FireSIGHT System バージョン 5.4.1 ユーザ ガイド

アクセス コントロールのライセンスおよびモデルの要件

アクセス コントロール ポリシーは、Defense Center でのライセンスに関係なく作成できます。ただし、アクセス コントロールのある側面では、ポリシーを適用する前にターゲット デバイスで特定のライセンス交付対象の機能を有効化する必要があります。また、一部の機能は、特定のモデルでのみ使用できます。

展開環境でサポートされていない機能は、警告アイコンおよび確認ダイアログ ボックスに示されます。詳細については、警告アイコンの上にポインタを置き、アクセス コントロール ポリシーおよびルールのトラブルシューティングを参照してください。

次の表に、アクセス コントロール ポリシーを適用する際のライセンスおよびアプライアンス モデル要件の説明があります。シリーズ 2 デバイスは、ほとんどの Protection 機能を自動的に有効にするため、デバイスで明示的に Protection を有効にする必要はありません。

次の表では、SSL ポリシーを呼び出すことで SSL インスペクションを実行するアクセス コントロール ポリシーの適用が必要なライセンスについて説明します。

カスタム ユーザ ロールによる展開の管理

ライセンス： 機能に応じて異なる

カスタム ユーザ ロールの管理で説明しているように、カスタム ユーザ ロールを作成して専用のカスタム特権を割り当てることができます。カスタム ユーザ ロールには、メニューベースのアクセス許可およびシステム アクセス許可の任意のセットを割り当てることができます。また、最初から独自に作成したり、事前定義されたユーザ ロールを基に作成したりできます。アクセス コントロール関連の機能に対するカスタム ロールにより、ユーザがアクセス コントロール ポリシー、侵入ポリシー、ファイル ポリシーを表示、変更、適用できるかどうか、また、管理者ルール カテゴリまたはルート ルール カテゴリのルールを挿入または変更できるかどうかが決まります。

次の表に、FireSIGHT システムユーザが操作できるアクセス コントロール関連の機能を決定する、5 つのカスタム ロールの例を記載します。この表には、各カスタム ロールに必要な権限が、カスタム ユーザ ロールを作成するときに表示される順で一覧化されています。

ただし、FireSIGHT システム のユーザ アカウントのロールが侵入ポリシーまたは修正侵入ポリシーに限定されている場合は、ネットワーク分析ポリシーに加えて、侵入ポリシーを作成して編集できます。

システムがレンダリングする Web インターフェイスは、ユーザが完全なアクセス コントロール ポリシー（侵入ポリシーを含む）を適用できるか、侵入ポリシーのみを適用できるか、あるいはいずれも適用できないかによって異なります。たとえば、上記の表の「侵入ポリシーの適用者」には、アクセス コントロール ポリシーの表示と侵入ポリシーの適用が許可されますが、いずれの編集もできません。また、アクセス コントロール ポリシーを適用することはできず、ファイル ポリシーまたは SSL ポリシーを表示することもできません。この場合、Web インターフェイスでは、

• [アクセス コントロール ポリシー（Access Control Policy）] ページで、編集アイコン（
）は表示されません

• [アクセス コントロール ポリシー（Access Control Policy）] ページで、削除アイコン（
）は表示されません

• クイック適用のポップアップ ウィンドウは、侵入ポリシーだけに適用されます
• 詳細適用ポップアップ ウィンドウで、アクセス コントロール ポリシーのチェックボックスが無効になります

ネットワーク トラフィックに対するデフォルトの処理とインスペクションの設定

ライセンス： 任意（Any）

アクセス コントロール ポリシーを作成する場合は、デフォルト アクションを選択する必要があります。アクセス コントロール ポリシーのデフォルト アクションでは、次のトラフィックをシステムで処理する方法が決まります。

• セキュリティ インテリジェンスによってブラックリスト登録されていないトラフィック
• SSL インスペクションによってブロックされていないトラフィック（暗号化トラフィックのみ）
• ポリシー内のどのルールにも一致しないトラフィック（トラフィックの照合とロギングは行うが、処理または検査はしないモニタ ルールを除く）

したがって、アクセス コントロール ルールまたはセキュリティ インテリジェンスの設定が含まれておらず、暗号化されたトラフィックの処理に SSL ポリシーを呼び出さないアクセス コントロール ポリシーを適用する場合、デフォルト アクションにより、ネットワーク上の すべての トラフィックがどのように処理されるかが決まります。追加のインスペクションなしですべてのトラフィックをブロックまたは信頼するか、または侵入および検出データの有無についてトラフィックを検査できます。オプションを次の図に示します。

