®

Proventia NetworkIntrusion Prevention System

User Guide

Internet Security Systems, Inc.6303 Barfield RoadAtlanta, Georgia 30328-4233United States(404) 236-2600http://www.iss.net

インターネッ ト セキュ リテ ィ システムズ株式会社〒 141-0021東京都品川区上大崎 3-1-1JR 東急目黒ビル 16F03-5740-4050http://www.isskk.co.jp

© Internet Security Systems, Inc. 2003-2006 All rights reserved worldwide. この出版物の適切な数のコピーの作成は内部で使用する場合だけ許可されています。 それ以外の場合のこの出版物のすべてまたは一部のコピーまたは複製は、 Internet Security Systems, Inc. の事前の書面による同意なしにいかなる人物または企業にも許可されていません。

特許出願中。

Internet Security Systems、 System Scanner、 Wireless Scanner、 SiteProtector、 Proventia、 Proventia Web Filter、 Proventia Mail Filter、 Proventia Filter Reporter、 ADDME、 AlertCon、 ActiveAlert、 FireCell、 FlexCheck、 Secure Steps、 SecurePartner、 SecureU、 および X-Press Update は Internet Security Systems, Inc. の商標およびサービス マーク、 Internet Security Systems のロゴ、 X-Force、 SAFEsuite、 Internet Scanner、 Database Scanner、Online Scanner、 および RealSecure は同社の登録商標です。 Network ICE、 Network ICE のロゴ、 および ICEpac は Internet Security Systems, Inc. の完全所有子会社である Network ICE Corporation の商標、 BlackICE は同社の許諾を受けた登録商標、 および ICEcap は同社の登録商標です。SilentRunner は Raytheon Company の登録商標です。 Acrobat および Adobe は Adobe Systems Incorporated の登録商標です。 Certicom は Certicom Corp の商標、 Security Builder は Certicom Corp の登録商標です。 Check Point、 FireWall-1、 OPSEC、 Provider-1、 および VPN-1 は、 Check Point Software Technologies Ltd. またはその関連会社の登録商標です。 Cisco および Cisco IOS は Cisco Systems, Inc. の登録商標です。 HP-UX および OpenView は、 Hewlett-Packard Company の登録商標です。 IBM および AIX は IBM Corporation の登録商標です。 InstallShield は、 米国またはその他の国あるいはその両方における InstallShield Software Corporation の登録商標およびサービス マークです。 Intel および Pentium は Intel の登録商標です。 Lucent は Lucent Technologies, Inc. の商標です。 ActiveX、 Microsoft、 Windows、 および Windows NT は Microsoft Corporation の登録商標または商標です。 Net8、 Oracle、 Oracle8、 SQL*Loader、 および SQL*Plus は Oracle Corporation の登録商標または商標です。 Seagate Crystal Reports、 Seagate Info、 Seagate、 Seagate Software、 および Seagate の logo は Seagate Software Holdings, Inc. または Seagate Technology, Inc. ( あるいはその両方 ) の商標または登録商標です。 Secure Shell および SSH は SSH Communications Security の商標または登録商標です。iplanet、 Sun、 Sun Microsystems、 Sun のロゴ、 Netra、 SHIELD、 Solaris、 SPARC、 および UltraSPARC は米国およびその他の国における Sun Microsystems, Inc. の商標または登録商標です。 すべての SPARC 商標は、 許可の下に使用され、 米国またはその他の国における SPARC International, Inc. の商標または登録商標です。 Adaptive Server、 SQL、 SQL Server、 および Sybase は Sybase, Inc.、 その関連会社と ラ イセンサーの商標です。 Tivoli は Tivoli Systems, Inc. の登録商標です。 Unix は米国およびその他の国において、 X/Open Company, Ltd. が独占的にライセンスを管理している登録商標です。 この文書で言及されているその他の名称はすべて、 各所有者のブランド名、 製品名、 商標または登録商標であ り、 権利侵害の意図なしに編集上の理由で使用されているものです。 明細事項は予告なしに変更されるこ とがあ り ます。

免責 ：免責 ：免責 ：免責 ： この文書に記載されている情報は予告なしに変更されるこ とがあ り ます。 この文書を ISS または X-Force 以外のソースから入手した場合は、 改変または変更されている可能性があ り ます。 この情報を使用するこ とによ り、 いかなる種類の保証もな く 「現状」 のまま、 ユーザーの自己責任において使用するこ とに同意したものとみなされます。 ISS と X-Force は、 市場性および特定目的への適合性の保証をはじめとするいかなる保証も、 明示的にも暗黙的にも行いません。 ISS または X-Force は、 いかなる場合も、 本文書の使用または配布から生じる直接的、 間接的、 付随的、 結果的、 あるいは特別な損害について、 たとえ ISS または X-Force がそのよ う な損害の可能性について忠告を受けたと しても、 責任を負いません。 州によっては、 結果的または付随的な損害の責任を除外または限定するこ とが許可されていないため、 前述の限定事項は適用されません。

こ こに記されている商標名、 商標、 製造業者、 またはそれ以外による、 特定の商品、 プロセス、 またはサービスなどの引用は、 必ずしも Internet Security Systems, Inc による保証や推奨、 または支持を表明した り暗示した りするものではあ り ません。 こ こに示されている作者の見解および意見は、 必ずしも Internet Security Systems, Inc. の主張、 または同社の見解および意見を反映するものではなく、 製品の保証や広告の目的で使用されてはなり ません。

インターネッ ト リ ソースへの リ ンク とアド レスは、 リ リース前に十分調査されていますが、 刻々と変化するインターネッ トの性質上、Internet Security Systems はリ ソースの内容やその存在について保証するこ とはできません。 可能な場合には、 参照セクシ ョ ンには、 他の方法で目的の情報が獲得できる代わりのサイ トやキーワードが記載されています。 リ ンクの破損や不適切な リ ンクにお気づきの場合は、 ト ピッ ク名、 リ ンク、 その動作状況を documentation@isskk.co.jp まで電子メールでご連絡ください。

2006 年 8 月 9 日

目次目次目次目次

前書き前書き前書き前書き . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . vii概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . vii

Proventia アプライアンスのマニュアルについて . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . ix本書で使用する表記規則 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xテクニカル サポートについて . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xii . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xiv

第第第第 1 章章章章 : Proventia Network Intrusion Prevention System の概要の概要の概要の概要 . . . . . . . . . . . . . . . . . . . . . . . 13概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13

不正侵入防御 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14インライン アプライアンスのアダプタ モード . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17ハイ アベイラビリテ ィ モード . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18

第第第第 2 章章章章 : アプライアンスの接続アプライアンスの接続アプライアンスの接続アプライアンスの接続 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19

始める前に . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20一般的な配置シナリオの確認 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21ケーブルの接続とアプライアンスの起動 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23

第第第第 3 章章章章 : アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25

始める前に . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26LCD パネルを使用したネッ トワーク接続 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28Proventia Setup の使用 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30その他アプライアンス設定の指定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33アプライアンス ファームウェアの再インス トール . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38

第第第第 4 章章章章 : ネッ トワーク可用性の維持ネッ トワーク可用性の維持ネッ トワーク可用性の維持ネッ トワーク可用性の維持 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43

ハイ アベイラビリテ ィについて . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44ハイ アベイラビリテ ィ設定の概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46ハイ アベイラビリテ ィ実装. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47

第第第第 5 章章章章 : Proventia Manager の使用の使用の使用の使用 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49

始める前に . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50Proventia Manager へのアクセス . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 52Proventia Manager でのナビゲーシ ョ ン . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53ライセンス ファイルのインス トール. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56Proventia Manager での作業 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57

第第第第 6 章章章章 : アプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデート . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59

アプライアンスのアップデート . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 60アプライアンスの自動アップデート . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62手動によるアプライアンスのアップデート . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 65アップデート ツールの使用. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 66アップデートの高度なパラメータの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 67

iiiProventia Network Intrusion Prevention System User Guide

目次目次目次目次

第第第第 7 章章章章 : SiteProtector を通じたアプライアンスの管理を通じたアプライアンスの管理を通じたアプライアンスの管理を通じたアプライアンスの管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71

SiteProtector による管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 72SiteProtector による管理の設定. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 74SiteProtector でのナビゲーシ ョ ン . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 77

第第第第 8 章章章章 : セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン トでの作業イベン トでの作業イベン トでの作業イベン トでの作業 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 81概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 81

プロテクシ ョ ン ド メインの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 82セキュリテ ィ イベン トの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 84複数のセキュリテ ィ イベン トへのプロテクシ ョ ン ド メイン割り当て . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 88セキュリテ ィ イベン ト情報の表示 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 89レスポンス フ ィルタの設定. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91レスポンス フ ィルタ情報の表示 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 96

第第第第 9 章章章章 : レスポンスの設定レスポンスの設定レスポンスの設定レスポンスの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 97概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 97

レスポンスについて . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 98Email レスポンスの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99Log Evidence レスポンスの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 101Quarantine レスポンスの設定. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 102SNMP レスポンスの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 104ユーザー指定レスポンスの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 106

第第第第 10 章章章章 : その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109

検疫済み不正侵入の管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 110接続イベン トの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111ユーザー定義イベン トの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 115ユーザー定義イベン トのコンテキスト . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117ユーザー定義イベン トでの正規表現 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 122ユーザー定義イベン ト情報の表示 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 124Trons イベン トの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 125グローバル調整パラメータの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 127X-Force デフォルト ブロッキングの設定. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 129

第第第第 11 章章章章 : ファイアウォール設定の指定ファイアウォール設定の指定ファイアウォール設定の指定ファイアウォール設定の指定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 131概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 131

ファイアウォール ルールの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 132ファイアウォール ルール言語 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 136ファイアウォールのログ機能の調整 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 139

第第第第 12 章章章章 : ローカル調整パラメータの設定ローカル調整パラメータの設定ローカル調整パラメータの設定ローカル調整パラメータの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 141概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 141

アラートの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 142ネッ トワーク アダプタ カードの管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 144アラート キューの管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 147高度なパラメータの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 148TCPReset の設定. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 152ネッ トワーク フレーム 大サイズの増加 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 153

第第第第 13 章章章章 : システム設定の管理システム設定の管理システム設定の管理システム設定の管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 155概要 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 155

システム ステータスの表示. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 156ログ ファイルの管理 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 157システム ツールを使った作業 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 158ユーザー アクセスの設定 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 159

iv

目次目次目次目次

新ライセンスのインス トールと表示 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 160

第第第第 14 章章章章 : アラート とシステム情報の表示アラート とシステム情報の表示アラート とシステム情報の表示アラート とシステム情報の表示 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161

アラートの表示 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 162保存されたアラート ファイルの管理. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 165通知ステータスの表示 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 166統計値の表示 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 167

索引索引索引索引 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 169

vProventia Network Intrusion Prevention System User Guide

目次目次目次目次

vi

前書き前書き前書き前書き

概要概要概要概要

目的目的目的目的 本書は、 Proventia® Network Intrusion Prevention System (IPS) アプライアンスの接続と設定を行うこ とを目的と しています。 こ こで扱う アプライアンス モデルは GX4002、 GX4004、 GX5008、GX5108 です。 また、 Proventia Manager ソフ ト ウェアを使用したアプライアンスの管理方法についても説明します。

取り扱い範囲取り扱い範囲取り扱い範囲取り扱い範囲 本書では、 Proventia Manager の機能、 アプライアンスの設定方法、 ポ リ シーの設定方法、 アプライアンスの管理方法について説明します。

対象読者対象読者対象読者対象読者 本書は、 ネッ ト ワーク環境での Proventia Network IPS の設定と管理を担当するネッ ト ワーク セキュ リ ティ システム管理者を対象と しています。 ネッ ト ワーク セキュ リ ティ ポ リ シーおよび IP ネッ ト ワーク設定の基本知識が参考になり ます。

vii

Proventia Network Intrusion Prevention System User Guide

前書き前書き前書き前書き

このリ リースの新機能このリ リースの新機能このリ リースの新機能このリ リースの新機能 この リ リースは、 Proventia Network Intrusion Prevention System の 1.3 ファームウェア リ リースに対応しています。 該当するモデルは GX4002、 GX4004、 GX5008、 および GX5108 です。 新の説明は、 「Proventia Network Intrusion Prevention System User Guide」、 オンラ イン ヘルプ、 および各ファームウェア リ リースに付属している Readme ファ イルで確認するこ とができます。 このリリースには、 いくつかのバグ修正と簡単な拡張機能に加え、 次の新機能が備わっています。

� 新しいハードウェア新しいハードウェア新しいハードウェア新しいハードウェア プラ ッ ト フォーム。プラ ッ ト フォーム。プラ ッ ト フォーム。プラ ッ ト フォーム。 新しい Proventia IPS アプライアンス モデルには、 次

のものが含まれています。

� ネッ ト ワーク中心のルッ ク アンド フ ィール

� アプライアンス前面に配置されてアクセスしやすくなったポート

� アプライアンスの設定、 監視、 再起動が可能な LCD パネル

� LCD 設定。設定。設定。設定。 アプライアンス前面の LCD パネルを使用して必要なネッ ト ワーク情報を指定し、

アプライアンスへリモート接続して高度な設定を行う こ とができます。 また、 XPU やファー

ムウェアのバージ ョ ン表示、 アプライアンスの再起動、 アプライアンスのシャ ッ ト ダウンを LCD のメニューから行う こ と もできます。

� セキュ リ ティセキュ リ ティセキュ リ ティセキュ リ ティ イベン トおよびレスポンスイベン トおよびレスポンスイベン トおよびレスポンスイベン トおよびレスポンス フ ィルタで、フ ィルタで、フ ィルタで、フ ィルタで、 Ignore レスポンスを利用可能レスポンスを利用可能レスポンスを利用可能レスポンスを利用可能。 Ignore レスポンスを手動で設定して、 ネッ ト ワークにとって脅威とならないイベン ト を無視するよ うにアプライアンスへ指示し、 追跡の必要があるイベン トの数を減らします。

� 診断と統計値の拡張。診断と統計値の拡張。診断と統計値の拡張。診断と統計値の拡張。 ド ライバ、 パケッ ト分析、 プロテクシ ョ ンの統計値を使用して、 重要な

傾向の見極めやネッ ト ワークまたはアプライアンスの問題点に関する ト ラブルシューティングを行うために、 アプライアンスが処理したネッ ト ワーク ト ラフ ィ ッ クを参照します。

� モデル別のモデル別のモデル別のモデル別の Quick Start Card。。。。 Proventia Network IPS のモデルそれぞれには、 アプライアンス

をネッ ト ワークへ簡単に導入できるよ うに、 モデル別の Quick Start Card が付属しています。

viii

Proventia アプライアンスのマニュアルについてアプライアンスのマニュアルについてアプライアンスのマニュアルについてアプライアンスのマニュアルについて

Proventia アプライアンスのマニュアルについてアプライアンスのマニュアルについてアプライアンスのマニュアルについてアプライアンスのマニュアルについて

はじめにはじめにはじめにはじめに 本書では、 Proventia Network IPS の不正侵入防御、 ファ イアウォール設定、 およびその他ポ リシー設定を Proventia Manager ソフ ト ウェア ( ローカル管理インターフェース ) を使用して指定する方法について説明します。 また、 Proventia Configuration Menu と Proventia Manager の両方を使用したアプライアンス管理についても説明します。

その他マニュアルの場所その他マニュアルの場所その他マニュアルの場所その他マニュアルの場所 この ト ピッ クで説明されるその他のマニュアルは、 ISS の Web サイ ト (http://www.isskk.co.jp/document/manuals.html または http://www.iss.net/support/documentation/ ) で入手可能です。

関連マニュアル関連マニュアル関連マニュアル関連マニュアル アプライアンスの詳細については、 次のものを参照してください。

マニュアルマニュアルマニュアルマニュアル 内容内容内容内容

Proventia Network Intrusion Prevention System Quick Start Card

Proventia Network Intrusion Prevention System GX4000 シリーズお

よび GX5000 シリーズ アプライアンスのインストールと初期設定

の手順。

Proventia Network Intrusion Prevention System Help

Proventia Manager および SiteProtector の Proventia Network IPS Policy Editor に備わっているヘルプ。

Proventia Network Intrusion Prevention System Data Sheet

以前の Proventia Network IPS ( 以前の G シリーズ ) アプライアンス

の機能に関する全般的な情報。

Proventia Network Intrusion Prevention System Frequently Asked Questions

アプライアンスとその機能に関してよ くある質問。

Readme ファイル 製品の問題点やアップデート、 およびテクニカル サポートの受け方

に関する 新情報は、 http://www.iss.net/download/ にあり

ます。

表表表表 1: 参考資料

ixProventia Network Intrusion Prevention System User Guide

前書き前書き前書き前書き

本書で使用する表記規則本書で使用する表記規則本書で使用する表記規則本書で使用する表記規則

はじめにはじめにはじめにはじめに この ト ピッ クでは、 手順やコマンドをよ りわかりやすくするために、 本書で使われている印刷上の表記規則を説明します。

手順手順手順手順 操作手順の説明の中で使用される表記規則は、 次のとおりです。

コマンドの表記規則コマンドの表記規則コマンドの表記規則コマンドの表記規則 コマンド ラインで使用される表記規則は、 次のとおりです。

表記規則表記規則表記規則表記規則 内容内容内容内容 例例例例

太字太字太字太字 (Bold) グラフ ィ カル ユーザー イン

ターフェースの要素。

[IP Address] ボッ クスに、 コンピュータのアド レスを入力します。[Print] チェッ ク ボッ クスをオンにします。 [OK] をク リ ッ ク します。

小型英大文字 (SMALL CAPS)

キーボードのキー。 [ENTER] キーを押します。

等幅 (Constant width)

ファイル名、 フォルダ名、 パス名など、 表記どおりに入力する必要のある情報。

User.txt ファ イルを [Addresses] フォルダに保存します。[Username] ボッ クスに「IUSR__SMA」 と入力します。

等幅斜体 (Constant width italic)

ファイル名、 フォルダ名、 パス名など、 ユーザーが指定する必要のある情報。

[Identification information] ボッ クスに Version number (バージ ョ ン番号) を入力します。

→ タスクバーまたはメニュー バーからのコマンド実行順序。

タスクバーから、 [ スタートスタートスタートスタート] → [ ファ イル名を指定してファイル名を指定してファイル名を指定してファイル名を指定して実行実行実行実行 ] の順に選択します。[File] メニューで、 [Utilities] → [Compare Documents] の順に選択します。

表表表表 2: 操作手順に関する表記規則

表記規則表記規則表記規則表記規則 内容内容内容内容 例例例例

等幅太字等幅太字等幅太字等幅太字 (Constant width bold)

表記どおりに入力する情報。 md ISS

斜体 (Italic) 状況によって異なる情報。 md フォルダ名

[ ] オプシ ョ ンと しての情報。 dir [ ド ライブ :][パス ] [

ファイル名 ] [/P][/W] [/D]

| どちらか一方を選択する必要のある情報。

verify [ON|OFF]

表表表表 3: コマンドに関する表記規則

x

本書で使用する表記規則本書で使用する表記規則本書で使用する表記規則本書で使用する表記規則

{ } 複数あるうちから 1 つ選択す

る必要のある情報。

% chmod {u g o a}=[r][w][x] file

表記規則表記規則表記規則表記規則 内容内容内容内容 例例例例

表表表表 3: コマンドに関する表記規則 ( 続き )

xiProventia Network Intrusion Prevention System User Guide

前書き前書き前書き前書き

テクニカルテクニカルテクニカルテクニカル サポートについてサポートについてサポートについてサポートについて

はじめにはじめにはじめにはじめに ISS では、 Web サイ トおよび電子メールまたは電話を通じてテクニカル サポート を提供しています。

ISS のののの Web サイ トサイ トサイ トサイ ト Internet Security Systems (ISS) の Web サイ ト (http://www.isskk.co.jp/support.html または http://www.iss.net/support/) では、 よ く ある質問 (FAQ)、 ホワイ ト ペーパー、 オンライン マニュアル、 新バージ ョ ン一覧、 詳細な製品資料、 テクニカル サポート ナレッジベース (http://www.isskk.co.jp/support/index_KB.html または http://www.iss.net/support/knowledgebase/) など、 役立つ豊富な情報を直接入手するこ とができます。

サポートサポートサポートサポート レベルレベルレベルレベル ( 米国米国米国米国 ) 米国 ISS では、 3 つのレベルのサポート を提供しています。

� Standard

� Select

� Premium

どのレベルでも、 電話および電子的手段によるサポート を 24 時間体制で提供しています。 Select サービス と Premium サービスは、 Standard サービスよ り も優れた機能と メ リ ッ ト を提供します。企業のサポート レベルをご存知ない場合は、 顧客サービス窓口 (clientservices@iss.net) にお問い合わせください。

営業時間営業時間営業時間営業時間 北南米およびその他の地域におけるテクニカル サポートの営業時間は次のとおりです。

問い合わせ窓口問い合わせ窓口問い合わせ窓口問い合わせ窓口 テクニカル サポート用の連絡先は次のとおりです。

地域地域地域地域 営業時間営業時間営業時間営業時間

北南米 24 時間体制

日本国内 月曜から金曜までの午前 10 時から午後 5 時までです。 ただ

し、 ISS の休業日は除きます。

注記注記注記注記 : 寄りのサポート オフ ィスが南北アメ リカ以外にあ

る場合は、 その営業時間外におけるご質問 ・ ご相談は、 北南米オフ ィスに電話または電子メールでお問い合わせいただ くことができます。 日本国内における ISS 製品に関する技術的

なお問い合わせは、 本製品の保守契約を締結されている販売代理店を通じてご連絡ください。

表表表表 4: テクニカル サポート営業時間

地域オフ ィス地域オフ ィス地域オフ ィス地域オフ ィス 電子的手段によるサポート電子的手段によるサポート電子的手段によるサポート電子的手段によるサポート 電話番号電話番号電話番号電話番号

北米 ISS Web サイ トの MYISS セクシ ョ ンをご覧ください。

www.iss.net

Standard:(1) (888) 447-4861 ( フ リー ダイヤル )(1) (404) 236-2700

Select およびおよびおよびおよび Premium:Welcome Kit を参照して く だ

さい。

表表表表 5: テクニカル サポート窓口

xii

テクニカルテクニカルテクニカルテクニカル サポートについてサポートについてサポートについてサポートについて

南米 support@iss.net (1) (888) 447-4861 ( フ リー ダイヤル )(1) (404) 236-2700

ヨーロッパ、 中東、 アフリカ

support@iss.net (44) (1753) 845105

アジア太平洋、オースト ラ リア、 フ ィ リピン

support@iss.net (1) (888) 447-4861 ( フ リー ダイヤル )(1) (404) 236-2700

日本 本製品の保守契約を締結されている販売代理店を通じてご連絡ください。

本製品の保守契約を締結されている販売代理店を通じてご連絡ください。

地域オフ ィス地域オフ ィス地域オフ ィス地域オフ ィス 電子的手段によるサポート電子的手段によるサポート電子的手段によるサポート電子的手段によるサポート 電話番号電話番号電話番号電話番号

