FireSIGHT System バージョン 5.4.1 ユーザ ガイド

アクセス コントロールのデフォルト ネットワーク分析ポリシーの設定

ライセンス： 任意（Any）

デフォルトでは、システムによって提供される [バランスの取れたセキュリティと接続（Balanced Security and Connectivity）] ネットワーク分析ポリシーは、アクセス コントロール ポリシーによって処理されるすべてのトラフィックに適用されます。トラフィックの前処理オプションを調整するためにネットワーク分析ルールを追加する場合は、デフォルトのネットワーク分析ポリシーがそのルールで処理されないすべてのトラフィックを前処理します。

アクセス コントロール ポリシーの詳細設定によって、このデフォルト ポリシーを変更することができます。

アクセス コントロール ポリシーのデフォルトのネットワーク分析ポリシーを変更するには、次の手順を実行します。

アクセス： Admin/Access Admin/Network Admin

手順 1 デフォルトのネットワーク分析ポリシーを変更するアクセス コントロール ポリシーで、[詳細設定（Advanced）] タブを選択し、[ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] セクションの横にある編集アイコン（ ）をクリックします。

[ネットワーク分析ポリシー（Network Analysis Policies）] ダイアログボックスが表示されます。

手順 2 [デフォルトのネットワーク分析ポリシー（Default Network Analysis Policy）] ドロップダウンリストから、デフォルトのネットワーク分析ポリシーを選択します。システムによって作成されたポリシーまたはユーザが作成したポリシーを選択できます。

ユーザが作成したポリシーを選択した場合は、編集アイコン（ ）をクリックして、新しいウィンドウでポリシーを編集できます。システムによって提供されたポリシーは編集できません。

手順 3 [OK] をクリックして変更を保存します。

変更を反映するには、アクセス コントロール ポリシーを適用する必要があります。

ネットワーク分析ルールを使用して前処理するトラフィックの指定

ライセンス： 任意（Any）

サポートされるデバイス： 機能に応じて異なる

アクセス コントロール ポリシーの詳細設定で、ネットワーク分析ルールを使用してネットワーク トラフィックへの前処理設定を調整できます。アクセス コントロール ルールと同様に、ネットワーク分析ルールには 1 から始まる番号が付いています。

システムがトラフィックを前処理するときに、パケットはルール番号の昇順で上から順にネットワーク分析ルールに照合され、すべてのルールの条件が一致する最初のルールに従ってトラフィックが前処理されます。次の表に、ルールに追加できる条件を示します。

 

表 25-1 ネットワーク分析ルール条件のタイプ

条件	トラフィックの照合	詳細（Details）
ゾーン	特定のセキュリティ ゾーンでインターフェイスを介したデバイスへの着信またはデバイスからの発信	セキュリティ ゾーンは、ご使用の導入ポリシーおよびセキュリティ ポリシーに準じた 1 つ以上のインターフェイスの論理グループです。ゾーン内のインターフェイスは、複数のデバイスにまたがって配置される場合があります。ゾーン条件を作成するには、ゾーンごとのトラフィックの前処理を参照してください。
ネットワーク	その送信元または宛先 IP アドレス、国、または大陸による	IP アドレスを明示的に指定できます。ネットワーク条件を作成するには、ネットワークごとのトラフィックの前処理 を参照してください。
VLAN タグ	VLAN のタグ	システムは、最も内側の VLAN タグを使用して VLAN を基準にパケットを識別します。ASA FirePOWER では、VLAN に応じて前処理を制限することはできません。VLAN 条件を作成するには、VLAN ごとのトラフィック前処理 を参照してください。

ルールに対し特定の条件を設定しない場合、システムはその基準に基づいてトラフィックを照合しません。たとえば、ネットワーク条件を持つがゾーン条件を持たないルールは、その入力または出力インターフェイスに関係なく、送信元または宛先 IP アドレスに基づいてトラフィックを評価します。いずれのネットワーク分析ルールにも一致しないトラフィックは、デフォルトのネットワーク分析ポリシーによって前処理されます。