次の表に、さまざまなデフォルト アクションがトラフィックを処理する方法を示し、各デフォルト アクションで処理されるトラフィックで実行できるインスペクションのタイプを示します。デフォルト アクションで処理されるトラフィックに対しては、ファイルやマルウェアのインスペクションを実行 できない ので注意してください。詳細については、侵入ポリシーおよびファイル ポリシーを使用したトラフィックの制御を参照してください。

：

次の図は、[すべてのトラフィックをブロック（Block All Traffic）] および [すべてのトラフィックを信頼（Trust All Traffic）] デフォルト アクションを示しています。

次の図は、[侵入防御（Intrusion Prevention）] および [ネットワーク検出のみ（Network Discovery Only）] のデフォルト アクションを説明しています。

ヒント [ネットワーク検出のみ（Network Discovery Only）] の目的は、検出のみの展開でパフォーマンスを向上させることです。侵入の検知および防御のみを目的としている場合は、さまざまな設定で検出を無効にできます。他の順守の必要なガイドラインなどの詳細については、IPS または検出のみのパフォーマンスの考慮事項を参照してください。

初めてアクセス コントロール ポリシーを作成する際には、デフォルト アクションで処理される接続のロギングはデフォルトで無効になります。侵入インスペクションを実行するデフォルト アクションを選択すると、デフォルトの侵入変数セットが選択した侵入ポリシーに自動的に関連付けられます。ポリシーを作成した後に、これらのオプションのどちらか、およびデフォルト アクション自体を変更できます。

アクセス コントロール ポリシーのデフォルト アクションと関連オプションを変更するには、次の手順を実行します。

アクセス： Admin/Access Admin/Network Admin

手順 1 [ポリシー（Policies）] > [アクセス制御（Access Control）] を選択します。

[アクセス コントロール ポリシー（Access Control Policy）] ページが表示されます。

手順 2 設定するアクセス コントロール ポリシーの横にある編集アイコン（ ）をクリックします。

アクセス コントロール ポリシー エディタが表示されます。

手順 3 [デフォルト アクション（Default Action）] を選択します。

• すべてのトラフィックをブロックする場合は、[アクセス コントロール：すべてのトラフィックをブロック（Access Control: Block All Traffic）] を選択します。
• すべてのトラフィックを信頼する場合は、[アクセス コントロール：すべてのトラフィックを信頼（Access Control: Trust All Traffic）] を選択します。
• すべてのトラフィックを許可し、ネットワーク検出を使用して検査する場合は、[ネットワーク検出のみ（Network Discovery Only）] を選択します。
• すべてのトラフィックをネットワーク検出と侵入ポリシーの両方を使用して検査する場合は、侵入ポリシーを選択します。侵入ポリシーは、いずれも Intrusion Prevention というラベルで始まります。侵入ポリシーによってトラフィックがブロックされる可能性があることに注意してください。

手順 4 侵入防御 のデフォルト アクションを選択した場合は、変数アイコン（ ）をクリックし、選択した侵入ポリシーに関連付けられている変数セットを変更します。

表示されるポップアップ ウィンドウで、新しい変数セットを選択して [OK] をクリックします。編集アイコン（ ）をクリックして、設定されている変数セットを新しいウィンドウで編集することもできます。変数セットを変更しない場合、システムはデフォルトのセットを使用します。詳細については、変数セットの使用を参照してください。

手順 5 ロギング アイコン（ ）をクリックして、デフォルト アクションによって処理される接続のロギング オプションを変更します。

デフォルト アクションによっては、一致する接続をその開始、終了、またはその両方でログに記録できます。接続は、Defense Center データベース、外部のシステム ログ（Syslog）または SNMP トラップ サーバに記録できます。詳細については、アクセス コントロールのデフォルト アクションによって処理された接続のロギングを参照してください。

アクセス コントロール ポリシーのターゲット デバイスの設定

ライセンス： 任意（Any）

アクセス コントロール ポリシーを適用するには、その前に、ポリシーを適用する管理対象デバイスを特定する必要があります。ポリシーを適用するデバイスは、ポリシーの作成時に特定できます。または、後で追加することもできます。

次の表では、対象のデバイスを管理する場合に実行可能な操作の概要を説明しています。

異なるバージョンのシステムを実行中のスタック構成のデバイスをターゲットにすることはできません（たとえば、デバイスのいずれかでアップグレードが失敗した場合）。デバイス スタックをターゲットにすることはできますが、スタック内の個々のデバイスをターゲットにすることはできません。詳細については、スタック構成のデバイスの管理を参照してください。