表表表表 5: テクニカル サポート窓口 ( 続き )

xiiiProventia Network Intrusion Prevention System User Guide

前書き前書き前書き前書き

xiv

第第第第 1 章章章章

Proventia Network Intrusion Prevention System の概要の概要の概要の概要

概要概要概要概要

はじめにはじめにはじめにはじめに この章では Proventia Network Intrusion Prevention System (IPS) を紹介し、 アプライアンスの各機能が低限の設定でどのよ うにネッ ト ワークを防御するのかについて説明します。 また、 ネッ ト ワーク

のセキュ リティをカスタマイズするために実装可能なその他 Proventia Network IPS 機能についても説明します。

この章の内容この章の内容この章の内容この章の内容 この章では、 次のトピックについて説明します。

ト ピックト ピックト ピックト ピック ページページページページ

不正侵入防御 14

インライン アプライアンスのアダプタ モード 17

ハイ アベイラビリテ ィ モード 18

13Proventia Network Intrusion Prevention System User Guide

第第第第 1 章章章章 : Proventia Network Intrusion Prevention System の概要の概要の概要の概要

不正侵入防御不正侵入防御不正侵入防御不正侵入防御

はじめにはじめにはじめにはじめに Proventia Network Intrusion Prevention System (IPS) は、 ネッ ト ワークの帯域幅と可用性を保ちながら悪意のある攻撃を自動的にブロ ッ ク します。 Proventia Network IPS アプライアンスは、 レイヤ 2 ネッ ト ワーク セキュ リティ専用のアプライアンスです。 ゲート ウェイまたはネッ ト ワークのいずれかに配置可能であ り、ネッ ト ワークの再構成を必要とするこ とな く、侵入の試みやサービス不能 (DoS) 攻撃、 悪意のあるコード、 バッ ク ドア、 スパイウェア、 ピアツーピア アプリ ケーシ ョ ン、 そして増え続ける脅威を、 ブロ ッ クするこ とができます。

図図図図 1: 不正侵入防御の概要

図 1 は、 Proventia Network IPS がどのよ うにネッ ト ワークを保護するのかを示します。 これらのアプライアンスは、 柔軟性のある配置オプシ ョ ンと追加設定不要な機能性を備え、 ネッ ト ワーク境界、 また内部ネッ ト ワーク と内部ネッ ト ワーク セグメン トの全体とにおいて、 正確でパフォーマンスの高い防御を保証します。

防御機能防御機能防御機能防御機能 Proventia 不正侵入防御アプライアンスの機能には、 折り紙付きの検出技術と防御技術が、 新のセキュ リティ アップデート と共に含まれます。 これらのアプライアンスは論理フローと ト ラフ ィ ッ クの状態を理解するため、 ト ロイの木馬やバッ ク ドア、 ワームなどのネッ ト ワーク脅威に対して卓越した防御が提供されます。

Proventia Network IPS は、 脅威からネッ ト ワークを防御するための次の機能を備えています。

� ダイナミ ックダイナミ ックダイナミ ックダイナミ ック ブロッキングブロッキングブロッキングブロッキング

Proventia Network IPS では、 脆弱点に基づく攻撃認識を使用して、 正当な ト ラフ ィ ッ クを妨害

せず通過させる一方で、 不要な ト ラフ ィ ッ クに対して Blocking レスポンスを直ちに確実に送

信可能と しています。 また、 検知ベースのブロ ッキングを使用する詳細な ト ラフ ィ ッ ク検査プロセスを採用して、 既知の攻撃と これまでに知られていない脅威の両方を阻止します。

� ファイアウォールファイアウォールファイアウォールファイアウォール ルールルールルールルール

特定の IP アドレス、 ポート番号、 プロ ト コル、 または VLAN からの着信パケッ ト をブロ ッ ク

するファ イアウォール ルールを作成するこ とができます。 このよ うなルールによって、 ネッ

ト ワークに影響が及ぶ前に数多くの攻撃をブロ ッ クするこ とができます。

� 新のセキュリテ ィ調査に基づいたセキュリテ ィ新のセキュリテ ィ調査に基づいたセキュリテ ィ新のセキュリテ ィ調査に基づいたセキュリテ ィ新のセキュリテ ィ調査に基づいたセキュリテ ィ コンテンツの自動アップデートコンテンツの自動アップデートコンテンツの自動アップデートコンテンツの自動アップデート

Protected Network

attack traffic

permitted traffic

000111000101110001110001110001

101010100

00111000111100011100011100011010101000 payload

header

payload

header

HTTP

HTTP

Proventia inspectsHTTP packet

Protects againstattack

Firewall inspects header

Allows web trafficto pass

14

不正侵入防御不正侵入防御不正侵入防御不正侵入防御

更新されたセキュ リ ティ コンテンツを自動的にダウンロード してアクティブ化するこ とがで

きます。 お手元に届けられるセキュ リティ アップデートは、 既知および未知の脅威に対する

新の防御を提供するために ISS のセキュ リティ調査研究チームである X-Force が継続的に力

を注いできた成果です。

� Quarantine レスポンスとレスポンスとレスポンスとレスポンスと Block レスポンスレスポンスレスポンスレスポンス

インライン アプライアンスでは、 初に攻撃があってからの指定期間、 Quarantine レスポンス

を使用して ト ラフ ィ ッ クをブロ ッ ク します。 また、 Block レスポンスを使用して、 イベン トが

発生した接続またはイベン ト を ト リガした接続をブロ ッ ク して リセッ ト します。

� Virtual Patch™ による防御による防御による防御による防御

Proventia の Virtual Patch ( バーチャル パッチ ) 機能によって、 貴重な時間的余裕が生まれ、 脆

弱点を持つすべてのシステムへ直ちに防御を講じる必要がなくなり ます。 パッチをあててシステムを再起動するこ とでネッ ト ワーク ダウンの危険をおかすのではなく、 アプライアンスを

手動でアップデートする準備が整うかまたはスケジューリ ング済みのアップデートが発生するまで待つこ とができます。

� SNMP のサポートのサポートのサポートのサポート

SNMP ベースの ト ラ ップを使用して、 システムの主な問題点を監視したり、 SNMP レスポンス

を使用してセキュ リ ティ イベン ト またはその他アプライアンス イベン トに応答したりするこ

とができます。

管理機能管理機能管理機能管理機能 アプライアンスに関するセキュ リ ティ ポリシーの作成と配備、 アラートの管理、 アップデートの適用を、 ローカルで行うかまたは中央のアプライアンス管理システムを通じて行う こ とができます。

Proventia Network IPS には、 次のよ うな管理機能が備わっています。

� Proventia Configuration Menu

Proventia Configuration Menu は、 ローカルの設定インターフェースです。 アプライアンス設定

を指定するには、 このツールを使用します。

� Proventia Manager

Proventia Manager は、 ローカルで 1 つのアプライアンスを管理するために、 ブラウザベースの

グラフ ィカル ユーザー インターフェース (GUI) を備えています。 Proventia Manager を使用し

て、 次の機能を管理するこ とができます。

� アプライアンスのステータスの監視

� 動作モードの設定

� ファ イアウォールの設定

� アプライアンスの設定とアクティビティの管理

� アラート詳細のレビュー

� ハイ アベイラビ リ ティの設定

� プロテクシ ョ ン ド メ インを使用したセキュ リティ ポ リシーの管理

15Proventia Network Intrusion Prevention System User Guide

第第第第 1 章章章章 : Proventia Network Intrusion Prevention System の概要の概要の概要の概要

� Proventia® Management SiteProtector

SiteProtector は、 ISS のマネージメン ト コンソールです。 SiteProtector を使用して、 コンポーネ

ン ト とアプライアンスの管理、 イベン トの監視、 レポートのスケジューリ ングを行う こ とができます。 アプライアンスは Proventia Manager を通じて管理するよ うにデフォルト設定されて

いますが、 アプライアンスのグループを別のセンサーと共に管理している場合は、SiteProtector の中央管理機能を使った方がよい場合があ り ます。

アプライアンスを SiteProtector に登録する と、 SiteProtector はアプライアンスの次の管理機能

を制御します。

� ファ イアウォール設定

� 不正侵入防御設定

� アラート イベン ト

� アプライアンス とセキュ リ ティ コンテンツのアップデート

参照参照参照参照 : SiteProtector を通じたアプライアンス管理の手順については、 http://

www.isskk.co.jp/document/manuals.html または http://www.iss.net/support/documentation/ にある SiteProtector のユーザー マニュアルか、 SiteProtector のヘ

ルプを参照してください。

16

インラインインラインインラインインライン アプライアンスのアダプタアプライアンスのアダプタアプライアンスのアダプタアプライアンスのアダプタ モードモードモードモード

インラインインラインインラインインライン アプライアンスのアダプタアプライアンスのアダプタアプライアンスのアダプタアプライアンスのアダプタ モードモードモードモード

はじめにはじめにはじめにはじめに このインライン アプライアンスには、 次のよ うな 3 つのアダプタ モードがあ り ます。

� インライン プロテクシ ョ ン

� インライン シ ミ ュレーシ ョ ン

� パッシブ モニタ リ ング

アプライアンス ソフ ト ウェアをインス トールする と きに、 これら動作モードのうち 1 つを選択します。 好みに応じて、 デフォルトの動作モードを使用し、 後で別のモードのソフ ト ウェアをインストールするこ とができます。

アダプタアダプタアダプタアダプタ モードモードモードモード インラインインラインインラインインライン プロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ン

このモードでは、 アプライアンスをネッ ト ワーク基盤に完全に統合するこ とができます。 Block レスポンス と Quarantine レスポンスに加え、 すべてのファイアウォール ルールが有効化され、 アプライアンスに適用するセキュ リ ティ ポリシーが完全に有効化されます。

インラインインラインインラインインライン シミ ュレーシ ョ ンシミ ュレーシ ョ ンシミ ュレーシ ョ ンシミ ュレーシ ョ ン

このモードでは、 ト ラフ ィ ッ ク パターンに影響するこ とな く、 アプライアンスを使用してネッ トワークを監視するこ とができます。 従来の Block レスポンスに加え、 Quarantine レスポンスも使用されます。 デフォルトでは、 これらレスポンスが送信されてもパケッ トはド ロ ップされず、 TCP 接続も リセッ ト されません。 このモードは、 ネッ ト ワーク ト ラフ ィ ッ クに影響するこ とな く、 セキュ リ ティ オプシ ョ ンのベースラインとテス ト を行う場合に役立ちます。

パッシブパッシブパッシブパッシブ モニタ リングモニタ リングモニタ リングモニタ リング

このモードは従来のパッシブな IDS 機能を再現したもので、 インラインに配置されない状態で、問題がないかど うかネッ ト ワーク ト ラフ ィ ッ クの監視を行います。 主に、 不正侵入に対して従来の Block レスポンスで対応します。 アプライアンスは、 問題に遭遇する と リセッ ト パケッ ト を送信して TCP 接続をブロ ッ ク します。 このモードは、 ネッ ト ワークに必要なインライン プロテクシ ョ ンのタイプを見極める場合に役立ちます。

アプライアンスアプライアンスアプライアンスアプライアンス アダプアダプアダプアダプ

タタタタ モードの変更モードの変更モードの変更モードの変更

パッシブ モニタ リ ング モードからインライン シ ミ ュレーシ ョ ン モードまたはインライン プロテクシ ョ ン モードに変更する場合は、 アプライアンスに対するネッ ト ワーク接続も変更する必要があ り ます。 パッシブ モニタ リ ング モードで動作するアプライアンスは、 タ ップ、 ハブ、 または SPAN ポートに接続する必要があ り ます。

アプライアンスのアダプタ モードをインライン シ ミ ュレーシ ョ ンからインライン プロテクシ ョ ンに変更した場合は、 インライン プロテクシ ョ ンに適した設定となるよ うに、 いくつかの高度なパラ メータを調整する必要があ り ます。 詳細については、 「ネッ ト ワーク アダプタ カードのプロパティの編集」 (144 ページ ) を参照して ください。

17Proventia Network Intrusion Prevention System User Guide

第第第第 1 章章章章 : Proventia Network Intrusion Prevention System の概要の概要の概要の概要

ハイハイハイハイ アベイラビリテ ィアベイラビリテ ィアベイラビリテ ィアベイラビリテ ィ モードモードモードモード

はじめにはじめにはじめにはじめに Proventia Network IPS のハイ アベイラビ リ ティ機能 (HA) によって、 アプライアンスは既存のハイ アベイラビ リ ティ環境で動作するこ とができます。 両アプライアンスは、 アプライアンス間のすべてのト ラフ ィ ッ クを ミ ラー リ ンク経由で通過させ、 ネッ ト ワーク上のすべてのト ラフ ィ ッ クを監視して確実に状態を維持します。 これによってアプライアンスは、 非対称的にルーティングされたト ラフ ィ ッ クを監視し、 ネッ ト ワークを完全に防御するこ と も可能になり ます。

ハイ アベイラビ リ ティのサポートは、 連動する 2 アプライアンスに限定されています。 どちらのアプライアンスも、 パケッ ト をインラインで処理し、 インライン監視ポートに到着する ト ラフ ィ ックをブロ ッ ク し、 インライン監視ポートで受信したイベン ト を管理コンソールへレポート します。

注記注記注記注記 : HA モードで動作できるのは GX5000 シ リーズのアプライアンスだけです。

HA アプライアンス向けに、 次のうちいずれかのモードを選択するこ とができます。

� 通常モード

� HA プロテクシ ョ ン モード

� HA シ ミ ュレーシ ョ ン モード

HA のモードについてのモードについてのモードについてのモードについて 通常モード通常モード通常モード通常モード

通常の動作モードの場合、 アプライアンスは HA にあるも う一方のアプライアンス と連動するこ とができません。 アプライアンスは、 アダプタ レベルに限り、 インライン プロテクシ ョ ン、 インライン シ ミ ュレーシ ョ ン、 パッシブ モニタ リ ングの各モードで実行するよ うに設定するこ とができます。

HA プロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ン モードモードモードモード

プロテクシ ョ ン モードの場合、 HA パートナー アプライアンスは両方と も ト ラフ ィ ッ クをインラインで監視し、 それぞれ自分のインライン ポートで受信した攻撃をレポートおよびブロ ッ ク します。 アプライアンスはまた、 ネッ ト ワークのフェールオーバが万が一発生した場合にはレポート と防御を引き受けられるよ うに、 互いのセグメン ト上の ト ラフ ィ ッ クを ミ ラー リ ンク経由で監視します。

HA シミ ュレーシ ョ ンシミ ュレーシ ョ ンシミ ュレーシ ョ ンシミ ュレーシ ョ ン モードモードモードモード

HA シ ミ ュレーシ ョ ン モードの場合、 HA パートナー アプライアンスは両方と も ト ラフ ィ ッ クをインラインで監視しますが、 ト ラフ ィ ッ クのブロ ッ クは行いません。 その代わり、 パッシブ通知レスポンスを生成します。 アプライアンスはまた、 ネッ ト ワークのフェールオーバが万が一発生した場合には通知を引き受けられるよ うに、 互いのセグメン ト上の ト ラフ ィ ッ クを ミ ラー リ ンク経由で監視します。

18

第第第第 2 章章章章

アプライアンスの接続アプライアンスの接続アプライアンスの接続アプライアンスの接続

概要概要概要概要

はじめにはじめにはじめにはじめに この章では、 Proventia Network Intrusion Prevention System (IPS) GX4000 シ リーズおよび GX5000 シリーズ モデルのアプライアンスの接続手順について説明します。 また、 ネッ ト ワークに も適した構成を決定する際に役立つよ うに、 共通のインライン配置シナリオについても説明します。

この章の内容この章の内容この章の内容この章の内容 この章では、 次のト ピッ クについて説明します。

ト ピックト ピックト ピックト ピック ページページページページ

始める前に 20

一般的な配置シナリオの確認 21

ケーブルの接続とアプライアンスの起動 23

19Proventia Network Intrusion Prevention System User Guide

第第第第 2 章章章章 : アプライアンスの接続アプライアンスの接続アプライアンスの接続アプライアンスの接続

始める前に始める前に始める前に始める前に

はじめにはじめにはじめにはじめに アプライアンスをネッ ト ワークに接続する前に、 正しい機材を集めておく必要があ り ます。 また、アプライアンスの実行モード も考慮する必要があ り ます。 たとえば、 フル プロテクシ ョ ン モードで実行する準備はできているでし ょ うか。 または、 フル セキュ リティ ポ リシーの実装前に ト ラフ ィ ッ ク パターンを監視する必要はないでし ょ うか。 次に示すセクシ ョ ンを確認して、 必要な機材を確保し、 アプライアンスのネッ ト ワークへの接続方法を把握してください。

必要なもの必要なもの必要なもの必要なもの 次の機材を揃えます。

モニタリングモニタリングモニタリングモニタリング モードにモードにモードにモードに

ついてついてついてついて

ネッ ト ワークへのアプライアンスの接続方法は、 アプライアンスをどのモードで実行するかによって異なり ます。 インライン アプライアンスには、 次のアダプタ モードが備わっています。

項目項目項目項目

Proventia Network IPS GX4000 または GX5000 シリーズ モデルのアプライアンス

Proventia のシリアル コンソール ケーブル ( 青 )

イーサネッ ト クロスオーバ ケーブル ( 黄 )

各インライン セグメン トでは次のものが必要です。

• 一対のイーサネッ ト ケーブル ( ネッ トワークに応じ、 直流またはクロスオーバ )

• クロスオーバ アダプタ

• 追加のイーサネッ ト ケーブル ( 必要に応じて )

注記注記注記注記 : ISS からは、 セグメン トごとにクロスオーバ アダプタ x 1、 ワンフ ッ ト イーサネッ

ト ケーブル ( 緑 ) x 2 が提供されています。

電源コード (GX5000 シリーズ アプライアンスでは 2 本必要 )

表表表表 6: アプライアンス接続用の機材

モードモードモードモード レスポンスレスポンスレスポンスレスポンス 利点利点利点利点

インライン プロ

テクシ ョ ン

Block、Quarantine、Firewall

• ネッ トワークを監視し、 悪意のある ト ラフ ィ ックを積極的にブロックする

• IPS の利点を十分に実現することができる

インライン シミ ュレーシ ョ ン

Block、 Quarantine ( シミ ュレート )

• ト ラフ ィ ック パターンに影響を与えることな く ネッ

トワークを監視する

• セキュリテ ィ ポリシーのベースラインとテストに役

立つ

パッシブ モニタ

リング

Block • 従来の IDS 技術を再現する

• インラインに配置されない状態でト ラフ ィ ックを監視する

表表表表 7: モニタ リング モード

20

一般的な配置シナリオの確認一般的な配置シナリオの確認一般的な配置シナリオの確認一般的な配置シナリオの確認

一般的な配置シナリオの確認一般的な配置シナリオの確認一般的な配置シナリオの確認一般的な配置シナリオの確認

はじめにはじめにはじめにはじめに Proventia Network IPS アプライアンスをネッ ト ワークに接続する前に、 次の一般的なアプライアンス配置シナリオを検討してください。

ク ロスオーバ接続が必要な箇所では、 お手持ちのイーサネッ ト ケーブルを使用するこ とができます。 ISS からは、 セグメン ト ごとにクロスオーバ アダプタ x 1、 ワンフッ ト イーサネッ ト ケーブル x 2 が提供されています。 アプライアンスが動作中ではない場合、 監視ポートはクロスオーバと して機能します。 次のシナリオは、 使用する監視ポート とは関係なく機能します。

参照参照参照参照 : 2 つのアプライアンスをハイ アベイラビ リ ティ用に設定する場合は、 「ネッ ト ワーク可用性の維持」 (43 ページ ) を確認して ください。

ルーター→ルータールーター→ルータールーター→ルータールーター→ルーター 2 つのルーター間にアプライアンスを配置する場合は、 図 2 のよ うに接続します。

� イーサネッ ト ク ロスオーバ ケーブルを使用して、 ルーター 1 とアプライアンスを接続します。

� イーサネッ ト ク ロスオーバ ケーブルを使用して、 アプライアンス とルーター 2 を接続します。

図図図図 2: ルーター→ルーター

ルーター→スイッチルーター→スイッチルーター→スイッチルーター→スイッチまたはハブまたはハブまたはハブまたはハブ

ルーターとスイ ッチ / ハブの間にアプライアンスを配置する場合は、 図 3 のよ うに接続します。

� イーサネッ ト ク ロスオーバ ケーブルを使用して、 ルーターとアプライアンスを接続します。

� 直流イーサネッ ト ケーブルを使用して、 アプライアンス とスイ ッチまたはハブを接続します。

図図図図 3: ルーター→スイッチまたはハブ

スイッチまたはハブ→別スイッチまたはハブ→別スイッチまたはハブ→別スイッチまたはハブ→別のスイッチまたはハブのスイッチまたはハブのスイッチまたはハブのスイッチまたはハブ

2 つのスイ ッチまたはハブ間にアプライアンスを配置する場合は、 図 4 のよ うに接続します。

� 直流イーサネッ ト ケーブルを使用して、 スイ ッチまたはハブ 1 とアプライアンスを接続しま

す。

� 直流イーサネッ ト ケーブルを使用して、 アプライアンス とスイ ッチまたはハブ 2 を接続しま

す。

図図図図 4: スイッチまたはハブ 1 →スイッチまたはハブ 2

21Proventia Network Intrusion Prevention System User Guide

第第第第 2 章章章章 : アプライアンスの接続アプライアンスの接続アプライアンスの接続アプライアンスの接続

ワークステーシ ョ ン→スワークステーシ ョ ン→スワークステーシ ョ ン→スワークステーシ ョ ン→スイッチイッチイッチイッチ

ワークステーシ ョ ンと スイ ッチの間にアプライアンスを配置する場合は、 図 5 のよ うに接続します。

� イーサネッ ト ク ロスオーバ ケーブルを使用して、 ワークステーシ ョ ンとアプライアンスを接

続します。

� 直流イーサネッ ト ケーブルを使用して、 アプライアンス とスイ ッチを接続します。

図図図図 5: ワークステーシ ョ ン→スイッチ

ワークステーシ ョ ン→ワークステーシ ョ ン→ワークステーシ ョ ン→ワークステーシ ョ ン→ルータールータールータールーター

ワークステーシ ョ ンとルーターの間にアプライアンスを配置する場合は、 図 6 のよ うに接続します。

� イーサネッ ト ク ロスオーバ ケーブルを使用して、 ワークステーシ ョ ンとアプライアンスを接

続します。

� イーサネッ ト ク ロスオーバ ケーブルを使用して、 アプライアンス とルーターを接続します。

図図図図 6: ワークステーシ ョ ン→ルーター

22

ケーブルの接続とアプライアンスの起動ケーブルの接続とアプライアンスの起動ケーブルの接続とアプライアンスの起動ケーブルの接続とアプライアンスの起動

ケーブルの接続とアプライアンスの起動ケーブルの接続とアプライアンスの起動ケーブルの接続とアプライアンスの起動ケーブルの接続とアプライアンスの起動

はじめにはじめにはじめにはじめに この ト ピッ クでは、 ケーブルの接続方法と、 アプライアンスを初めて起動する場合の方法について説明します。詳しいアプライアンス図については、 アプライアンスのパッケージに同梱されている Quick Start Card を参照して ください。

