FireSIGHT System バージョン 5.4.1 ユーザ ガイド

更新の計画

ライセンス： 任意（Any）

更新を開始する前に、リリース ノートをよく読んで理解する必要があります。リリース ノートはサポート サイトからダウンロードすることができます。リリース ノートには、サポートされているプラットフォーム、新しい機能、既知および解決済みの問題、製品の互換性について記載されています。また、リリース ノートには前提条件、警告、および特別なのインストールおよびアンインストールの手順についての重要な情報が含まれています。

以降の項では、更新の計画で検討しなければならない要素の概要を提供します。

FireSIGHT システム バージョン要件

アプライアンス（ソフトウェアベースのデバイスを含む）が、FireSIGHT システム の正しいバージョンを実行していることを確認する必要があります。リリース ノートには必要なバージョンが示されています。古いバージョンを実行している場合は、サポート サイトから更新を取得することができます。

オペレーティング システム要件

ソフトウェアベースのデバイスをインストールしたコンピュータが、オペレーティング システムの正しいバージョンを実行していることを確認します。リリース ノートには必要なバージョンが示されています。仮想デバイスでサポートされるオペレーティング システムの詳細については、『 FireSIGHT システム Virtual Installation Guide 』を参照してください。Blue Coat X-Series 向け Cisco NGIPS でサポートされるオペレーティング システムの詳細については、『 Blue Coat X-Series 向け Cisco NGIPS Installation Guide 』を参照してください。

時間とディスク スペース要件

十分な空きディスク領域があることを確認し、更新のために十分な時間を確保しておく必要があります。管理対象デバイスを更新する場合は、防御センター 上に追加のディスク領域が必要になります。リリース ノートには、ディスク領域と時間の要件が示されています。

設定とイベント バックアップのガイドライン

シスコでは、主要な（メジャーな）更新を開始する前に、バックアップを外部の場所へコピーし、アプライアンス上に残っているバックアップをすべて削除することを推奨しています。また、更新のタイプに関係なく、現行のイベントおよび設定データを外部の場所にバックアップしておく必要もあります。イベント データは、更新プロセスの一部としてバックアップ されません 。

防御センター を使用して、それ自身、および管理対象のイベントと設定データをバックアップすることができます。バックアップと復元の使用を参照してください。

更新を実行するタイミング

更新プロセスはトラフィック インスペクション、トラフィック フロー、およびリンク ステートに影響を与えることがあり、更新を行っている間は Data Correlator が無効になるため、シスコでは、保守期間内または中断の影響が最も少ない時間に更新を行うことを推奨しています。

更新プロセスについて

ライセンス： 任意（Any）

次の図は、更新プロセスの概要を示しています。

更新の順序

使用している 防御センター を更新してから、それらが管理するデバイスを更新する 必要があります 。

防御センターを使用した更新の実行

シスコでは、防御センター の Web インターフェイスを使用して、それ自身だけでなく、管理対象のデバイスも更新することを推奨しています。仮想デバイスや Blue Coat X-Series 向け Cisco NGIPS など、Web インターフェイスを持たない管理対象デバイスを更新するには、防御センター を使用する 必要があります 。Blue Coat X-Series 向け Cisco NGIPS に対するメジャーな更新では、前のバージョンをアンインストールしてから新しいバージョンをインストールする必要がある場合もあります。詳細については、『 Blue Coat X-Series 向け Cisco NGIPS Installation Guide 』を参照してください。

[製品の更新（Product Updates）] ページ（[システム（System）] > [更新（Updates）]）には、それぞれの更新のバージョン、およびその更新が生成された日時が表示されます。また、更新の一環としてリブートが必要かどうかも示されます。

サポートから取得した更新をアプライアンスへアップロードすると、更新がページに示されます。パッチ機能および機能の更新のアンインストーラも表示されます。ソフトウェア アップデートのアンインストールを参照してください。防御センター で、ページに VDB 更新を表示できます。

ヒント パッチおよび機能の更新では、自動更新機能を利用することができます。ソフトウェア更新の自動化を参照してください。

ペアの 防御センター の更新

高可用性ペアの片方の 防御センター の更新を開始すると、もう一方の 防御センター がプライマリになります（まだプライマリになっていなかった場合）。また、ペアの 防御センター が設定情報の共有を停止し、ペアの 防御センター は通常の同期プロセスの一環としてソフトウェア更新を受信しません。

運用の継続性を保証するには、ペアの 防御センター を同時に更新 しないでください 。まず、セカンダリ 防御センター の更新手順を完了してからプライマリを更新してください。

クラスタ デバイスの更新

クラスタ デバイスまたはクラスタ スタック上で更新をインストールすると、システムは、複数のデバイスまたはスタック上で同時に更新を実行します。更新を開始すると、システムは最初にバックアップ デバイスまたはスタックに更新を適用し、必要なプロセスが再開され、デバイスまたはスタックがトラフィックを再処理するまでメンテナンス モードになります。次にシステムはアクティブなデバイスまたはスタックに更新を適用し、同じプロセスに従います。

クラスタ スタックのデバイスを更新するには、クラスタのすべてのメンバー上で同時に、管理している 防御センター から更新を実行する必要があります。デバイスから更新を直接実行することはできません。

スタック構成デバイスの更新

スタック構成デバイスで更新をインストールする場合、システムは更新を同時に実行します。各デバイスは、更新が完了すると通常の動作を再開します。次の点に注意してください。

• すべてのセカンダリ デバイスの更新が完了する 前に プライマリ デバイスの更新が完了すると、すべてのデバイスで更新が完了するまでスタックはバージョンが混在する制限付き状態で動作します。
• すべてのセカンダリ デバイスの更新が完了した 後で プライマリ デバイスの更新が完了した場合は、プライマリ デバイスで更新が完了したときに、スタックは通常の動作を再開します。

トラフィック フローとインスペクション

管理対象デバイスから更新をインストールまたはアンインストールすると、次の機能に影響を及ぼすことがあります。

• トラフィックのインスペクション（アプリケーションおよびユーザの認識とコントロール、URL フィルタリング、セキュリティ インテリジェンス フィルタリング、侵入検出と防御、接続のロギングなど）
• トラフィック フロー（スイッチング、ルーティング、および関連する機能を含む）
• リンク ステート