アクセス コントロール ポリシーのターゲット デバイスを管理する方法：

アクセス： Admin/Access Admin/Network Admin

手順 1 [ポリシー（Policies）] > [アクセス制御（Access Control）] を選択します。

[アクセス コントロール ポリシー（Access Control Policy）] ページが表示されます。

手順 2 設定するアクセス コントロール ポリシーの横にある編集アイコン（ ）をクリックします。

アクセス コントロール ポリシー エディタが表示されます。

手順 3 デバイス ターゲットのリンクをクリックし、[ターゲットの管理（Manage Targets）] をクリックします。

[デバイス ターゲットの管理（Manage Device Targets）] ポップアップ ウィンドウが表示されます。

手順 4 ターゲット リストを作成します。

表 12-5に要約されているアクションを使用します。

手順 5 [OK] をクリックします。

設定がポリシーに追加され、アクセス コントロール ポリシー エディタが表示されます。

ポリシー全体の適用

ライセンス： 任意（Any）

サポートされるデバイス：

アクセス コントロール ポリシーは、いつでもターゲット デバイスに適用することができます。アクセス コントロール ポリシーを適用すると、以下の関連ポリシーも、現在実行しているものとは異なる設定で適用されます。

• SSL ポリシー
• ネットワーク分析ポリシー
• 侵入ポリシー
• ファイル ポリシー

ポップアップ ウィンドウを使用すると、単一のクイック適用操作としてすべてのポリシーをまとめて適用できます。クイック適用オプションを使用する場合、変更されていないポリシーは適用されません。

クイック適用ポップアップ ウィンドウの適用ボタンのラベルは、アクセス コントロール ポリシー、侵入ポリシー、またはその両方の適用を許可されているかによって異なります。カスタム ユーザ ロールによる展開の管理を参照してください。

アクセス コントロール ポリシー全体をクイック適用するには、次の手順を実行します。

アクセス： Admin/Security Approver

手順 1 [ポリシー（Policies）] > [アクセス制御（Access Control）] を選択します。

[アクセス コントロール ポリシー（Access Control Policy）] ページが表示されます。

手順 2 適用するポリシーの横にある適用アイコン（ ）をクリックします。

[アクセス コントロール ポリシーの適用（Apply Access Control Policy）] ポップアップ ウィンドウが表示されます。

または、ポリシーの編集中に [保存して適用（Save and Apply）] をクリックできます。アクセス コントロール ポリシーの編集を参照してください。

手順 3 [すべて適用（Apply All）] をクリックします。

ポリシー適用タスクがキューに入れられます。[OK] をクリックして [アクセス コントロール ポリシー（Access Control Policy）] ページに戻ります。ポリシー適用タスクの進行状況は、[タスク ステータス（Task Status）] ページ（[システム（System）] > [モニタリング（Monitoring）] > [タスク ステータス（Task Status）]）でモニタできます。

選択したポリシーの設定の適用

ライセンス： 任意（Any）

ポリシー適用の詳細ページを使用して、アクセス コントロール ポリシーや関連する侵入ポリシーに変更を適用できます。詳細ページには、ポリシーの対象となるデバイスが一覧表示され、デバイス別のアクセス コントロール ポリシーのカラム、および関連する侵入ポリシーのカラムが表示されます。ターゲット デバイスごとに、変更をアクセス コントロール ポリシー、関連する個別または組み合わせの侵入ポリシー、あるいはその両方に適用するかどうかを指定できます。

次の場合には、アクセス コントロール ポリシーとその関連侵入ポリシーの両方を適用する必要があります。

• アクセス コントロール ポリシーが初めてデバイスに適用される場合
• アクセス コントロール ポリシーに新しく侵入ポリシーが追加される場合

いずれの場合も、アクセス コントロール ポリシーの状態と侵入ポリシーの状態はリンクしています。つまり、両方とも適用するか、どちらも適用しないかのいずれかを選択する必要があります。

どの侵入ポリシーを適用するかに関係なく、アクセス コントロール ポリシーを適用すると、そのポリシーの対象デバイスで現在実行されているポリシーとは異なる、関連する SSL ポリシー、ネットワーク分析ポリシー、ファイル ポリシーがすべて自動的に適用されます。これらのポリシーを個別に適用することはできません。

[アクセス コントロール ポリシー（Access Control Policy）] カラム

[アクセス コントロール ポリシー（Access Control Policy）] カラムには、アクセス コントロール ポリシーを適用するかどうかを指定するチェック ボックスがあります。

ヒント タスク キューにまだ入っているポリシー、つまり適用タスクがまだ完了していないポリシーを再び適用することもできますが、それには何の利点もありません。

ステータス メッセージには、ポリシーが現在最新の状態であるか、失効しているかどうかが示されます。ポリシーが失効している場合は、新しいブラウザ ウィンドウで、そのポリシーと現在実行中のポリシーとの比較結果を表示できます。この比較には、アクセス コントロール ポリシーに関連付けられている侵入ポリシーでの差異は含まれません。