ケーブルの接続ケーブルの接続ケーブルの接続ケーブルの接続 ケーブルをアプライアンスに接続するには :

1. 電源コードをアプライアンスに接続します。

重要重要重要重要 : GX5000 シ リーズ モデルを接続する場合は、 アプライアンスの警告シグナルが鳴らない

よ うに、 両方の電源コードを接続する必要があ り ます。

2. 直流イーサネッ ト ケーブルを、 ネッ ト ワークから管理 (Management) ポート 1 ( 左側 ) に接続し

ます。 この接続によって、 アプライアンスを SiteProtector または Proventia Manager から管理で

きるよ うになり ます。

注記注記注記注記 : 管理ポート 2 ( 右側 ) は、 TCPReset (Kill) ポートです。

3. イーサネッ ト ケーブルを、 ネッ ト ワークから、 一対の保護された (Protected) ポートに指示ど

おりに接続します。

アプライアンスをインライン プロテクシ ョ ンまたはシ ミ ュレーシ ョ ン モードで実行する予定

である場合は、 両方のポートにケーブルを差し込む必要があ り ます。 パッシブ モードで実行

する予定の場合は、 1 本のケーブルをポート ペアのうち片方のポート ( 例 : ポート 1A) に差し

込みます。 も う一方のポートはそのままにしておきます。

注記注記注記注記 : 利用できるセグメン トは、 アプライアンス モデルによって異なり ます。

23Proventia Network Intrusion Prevention System User Guide

第第第第 2 章章章章 : アプライアンスの接続アプライアンスの接続アプライアンスの接続アプライアンスの接続

4. ( オプシ ョ ン ) シ リアル コンソール ケーブルを、 アプライアンスからコンピュータに接続しま

す。 この手順は、 アプライアンスを直接コンピュータに接続して高度な設定を行う場合に限って行ってください。

5. アプライアンスの電源を入れます。

ISS Proventia の画面が LCD パネルに表示されます。

6. 第 3 章 「アプライアンス設定の指定」 (25 ページ ) に進み、 手順に従ってアプライアンスを

ネッ ト ワークに接続し、 高度な設定を指定します。

24

第第第第 3 章章章章

アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定

概要概要概要概要

はじめにはじめにはじめにはじめに この章では、 Proventia Network Intrusion Prevention System (IPS) アプライアンスをネッ ト ワーク接続するための設定方法について説明します。 また、 バッ クアップと復元の設定や SNMP 設定など、その他アプライアンス設定の概要についても説明します。

この章の内容この章の内容この章の内容この章の内容 この章では、 次のト ピッ クについて説明します。

ト ピックト ピックト ピックト ピック ページページページページ

始める前に 26

LCD パネルを使用したネッ トワーク接続 28

Proventia Setup の使用 30

その他アプライアンス設定の指定 33

アプライアンス ファームウェアの再インストール 38

25Proventia Network Intrusion Prevention System User Guide

第第第第 3 章章章章 : アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定

始める前に始める前に始める前に始める前に

はじめにはじめにはじめにはじめに アプライアンス ケーブルを接続した後は、 アプライアンスをネッ ト ワークに接続して設定を行います。 これには 2 つのオプシ ョ ンがあ り ます。 お使いのネッ ト ワーク環境にどちらが 適であるかを検討して ください。

� アプライアンス前面の LCD パネルを使用して、 IP アドレス、 IP サブネッ ト マスク、 ゲート

ウェイなどの基本的なネッ ト ワーク設定を指定し、 アプライアンスを直接ネッ ト ワークに接続するこ とができます。 アプライアンスの設定は、 Proventia Setup を使用して リモート コン

ピュータから引き続き行います。

� Proventia Setup を使用して、 基本的なネッ ト ワーク設定に加えてパスワード、 DNS 名とホス ト

名、 アダプタ モード、 ポート リ ンク設定、 日時、 バッ クアップと復元の設定、 SNMP 設定を

指定するこ とができます。

重要重要重要重要 : アプライアンスのネッ ト ワーク接続には、 1 つの方法しか使用できません。 アプライアンス

のネッ ト ワーク接続を LCD パネルを使って開始した場合は、 すべての手順を完了してから、

Proventia Setup を使って設定を継続する必要があ り ます。

設定のチェ ックリス ト設定のチェ ックリス ト設定のチェ ックリス ト設定のチェ ックリス ト LCD パネルまたは Proventia Setup のどちらを使ってアプライアンスを設定する場合でも、始めるにあたって関連情報をいくつか集めておく必要があ り ます。 LCD パネルを使用してアプライアンスをネッ ト ワーク接続し、 設定を行う場合は、 初に IP アドレス、 サブネッ ト マスク、 ゲート ウェイの情報を入力します。 この情報は、 Proventia Setup フェーズで必要に応じて変更可能です。

表 8 のチェッ ク リ ス ト を使用して、 Proventia Network IPS アプライアンスの設定に必要な情報を入手して ください。

設定設定設定設定 説明説明説明説明

Hostname アプライアンスの固有のコンピュータ名

例例例例 : myappliance

設定設定設定設定 :

Domain name ネッ トワークのド メイン サフ ィ ックス

例例例例 : mydomain.com

設定設定設定設定 :

Domain name server ド メイン名参照 (DNS 検索パス ) 用のサーバー IP アドレス ( オプシ ョ ン )。

例例例例 : 10.0.0.1

設定設定設定設定 :

Management Port IP Address

管理用ネッ トワーク アダプタの IP アドレス

設定設定設定設定 :

Management port subnet mask

管理ポートに接続されたネッ トワークのサブネッ ト マスク値。

設定設定設定設定 :

表表表表 8: 設定情報のチェ ックリス ト

26

始める前に始める前に始める前に始める前に

Management port default gateway (IP address)

管理ゲートウェイの IP アドレス

設定設定設定設定 :

Adapter mode アプライアンスで使用するアダプタ ( 動作 ) モー

ドを決定します。

注記注記注記注記 : 使用予定のアダプタ モードは、 ネッ ト

ワーク ケーブルの接続方法に対応している必要

があります。

設定設定設定設定 :

設定設定設定設定 説明説明説明説明

表表表表 8: 設定情報のチェ ックリス ト ( 続き )

27Proventia Network Intrusion Prevention System User Guide

第第第第 3 章章章章 : アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定

LCD パネルを使用したネッ トワーク接続パネルを使用したネッ トワーク接続パネルを使用したネッ トワーク接続パネルを使用したネッ トワーク接続

はじめにはじめにはじめにはじめに アプライアンスのインス トール後すぐにネッ ト ワークに接続する場合は、 ネッ ト ワークの防御を開始するためにアプライアンスが必要とする も重要な情報を、 LCD パネルを使用して入力することができます。 LCD を使用してアプライアンスを設定する場合は、 次の情報を入力する必要があり ます。

� IP アドレス

� サブネッ ト マスク

� ゲート ウェイ

GX4000 シリーズのシリーズのシリーズのシリーズの LCD パネルについてパネルについてパネルについてパネルについて

GX4000 シ リーズ モデル アプライアンスの LCD パネルには、 次のボタンがあ り ます。

GX5000 シリーズのシリーズのシリーズのシリーズの LCD パネルについてパネルについてパネルについてパネルについて

GX5000 シ リーズ モデル アプライアンスの LCD パネルには、 次のボタンがあ り ます。

ネッ トワーク情報の入力ネッ トワーク情報の入力ネッ トワーク情報の入力ネッ トワーク情報の入力 LCD パネルを使用してネッ ト ワーク情報を入力するには :

1. LCD パネルで ボタンを押します。

2. 設定を行うかど うかたずねる メ ッセージが表示されます。 [OK] を選択し、 ボタンを押しま

す。

重要重要重要重要 : LCD パネルを使用してアプライアンスのネッ ト ワーク アクセスを設定する場合は、 関

連ネッ ト ワーク情報を LCD パネルから入力する必要があ り ます。 Proventia Setup の使用は、 詳

細設定の場合に限られます。 Proventia Setup を使用してネッ ト ワーク アクセスを設定する場合

は、 [Cancel] を選択し、 「Proventia Setup の使用」 (30 ページ ) を参照して ください。

3. 初に表示される画面は、 IP アドレスの画面です。

ボタンボタンボタンボタン 目的目的目的目的

フ ィールド内で数値を選択します。 または、 ISS Proventia Menu を移動します。

フ ィールド内で数値を選択します。 または、 ISS Proventia Menu を移動します。

画面上の次のフ ィールドに移動します。 または、 選択内容を確認して新しい画面に移動します。

ESC 前のフ ィールドに戻ります。

ボタンボタンボタンボタン 目的目的目的目的

フ ィールド内で数値を選択します。 または、 ISS Proventia Menu を移動します。

フ ィールド内で数値を選択します。 または、 ISS Proventia Menu を移動します。

画面上の次のフ ィールドに移動します。

前のフ ィールドに戻ります。

選択内容を確認して新しい画面に移動します。

28

LCD パネルを使用したネッ トワーク接続パネルを使用したネッ トワーク接続パネルを使用したネッ トワーク接続パネルを使用したネッ トワーク接続

アプライアンス モデルに従って、 次のいずれかを行います。

� GX4000 シ リーズ アプライアンスの場合は、 ボタンと ボタンを押して数値を選択

し、 ボタンを押して次のフ ィールドに移動します。

� GX5000 シ リーズ アプライアンスの場合は、 ボタンと ボタンを押して数値を選択し、 ボタンを押して次のフ ィールドに移動します。

4. アドレスを入力したら、 ボタンを押します。

5. [OK] を選択して先へ進むか、 [Cancel] を選択してすべてのフ ィールドをク リ アします。

6. ボタンを押して内容を承認します。

7. 手順手順手順手順 3 ～～～～ 6 を繰り返し、 サブネッ ト マスク とデフォルト ゲート ウェイを入力します。

ネッ トワーク情報の保存ネッ トワーク情報の保存ネッ トワーク情報の保存ネッ トワーク情報の保存 すべてのネッ ト ワーク情報を入力したら、 終確認画面が表示されます。

次のいずれかを行います。

� [OK] を選択し、 ボタンを押して内容を承認します。 入力した情報がアプライアンスに保存

されます。

� [Cancel] を選択し、 ボタンを押して承認します。 入力した情報は削除され、 ISS Proventia の画面に戻り ます。 ネッ ト ワーク情報を、 も う一度入力できるよ うになり ます。

パスワードの記録パスワードの記録パスワードの記録パスワードの記録 設定を承認する と、 アプライアンスは情報を保存し、 大文字と小文字が区別される英数字の固有のパスワードを生成します。 このパスワードを覚えておいてください。 Proventia Setup へのログインで使用します。 このパスワードは、 管理用、 root、 Proventia Manager 用のパスワードであるデフォルトの 「admin」 を上書きします。

次の作業次の作業次の作業次の作業 これでアプライアンスはネッ ト ワークに接続され、 アプライアンスにログオンして DNS 名やホスト名、 アダプタ モード、 ポート リ ンク設定、 日時、 バッ クアップと復元の設定、 SNMP 設定を指定などの詳細設定を指定する準備ができました。

アプライアンスがシ リ アル コンソールを通じて直接コンピュータに接続されている場合は、 そのコンピュータからアプライアンスへ直接ログインするこ とができます。 また、 アプライアンスへリモート接続するこ と もできます。 詳細については、 「アプライアンスへのリモート接続」 (30 ページ ) を参照して ください。

リモート接続を確立したら、 「初期設定の完了」 (30 ページ ) の手順に従ってアプライアンスの設定を完了します。

29Proventia Network Intrusion Prevention System User Guide

第第第第 3 章章章章 : アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定

Proventia Setup の使用の使用の使用の使用

はじめにはじめにはじめにはじめに Proventia Setup は、 アプライアンスの初期設定を指定するのに使用するプログラムです。 LCD パネルを通じてアプライアンスをネッ ト ワークに接続した場合でも、 ポート リ ンク速度の設定やアダプタ モードの設定などの詳細設定については、 Proventia Setup で行う必要があ り ます。

アプライアンスがシ リ アル コンソールを使用して直接コンピュータに接続されている場合は、 ログインして設定を開始する準備ができています。 初期設定の完了 を参照して ください。

リモート コンピュータからアプライアンスを設定する場合は、 次に示す手順に従います。 こ こでは、 ハイパーターミナルを使用したアプライアンスへの接続方法について説明します。 別の端末エミ ュレーシ ョ ン プログラム (PuTTY など ) を使用してアプライアンスに接続するこ と もできますが、 その手順についてはこ こで扱いません。 お使いのプログラムのマニュアルに記載された手順に従ってください。

アプライアンスへのリアプライアンスへのリアプライアンスへのリアプライアンスへのリモート接続モート接続モート接続モート接続

ハイパーターミナルを使用してアプライアンスへリモート接続するには :

1. コンピュータで [ スタートスタートスタートスタート ] → [ プログラムプログラムプログラムプログラム ] → [ アクセサリアクセサリアクセサリアクセサリ ] → [ 通信通信通信通信 ] の順に選択します。

2. [ ハイパーターミナルハイパーターミナルハイパーターミナルハイパーターミナル ] を選択します。

3. 次の設定を使用した新規接続を作成します。

4. [ENTER] キーを押して接続を確立します。

接続が確立される と、 [Proventia Setup Configuration Menu] が表示されます。

ヒン トヒン トヒン トヒン ト : 接続を確立できなかった場合は、 アプライアンスの電源が入っているかど うか、 アプライアンスを起動してあるかど うかを確認します。

初期設定の完了初期設定の完了初期設定の完了初期設定の完了 アプライアンスの初期設定を完了するには :

1. ログイン プロンプ トでユーザー名 「admin」 を入力し、 [ENTER] キーを押します。

2. パスワードを入力するには、 次のいずれかを行います。

� LCD パネルを使用してネッ ト ワークに接続する場合は、 アプライアンスによって生成され

た、 大文字と小文字が区別されるパスワードを入力します。

� Proventia Setup を使用してネッ ト ワークに接続する場合は、 デフォルト パスワード

「admin」 を入力します。

3. [Start] を選択し、 [ENTER] キーを押します。

4. ソフ ト ウェア ラ イセンス契約を読み、 [Accept] を選択して続行します。

5. 画面に表示される手順に従います。

設定設定設定設定 値値値値

通信ポート 通常は COM1 ( コンピュータの設定によって異

なる )

エミ ュレーシ ョ ン VT100

ビッ ト / 秒 9600

データ ビッ ト 8

パリテ ィ なし

スト ップ ビッ ト 1

フロー制御 なし

30

Proventia Setup の使用の使用の使用の使用

次の表では、 必須情報について説明します。

情報情報情報情報 説明説明説明説明

Change Password • Admin Password ( 管理パスワード管理パスワード管理パスワード管理パスワード ) - アプライアンスにアク

セスする場合は、 このパスワードを入力する必要があります。このパスワードには、 root パスワード と同じものを使用する

ことができます。

• Root Password (root パスワードパスワードパスワードパスワード ) - コマンド ラインからア

プライアンスにアクセスする場合は、 このパスワードを入力する必要があります。

• Proventia Manager Password (Proventia Manager パスパスパスパス

ワードワードワードワード ) - Proventia Manager にアクセスする場合は、 このパ

スワードを入力する必要があります。 このパスワードには、root パスワード と同じものを使用することができます。

Network Configuration Information

• IP Address (IP アドレスアドレスアドレスアドレス ) - 管理ネッ トワーク アダプタの IP アドレス。

• Subnet Mask ( サブネッ トサブネッ トサブネッ トサブネッ ト マスクマスクマスクマスク ) - 管理インターフェース

に接続するネッ トワークのサブネッ ト マスク値。

• Default Gateway ( デフォルトデフォルトデフォルトデフォルト ゲートウェイゲートウェイゲートウェイゲートウェイ ) - 管理ゲート

ウェイの IP アドレス。

注記注記注記注記 : アプライアンスが LCD パネルを通じて初期設定されてい

る場合、 入力した情報はここに表示されます。 この情報は、 必要に応じて変更することができます。

Host Configuration このアプライアンスは、 Email レスポンスと SNMP レスポンス

を送信するのにド メイン名と DNS 情報を使用します。 セッ ト

アップ時にこの情報を設定しなかった場合は、 SNMP レスポン

スを定義するたびに、 アプライアンスのメール サーバーの IP アドレスを指定する必要があります。

• Hostname ( ホスト名ホスト名ホスト名ホスト名 ) - アプライアンスのコンピュータ名。

例 : myappliance.

• Domain Name ( ド メイン名ド メイン名ド メイン名ド メイン名 ) - ネッ トワーク用のド メイン サフ ィ ックス (DNS 検索パス )。 例 : mycompany.com.

• Primary Name Server ( プライマリプライマリプライマリプライマリ ネームネームネームネーム サーバーサーバーサーバーサーバー ) - ド メ

イン名参照を実行するために使用する DNS の IP アドレス。

例 : 10.0.0.1

• Secondary Name Server ( セカンダリセカンダリセカンダリセカンダリ ネームネームネームネーム サーバーサーバーサーバーサーバー ) - ドメイン名参照を実行するために使用する第 2 の DNS の IP アドレス。

Time Zone Configuration これらの設定は、 アプライアンスのタイム ゾーンを決定します。

Date/Time Configuration ネッ トワーク上で発生するイベン ト を正確に追跡できるように、管理インターフェースに表示されるアプライアンスの日時を設定する必要があります。

Agent Name Configuration

エージェン ト名は、 管理インターフェースに表示されるアプライアンス名です。 この名前は、 ネッ トワークの枠組みにおける意味のある分類 ( 地理的な位置、 事業単位、 所在地など ) と対応して

いる必要があります。

31Proventia Network Intrusion Prevention System User Guide

第第第第 3 章章章章 : アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定

6. すべての情報を入力する と、 アプライアンスはその設定を適用します。

確認メ ッセージが表示されたら、 [ENTER] キーを押してアプライアンスをログオフします。

Port Link Configuration ポート リンク設定は、 アプライアンスのパフォーマンス モード、

またはアプライアンスが自らのネッ トワーク接続を処理する場合の方法を決定します。

速度 ( アプライアンスとネッ トワークの間でのト ラフ ィ ックの通

過レート ) と二重モード ( 情報の流れる方向 ) を選択することが

できます。 お使いの特定ネッ トワークに対応し、 Proventia Network IPS アプライアンスを一括するその他デバイスに関連し

たリンク速度と設定を選択して く ださい。 ネッ トワーク設定が不明である場合は、 速度と二重モードに関してアプライアンスが自動的にネッ トワークとネゴシエートできるように [Auto] を選択し

ます。

注記注記注記注記 : アプライアンスの初期設定後は、 Proventia Manager を通

じてインライン監視ポート と Kill ポートのリンク速度と二重モー

ドの設定しか変更できません。 詳細については、 「ネッ トワーク アダプタ カードの管理」 (144 ページ ) を参照して く ださい。

Adapter Mode Configuration

[Adapter Mode] は、 アプライアンスがネッ トワークを防御するた

めにネッ トワーク内でどのように振る舞うのかを決定します。 どのモードを選択すべきかについては、 「インライン アプライアン

スのアダプタ モード」 (17 ページ ) を確認して く ださい。

ポート ペアごとに異なるアダプタ モードを選択できますが、 ア

プライアンスの物理的なネッ トワーク接続に合ったアダプタ モードを選択してあるかどうか確認する必要があります。 この設定が正し く ないと、 ネッ トワークに大きな影響が及ぶ可能性があります。

注記注記注記注記 : 2 台のアプライアンスをハイ アベイラビリテ ィ モードで実

行する予定である場合は、 初期設定の間にアダプタ モードを選

択する必要があります。 初期設定を完了すると、 管理インターフェースを通じて対応する HA モードを設定できるようになりま

す。 詳細については、 「ネッ トワーク可用性の維持」 (43 ページ ) を参照して く ださい。

情報情報情報情報 説明説明説明説明

32

その他アプライアンス設定の指定その他アプライアンス設定の指定その他アプライアンス設定の指定その他アプライアンス設定の指定

その他アプライアンス設定の指定その他アプライアンス設定の指定その他アプライアンス設定の指定その他アプライアンス設定の指定

はじめにはじめにはじめにはじめに 設定メニューを通じて、 初期設定時に指定したアプライアンス設定を表示または編集するこ とができます。 また、 次のよ う な重要なアプライアンス設定を管理するこ と もできます。

Appliance Information アプライアンス設定に関する次の情報を表示するこ とができます。

メニューメニューメニューメニュー オプシ ョ ンオプシ ョ ンオプシ ョ ンオプシ ョ ン 目的目的目的目的

Appliance Information アプライアンスに関する情報を表示します。

Appliance Management • 現在の設定をバックアップします。

• 現在の設定または工場出荷時のデフォルト設定を復元します。

• アプライアンスへのリモート root アクセスを無効にします。

• アプライアンスを再起動またはシャッ トダウンします。

Agent Management • エージェン ト、 エンジン、 またはデーモンのバージ ョ ンあるいはステータス情報を表示します。

• エージェン ト名を変更します。

Network Configuration • IP アドレス、 サブネッ ト マスク、 またはゲートウェイを変更

します。

• ホスト名、 ド メイン名、 またはプライマリおよびセカンダリ DNS を変更します。

• 管理ポート リンク設定を変更します。

• Kill ポート リンク設定を指定します。

Time Configuration • アプライアンスのタイム ゾーン、 日付、 または時刻を変更し

ます。

• Network Time Protocol を変更します。

Password Management 管理パスワード、 root パスワード、 または Proventia Manager パスワードを変更します。

SNMP Configuration アプライアンス システム関連のイベン トが発生した場合にアプ

ライアンスが SNMP ト ラ ップを送信できるようにします。

表表表表 9: 設定メニュー

項目項目項目項目 説明説明説明説明

Serial Number アプライアンスのシリアル番号。

Base Version アプライアンスが工場から出荷された時点のファームウェア バー

ジョ ン。

XPU Version アプライアンスにインス トールされている、 新の X-Press Update (XPU) またはセキュリティ コンテンツ アップデート。