Data Correlator は、システムの更新中は動作しません。更新が完了すると再開します。

ネットワーク トラフィックの中断の方法と期間は、更新が影響を及ぼす FireSIGHT システムのコンポーネント、デバイスがどのように設定および展開されているか、更新によりデバイスがリブートされるかどうか、によって異なります。特定の更新に対してネットワーク トラフィックがいつ、どのように影響を受けるかについての情報は、リリース ノートを参照してください。

ヒント クラスタ デバイスを更新する場合、システムは、トラフィックの中断を回避するために、一度に 1 つずつ更新を実行します。

更新中の Web インターフェイスの使用

更新のタイプに関係なく、更新中のアプライアンスの Web インターフェイスを使用して、更新の監視以外のタスクを実行 しないで ください。

メジャーな更新中にユーザがアプライアンスを使用しないようにし、メジャーな更新の進捗をユーザが簡単に監視できるようにするために、アプライアンスの Web インターフェイスが合理化されています。タスク キュー（[システム（System）] > [モニタリング（Monitoring）] > [タスクのステータス（Task Status）]）でマイナーな更新の進捗を監視することができます。マイナーな更新中に Web インターフェイスを使用することは禁止されていませんが、シスコでは推奨していません。

ヒント 管理対象デバイスの更新を監視するには、防御センター でタスク キューを使用します。

マイナーな更新であっても、更新プロセス中は、更新しているアプライアンスの Web インターフェイスが使用不可になるか、またはアプライアンスでユーザがログアウトされることがあります。これは想定されている動作です。そのような場合は、もう一度ログインしてタスク キューを表示します。まだ更新が実行中の場合は、更新が完了するまで Web インターフェイスを使用 しないで ください。更新中は、管理対象デバイスが 2 回再起動されることがありますが、これは予想される動作です。

注意 （Web インターフェイスに更新が失敗したことが示されている、タスク キューの手動更新または [更新ステータス（Update Status）] ページに進捗が表示されないなど）更新で問題が発生した場合には、更新を再開 しないでください。代わりに、サポートに連絡してください。

---

更新後

リリース ノートに記載されている更新後のタスクをすべて完了し、展開が正常に実行されていることを確認する 必要があります 。

更新後に行う最も重要なタスクは、防御センター を更新した後と、管理対象デバイスを更新した後の両方で、アクセス コントロール ポリシーを再適用することです。

注意 アクセス コントロール ポリシーの適用時に、リソース需要が生じる結果として、少数のパケットがインスペクションなしでドロップされることがあります。さらに、構成の一部を適用するときに、Snort プロセスの再開が要求され、これにより一時的にトラフィックのインスペクションが中断されます。この中断中にトラフィックがドロップされるか、それ以上インスペクションが行われずに受け渡されるかは、管理対象デバイスのモデルおよびトラフィックの処理方法に応じて異なります。 アクセス コントロール ポリシーの適用および Snort プロセスを再開する構成を参照してください。

---

また、次の作業を実行する必要があります。

• 更新が正常に終了したことを確認する
• 展開のすべてのアプライアンスが正常に通信していることを確認する
• 必要に応じて侵入ルール、VDB、および GeoDB を更新する
• リリース ノートの情報に基づいて、必要な設定変更を行う
• リリース ノートに記載されている、更新後の追加タスクを実行する

防御センター の更新

ライセンス： 任意（Any）

更新のタイプ、および 防御センター がインターネットへアクセスできるかどうかによって、防御センター を次のいずれかの方法で更新します。

• 防御センター がインターネットにアクセスできる場合は、防御センター を使用して、サポート サイトから直接更新を取得します。このオプションは、メジャーな更新ではサポート されていません 。
• サポート サイトから更新を手動でダウンロードして、防御センターへアップロードすることもできます。防御センターがインターネットへアクセスできない場合、またはメジャーな更新を実行している場合は、このオプションを選択します。

注意 操作の継続性を保証するために、ペアの 防御センター を同時に更新 しないでください。 ペアの 防御センター の更新を参照してください。

---

メジャーな更新の場合は、防御センターを更新すると、以前の更新のアンインストーラが削除されます。

防御センター を更新する方法：

アクセス： 管理

手順 1 リリース ノートを読んで、更新前の必要なタスクを完了させます。

更新前のタスクとして、防御センター がシスコソフトウェアの正しいバージョンを実行していること、更新を実行するための十分な空きディスク領域があること、更新を実行するための十分な時間を確保していること、イベントおよび設定データをバックアップしたことなどを確認します。

手順 2 防御センター に更新をアップロードします。ここで、更新のタイプによって、および防御センターがインターネットにアクセスできるかどうかによって、2 つのオプションがあります。

• メジャーな更新を除くすべての更新で、防御センター がインターネットにアクセスできる場合は、[システム（System）] > [更新（Updates）] を選択し、[アップデートのダウンロード（Download Updates）] をクリックして、最新の更新をチェックします。メジャーな更新の場合、または 防御センター がインターネットにアクセスできない場合は、最初に更新を手動でダウンロードする必要があります。次のサポート サイトのいずれかから更新をダウンロードします。

– すべての Sourcefire の更新： （ https://support.sourcefire.com/ ）

– シスコの更新 ：

• [システム（System）] > [更新（Updates）] を選択して [アップデートのアップロード（Upload Update）] をクリックします。更新を参照し、[アップロード（Upload）] をクリックします。

（注） [製品アップデート（Product Updates）] タブで [アップデートのダウンロード（Download Updates）] をクリックするか、または手動で、サポート サイトから更新を直接ダウンロードします。電子メールで更新ファイルを転送すると、破損する可能性があります。

防御センター に更新がアップロードされます。

手順 3 展開内でアプライアンスが正常に通信していること、およびヘルス モニタによって問題が報告されていないことを確認します。

手順 4 [システム（System）] > [モニタリング（Monitoring）] > [タスクのステータス（Task Status）] を選択してタスク キューを表示し、進行中のジョブがないことを確認します。

更新の開始時に実行中だったタスクは停止され、再開できません。これらのタスクは更新の完了後にタスク キューから手動で削除する必要があります。タスク キューは 10 秒ごとに自動的にリフレッシュされます。実行時間の長いタスクがある場合は、それらが完了するまで待ってから、更新を開始する必要があります。