[侵入ポリシー（Intrusion Policies）] カラム

[侵入ポリシー（Intrusion Policies）] カラムには 1 つ以上のチェック ボックスがあり、アクセス コントロール ポリシーに関連する侵入ポリシーをデバイスに適用するかどうかを指定できます。単一のグレー表示されたチェック ボックスは、関連付けられているすべての侵入ポリシーが、現在実行されているポリシーと同じであることを意味します。この場合、チェック ボックスはクリアされていて、選択することはできません。変更されていない侵入ポリシーを適用することはできません。このカラムには、変更されている侵入ポリシーだけがリストされ、個別に選択できるようになっています。ポリシーに含まれる複数のルールに同じ侵入ポリシーが関連付けられている場合、その侵入ポリシーはデバイスごとに一度だけリストされます。

前述したようにアクセス コントロール ポリシーと侵入ポリシーを一緒に適用しなければならない場合、侵入ポリシーのチェック ボックスは選択された状態でグレー表示され、変更することができません。これに該当するのは次のような場合です。

• アクセス コントロール ポリシーが初めてデバイスに適用される場合
• アクセス コントロール ポリシーに新しく侵入ポリシーが追加される場合

ステータス メッセージには、侵入ポリシーが現在最新の状態であるか、失効しているかどうかが示されます。侵入ポリシーが、リスト内のデバイスで現在実行されている侵入ポリシーと異なる場合、その侵入ポリシーは失効していることになります。侵入ポリシーがデバイス上の侵入ポリシーとまったく同じであれば、その侵入ポリシーは最新の状態です。ポリシーが失効している場合は、新しいブラウザ ウィンドウで、そのポリシーと現在実行中のポリシーとの比較結果を表示できます。

選択したアクセス コントロール ポリシー設定を適用する方法：

アクセス： Admin/Security Approver

手順 1 [ポリシー（Policies）] > [アクセス制御（Access Control）] を選択します。

[アクセス コントロール ポリシー（Access Control Policy）] ページが表示されます。

手順 2 適用するポリシーの横にある適用アイコン（ ）をクリックします。

[アクセス コントロール ポリシーの適用（Apply Access Control Policy）] ポップアップ ウィンドウが表示されます。

または、ポリシーの編集中に [保存して適用（Save and Apply）] をクリックできます。アクセス コントロール ポリシーの編集を参照してください。

手順 3 [詳細（Details）] をクリックします。

詳細な [アクセス コントロール ポリシーの適用（Apply Access Control Policy）] ポップアップ ウィンドウが表示されます。このポップアップ ウィンドウは、[アクセス コントロール ポリシー（Access Control Policy）] ページ（[ポリシー（Policies）] > [アクセス コントロール（Access Control）] から開くこともできます。それには、ポリシーの [ステータス（Status）] 列に示されている失効メッセージをクリックします。

手順 4 デバイス名の横にあるアクセス コントロール ポリシーのチェック ボックスを選択するかクリアにして、アクセス コントロール ポリシーをターゲット デバイスに適用するかどうかを指定します。

手順 5 デバイス名の横にある侵入ポリシーのチェック ボックスを選択またはクリアして、侵入ポリシーをターゲット デバイスに適用するかどうかを指定します。

手順 6 [選択した設定の適用（Apply Selected Configurations）] をクリックします。

ポリシー適用タスクがキューに入れられます。[OK] をクリックして [アクセス コントロール ポリシー（Access Control Policy）] ページに戻ります。

ただし、デバイスでサポートされる侵入ポリシーの最大数を超えていることを警告するポップアップ ウィンドウが表示される場合があります。アクセス コントロール ポリシーを再評価し、侵入ポリシーを統合する必要があります。関連付けられている侵入ポリシーの数（デフォルト アクションを含む）が最大値以内に収まるまで、アクセス コントロール ポリシーは適用できません。

ポリシー適用タスクの進行状況は、[タスク ステータス（Task Status）] ページ（[システム（System）] > [モニタリング（Monitoring）] > [タスク ステータス（Task Status）]）でモニタできます。

アクセス コントロール ポリシー適用中のトラフィック インスペクション

次の図は、拡張アクセス コントロール ポリシー オプション [ポリシー適用中のトラフィック検査（Inspect traffic during policy apply）] を有効または無効にしたときに Snort プロセスがどのように再起動されるかを示しています。

注意 Snort プロセスを再起動すると、一時的にトラフィック インスペクションが中断されます。この中断中にトラフィックがドロップされるか、インスペクションが行われずに受け渡されるかは、管理対象デバイスのモデルおよびトラフィックの処理方法に応じて異なります。 Snort プロセスを再開する構成を参照してください。

---

 

