネットワーク上のすべてのホストに適用されます。したがって、デフォルトの TCP ポリシーに IP アドレス、CIDR ブロック、またはプレフィックス長を指定する必要はありません。

適応型プロファイルを使用することで、パケットのターゲット ホストのホスト オペレーティング システム情報に応じて、TCP ストリーム プリプロセッサに適用するターゲットベースのポリシーが動的に選択されるようにすることができます。詳細については、パッシブ展開における前処理の調整を参照してください。

以下の表に、オペレーティング システム ポリシーとそれを使用するホスト オペレーティング システムをリストします。

ヒント First オペレーティング システム ポリシーは、ホストのオペレーティング システムが不明な場合にはある程度の保護対策になります。ただし、攻撃を見逃す可能性もあります。オペレーティング システムが既知であれば、ポリシーを編集して、その正しいオペレーティング システムを指定してください。

TCP ポリシー オプションの選択

ライセンス： Protection

以下に、ストリーム プリプロセッサの検査対象とする TCP トラフィックを識別して制御するために設定できるオプションをリストし、説明します。

以下の説明でプリプロセッサ ルールが言及されていない場合、オプションにはプリプロセッサ ルールが関連付けられていません。

ネットワーク（Network）

TCP ストリーム再構成ポリシーを適用するホストの IP アドレスを指定します。

単一の IP アドレスまたはアドレス ブロックを指定できます。デフォルト ポリシーを含め、合計で最大 255 個のプロファイルを指定できます。ASA FirePOWER モジュールでの IPv4 および IPv6 アドレス ブロックの使用については、IP アドレスの規則を参照してください。

デフォルト ポリシーの default 設定では、別のターゲットベース ポリシーでカバーされていないモニタ対象ネットワーク セグメントのすべての IP アドレスが指定されることに注意してください。したがって、デフォルト ポリシーの IP アドレスまたは CIDR ブロック/プレフィックス長は指定できず、また指定する必要もありません。また、別のポリシーでこの設定を空白にしたり、 any を表すアドレス表記（0.0.0.0/0 または ::/0）を使用したりすることはできません。

また、ターゲットベースのポリシーでトラフィックを処理する場合、特定するネットワークは、ターゲットベースのポリシーの設定対象となるネットワーク分析ポリシーによって処理されるネットワークおよびゾーンのサブセットであるか、またはそれらに一致する必要があります。詳細については、ネットワーク分析ポリシーによる前処理のカスタマイズを参照してください。

ポリシー（Policy）

TCP ポリシーを適用するターゲット ホスト（複数可）のオペレーティング システムを識別します。[Mac OS] 以外のポリシーを選択すると、システムは同期（SYN）パケットからデータを削除し、ルール 129:2 に対するイベントの生成を無効にします。

詳細については、ターゲットベースの TCP ポリシーについてを参照してください。

タイムアウト（Timeout）

侵入ルール エンジンが非アクティブなストリームを状態テーブルで保持する秒数（1 ～ 86400 秒）。指定された期間内にストリームが再構成されない場合、侵入ルール エンジンはそのストリームを状態テーブルから削除します。

（注） ネットワーク トラフィックがデバイスの帯域幅制限に到達しやすいセグメントに、デバイスが展開されている場合は、処理のオーバーヘッド量を削減するために、この値を大きい値（たとえば、600 秒）に設定することを検討する必要があります。

最大 TCP ウィンドウ（Maximum TCP Window）

受信側ホストで指定されている TCP ウィンドウの最大許容サイズを 1 ～ 1073725440 バイトの範囲で指定します。値を 0 に設定すると、TCP ウィンドウ サイズのチェックが無効になります。

注意 上限は RFC で許可される最大ウィンドウ サイズです。これは、攻撃者が検出を回避できないようにすることを目的としていますが、あまりにも大きな最大ウィンドウ サイズを設定すると、システム自体がサービス妨害を招く可能性があります。