手順 5 [システム（System）] > [更新（Updates）] を選択します。

[製品アップデート（Product Updates）] ページが表示されます。

手順 6 アップロードした更新の横にあるインストール アイコンをクリックします。

[アップデートをインストール（Install Update）] ページが表示されます。

手順 7 防御センター を選択して [Install] をクリックします。プロンプトが表示されたら、更新をインストールすることを確認して 防御センター をリブートします。

更新プロセスが開始されます。更新をモニタする方法は、更新がメジャーかマイナーかによって異なります。更新のタイプを判断するには、 FireSIGHT システム更新のタイプ の表およびリリース ノートを参照してください。

• マイナーな更新については、タスク キュー（[システム（System）] > [モニタリング（Monitoring）] > [タスクのステータス（Task Status）]）で更新の進捗を監視することができます。
• メジャーな更新の場合は、タスク キューで更新の進捗のモニタリングを開始できます。ただし、防御センター による更新前のチェックが完了すると、ユーザはログアウトされます。再度ログインすると、[アップグレード ステータス（Upgrade Status）] ページが表示されます。詳細については、メジャーな更新のステータスのモニタリングを参照してください。

注意 更新のタイプに関係なく、更新が完了するまで、更新の監視以外のタスクを実行するために Web インターフェイスを使用 しないでください。必要な場合は、防御センター をリブートします。詳細については、 更新中の Web インターフェイスの使用を参照してください。

---

手順 8 更新が完了したら、必要に応じて 防御センター にログインします。

メジャーな更新の後に最初にログインするユーザには、エンド ユーザ ライセンス契約（EULA）が表示されることがあります。EULA を確認して承認し、処理を続行します。

手順 9 ブラウザのキャッシュを消去し、ブラウザを強制的にリロードします。そうしない場合、ユーザ インターフェイスが予期しない動作を示すことがあります。

手順 10 [ヘルプ（Help）] > [バージョン情報（About）] を選択し、ソフトウェアのバージョンが正しく示されていることを確認します。また、防御センター のルール更新と VDB のバージョンもメモしてください。この情報は後で必要になります。

手順 11 すべての管理対象デバイスが、防御センター と正常に通信していることを確認します。

手順 12 サポート サイトで利用可能なルール更新が、ご使用の 防御センターのルールより新しい場合は、新しいルールをインポートします。

詳細については、ルールの更新とローカル ルール ファイルのインポートを参照してください。

手順 13 アクセス コントロール ポリシーを再適用します。

アクセス コントロール ポリシーの適用時に、リソース需要が生じる結果として、少数のパケットがインスペクションなしでドロップされることがあります。さらに、構成の一部を適用するときに、Snort プロセスの再開が要求され、これにより一時的にトラフィックのインスペクションが中断されます。この中断中にトラフィックがドロップされるか、それ以上インスペクションが行われずに受け渡されるかは、管理対象デバイスのモデルおよびトラフィックの処理方法に応じて異なります。アクセス コントロール ポリシーの適用および Snort プロセスを再開する構成を参照してください。

手順 14 サポート サイトで利用可能な VDB が、ご使用の 防御センター の VDB より新しい場合は、最新の VDB をインストールします。

注意 VDB の更新をインストールすると、アクセス コントロール ポリシーの適用時に Snort プロセスが再起動され、一時的にトラフィックのインスペクションが中断されます。この中断中にトラフィックがドロップされるか、それ以上インスペクションが行われずに受け渡されるかは、管理対象デバイスのモデルおよびトラフィックの処理方法に応じて異なります。詳細については、 Snort の再開によるトラフィックへの影響と 脆弱性データベースの更新を参照してください。

---

手順 15 次の項、管理対象デバイスの更新へ進んで、防御センター が管理するデバイス上で シスコ ソフトウェアを更新します。

管理対象デバイスの更新

ライセンス： 任意（Any）

シスコでは、更新後の 防御センター を使用して、管理対象のデバイスを更新することを推奨しています。仮想デバイスや Blue Coat X-Series 向け Cisco NGIPS など、Web インターフェイスを持たない管理対象デバイスを更新するには、防御センター を使用する 必要があります 。Blue Coat X-Series 向け Cisco NGIPS に対するメジャーな更新では、前のバージョンをアンインストールしてから新しいバージョンをインストールする必要がある場合もあります。

管理対象デバイスの更新は、2 段階のプロセスです。最初に、以下のいずれかのサポート サイトから更新をダウンロードし、それを管理元の 防御センター へアップロードします。

• Sourcefire： （ https://support.sourcefire.com/ ）
• シスコ： （ http://www.cisco.com/cisco/web/support/index.html ）

次に、ソフトウェアをインストールします。

（注） トラフィックのインスペクション、トラフィック フロー、およびリンク状態は、デバイスがどのように設定および展開されているか、更新がどのコンポーネントに影響を及ぼすか、更新によってデバイスがリブートされるかどうかよって、更新中に影響を受けることがあります。特定の更新に対してネットワーク トラフィックがいつ、どのように影響を受けるかについての具体的な情報は、対象の更新のリリース ノートを参照してください。

管理対象デバイスを更新するには、次の手順を実行します。

アクセス： 管理

手順 1 リリース ノートを読んで、更新前の必要なタスクを完了させます。

更新前のタスクとして、管理元の 防御センター を更新し、イベントおよび設定データをバックアップします。さらにデバイスが シスコ ソフトウェアの正しいバージョンを実行していること、ソフトウェアベースのデバイスをインストールしたコンピュータがオペレーティング システムの正しいバージョンを実行していること、更新を実行するのに十分な空きディスク領域があること、更新を実行するための十分な時間を確保していることなどを確認します。

手順 2 デバイスの管理元の 防御センター で FireSIGHT システム ソフトウェアを更新します。防御センター の更新を参照してください。

手順 3 次のサポート サイトのいずれかから更新をダウンロードします。

• すべての Sourcefire の更新： （ https://support.sourcefire.com/ ）
• シスコの更新：

デバイス モデルごとに異なる更新を使用できます。ダウンロードできる更新については、リリース ノートを参照してください。

（注） サポート サイトから更新を直接ダウンロードします。電子メールで更新ファイルを転送すると、破損する可能性があります。

手順 4 展開内でアプライアンスが正常に通信していること、およびヘルス モニタによって問題が報告されていないことを確認します。

手順 5 管理元の 防御センター で、[システム（System）] > [更新（Update）] を選択します。

[製品アップデート（Product Updates）] ページが表示されます。

手順 6 [更新のアップロード（Upload Update）] をクリックして、ダウンロードした更新を参照し、[アップロード（Upload）] をクリックします。