次の点に注意してください。

• [ポリシー適用中のトラフィック検査（Inspect traffic during policy apply）] を有効にした場合は、次のようになります。

– 一部の構成で、Snort プロセスの再起動が要求されることがあります。

– 適用した構成で Snort の再起動が要求されない場合、システムはまず最初に、現在適用されているアクセス コントロール ポリシーを使用してトラフィックを検査し、アプリケーション プロセス中に、適用されたポリシーに切り替えます。

• [ポリシー適用中のトラフィック検査（Inspect traffic during policy apply）] を無効にすると、ポリシーを適用する際に必ず Snort プロセスが再起動します。
• Snort の再起動がトラフィックにどのように影響するかは、管理対象デバイスのモデルおよびトラフィックの処理方法に応じて異なります。Snort の再開によるトラフィックへの影響を参照してください。

ネットワーク検出のみの展開の最適化

ライセンス： FireSIGHT

検出 機能では、ネットワーク トラフィックをモニタして、ネットワーク上のホストの数とタイプ（ネットワーク デバイスを含む）だけでなく、それらのホスト上のオペレーティング システム、アクティブなアプリケーション、およびオープン ポートを判断できます。管理対象デバイスとユーザ エージェントを、ネットワークのユーザ アクティビティをモニタするように設定することもできます。検出データを使用して、トラフィック プロファイリングを実行し、ネットワーク コンプライアンスを評価し、ポリシー違反に応答できます。

基本的な展開（検出と単純なネットワークベースのアクセス制御のみ）では、アクセス コントロール ポリシーの設定時にいくつかの重要なガイドラインに従うことで、デバイスのパフォーマンスを向上させることができます。

（注） それが単にすべてのトラフィックを許可する場合であっても、アクセス コントロール ポリシーを適用する必要があります。ネットワーク検出ポリシーでは、アクセス コントロール ポリシーが通過を許可したトラフィックを検査することのみ可能です。

最初に、アクセス コントロール ポリシーは複雑な処理を必要とせず、単純なネットワークベースの基準のみを使用してネットワーク トラフィックを処理することを確認します。次の すべての ガイドラインを実装する必要があります。これらのオプションのいずれかを誤って設定すると、パフォーマンス上の利点がなくなります。

• セキュリティ インテリジェンス機能を使用 しないで ください。入力されたグローバル ホワイトリストまたはブラックリストをポリシーのセキュリティ インテリジェンスの設定から削除します。
• モニタ アクションまたはインタラクティブ ブロック アクションに、アクセス コントロール ルールを含め ない でください。許可、信頼、およびブロック ルールのみを使用します。許可されたトラフィックは検出によって検査できますが、信頼されたトラフィックとブロックされたトラフィックは検査できないことに留意してください。
• デバイスが適切なライセンスを取得済みであっても、アプリケーション、ユーザ、URL、または位置情報ベースのネットワーク条件にアクセス コントロール ルールを含め ない でください。単純なネットワークベースの条件（ゾーン、IP アドレス、VLAN タグ、およびポート）のみを使用します。
• デバイスが適切なライセンスを取得済みであっても、ファイル、マルウェア、または侵入のインスペクションを実行するアクセス コントロール ルールを含め ない でください。つまり、ファイル ポリシーまたは侵入ポリシーをアクセス コントロール ルールに関連付けないでください。
• アクセス コントロール ポリシーのデフォルトの侵入ポリシーが [アクティブなルールなし（No Rules Active）] に設定されていることを確認します。アクセス コントロールのデフォルト侵入ポリシーの設定を参照してください。
• ポリシーのデフォルト アクションとして [ネットワーク検出のみ（Network Discovery Only）] を選択します。侵入インスペクションを実行するポリシーのデフォルト アクションを選択 しない でください。

位置情報ベースのアクセス制御を除き、上記のオプションには少なくとも 1 つの Protection ライセンスが必要であることに注意してください。FireSIGHT ライセンスが 1 つだけある場合、これらの機能を使用したアクセス コントロール ポリシーの適用がシステムによって阻害されます。

アクセス コントロール ポリシーを設定して適用した後、ネットワーク検出ポリシーを設定して適用できます。このポリシーは、システムが検出データについて検査をするネットワーク セグメント、ポート、およびゾーンを指定し、ホスト、アプリケーション、およびユーザがセグメント、ポート、およびゾーンで検出されるかどうかを指定します。

検出なしの侵入検知と防御の実行

ライセンス： Protection

侵入検知と防御の機能によって、侵入とエクスプロイトの有無についてネットワーク トラフィックを分析できます。またオプションで違反パケットをドロップできます。侵入インスペクションを実行するものの、検出データを利用する必要がない場合は、検出を無効にして、デバイスのパフォーマンスを向上させることができます。

（注） アプリケーション、ユーザ、または URL の制御を実行する場合は、パフォーマンス上の利点を得るために、検出を無効にすることはできません。システムが検出データを保存しないようにすることはできますが、システムはそれらの機能を実行するために検出データを収集して検査する必要があります。