カスタム ネットワーク分析ルールを追加するには、次の手順を実行します。

アクセス： Admin/Access Admin/Network Admin

---

手順 1 カスタム前処理設定を作成するアクセス コントロール ポリシーで、[詳細設定（Advanced）] タブを選択して、[ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] セクションの横にある編集アイコン（ ）をクリックします。

[ネットワーク分析ポリシー（Network Analysis Policies）] ダイアログボックスが表示されます。カスタムのネットワーク分析ルールをまだ追加していない場合、Web インターフェイスには [カスタム ルールなし（No Custom Rules）] と表示され、追加済みの場合はそれらのルールの数が表示されます。

---

ヒント 新しいウィンドウで [ネットワーク分析ポリシー（Network Analysis Policies）] ページを表示するには、[ネットワーク分析ポリシー リスト（Network Analysis Policy List）] をクリックします。このページは、カスタム ネットワーク分析ポリシーを表示および編集するために使用します。ネットワーク分析ポリシーの管理を参照してください。

---

手順 2 [ネットワーク分析ルール（Network Analysis Rules）] の横にある、所持しているカスタム ルールの数を示したステートメントをクリックします。

ダイアログボックスが展開され、カスタム ルールが表示されます（ある場合）。

手順 3 [ルールの追加（Add Rule）] をクリックします。

ネットワーク分析ルール エディタが表示されます。

手順 4 ルールの条件を作成します。次の基準を使用して、NAP の前処理を制限できます。

• ゾーンごとのトラフィックの前処理
• ネットワークごとのトラフィックの前処理
• VLAN ごとのトラフィック前処理

手順 5 [ネットワーク分析（Network Analysis）] タブをクリックし、[ネットワーク分析ポリシー（Network Analysis Policy）] ドロップダウンリストからポリシーを選択することによって、ネットワーク分析ポリシーをルールに関連付けます。

システムは、ユーザが選択したネットワーク分析ポリシーを使用して、すべてのルールの条件を満たすトラフィックを前処理します。ユーザが作成したポリシーを選択した場合は、編集アイコン（ ）をクリックして、新しいウィンドウでポリシーを編集できます。システムによって提供されたポリシーは編集できません。

手順 6 [追加（Add）] をクリックします。

このルールは他のルールの後に追加されます。ルールの評価順序を変更する場合は、ネットワーク分析ルールの管理を参照してください。

---

 

ゾーンごとのトラフィックの前処理

ライセンス： 任意（Any）

ネットワーク分析ルール内のゾーン条件によって、その送信元および宛先セキュリティ ゾーン別にトラフィックを前処理することができます。セキュリティ ゾーンはいくつかのインターフェイスで構成されるグループで、展開方法やセキュリティ ポリシーによっては複数のデバイス間に配置される場合があります。ゾーン作成の詳細については、セキュリティ ゾーンの操作を参照してください。

1 つのゾーン条件で [送信元ゾーン（Source Zones）] および [宛先ゾーン（Destination Zones）] それぞれに対し、最大 50 のゾーンを追加できます。

• ゾーン内のインターフェイスからデバイスから 発信する トラフィックを照合するには、そのゾーンを [宛先ゾーン（Destination Zones）] に追加します。パッシブに展開されたデバイスはトラフィックを送信しないので、 宛先ゾーン 条件でパッシブ インターフェイスから構成されるゾーンは使用できないことに注意してください。
• ゾーン内のインターフェイスからデバイスに 着信する トラフィックを照合するには、そのゾーンを [送信元ゾーン（Source Zones）] に追加します。

送信元ゾーン条件と宛先ゾーン条件の両方をルールに追加する場合、一致するトラフィックは指定された送信元ゾーンの 1 つから発生し、宛先ゾーンの 1 つを通って出力する必要があります。

ゾーン内のすべてのインターフェイスが同じタイプ（インライン、パッシブ、スイッチド、またはルーテッド）である必要があるため、ネットワーク分析ルールのゾーン条件で使用されているすべてのゾーンが同じタイプでなければならないことに注意してください。つまり、異なるタイプのゾーンを送信元/宛先とするトラフィックを照合する単一ルールを書き込むことはできません。