防御センター に更新がアップロードされます。[製品アップデート（Product Updates）] タブに、アップロードした更新のタイプ、バージョン番号、および生成された日付と時刻が示されます。このページには、再起動が更新の一環として必要かどうかも示されます。

手順 7 インストール中の更新の横にあるインストール アイコンをクリックします。

[アップデートをインストール（Install Update）] ページが表示されます。

手順 8 更新をインストールするデバイスを選択して [インストール（Install）] をクリックします。同じ更新を使用する場合は、複数のデバイスを一度に更新できます。プロンプトが表示されたら、更新をインストールすることを確認してデバイスをリブートします。

更新プロセスが開始されます。ファイルのサイズによっては、すべてのデバイスで更新をインストールするのに時間がかかることがあります。防御センター のタスク キュー（[システム（System）] > [モニタリング（Monitoring）] > [タスクのステータス（Task Status）]）で更新の進行状況を監視できます。更新中に、管理対象デバイスが 2 回リブートされることがありますが、これは正常な動作です。

注意 （タスク キューに更新が失敗したことが示されている、またはタスク キューの手動更新で進捗が表示されないなど）更新で問題が発生した場合には、更新を再開 しないでください。代わりに、サポートに連絡してください。

---

手順 9 オプションとして、メジャーな更新の後でデバイスのローカル Web インターフェイスにログインします。

メジャーな更新の後に最初にログインするユーザには、エンド ユーザ ライセンス契約（EULA）が表示されることがあります。EULA を確認して承認し、処理を続行します。Web インターフェイスではなくコマンドライン インターフェイスを介して最初にログインした場合も EULA が表示されるので、必ず承認してください。

手順 10 防御センター で、[デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、更新したデバイスのバージョンが記載されている正しいものであることを確認します。

手順 11 更新したデバイスが、防御センター と正常に通信していることを確認します。

手順 12 アクセス コントロール ポリシーを再適用します。

アクセス コントロール ポリシーの適用時に、リソース需要が生じる結果として、少数のパケットがインスペクションなしでドロップされることがあります。さらに、構成の一部を適用するときに、Snort プロセスの再開が要求され、これにより一時的にトラフィックのインスペクションが中断されます。この中断中にトラフィックがドロップされるか、それ以上インスペクションが行われずに受け渡されるかは、管理対象デバイスのモデルおよびトラフィックの処理方法に応じて異なります。アクセス コントロール ポリシーの適用および Snort プロセスを再開する構成を参照してください。

メジャーな更新のステータスのモニタリング

ライセンス： 任意（Any）

メジャーな更新では、FireSIGHT システムに備わっている簡潔な Web インターフェイスを使用して、更新プロセスを簡単に監視できます。また、この簡潔なインターフェイスを使用すると、更新の監視以外のタスクを実行するために Web インターフェイスを使用することを防止できます。

タスク キュー（[システム（System）] > [モニタリング（Monitoring）] > [タスク キュー（Task Queue）]）で更新の進捗の監視を開始できます。ただし、アプライアンスで更新前の必要なチェックが完了した後、このユーザおよび他のすべてのユーザが Web インターフェイスからログアウトされます。管理者またはメンテナンス ユーザ以外は、更新が完了するまでログインし直すことはできません。

管理者の場合は、ログインし直すと、簡潔な更新ページが表示されます。

防御センター を使用して管理対象デバイスを更新する場合、シスコでは、防御センター のタスク キューから更新の進捗をモニタすることを推奨しています。ただし、アプライアンスが更新前のチェックを終了した後、デバイスのローカル Web インターフェイスへのログインを試みると、簡潔な更新ページが表示され、これを使用して更新の進捗をモニタすることができます。

このページには、更新前の FireSIGHT システム のバージョン、更新後のバージョン、および更新を開始してからの経過時間が表示されます。また進捗バーが表示され、現在実行中のスクリプトに関する詳細が示されます。

ヒント 更新ログを表示するには、[現在のスクリプトのログを表示する（show log for current script）] をクリックします。ログをもう一度非表示にするには、[現在のスクリプトのログを非表示する（hide log for current script）] をクリックします。

何らかの理由で更新に失敗した場合は、このページにエラー メッセージが表示され、失敗した日時、更新が失敗したときに実行していたスクリプト、およびサポートへの連絡方法が示されます。更新は再開 しないで ください。

注意 更新で他の問題が生じた場合（ページを手動更新しても長時間にわたって進捗が表示されない場合など）には、更新を再開 しないでください。代わりに、サポートに連絡してください。

---

更新が完了すると、アプライアンスで正常終了のメッセージが表示され、リブートが行われます。アプライアンスのリブートが完了した後で、ページを更新してログインし、更新後の必要な手順を完了します。

ワンタイム ルール更新の使用

ライセンス： 任意（Any）

ワンタイム ルール更新では次の 2 つの方法を使用することができます。

• 手動によるワンタイム ルール更新の使用では、サポート サイトからローカル マシンへ手動でルール更新をダウンロードし、それを手動でインストールする方法について説明しています。
• 自動ワンタイム ルール更新の使用では、Web インターフェイスで自動機能を使用し、サポート サイトで新しいルール更新を検索し、それをアップロードする方法について説明しています。

手動によるワンタイム ルール更新の使用

ライセンス： 任意（Any）

次の手順では、新しいルール更新を手動でインポートする方法について説明します。この手順は、防御センターがインターネットにアクセスできない場合に特に有用です。

手動でルール更新をインポートするには、次の手順を実行します。

アクセス： 管理

手順 1 インターネットにアクセスできるコンピュータから、次のサイトのいずれかへアクセスします。

• Sourcefire： （ https://support.sourcefire.com/ ）
• シスコ： （ http://www.cisco.com/cisco/web/support/index.html ）