---

このオプションのイベントを生成するには、ルール 129:6 を有効にします。詳細については、ルール状態の設定を参照してください。

オーバーラップ範囲（Overlap Limit）

セッションで許容するオーバーラップ セグメントの数を 0（無制限）～ 255 の範囲で指定します。セッションで、この指定された値に達すると、セグメントの再構成が停止します。[ステートフル インスペクションの異常（Stateful Inspection Anomalies）] が有効にされていて、それに付随するプリプロセッサ ルールが有効にされている場合、イベントも生成されます。

このオプションのイベントを生成するには、ルール 129:7 を有効にします。詳細については、ルール状態の設定を参照してください。

フラッシュ ファクタ（Flush Factor）

インライン展開では、ここで設定するサイズ減少なしのセグメントの数（1 ～ 2048）の後にサイズが減少したセグメントが検出されると、システムは検出用に累積されたセグメント データをフラッシュします。値を 0 に設定すると、要求または応答の終わりを示す可能性のあるこのセグメント パターンの検出が無効になります。このオプションを有効にするには、インライン正規化の [TCP ペイロードの正規化（Normalize TCP Payload）] オプションを有効にする必要があることに注意してください。詳細については、インライン トラフィックの正規化を参照してください。

ステートフル インスペクションの異常（Stateful Inspection Anomalies）

TCP スタックの異常な動作を検出します。付随するプリプロセッサ ルールが有効にされている場合、TCP/IP スタックが不完全に作成されていると、多数のイベントが生成される可能性があります。

以下のルールを有効にすることで、このオプションに対するイベントを生成できます。

– 129:1 ～ 129:5

– 129:6（Mac OS のみ）

– 129:8 ～ 129:11

– 129:13 ～ 129:19

詳細については、ルール状態の設定を参照してください。

TCP セッションのハイジャック（TCP Session Hijacking）

3 ウェイ ハンドシェイク中に TCP 接続の両端から検出されたハードウェア（MAC）アドレスの有効性を、セッションで受信した後続のパケットに照合して検査することにより、TCP セッション ハイジャックを検出します。[ステートフル インスペクションの異常（Stateful Inspection Anomalies）] が有効にされていて、2 つの対応するプリプロセッサ ルールのいずれかが有効にされている場合、接続のどちらかの側の MAC アドレスが一致しないと、システムがイベントを生成します。

このオプションのイベントを生成するには、ルール 129:9 および 129:10 を有効にします。詳細については、ルール状態の設定を参照してください。

連続する小さなセグメント（Consecutive Small Segments）

[ステートフル インスペクションの異常（Stateful Inspection Anomalies）] が有効にされている場合、連続する小さな TCP セグメントの許容数を 1 ～ 2048 の範囲で指定します。値を 0 に設定すると、連続する小さなセグメントのチェックが無効になります。

このオプションは、[小さなセグメント サイズ（Small Segment Size）] オプションと同時に設定し、両方とも無効にするか、両方にゼロ以外の値を設定する必要があります。通常は、それぞれのセグメントの長さが 1 バイトであったとしても、ACK が介在することなく 2000 個もの連続するセグメントを受信することはないので注意してください。

このオプションのイベントを生成するには、ルール 129:12 を有効にします。詳細については、ルール状態の設定を参照してください。

小さなセグメント サイズ（Small Segment Size）

[ステートフル インスペクションの異常（Stateful Inspection Anomalies）] が有効にされている場合、小さいと見なされる TCP セグメントのサイズを 1 ～ 2048 バイトの範囲で指定します。値を 0 に設定すると、小さいセグメントのサイズの指定が無効になります。

このオプションは、[連続する小さなセグメント（Consecutive Small Segments）] オプションと同時に設定し、両方とも無効にするか、両方にゼロ以外の値を設定する必要があります。2048 バイトの TCP セグメントは、標準的な 1500 バイトのイーサネット フレームより大きいことに注意してください。

小さなセグメントを無視するポート（Ports Ignoring Small Segments）

[ステートフル インスペクションの異常（Stateful InspectionAnomalies）]、[連続する小さなセグメント（Consecutive Small Segments）]、および [小さなセグメント サイズ（Small Segment Size）] が有効にされている場合、必要に応じて、小さい TCP セグメントの検出を無視する 1 つ以上のポートのカンマ区切りリストを指定します。このオプションを空白のままにすると、ポートはすべて無視されないように指定されます。