警告アイコン（ ）は、インターフェイスが含まれていないゾーンなどの無効な設定を示します。アイコンの上にポインタを置くと詳細が表示されます。

ゾーン別にトラフィックを前処理するには、次の手順を実行します。

アクセス： Admin/Access Admin/Network Admin

手順 1 ゾーン別にトラフィックを前処理するアクセス コントロール ポリシーで、新しいネットワーク分析ルールを作成するか、または既存のルールを編集します。

詳細な手順については、ネットワーク分析ルールを使用して前処理するトラフィックの指定を参照してください。

手順 2 ネットワーク分析ルール エディタで、[ゾーン（Zones）] タブを選択します。

[ゾーン（Zones）] タブが表示されます。

手順 3 [利用可能なゾーン（Available Zones）] から追加するゾーンを見つけて選択します。

追加するゾーンを検索するには、[利用可能なゾーン（Available Zones）] リストの上にある [名前で検索（Search by name）] プロンプトをクリックし、ゾーン名を入力します。入力すると、リストが更新されて一致するゾーンが表示されます。

クリックすると、ゾーンを選択できます。複数のゾーンを選択するには、Shift キーおよび Ctrl キーを使用するか、または右クリックして [すべて選択（Select All）] を選択します。

手順 4 [送信元に追加（Add to Source）] または [宛先に追加（Add to Destination）] をクリックして、選択したゾーンを適切なリストに追加します。

選択したゾーンをドラッグ アンド ドロップすることもできます。

手順 5 ルールを保存するか、編集を続けます。

変更を反映させるには、アクセス コントロール ポリシーを適用する必要があります。アクセス コントロール ポリシーの適用を参照してください。

ネットワークごとのトラフィックの前処理

ライセンス： 任意（Any）

ネットワーク分析ルール内のネットワーク条件によって、その送信元および宛先 IP アドレス別にトラフィックを前処理することができます。前処理するトラフィックに対し送信元と宛先 IP アドレスを手動で指定でき、または、再利用可能で名前を 1 つ以上の IP アドレスおよびアドレス ブロックに関連付けるネットワーク オブジェクトでネットワーク条件を設定できます。

ヒント ネットワーク オブジェクトを作成しておくと、それを使用してネットワーク分析ルールを作成できるだけでなく、Web インターフェイスの他のさまざまな場所で IP アドレスを表すオブジェクトとしても使用できます。これらのオブジェクトはオブジェクト マネージャを使用して作成できます。また、ネットワーク分析ルールの設定時にネットワーク オブジェクトをオンザフライで作成することもできます。詳細については、ネットワーク オブジェクトの操作を参照してください。

1 つのネットワーク条件で [送信元ネットワーク（Source Networks）] および [宛先ネットワーク（Destination Networks）] それぞれに対し、最大 50 の項目を追加できます。

• IP アドレスからのトラフィックを照合するには、[送信元ネットワーク（Source Networks）] を設定します。
• IP アドレスへのトラフィックを照合するには、[宛先ネットワーク（Destination Networks）] を設定します。

送信元（Source）ネットワーク条件と宛先（Destination）ネットワーク条件の両方をルールに追加する場合、送信元 IP アドレスから発信されかつ宛先 IP アドレスに送信されるトラフィックの照合を行う必要があります。

ネットワーク条件を作成する際、警告アイコン（ ）は無効な設定を示します。アイコンの上にポインタを置くと詳細が表示されます。

ネットワーク別にトラフィックを前処理するには、次の手順を実行します。

アクセス： Admin/Access Admin/Network Admin

手順 1 ネットワーク別にトラフィックを前処理するアクセス コントロール ポリシーで、新しいネットワーク分析ルールを作成するか、または既存のルールを編集します。

詳細な手順については、ネットワーク分析ルールを使用して前処理するトラフィックの指定を参照してください。

手順 2 ネットワーク分析ルール エディタで、[ネットワーク（Networks）] タブを選択します。

[ネットワーク（Networks）] タブが表示されます。

手順 3 [利用可能なネットワーク（Available Networks）] から、次のように追加するネットワークを見つけて選択します。

• ここでネットワーク オブジェクトを作成してリストに追加するには、[利用可能なネットワーク（Available Networks）] リストの上にある追加アイコン（
）をクリックし、 ネットワーク オブジェクトの操作の手順に従います。