Firmware Version アプライアンスにインス トールされている 新のファームウェア バージョ ン。

Agent Name エージェン ト モデル名 ( 例 : Proventia_GX4004)。

表表表表 10: アプライアンス情報

33Proventia Network Intrusion Prevention System User Guide

第第第第 3 章章章章 : アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定

Appliance Management

[Appliance Management] メニューから、 次のタスクを実行するこ とができます。

Host Name アプライアンスのインス トール時にアプライアンスに付けられた名前 ( ネッ トワーク上で表示される名前 )。 これは、 管理インター

フェースに表示される名前です。

IP Address この IP アドレスは、 Proventia Manager と SiteProtector を通じてア

プライアンスを管理するために使用します。

Netmask 管理ポートに接続するネッ トワークのサブネッ ト マスク値。

Gateway 管理ゲートウェイの IP アドレス。

Primary DNS ド メイン名参照 (DNS 検索パス ) を実行するために使用するプライマ

リ サーバーの IP アドレス。

Secondary DNS ド メイン名参照 (DNS 検索パス ) を実行するために使用するセカンダ

リ サーバーの IP アドレス。

項目項目項目項目 説明説明説明説明

表表表表 10: アプライアンス情報 ( 続き )

作業作業作業作業 説明説明説明説明

現在の設定をバックアップする

現在の設定をバックアップする場合は、 すべてのカスタム情報がイメージ ファイルに保存され、 アプライアンスのハード ディス

ク上の特別なバックアップ用パーティシ ョ ンに置かれます。 現在のバックアップ ファイルからイメージを復元する場合は、 保存

されている情報でハード ド ライブが再度イメージ化され、 特別

なバックアップ用パーティシ ョ ン以外のすべてが上書きされます。

設定を復元する 設定の復元には、 2 つのオプシ ョ ンがあります。

• Backup configuration - アプライアンス設定を も新しい

バックアップ設定に戻します。

• Factory default - 新のファームウェア バージョ ンまたは

アップデートがインストール済みのアプライアンス設定をデフォルト設定に戻します。

注記注記注記注記 : このオプシ ョ ンでは、 現在のホスト、 ネッ トワーク、

タイム ゾーン、 パスワードの設定が保持されます。

リモート root アクセスを無

効にする

root ユーザーへのリモート アクセスを無効にすることができま

す。 リモート アクセスを無効にすると、 root ユーザーはローカ

ル コンソールからでないとアプライアンスにログオンできませ

ん。 アクセスを無効にした後は、 管理ユーザーだけがリモート アクセス権限を持ちます。

リモート root アクセスは、 端末エミ ュレーシ ョ ン セッシ ョ ンを

通じて root ユーザーとしてアプライアンスにログインし、 コマ

ンド プロンプ トで 「enable-root-access」 と入力すること

で再度有効にすることができます。

アプライアンスを再起動またはシャッ トダウンする

LCD パネルまたは Proventia Setup からアプライアンスを再起動

またはシャッ トダウンすることもできます。

表表表表 11: アプライアンス管理のタスク

34

その他アプライアンス設定の指定その他アプライアンス設定の指定その他アプライアンス設定の指定その他アプライアンス設定の指定

Agent Management [Agent Management] メニューから、 次のタスクを実行するこ とができます。

Network Configuration [Network Configuration] メニューから、 次のタスクを実行するこ とができます。

Time Configuration [Time Configuration] メニューから、 次のタスクを実行するこ とができます。

作業作業作業作業 説明説明説明説明

エージェン ト ステータスを

表示する

エージェン ト、 エンジン、 およびデーモンのステータスを表示することができます。

エージェン ト名を変更する エージェン ト名は、 マネージメン ト コンソール (SiteProtector または Proventia Manager) に表示されるアプライアンス名です。

エージェン ト名を変更した場合、 新しい名前は、 次回ハートビートの後に SiteProtector に表示されます。

表表表表 12: エージェン ト管理のタスク

作業作業作業作業 説明説明説明説明

IP 設定を変更する アプライアンスの IP アドレス、 サブネッ ト マスク、 またはゲー

トウェイを変更することができます。 たとえば、 アプライアンスを別の場所またはネッ トワーク領域に移動した場合に、 これら設定の変更が発生する場合があります。

ホスト名設定を変更する アプライアンスのホスト名、 ド メイン名、 プライマリおよびセカンダリ ネーム サーバーを変更することができます。 たとえば、

アプライアンスは Email および SNMP レスポンスの送信にド メ

イン名や DNS 名を使用するので、新しいメール サーバーまたは SNMP マネージメン ト コンソールを追加した場合に、 これら設

定の変更が発生する場合があります。

管理ポート リンク設定を変

更する

管理ポートのリンク速度と二重モードを変更することができます。 お使いの特定ネッ トワークに対応し、 Proventia Network IPS アプライアンスを一括するその他デバイスに関連したリンク速度と設定を選択して ください。

注記注記注記注記 : 初期設定後は、 Proventia Manager または SiteProtector を通じて監視対象の (Protected) ポートのリンク速度と二重モード

の設定しか変更できません。 詳細については、 「ネッ トワーク アダプタ カードの管理」 (144 ページ ) を参照して ください。

TCPReset (kill) ポート リン

ク設定を指定する

TCPReset (kill) ポートに接続する場合は、 リンクと二重の設定を

ここで変更することができます。 Kill ポートを設定した後は、

Proventia Manager または SiteProtector を通じてリンクと二重の

設定を変更することができます。 詳細については、 「ネッ トワーク アダプタ カードの管理」 (144 ページ ) を参照して く ださい。

Kill ポートの初期設定については、 「TCPReset の設定」

(152 ページ ) を参照して ください。

表表表表 13: ネッ トワーク設定のタスク

作業作業作業作業 説明説明説明説明

日付と時刻を変更する アプライアンスに設定した日時は、 アプライアンス イベン トが

記録される時刻と、 記録されたイベン トが管理インターフェースに表示される方法を決定します。

表表表表 14: 日時設定のタスク

35Proventia Network Intrusion Prevention System User Guide

第第第第 3 章章章章 : アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定

タイム ゾーンを変更する アプライアンス用にタイム ゾーンが正し く設定されていること

を確認します。 いったん設定したら、 アプライアンスを物理的に移動した場合を除き、 この設定を変更しないで ください。

Network Time Protocol を設

定する

Network Time Protocol (NTP) は、 ローカルの日付と時刻をネッ

トワーク タイム サーバーと同期します。 1 つ以上のタイム サー

バーを指定すると、 アプライアンスは、 指定された各サーバーから多数のサンプルを入手して正しい時刻を判断します。

作業作業作業作業 説明説明説明説明

表表表表 14: 日時設定のタスク

36

その他アプライアンス設定の指定その他アプライアンス設定の指定その他アプライアンス設定の指定その他アプライアンス設定の指定

Password Management

[Password Management] メニューから、 次のタスクを実行するこ とができます。

SNMP Configuration [Configuration] メニューから SNMP を有効にする と、 ディ スク容量の低下、 スワ ップ容量の低下、非常に高い CPU 使用率、 物理的な侵入など、 システム健全性関連のイベン トに関する情報をアプライアンスが送信できるよ うになり ます。 これらの設定は、 ネッ ト ワーク上で発生したイベン トに割り当てられている SNMP レスポンスには影響しません。 イベン トに対する SNMP レスポンスについては、 「SNMP レスポンスの設定」 (104 ページ ) を参照して ください。

[SNMP Configuration] メニューから、 次のタスクを実行するこ とができます。

作業作業作業作業 説明説明説明説明

管理パスワード、 root パス

ワード、 または Proventia Manager パスワードを変更

する

Proventia Manager を通じてパスワードを変更することもできま

す。 「ユーザー アクセスの設定」 (159 ページ ) を参照して く ださ

い。

ブートローダ パスワードを

無効にする

ブートローダ パスワードは、 起動プロセスの間にアプライアン

スを不正なユーザー アクセスから保護します。 root パスワード

を設定した場合は、 ブートローダ パスワードが自動的に有効に

なります。 ブートローダ パスワードは無効化できますが、 root パスワードは引き続きアクテ ィブなままです。

表表表表 15: パスワード管理のタスク

作業作業作業作業 説明説明説明説明

SNMP を有効にする SNMP マネージャとの通信でアプライアンスが必要とする情報

の入力をガイド します。 次の情報の入力が要求されます。

• システムの位置、 連絡先、 名前

• メインのト ラ ップ受信者の IP アドレス

• 通信ポートの番号 ( デフォルトではポート 162)

• コ ミ ュニテ ィ文字列 ( 「public」 または 「private」 )

• ト ラ ップのバージ ョ ン

SNMP を無効にする アプライアンスによる SNMP マネージャへのシステム関連情報

の送信を停止します。

SNMP デーモンを起動また

は停止する

SNMP サービスとの通信をリセッ トできるようにします。

SNMP システム情報を表示

する

アプライアンスの現在の SNMP 設定を表示します。

ト ラ ップ受信者を追加または削除する

ト ラ ップ受信者の IP アドレスは、 SNMP Manager が動作してい

るサーバーのアドレスです。 SNMP ト ラップを送信するには、

SNMP ホストがアプライアンスからアクセス可能である必要が

あります。

アプライアンスからメ ッセージを受け取る ト ラ ップ受信者を追加するか、 またはメ ッセージを今後受信させないト ラ ップ受信者を削除することができます。

ト ラ ップ受信者の読み取りアクセス権を有効にする

ト ラ ップ受信者がシステム関連イベン トに関する情報を収集できるようにします。

注意注意注意注意 : SNMP 読み取りアクセスの許可を選択すると、 防御ファイ

アウォールで UDP ポート 161 が開きます。

表表表表 16: SNMP の設定作業

37Proventia Network Intrusion Prevention System User Guide

第第第第 3 章章章章 : アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定

アプライアンスアプライアンスアプライアンスアプライアンス ファームウェアの再インス トールファームウェアの再インス トールファームウェアの再インス トールファームウェアの再インス トール

はじめにはじめにはじめにはじめに アプライアンスのパッケージに同梱されている リ カバリ用 CD には、 工場でアプライアンスにインス トールされたソフ ト ウェアが含まれています。 この CD から、 アプライアンスにソフ ト ウェアを再インス トールするこ とができます。

結果結果結果結果 このプロセスによって、 次のよ う な結果が生じます。

� アプライアンスを 初にインス トールして以来ソフ ト ウェア設定に対して行った変更が、 上書

きされます。

� 元のデフォルト ログイン資格情報が復元されます。

� ユーザー名 = admin

� パスワード = admin

38

アプライアンスアプライアンスアプライアンスアプライアンス フ ァームウェアの再インス トールファームウェアの再インス トールファームウェアの再インス トールファームウェアの再インス トール

始める前に始める前に始める前に始める前に アプライアンス ファームウェアの再インス トールを開始する前に、 次の作業を完了しておく必要があ り ます。

説明説明説明説明

アプライアンスにアクセスしてソフトウェアを再インストールするコンピュータを選択します。 このコンピュータは、 Pre-boot eXecution (PXE) サーバーとい

います。

要件要件要件要件

• コンピュータの BIOS 設定は、 CD から再起動できるように設定する必要

があります。 詳細については、 コンピュータのマニュアルを参照してください。

• Pentium II またはこれに準拠した CPU

• 64M RAM

• IDE CD-ROM ドライブ

• COM1 シリアル ポート

また、 次のうちいずれかのネットワーク カードが必要です。

重要重要重要重要 : ISS では、 ここに挙げるネットワーク カードだけをサポートしています。

• e1000—Intel PRO/1000

• e100—Intel PRO/100

• 3c59x—3Com 3c590, 3c595, 3c905, 3c575

• bcm5700— Broadcom 57xx Gigabit

• sk98lin—SysKonnect and Marvell Gigabit

• tulip—Digital/Intel 21x4x “Tulip”

• eepro100—Intel PRO/100

• 8139too—RealTek 8139

• ne2k-pci—NE2000-compatible PCI cards

• pcnet32—AMD PCnet32, VMWare

• sis900—SiS 900, 7016

• via-rhine—Via Rhine VT86C100A, 6102, 6105

• 8139cp—RealTek 8139C+

• epic100—SMC83c170, SMC83c175

• xircom_cb—Xircom CardBus

• 3c574_cs—3Com 3c574

• axnet_cs—Asix AX88190

• nmclan_cs—AMD Am79C940

• smc91c92_cs—SMC 91c92

• xirc2ps_cs—Xircom CE2, CE IIps, RE-10, CEM28, CEM33, CEM56, CE3-100, CE3B, RE-100, REM10BT, REM56G-100

• 3c589_cs—3Com 3c589

• fmvjl8x_cs—FMV J181, FMV J182, TDK LAK-CD021, ConTec C-NET (PC) C, Ungermann Access/CARD

• pcnet_cs/NE2000 compatible cards—D-Link DE-650, Linksys PCMCIA, Accton EN2212, RPTI EP400, PreMax PE-200, IBM Credit Card Adapter, Novell NE4100, Kingston KNE-PCM/x, Allied Telesis LA-PCM, ASANTE FriendlyNet

表表表表 17: アプライアンス ファームウェアの再インストール前に

39Proventia Network Intrusion Prevention System User Guide

第第第第 3 章章章章 : アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定

アプライアンス パッケージに付属している次のものを探しておきます。a

• Proventia Network Intrusion Prevention System のリカバリ用 CD

• イーサネット クロスオーバ ケーブル

• シリアル ( ヌル モデム ) ケーブル

現在のシステムのバックアップを、 Proventia Manager 内で作成します。

アプライアンス ファームウェアを再インストールした後に、 このバックアップか

らシステム設定を復元することができます。

詳細については、 「Appliance Management」 (34 ページ ) を参照してくださ

い。

管理インターフェースの次のアプライアンス設定を記録します。

• IP アドレス、 サブネット マスク、 およびデフォルト ゲートウェイ

• ホスト名、 ドメイン名、 および DNS ネーム サーバー

アプライアンスの電源を切り、 付属のケーブルを使用してコンピュータ (PXE サーバー ) を直接アプライアンスに接続します。 次の図を参照してください。

ヌルヌルヌルヌル モデムモデムモデムモデム ケーブルは、 次のようにデバイスへ接続して く ださい。ケーブルは、 次のようにデバイスへ接続して く ださい。ケーブルは、 次のようにデバイスへ接続して く ださい。ケーブルは、 次のようにデバイスへ接続して く ださい。

• コンピュータ (PXE サーバー ) 上で、 COM1 というポートを使用する。

• アプライアンス上で、 Console というポートを使用する。

イーサネッ トイーサネッ トイーサネッ トイーサネッ ト ケーブルは、 次のようにデバイスへ接続して く ださい。ケーブルは、 次のようにデバイスへ接続して く ださい。ケーブルは、 次のようにデバイスへ接続して く ださい。ケーブルは、 次のようにデバイスへ接続して く ださい。

• コンピュータ (PXE サーバー ) 上で、 イーサネット ポートを使用する。

• アプライアンス上で、 1 という左側の管理管理管理管理ポートを使用する。

注記注記注記注記 : コンピュータ (PXE サーバー ) をアプライアンスに接続すると、 アプライ

アンスのインターネット接続が無効になります。 再インストール プロセスが終

了したら、 インターネット接続を再度確立してアプライアンス アップデートを入

手してください。

重要重要重要重要 : ネットワーク上で複数の PXE サーバーが動作している場合は、

Proventia Network IPS の再インストールを開始する前に接続を切断する必

要があります。 手順 3 で表示されたメッセージから、 正しい PXE サーバーに

接続していることが確認できます。

説明説明説明説明

表表表表 17: アプライアンス ファームウェアの再インストール前に ( 続き )

40

アプライアンスアプライアンスアプライアンスアプライアンス フ ァームウェアの再インス トールファームウェアの再インス トールファームウェアの再インス トールファームウェアの再インス トール

アプライアンスアプライアンスアプライアンスアプライアンス ソフ トソフ トソフ トソフ ト

ウェアの再インス トールウェアの再インス トールウェアの再インス トールウェアの再インス トール

アプライアンス ソフ ト ウェアを再インス トールするには :

1. Proventia Network Intrusion Prevention System Recovery CD を PXE ブート サーバーの CD-ROM ドライブに挿入し、 PXE ブート サーバーを再起動します。

PXE ブート サーバーは次のメ ッセージを表示します。

***You may now boot your Proventia GXxxxx via the network***

***Starting Terminal Emulator***

***Press Control-G to Exit and Reboot***

注記注記注記注記 : こ こで、 PXE ブート サーバーはアプライアンスの端末エミ ュレータ と して機能し、 ア

プライアンスのコンソール出力を表示します。

2. アプライアンスの電源を入れます。

PXE ブート サーバーはブート プロセス メ ッセージを表示し、 その後、 次のプロンプ ト を表示

します。

Press L to boot from LAN, or press any other key to boot normally.

重要重要重要重要 : LAN から起動するには、 5 秒以内に 「L」 を押す必要があ り ます。 時間内に 「L」 を押

さないと、 アプライアンスは通常どおりに起動するので、 も う一度再インス トールを開始する必要があ り ます。

3. [L] キーを押します。

次のメ ッセージが表示されます。

Internet Security SystemsProventia GXxxxx Recovery Boot

PXE ブート サーバーにアプライアンスからのステータス メ ッセージが表示され、 ネッ ト ワー

ク経由でインス トーラが起動します。

4. プロンプ トで 「reinstall」 と入力し、 [ENTER] キーを押します。

インス トーラがオペレーティング システムを再ロード します。

a. ISS では、 その他ケーブルの使用をサポート していません。

図図図図

次の図は、 再インス トール プロセスにおけるコンピュータ とアプライアンスの正常な接続を示したものです。

図図図図 7: 再インストールでのコンピュータとアプライアンスの正常な接続

41Proventia Network Intrusion Prevention System User Guide

第第第第 3 章章章章 : アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定アプライアンス設定の指定

注記注記注記注記 : 再インス トールが完了する と、 アプライアンスが自動的に再起動します。 アプライアンスが起動している間は、 中断させないよ うにします。

5. アプライアンスが再起動したら、 「unconfigured.appliance login」 というプロンプ ト

が表示されます。

デフォルトのユーザー名およびパスワード (admin/admin) でログインして設定メニューを使っ

てアプライアンスを設定するか、 アプライアンス前面の LCD パネルを使用してアプライアン

スを設定するこ とができます。

アプライアンスの再設定アプライアンスの再設定アプライアンスの再設定アプライアンスの再設定 ソフ ト ウェアとデータベースを再インス トールした後にアプライアンスを再設定するには、「Proventia Setup の使用」 (30 ページ ) の設定手順に従います。

バッ クアップを作成してあれば、 アプライアンスを再設定した後でシステム設定を復元するこ とができます。 「Appliance Management」 (34 ページ ) を参照してください。

注記注記注記注記 :

� アプライアンスの設定は、 PXE ブート サーバーに接続している間に完了してください。 再イ

ンス トール手順と再設定手順をすべて完了したら、 [CTRL] + [G] キーを押して PXE サーバーを

シャッ ト ダウンします。

� ファームウェアおよびデータベースのアップデートにアクセスするには、 インターネッ ト アクセスが必要です。 PXE ブート サーバーを切断し、 内部インターフェースをネッ ト ワークに

再接続してインターネッ トにアクセスしてください。

42

第第第第 4 章章章章

ネッ トワーク可用性の維持ネッ トワーク可用性の維持ネッ トワーク可用性の維持ネッ トワーク可用性の維持

概要概要概要概要

はじめにはじめにはじめにはじめに この章では、 Proventia Network IPS アプライアンスの GX5008 および GX5108 モデルが既存のハイ アベイラビ リ ティ環境で機能するよ うに設定する方法について説明します。

この章の内容この章の内容この章の内容この章の内容 この章では、 次のト ピッ クについて説明します。

ト ピックト ピックト ピックト ピック ページページページページ

ハイ アベイラビリテ ィについて 44

ハイ アベイラビリテ ィ設定の概要 46

ハイ アベイラビリテ ィ実装 47

43Proventia Network Intrusion Prevention System User Guide

第第第第 4 章章章章 : ネッ トワーク可用性の維持ネッ トワーク可用性の維持ネッ トワーク可用性の維持ネッ トワーク可用性の維持

ハイハイハイハイ アベイラビリテ ィについてアベイラビリテ ィについてアベイラビリテ ィについてアベイラビリテ ィについて

はじめにはじめにはじめにはじめに Proventia Network Intrusion Prevention System (IPS) のハイ アベイラビ リ ティ機能 (HA) によって、 アプライアンスは既存のハイ アベイラビ リ ティ環境で動作するこ とができます。 IPS は、 アプライアンス間のすべてのト ラフ ィ ッ クを ミ ラー リ ンク経由で通過させ、 ネッ ト ワーク上のすべてのト ラフ ィ ッ クを監視して確実に状態を維持します。 これによってアプライアンスは、 非対称的にルーティングされた ト ラフ ィ ッ クを監視し、 ネッ ト ワークを完全に防御するこ と も可能になり ます。

Proventia Network IPS における HA のサポートは、 連動する 2 アプライアンスに限定されています。どちらのアプライアンスも、 パケッ ト をインラインで処理し、 インライン監視ポートに到着する トラフ ィ ッ クをブロ ッ ク し、 インライン監視ポートで受信したイベン ト を管理コンソールへレポートします。

HA の有効化については、 「HA の有効化」 (146 ページ ) を参照して ください。

サポート対象のネッ トサポート対象のネッ トサポート対象のネッ トサポート対象のネッ トワーク構成ワーク構成ワーク構成ワーク構成

ハイ アベイラビ リ ティ ネッ ト ワークは一般的に、 次のいずれかの方法で構成されます。

Proventia の HA 機能では、 両方のネッ ト ワーク設定がサポート されています。 そのためには、 両方の Proventia アプライアンスが同じ状態を保っている必要があ り ます。 アプライアンスは、 複数ポート を通じた複数の接続で構成された ミ ラー リ ンクによって接続されます。 両アプライアンスのプロ ト コル分析モジュールがネッ ト ワーク ト ラフ ィ ッ クを確実にすべて処理するよ うに、 これらのミ ラー リ ンクはアプライアンスがインライン ポートで受信したすべての ト ラフ ィ ッ クをも う一方のアプライアンスに渡します。 さ らに、 両アプライアンスは、 非対称的にルーティングされたト ラフ ィ ッ ク も処理します。 このため、 フェールオーバー中も防御が途切れるこ とはあ り ません。