検出を無効にするには、次の すべての ガイドラインを実行します。いずれかでも誤って設定すると、パフォーマンス上の利点がなくなります。

• アクセス コントロール ポリシーでは、デバイスが適切なライセンスを取得済みであっても、アプリケーション、ユーザ、URL、または位置情報ベースのネットワーク条件にルールを含め ない でください。単純なネットワークベースの条件（ゾーン、IP アドレス、VLAN タグ、およびポート）のみを使用します。
• ネットワーク検出ポリシーからすべてのルールを削除します。

アクセス コントロール ポリシーを適用してからネットワーク検出ポリシーを適用すると、新しい検出がターゲット デバイスで停止します。システムは、ネットワーク検出ポリシーで指定されたタイムアウト期間に応じて、ネットワーク マップ内の情報を段階的に削除します。または、すべての検出データを即座に消去できます。データベースからの検出データの消去を参照してください。

パフォーマンスを向上させるためのルールの簡素化

複雑なアクセス コントロール ポリシーやルールは、重要なリソースを消費する可能性があります。アクセス コントロール ポリシーを適用すると、システムはすべてのルールをまとめて評価し、ネットワーク トラフィックを評価するためにターゲット デバイスが使用する拡張基準セットを作成します。ターゲット デバイスでサポートされるアクセス コントロール ルールまたは侵入ポリシーの最大数を超えていることを警告するポップアップ ウィンドウが表示される場合があります。この最大値は、デバイスの物理メモリやプロセッサ数などの、さまざまな要因によって異なります。

アクセス コントロール ルールの簡素化

次のガイドラインは、アクセス コントロール ルールを簡素化し、パフォーマンスを向上させるのに役立ちます。

• ルールの作成時には、条件を構成する要素は可能な限り少なくします。たとえば、ネットワーク条件では、個々の IP アドレスではなく IP アドレス ブロックを使用します。ポート条件では、ポート範囲を使用します。アプリケーション制御および URL フィルタリングを実行する場合はアプリケーション フィルタと URL カテゴリおよびレピュテーションを使用し、ユーザ制御を実行する場合は LDAP ユーザ グループを使用します。

ただし、アクセス コントロール ルールの条件で使用する要素をオブジェクトに組み合わせても、パフォーマンスは向上しません。たとえば、50 個の IP アドレスを 1 つのネットワーク オブジェクトに含めて使用することにパフォーマンス的なメリットはなく、条件にこれらの IP アドレスを個別に含めるよりも単に構成上のメリットがあるだけです。

• できる限り、セキュリティ ゾーンごとにルールを制限します。デバイスのインターフェイスがゾーン制限されたルールのゾーンの 1 つにない場合、ルールはそのデバイスのパフォーマンスに影響を与えません。
• ルールを過度に設定しないでください。処理するトラフィックの照合が 1 つの条件で十分な場合には、2 つの条件を使用しないでください。

侵入ポリシーと変数セットの急増の回避

アクセス コントロール ポリシーでトラフィックを検査するために使用できる一意の侵入ポリシーの数は、デバイス上のリソースとポリシーの複雑度によって異なります。1 つの侵入ポリシーを各許可ルールおよびインタラクティブ ブロック ルール、さらにデフォルト アクションに関連付けることができます。侵入ポリシーと変数セットの固有の ペア はすべて、1 つのポリシーと見なされます。

デバイスでサポートされる侵入ポリシーの数を超えた場合、アクセス コントロール ポリシーを再評価してください。複数の侵入ポリシーまたは変数セットを統合すると、複数のアクセス コントロール ルールに 1 つの侵入ポリシーと変数セットのペアを関連付けることができます。

アクセス コントロール ポリシーの次の場所のそれぞれで、選択したポリシーの数と、それらのポリシーが使用する変数セットの数を確認します。アクセス コントロール ポリシーの詳細設定の [アクセス コントロール ルールが決定される前に使用される侵入ポリシー（Intrusion Policy used before Access Control rule is determined）] オプション、アクセス コントロール ポリシーのデフォルト アクション、およびポリシー内のアクセス コントロール ルールのインスペクション設定。

ルールのプリエンプションと無効な設定の警告について

ライセンス： 任意（Any）

アクセス コントロール ルール（および、高度な展開ではネットワーク分析ルール）の適切な設定と順序付けは、効果的な展開を構築するために不可欠です。アクセス コントロール ポリシー内では、アクセス コントロール ルールが他のルールをプリエンプション処理したり、ルールに無効な設定が含まれている場合があります。同様に、アクセス コントロール ポリシーの詳細設定を使用して設定するネットワーク分析ルールにも、これと同じ問題が生じる可能性があります。システムは、警告とエラーのアイコンを使用してこれらをマークします。

