Policies(정책) > Intrusion(침입)을 선택합니다.

Create Policy(정책 생성)를 클릭합니다.

고유한 Name(이름)을 입력하고, 필요한 경우 Description(설명)을 입력합니다.

Inspection Mode(검사 모드)를 선택합니다.

Base Policy(기본 정책)를 선택합니다.

Save(저장)를 클릭합니다.

Policies(정책) > Intrusion(침입)을 선택합니다.

Intrusion Policies(침입 정책) 탭이 선택되었는지 확인합니다.

설정하려는 침입 정책 옆의 Snort 3 Version(Snort 3 버전)을 클릭합니다.

정책 수정:

• 모드 변경 - 검사 모드를 변경하려면 Mode(모드) 드롭다운을 클릭합니다.

  • Prevention(방지) - 트리거된 차단 규칙은 이벤트(경고)를 생성하고 연결을 삭제합니다.

  • Detection(탐지) - 트리거된 차단 규칙 알림입니다.

    탐지를 시작하기 전에 예방을 위해 탐지 모드를 선택할 수 있습니다. 예를 들어, 예방 모드를 선택하기 전에 차단 규칙이 경고만 할 수 있도록 하여 많은 오탐을 유발하는 규칙을 식별할 수 있습니다.

  참고	검사 모드는 정책의 Snort 3 버전에 대해서만 변경됩니다. 기존 검사 모드는 Snort 2 버전에서 그대로 유지됩니다.

• Rule Action(규칙 작업) 수정 - 규칙 작업을 수정하려면 다음 중 하나를 선택합니다.

  • 대량 수정 - 하나 이상의 규칙을 선택한 다음 Rule Action(규칙 작업) 드롭다운 목록에서 필요한 작업을 선택하고 Save(저장)를 클릭합니다.

    참고	대량 규칙 작업 변경은 처음 500개 규칙에 대해서만 지원됩니다.

  • 단일 규칙 수정 - Rule Action(규칙 작업) 열의 드롭다운 상자에서 규칙에 대한 작업을 선택합니다.

  참고	규칙 작업은 다음과 같습니다. Block(차단) - 이 규칙이 트래픽과 일치할 경우, 이벤트를 생성하고 연결도 삭제합니다. Alert(알림) - 이 규칙이 트래픽과 일치할 경우, 이벤트를 생성하지만 연결을 삭제하지는 않습니다. Disabled(비활성화됨) - 트래픽을 이 규칙과 일치시키지 않습니다. 아무런 이벤트도 생성되지 않습니다. Revert to default(기본값으로 되돌리기) - 시스템 기본 작업으로 되돌립니다.

• 검색 규칙 - 검색 필드를 사용하여 표시를 필터링합니다. GID, SID 또는 참조 정보를 입력할 수 있습니다. 예를 들어 GID:1; SID:9621은 1:962 규칙만 표시하고, SID:9621,9622,9623은 서로 다른 SID의 여러 규칙을 표시합니다. 또한 다음 옵션 중 하나를 선택할 수 있습니다.

  • Action = Alert 또는 Action: Block 필터 적용

  • Disabled Rules 필터 적용

  • Custom/User Defined Rules 표시

  • GID, SID 또는 GID:SID로 필터링

  • cve로 필터링

  • 코멘트로 필터링

• Search Rule Groups(규칙 그룹 검색) - 규칙 그룹을 검색할 키워드를 입력하거나 검색 창 아래에서 다음 사전 설정 필터 옵션을 선택합니다.

  • Excluded(제외됨) - 제외된 규칙 그룹의 경우

  • Included(포함) - 포함된 규칙 그룹의 경우

  • Overriden(재정의됨) - 재정의된 규칙이 있는 규칙 그룹의 경우

• Set the security level for a rule group(규칙 그룹의 보안 레벨 설정) - 왼쪽 창에서 필요한 규칙 그룹으로 이동하여 선택합니다. 규칙 그룹의 Security Level(보안 레벨) 옆에 있는 Edit(수정)을 클릭하여 시스템 정의 규칙 설정에 따라 보안 수준을 높이거나 낮춥니다.

  FMC는 설정된 보안 레벨에 대해 규칙 그룹의 규칙에 대한 작업을 자동으로 변경합니다. 보안 레벨을 변경할 때마다 Preset Filters(사전 설정 필터)에서 Block Rules(차단 규칙) 및 Disabled Rules(비활성화 규칙)의 변경 사항을 확인합니다.

• View filtered rules(필터링된 규칙 보기) - 사전 설정 필터를 선택하여 알림, 차단, 비활성화 또는 재정의로 설정된 규칙을 봅니다.

  재정의된 규칙은 규칙 작업이 기본 작업에서 다른 작업으로 변경된 규칙을 나타냅니다. 변경되면 원래 기본 작업으로 다시 변경하더라도 규칙 작업 상태가 재정의됩니다. 그러나 Rule Action(규칙 작업) 드롭다운 목록에서 Revert to default(기본값으로 되돌리기)를 선택하면 재정의됨 상태가 제거됩니다.

  Advanced Filters(고급 필터)는 LSP(Lightweight Security Package) 릴리스, 침입 분류 및 Microsoft 취약성을 기반으로 하는 필터 옵션을 제공합니다.

