FireSIGHT System バージョン 5.4.1 ユーザ ガイド

インライン セットの表示

ライセンス： Protection

[デバイス管理（Device Management）] ページの [インライン セット（Inline Sets）] タブには、デバイスに設定されているすべてのインライン セットのリストが表示されます。仮想デバイスまたは Blue Coat X-Series 向け Cisco NGIPS では、バイパス モードになるようインライン セットを設定することはできません。「インライン セット テーブル ビューのフィールド」表には、各セットの要約情報が含まれています。

インライン セットの追加

ライセンス： Protection

[デバイスの管理（Device Management）] ページの [インライン セット（Inline Sets）] タブからインライン セットを追加できます。または、インライン インターフェイスを設定するときにインライン セットを追加できます。

インライン セットにはインライン インターフェイス ペア のみ を割り当てることができます。管理対象デバイスでインライン インターフェイスを設定する前にインライン セットを作成する必要がある場合は、空のインライン セットを作成し、後からそれにインターフェイスを追加できます。

インライン セットを追加する方法：

アクセス： Admin/Network Admin

手順 1 [デバイス（Devices）] > [デバイス管理（Device Management）] を選択します。

[デバイス管理（Device Management）] ページが表示されます。

手順 2 インライン セットを追加するデバイスの横にある編集アイコン（ ）をクリックします。

[インターフェイス（Interfaces）] タブが表示されます。

手順 3 [インライン セット（Inline Sets）] をクリックします。

[インライン セット（Inline Sets）] タブが表示されます。

手順 4 [インライン セットの追加（Add Inline Set）] をクリックします。

[インライン セットの追加（Add Inline Set）] ポップアップ ウィンドウが表示されます。

手順 5 [名前（Name）] フィールドに、インライン セットの名前を入力します。英数字とスペースを使用できます。

手順 6 インライン セットに追加するインライン インターフェイス ペアを選択する方法として、次の 2 つのオプションがあります。

• [インターフェイス（Interfaces）] の横で、1 つ以上のインライン インターフェイス ペアを選択し、選択項目の追加アイコン（
）をクリックします。複数のインライン インターフェイス ペアを選択するには、Ctrl キーまたは Shift キーを使用します。

• すべてのインターフェイス ペアをインライン セットに追加するには、「すべてを追加」アイコン（
）をクリックします。

ヒント インライン セットからインライン インターフェイスを削除するには、1 つ以上のインライン インターフェイス ペアを選択して、選択項目の削除アイコン（）をクリックします。インライン セットからすべてのインターフェイス ペアを削除するには、「すべてを削除」アイコン（）をクリックします。また、[インターフェイス（Interfaces）] タブでペアのいずれかのインターフェイスを無効にすると、ペアが削除されます。

手順 7 [MTU] フィールドに最大伝送ユニット（MTU）を入力して、パケットの最大許容サイズを指定します。

設定可能な MTU の範囲は、FireSIGHT システムのデバイス モデルおよびインターフェイスのタイプによって異なる場合があります。詳細については、管理対象デバイスの MTU の範囲を参照してください。

手順 8 オプションで、[フェールセーフ（Failsafe）] を選択すると、トラフィックは検出をバイパスしてデバイスを引き続き通過することが許可されます。管理対象デバイスは、内部トラフィック バッファをモニタし、それらのバッファが満杯である場合は検出をバイパスします。

内部トラフィック バッファがいっぱいになった場合、インライン セットでデバイスの [フェールセーフ（Failsafe）] を有効にすると、パケットがドロップされるリスクは大幅に軽減されます。ただし、特定の状況では、デバイスによってパケットがドロップされることがあります。最悪の場合、デバイスでネットワークが一時的に停止することがあります。

なお、シリーズ 3 および 3D9900 のデバイスでのみ、このオプションを使用できます。

手順 9 インターフェイスでの障害発生時にインライン インターフェイスのリレーがどのように応答するかを設定するには、次のようにバイパス モードを選択します。

• トラフィックがインターフェイスを通過し続けることを許可するには、[バイパス（Bypass）] を選択します。
• トラフィックをブロックするには、[非バイパス（Non-Bypass）] を選択します。

（注） バイパス モードでは、アプライアンスの再起動時に少数のパケットが失われることがあります。また、クラスタ デバイス上のインライン セット、仮想デバイスまたは Blue Coat X-Series 向け Cisco NGIPS 上のインライン セット、8000 シリーズ デバイス上の非バイパス NetMod、および 3D7115 または 3D7125 デバイス上の SFP モジュールに対しては、バイパス モードを設定できないので注意してください。

手順 10 [OK] をクリックします。

インライン セットが追加されます。デバイス設定を適用するまでは、変更内容が有効にならないことに注意してください（詳しくはデバイスへの変更の適用を参照してください）。

ヒント タップ モード、リンク ステート伝達、トランスペアレント インライン モードなど、インライン セットの詳細設定については、インライン セットの詳細オプションの設定を参照してください。