リストには任意のポートを追加できますが、このリストが適用されるのは、TCP ポリシーの [ストリーム再構成を実行（Perform Stream Reassembly on）] ポート リストに指定されているポートのみです。

TCP 3 ウェイ ハンドシェイク必須（Require TCP 3-Way Handshake）

TCP スリーウェイ ハンドシェイクの完了時に確立されたセッションだけを処理することを指定します。パフォーマンスを向上させ、SYN フラッド攻撃から保護し、部分的に非同期の環境での運用を可能にするには、このオプションを無効にします。確立された TCP セッションには含まれていない情報を送信して誤検出を発生させようとする攻撃を回避するには、このオプションを有効にします。

このオプションのイベントを生成するには、ルール 129:20 を有効にします。詳細については、ルール状態の設定を参照してください。

3 ウェイ ハンドシェイク タイムアウト（3-Way Handshake Timeout）

[TCP 3 ウェイ ハンドシェイク必須（Require TCP 3-Way Handshake）] が有効にされている場合、ハンドシェイクを完了するまでの時間制限を 0（無制限）～ 86400 秒（24 時間）の範囲で指定します。このオプションの値を変更するには、[TCP 3 ウェイ ハンドシェイク必須（Require TCP 3-Way Handshake）] を有効にする必要があります。

パケット サイズ パフォーマンスの向上（Packet Size Performance Boost）

再構成バッファで大きいパケットをキューに入れないようにプリプロセッサを設定します。このオプションはパフォーマンスを向上させますが、攻撃を見逃す可能性があります。1 ～ 20 バイトの小さなパケットを使用した検出回避の試行から保護するには、このオプションを無効にします。すべてのトラフィックが非常に大きなパケットからなるため、そのような攻撃は起こらないと確信できる場合は、このオプションを有効にします。

レガシー再構成（Legacy Reassembly）

パケットを再構成する際に、廃止されたストリーム 4 プリプロセッサをエミュレートするようにストリーム プリプロセッサを設定します。これにより、ストリーム プリプロセッサで再構成されたイベントを、ストリーム 4 プリプロセッサで再構成された、同じデータ ストリームに基づくイベントと比較できます。

非同期ネットワーク（Asynchronous Network）

モニタ対象ネットワークが非同期ネットワーク（システムにトラフィックの半分だけが見えるネットワーク）であるかどうかを指定します。このオプションを有効にすると、システムは TCP ストリームを再構成しないため、パフォーマンスが向上します。

クライアント ポート、サーバ ポート、両ポートでのストリーム再構成の実行（Perform Stream Reassembly on Client Ports, Server Ports, Both Ports）

ストリーム プリプロセッサの再構成対象とするトラフィックを識別するクライアント ポート、サーバ ポート、またはその両方のカンマ区切りリストを指定します。ストリーム再構成オプションの選択を参照してください。

クライアント サービス、サーバ サービス、両サービスでのストリーム再構成の実行（Perform Stream Reassembly on Client Services, Server Services, Both Services）

ストリーム プリプロセッサの再構成対象とするトラフィックで識別するクライアント サービス、サーバ サービス、またはその両方のサービスを指定します。ストリーム再構成オプションの選択を参照してください。

トラブルシューティング オプション：最大キューイング バイト（Troubleshooting Options: Maximum Queued Bytes）

トラブルシューティングの電話中に、TCP 接続の片側でキューイングできるデータの量を指定するようにサポートから依頼される場合があります。値 0 は、無制限のバイト数を指定します。

注意 このトラブルシューティング オプションの設定を変更するとパフォーマンスに影響するので、必ずガイダンスに従って実行してください。

---

トラブルシューティング オプション：最大キューイング セグメント（Troubleshooting Options：Maximum Queued Segments）

トラブルシューティングの電話中に、TCP 接続の片側でキューイングできるデータ セグメントの最大バイト数を指定するようにサポートから依頼される場合があります。値 0 は、無制限のデータ セグメント バイト数を指定します。

