レイヤ スタックについて
ライセンス：Protection
レイヤが追加されていないネットワーク分析ポリシーや侵入ポリシーには、組み込みの読み取り専用の基本ポリシー レイヤと、ユーザが設定可能な単一のレイヤ（最初は「My Changes」という名前が付けられています）が含まれています。ユーザ設定可能なレイヤは、コピー、マージ、移動、または削除を行うことができます。また、任意のユーザ設定可能なレイヤが同じタイプの他のポリシーと共有されるように設定することもできます。
各ポリシー レイヤには、ネットワーク分析ポリシーのすべてのプリプロセッサの全設定、または、侵入ポリシーの侵入ルールと詳細設定がすべて含まれています。最下位の基本ポリシー レイヤには、ポリシーの作成時に選択した基本ポリシーのすべての設定が含まれています。上位レイヤの設定は、下位レイヤの同じ設定よりも優先されます。レイヤで明示的に設定されていない機能は、明示的に設定されている次に上位のレイヤの設定を継承します。
システムはレイヤをフラット化します。つまり、ネットワーク トラフィックの処理時にすべての設定の蓄積効果のみを適用します。
 ヒント |
侵入またはネットワークの分析ポリシーは、基本ポリシーのデフォルト設定のみに基づいて作成できます。 |
次の図は、基本ポリシー レイヤと初期設定の My Changes レイヤの他に、2 つのユーザが設定可能な追加レイヤ「User Layer 1」と「User Layer 2」を含むレイヤ スタックの例を示しています。この図では、ユーザが追加したユーザ設定可能な各レイヤは、スタックの最上位のレイヤに配置されていることに注目してください。図の User Layer 2 は、最後に追加され、スタックの最上位にあります。
複数のレイヤを使用する場合は、次の点に注意してください。
-
以下のいずれかを実行する場合、ポリシー内の最上位のレイヤが読み取り専用レイヤであるか、またはポリシー間でのレイヤの共有で説明されてる共有レイヤであるときに、ユーザ設定可能なレイヤが最上位のレイヤとして侵入ポリシーに自動的に追加されます。
-
侵入ポリシーの [Rules] ページでルールのアクション（ルール状態、イベント フィルタリング、動的状態、または警告）を変更する。詳細については、「ルールを使用した侵入ポリシーの調整」を参照してください。
-
プリプロセッサ、侵入ルール、あるいは詳細設定を有効化、無効化、または変更する。
-
システムによって追加されたレイヤの設定は、新しいレイヤで生じた変更を除いてすべて継承されます。
-
最上位レイヤが共有レイヤの場合、次のいずれかの操作を実行するとレイヤが追加されます。
-
他のポリシーと最上位レイヤを共有する
-
ポリシーにレイヤを追加する
-
-
ルール アップデートによるポリシーの変更を許可しているかどうかに関わらず、ルール アップデートによる変更は、ユーザがレイヤで行った変更を上書きしません。これは、ルール アップデートよる変更は、基本ポリシー レイヤのデフォルト設定を決定する基本ポリシーに対して行われるからです。ユーザによる変更はより上位のレイヤで行われるので、その変更によって、ルール アップデートによる基本ポリシーの変更が上書きされます。詳細については、「ルール更新とローカル ルール ファイルのインポート」を参照してください。
基本レイヤについて
ライセンス：Protection
侵入ポリシーまたはネットワーク分析ポリシーの基本レイヤ（基本ポリシーとも呼ばれる）は、ポリシーのすべての設定のデフォルト設定を定義し、ポリシーの最下位に位置します。新しいポリシーを作成し、新しいレイヤを追加しないで設定を変更すると、その変更は My Changes レイヤに保存され、基本ポリシーの設定を変更するのではなく、上書きます。
システムによって提供される基本ポリシーについて
ライセンス：Protection
シスコでは ASA FirePOWER モジュールで、ネットワーク分析ポリシーと侵入ポリシーのペアを複数提供しています。システムによって提供されるネットワーク分析ポリシーと侵入ポリシーを使用することで、シスコ脆弱性調査チーム（VRT）の経験を活用できます。これらのポリシーに対して、VRT は侵入およびプリプロセッサ ルールの状態を設定し、プリプロセッサと他の詳細設定の初期設定も行います。これらのシステム付属のポリシーはそのまま使用することも、カスタム ポリシーの基本として使用することもできます。