ルールのプリエンプションの警告について

アクセス コントロール ルールの条件が後続のルールよりも優先して適用され、後続のルールによるトラフィックの照合が回避される場合があります。次に例を示します。

上記の最初のルールによってトラフィックは事前に許可されているため、2 番目のルールによってトラフィックがブロックされることはありません。

どのようなタイプのルール条件でも、後続のルールを回避する可能性があります。次の例では、最初のルールでの VLAN 範囲に 2 番目のルールでの VLAN が含まれるため、最初のルールが 2 番目のルールよりも優先して適用されることになります。

次の例では、VLAN が設定されていないルール 1 はあらゆる VLAN と一致します。そのため、ルール 1 がルール 2 をプリエンプション処理し、ルール 2 での VLAN 2 の照合は行われません。

あるルールとその後続のルールがまったく同じで、いずれもすべて同じ条件が設定されている場合、後続のルールは回避されます。次に例を示します。

条件が 1 つでも異なる場合は、後続のルールが回避されることはありません。次に例を示します。

無効な設定の警告について

アクセス コントロール ポリシーが依存する外部の設定は変更される可能性があるため、有効であったアクセス コントロール ポリシー設定が無効になる場合があります。次の例について考えてみます。

• URL フィルタリングを実行するルールは、URL Filtering ライセンスがないデバイスを対象とするまで有効になっている可能性があります。その時点で、ルールの横にエラー アイコンが表示され、ポリシーをそのデバイスに適用できなくなります。適用可能にするには、このルールを編集または削除するか、ポリシーのターゲットを変更するか、または適切なライセンスを有効にする必要があります。
• ルールの送信元ポートにポート グループを追加し、その後そのポート グループを変更して ICMP ポートを含めると、ルールは無効になり、その横に警告アイコンが表示されます。ポリシーをまだ適用することはできますが、ルールはネットワーク トラフィックに影響を与えません。
• ルールにユーザを追加し、その後 LDAP ユーザ認識設定を変更してそのユーザを除外すると、ユーザはアクセス コントロールの対象ユーザではなくなるため、そのルールは影響を与えなくなります。

パフォーマンスを向上させプリエンプションを回避するためのルールの順序付け

ライセンス： 任意（Any）

アクセス コントロール ポリシー内の各ルールには、1 から始まる番号が付きます。システムは、ルール番号の昇順で上から順に、ルールをトラフィックと照合します。モニタ ルールを除き、トラフィックが一致する最初のルールがそのトラフィックを処理するルールになります。

アクセス コントロール ルールを適切に順序付けることで、ネットワーク トラフィックの処理に必要なリソースが減り、ルールのプリエンプションを回避できます。ユーザが作成するルールはすべての組織と展開に固有のものですが、ユーザのニーズに対処しながらもパフォーマンスを最適化できるルールを順序付けする際に従うべきいくつかの一般的なガイドラインがあります。

重要性が最も高いルールから最も低いルールへの順序付け

最初に、組織のニーズに適するルールを順序付けする必要があります。すべてのトラフィックに適用する必要がある優先順位ルールをポリシーの先頭部分付近に配置します。たとえば、ある 1 人のユーザからのトラフィックに侵入がないかを検査する（許可ルールを使用）が、部門内の他のすべてのユーザは信頼する（信頼ルールを使用）場合は、その順序に 2 つのアクセス コントロール ルールを配置します。

特定のルールから一般的なルールへの順序付け

特定のルール、つまり処理するトラフィックの定義を絞り込むルールを先に設定することで、パフォーマンスを向上させることができます。これは、広範な条件を持つルールが多様なタイプのトラフィックを照合し、後でより多くの特定のルールをプリエンプション処理できるという理由からも重要です。

ほとんどのソーシャル ネットワーキング サイトをブロックする一方で、特定の他のサイトへのアクセスを許可するシナリオを想定してください。たとえば、グラフィック デザイナーに対して Creative Commons Flickr や deviantART コンテンツへのアクセスは許可したいが、Facebook や Google+ などの他のサイトへのアクセスは許可したくない場合があります。この場合はルールを次のように順序付けする必要があります。

ルールを入れ替える場合は次のようになります。

最初のルールは、Flickr や deviantART を含むすべてのソーシャル ネットワーキング トラフィックをブロックします。2 番目のルールに照合されるトラフィックがないため、利用可能にしようとしたコンテンツにグラフィック デザイナーはアクセスできません。