• Include or exclude Rule Groups(규칙 그룹 포함 또는 제외) - 표시되는 규칙 그룹은 시스템에서 제공하는 기본 침입 정책과 연결된 기본 규칙 그룹입니다. 침입 정책에서 규칙 그룹을 포함하거나 제외할 수 있습니다. 제외된 규칙 그룹은 침입 정책에서 제거되며 해당 규칙은 트래픽에 적용되지 않습니다. 정책에서 규칙을 적용하려면 FMC에 업로드된 사용자 지정 규칙을 포함해야 합니다. FMC의 사용자 지정 규칙 업로드에 대한 자세한 내용은 사용자 지정 규칙 업로드 항목을 참조하십시오.

  규칙 그룹을 제외하려면 다음과 같이 합니다.

  1. Rule Groups(규칙 그룹) 창을 탐색하고 규칙 그룹을 선택합니다.

  2. 오른쪽 창에서 Exclude(제외) 링크를 클릭합니다.

  3. 필요에 따라 규칙 그룹의 규칙 재정의를 기본 설정으로 되돌리려면 Do you want to remove rule overrides?(규칙 재정의를 제거하시겠습니까?) 체크 박스를 선택합니다.

     참고	이 체크 박스는 재정의된 규칙이 있는 경우에만 표시됩니다.

  4. Exclude(제외)를 클릭합니다.

  업로드된 사용자 지정 규칙이 있는 새 규칙 그룹 또는 이전에 제외된 규칙 그룹을 포함하려면 다음과 같이 합니다.

  1. Rule Groups(규칙 그룹) 검색 창 옆에 있는 Add(추가)()를 클릭합니다.

  2. 해당 규칙 그룹 옆의 체크 박스를 선택하여 추가할 모든 규칙 그룹을 선택합니다.

  3. Save(저장)를 클릭합니다.

• View rule documentation(규칙 문서 보기) - 규칙 ID 또는 규칙 문서 아이콘을 클릭하여 규칙에 대한 TALOS 문서를 표시합니다.
• View a rule message(규칙 메시지 보기) - 규칙 세부 정보를 보려면 규칙 행의 확장 화살표( ) 아이콘을 클릭합니다.
• Add rule comments(규칙 코멘트 추가) - 규칙에 대한 코멘트를 추가하려면 Comments(코멘트) 열 아래의 Comment(코멘트)()를 클릭합니다.

Policies(정책) > Intrusion(침입)을 선택합니다.

구성하려는 침입 정책 옆에 있는 Edit(수정)()을 클릭합니다.

Base Policy(기본 정책) 드롭다운 목록에서 정책을 선택합니다.

Save(저장)를 클릭합니다.

Policies(정책) > Intrusion(침입)을 선택합니다.

변경하려는 침입 정책 옆에 있는 Edit(수정)()을 클릭합니다.

정책에 적용할 Inspection Mode(검사 모드)를 선택합니다.

Save(저장)를 클릭합니다.

Policies(정책) > Intrusion(침입)을 선택합니다.

침입 정책 관리:

Firepower Management Center 메뉴 모음에서 Deploy(구축)를 클릭한 다음 Deployment(구축)를 선택합니다.

컨피그레이션 변경 사항을 구축할 디바이스를 식별하여 선택합니다.

• Search(검색)-검색 상자에서 디바이스 이름, 유형, 도메인, 그룹 또는 상태를 검색합니다.
• Expand(확장)-구축할 디바이스 별 컨피그레이션 변경 사항을 보려면 확장 화살표( )을 클릭합니다.

  디바이스 확인란을 선택하면 디바이스 아래에 나열된 디바이스에 대한 모든 변경 사항이 푸시되어 구축됩니다. 그러나 정책 선택( )를 사용하면 구축하지 않고 나머지 변경 사항을 보류하면서 구축할 개별 정책 또는 특정 구성을 선택할 수 있습니다.

  참고

  Inspect Interruption(검사 중단) 열의 상태가 (Yes(예))인 경우(컨피그레이션을 구축하면 Firepower Threat Defense 디바이스에서 검사가 중단되며 트래픽도 중단될 수 있는 경우) 확장된 목록에 중단을 야기하는 특정 컨피그레이션이 검사 중단( )으로 표시됩니다. 인터페이스 그룹, 보안 영역 또는 개체가 변경되면 영향을 받는 디바이스는 FMC (Firepower Management Center)에서 오래된 것으로 표시됩니다. 이러한 변경 사항을 적용하려면 이러한 인터페이스 그룹, 보안 영역 또는 개체가 포함된 정책도 이러한 변경 사항과 함께 구축해야 합니다. 영향을 받는 정책은 FMC의 미리보기 페이지에서 만료된 것으로 표시됩니다.

Deploy(구축)를 클릭합니다.

구축할 변경 사항에서 오류나 경고를 식별하면 시스템은 Validation Messages(검증 메시지) 창에 이를 표시합니다. 전체 세부 사항을 보려면 경고 또는 오류 앞에 있는 화살표 아이콘을 클릭합니다.

• Deploy(구축) - 경고 조건을 해결하지 않고 구축을 계속합니다. 오류가 식별되는 경우 계속 진행할 수 없습니다.
• Close(닫기) -구축하지 않고 종료합니다. 오류 및 경고 조건을 해결하고 컨피그레이션을 재구축합니다.