インライン セットの詳細オプションの設定

ライセンス： Protection

サポートされるデバイス： 機能に応じて異なる

インライン セットを設定する際に考慮できるオプションがいくつかあります。各オプションの詳細については、後述の項を参照してください。

タップ モード

サポートされるデバイス： シリーズ 3、3D9900

3D9900 およびシリーズ 3 デバイスでは、インライン（またはフェール オープン付きインライン）インターフェイス セットを作成するときにタップ モードを使用できます。

タップ モードの場合、デバイスはインラインで展開されますが、パケットがデバイスを通過する代わりに各パケットのコピーがデバイスに送信され、ネットワーク トラフィック フローは影響を受けません。パケット自体ではなくパケットのコピーを処理するため、ドロップするように設定したルール、および置換キーワードを使用するルールはパケット ストリームに影響を与えません。ただし、これらのタイプのルールでは、トリガー時に侵入イベントが生成され、侵入イベントのテーブル ビューには、トリガーの原因となったパケットがインライン展開でドロップされたことが示されます。

インライン展開されたデバイスでタップ モードを使用することには、いくつかの利点があります。たとえば、デバイスがインラインであるかのようにデバイスとネットワークの間の配線をセットアップし、デバイスが生成するタイプの侵入イベントを分析することができます。その結果に基づいて、効率性に影響を与えることなく最適なネットワーク保護を提供するように、侵入ポリシーを変更して廃棄ルールを追加できます。デバイスをインラインで展開する準備ができたら、タップ モードを無効にして、デバイスとネットワークの間の配線を再びセットアップすることなく、不審なトラフィックをドロップし始めることができます。

同じインライン セットでこのオプションと厳密な TCP 強制を有効にすることはできないことに注意してください。

リンク ステートの伝達

サポートされるデバイス： シリーズ 2、シリーズ 3

リンク ステートの伝達は、インライン セットのペアの両方で状態を追跡できるよう、バイパス モードで設定されるインライン セットの機能です。リンク ステート伝搬は、銅線および光ファイバの両方の設定可能なバイパス インターフェイスで使用できます。

リンク ステートの伝達によって、インライン セットのインターフェイスの 1 つが停止した場合、インライン インターフェイス ペアの 2 番目のインターフェイスも自動的に停止します。停止したインターフェイスが再び起動すると、2 番目のインターフェイスも自動的に起動します。つまり、1 つのインターフェイスのリンク ステートが変化すると、アプライアンスはその変化を検知し、それに合わせて他のインターフェイスのリンク ステートを更新します。ただし、アプライアンスがリンク ステートの変更を伝達するのに最大 4 秒かかります。

（注） リンク ステート伝達がトリガーされると、シリーズ 2 デバイス（3D9900 を除く）でフェール オープンとして設定された光ファイバ インライン セットは、ハードウェア バイパス モードをアクティブ化します。この場合、関連するインターフェイス カードのバイパスは自動的に終了しません。バイパス モードを手動で解除する必要があります。インライン セットの光ファイバ インターフェイスおよびハードウェア バイパスの詳細については、フェール オープンに設定された光ファイバ インライン セットでのバイパス モードの除去を参照してください。

障害状態のネットワーク デバイスを自動的に避けてトラフィックを再ルーティングするようにルータが設定されている復元力の高いネットワーク環境では、リンク ステートの伝達が特に有効です。

クラスタ化されたデバイスで設定されたインライン セットのリンク ステート伝達を無効にすることはできません。

なお、仮想デバイス、Blue Coat X-Series 向け Cisco NGIPS、および Cisco ASA with FirePOWER Services では、リンク ステートの伝達はサポートされていません。

トランスペアレント インライン モード

トランスペアレント（透過的）インライン モード オプションを使用すると、デバイスは「Bump In The Wire」として機能できます。これは、送信元と宛先に関係なく、認識されるすべてのネットワーク トラフィックをデバイスが転送することを意味します。シリーズ 3 および 3D9900 のデバイスではこのオプションを無効にできません。

厳密な TCP の適用

サポートされるデバイス： シリーズ 3

最大の TCP セキュリティを実現するには、厳密な適用（強制）を有効にできます。この機能は、3 ウェイ ハンドシェイクが完了していない接続をブロックします。厳密な適用では次のパケットもブロックされます。

• 3 ウェイ ハンドシェイクが完了していない接続の非 SYN TCP パケット
• レスポンダが SYN-ACK を送信する前に TCP 接続のイニシエータから送信された非 SYN/RST パケット
• SYN の後、セッションの確立前に TCP 接続のレスポンダから送信された非 SYN-ACK/RST パケット
• イニシエータまたはレスポンダから確立された TCP 接続の SYN パケット

なお、シリーズ 2、仮想デバイス、および Blue Coat X-Series 向け Cisco NGIPS では、このオプションはサポートされていません。また、同じインライン セットで、このオプションとタップ モードを有効にすることはできません。