注意 このトラブルシューティング オプションの設定を変更するとパフォーマンスに影響するので、必ずガイダンスに従って実行してください。

---

TCP ストリームのリアセンブル

ライセンス： Protection

ストリーム プリプロセッサは、TCP セッションでのサーバからクライアントへの通信ストリーム、クライアントからサーバへの通信ストリーム、またはその両方の通信ストリームに含まれるすべてのパケットを収集して再構成します。これにより、ルール エンジンは、特定のストリームに含まれる個々のパケットだけを検査するのではなく、ストリームを再構成された単一のエンティティとして検査できます。

詳細については、次の各項を参照してください。

• ストリームベースの攻撃について
• ストリーム再構成オプションの選択

ストリームベースの攻撃について

ライセンス： Protection

ストリーム再構成により、ルール エンジンは、個々のパケットを検査する場合には検出できない可能性のあるストリームベースの攻撃を識別できます。ルール エンジンの再構成対象とする通信ストリームは、ネットワークのニーズに応じて指定できます。たとえば、Web サーバ上のトラフィックをモニタする際に、独自の Web サーバから不正なトラフィックを受信する可能性がほとんどないため、クライアント トラフィックだけを検査するという場合もあります。

ストリーム再構成オプションの選択

ライセンス： Protection

各 TCP ポリシーに、ストリーム プリプロセッサが再構成するトラフィックを識別するポートのカンマ区切りのリストを指定できます。適応型プロファイルが有効にされている場合、再構成するトラフィックを識別するサービスを、ポートの代わりとして、あるいはポートと組み合わせてリストすることもできます。適応型プロファイルを有効にして使用する方法については、パッシブ展開における前処理の調整を参照してください。

ポート、サービス、またはその両方を指定できます。クライアント ポート、サーバ ポート、またはその両方を任意に組み合わせた個別のポート リストを指定できます。また、クライアント サービス、サーバ サービス、またはその両方を任意に組み合わせた個別のサービス リストを指定することもできます。たとえば、以下を再構成する必要があるとします。

• クライアントからの SMTP（ポート 25）トラフィック
• FTP サーバ応答（ポート 21）
• 両方向の Telnet（ポート 23）トラフィック

この場合、以下のように設定できます。

• クライアント ポートとして、 23, 25 を指定
• サーバ ポートとして、 21, 23 を指定

あるいは、以下のように設定することもできます。

• クライアント ポートとして、 25 を指定
• サーバ ポートとして、 21 を指定
• 両方のポートとして、 23 を指定

さらに、ポートとサービスを組み合わせた以下の設定例は、適応型プロファイルが有効にされている場合、有効になります。

• クライアント ポートとして、 23 を指定
• クライアント サービスとして、 smtp を指定
• サーバ ポートとして、 21 を指定
• サーバ サービスとして、 telnet を指定

all を引数として指定して、すべてのポートに対して再構成を指定することもできますが、シスコではポートを all に 設定しない よう推奨しています。この設定では、このプリプロセッサで検査するトラフィックの量が増え、不必要にパフォーマンスが低下するためです。

TCP 再構成には、自動的かつ透過的にその他のプリプロセッサに追加するポートが含まれています。しかし、他のプリプロセッサの設定に追加した TCP 再構成リストにポートを明示的に追加する場合は、これらの追加したポートは通常処理されます。これには、次のプリプロセッサのポート リストが含まれています。

• FTP/Telnet（サーバ レベル FTP）
• DCE/RPC
• HTTP Inspect
• SMTP
• Session Initiation Protocol
• POP
• IMAP
• SSL

ポートを無効にする（たとえば !77）と、TCP ストリーム プリプロセッサがそのポートのトラフィックを処理しなくなるのでパフォーマンスを向上できます。

追加のトラフィック タイプ（クライアント、サーバ、両方）を再構成すると、リソースの需要が増大することに注意してください。

以下の説明でプリプロセッサ ルールが言及されていない場合、オプションにはプリプロセッサ ルールが関連付けられていません。

クライアント ポートでのストリーム再構成の実行（Perform Stream Reassembly on Client Ports）

接続のクライアント側のポートに基づくストリームの再構成を有効にします。つまり、Web サーバ、メール サーバ、または一般に $HOME_NET で指定された IP アドレスによって定義されたその他の IP アドレスを宛先とするストリームが再構成されます。不正なトラフィックがクライアントから発生する可能性がある場合は、このオプションを使用します。