• 追加するネットワークを検索するには、[利用可能なネットワーク（Available Networks）] リストの上にある [名前または値で検索（Search by name or value）] プロンプトをクリックし、オブジェクトのコンポーネントの 1 つのオブジェクト名または値を入力します。入力すると、リストが更新されて一致するオブジェクトが表示されます。

オブジェクトを選択するには、そのオブジェクトをクリックします。複数のオブジェクトを選択するには、Shift キーおよび Ctrl キーを使用するか、または右クリックして [すべて選択（Select All）] を選択します。

手順 4 [送信元に追加（Add to Source）] または [宛先に追加（Add to Destination）] をクリックして、選択したオブジェクトを適切なリストに追加します。

選択したオブジェクトをドラッグ アンド ドロップすることもできます。

手順 5 手動で指定する送信元または宛先 IP アドレスまたはアドレス ブロックを追加します。

[送信元ネットワーク（Source Networks）] リストまたは [宛先ネットワーク（Destination Networks）] リストの下にある [IP アドレスの入力（Enter an IP address）] プロンプトをクリックし、1 つの IP アドレスまたはアドレス ブロックを入力して [追加（Add）] をクリックします。

手順 6 ルールを保存するか、編集を続けます。

変更を反映させるには、アクセス コントロール ポリシーを適用する必要があります。アクセス コントロール ポリシーの適用を参照してください。

VLAN ごとのトラフィック前処理

ライセンス： 任意（Any）

サポートされるデバイス： すべて（ASA FirePOWER を除く）

ネットワーク分析ルールで VLAN 条件を設定すると、VLAN タグが付いたトラフィックの前処理方法を制御できます。システムは、最も内側の VLAN タグを使用して VLAN を基準にパケットを識別します。ASA FirePOWER デバイスでは、VLAN に応じて前処理を制限することはできません。

VLAN ベースのネットワーク分析条件を作成するときは、VLAN タグを手動で指定できます。または、VLAN タグ オブジェクトを使用して VLAN 条件を設定することもできます。VLAN タグ オブジェクトとは、いくつかの VLAN タグに名前を付けて再利用可能にしたものを指します。

ヒント VLAN タグ オブジェクトを作成しておくと、それを使用してネットワーク分析ルールを作成できるだけでなく、Web インターフェイスの他のさまざまな場所で VLAN タグを表すオブジェクトとしても使用できます。VLAN タグ オブジェクトはオブジェクト マネージャを使用して作成できます。また、ネットワーク分析ルールの設定時に作成することもできます。詳細については、VLAN タグ オブジェクトの操作を参照してください。

1 つの VLAN タグ条件で、[選択済み VLAN タグ（Selected VLAN Tags）] に最大 50 の項目を追加できます。VLAN タグ条件設定を作成する際、無効な設定が検出されると警告アイコン（ ）が表示されます。アイコンの上にポインタを置くと詳細が表示されます。

VLAN タグに基づいてトラフィックを前処理するには、次の手順を実行します。

アクセス： Admin/Access Admin/Network Admin

手順 1 VLAN タグに基づいてトラフィックを前処理するアクセス コントロール ポリシーで、新しいネットワーク分析ルールを作成するか、または既存のルールを編集します。