高度なインライン セット オプションを設定する方法：

アクセス： Admin/Network Admin

手順 1 [デバイス（Devices）] > [デバイス管理（Device Management）] を選択します。

[デバイス管理（Device Management）] ページが表示されます。

手順 2 インライン セットを編集するデバイスの横にある編集アイコン（ ）をクリックします。

[インターフェイス（Interfaces）] タブが表示されます。

手順 3 [インライン セット（Inline Sets）] をクリックします。

[インライン セット（Inline Sets）] タブが表示されます。

手順 4 編集するインライン セットの横にある編集アイコン（ ）をクリックします。

[インライン セットの編集（Edit Inline Set）] ポップアップ ウィンドウが表示されます。

手順 5 [詳細設定（Advanced）] をクリックします。

[詳細設定（Advanced）] タブが表示されます。

手順 6 オプションで、シリーズ 3 および 3D9900 デバイスのインライン インターフェイスでタップ モードを有効にするために [Tap Mode] を選択します。

なお、仮想デバイス、Blue Coat X-Series 向け Cisco NGIPS、および シリーズ 2 デバイス（3D9900 を除く）では、このオプションはサポートされていません。さらに、同じインライン セットで、[タップ モード（Tap Mode）] と [TCP の厳密な適用（Strict TCP Enforcement）] を有効にすることはできません。

手順 7 オプションで、シリーズ 2 またはシリーズ 3 デバイスで [リンク ステートの伝達（Propagate Link State）] を選択します。停止したネットワーク デバイスを避けてトラフィックを再ルーティングする機能がネットワークのルータに備わっている場合、このオプションが特に便利です。

クラスタ化されたデバイスで設定されたインライン セットのリンク ステート伝達を無効にすることはできません。

なお、仮想デバイスおよび Blue Coat X-Series 向け Cisco NGIPS では、このオプションはサポートされていません。

手順 8 オプションで、シリーズ 3 デバイスで TCP の厳密な適用を有効化するには、[TCP の厳密な適用（Strict TCP Enforcement）] を選択します。

なお、シリーズ 2、仮想デバイス、および Blue Coat X-Series 向け Cisco NGIPS では、このオプションはサポートされていません。また、同じインライン セットで、[TCP の厳密な適用（Strict TCP Enforcement）] と [タップ モード（Tap Mode）] を有効にすることはできません。

手順 9 オプションで、[トランスペアレント インライン モード（Transparent Inline Mode）] を選択します。

シリーズ 3 および 3D9900 のデバイスではこのオプションを無効にできません。

手順 10 [OK] をクリックします。

変更が保存されます。デバイス設定を適用するまでは、変更内容が有効にならないことに注意してください（詳しくはデバイスへの変更の適用を参照してください）。

フェール オープンに設定された光ファイバ インライン セットでのバイパス モードの除去

ライセンス： Protection

サポートされるデバイス： シリーズ 2（3D9900 を除く）

フェール オープンに設定された光ファイバ インライン セットを持つシリーズ 2 デバイスでリンク ステート伝達が有効になっている場合、そのデバイスがバイパス モードになると、すべてのネットワーク トラフィックは分析されずにインライン セットを通過します。リンクが復元した場合、フェール オープンに設定されているほとんどの光ファイバ インライン セットは、自動的にはバイパスから戻りません。コマンド ライン ツールを使用して、インライン セットのバイパス モードを強制的に解除できます。

このツールは、フェール オープンに設定された光ファイバ インライン インターフェイスを持つインライン セットに対して機能します。フェール オープンに設定された銅線インライン インターフェイスを持つインライン セットでこのツールを使用する必要はありません。

（注） デバイス上でフェール オープンに設定されたインライン セットに問題がある場合は、サポート担当に連絡してください。

デバイス上で、フェール オープンに設定された光ファイバ インライン セットのバイパス モードを強制的に解除する方法：

アクセス： Admin/Network Admin

手順 1 デバイスでターミナル ウィンドウを開き、管理者ユーザとしてサインインします。

手順 2 コマンドラインに次のように入力します。

パスワードを求めるプロンプトが表示されます。

手順 3 インターフェイスを切り替えてバイパス モードを解除すると、デバイスがトラフィックを分析していることを示すメッセージが syslog に表示されます。次に例を示します。

インライン セットの削除

ライセンス： Protection

インライン セットを削除すると、そのセットに割り当てられたインライン インターフェイスを別のセットに含めることができるようになります。それらのインターフェイスは削除されません。

インライン セットを削除する方法：

アクセス： Admin/Network Admin

手順 1 [デバイス（Devices）] > [デバイス管理（Device Management）] を選択します。

[デバイス管理（Device Management）] ページが表示されます。

手順 2 インライン セットを削除するデバイスの横にある編集アイコン（ ）をクリックします。

[インターフェイス（Interfaces）] タブが表示されます。

手順 3 [インライン セット（Inline Sets）] をクリックします。

[インライン セット（Inline Sets）] タブが表示されます。

手順 4 削除するインライン セットの横にある削除アイコン（ ）をクリックします。

手順 5 プロンプトが表示されたら、インライン セットを削除することを確認します。

インライン セットが削除されます。デバイス設定を適用するまでは、変更内容が有効にならないことに注意してください（詳しくはデバイスへの変更の適用を参照してください）。