[ポリシー（Policies）] > [侵入（Intrusion）] を選択します。

[ポリシーの作成（Create Policy）] をクリックします。

[名前（Name）] に一意の名前を入力し、オプションで [説明（Description）] を入力します。

[検査モード（Inspection Mode）] を選択します。

[ベースポリシー（Base Policy）] を選択します。

[保存（Save）] をクリックします。

[ポリシー（Policies）] > [侵入（Intrusion）] を選択します。

[侵入ポリシー（Intrusion Policies）] タブが選択されていることを確認します。

設定する侵入ポリシーの横にある [Snort 3バージョン（Snort 3 Version）] をクリックします。

ポリシーを編集します。

• モードの変更：検査モードを変更するには、[モード（Mode）] ドロップダウンをクリックします。

  • [防御（Prevention）]：トリガーされたブロックルールはイベント（アラート）を作成し、接続をドロップします。

  • [検出（Detection）]：トリガーされたブロックルールのアラート。

    防御モードに入る前に、検出モードを選択できます。たとえば、防止モードを選択する前に、多くの誤検出の原因となるルールを特定できるように、ブロックルールでアラートのみを生成することができます。

  検査モードは、Snort 3 バージョンのポリシーでのみ変更されます。Snort 2 バージョンでは、既存の検査モードがそのまま保持されます。

• [ルールアクション（Rule Action）] の変更：ルールアクションを変更するには、次のいずれかを選択します。

  • 一括編集：1 つ以上のルールを選択し、[ルールアクション（Rule Action）] ドロップダウンリストから必要なアクションを選択し、 [保存（Save）] をクリックします。

    （注）	ルールアクションの一括変更は、最初の 500 個のルールでのみサポートされます。

  • 単一ルールの編集：[ルールアクション（Rule Action）] 列のドロップダウンボックスからルールアクションを選択します。

  ルールアクションは次のとおりです。

  • [ブロック（Block）]：イベントを生成し、現在の一致するパケットと、この接続内の後続のすべてのパケットをブロックします。

  • [アラート（Alert）]：一致するパケットのイベントのみを生成し、パケットまたは接続をドロップしません。

  • [無効（Disabled）]：このルールとトラフィックを照合しません。イベントは生成されません。

  • [デフォルトに戻す（Revert to default）]：システムのデフォルトアクションに戻します。

  • [成功（Pass）]：イベントは生成されず、後続の Snort ルールによる以降の評価なしでパケットが通過できます。

  • [ドロップ（Drop）]：イベントを生成し、一致するパケットをドロップし、この接続でそれ以上のトラフィックをブロックしません。

  • [拒否（Reject）]：イベントを生成し、一致するパケットをドロップし、この接続で後続のトラフィックをブロックして、TCP プロトコルの場合は TCP リセットを送信元および接続ホストに送信します。

    クライアントまたはサーバーに関連するさまざまなファイアウォールモードおよび IP アドレスまたは送信元または宛先での拒否の動作：Snort は、ルーティングされた、インライン、およびブリッジされたインターフェイスの場合、クライアントとサーバーの両方に RST パケットを送信します。Snort は 2 つの RST パケットを送信します。クライアント方向の RST パケットでは、送信元がサーバーの IP に設定され、宛先がクライアントの IP に設定されます。サーバー方向の RST パケットでは、送信元がクライアントの IP に設定され、宛先がサーバーの IP に設定されます。

  • [書き換え（Rewrite）]：ルールの置き換えオプションに基づいて、イベントを生成し、パケットの内容を上書きします。

  [対応（React）] ルールがある場合は、アラートアクションに変換されます。

• 検索ルール：検索フィールドを使用して表示をフィルタ処理します。GID、SID、または参照情報を入力できます。たとえば、GID:1; SID:9621 は ルール 1:962 のみを表示し 、SID:9621,9622,9623 は異なる SID を持つ複数のルールを表示します。また、次のいずれかのオプションも選択できます。

  • フィルタ [アクション = アラート（Action = Alert）] または [アクション：ブロック（Action: Block）] を適用する

  • [無効なルール（Disabled Rules）] フィルタを適用する

  • [カスタム/ユーザ定義ルール（Custom/User Defined Rules）] を表示する

  • GID、SID、または GID:SID でフィルタ処理する

  • cve でフィルタ処理する

  • コメントでフィルタ処理する

• ルールグループの検索：検索バーでキーワードを入力してルールグループを検索するか、または事前に設定された次のフィルタオプションのいずれかを選択します。

  • [除外済み（Excluded）]：除外されたルールグループを対象にする

  • [含む（Included）]：含まれているルールグループを対象にする

  • [オーバーライド（Overridden）]：設定がオーバーライドされたルールグループを対象にする

• ルールグループのセキュリティレベルの設定：左側のペインで必要なルールグループに移動し、選択します。システム定義のルール設定に基づいてセキュリティレベルを引き上げるか、または引き下げるには、ルールグループの [セキュリティレベル（Security Level）] の横にある [編集（Edit）] をクリックします。

  FMC は、設定されたセキュリティレベルのルールグループのルールアクションを自動的に変更します。セキュリティレベルを変更するたびに、[事前設定フィルタ（Preset Filters）] の [ブロックルール（Block Rules）] と [無効ルール（Disabled Rules）] の数に注意してください。

• フィルタ処理されたルールの表示：アラート、ブロック、無効、オーバーライド済み、書き換え、パス、ドロップ、または拒否に設定されているルールを表示するには、[事前設定フィルタ（Preset Filters）] を選択します。