手順 2 [ダウンロード(Download)] をクリックし、[ルール（Rules）] をクリックします。

手順 3 最新のルール更新へ移動します。

ルールの更新は累積されます。現在インストールされているルールのバージョンに一致するルール更新、またはそれより前のバージョンのルール更新をインポートすることはできません。

手順 4 ダウンロードするルール更新ファイルをクリックし、そのファイルをコンピュータに保存します。

手順 5 アプライアンスの Web インターフェイスにログインします。

手順 6 [システム（System）] > [更新（Updates）] を選択し、[ルールの更新（Rule Updates）] タブを選択します。

[ルールのアップデート（Rule Updates）] ページが表示されます。

ヒント または [ルール エディタ（Rule Editor）] ページで [ルールのインポート（Import Rules）] をクリックします（[ポリシー（Policies）] > [侵入（Intrusion）] > [ルール エディタ（Rule Editor）]）。

手順 7 必要に応じて、[すべてのローカル ルールを削除（Delete All Local Rules）] をクリックして、[OK] をクリックし、作成またはインポートしたすべてのユーザ定義ルールを削除済みフォルダに移動します。詳細については、カスタム ルールの削除を参照してください。

手順 8 [アップロードおよびインストールするルール アップデートまたはテキスト ルール ファイル（Rule Update or text rule file to upload and install）] を選択し、[ファイルの選択（Choose File）] をクリックして、ルール更新ファイルに移動して選択します。

手順 9 オプションで、更新の完了後にポリシーを管理対象デバイスに再適用します。

• 侵入ポリシーを自動的に再適用するには、[ルール更新のインポート完了後に侵入ポリシーを再適用する（Reapply intrusion policies after the rule update import completes）] を選択します。他のアクセス コントロールの設定を更新せずに、ルールとその他の変更された侵入ポリシーの設定を更新する場合は、このオプションだけを選択します。侵入ポリシーをアクセス コントロール ポリシーとともに再適用するには、このオプションを選択する 必要があります 。この場合、アクセス コントロール ポリシーを再適用しても、完全な適用は実行されません。
• アクセス コントロール ポリシーとそれに関連する SSL ポリシー、ネットワーク分析ポリシー、およびファイル ポリシーを自動的に再適用し、侵入ポリシーを再適用しない場合は、[ルール更新のインポート完了後にアクセス コントロール ポリシーを再適用する（Reapply access control policies after the rule update import completes）] を選択します。このオプションを選択すると、変更されたアクセス コントロールの詳細設定のデフォルト値もすべて更新されます。ネットワーク分析ポリシーを親のアクセス コントロール ポリシーから切り離して適用することはできないため、ネットワーク分析ポリシーでプリプロセッサ設定を更新する場合は、アクセス コントロール ポリシーを再適用する 必要があります 。

手順 10 [インポート（Import）] をクリックします。

ルールの更新がインストールされ、[ルール アップデート ログ（Rule Update Log）] 詳細ビューが表示されます。[ルール アップデートのインポート ログ（Rule Update Import Log）] 詳細ビューについてを参照してください。また、システムは前の手順で指定した通りにポリシーを適用します。アクセス コントロール ポリシーの適用および侵入ポリシーの適用を参照してください。

（注） ルール更新のインストール中にエラー メッセージが表示された場合は、サポートに連絡してください。

自動ワンタイム ルール更新の使用

ライセンス： 任意（Any）

次の手順では、サポート サイトに自動的に接続して、新しいルール更新をインポートする方法について説明します。この手順は、アプライアンスがインターネットにアクセスできる場合にのみ使用できます。

自動でルール更新をインポートするには、次の手順を実行します。

アクセス： 管理

手順 1 [システム（System）] > [更新（Updates）] を選択し、[ルールの更新（Rule Updates）] タブを選択します。

[ルールのアップデート（Rule Updates）] ページが表示されます。

ヒント または [ルール エディタ（Rule Editor）] ページで [ルールのインポート（Import Rules）] をクリックします（[ポリシー（Policies）] > [侵入（Intrusion）] > [ルール エディタ（Rule Editor）]）。

手順 2 必要に応じて、[すべてのローカル ルールを削除（Delete All Local Rules）] をクリックして、[OK] をクリックし、作成またはインポートしたすべてのユーザ定義ルールを削除済みフォルダに移動します。詳細については、カスタム ルールの削除を参照してください。

手順 3 [サポート サイトから新しいルール アップデートをダウンロードする（Download new Rule Update from the Support Site）] を選択します。

手順 4 オプションで、更新の完了後にポリシーを管理対象デバイスに再適用します。

• 侵入ポリシーを自動的に再適用するには、[ルール更新のインポート完了後に侵入ポリシーを再適用する（Reapply intrusion policies after the rule update import completes）] を選択します。他のアクセス コントロールの設定を更新せずに、ルールとその他の変更された侵入ポリシーの設定を更新する場合は、このオプションだけを選択します。侵入ポリシーをアクセス コントロール ポリシーとともに再適用するには、このオプションを選択する 必要があります 。この場合、アクセス コントロール ポリシーを再適用しても、完全な適用は実行されません。
• アクセス コントロール ポリシーとそれに関連する SSL ポリシー、ネットワーク分析ポリシー、およびファイル ポリシーを自動的に再適用し、侵入ポリシーを再適用しない場合は、[ルール更新のインポート完了後にアクセス コントロール ポリシーを再適用する（Reapply access control policies after the rule update import completes）] を選択します。このオプションを選択すると、変更されたアクセス コントロールの詳細設定のデフォルト値もすべて更新されます。ネットワーク分析ポリシーを親のアクセス コントロール ポリシーから切り離して適用することはできないため、ネットワーク分析ポリシーでプリプロセッサ設定を更新する場合は、アクセス コントロール ポリシーを再適用する 必要があります 。

手順 5 [インポート（Import）] をクリックします。

ルールの更新がインストールされ、[ルール アップデート ログ（Rule Update Log）] 詳細ビューが表示されます。[ルール アップデートのインポート ログ（Rule Update Import Log）] 詳細ビューについてを参照してください。また、システムは前の手順で指定した通りにポリシーを適用します。アクセス コントロール ポリシーの適用および侵入ポリシーの適用を参照してください。