注記注記注記注記 : HA 機能が有効になっている場合に Proventia Setup を使用しても、 ネッ ト ワーク設定を変更

するこ とができません。

HA とととと SiteProtector にににによる管理よる管理よる管理よる管理

HA を、 SiteProtector Agent Manager を通じて管理するこ とができます。 アプライアンス アップデート (XPU、 ポ リ シー アップデート など ) を同期させるために、 HA 設定でペアになっているアプライアンスを同一の SiteProtector グループに置く必要があ り ます。 両方のアプライアンスは、 固有の ID を使用して SiteProtector にレポート を行います。

レスポンスの処理レスポンスの処理レスポンスの処理レスポンスの処理 アプライアンスは両方と も、 すべての冗長セグメン トから受信したパケッ ト を処理しますが、 適切であればインライン ポートに着信する ト ラフ ィ ッ クだけをブロ ッ クするこ とができます。 両方のアプライアンスは、 マネジメン ト コンソールへイベン ト を常にレポート します。 ただし、 インライン ポートに着信したパケッ トによって生成されたイベン トに対するレスポンスしか処理しません。 ミ ラーリ ング ポートに着信した ト ラフ ィ ッ クによって生成されたイベン トについては、 処理は行いますが、 ブロ ッ クやレポートは行いません。

両方のアプライアンスがすべてのト ラフ ィ ッ クを常に監視するので、 レスポンス処理のフェールオーバー時間がなくなり ます。 アプライアンスは両方と も現在の状態を維持するので、 一方の HA

既存の既存の既存の既存の HA 設定設定設定設定 説明説明説明説明

プライマリ / セカンダリ この設定では、 ト ラフ ィ ックが冗長ネッ トワーク セグメ

ン トの一方でしか流れず、 一方のデバイスに障害が発生するまでの間はネッ トワーク上のプライマリ デバイスが

すべてのト ラフ ィ ックを処理します。 障害発生の時点で、ト ラフ ィ ックはセカンダリ セグメン トへフェールオー

バーし、 セカンダリ デバイスが後を引き継ぎます。

クラスタ リング この設定では、 ト ラフ ィ ックの負荷が分散され、 両方のデバイス セッ トがアクテ ィブになり、 ト ラフ ィ ッ クが常

時監視されます。

表表表表 18:

44

ハイハイハイハイ アベイラビリテ ィについてアベイラビリテ ィについてアベイラビリテ ィについてアベイラビリテ ィについて

ネッ ト ワーク セグメン トが機能を停止しても、 も う一方のアプライアンスがインライン ポートですべてのパケッ ト を受信するため、 ネッ ト ワークがフェールオーバーする とすぐにイベン トが生成されます。

注記注記注記注記 : ポート スキャンのよ うな少数のシグネチャは、 ク ラスタ構成中の各アプライアンスにつき 1 つの重複イベン ト を生成する可能性があ り ます。

ハイハイハイハイ アベイラビリテ ィアベイラビリテ ィアベイラビリテ ィアベイラビリテ ィ モードモードモードモード

HA 設定では、 アプライアンスはインライン シ ミ ュレーシ ョ ン モードがインライン プロテクシ ョン モードのいずれかでしか機能できません。 パッシブ モニタ リ ング モードはサポート されていません。 HA モードを選択する と、 すべての監視アダプタが、 対応するアダプタ モードに自動的に切り替わり ます。

HA は、 アプライアンス自体の可用性または耐故障性には対応しません。 また、 パッシブ モニタ リング モード向けに設定および配線されたアプライアンスに対するハイ アベイラビ リ ティ ソ リ ューシ ョ ンは、 あ り ません。 表 19 に挙げられたハイ アベイラビ リ ティ モードを使用して、 アプライアンスを設定するこ とができます。

設定設定設定設定 説明説明説明説明

HA シミ ュレーシ ョ

ン モード

HA パートナー アプライアンスは両方とも ト ラフ ィ ッ クをインラインで

監視しますが、 ト ラフ ィ ックのブロックは行いません。 その代わり、 トラフ ィ ックを監視してパッシブ通知レスポンスを返します。 アプライアンスはまた、 ネッ トワークのフェールオーバーが万が一発生した場合には通知を引き受けられるように、 互いのセグメン ト上のト ラフ ィ ックをミ ラー リンク経由で監視します。

HA プロテクシ ョ ン モード

HA パートナー アプライアンスは両方とも ト ラフ ィ ッ クをインラインで

監視し、 それぞれが Block レスポンス、 Quarantine レスポンス、 ファイ

アウォール ルールの設定されている攻撃のレポート とブロックを行いま

す。 アプライアンスはまた、 ネッ トワークのフェールオーバが万が一発生した場合にはレポート と防御を引き受けられるように、 互いのセグメン ト上のト ラフ ィ ックを ミ ラー リンク経由で監視します。

表表表表 19: HA アプライアンス モード

45Proventia Network Intrusion Prevention System User Guide

第第第第 4 章章章章 : ネッ トワーク可用性の維持ネッ トワーク可用性の維持ネッ トワーク可用性の維持ネッ トワーク可用性の維持

ハイハイハイハイ アベイラビリテ ィ設定の概要アベイラビリテ ィ設定の概要アベイラビリテ ィ設定の概要アベイラビリテ ィ設定の概要

はじめにはじめにはじめにはじめに HA を設定する前に、 各アプライアンス上でファイアウォール アクセス ポ リシーを作成します。ファ イアウォール アクセス ポ リシーを作成してあれば、 指定されたプライマ リ アプライアンスのみでハイ アベイラビ リ ティを有効にして設定するこ とができます。 アプライアンスを設定する前に、 「ハイ アベイラビ リ ティ実装」 (47 ページ ) の情報を確認してください。

ファ イアウォール ポ リシー設定の詳細については、 「ファ イアウォール ルールの設定」 (132 ページ ) を参照して ください。

ライセンスライセンスライセンスライセンス ハイ アベイラビ リ ティ構成のライセンスは、 HA アプライアンス以外のライセンス と同じものです。 アプライアンスはそれぞれ、 SiteProtector からライセンスを 1 つ要求します ( アプライアンスの管理に SiteProtector を使用している場合 )。

制約事項制約事項制約事項制約事項 HA モードでは、 ファ イアウォール ルールの一部と してアダプタ パラ メータを使用するこ とができません。 プロテクシ ョ ン ド メ インは定義できません。 HA 環境では同一の ト ラフ ィ ッ クが異なるアダプタを流れる場合があるため、 アダプタ パラ メータを使用する と 2 台の HA パートナー アプライアンスが同期しなくなる可能性があ り ます。

重要重要重要重要 : プロテクシ ョ ン ド メ インの定義では、 [Adapter] オプシ ョ ンを 「Any」 に設定して ください。

構成済みのファイアウォール ルール定義では、 すべてのアダプタを選択する必要があ り ます。 手

動で作成したファイアウォール ルール定義では、 アダプタ キーワードを使用できません。 たとえ

ば 「adapter A,B,G Portia top」 とい う ファ イアウォール ルールは、 通常モードでは有効ですが、 HA モードではサポート されません。

Proventia Manager Proventia Manager では、 ポ リシーやアップデートの管理を行うだけではなく、 HA 構成を見るこ ともできますが、 インライン HA 構成では SiteProtector を使用してアプライアンスの管理を行う こ とをお薦めします。

注記注記注記注記 : 両方の HA パートナー アプライアンスを、 同じポ リシーを使用するよ うに設定するこ とを

お勧めします。

1 台のアプライアンスが常に動作してネッ ト ワークの接続性を保つよ うに ( 特に両アプライアンスがフェールクローズするよ うに構成されている場合 )、 コンテンツ アップデート とファームウェア アップデート を連続して適用するこ とができます。

46

ハイハイハイハイ アベイラビリテ ィ実装アベイラビリテ ィ実装アベイラビリテ ィ実装アベイラビリテ ィ実装

ハイハイハイハイ アベイラビリテ ィ実装アベイラビリテ ィ実装アベイラビリテ ィ実装アベイラビリテ ィ実装

はじめにはじめにはじめにはじめに この ト ピッ クでは、 ハイ アベイラビ リ ティ環境での IPS に関する一般的な実装シナリオについて説明します。 次の内容が含まれます。

� 標準的な HA 実装の論理図

� 標準的な実装の物理ネッ ト ワーク図

論理図論理図論理図論理図 HA アプライアンスのク ラスタを、 Proventia Manager から管理するこ とができます。 SiteProtector を使用してアプライアンスを管理している場合は、 SiteProtector Agent Manager から HA ク ラスタを管理するこ とができます。 HA 実装論理図は、 図 7 のとおりです。

図図図図 7: 標準的な HA 実装論理図

47Proventia Network Intrusion Prevention System User Guide

第第第第 4 章章章章 : ネッ トワーク可用性の維持ネッ トワーク可用性の維持ネッ トワーク可用性の維持ネッ トワーク可用性の維持

HA 物理ネッ トワーク図物理ネッ トワーク図物理ネッ トワーク図物理ネッ トワーク図 図 8 では、 一般的な HA 実装シナリオの物理ネッ ト ワーク図を示します。

図図図図 8: HA 物理ネッ トワーク図

48

第第第第 5 章章章章

Proventia Manager の使用の使用の使用の使用

概要概要概要概要

はじめにはじめにはじめにはじめに この章では、 Proventia Manager ( ローカル管理インターフェース ) を使用したアップデート、 調整、および設定強化の方法について説明します。

この章の内容この章の内容この章の内容この章の内容 この章では、 次のト ピッ クについて説明します。

ト ピックト ピックト ピックト ピック ページページページページ

始める前に 50

Proventia Manager へのアクセス 52

Proventia Manager でのナビゲーシ ョ ン 53

ライセンス ファイルのインストール 56

Proventia Manager での作業 57

49Proventia Network Intrusion Prevention System User Guide

第第第第 5 章章章章 : Proventia Manager の使用の使用の使用の使用

始める前に始める前に始める前に始める前に

はじめにはじめにはじめにはじめに アプライアンスをインス トールして設定する と、 Proventia Manager にログインし、 終的な設定手順を完了してアプライアンスの管理をセッ ト アップできるよ うになり ます。 次の表では、 これら手順の概要を説明します。

セッ トアップの確認セッ トアップの確認セッ トアップの確認セッ トアップの確認 次の作業を行ったこ とを確認してください。

1. ハードウェアの取り付けとケーブルの接続を正し く行った。

2. ハイパーターミナル ( または VT100 と互換性のある端末エミ ュレーシ ョ ン プログラム ) を使った接続を、 推奨設定で作成した。

3. 次の内容を含むすべての初期設定を完了した。

� Proventia Setup Utility を使用してアプライアンスへログオンした。

� 管理パスワード、 root パスワード、 または Proventia Manager パスワードを設定した。

� ネッ ト ワーク設定を指定した。

� 日付と時刻を設定した。

� 設定を適用した。

4. アプライアンスを使用する前に、 ライセンス ファ イルをインス トールする必要があ り ます。

さ らに、 ISS では次の作業をお勧めします。

手順手順手順手順 説明説明説明説明 参照先参照先参照先参照先

1 ライセンス登録番号について販売代理店に問い合わせます。

次の作業を行います。

1. 販売代理店からライセンス キーを入手する。

2. ISS の登録センターから、 ライセンス キーをコン

ピュータにダウンロードする。

注記注記注記注記 : アプライアンスが 新のアップデートを自

動的にダウンロードおよびインストールできるように、 ライセンス キー ファイルを指定のディレ

ク ト リにアップロードすることをお勧めします。

ライセンスのアップロードは、 Proventia Manager にアクセスするときに行います。

「ライセンス ファイルのインス

トール」 (56 ページ )

2 次のものがあることを確認します。

• Internet Explorer バージョ ン 6.0 以降

• Java2 Runtime Environment (JRE) バージョ ン 1.4.2。 インス トールされていない場合は、 インス

トール用のリンクが表示されます。

3 Internet Explorer を開き、 ユーザー名 「admin」 と Proventia のセッ トアップ中に設定したパスワードを

使用して Proventia Manager にログインします。

「Proventia Manager へのログオ

ン」 (52 ページ )

4 ライセンスをインストールします。 「ライセンス ファイルのインス

トール」 (56 ページ )

5 アップデートを適用します。 「アプライアンスのアップデート」 (60 ページ )

表表表表 20: Proventia Manager の設定

50

始める前に始める前に始める前に始める前に

� Home ページでコンポーネン トのステータスを見る

� ファームウェアをアップデートする

� アップデート設定を指定する

� 不正侵入防御設定を指定してアップデートする

� ファ イアウォールを設定する

51Proventia Network Intrusion Prevention System User Guide

第第第第 5 章章章章 : Proventia Manager の使用の使用の使用の使用

Proventia Manager へのアクセスへのアクセスへのアクセスへのアクセス

はじめにはじめにはじめにはじめに Proventia Manager は、 アプライアンスに対応する Web ベースの管理インターフェースです。

Proventia Manager を使用して、 次の作業を行います。

� アプライアンスの状態を監視する

� 設定の指定と監視を行う

� 検疫テーブルの表示と変更内容の適用を行う

� アプライアンス アクティビティのレビューと管理を行う

Proventia Manager へへへへのログオンのログオンのログオンのログオン

Proventia Manager インターフェースにログオンするには :

1. Internet Explorer 6 を起動します。

2. 「https:// < アプライアンスの IP アドレス >」 と入力します。

3. ユーザー名 「admin」 と Proventia Manager パスワードを使用してログインします。

4. Java Runtime Environment (JRE) がインス トールされていないこ とを示すメ ッセージが表示され

たら、 直ちにインス トールし、 この手順に戻り ます。

5. [Yes] を選択して、 Getting Started 手順を使用します。

注記注記注記注記 : アプライアンス設定のカスタマイズを手助けする 「Getting Started」 手順を使用するこ

とをお勧めします。 このウ ィンド ウが表示されない場合は、 ヘルプから Getting Started 手順に

アクセスするこ と もできます。

6. [Launch Proventia Manager] をク リ ッ ク します。

52

Proventia Manager でのナビゲーシ ョ ンでのナビゲーシ ョ ンでのナビゲーシ ョ ンでのナビゲーシ ョ ン

Proventia Manager でのナビゲーシ ョ ンでのナビゲーシ ョ ンでのナビゲーシ ョ ンでのナビゲーシ ョ ン

はじめにはじめにはじめにはじめに Proventia Manager を使用してアプライアンスを管理する場合は、 ナビゲーシ ョ ン機能に慣れておく必要があ り ます。

ナビゲーシ ョ ン用ボタンナビゲーシ ョ ン用ボタンナビゲーシ ョ ン用ボタンナビゲーシ ョ ン用ボタンについてについてについてについて

次のボタンは、 Proventia Manager のすべてのページに表示されます。

左側のナビゲーシ ョ ン左側のナビゲーシ ョ ン左側のナビゲーシ ョ ン左側のナビゲーシ ョ ン ウィンドウ枠についてウィンドウ枠についてウィンドウ枠についてウィンドウ枠について

左ウ ィンド ウ枠では、 設定する項目をツ リー内で選択します。 一部の項目は、 設定対象となるコンポーネン トが 1 つ以上あ り ます。 ツ リーを展開し、 該当する領域内で設定可能な要素のサブリ ス トを表示します。

次の表では、 Proventia Manager の各領域について説明します。

ボタンボタンボタンボタン 目的目的目的目的

[System Logs] ページにアクセスします。

左ウィンドウ枠で選択した領域に対応する [Alerts] ページにアクセスしま

す。

オンライン ヘルプにアクセスします。

ナビゲーシ ョ ン ウィンドウ枠を 小化または 大化します。

表表表表 21: ナビゲーシ ョ ン用ボタン

項目項目項目項目 表示または設定の内容表示または設定の内容表示または設定の内容表示または設定の内容

Notifications [Notifications] 領域では、概要的なアラート イベン ト ログ情報、 システム ログ、 システム ( アプライアンス ) アラート情報を見ることができます。

詳細については、 「アラート とシステム情報の表示」 (161 ページ ) を参照

して く ださい。

Intrusion Prevention [Intrusion Prevention] 領域では、 ネッ トワークを侵入から保護された状態

を保つために役立つレスポンス、 プロテクシ ョ ン ド メイン、 およびイベ

ン ト タイプを設定することができます。 また、 重要なセキュリテ ィ アラートおよび検疫済み不正侵入の表示や、 検出された不正侵入に対するアプライアンスの対応方法の決定を行うこともできます。

詳細については、 次のトピックを参照して く ださい。

• 「セキュリテ ィ イベン トでの作業」 (81 ページ )

• 「レスポンスの設定」 (97 ページ )

• 「その他の不正侵入防御設定の指定」 (109 ページ )

Firewall Settings [Firewall Settings] 領域では、 攻撃をブロックするファイアウォール ルー

ルの作成と編集を行うことができます。

詳細については、 「ファイアウォール ルールの設定」 (132 ページ ) を参照

して く ださい。

表表表表 22: 左側のナビゲーシ ョ ン ウィンドウ枠

53Proventia Network Intrusion Prevention System User Guide

第第第第 5 章章章章 : Proventia Manager の使用の使用の使用の使用

アイコンについてアイコンについてアイコンについてアイコンについて 次の表では、 作業中に Proventia Manager に表示されるアイコンについて説明します。

System [System] 領域では、 アプライアンスのさまざまな側面に関する情報の構

成および表示を行うことができます。 アプライアンスの監視に役立つユーザー アクセス、 ネッ トワーク アダプタ カード、 アラート、 および高

度なパラメータを設定することができます。 また、 重要なシステム ログ

の表示とダウンロード、 ライセンスの管理、 アプライアンスの再起動をこの領域から行うこともできます。

詳細については、 次のトピックを参照して く ださい。

• 「ローカル調整パラ メータの設定」 (141 ページ )

• 「システム設定の管理」 (155 ページ )

Statistics [Statistics] 領域では、 アプライアンスのアクティビティに関する重要な統

計値 ( プロテクシ ョ ン、 パケッ ト、 ド ライバの情報など ) を見ることがで

きます。

詳細については、 「統計値の表示」 (167 ページ ) を参照して ください。

Updates [Updates] 領域を使用して、 ネッ トワークに対する利用可能な 新のプロ

テクシ ョ ンを入手できるように、 アプライアンスのアップデートを設定および管理します。

詳細については、 「アプライアンスのアップデート」 (59 ページ ) を参照

して く ださい。

Support [Support] 領域には、 テクニカル サポートに関する問い合わせ先情報のほ

か、 アプライアンスに関する有益なリンクがあります。

詳細については、 「テクニカル サポートについて」 (xii ページ ) を参照し

て く ださい。

項目項目項目項目 表示または設定の内容表示または設定の内容表示または設定の内容表示または設定の内容

表表表表 22: 左側のナビゲーシ ョ ン ウィンドウ枠 ( 続き )

アイコンアイコンアイコンアイコン 説明説明説明説明

項目をリス トに追加するには、 このアイコンをクリ ッ クします。

リス ト内の項目を編集するには、 このアイコンをクリ ッ クします。

項目 (1 つまたは複数 ) をリストから削除するには、 このアイコンをクリ ックします。

標準的な [SHIFT] キー + クリ ッ ク、 または [CTRL] キー + クリ ックの方法を使用し

て、 リス ト内の隣接する ( または隣接しない ) 項目を選択することができます。

注記注記注記注記 : 削除アイコンをクリ ックしても項目がリス トから削除されない場合があります

が、 その場合でも項目は無効化されてデフォルト状態にリセッ ト されます。

表内の列によって項目をグループ化するには、 このアイコンをクリ ッ クします。

たとえば、 危険度別にセキュリティ イベン ト をグループ化することができます。 つ

まり、 高危険度、 中危険度、 低危険度のセキュリティ イベン トがそれぞれのグルー

プを持つこととなり、 イベン ト を検索しやすく なります。

表のグループ分けをデフォルト設定に戻すには、 このアイコンをクリ ッ クします。

ページに表示する列を選択するには、 このアイコンをクリ ッ クします。

表表表表 23: Proventia Manager のポリシー アイコン

54

Proventia Manager でのナビゲーシ ョ ンでのナビゲーシ ョ ンでのナビゲーシ ョ ンでのナビゲーシ ョ ン

保存アイコンについて保存アイコンについて保存アイコンについて保存アイコンについて Proventia Manager のある場所から別の場所に移動するたびに、 [Save Changes] ボタンをク リ ッ ク して変更内容を確実に適用する必要があ り ます。 別のページへ移動する前に情報を保存していない場合は、 情報を保存するよ うに促すメ ッセージが表示されます。 変更内容を保存しないで別のページに移動する場合は、 リ ンクをク リ ッ ク したと きに情報の保存を促されるこ とのないよ うに、[Cancel Changes] ボタンをク リ ッ ク してください。

リス ト内の項目をリス トの上に移動するには、 項目を選択してこのアイコンをクリ ックします。

リス ト内の項目をリス トの下に移動するには、 項目を選択してこのアイコンをクリ ックします。

リス ト内の項目をクリ ップボードにコピーするには、 項目を選択してこのアイコンをクリ ッ クします。

ヒン トヒン トヒン トヒン ト : 標準的な [SHIFT] キー + クリ ック、 または [CTRL] キー + ク リ ックの方法を

使用して、 リス ト内の隣接する ( または隣接しない ) 項目を選択することができます。

コピーした項目をクリ ップボードからリス トに貼り付けるには、 このアイコンをクリ ッ クします。 項目を貼り付けた後は、 それを編集することができます。

このアイコンがページまたはページ上のフ ィールドの横に表示された場合は、 必要なデータをフ ィールドに入力する必要があるか、 またはフ ィールドに入力したデータが無効です。

アイコンアイコンアイコンアイコン 説明説明説明説明

表表表表 23: Proventia Manager のポリシー アイコン ( 続き )

55Proventia Network Intrusion Prevention System User Guide

第第第第 5 章章章章 : Proventia Manager の使用の使用の使用の使用

ライセンスライセンスライセンスライセンス ファイルのインス トールファイルのインス トールファイルのインス トールファイルのインス トール

はじめにはじめにはじめにはじめに Proventia Network IPS アプライアンスには、 正し く設定されたライセンス ファ イルが必要です。 適切なライセンス キー ファ イルがインス トールされていないと、 アプライアンスを管理するこ とができません。

ハイ アベイラビ リ ティ構成のライセンスは、 HA アプライアンス以外のライセンス と同じものです。 アプライアンスはそれぞれ、 SiteProtector からライセンスを 1 つ要求します。

ライセンスを購入するには、 お近くの販売代理店までお問い合わせください。

次の手順でライセンス ファ イルをインス トールします。 これは、 アプライアンスを完全に機能させるために必要です。 インス トールでは、 Proventia Manager ソフ ト ウェアが特定して認識できる場所にライセンス ファ イル情報を保存する必要があ り ます。