システム付属のポリシーを基本として使用する場合は、ルール アップデートをインポートすると基本ポリシーの設定が変更されます。ただし、カスタム ポリシーで、システム付属の基本ポリシーが自動的に変更されないように設定できます。これにより、ルール アップデートのインポートとは別に、スケジュールに基づいて、システム付属の基本ポリシーを手動で変更できます。いずれの場合も、ルール アップデートによって基本ポリシーが変更されても、My Changes や他のレイヤの設定は変更されず、上書きもされません。詳細については、ルール アップデートによるシステム付属基本ポリシーの変更を許可するを参照してください。
システム付属の侵入ポリシーとネットワーク分析ポリシーには同じような名前が付いていますが、異なる設定が含まれています。たとえば、「Balanced Security and Connectivity」ネットワーク分析ポリシーと「Balanced Security and Connectivity」侵入ポリシーは連携して動作し、どちらも侵入ルールのアップデートで更新できます。詳細については、「システムによって提供されるポリシーについて」を参照してください。
カスタム基本ポリシーについて
ライセンス：Protection
ネットワーク分析ポリシーまたは侵入ポリシーでシステムによって提供されるポリシーを基本ポリシーとして使用しない場合は、カスタム ポリシーをベースとして使用できます。カスタム ポリシーの設定を調整することで、最も役立つ方法でトラフィックを検査できます。これによって、デバイスのパフォーマンスが向上し、ユーザは生成されたイベントにさらに効率的に対応できるようになります。
最大 5 つのカスタム ポリシーをチェーンすることができます。5 つのうちの 4 つのポリシーで事前に作成されたポリシーが基本ポリシーとして使用され、5 つ目のポリシーでシステムによって提供されたポリシーをベースとして使用する必要があります。
別のポリシーの基本として使用しているカスタム ポリシーに加えた変更は、それを使用しているポリシーのデフォルト設定として自動的に使用されます。また、すべてのポリシーにはポリシー チェーンの最終的なベースとしてシステム付属のポリシーがあるため、カスタム基本ポリシーを使用している場合でも、ルール アップデートをインポートするとポリシーに影響が及びます。チェーンの最初のカスタム ポリシー（システム付属のポリシーを基本として使用しているポリシー）で、ルール アップデートによる基本ポリシーの変更が許可されている場合は、ユーザのポリシーが影響を受ける可能性があります。この設定の変更の詳細については、ルール アップデートによるシステム付属基本ポリシーの変更を許可するを参照してください。
変更の内容に関係なく、また、ルール アップデートによる変更であるか、基本ポリシーとして使用しているカスタム ポリシーの変更であるかを問わず、ユーザの基本ポリシーに対する変更は、My Changes や他のレイヤの設定を変更せず、上書きもしません。
基本ポリシーの変更
ライセンス：Protection
ネットワーク分析ポリシーや侵入ポリシーに対して別の基本ポリシーを選択できます。または必要に応じて、上位レイヤでの変更に影響を与えることなく、ルール アップデートによってシステム付属の基本ポリシーを変更できます。
基本ポリシーの変更方法：
手順
| ステップ 1 |
ポリシーの編集中に、ナビゲーション パネルで [Policy Information] をクリックします。 [Policy Information] ページが表示されます。 |
| ステップ 2 |
[Base Policy] ドロップダウン リストから基本ポリシーを選択します。 |
| ステップ 3 |
（任意）システム付属の基本ポリシーを選択する場合は、[Manage Base Policy] をクリックして、侵入ルールのアップデートによって基本ポリシーを自動的に変更できるかどうかを指定します。 詳細については、ルール アップデートによるシステム付属基本ポリシーの変更を許可するを参照してください。 |
| ステップ 4 |
ポリシーを保存する、編集を続行する、変更を破棄する、基本ポリシーのデフォルト設定に戻す、変更をシステム キャッシュに残して終了するのいずれかを行います。詳細については、競合の解決とポリシー変更の確定を参照してください。 |
ルール アップデートによるシステム付属基本ポリシーの変更を許可する
ライセンス：Protection
インポートするルール更新によって、変更済みのネットワーク分析プリプロセッサの設定、変更済みの侵入ポリシーの詳細設定、新規および更新済みの侵入ルール、および既存ルールの変更済みの状態が、システム提供ポリシーに提供されます。ルール更新では、ルールを削除したり、新しいルール カテゴリとデフォルト変数を提供したりすることもできます。詳細については、「ルール更新とローカル ルール ファイルのインポート」を参照してください。