（注） ルール更新のインストール中にエラー メッセージが表示された場合は、サポートに連絡してください。

再帰的なルール更新の使用

ライセンス： 任意（Any）

[ルールのアップデート（Rule Updates）] ページを使用して、ルール更新を日次、週次、または月次ベースでインポートすることができます。展開に高可用性ペアの 防御センター が含まれる場合は、プライマリ側だけに更新をインポートします。セカンダリ 防御センター は、通常の同期プロセスの一環としてルールの更新を受け取ります。

ルール更新のインポートに該当するサブタスクは、ダウンロード、インストール、ベース ポリシーの更新、ポリシーの再適用の順序で実行されます。1 つのサブタスクが完了すると、次のサブタスクが開始されます。適用できるのは、再帰的インポートが設定されているアプライアンスで以前に適用されたポリシーだけであることに注意してください。

再帰的なルール更新をスケジュールするには、次の手順を実行します。

アクセス： 管理

手順 1 [システム（System）] > [更新（Updates）] を選択し、[ルールの更新（Rule Updates）] タブを選択します。

[ルールのアップデート（Rule Updates）] ページが表示されます。

ヒント または [ルール エディタ（Rule Editor）] ページで [ルールのインポート（Import Rules）] をクリックします（[ポリシー（Policies）] > [侵入（Intrusion）] > [ルール エディタ（Rule Editor）]）。

手順 2 必要に応じて、[すべてのローカル ルールを削除（Delete All Local Rules）] をクリックして、[OK] をクリックし、作成またはインポートしたすべてのユーザ定義ルールを削除済みフォルダに移動します。詳細については、カスタム ルールの削除を参照してください。

手順 3 [ルール アップデートの再帰的なインポートを有効にする（Enable Recurring Rule Update Imports）] を選択します。

ページが展開され、再帰的なインポートを設定するためのオプションが表示されます。[ルール アップデートの再帰的なインポート（Recurring Rule Update Imports）] セクションの見出しの下に、インポート ステータスに関するメッセージが表示されます。設定を保存すると、再帰的なインポートが有効になります。

ヒント 再帰的なインポートを無効にするには、[ルール アップデートの再帰的なインポートを有効にする（Enable Recurring Rule Update Imports）] チェック ボックスをオフにして [保存（Save）] をクリックします。

手順 4 [インポート頻度（Import Frequency）] フィールドで、ドロップダウンリストから [日次（Daily）]、[週次（Weekly）]、または [月次（Monthly）] を選択します。

インポート間隔として週次または月次を選択した場合は、表示されるドロップダウン リストで、ルールの更新をインポートする曜日または日付を選択します。選択項目をクリックするか、または選択項目の最初の文字または数字を 1 回以上入力して Enter を押すことで、再帰タスクのドロップダウン リストから選択できます。

手順 5 [インポート頻度（Import Frequency）] フィールドで、再帰的なルール更新のインポートを開始するタイミングを指定します。

手順 6 オプションで、更新の完了後にポリシーを管理対象デバイスに再適用します。

• 侵入ポリシーを自動的に再適用するには、[ルール更新のインポート完了後に侵入ポリシーを再適用する（Reapply intrusion policies after the rule update import completes）] を選択します。他のアクセス コントロールの設定を更新せずに、ルールとその他の変更された侵入ポリシーの設定を更新する場合は、このオプションだけを選択します。侵入ポリシーをアクセス コントロール ポリシーとともに再適用するには、このオプションを選択する 必要があります 。この場合、アクセス コントロール ポリシーを再適用しても、完全な適用は実行されません。
• アクセス コントロール ポリシーとそれに関連する SSL ポリシー、ネットワーク分析ポリシー、およびファイル ポリシーを自動的に再適用し、侵入ポリシーを再適用しない場合は、[ルール更新のインポート完了後にアクセス コントロール ポリシーを再適用する（Reapply access control policies after the rule update import completes）] を選択します。このオプションを選択すると、変更されたアクセス コントロールの詳細設定のデフォルト値もすべて更新されます。ネットワーク分析ポリシーを親のアクセス コントロール ポリシーから切り離して適用することはできないため、ネットワーク分析ポリシーでプリプロセッサ設定を更新する場合は、アクセス コントロール ポリシーを再適用する 必要があります 。

手順 7 [保存（Save）] をクリックし、設定を使用した再帰的なルール更新のインポートを有効にします。

[ルール アップデートの再帰的なインポート（Recurring Rule Update Imports）] セクションの見出しの下のステータス メッセージが変わり、ルールの更新がまだ実行されていないことが示されます。予定時刻になると、前の手順で指定した通りにシステムはルールの更新をインストールし、ポリシーを適用します。アクセス コントロール ポリシーの適用および侵入ポリシーの適用を参照してください。

インポートの前、またはインポート中にログオフすることも、Web インターフェイスを使用して他のタスクを実行することもできます。インポート中に [ルール アップデート ログ（Rule Update Log）] にアクセスすると、赤色のステータス アイコン（ ）が表示され、[ルール アップデート ログ（Rule Update Log）] 詳細ビューに表示されるメッセージを確認できます。ルール更新のサイズと内容によっては、ステータス メッセージが表示されるまでに数分かかることがあります。詳細については、ルール更新ログの表示を参照してください。

（注） ルール更新のインストール中にエラー メッセージが表示された場合は、サポートに連絡してください。

ローカル ルール ファイルのインポート

ライセンス： 任意（Any）

ローカル ルールは、ASCII または UTF-8 エンコードのプレーン テキスト ファイルとしてローカル マシンからインポートされるカスタムの 標準テキスト ルールです。Snort ユーザ マニュアル（ http://www.snort.org ） で入手可能）の指示に従って、ローカル ルールを作成することができます。

ローカル ルールのインポートについて、次の点に注意してください。

• テキスト ファイル名には英数字とスペースを使用できますが、下線（ _ ）、ピリオド（. ）、ダッシュ（ - ）以外の特殊記号は使用できません。
• ジェネレータ ID（GID）を指定する必要はありません。GID を指定する場合は、標準テキスト ルール に対しては GID 1、機密データ ルールに対しては 138 のみ指定できます。
• 初めてルールをインポートするときには、Snort ID（SID）またはリビジョン番号を指定 しないで ください。これにより、削除されたルールを含む、他のルールの SID との競合が回避されます。