詳細な手順については、ネットワーク分析ルールを使用して前処理するトラフィックの指定を参照してください。

手順 2 ネットワーク分析ルール エディタで、[VLAN タグ（VLAN Tags）] タブを選択します。

[VLAN タグ（VLAN Tags）] タブが表示されます。

手順 3 [利用可能な VLAN タグ（Available VLAN Tags）] で、追加する VLAN を選択します。

• ここで VLAN タグ オブジェクトを作成してリストに追加するには、[利用可能な VLAN タグ（Available VLAN Tags）] リストの上にある追加アイコン（
）をクリックし、 VLAN タグ オブジェクトの操作の手順に従います。

• 追加する VLAN タグ オブジェクトおよびグループを検索するには、[利用可能な VLAN タグ（Available VLAN Tags）] リストの上にある [名前または値で検索（Search by name or value）] プロンプトをクリックし、オブジェクト名またはオブジェクトの VLAN タグの値を入力します。入力すると、リストが更新されて一致するオブジェクトが表示されます。
• オブジェクトを選択するには、そのオブジェクトをクリックします。複数のオブジェクトを選択するには、Shift キーおよび Ctrl キーを使用するか、または右クリックして [すべて選択（Select All）] を選択します。

手順 4 [ルールに追加（Add to Rule）] をクリックして、選択したオブジェクトを [選択した VLAN タグ（Selected VLAN Tags）] リストに追加します。選択したオブジェクトをドラッグ アンド ドロップでリストに追加することもできます。

手順 5 手動で指定する VLAN タグを追加します。

[選択した VLAN タグ（Selected VLAN Tags）] リストの下にある [VLAN タグの入力（Enter a VLAN tag）] プロンプトをクリックし、VLAN タグまたはその範囲を入力して、[追加（Add）] をクリックします。1 から 4094 までの任意の VLAN タグを指定できます。VLAN タグの範囲を指定するにはハイフンを使用します。

手順 6 ルールを保存するか、編集を続けます。

変更を反映させるには、アクセス コントロール ポリシーを適用する必要があります。「アクセス コントロール ポリシーの適用」（369 ページ）を参照してください。

ネットワーク分析ルールの管理

ライセンス： 任意（Any）

ネットワーク分析ルールは、これらの条件に一致するトラフィックを前処理する方法を指定する設定および条件の単純なセットにすぎません。既存のアクセス コントロール ポリシーの詳細オプションでネットワーク分析ルールを作成および編集します。各ルールは 1 つのポリシーにのみ属します。

カスタム ネットワーク分析ルールを編集するには、次の手順を実行します。

アクセス： Admin/Access Admin/Network Admin

手順 1 カスタム前処理設定を変更するアクセス コントロール ポリシーで、[詳細設定（Advanced）] タブを選択して、[ネットワーク分析と侵入ポリシー（Network Analysis and Intrusion Policies）] セクションの横にある編集アイコン（ ）をクリックします。

[ネットワーク分析ポリシー（Network Analysis Policies）] ダイアログボックスが表示されます。カスタムのネットワーク分析ルールをまだ追加していない場合、Web インターフェイスには [カスタム ルールなし（No Custom Rules）] と表示され、追加済みの場合はそれらのルールの数が表示されます。

手順 2 [ネットワーク分析ルール（Network Analysis Rules）] の横にある、所持しているカスタム ルールの数を示したステートメントをクリックします。

ダイアログボックスが展開され、カスタム ルールが表示されます（ある場合）。

手順 3 カスタム ルールを編集します。次の選択肢があります。

• ルールの条件を編集する、またはルールによって呼び出されるネットワーク分析ポリシーを変更するには、ルールの横にある編集アイコン（
）をクリックします。

• ルールの評価順序を変更するには、ルールをクリックして正しい位置にドラッグします。複数のルールを選択するには、Shift キーおよび Ctrl キーを使用します。
• ルールを削除するには、ルールの横にある削除アイコン（
）をクリックします。

ヒント ルールを右クリックするとコンテキスト メニューが表示され、新しいネットワーク分析ルールの切り取り、コピー、貼り付け、編集、および追加を行うことができます。

手順 4 [OK] をクリックして変更を保存します。

変更を反映させるには、アクセス コントロール ポリシーを適用する必要があります。アクセス コントロール ポリシーの適用を参照してください。