ルール更新は、プリプロセッサ、詳細設定およびルールの変更とともに、システムによって提供されるポリシーを常に変更します。デフォルト変数とルール カテゴリに対する変更はシステム レベルで処理されます。詳細については、「システムによって提供される基本ポリシーについて」を参照してください。
システム提供のポリシーを基本ポリシーとして使用する場合、ルール更新による基本ポリシー（この場合はシステム提供ポリシーのコピー）の変更を許可できます。ルール更新で基本ポリシーの更新を許可する場合は、新しいルール更新によって、基本ポリシーとして使用するシステム提供のポリシーに対する変更と同じ変更が基本ポリシーにも加えられます。対応する設定を変更しなかった場合は、基本ポリシー内の設定によって、新しいポリシー内の設定が決定されます。ただし、ユーザがポリシーに加えた変更は、新しいルール アップデートによって上書きされません。
ルール更新で基本ポリシーの更新を許可しない場合は、1 つ以上のルール更新のインポート後に、基本ポリシーを手動で更新できます。
ルール アップデートでは、侵入ポリシー内のルール状態や、ルール アップデートによる基本ポリシーの更新が許可されているかどうかに関係なく、VRT が削除したルールは必ず削除されるので注意してください。ネットワーク トラフィックに変更が再適用されるまで、現在適用されている侵入ポリシー内のルールは次のように動作します。
-
無効になっているルールは無効のままになります。
-
[Generate Events] に設定されたルールは、トリガーされると引き続きイベントを生成します。
-
[Drop and Generate Events] に設定されたルールは、トリガーされると引き続きイベントを生成し、違反パケットをドロップします。
次の両方の条件が満たされていない場合、ルール アップデートはカスタム基本ポリシーを変更しません。
-
ルール アップデートによる親ポリシーのシステム付属基本ポリシー（カスタム基本ポリシーの元となるポリシー）の変更が許可されている。
-
親の基本ポリシー内の対応する設定が上書きされる親ポリシー内の変更を実施していない。
両方の条件が満たされている場合は、親ポリシーを保存したときに、ルール更新内の変更が子ポリシー（つまり、カスタム基本ポリシーを使用したポリシー）に渡されます。
たとえば、無効化されていた侵入ルールがルール アップデートによって有効化され、親となる侵入ポリシーのルールの状態がユーザによって変更されていない場合は、親ポリシーの保存時に、変更されたルール状態が基本ポリシーに渡されます。
同様に、ルール アップデートによってデフォルトのプリプロセッサ設定が変更され、親となるネットワーク分析ポリシーの設定がユーザによって変更されていない場合は、親ポリシーの保存時に、変更された設定が基本ポリシーに渡されます。
詳細については、「基本ポリシーの変更」を参照してください。
ルール アップデートによるシステム付属基本ポリシーの変更を許可するには：
手順
| ステップ 1 |
システム提供のポリシーを基本ポリシーとして使用するポリシーの編集時に、ナビゲーション パネルで [Policy Information] をクリックします。 [Policy Information] ページが表示されます。 |
| ステップ 2 |
[Manage Base Policy] をクリックします。 [Base Policy summary] ページが表示されます。 |
| ステップ 3 |
[Update when a new Rule Update is installed] チェック ボックスをオンまたはオフにします。 このチェックボックスをオフにしてポリシーを保存してから、ルール アップデートをインポートすると、[Base Policy] 概要ページに [Update Now] ボタンが表示され、そのページ上のステータス メッセージが更新されて、ポリシーが期限切れであることが示されます。必要に応じて、[Update Now] をクリックして、最近インポートしたルール更新内の変更で基本ポリシーを更新できます。 |
| ステップ 4 |
ポリシーを保存するか、編集を続けるか、変更を破棄するか、基本ポリシーのデフォルト構成設定に戻すか、あるいはシステム キャッシュに変更を残して終了します。詳細については、「競合の解決とポリシー変更の確定」を参照してください。 |
）、イベントの生成アイコン（
）、または無効化アイコン（
）をクリックします。選択したルール状態に設定されているルールがレイヤに含まれていない場合、ルールは表示されません。
）をクリックします。
）が移動するレイヤの上または下の行を指すまでドラッグします。
）をクリックし、[OK]
フィードバック