システムはルールに対して、1000000 以上の次に使用できるカスタム ルール SID、およびリビジョン番号 の 1 を自動的に割り当てます。

• 以前にインポートしたローカル ルールの更新バージョンをインポートする場合には、システムによって割り当てられた SID、および現在のリビジョン番号よりも大きいリビジョン番号を含める 必要があります 。

現行のローカル ルールのリビジョン番号を表示するには、[ルール エディタ（Rule Editor）] ページ（[ポリシー（Policies）] > [侵入（Intrusion）] > [ルール エディタ（Rule Editor）]）を表示し、ローカル ルールのカテゴリをクリックしてフォルダを展開し、ルールの横にある [編集（Edit）] をクリックします。

• システムによって割り当てられた SID と現行のリビジョン番号よりも大きいリビジョン番号を使用してルールをインポートすることで、削除したローカル ルールを元に戻すことができます。ローカル ルールを削除すると、システムは自動的にリビジョン番号を増やすことに注意してください。これは、ローカル ルールを元に戻すための方法です。

削除したローカル ルールのリビジョン番号を表示するには、[ルール エディタ（Rule Editor）] ページ（[ポリシー（Policies）] > [侵入（Intrusion）] > [ルール エディタ（Rule Editor）]）を表示し、削除したルールのカテゴリをクリックしてフォルダを展開し、ルールの横にある [編集（Edit）] をクリックします。

• 2147483647 よりも大きい SID を持つルールが含まれているルール ファイルはインポートできません。この場合、インポートが失敗します。
• 64 文字を超える送信元または宛先のポートのリストが含まれているルールをインポートすると、そのインポートは失敗します。
• インポートしたローカル ルールのステータスは常に無効に設定されます。これらのローカル ルールを侵入ポリシーで使用するには、事前に手動でそのステータスを設定する必要があります。詳細については、ルール状態の設定を参照してください。
• ファイル内のルールに、エスケープ文字が含まれていないことを確認する必要があります。
• ルール インポータでは、すべてのカスタム ルールを ASCII または UTF-8 エンコードでインポートする必要があります。
• インポートされたすべてのローカル ルールは、ローカル ルール カテゴリに自動的に保存されます。
• 削除されたすべてのローカル ルールは、ローカル ルール カテゴリから、削除されたルール カテゴリへ移動されます。
• システムは、単一のポンド文字（#）で始まるローカル ルールをインポートしますが、これらには削除のフラグが立てられます。
• また、二重のシャープ文字（##）で始まるローカル ルールは無視し、インポートしません。
• シスコ では、SID の番号付けの問題を回避するために、高可用性ペアのプライマリ 防御センター にローカル ルールをインポートすることを強くお勧めしています。
• 非推奨の threshold キーワードと侵入イベントしきい値機能を組み合わせて使用しているローカル ルールをインポートして、侵入ポリシーで有効にすると、ポリシーの検証に失敗します。詳細については、イベントしきい値の設定を参照してください。

ローカル ルール ファイルをインポートするには、次の手順を実行します。

アクセス： 管理

手順 1 [ポリシー（Policies）] > [侵入（Intrusion）] > [ルール エディタ（Rule Editor）] の順に選択します。

[ルール エディタ（Rule Editor）] ページが表示されます。

手順 2 [ルールのインポート（Import Rules）] をクリックします。

[ルールのインポート（Import Rules）] ページが表示されます。

ヒント [システム（System）] > [更新（Updates）] を選択して、[ルールの更新（Rule Updates）] タブを選択することもできます。

手順 3 [アップロードおよびインストールするルール アップデートまたはテキスト ルール ファイル（Rule Update or text rule file to upload and install）] を選択して [参照（Browse）] をクリックすると、ルール ファイルにナビゲートできます。この方法でアップロードされたすべてのルールは、ローカル ルール カテゴリに保存されることに注意してください。

ヒント ASCII または UTF-8 エンコーディングによるプレーン テキスト ファイルのみをインポートできます。

手順 4 [インポート（Import）] をクリックします。

ルール ファイルがインポートされます。侵入ポリシーで、適切なルールが有効になっていることを確認してください。影響を受けるポリシーが次に適用されるまで、ルールはアクティブにはなりません。

（注） 管理対象デバイスは、侵入ポリシーを適用するまで、インスペクションに対して新しいルール セットを使用しません。手順については、アクセス コントロール ポリシーの適用を参照してください。

ルール更新ログの表示

ライセンス： 任意（Any）

防御センターは、ユーザがインポートする各ルール更新およびローカル ルール ファイルごとに 1 つのレコードを生成します。

各レコードにはタイム スタンプ、ファイルをインポートしたユーザの名前、およびインポートが正常に終了したか失敗したかを示すステータス アイコンが含まれています。ユーザは、インポートしたすべてのルール更新とローカル ルール ファイルのリストを管理したり、リストからレコードを削除したり、インポートしたすべてのルールとルール更新コンポーネントに関する詳細レコードにアクセスすることができます。以下の表で、[ルール アップデート ログ（Rule Update Log）] のフィールドについて説明します。

詳細については、次の各項を参照してください。

• [ルール アップデート ログ（Rule Update Log）] の表についてでは、インポートするルール更新およびローカル ルール ファイルのリスト内のフィールドについて説明します。
• [ルール アップデートのインポート ログ（Rule Update Import Log）] の詳細の表示では、ルール更新またはローカル ルール ファイルにインポートされた各オブジェクトの詳細レコードについて説明します。
• [ルール アップデートのインポート ログ（Rule Update Import Log）] 詳細ビューについてでは、[ルール アップデート ログ（Rule Update Log）] 詳細ビューの各フィールドについて説明します。
• [ルール アップデートのインポート ログ（Rule Update Import Log）] の検索では、インポート ログで検索基準と一致する特定のレコード、またはすべてのレコードを検索する方法について説明します。

[ルール アップデート ログ（Rule Update Log）] を表示するには、次の手順を実行します。

アクセス： 管理

手順 1 [システム（System）] > [更新（Updates）] を選択し、[ルールの更新（Rule Updates）] タブを選択します。

[ルールのアップデート（Rule Updates）] ページが表示されます。

ヒント または [ルール エディタ（Rule Editor）] ページで [ルールのインポート（Import Rules）] をクリックします。ここには、[ポリシー（Policies）] > [侵入（Intrusion）] > [ルール エディタ（Rule Editor）] を選択してアクセスすることができます。