クライアント サービスでのストリーム最高性の実行（Perform Stream Reassembly on Client Services）

接続のクライアント側のサービスに基づくストリーム再構成を有効にします。不正なトラフィックがクライアントから発生する可能性がある場合は、このオプションを使用します。

この機能には、Protection および Control ライセンスが必要です。

サーバ ポートでのストリーム再構成の実行（Perform Stream Reassembly on Server Ports）

接続のサーバ側のポートに基づくストリーム再構成のみを有効にします。つまり、Web サーバ、メール サーバ、または一般に $EXTERNAL_NET で指定された IP アドレスによって定義されたその他の IP アドレスから発信されたストリームが再構成されます。サーバ側の攻撃を監視する必要がある場合は、このオプションを使用します。ポートを指定しないことによって、このオプションを無効にできます。

サーバ サービスでのストリーム再構成の実行（Perform Stream Reassembly on Server Services）

接続のサーバ側のサービスに基づくストリーム再構成のみを有効にします。サーバ側の攻撃を監視する必要がある場合は、このオプションを使用します。サービスを指定しないことによって、このオプションを無効にできます。

この機能には、Protection および Control ライセンスが必要です。

両方のポートでのストリーム再構成の実行（Perform Stream Reassembly on Both Ports）

接続のクライアント側とサーバ側の両方のポートに基づくストリーム再構成を有効にします。同じポートで、不正なトラフィックがクライアントとサーバ間のいずれの方向でも移動する可能性がある場合は、このオプションを使用します。ポートを指定しないことによって、このオプションを無効にできます。

両方のサービスでのストリーム再構成の実行（Perform Stream Reassembly on Both Services）

接続のクライアント側とサーバ側の両方のサービスに基づくストリーム再構成を有効にします。同じサービスで、不正なトラフィックがクライアントとサーバ間のいずれの方向でも移動する可能性がある場合は、このオプションを使用します。サービスを指定しないことによって、このオプションを無効にできます。

この機能には、Protection および Control ライセンスが必要です。

TCP ストリームの前処理の設定

ライセンス： Protection

TCP ポリシーを含め、TCP ストリームの前処理を設定できます。TCP ストリーム プリプロセッサの設定オプションの詳細については、TCP ポリシー オプションの選択を参照してください。

TCP セッションを追跡するストリーム プリプロセッサを設定する方法：

手順 1 [設定（Configuration）] > [ASA FirePOWER 設定（ASA FirePOWER Configuration）] > [ポリシー（Policies）] > [アクセス コントロール ポリシー（Access Control Policy）] の順に選択します。

[アクセス コントロール ポリシー（Access Control Policy）] ページが表示されます。

手順 2 編集するアクセス コントロール ポリシーの横にある編集アイコン（ ）をクリックします。

アクセス コントロール ポリシー エディタが表示されます。

手順 3 [詳細設定（Advanced）] タブを選択します。

アクセス コントロール ポリシーの詳細設定ページが表示されます。

手順 4 [ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] の横にある編集アイコン（ ）をクリックします。

[ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] ポップアップ ウィンドウが表示されます。

手順 5 [ネットワーク分析ポリシー リスト（Network Analysis Policy List）] をクリックします。

[ネットワーク分析ポリシー リスト（Network Analysis Policy List）] ポップアップ ウィンドウが表示されます。

手順 6 編集するポリシーの横にある編集アイコン（ ）をクリックします。

別のポリシーに未保存の変更がある場合は、[OK] をクリックしてそれらの変更を破棄し、処理を続行します。別のポリシーでの未保存の変更の保存方法については、競合の解決とポリシー変更の確定を参照してください。

[ポリシーの編集（Edit Policy）] ページが表示されます。

手順 7 左側のナビゲーション パネルで [設定（Settings）] をクリックします。

[設定（Settings）] ページが表示されます。

手順 8 [トランスポートまたはネットワーク レイヤー プロセッサ（Transport/Network Layer Preprocessors）] で [TCP ストリームの構成（TCP Stream Configuration）] が有効にされているかどうかによって、以下の 2 つの選択肢があります。