前提条件前提条件前提条件前提条件 ライセンス ファ イルをインス トールする前に、 次の作業を完了して ください。

� ライセンスを登録する

� 販売代理店からライセンス キーを入手する

Licensing ページについページについページについページについ

てててて

[Licensing] ページには、 ライセンス ファ イルの現在のステータスに関する重要な情報 ( 有効期限など ) が表示されます。 さ らに、 このページから、 新ライセンスの入手方法に関する情報が記載された [License Information] ページにアクセスするこ とができます。

ライセンスライセンスライセンスライセンス ファイルのファイルのファイルのファイルの

インス トールインス トールインス トールインス トール

ライセンス ファ イルをインス トールするには :

1. Proventia Manager で、 [System] → [Local Tuning Parameters] の順に選択します。

2. [ 参照参照参照参照 ] をク リ ッ ク します。

3. ダウンロード したライセンス ファ イルを探します。

4. [OK] をク リ ッ ク します。

5. [Upload] をク リ ッ ク します。

56

Proventia Manager での作業での作業での作業での作業

Proventia Manager での作業での作業での作業での作業

はじめにはじめにはじめにはじめに Proventia Manager を開く と、 Home ページにアプライアンスの現状を示すスナップシ ョ ッ トが表示されます。 このページには、 次のよ う なナビゲーシ ョ ン、 情報、 およびレポートのオプシ ョ ンが含まれています。

� デバイス名 ( セッ ト アップ時に設定したアプライアンスのド メ イン名 )

� 防御ステータス

� システム ステータス

� 各モデルに関するアラート

� 重要なメ ッセージ

防御ステータスの表示防御ステータスの表示防御ステータスの表示防御ステータスの表示 [Protection Status] 領域では、 不正侵入防御コンポーネン トの現状が説明されています。 コンポーネン ト名を選択する と、 コンポーネン トのステータス ページにリ ンク します。

次のステータス アイコンは、 コンポーネン トの現在のステータスを示します。

システムシステムシステムシステム ステータスのステータスのステータスのステータスの

表示表示表示表示

Home ページの [System Status] グループ ボッ クスは、 システムの現在のステータスを示します。

次の表では、 [System Status] 領域で利用可能なデータについて説明します。

アイアイアイアイコンコンコンコン

説明説明説明説明

コンポーネン トがアクテ ィブであることを示します。

コンポーネン トが停止していることを示します。

コンポーネン トのステータスが不明であることを示します。 このステータスについては、直ちに対処する必要があります。

表表表表 24: 防御ステータスのアイコン

統計値統計値統計値統計値 説明説明説明説明

Model Number アプライアンスのモデル番号。

Base Version Number アプライアンス ソフ トウェアの基本バージ ョ ン。

íçãL: 基本バージョ ンとは、 アプライアンスに付属しているソフ ト

ウェア バージョ ンのこと、 または も新しいファームウェア アップ

デートのソフ トウェア バージョ ンのことです。

Uptime アプライアンスがオンラインになっている時間の長さ。 次の形式で表示されます。

x 日、 x 時、 x 分

Last Restart アプライアンスが 後に再起動された日時。 次の形式で表示されます。

yyyy-mm-dd hh:mm:ss

例例例例 : 2004-05-04 16:24:37

表表表表 25: システム ステータスの統計値

57Proventia Network Intrusion Prevention System User Guide

第第第第 5 章章章章 : Proventia Manager の使用の使用の使用の使用

重要なメ ッセージの表示重要なメ ッセージの表示重要なメ ッセージの表示重要なメ ッセージの表示 Home ページには、 ライセンス とアップデートに関する重要なメ ッセージが表示されます。 アップデート を自動的にダウンロードするよ うにアプライアンスを設定していないと、 メ ッセージ中に Proventia Manager の該当ページへのリ ンクが表示される場合があ り ます。

Last Firmware Update アプライアンス ファームウェアが 後にアップデート された日時。

次の形式で表示されます。

yyyy-mm-dd hh:mm:ss - version: x.x

例例例例 : 2004-05-04 16:25:56- version: 1.7

Last Intrusion Prevention Update

アプライアンスのセキュリテ ィ コンテンツが 後にアップデート さ

れた日時。 次の形式で表示されます。

yyyy-mm-dd hh:mm:ss - version: x.x

例例例例 : 2004-01-25 12:34:36 - version: 1.7

Last System Backup 後のシステム バックアップが作成された日時。 次の形式で表示さ

れます。

yyyy-mm-dd hh:mm:ss

例例例例 : 2004-05-04 15:49:01

Backup Description アプライアンス上のバックアップの種類。

• Factory Default ( 工場出荷時のデフォルト )

• Full System Backup ( 完全なシステム バックアップ )

統計値統計値統計値統計値 説明説明説明説明

表表表表 25: システム ステータスの統計値 ( 続き )

58

第第第第 6 章章章章

アプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデート

概要概要概要概要

はじめにはじめにはじめにはじめに この章では、 Proventia Manager を使用したアプライアンスのアップデート方法について説明します。 ファームウェアのアップデートやセキュ リティのアップデート、 データベースのアップデートを、 手動でダウンロード してインス トールするこ と も、 一部またはすべてのアップデート を指定時期に自動的にダウンロードおよびインス トールするよ うに設定するこ と もできます。

この章の内容この章の内容この章の内容この章の内容 この章では、 次のト ピッ クについて説明します。

ト ピックト ピックト ピックト ピック ページページページページ

アプライアンスのアップデート 60

アプライアンスの自動アップデート 62

手動によるアプライアンスのアップデート 65

アップデート ツールの使用 66

アップデートの高度なパラ メータの設定 67

59Proventia Network Intrusion Prevention System User Guide

第第第第 6 章章章章 : アプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデート

アプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデート

はじめにはじめにはじめにはじめに アプライアンスが常に 新のファームウェア アップデートおよび不正侵入防御アップデートがインス トールされた状態で動作するよ うにしてください。 アプライアンスは、 インターネッ ト を通じてアクセス可能な ISS のダウンロード ページからアップデート を取得します。

次の 2 通りの方法で、 アプライアンスをアップデートするこ とができます。

� 自動アップデート を設定する

� アップデート を手動で検索、 ダウンロード、 インス トールする

アップデートの種類アップデートの種類アップデートの種類アップデートの種類 次のよ うなアップデート をインス トールするこ とができます。

� ファームウェアのアップデートファームウェアのアップデートファームウェアのアップデートファームウェアのアップデート。 このアップデートには、 プログラム ファ イル、 修正または

パッチ、 拡張機能、 オンライン ヘルプのアップデートが含まれます。

� 不正侵入防御のアップデート不正侵入防御のアップデート不正侵入防御のアップデート不正侵入防御のアップデート。 このアップデートには、 ISS X-Force によって提供された 新

のセキュ リ ティ コンテンツが含まれます。

アップデートは、 [Updates to Download] ページで検索するこ とができます。 また、 アップデートの自動的なダウンロード と インス トールを [Automatic Update Settings] ページでスケジューリ ングするこ と もできます。

注記注記注記注記 : 一部のファームウェア アップデートでは、 アプライアンスの再起動が必要です。 製品の問

題とアップデートの詳細については、 ISS のダウンロード ページ (http://www.iss.net/download/) にある 「Proventia Network Intrusion Prevention System (IPS) Readme」 を参照してくださ

い。

利用可能なアップデート利用可能なアップデート利用可能なアップデート利用可能なアップデートの検索の検索の検索の検索

[Update Status] ページの [Find Updates] ボタンをク リ ッ クする と、 アプライアンスは次のものをチェッ ク します。

� アプライアンスへ既にダウンロード され、 インス トールの準備ができたアップデート

� ISS のダウンロード ページからダウンロード可能なアップデート

ダウンロードまたはインス トールの対象となるアップデートが見つかった場合は、該当するページ ([Download Updates] ページまたは [Install Updates] ページ ) へのリ ンクを含むメ ッセージが表示されます。

アップデートアップデートアップデートアップデート パッケーパッケーパッケーパッケー

ジとロールバックジとロールバックジとロールバックジとロールバック

ロールバッ クを行う と、 アプライアンスにインス トールされている 新の不正侵入防御のアップデートが削除されます。 ファームウェア アップデートはロールバッ クできません。

注記注記注記注記 : ファームウェア アップデート をインス トールする前に、 完全なシステム バッ クアップを作

成しておく こ とをお勧めします。 ファームウェアの自動アップデート を有効にした場合は、[Perform Full System Backup Before Installation] オプシ ョ ンを有効にする必要があ り ます。

アップデートがインス トールされる と、 アップデート パッケージは削除されるので、 ダウンロード されたパッケージはアプライアンスに存在しなくなり ます。 アップデート をロールバッ クすると、 次回にアップデートが入手可能になったと きや次回の自動アップデート時に、 アップデートのダウンロード と インス トールを行えるよ うになり ます。

SiteProtector による管による管による管による管

理理理理

SiteProtector を使用してアプライアンスを管理する場合は、 アプライアンスが SiteProtector Agent Manager に登録されている間にアップデート をインス トールするこ とができます。 また、 利用可能なアップデートのダウンロード と インス トールに SiteProtector X-Press Update Server を使用するよ うに設定するこ と もできます。

60

アプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデート

次のよ うな場合には、 X-Press Update Server の使用を検討してください。

� 多数のアプライアンスを配置してある場合は、 帯域幅を節約するこ とができます。 各アプライ

アンスが個別に ISS ダウンロード センターから同一のアップデート をダウンロード して帯域

幅を消費するのとは対照的に、 1 つの Update Server にアップデート を要求するこ とができま

す。

� よ り安全な環境でのアップデートのダウンロードを希望し、 アップデート ダウンロードのた

めのインターネッ ト アクセスをすべてのアプライアンスには許可したくない場合は、 Update Server にアップデート を要求するこ とができます。 この場合、 インターネッ ト接続が必要なの

は Update Server だけです。

X-Press Update Server の設定については、 SiteProtector のマニュアルまたはオンライン ヘルプを参照して ください。

Virtual Patch™ 技術技術技術技術 自動セキュ リ ティ アップデートは、 Virtual Patch ( バーチャル パッチ ) 技術を使用して ISS X-Force から提供されます。 バーチャル パッチ プロセスは、 脆弱性が発見されてからセキュ リ ティ パッチが手動で適用されるまでの間、 攻撃からシステムを守り ます。

バーチャル パッチは、 ISS の Dynamic Threat Protection プラ ッ ト フォームの重要なコンポーネン トです。 脆弱性検出、 不正侵入防御、 管理、 および高度な相関ツールの機能を組み合わせるこ とで、既知および未知の脅威に対するシステム全体の不正侵入防御能力について統一的見解を得るこ とができます。

ダウンロードに関する問ダウンロードに関する問ダウンロードに関する問ダウンロードに関する問題点のト ラブルシュー題点のト ラブルシュー題点のト ラブルシュー題点のト ラブルシューテ ィングテ ィングテ ィングテ ィング

ファームウェア アップデートの適用後に Proventia Manager で問題が発生した場合は、 次の手順を試して ください。

1. Web ブラウザを閉じます。

2. Java キャ ッシュをク リ アします。

3. Web ブラウザを再起動し、 Proventia Manager にログオンします。

Java キャ ッシュのク リ アの詳細については、 お使いのオペレーティング システムのマニュアルを参照して ください。

61Proventia Network Intrusion Prevention System User Guide

第第第第 6 章章章章 : アプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデート

アプライアンスの自動アップデートアプライアンスの自動アップデートアプライアンスの自動アップデートアプライアンスの自動アップデート

はじめにはじめにはじめにはじめに [Update Settings] ページを使用して、 アップデート を自動的にチェッ ク してインス トールするよ うにアプライアンスを設定します。 次の設定を定義して、 アプライアンスの自動アップデート を設定します。

� アップデート をチェッ クする時期

� セキュ リ ティ アップデートのダウンロード と インス トールの時期

� ファームウェア アップデート をダウンロードする時期

� ファームウェア アップデートのインス トール方法と インス トール時期

� インス トールするファームウェア アップデートのバージ ョ ン

注記注記注記注記 : ファームウェア アップデート をインス トールする と きに、 一時的にアプライアンス と リ ン

クできな くなる場合があ り ます。

例例例例 毎日午前 3 時にアップデート をチェッ クするよ うにアプライアンスを設定する と します。 何かしらのアップデート ( ファームウェアまたはセキュ リティのアップデート ) がある場合には、 すべてのアップデート をダウンロード し、 セキュ リ ティ アップデート をすぐにインス トールするよ うにしたいと考えています。 終手順と しては、 午前 5 時にシステム バッ クアップを自動的に行い、 利用可能なファームウェア アップデート をインス トールしたいと考えています。

次の表では、 このよ う な設定を反映したアプライアンスのアップデート プロセスについて説明します。

段階段階段階段階 説明説明説明説明

1 午前 3 時、 アプライアンスがアップデートの有無について ISS のダウンロード ページをチェ ックします。

2 アプライアンスがセキュリテ ィ とファームウェアのアップデート をダウンロード します。

3 アプライアンスが、 セキュリテ ィのアップデートを直ちにインストールします。

4 午前 5 時 5 分、 アプライアンスは次の作業を行います。

• 再起動し、 システム バックアップを作成する

• ファームウェアのアップデートをインストールし、 必要であれば再起動する

表表表表 26: アップデート プロセスの例

62

アプライアンスの自動アップデートアプライアンスの自動アップデートアプライアンスの自動アップデートアプライアンスの自動アップデート

手順手順手順手順 アプライアンスを自動的にアップデートするには :

1. [Update Settings] ページで、 次の表に示す設定を指定または変更します。

セクシ ョ ンセクシ ョ ンセクシ ョ ンセクシ ョ ン 設定設定設定設定 説明説明説明説明

Automatically Check For Updates

Check for updates daily or weekly

このオプシ ョ ンを有効にする場合は、 アップデートのチェ ックを行う曜日と時刻を [Day of Week] と [Time of Day] で選択します。

注記注記注記注記 : スケジューリング済みの自動アップデートの少な く

とも 1 時間前にアップデートをチェ ッ クするようにアプ

ライアンスを設定し、 必要なアップデートがすべて確実にダウンロード されるようにします。

Check for updates at given intervals

一日に何度かアップデート をチェ ックします。 [Interval (minutes)] ボックスに値を入力するか、 スライ ド バーを

使用して値を選択します。

小期間は 60 分、 大値は 1440 分です。

Security Updates

Automatically Download

セキュリテ ィ アップデートを自動的にダウンロード しま

す。

Automatically Install

セキュリテ ィ アップデートを自動的にインストールしま

す。

Firmware Updates

Automatically Download

ファームウェア アップデートを自動的にダウンロード し

ます。

Firmware Updates - Install Options

Perform Full System Backup Before Installation

アプライアンスがアップデートのインストール前に再起動し、 完全なシステム バックアップを行えるようにしま

す。

注記注記注記注記 : アプライアンスがバックアップを行うたびに、 それ

までのシステム バックアップが上書きされます。

Do Not Install ファームウェア アップデートをダウンロードするけれど

も、 インストールはしません。

詳細については、 「手動によるアプライアンスのアップデート」 (65 ページ ) を参照して く ださい。

Automatically Install Updates

ファームウェア アップデートを自動的にインストールし

ます。

注記注記注記注記 : アプライアンスがアップデートを自動的にインス

トールする場合には、 数分間オフラインになる可能性があります。

Firmware Updates - When To Install

Delayed 指定の曜日 (Day Of Week) と時刻 (Time Of Day) にアッ

プデート をインストールします。

注記注記注記注記 : アプライアンスがアップデートの自動ダウンロード

を完了した少な く とも 1 分後には自動インストールが発

生するように設定する必要があります。

Immediately 新しいアップデートがダウンロード されたらすぐにインストールします。

重要重要重要重要 : このオプシ ョ ンはお薦めしません。

Schedule One Time Install

指定の日付 (Date) と時刻 (Time) にアップデートを一度だ

けインストールします。

63Proventia Network Intrusion Prevention System User Guide

第第第第 6 章章章章 : アプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデート

2. 変更内容を保存します。

Firmware Updates - Which Version To Install

All Available Updates

新バージョ ンを含むすべてのアップデート バージョ ン

をインストールします。

Up To Specific Version

指定した特定のバージ ョ ン (Version) 番号までのバージ ョ

ンをすべてインストールします。

セクシ ョ ンセクシ ョ ンセクシ ョ ンセクシ ョ ン 設定設定設定設定 説明説明説明説明

64

手動によるアプライアンスのアップデート手動によるアプライアンスのアップデート手動によるアプライアンスのアップデート手動によるアプライアンスのアップデート

手動によるアプライアンスのアップデート手動によるアプライアンスのアップデート手動によるアプライアンスのアップデート手動によるアプライアンスのアップデート

はじめにはじめにはじめにはじめに アプライアンスに対して自動アップデートが設定されていない場合、 または利用可能なアップデート をスケジュール外でインス トールしたい場合は、 アップデート を手動で検索してインス トールするこ とができます。 アプライアンスを手動でアップデートするには、 次の作業を行う必要があ り ます。

� 利用可能なアップデートの検索とダウンロード

� アップデートのインス トール

注記注記注記注記 : ファームウェア アップデート をインス トールする と きに、 一時的にアプライアンス と リ ン

クできな くなる場合があ り ます。

利用可能なアップデート利用可能なアップデート利用可能なアップデート利用可能なアップデートの検索とダウンロードの検索とダウンロードの検索とダウンロードの検索とダウンロード

利用可能なアップデート を検索してダウンロードするには :

1. Proventia Manager で、 [Updates] → [Available Downloads] の順に選択します。

2. アプライアンス モデルによっては、 [Export Administration] ウ ィンド ウが表示されます。

輸出契約を見直し、 [Yes] を選択してから [Submit] をク リ ッ ク します。

3. アップデートが利用可能であれば、 [Updates To Download] ウ ィンド ウが表示され、 次のメ ッ

セージが表示されます。 「There are updates available.Click here to see details.」

メ ッセージ内のリ ンクをク リ ッ ク します。

4. [Updates to Download] ページで、 [Download All Available Updates] をク リ ッ ク します。

アップデートのインスアップデートのインスアップデートのインスアップデートのインストールトールトールトール

アップデート をインス トールするには :

1. Proventia Manager で、 [Updates] → [Available Installs] の順に選択します。

2. アプライアンス モデルによっては、 [Export Administration Regulation] ウ ィンド ウが表示されま

す。

輸出契約を見直し、 [Yes] を選択してから [Submit] をク リ ッ ク します。

3. [Available Installs] ページでインス トールするアップデート を選択し、 [Install Updates] をク

リ ッ ク します。

注記注記注記注記 : 一部のファームウェア アップデートでは、 アプライアンスの再起動が必要です。 各

ファームウェア アップデートの詳細については、 ISS のダウンロード ページ (http://www.iss.net/download/) にある 「Proventia Network Intrusion Prevention System Readme」 を

確認して ください。

4. [Update Status] ページの [Update History] 表で、 インス トールのステータスを確認します。

65Proventia Network Intrusion Prevention System User Guide

第第第第 6 章章章章 : アプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデート

アップデートアップデートアップデートアップデート ツールの使用ツールの使用ツールの使用ツールの使用

はじめにはじめにはじめにはじめに [Update Tools] ページを使用して、 アップデートの検索またはロールバッ クを行います。 ロールバッ クを行う と、 アプライアンスにインス トールされている 新のアップデートが削除されます。ファームウェア アップデートはロールバッ クできません。

累積アップデート とロー累積アップデート とロー累積アップデート とロー累積アップデート とロールバックルバックルバックルバック

XPU アップデートは累積的です。 次の例では、 累積アップデート をロールバッ クする場合のアプライアンス動作について説明します。

例例例例

バージ ョ ン 1.1 をインス トールし、 バージ ョ ン 1.2 はインス トールせずにバージ ョ ン 1.3 をインストールする と、 バージ ョ ン 1.2 はバージ ョ ン 1.3 と と もにインス トールされます。

ただし、 バージ ョ ン 1.3 からロールバッ ク しても、 アプライアンスはバージ ョ ン 1.2 にロールバック しません。 後に適用されたアップデートのロールバッ クを行う と、 バージ ョ ン 1.1 に戻り ます。

アップデートアップデートアップデートアップデート パッケーパッケーパッケーパッケー

ジとロールバックジとロールバックジとロールバックジとロールバック

アップデートがインス トールされる と、 アップデート パッケージは削除されるので、 ダウンロード されたパッケージはアプライアンスに存在しなくなり ます。 アップデート をロールバッ クすると、 次回にアップデートが見つかったと きや次回の自動アップデート時に、 当該アップデートはダウンロードおよびインス トールが可能である と表示されます。 詳細については、 「アプライアンスの自動アップデート 」 (62 ページ ) を参照してください。

利用可能なアップデート利用可能なアップデート利用可能なアップデート利用可能なアップデートの検索の検索の検索の検索

利用可能なアップデート を検索するには :

1. Proventia Manager で、 [Updates] → [Tools] の順に選択します。

2. [Find Updates] をク リ ッ ク します。

3. ダウンロードまたはインス トールの対象となるアップデートが見つかった場合は、 [Available Downloads] ページまたは [Available Installs] ページへのリ ンクを含むメ ッセージが表示されま

す。

適切な リ ンクをク リ ッ ク して、 新アップデートのダウンロードまたはインス トールを行います。

アップデートのロールアップデートのロールアップデートのロールアップデートのロールバックバックバックバック

アップデート をロールバッ クするには :

1. Proventia Manager で、 [Updates] → [Tools] の順に選択します。

2. [Rollback Last Intrusion Prevention Update] をク リ ッ ク し、 [OK] をク リ ッ ク します。

3. [F5] キーを押してページを更新し、 ロールバッ クの進行状況を確認します。

66

アップデートの高度なパラメータの設定アップデートの高度なパラメータの設定アップデートの高度なパラメータの設定アップデートの高度なパラメータの設定

アップデートの高度なパラ メータの設定アップデートの高度なパラ メータの設定アップデートの高度なパラ メータの設定アップデートの高度なパラ メータの設定

はじめにはじめにはじめにはじめに [Update Settings] ページの [Advanced Parameters] タブを使用して、 アップデート設定を調整します。

高度なパラメータについ高度なパラメータについ高度なパラメータについ高度なパラメータについてててて

高度なパラ メータは、 名前と値のペアで構成されています。 各ペアには、 デフォルト値が設定されています。

たとえば、 np.firewall.log とい うパラ メータは、 有効にしてあるファ イアウォール ルールと一致するパケッ トの詳細を記録するかど うかを決定するパラ メータです。 このパラ メータは、 デフォルトで有効になっています。