手順 2 [ルール アップデート ログ（Rule Update Log）] をクリックします。

[ルール アップデート ログ（Rule Update Log）] ページが表示されます。このページには、インポートされた各ルール更新とローカル ルール ファイルが示されています。

[ルール アップデート ログ（Rule Update Log）] の表について

ライセンス： 任意（Any）

次の表で、ユーザがインポートするルール更新およびローカル ルール ファイルのリストのフィールドについて説明します。

ルール更新またはファイル名の隣にある表示アイコン（ ）をクリックして、ルール更新またはローカル ルール ファイルの [ルール アップデート ログ（Rule Update Log）] 詳細ページを表示するか、または削除アイコン（ ）をクリックして、ファイル レコード、およびファイルと一緒にインポートされたすべての詳細オブジェクト レコードを削除します。

ヒント ルール更新のインポートの進行中に示される、インポートの詳細を表示することができます。

[ルール アップデートのインポート ログ（Rule Update Import Log）] の詳細の表示

ライセンス： 任意（Any）

[ルール アップデートのインポート ログ（Rule Update Import Log）] 詳細ビューには、ルール更新またはローカル ルール ファイルにインポートされた各オブジェクトの詳細レコードが表示されます。表示されるレコードのうち、自分のニーズに合う情報のみを含むカスタム ワークフローまたはレポートを作成することもできます。

次の表は、[ルール アップデートのインポート ログ（Rule Update Import Log）] 詳細ビューのワークフロー ページで実行できる特定のアクションについて説明します。

[ルール アップデートのインポート ログ（Rule Update Import Log）] 詳細ビューを表示するには、次の手順を実行します。

アクセス： 管理

手順 1 [システム（System）] > [更新（Updates）] を選択し、[ルールの更新（Rule Updates）] タブを選択します。

[ルールのアップデート（Rule Updates）] ページが表示されます。

ヒント または [ルール エディタ（Rule Editor）] ページで [ルールのインポート（Import Rules）] をクリックします。ここには、[ポリシー（Policies）] > [侵入（Intrusion）] > [ルール エディタ（Rule Editor）] を選択してアクセスすることができます。

手順 2 [ルール アップデート ログ（Rule Update Log）] をクリックします。

[ルール アップデート ログ（Rule Update Log）] ページが表示されます。

手順 3 表示する詳細レコードが含まれているファイルの隣にある表示アイコン（ ）をクリックします。

詳細レコードのテーブル ビューが表示されます。

[ルール アップデートのインポート ログ（Rule Update Import Log）] 詳細ビューについて

ライセンス： 任意（Any）

ルール更新またはローカル ルール ファイルにインポートされた各オブジェクトの詳細レコードを表示することができます。以下の表で、[ルール アップデート ログ（Rule Update Log）] 詳細ビューのフィールドについて説明します。

[ルール アップデートのインポート ログ（Rule Update Import Log）] の検索

ライセンス： 任意（Any）

（注） ベータ ユーザ：この機能については、このマニュアルの最終バージョンで詳細に説明します。

インポート ログで検索基準と一致する特定のレコード、またはすべてのレコードを検索することができます。カスタマイズされた検索を作成し、後で再利用できるように保存しておくこともできます。

ヒント 1 つのインポート ファイルのレコードのみが表示されている [ルール アップデートのインポート ログ（Rule Update Import Log）] 詳細ビューからツールバーの [検索（Search）] をクリックして検索を開始した場合でも、[ルール アップデートのインポート ログ（Rule Update Import Log）] データベースの全体が検索されます。検索の対象となるすべてのオブジェクトが含まれるように、時間制約が設定されていることを確認します。詳細については、検索での時間制約の指定を参照してください。

次の表で、ユーザが使用できる検索条件について説明します。レコード検索では大文字/小文字が区別されないことに注意してください。たとえば、 RULE または rule の検索では同じ結果が得られます。

保存されている検索をロードおよび削除する方法など、検索の詳細については、イベントの検索を参照してください。

[ルール アップデートのインポート ログ（Rule Update Import Log）] を検索する方法：

アクセス： Admin/Intrusion Admin

手順 1 [分析（Analysis）] > [検索（Search）] を選択します。

[検索（Search）] ページが表示されます。

手順 2 [テーブル（Table）] ドロップダウン リストから、[ルール アップデートのインポート ログ（Rule Update Import Log）] を選択します。

適切な制約を使用してページがリロードされます。

ヒント [ルール アップデート ログ（Rule Update Log）] 詳細ビューで [検索（Search）] をクリックすることもできます。[ルール アップデートのインポート ログ（Rule Update Import Log）] の詳細の表示を参照してください。

手順 3 オプションで、検索を保存する場合は、[名前（Name）] フィールドに検索の名前を入力します。

名前を入力しない場合は、検索が保存されるときに Web インターフェイスで自動的に名前が生成されます。

手順 4 表 [ルール アップデートのインポート ログ（Rule Update Import Log）] の検索基準 に記載されているように、該当するフィールドに検索基準を入力します。複数の条件を入力すると、検索によって、すべての基準に一致するレコードが返されます。

手順 5 検索を保存して他のユーザがアクセスできるようにするには、[プライベートとして保存（Save As Private）] チェック ボックスをオフにします。そうではなく、検索をプライベートとして保存するには、このチェック ボックスをオンのままにします。

カスタム ユーザ ロールのデータの制限として検索を使用する場合は、 必ず プライベート検索として保存する必要があります。

手順 6 次の選択肢があります。

• 検索を開始するには、[検索（Search）] ボタンをクリックします。

デフォルトの [ルール アップデートのインポート ログ（Rule Update Import Log）] 詳細ビューのワークフローに検索結果が示されます。カスタム ワークフローなどの別のワークフローを使用するには、[ワークフローの切り替え（（switch workflows））] をクリックします。別のデフォルト ワークフローの指定方法については、イベント ビュー設定の設定を参照してください。

• 既存の検索を変更して、その変更を保存する場合は、[保存（Save）] をクリックします。
• 検索基準を保存する場合は、[新規検索として保存（Save as New Search）] をクリックします。検索が保存され（[プライベートとして保存（Save As Private）] を選択した場合はユーザ アカウントに関連付けられ）、後で実行できます。