  オーバーライドされたルールは、ルールアクションがデフォルトアクションから別のアクションに変更されたルールを示します。変更すると、元のデフォルトアクションに戻す場合でも、ルールアクションのステータスは [オーバーライド済み（Overridden ）] になります。ただし、[ルールアクション（Rule Action）] ドロップダウンリストから [デフォルトに戻す（Revert to default）] を選択すると、[オーバーライド済み（Overridden）] ステータスが削除されます。

  [高度なフィルタ（Advanced Filters）] は、Lightweight Security Package（LSP）のリリース、侵入の分類、および脆弱性（CVE）に基づくフィルタオプションを提供します。

• ルールグループを含めるまたは除外する：表示されるルールグループは、システムによって提供される基本の侵入ポリシーに関連付けられているデフォルトのルールグループです。侵入ポリシーにルールグループを含めたり、除外したりできます。ポリシーのルールを適用するには、含まれるルールグループをグループに含める必要があります。除外されたルールグループは侵入ポリシーから削除され、そのルールはトラフィックに適用されません。FMC にカスタムルールをアップロードする方法については、カスタム ルールのアップロードを参照してください。

  ルールグループを除外するには、次の手順を実行します。

  1. [ルールグループ（Rule Groups）] ペインに移動し、ルールグループを選択します。

  2. 右側のペインで [除外（Exclude）] リンクをクリックします。

  3. 必要に応じて、ルールグループ内のルールのオーバーライドをデフォルト設定に戻す場合は、[ルールのオーバーライドを削除しますか？（Do you want to remove rule overrides?）] チェックボックスをオンにします。

     （注）	このチェックボックスは、オーバーライドされたルールがある場合にのみ表示されます。

  4. [除外（Exclude）] をクリックします。

  アップロードされたカスタムルールまたは以前に除外されたルールグループに新しいルールグループを含めるには、次の手順を実行します。

  1. ルールグループ検索バーの横にある [追加（Add）]（）をクリックします。

  2. 追加するすべてのルールグループの横にあるチェックボックスをオンにして選択します。

  3. [保存（Save）] をクリックします。

• ルールドキュメントの表示：ルールの TALOS マニュアルを表示するには、ルール ID または [ルールマニュアル（Rule Documentation）] アイコンをクリックします。
• ルールの詳細の表示：ルールの詳細を表示するには、ルール行の 展開矢印（[展開矢印（expand arrow）] アイコン [展開矢印（expand arrow）] アイコン） アイコンをクリックします。
• ルールコメントの追加：ルールに関するコメントを追加するには、[コメント（Comments）] 列の下にある [コメント（Comment）]（）をクリクします。

[ポリシー（Policies）] > [侵入（Intrusion）] を選択します。

設定する侵入ポリシーの横にある [編集（Edit）]（）をクリックします。

[ベースポリシー（Base Policy）] ドロップダウンリストからポリシーを選択します。

[保存（Save）] をクリックします。

[ポリシー（Policies）] > [侵入（Intrusion）] を選択します。

変更する侵入ポリシーの横にある [編集（Edit）]（）をクリックします。

ポリシーに適用する [検査モード（Inspection Mode）] を選択します。

[保存（Save）] をクリックします。

[ポリシー（Policies）] > [侵入（Intrusion）] を選択します。

侵入ポリシーを管理します。

Firepower Management Center メニューバーで、[展開（Deploy）] をクリックし、[展開（Deployment）] を選択します。

設定変更を展開するデバイスを特定して選択します。

• [検索（Search）]：[検索（Search）] ボックスのデバイス名、タイプ、ドメイン、グループ、またはステータスを検索します。
• [展開（Expand）]：展開するデバイス固有の設定変更を表示するには、展開矢印（[展開矢印（expand arrow）] アイコン [展開矢印（expand arrow）] アイコン） をクリックします。

  デバイスのチェックボックスを選択すると、デバイスの下に表示されているデバイスのすべての変更がプッシュされ、展開されます。ただし、ポリシーの選択（[ポリシーの選択（policy selection）] アイコン [ポリシーの選択（policy selection）] アイコン） を使用して展開する個々のポリシーや特定の設定を選択し、残りの変更は展開せずに保持することができます。

  （注）

  [インスペクションの中断（Inspect Interruption）] 列のステータスに [あり（Yes）] と表示されている場合は、展開によって FTD デバイスでインスペクションと、場合によってはトラフィックが中断され、展開されたリストには中断の原因となった特定の設定が インスペクションの中断（[インスペクションの中断（inspect interruption）] アイコン [インスペクションの中断（inspect interruption）] アイコン） で示されます。 インターフェイスグループ、セキュリティゾーン、またはオブジェクトに変更がある場合、影響を受けるデバイスは、FMC で失効として表示されます。これらの変更が有効になるようにするには、これらのインターフェイスグループ、セキュリティゾーン、またはオブジェクトを含むポリシーも、これらの変更とともに展開する必要があります。影響を受けるポリシーは、FMC の [Preview] ページに [out-of-date] として表示されます。

[展開（Deploy）] をクリックします。

展開する変更に関するエラーや警告がシステムによって識別された場合は、[検証メッセージ（Validation Messages）] ウィンドウにその内容が表示されます。完全な詳細を表示するには、警告またはエラーの前にある矢印アイコンをクリックします。

• [展開（Deploy）]：警告状態を解決せずに展開を続行します。システムがエラーを確認した場合は続行できません。
• [閉じる（Close）]：展開せずに終了します。エラーおよび警告状態を解決し、設定の再展開を試行します。