[Advanced Parameters] タブの表に表示されているパラ メータの値を、 編集するこ とができます。 パラ メータがリ ス トに表示されていない場合は、 そのパラ メータにデフォルト値がないこ とを意味します。 表示するには、 パラ メータを新しい値と共に追加すればよいだけです。

高度なパラメータのアッ高度なパラメータのアッ高度なパラメータのアッ高度なパラメータのアップデートプデートプデートプデート

アプライアンスには、 事前定義されたアップデートの高度なパラ メータ ( 表 27) が含まれています。

注記注記注記注記 : Proventia Manager からアプライアンスを管理している場合は、 [Update Settings] ページの [Advanced Parameters] タブには 初の 2 つのパラ メータだけが表示されます。 SiteProtector による管

理を有効にしてある場合は、 SiteProtector の Update Server との通信に関するその他のデフォルト パラ メータを設定するこ とができます。

パラ メータパラ メータパラ メータパラ メータ タイプタイプタイプタイプ デフォルト値デフォルト値デフォルト値デフォルト値 説明説明説明説明

Update.disable.remote.discovery Boolean ( ブーリ

アン )

False アプライアンスがインターネッ ト上でアップデートを探すかどうかを指定します。

Update.preserve.update.files Boolean ( ブーリ

アン )

False 正常にインス トールされたらアップデート ファイルを

削除するかどうかを指定します。

Update.certificate.file String (文字列 )

etc/httpd/conf/ss.crt/ca-bundle.crt

Update Server に接続すると

きに使用する SSL Cert Authority ファイルを指定し

ます。

Update.proxy.auth Boolean ( ブーリ

アン )

False Update Server に接続すると

きの HTTP プロキシ サー

バー使用を許可します。

Update.proxy.enable Boolean ( ブーリ

アン )

False Update Server に接続すると

きの HTTP プロキシ サー

バー使用を有効にします。

Update.proxy.password String (文字列 )

なし Update Server に接続する場

合の HTTP プロキシ サー

バーへのパスワードを指定します。

Update.proxy.port Number ( 数値 )

なし Update Server に接続する場

合の HTTP プロキシ サー

バーのポート番号を指定します。

表表表表 27: アップデートの高度なパラメータ

67Proventia Network Intrusion Prevention System User Guide

第第第第 6 章章章章 : アプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデート

アップデートの高度なパアップデートの高度なパアップデートの高度なパアップデートの高度なパラメータの追加ラメータの追加ラメータの追加ラメータの追加

アップデートの高度なパラ メータを追加するには :

1. [Update Settings] を選択します。

2. 必要であれば輸出契約を見直し、 [Yes] を選択してから [Submit] をク リ ッ ク します。

3. [Advanced Parameters] タブを選択します。

4. [Add] をク リ ッ ク します。

5. 次の表のよ うに、 設定を完了します。

6. [OK] をク リ ッ ク します。

7. 変更内容を保存します。

Update.source.url String (文字列 )

https://www.iss.net/XPU

アプライアンスがインターネッ トに接続してない場合は、「https//:< アップ

デート サーバーの IP アドレスまたは

名前 >:3994/xpu」 (名前では大文字と小文字が区別される ) を使用します。

Update Server のアドレスを

指定します。

Update.proxy.user String (文字列 )

なし Update Server に接続する場

合の HTTP プロキシ サー

バーへのユーザー名を指定します。

パラ メータパラ メータパラ メータパラ メータ タイプタイプタイプタイプ デフォルト値デフォルト値デフォルト値デフォルト値 説明説明説明説明

表表表表 27: アップデートの高度なパラメータ

設定設定設定設定 説明説明説明説明

Name パラメータ用の固有のファイル名を入力します。

Comment パラメータ用の固有の説明を入力します。

Value 次のいずれかの値を選択します。

• Boolean - [Enabled] チェ ック ボックスをオンにして値を True に設定するか、 オフにして値を False に設定します。

• Number - このオプシ ョ ンをオンにしたら、 [Value] に数値を

入力します。

• String - このオプシ ョ ンをオンにしたら、 [Value] に関連する

テキスト文字列を入力します。

68

アップデートの高度なパラメータの設定アップデートの高度なパラメータの設定アップデートの高度なパラメータの設定アップデートの高度なパラメータの設定

アップデートの高度なパアップデートの高度なパアップデートの高度なパアップデートの高度なパラメータの作業ラメータの作業ラメータの作業ラメータの作業

アップデートの高度なパラ メータを編集、 コピー、 または削除するには :

1. [Update Settings] を選択します。

2. [Advanced Parameters] タブを選択し、 次のいずれかを行います。

3. 変更内容を保存します。

実行内容実行内容実行内容実行内容 手順手順手順手順

編集 ヒン トヒン トヒン トヒン ト : 変更したい項目を [Advanced Parameters] タブでダブ

ルクリ ックすることで、 一部のプロパティを直接編集することができます。

1. パラ メータを選択し、 編集編集編集編集のアイコン ( ) をクリ ッ クし

ます。

2. [Enabled] チェ ック ボックスをオンまたはオフにします。

3. このパラ メータを編集し、 [OK] をクリ ックします。

コピー 1. パラ メータを選択し、 コピーコピーコピーコピーのアイコン ( ) をクリ ッ ク

します。

2. 貼り付け貼り付け貼り付け貼り付けのアイコン ( ) をクリ ックします。

3. 必要に応じてパラ メータを編集し、 [OK] をクリ ックしま

す。

削除 1. パラ メータを選択します。

2. 削除削除削除削除のアイコン ( ) をクリ ックします。

69Proventia Network Intrusion Prevention System User Guide

第第第第 6 章章章章 : アプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデートアプライアンスのアップデート

70

第第第第 7 章章章章

SiteProtector を通じたアプライアンスのを通じたアプライアンスのを通じたアプライアンスのを通じたアプライアンスの

管理管理管理管理

概要概要概要概要

はじめにはじめにはじめにはじめに この章では、 SiteProtector Console を通じて管理できるよ うにアプライアンスを設定する方法について説明します。

この章の内容この章の内容この章の内容この章の内容 この章では、 次のト ピッ クについて説明します。

ト ピックト ピックト ピックト ピック ページページページページ

SiteProtector による管理 72

SiteProtector による管理の設定 74

SiteProtector でのナビゲーシ ョ ン 77

71Proventia Network Intrusion Prevention System User Guide

第第第第 7 章章章章 : SiteProtector を通じたアプライアンスの管理を通じたアプライアンスの管理を通じたアプライアンスの管理を通じたアプライアンスの管理

SiteProtector による管理による管理による管理による管理

はじめにはじめにはじめにはじめに SiteProtector は、 ISS のマネージメン ト コンソールです。 SiteProtector を使用して、 コンポーネン トとアプライアンスの管理、 イベン トの監視、 レポートのスケジューリ ングを行う こ とができます。アプライアンスは Proventia Manager を通じて管理するよ うにデフォルト設定されていますが、 アプライアンスのグループを別のセンサーと共に管理している場合は、 SiteProtector の中央管理機能を使った方がよい場合があ り ます。

SiteProtector による管による管による管による管

理の対象理の対象理の対象理の対象

アプライアンスを SiteProtector に登録する と、 SiteProtector はアプライアンスの次の管理機能を制御します。

� ファ イアウォール設定

� 不正侵入防御設定

� アラート イベン ト

こ こに挙げる機能の設定を変更するには、 SiteProtector を使用する必要があ り ます。

アップデート と インス トールの設定は、 Proventia Manager または SiteProtector で管理するこ とができます。

注記注記注記注記 : アプライアンスを SiteProtector に登録した場合は、 Proventia Manager の一部の領域が読み取

り専用とな り ます。 アプライアンスを SiteProtector から登録解除した場合は、 Proventia Manager の機能を再びすべて使用できるよ うになり ます。

Proventia Manager にににによる管理の対象よる管理の対象よる管理の対象よる管理の対象

次のローカル機能については、 アプライアンスが SiteProtector に登録されている場合でも、 直接アプライアンスで管理を行う必要があ り ます。

� SiteProtector による管理の有効化または無効化

� 検疫済み不正侵入の表示

� 検疫ルールの削除

� 手動によるアップデート

SiteProtector Agent Manager の機能の機能の機能の機能

SiteProtector による管理を有効にする場合は、 アプライアンスを Agent Manager に割り当てます。Agent Manager は、 SiteProtector に登録されたさまざまなエージェン トおよびアプライアンスのコマンド アンド コン ト ロール アクティ ビティを管理し、 アプライアンスから受信する リアルタイムのイベン ト を管理する Event Collector へのデータ送信を助けます。

Agent Manager はまた、 ポ リシー サブスク リプシ ョ ン グループに基づいて、 任意のポ リシー アップデート をアプライアンスへ送信します。 ポ リシー サブスク リプシ ョ ン グループは、 1 つのポ リシーを共有する一連のエージェン ト またはアプライアンスです。 そのため、 SiteProtector にアプライアンスを登録する前に、 アプライアンスが所属するグループを決定する必要があ り ます。 終的には、 グループのポリ シーがアプライアンス と共有されます。

Agent Manager の詳細については、 SiteProtector のマニュアルまたはオンライン ヘルプを参照してください。

SiteProtector による管による管による管による管

理の機能理の機能理の機能理の機能

アプライアンスを SiteProtector に登録したと きに、 アプライアンスが 初のハート ビート を Agent Manager へ送信し、 自分の存在を知らせます。 ハート ビートは、 アプライアンスが自分がまだ実行中であるこ と、 また Agent Manager からのアップデート受け取り を許可しているこ とを示すために使用する、 暗号化された定期的な HTTP 要求です。 アプライアンスを SiteProtector に登録する と きに、 ハート ビート送信間隔 ( 秒単位 ) を指定します。

Agent Manager は、 ハート ビート を受信する と、 登録時に指定したグループにアプライアンスを配置します。 グループを指定していない場合は、 SiteProtector のバージ ョ ンに基づいて、 デフォルト

72

SiteProtector による管理による管理による管理による管理

グループである 「G-Series」 または 「Network IPS」 に配置されます。 アプライアンスを登録する ときにグループ ボッ クスをオフにする と、 アプライアンスは 「Ungrouped Assets」 に配置されます。

ローカルのアプライアンス設定がグループ設定よ り優先されるよ うに指定してある場合は、 初のハート ビートが送信されたと きにローカル設定が維持されます。 ローカルのアプライアンス設定がグループ設定よ り優先されるよ うに指定されていない場合は、 グループのポ リシー設定が定義されていなくても、 Agent Manager によってグループのポ リシー ファ イルがアプライアンスへ直ちに「適用」 されます。 たとえば、 アプライアンス上でファイアウォール ルールを設定してあ り、 ファイアウォール ルールが定義されていないグループにアプライアンスを登録した場合は、 グループ ポリシーがローカル ポ リシーに優先され、 アプライアンスのファイアウォール ルールは有効ではなくな り ます。

2 回目以降のハート ビートでは、 Agent Manager がグループ ポ リシーをアプライアンスへ 「適用」します。 ただし、 一部のローカルのアプライアンス設定は、 SiteProtector を通じて変更するこ とができます。 特定のアプライアンス上で変更したローカルのポ リシー設定は、 そのアプライアンス上に限ってグループのポリ シー設定よ り優先されます。 グループ内のその他アプライアンスについては、 グループのポリ シー設定が引き続き有効です。

SiteProtector でのアプでのアプでのアプでのアプ

ライアンスライアンスライアンスライアンス アップデーアップデーアップデーアップデー

トの機能トの機能トの機能トの機能

アプライアンスを SiteProtector に登録したら、 アプライアンスが 大限のパフォーマンスを得るように、 また 新のファームウェア、 セキュ リ ティ コンテンツ、 およびデータベースを確実に実行するよ うに、 アプライアンスを定期的にアップデートする必要があ り ます。 データベースの自動アップデート、 セキュ リ ティ コンテンツの自動アップデート、 ファームウェア アップデートの自動ダウンロードおよびインス トールをスケジューリ ングするこ とをお勧めします。

注記注記注記注記 : アプライアンスが SiteProtector に登録されている場合でも、 Proventia Manager でファーム

ウェア アップデート をダウンロード してインス トールするこ とができます。

[Update Settings] ページを使用して、 次の自動アップデート オプシ ョ ンをスケジューリ ングして ください。

� ファームウェア アップデートのダウンロードおよびインス トール

� セキュ リ ティ コンテンツ アップデートのダウンロードおよびインス トール

� データベースのアップデート

SiteProtector でのアプでのアプでのアプでのアプ

ライアンスライアンスライアンスライアンス イベン トのイベン トのイベン トのイベン トの

処理処理処理処理

アラート を生成して SiteProtector へ送信するよ うに、 イベン ト を指定するこ とができます。 イベントが発生する と、 アプライアンスは SiteProtector にアラート を送信します。 このアラートに含まれるイベン ト情報を使用して、 有用なレポート を作成するこ とができます。 これらのアラートが記録されるよ うに設定されている場合は、 SiteProtector に送信されたアラートは Proventia Manager のアラート イベン ト ログ ページにそのまま表示されます。

SiteProtector による管による管による管による管

理のオプシ ョ ン理のオプシ ョ ン理のオプシ ョ ン理のオプシ ョ ン

アプライアンスを SiteProtector グループに登録する と、 次の作業を行う こ とができます。

� アプライアンスがセンサー グループの設定を継承できるよ うにする

� グループ設定に関係なくアプライアンスが個別の設定を維持できるよ うに、 SiteProtector 内で

グループ内の 単一アプライアンスの設定の一部またはすべてを単独で管理する

73Proventia Network Intrusion Prevention System User Guide

第第第第 7 章章章章 : SiteProtector を通じたアプライアンスの管理を通じたアプライアンスの管理を通じたアプライアンスの管理を通じたアプライアンスの管理

SiteProtector による管理の設定による管理の設定による管理の設定による管理の設定

はじめにはじめにはじめにはじめに SiteProtector による管理を有効にする と、 次の作業が自動的に行われます。

� アプライアンスを SiteProtector に登録する

� 指定の SiteProtector グループにアプライアンスを置く

� 指定の Agent Manager へレポートするよ うにアプライアンスへ指示する

Proventia Manager の [Management] ページを使用して、 アプライアンスに対する SiteProtector による管理を設定して有効にします。

アプライアンスを登録したら、 Proventia Network IPS のライセンス ファ イルを SiteProtector に追加する必要があ り ます。 こ うするこ とで、 SiteProtector を通じてアップデート を適用できるよ うになり ます。 エージェン トおよびアプライアンスのライセンス ファ イルの追加に関する詳細については、 SiteProtector のマニュアルを参照して ください。

重要重要重要重要 : SiteProtector でアプライアンスを管理するには、 SiteProtector バージ ョ ン 2.0 Service Pack 5 以降が動作している必要があ り ます。

アプライアンスを登録すアプライアンスを登録すアプライアンスを登録すアプライアンスを登録する前にる前にる前にる前に

SiteProtector にアプライアンスを登録する前に、 次の作業を行う こ とをお勧めします。

� アプライアンスの割り当て先となる SiteProtector センサー グループの名前を確認する

� アプライアンス と と もに使用する各 SiteProtector Agent Manager の IP アドレス とポート を確認

する

� アプライアンスに 新のファームウェア アップデートがインス トールされているこ とを確認

する

アプライアンスを SiteProtector から登録解除しな くても、 アプライアンスへのファームウェア アップデートの自動ダウンロードおよびインス トールをスケジューリ ングするこ とができます。

参照参照参照参照 : 詳細については、 「アプライアンスのアップデート 」 (59 ページ ) を参照して ください。

SiteProtector による管による管による管による管

理の設定理の設定理の設定理の設定

SiteProtector による管理の設定

1. Proventia Manager で、 [System] → [Management] の順に選択します。

2. 次の表のよ うに、 設定を完了または設定します。

設定設定設定設定 説明説明説明説明

Register with SiteProtector アプライアンスを SiteProtector に登録するには、 このチェ ッ

ク ボックスをオンにします。

Local Settings Override SiteProtector Group Settings

初のハートビートで設定したローカル設定を維持させるには、 このオプシ ョ ンをオンにします。

このオプシ ョ ンをオンにしなかった場合、 アプライアンスは、初のハートビートで指定した SiteProtector グループの設定

を継承します。

注記注記注記注記 : 2 回目以降のハートビートでは、 グループ レベルで変

更したポリシー設定がアプライアンスに送信されます。

74

SiteProtector による管理の設定による管理の設定による管理の設定による管理の設定

3. [Save Changes] をク リ ッ ク します。

4. アプライアンス と通信させる Agent Manager (1 つまたは複数 ) を追加します。 「Agent Manager の設定」 を参照してください。

Agent Manager の設定の設定の設定の設定 Agent Manager を設定するには :

1. Proventia Manager で、 [System] → [Management] の順に選択します。

2. SiteProtector への登録を有効にしてあるこ とを確認して ください。

3. [Agent Manager Configuration] 領域で、 [Add] をク リ ッ ク します。

4. 次の表のよ うに、 設定を完了または設定します。

Desired SiteProtector Group for Sensor

アプライアンスを所属させる SiteProtector グループの名前を

入力します。 グループを指定していない場合、 アプライアンスはデフォルトの 「G-Series」 または 「Network IPS」 グルー

プに追加されます。

重要重要重要重要 : Proventia Network IPS または G シリーズ アプライアン

スだけを含むグループにアプライアンスを割り当てて く ださい。

Heartbeat Interval (secs) SiteProtector へハートビート を送信するまでにアプライアン

スが待機する秒数を入力します。

注記注記注記注記 : この値は 300 ～ 86,400 秒として く ださい。

設定設定設定設定 説明説明説明説明

設定設定設定設定 説明説明説明説明

Authentication Level リストからオプシ ョ ンを選択します。

注記注記注記注記 : デフォルト オプシ ョ ンである [first-time-trust] の承諾を

お薦めします。

Agent Manager Name Agent Manager 名を、 SiteProtector で表示されるとおりに入

力します。

この設定では、 大文字と小文字が区別されます。

Agent Manager Address Agent Manager の IP アドレスを入力します。

Agent Manager Port デフォルト値の 3995 を承認します。

注記注記注記注記 : 新し くポート番号を入力することもできますが、 新規

ポート番号も Agent Manager 上でローカルに設定して く ださ

い。

User Name Agent Manager へアクセスするためにアカウン トへのログイ

ンが必要な場合は、 当該アカウン トのユーザー名を入力します。

注記注記注記注記 : アカウン トのユーザー名は、 Agent Manager 上で設定

されます。

User Password [Set Password] をクリ ックし、 パスワードを確認してから [OK] をクリ ックします。

Use Proxy Settings アプライアンスが Agent Manager へアクセスするためにプロ

キシを通過する必要のある場合は、 [Use Proxy Settings] チェ ック ボックスをオンにし、 [Proxy Server Address] と [Proxy Server Port] を入力します。

75Proventia Network Intrusion Prevention System User Guide

第第第第 7 章章章章 : SiteProtector を通じたアプライアンスの管理を通じたアプライアンスの管理を通じたアプライアンスの管理を通じたアプライアンスの管理

5. [OK] をク リ ッ ク します。

6. [Save Changes] をク リ ッ ク します。

登録成功の確認登録成功の確認登録成功の確認登録成功の確認 アプライアンスが SiteProtector に正し く登録されたかど うか確認するには :

1. SiteProtector Console を開きます。

2. 左ウ ィンド ウ枠で、 アプライアンスを追加したグループを選択します。

注記注記注記注記 : アプライアンス登録時にグループを指定しなかった場合は、 SiteProtector のバージ ョ ン

に基づいて、 デフォルト グループである 「G-Series」 または 「Network IPS」 に配置されます。

デフォルト グループの選択を解除した場合は、 [Ungrouped Assets] 内に表示されます。

3. [Sensor] タブまたは [Agent] タブを選択します。

アプライアンスが [Sensor] タブに表示され、 ステータスは 「Active」 と表示されます。

SiteProtector による管による管による管による管

理の無効化理の無効化理の無効化理の無効化

SiteProtector による管理を無効にするには :

1. Proventia Manager で、 [System] [Management] の順に選択します。

2. [Register with SiteProtector] チェッ ク ボッ クスをオフにします。

3. [Save Changes] をク リ ッ ク します。

76

SiteProtector でのナビゲーシ ョ ンでのナビゲーシ ョ ンでのナビゲーシ ョ ンでのナビゲーシ ョ ン

SiteProtector でのナビゲーシ ョ ンでのナビゲーシ ョ ンでのナビゲーシ ョ ンでのナビゲーシ ョ ン

はじめにはじめにはじめにはじめに SiteProtector を使用してアプライアンスを管理する予定である場合は、 アプライアンスの現在の IPS ポリシーの作成、 管理、 および表示を行うためのナビゲーシ ョ ン機能に慣れておく必要があ ります。

SiteProtector Console の全般的な情報については、 現在お使いのバージ ョ ンの SiteProtector のヘルプを参照して ください。

ポリシーと設定についてポリシーと設定についてポリシーと設定についてポリシーと設定について 次のアプライアンス ポ リシーおよび設定を、 SiteProtector で設定するこ とができます。

アイコンについてアイコンについてアイコンについてアイコンについて 次の表では、 作業中に [Policy] ページに表示されるアイコンについて説明します。

項目項目項目項目 目的目的目的目的

Intrusion Prevention ネッ トワークを侵入から保護された状態を保つために役立つレスポンス、プロテクシ ョ ン ド メイン、 およびイベン ト タイプを設定します。 また、

重要なセキュリティ アラートおよび検疫済み不正侵入の表示や、 検出さ

れた不正侵入に対するアプライアンスの対応方法の決定を行う こともできます。

詳細については、 次のトピッ クを参照して ください。

• 「セキュリテ ィ イベン トでの作業」 (81 ページ )

• 「レスポンスの設定」 (97 ページ )

• 「その他の不正侵入防御設定の指定」 (109 ページ )

Firewall Settings 攻撃をブロックするファイアウォール ルールの作成と編集を行います。

詳細については、 「ファイアウォール設定の指定」 (131 ページ ) を参照し

て ください。

Local Tuning Parameters

次のようなアプライアンスのローカル調整パラメータを設定します。

• アプライアンスのエラー、 警告、 通知のアラート

• ネッ トワーク アダプタ カードの設定

• アプライアンス自体の高度なパラメータ ( アップデート パラメータ、

ファイアウォール パラ メータ、 不正侵入防御パラ メータ )