トラフィックを後で検査するルールの配置

検出、侵入、ファイルおよびマルウェアのインスペクションにはリソースの処理が必要なため、トラフィックのインスペクションを行うルール（許可、インタラクティブ ブロック）の前にトラフィックを検査しないルール（信頼、ブロック）を配置することで、パフォーマンスを向上させることができます。信頼ルールやブロック ルールは、システムが別の方法で検査した可能性があるトラフィックを迂回させることができるからです。他の要素がすべて同等である、つまりルールのセットで、より重要というルールがなく、プリエンプションが問題ではない場合には、次の順序でルールを配置することを考慮してください。

• 一致する接続はロギングするが、トラフィックで他のアクションは実行しないモニタ ルール
• 追加のインスペクションなしでトラフィックを処理する信頼ルールおよびブロック ルール
• トラフィックの追加のインスペクションを行わない許可ルールおよびインタラクティブ ブロック ルール
• マルウェア、侵入、またはその両方がないか任意でトラフィックを検査する許可ルールおよびインタラクティブ ブロック ルール

アクセス コントロール ポリシー比較ビューの使用

ライセンス： 任意（Any）

比較ビューには、両方のポリシーが左右に並べて表示されます。それぞれのポリシーは、比較ビューの左右のタイトル バーに示される名前で特定されます。現在実行されている設定ではない 2 つのポリシーを比較する場合、最後に変更された日時とその変更を行ったユーザがポリシー名と共に表示されます。

2 つのポリシー間の差異は、次のように強調表示されます。

• 青色は強調表示された設定が 2 つのポリシーで異なることを示し、差異は赤色で示されます。
• 緑色は強調表示された設定が一方のポリシーには存在するが、他方には存在しないことを示します。

次の表に、実行できる操作を記載します。

アクセス コントロール ポリシー比較レポートの使用

ライセンス： 任意（Any）

アクセス コントロール ポリシー比較レポートとは、ポリシー比較ビューで識別された差異（2 つのアクセス コントロール ポリシーの差異、またはあるポリシーと現在適用中のポリシーとの差異）を PDF 形式で記録したものです。このレポートを使用することで、2 つのポリシー設定の間の違いをさらに調べ、調査結果を保存して共有できます。

ユーザは、アクセス権限が与えられている任意のポリシーの比較ビューから、アクセス コントロール ポリシー比較レポートを生成できます。ポリシー レポートを生成する前に、必ずすべての変更を保存してください。レポートには、保存されている変更だけが表示されます。

ポリシー比較レポートの形式は、ポリシー レポートと同様です。唯一異なる点は、ポリシー レポートにはポリシーのすべての設定が記載される一方、ポリシー比較レポートにはポリシー間で異なる設定だけがリストされることです。アクセス コントロール ポリシー比較レポートは、表 12-8に記載されているセクションが含まれています。

ヒント 同様の手順を使用して、SSL ポリシー、ネットワーク分析ポリシー、侵入ポリシー、ファイル ポリシー、システム ポリシー、またはヘルス ポリシーを比較できます。

2 つのアクセス コントロール ポリシーを比較する方法：

アクセス： Admin/Access Admin/Network Admin

手順 1 [ポリシー（Policies）] > [アクセス制御（Access Control）] を選択します。

[アクセス コントロール ポリシー（Access Control Policy）] ページが表示されます。

手順 2 [ポリシーの比較（Compare Policies）] をクリックします。

[比較の選択（Select Comparison）] ウィンドウが表示されます。

手順 3 [比較対象（Compare Against）] ドロップダウン リストから、比較するタイプを次のように選択します。

• 異なる 2 つのポリシーを比較するには、[他のポリシー（Other Policy）] を選択します。

ページが更新されて、[ポリシー A（Policy A）] と [ポリシー B（Policy B）] という 2 つのドロップダウンリストが表示されます。

• 現在のアクティブ ポリシーを他のポリシーに対して比較するには、[実行中の設定（Running Configuration）] を選択します。

ページが更新されて、[ターゲット/実行中の設定 A（Target/Running Configuration A）] と [ポリシー B（Policy B）] という 2 つのドロップダウンリストが表示されます。

手順 4 選択した比較タイプに応じて、次のような選択肢があります。

• 2 つの異なるポリシーを比較する場合は、[ポリシー A（Policy A）] と [ポリシー B（Policy B）] ドロップダウンリストから比較するポリシーを選択します。
• 現在実行されている設定を別のポリシーと比較する場合は、[ポリシー B（Policy B）] ドロップダウンリストから 2 つ目のポリシーを選択します。

手順 5 ポリシー比較ビューを表示するには、[OK] をクリックします。

比較ビューが表示されます。

手順 6 必要に応じて、アクセス コントロール ポリシー比較レポートを生成するには [比較レポート（Comparison Report）] をクリックします。

アクセス コントロール ポリシー比較レポートが表示されます。ブラウザの設定によっては、レポートがポップアップ ウィンドウで表示されるか、コンピュータにレポートを保存するようにプロンプトが出されることがあります。