• 設定が有効な場合、[編集（Edit）] をクリックします。
• 設定が無効である場合、[有効（Enabled）] をクリックし、[編集（Edit）] をクリックします。

[TCP ストリームの構成（TCP Stream Configuration）] ページが表示されます。ページ下部のメッセージは、設定を含むポリシー階層を示します。詳細については、ネットワーク分析ポリシーまたは侵入ポリシーでのレイヤの使用を参照してください。

手順 9 必要に応じて、[グローバル設定（Global Settings）] の下にある [パケット タイプ パフォーマンスの向上（Packet Type Performance Boost）] を変更します。詳細については、TCP グローバル オプションの選択を参照してください。

手順 10 次の 2 つの対処法があります。

• 新しいターゲットベースのポリシーを追加します。ページの左側の [ホスト（Hosts）] の横にある追加アイコン（
）をクリックします。[ターゲットの追加（Add Target）] ポップアップ ウィンドウが表示されます。[ホスト アドレス（Host Address）] フィールドに 1 つまたは複数の IP アドレスを指定し、[OK] をクリックします。

単一の IP アドレスまたはアドレス ブロックを指定できます。デフォルト ポリシーを含め、合計で最大 255 個のターゲットベースのポリシーを作成できます。ASA FirePOWER モジュールで IP アドレス ブロックを使用する方法については、IP アドレスの規則を参照してください。

ターゲットベースのポリシーでトラフィックを処理する場合、特定するネットワークは、ターゲットベースのポリシーの設定対象となるネットワーク分析ポリシーによって処理されるネットワークおよびゾーンのサブセットであるか、またはそれらに一致する必要があります。詳細については、ネットワーク分析ポリシーによる前処理のカスタマイズを参照してください。

ページの左側にあるターゲットのリストに新しいエントリが表示されます。このエントリは、強調表示によって選択された状態であることが示されます。また、[設定（Configuration）] セクションが更新されて、追加したポリシーの現在の構成が反映されます。

• 既存のターゲットベースのポリシーの設定を変更します。ページの左側の [ホスト（Hosts）] に追加されているポリシーの設定済みアドレスをクリックするか、[デフォルト（default）] をクリックします。

選択したエントリが強調表示され、[設定（Configuration）] セクションが更新されて、選択したポリシーの現在の設定が表示されます。既存のターゲットベースのポリシーを削除するには、削除するポリシーの横にある削除アイコン（ ）をクリックします。

手順 11 必要に応じて、[設定（Configuration）] にある任意の TCP ポリシー オプションを変更します。

クライアント サービス、サーバ サービス、またはその両方に基づくストリーム再構成の設定を変更するには、ステップ 12 に進みます。そうでない場合は、ステップ 15 に進みます。

詳細については、TCP ポリシー オプションの選択およびストリーム再構成オプションの選択を参照してください。

手順 12 クライアント サービス、サーバ サービス、またはその両方に基づくストリーム再構成の設定を変更するには、変更するフィールドの内側をクリックするか、そのフィールドの横にある [編集（Edit）] をクリックします。

選択したフィールドのポップアップ ウィンドウが表示されます。

たとえば、次の図は、[両サービスでのストリーム再構成の実行（Perform Stream Reassembly on Both Services）] ポップアップ ウィンドウを示しています。

 

適応型プロファイルを有効にすることで、ネットワークで検出されたサービスに基づいてストリーム プリプロセッサが再構成するトラフィックをモニタできます。詳細については、パッシブ展開における前処理の調整を参照してください。

手順 13 次の 2 つの選択肢があります。

• モニタするサービスを追加するには、左側の [選択可能（Available）] リストで 1 つまたは複数のサービスを選択してから、右矢印（ > ）ボタンをクリックします。
• サービスを削除するには、右側の [有効（Enabled）] リストで削除するサービスを選択してから、左矢印（ < ）ボタンをクリックします。

複数のサービス ディテクタを選択するには、Ctrl キーまたは Shift キーを押しながらクリックします。また、クリック アンド ドラッグ操作で、複数の隣接するサービス ディテクタを選択することもできます。

手順 14 [OK] をクリックして、選択した項目を追加します。

[TCP ストリームの構成（TCP Stream Configuration）] ページが表示され、サービスが更新されます。

手順 15 任意で、サポートによって求められた場合にのみ、[トラブルシューティング オプション（Troubleshooting Options）] を展開し、TCP ストリーム前処理ポリシー設定のいずれかを変更します。詳細については、TCP ポリシー オプションの選択を参照してください。

手順 16 ポリシーを保存する、編集を続行する、変更を破棄する、基本ポリシーのデフォルト設定に戻す、変更をシステム キャッシュに残して終了する、のいずれかを行います。詳細については、競合の解決とポリシー変更の確定を参照してください。

---

 

UDP ストリームの前処理の設定

ライセンス： Protection

UDP ストリームの前処理を設定できます。

UDP セッションを追跡するストリーム プリプロセッサを設定する方法：

手順 1 [設定（Configuration）] > [ASA FirePOWER 設定（ASA FirePOWER Configuration）] > [ポリシー（Policies）] > [アクセス コントロール ポリシー（Access Control Policy）] の順に選択します。

[アクセス コントロール ポリシー（Access Control Policy）] ページが表示されます。

手順 2 編集するアクセス コントロール ポリシーの横にある編集アイコン（ ）をクリックします。

アクセス コントロール ポリシー エディタが表示されます。

手順 3 [詳細設定（Advanced）] タブを選択します。

アクセス コントロール ポリシーの詳細設定ページが表示されます。

手順 4 [ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] の横にある編集アイコン（ ）をクリックします。

[ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] ポップアップ ウィンドウが表示されます。

手順 5 [ネットワーク分析ポリシー リスト（Network Analysis Policy List）] をクリックします。

[ネットワーク分析ポリシー リスト（Network Analysis Policy List）] ポップアップ ウィンドウが表示されます。

手順 6 編集するポリシーの横にある編集アイコン（ ）をクリックします。

別のポリシーに未保存の変更がある場合は、[OK] をクリックしてそれらの変更を破棄し、処理を続行します。別のポリシーでの未保存の変更の保存方法については、競合の解決とポリシー変更の確定を参照してください。

[ポリシーの編集（Edit Policy）] ページが表示されます。

手順 7 左側のナビゲーション パネルで [設定（Settings）] をクリックします。

[設定（Settings）] ページが表示されます。

手順 8 [トランスポートまたはネットワーク レイヤー プロセッサ（Transport/Network Layer Preprocessors）] で [UDP ストリームの構成（UDP Stream Configuration）] が有効にされているかどうかによって、以下の 2 つの選択肢があります。

• 設定が有効な場合、[編集（Edit）] をクリックします。
• 設定が無効である場合、[有効（Enabled）] をクリックし、[編集（Edit）] をクリックします。

[UDP ストリームの構成（UDP Stream Configuration）] ページが表示されます。ページ下部のメッセージは、設定を含むポリシー階層を示します。詳細については、ネットワーク分析ポリシーまたは侵入ポリシーでのレイヤの使用を参照してください。

手順 9 必要に応じて、[タイムアウト（Timeout）] 値を設定し、プリプロセッサが非アクティブなストリームを状態テーブルに保持する期間を1 ～ 86400 秒の範囲で指定します。指定した時間内に追加のデータグラムが現れなかった場合、プリプロセッサはそのストリームを状態テーブルから削除します。

手順 10 必要に応じて、[パケット タイプ パフォーマンスの向上（Packet Type Performance Boost）] を選択し、送信元および宛先ポートの両方を any に設定した UDP ルールで flow または flowbits オプションが使用されている場合を除き、有効化されたルールに指定されていないポートおよびアプリケーション プロトコルのすべてについて、UDP トラフィックを無視するように設定します。このオプションはパフォーマンスを向上させますが、攻撃を見逃す可能性があります。

手順 11 ポリシーを保存する、編集を続行する、変更を破棄する、基本ポリシーのデフォルト設定に戻す、変更をシステム キャッシュに残して終了する、のいずれかを行います。詳細については、競合の解決とポリシー変更の確定を参照してください。