詳細については、 「ローカル調整パラメータの設定」 (141 ページ ) を参照

して ください。

Statistics アプライアンスのアクティ ビティに関する重要な統計値 ( プロテクシ ョ

ン、 パケッ ト、 ド ライバの情報など ) を見ることができます。

詳細については、 「統計値の表示」 (167 ページ ) を参照して く ださい。

Updates ネッ トワークに対する利用可能な 新のプロテクシ ョ ンを入手できるように、 アプライアンスのアップデートを設定および管理します。

詳細については、 「アプライアンスのアップデート」 (59 ページ ) を参照

して ください。

表表表表 28: ポリシーと設定

アイコンアイコンアイコンアイコン 説明説明説明説明

項目をリス トに追加するには、 このアイコンをクリ ッ クします。

表表表表 29: SiteProtector での Policy Editor のアイコン

77Proventia Network Intrusion Prevention System User Guide

第第第第 7 章章章章 : SiteProtector を通じたアプライアンスの管理を通じたアプライアンスの管理を通じたアプライアンスの管理を通じたアプライアンスの管理

保存アイコンについて保存アイコンについて保存アイコンについて保存アイコンについて 別のページへ移動する前に、 変更内容を保存する必要があ り ます。

� SiteProtector 2.0 SP5 では、 Policy Editor のツールバーにある [Save] ボタンをク リ ッ ク して変更

内容を保存するこ とができます。 変更内容はまた、 Policy Editor を閉じる と きに [OK] をク

リ ッ クする と自動的に保存されます。

� SiteProtector 2.0 SP6 では、 コンソールのツールバーにある [Save All] をク リ ッ ク して変更内容

を保存してから、 新しいポリ シーに移動します。

SiteProtector 2.0, SP5 でのでのでのでの IPS ポリシーのポリシーのポリシーのポリシーの

オープンオープンオープンオープン

SiteProtector 2.0, SP5 で IPS ポ リシーを開くには :

1. SiteProtector Console で、 次のいずれかを行います。

� サイ ト またはグループ レベルのポリシーを編集するには、 左ウ ィンド ウ枠でサイ ト または

グループを右ク リ ッ ク し、 ポップアップ メニューから [Network Protection] → [Proventia G Series (Next Generation)] → [Edit Settings] の順に選択します。

リス ト内の項目を編集するには、 このアイコンをクリ ッ クします。

項目 (1 つまたは複数 ) をリストから削除するには、 このアイコンをクリ ックします。

標準的な [SHIFT] キー + クリ ッ ク、 または [CTRL] キー + クリ ックの方法を使用し

て、 リス ト内の隣接する ( または隣接しない ) 項目を選択することができます。

注記注記注記注記 : 削除アイコンをクリ ックしても項目がリス トから削除されない場合があります

が、 その場合でも項目は無効化されてデフォルト状態にリセッ ト されます。

表内の列によって項目をグループ化するには、 このアイコンをクリ ッ クします。

たとえば、 危険度別にセキュリティ イベン ト をグループ化することができます。 つ

まり、 高危険度、 中危険度、 低危険度のセキュリティ イベン トがそれぞれのグルー

プを持つこととなり、 イベン ト を検索しやすく なります。

表のグループ分けをデフォルト設定に戻すには、 このアイコンをクリ ッ クします。

ページに表示する列を選択するには、 このアイコンをクリ ッ クします。

リス ト内の項目をリス トの上に移動するには、 項目を選択してこのアイコンをクリ ックします。

リス ト内の項目をリス トの下に移動するには、 項目を選択してこのアイコンをクリ ックします。

リス ト内の項目をクリ ップボードにコピーするには、 項目を選択してこのアイコンをクリ ッ クします。

ヒン トヒン トヒン トヒン ト : 標準的な [SHIFT] キー + クリ ック、 または [CTRL] キー + ク リ ックの方法を

使用して、 リス ト内の隣接する ( または隣接しない ) 項目を選択することができま

す。

コピーした項目をクリ ップボードからリス トに貼り付けるには、 このアイコンをクリ ッ クします。 項目を貼り付けた後は、 それを編集することができます。

このアイコンがページまたはページ上のフ ィールドの横に表示された場合は、 必要なデータをフ ィールドに入力する必要があるか、 またはフ ィールドに入力したデータが無効です。

アイコンアイコンアイコンアイコン 説明説明説明説明

表表表表 29: SiteProtector での Policy Editor のアイコン

78

SiteProtector でのナビゲーシ ョ ンでのナビゲーシ ョ ンでのナビゲーシ ョ ンでのナビゲーシ ョ ン

� 1 台のアプライアンスに関するポ リシーを編集するには、 [Sensor] タブでアプライアンスを

右ク リ ッ ク し、 ポップアップ メニューから [Network Protection] → [Proventia G-Series (Next Generation)] → [Edit Settings] の順に選択します。

2. Policy Editor のナビゲーシ ョ ン ウ ィンド ウ枠で、 編集する項目を選択します。

3. 必要に応じてポリ シーを編集します。

4. [OK] をク リ ッ ク して変更内容を保存します。

5. ポリシーを直ちに適用するには、 ポ リシーを編集したサイ ト 、 グループ、 またはアプライアンスを選択し、 [Network Protection] → [Proventia G-Series (Next Generation)] → [Force Refresh] の順に選択します。

SiteProtector 2.0, SP6 でのでのでのでの IPS ポリシーのポリシーのポリシーのポリシーの

オープンオープンオープンオープン

SiteProtector 2.0, SP6 で IPS ポ リシーを開くには :

1. SiteProtector Console で、 次のいずれかを行います。

� グループ レベルのポ リシーを編集するには、 左ウ ィンド ウ枠でグループを右ク リ ッ ク し、

ポップアップ メニューから [Manage Policy] を選択します。

� 1 台のアプライアンスに関するポ リシーを編集するには、 [Agent] タブでアプライアンスを

右ク リ ッ ク し、 ポップアップ メニューから [Manage Policy] を選択します。

2. [Policy] タブで、 [Agent Type] ド ロ ップダウン メニューから Network IPS を選択します。

3. ポリシーを開くには、 次のいずれかを行います。

� グループまたはアプライアンスのポ リシーを、 左ウ ィンド ウ枠で選択します。 そのポ リ

シーが右ウ ィンド ウ枠で開きます。

� 左ウ ィンド ウ枠でグループまたはアプライアンスを選択し、 右ウ ィンド ウ枠でポ リシーを

右ク リ ッ ク して、 ポップアップ メニューから [Manage Policy] を選択します。

注記注記注記注記 : グループまたはアプライアンス レベルのポリシーがサイ ト レベルのポ リシーに優先す

るよ うにする場合は、 ポ リ シーを右ク リ ッ ク して [Override] を選択します。 詳細については、

SiteProtector のヘルプの 「Configuring Policy Inheritance」 を参照して ください。

4. 必要に応じてポリ シーを編集します。

5. ツールバーにある [Save All] をク リ ッ ク して変更内容を保存します。

79Proventia Network Intrusion Prevention System User Guide

第第第第 7 章章章章 : SiteProtector を通じたアプライアンスの管理を通じたアプライアンスの管理を通じたアプライアンスの管理を通じたアプライアンスの管理

80

第第第第 8 章章章章

セキュリティセキュリティセキュリティセキュリティ イベントでの作業イベントでの作業イベントでの作業イベントでの作業

概要概要概要概要

はじめにはじめにはじめにはじめに この章では、 セキュ リ ティ イベン ト とレスポンス フ ィルタの設定方法について説明します。 これらは、 ネッ ト ワークで発生したセキュ リティ イベン トに対するアプライアンスの応答方法とレポート方法を決定するセキュ リ ティ ポリシーの作成に役立ちます。

この章の内容この章の内容この章の内容この章の内容 この章では、 次のト ピッ クについて説明します。

ト ピックト ピックト ピックト ピック ページページページページ

プロテクシ ョ ン ド メインの設定 82

セキュリテ ィ イベン トの設定 84

複数のセキュリテ ィ イベン トへのプロテクシ ョ ン ド メイン割り当て 88

セキュリテ ィ イベン ト情報の表示 89

レスポンス フ ィルタの設定 91

レスポンス フ ィルタ情報の表示 96

81Proventia Network Intrusion Prevention System User Guide

第第第第 8 章章章章 : セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン トでの作業イベン トでの作業イベン トでの作業イベン トでの作業

プロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ン ド メ インの設定ド メインの設定ド メインの設定ド メインの設定

はじめにはじめにはじめにはじめに プロテクシ ョ ン ド メ インを使用する と、 1 台のアプライアンスによって管理される異なるネッ トワーク セグメン トに対してセキュ リティ ポ リシーを定義するこ とができます。 プロテクシ ョ ン ドメ インは、 いくつかのアプライアンスでネッ ト ワークを監視しているかのよ うに、 仮想センサーのよ うな働きをします。 これらはセキュ リティ イベン トだけと連動し、 ネッ ト ワークの防御を支援します。 プロテクシ ョ ン ド メ インは、 ポート、 VLAN、 または IP アドレス範囲ごとに定義できます。

使用する場合使用する場合使用する場合使用する場合 プロテクシ ョ ン ド メ インは、 不正侵入防御を集中化するグローバル ポ リシーを使用して異なるネッ ト ワーク セグメン ト グループを 1 台のアプライアンスから監視する場合に使用します。

次のよ うな場合に、 プロテクシ ョ ン ド メ インを使用します。

� 1 台のアプライアンスに対し、 複数のプロテクシ ョ ン ド メ インを定義して適用する場合

� 1 つ以上のネッ ト ワークにおける特定のネッ ト ワーク ト ラフ ィ ッ クに対するレスポンスを調整

できるよ うに、 複数のポリ シーを 1 台のアプライアンスに適用する場合

プロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ン ド メイド メイド メイド メイ

ンとセキュリテ ィンとセキュリテ ィンとセキュリテ ィンとセキュリテ ィ イベイベイベイベ

ン トン トン トン ト

アプライアンスは、 常にグローバル セキュ リティ ポ リシーを使用します。 つま り、 アプライアンスは、 ネッ ト ワークのすべての領域で同じ方法でセキュ リティ イベン ト を処理します。 プロテクシ ョ ン ド メ インを定義し、 各ド メ インに合わせてセキュ リティ イベン ト ポ リシーを編集しない限り、 アプライアンスは常にこの 1 つのグローバル セキュ リティ ポ リシーを使用してセキュ リティ イベン ト を処理します。

プロテクシ ョ ン ド メ インを設定したら、 ネッ ト ワーク上で発生するセキュ リティ イベン ト を処理するセキュ リ ティ ポ リシーと併せて使用します。

特定のプロテクシ ョ ン ド メ イン用に特定のセキュ リティ ポ リシーを作成するか、 特定のド メ インに合わせてグローバル ポ リシーをカスタマイズするこ とができます。 これらのポリシーはアプライアンスに対してイベン ト を示すプロパティを知らせ、 イベン トが発生した場合の対応方法を指示します。

注記注記注記注記 : 特定のフラ ッ ドやスイープのシグネチャは、 ユーザー定義のプロテクシ ョ ン ド メ インでは

サポート されません。 これらの攻撃は、 一般的に複数の標的に影響を与え、 プロテクシ ョ ン ド メ

イン全体に広がる可能性があ り ます。 これらのシグネチャが正し く レポート されるよ うに、 これらをグローバル プロテクシ ョ ン ド メ インに対して有効化する必要があ り ます。

プロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ン ド メイド メイド メイド メイ

ンの追加ンの追加ンの追加ンの追加

プロテクシ ョ ン ド メ インを追加または変更するには :

1. [Protection Domains] ページで、 [Add] をク リ ッ ク します。

2. 次の表のよ うに、 設定を完了または設定します。

設定設定設定設定 説明説明説明説明

Enabled プロテクシ ョ ン ド メインを有効にするには、 このチェ ック ボックスをオンにします。

Protection Domain Name ド メ インの内容を説明するような名前を入力します。

Comment ド メ イン用の固有の説明を入力します。

82

プロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ン ド メ インの設定ド メインの設定ド メインの設定ド メインの設定

3. [OK] をク リ ッ ク します。

4. 変更内容を保存します。

プロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ン ド メイド メイド メイド メイ

ンでの作業ンでの作業ンでの作業ンでの作業

プロテクシ ョ ン ド メ インを編集、 コピー、 または削除するには :

1. [Protection Domains] を選択します。

2. 次のいずれかを行います。

3. 変更内容を保存します。

Adapter アプライアンスの監視アダプタ (1 つまたは複数 ) を選択しま

す。

注記注記注記注記 : アプライアンスは、 特定のアプライアンスに当てはま

らないポート設定を無視します。 たとえば、 設定に利用できるポートが他にあっても、 お使いのアプライアンスでは 2 つのアダプタ ポートだけが設定可能である場合があります。

VLAN Range 仮想 LAN タグの範囲を入力します。

IP Address Range 発信元および宛先の IP アドレス範囲を入力します。

設定設定設定設定 説明説明説明説明

実行内容実行内容実行内容実行内容 手順手順手順手順

編集 ヒン トヒン トヒン トヒン ト : 変更したい項目を [Protection Domains] タブでダブル

クリ ックすることで、 一部のプロパティを直接編集することができます。

1. ド メインを選択し、 編集編集編集編集のアイコン ( ) をクリ ッ クしま

す。

2. [Enabled] チェ ック ボックスをオンまたはオフにします。

3. このド メインを編集し、 [OK] をクリ ックします。

コピー 1. ド メインを選択し、 コピーコピーコピーコピーのアイコン ( ) をクリ ッ クし

ます。

2. 貼り付け貼り付け貼り付け貼り付けのアイコン ( ) をクリ ックします。

3. 必要に応じてド メインを編集し、 [OK] をクリ ックします。

削除 1. ド メインを選択します。

2. 削除削除削除削除のアイコン ( ) をクリ ックします。

83Proventia Network Intrusion Prevention System User Guide

第第第第 8 章章章章 : セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン トでの作業イベン トでの作業イベン トでの作業イベン トでの作業

セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン トの設定イベン トの設定イベン トの設定イベン トの設定

はじめにはじめにはじめにはじめに [Security Events] ページには、 何百もの攻撃とセキュ リ ティ イベン トが リ ス ト アップされています。セキュ リ ティ イベン トは、 攻撃またはその他疑わしいアクティビティを示す可能性のある内容を伴うネッ ト ワーク ト ラフ ィ ッ クです。 このよ うなイベン トは、 アクティブなセキュ リティ ポ リシーに指定されているイベン トのいずれかにネッ ト ワーク ト ラフ ィ ッ クが一致した場合にト リガされます。 セキュ リ ティ ポ リシーは、 ネッ ト ワークのニーズに合わせて編集可能です。

グローバルグローバルグローバルグローバル プロテクプロテクプロテクプロテク

シ ョ ンシ ョ ンシ ョ ンシ ョ ン ド メインについド メインについド メインについド メインについ

てててて

イベン トはすべて、 グローバル プロテクシ ョ ン ド メ インの下にリ ス ト アップされます。 アプライアンスは、 常にグローバル セキュ リティ ポ リシーを使用します。 つま り、 セキュ リ ティ イベン トは、 ネッ ト ワークのすべての領域で同じ方法で処理されます。 ネッ ト ワーク内のすべてのセグメントにわたって適用したいグローバル レベルで、 イベン ト を設定する必要があ り ます。 ネッ ト ワークの特定セグメン トに対してセキュ リティ ポリシーを設定する場合は、 各セグメン トに対してプロテクシ ョ ン ド メ インを作成する必要があ り ます。

セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン トイベン トイベン トイベン ト

の追加の追加の追加の追加

セキュ リティ イベン ト を追加するには :

注記注記注記注記 : この手順に出てく る設定は、 [Security Events] タブに表示される列に対応しています。

1. [Security Events] を選択します。

2. [Security Events] タブで、 [Add] をク リ ッ ク します。

3. 次の表のよ うに、 設定を完了または設定します。

設定設定設定設定 説明説明説明説明

Enabled セキュリティ ポリシーの一部としてイベン ト を有効にするには、 こ

のチェ ッ ク ボックスをオンにします。

Protection Domain プロテクシ ョ ン ド メインを設定してある場合は、 このリストから 1 つ選択します。

1 つのド メインに対し、 一度に 1 つのイベン ト しか適用できません。

このイベン ト を別のド メインに設定するには、 イベン ト をコピーして名前を変更してから、 別のド メインに割り当てる必要があります。

注記注記注記注記 : プロテクシ ョ ン ド メインを設定していない ( または使用してい

ない ) 場合、 プロテクシ ョ ン ド メインのリス トには 「Global」 と表示

されます。

Attack/Audit カスタム イベン ト を作成中の場合は、 この領域を利用できません。

リス ト内のイベン ト を編集中である場合は、 このイベン トが監査イベン トか攻撃イベン トかがこの領域に表示されます。

• 監査イベン トは、 ネッ トワークに関する情報を検索するネッ トワーク ト ラフ ィ ックと一致します。

• 攻撃イベン トは、 ネッ トワークに害を与えよう とするネッ トワーク ト ラフ ィ ックと一致します。

Tag Name イベン トの内容を説明するような固有の名前を入力します。

既存イベン ト を編集中である場合は、 このフ ィールドにイベン ト名が表示されますが、 これは編集できません。

Severity イベン トの危険度 (Low、 Medium、 High) を選択します。

Protocol イベン トのプロ ト コルを入力します。

既存イベン トの場合、 この設定には、 読み取り専用でプロ ト コル タイプが表示されます。

84

セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン トの設定イベン トの設定イベン トの設定イベン トの設定

Ignore Events このイベン トの基準セッ ト と一致するイベン ト をアプライアンスに無視させるには、 このチェ ッ ク ボックスをオンにします。

Display マネージメン ト コンソールでのイベン ト表示方法を選択します。

• No Display - 検出されたイベン ト を表示しません。

• WithoutRaw - イベン トの概要を記録します。

• WithRaw - イベン トの概要と、 関連するパケッ ト キャプチャを記

録します。

Block パケッ ト をドロップして TCP 接続に対するリセッ ト パケッ ト を送信

することで攻撃をブロックするには、 このチェ ッ ク ボックスをオン

にします。

Log Evidence/var/iss/ ディ レク ト リに対するイベン ト を ト リガしたパケッ ト を記録

するには、 このチェ ッ ク ボックスをオンにします。

Responses レスポンスを有効にするには、 次のいずれかのタブを選択します。

• Email - リス トから Email レスポンスを選択します。

• Quarantine - 1 つ以上のチェ ック ボックスをオンにして、

Quarantine レスポンスを有効にします。

• SNMP - リストから SNMP レスポンスを選択します。

• User Defined - 1 つ以上のチェ ック ボックスをオンにして、 ユー

ザー定義レスポンスを有効にします。

注記注記注記注記 : [Edit] をクリ ックして、 リス ト内の任意のレスポンスのプロパ

ティ を変更することができます。

詳細については、 「レスポンスの設定」 (97 ページ ) を参照して くだ

さい。

XPU 既存イベン トの場合に限り、 この脆弱性チェ ックがリ リースされた XPU が表示されます。

この設定は読み取り専用です。

Event Throttling 期間を秒単位で入力します。

指定期間中に、 攻撃と一致するイベン トが 大で 1 つレポート され

ます。

デフォルト値は 0 ( ゼロ ) です。 この設定では、 イベン ト スロッ ト リ

ングは無効です。

Check Date 既存イベン トの場合に限り、 この脆弱性チェ ックの作成年月が表示されます。

この設定は読み取り専用です。

Default Protection 既存イベン トの場合に限り、 イベン トのデフォルト防御セッ ト (「Block」 など ) が表示されます。

この設定は読み取り専用です。

User Overridden 新規イベン トの作成中である場合は、 このチェ ッ ク ボックスがデ

フォルトで有効になり、 これがカスタム イベン トであることを示し

ます。

[Security Events] タブのリストでは、 カスタム イベン ト と編集済み既

存イベン トの両方の場合で、 この項目がオンになります。

この設定は読み取り専用です。

設定設定設定設定 説明説明説明説明

85Proventia Network Intrusion Prevention System User Guide

第第第第 8 章章章章 : セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン トでの作業イベン トでの作業イベン トでの作業イベン トでの作業

4. [OK] をク リ ッ ク します。

5. 変更内容を保存します。

セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン トイベン トイベン トイベン ト

での作業での作業での作業での作業

セキュ リティ イベン ト を編集、 コピー、 または削除するには :

1. [Security Events] を選択します。

2. [Security Events] タブを選択し、 次のいずれかを行います。

3. 変更内容を保存します。

複数のセキュリテ ィ複数のセキュリテ ィ複数のセキュリテ ィ複数のセキュリテ ィ イイイイベン トの編集ベン トの編集ベン トの編集ベン トの編集

複数のセキュ リ ティ イベン ト を編集するには :

1. [Security Events] を選択します。

2. [Security Events] タブで、 次のいずれかを行います。

� 複数のイベン ト を選択するには、 [CTRL] キーを押しながら各イベン ト を選択します。

� レスポンスの範囲を選択するには、 [SHIFT] キーを押しながら、 範囲内の 初と 後のイベ

ン ト を選択します。

3. [Edit] をク リ ッ ク します。

編集した項目はすべて、 選択したすべてのイベン トで変更されます。

選択したイベン トの中で異なる値を持つ項目がある場合、 その項目の横には青い三角のアイコンが表示されます。 このアイコンが表示されたフ ィールドの値を変更する と、 選択されたイベン トすべてで変更内容が新しい設定に変更され、 青い三角のアイコンはフ ィールドの横に表示されなくなり ます。

実行内容実行内容実行内容実行内容 手順手順手順手順

編集 ヒン トヒン トヒン トヒン ト : 変更したい項目を [Security Events] タブでダブルク

リ ックすることで、 一部のプロパティを直接編集することができます。

1. イベン ト を選択し、 編集編集編集編集のアイコン ( ) をクリ ッ クしま

す。

2. [Enabled] チェ ック ボックスをオンまたはオフにします。

3. このイベン ト を編集し、 [OK] をクリ ックします。

コピー ヒン トヒン トヒン トヒン ト : イベン トのグループ化とフ ィルタ リングを初めて行

う場合は、 セキュリテ ィ イベン ト をコピーして貼り付けた方

が簡単です。 詳細については、 「セキュリテ ィ イベン トのグ

ループ化」 (89 ページ ) または 「セキュリティ イベン トの

フ ィルタリング」 (89 ページ ) を参照して ください。

1. イベン ト を選択し、 コピーコピーコピーコピーのアイコン ( ) をクリ ッ クし

ます。

2. 貼り付け貼り付け貼り付け貼り付けのアイコン ( ) をクリ ックします。

3. 必要に応じてイベン ト を編集し、 [OK] をクリ ックします。

削除 1. イベン ト を選択します。

2. 削除削除削除削除のアイコン ( ) をクリ ックします。

重要重要重要重要 : カスタム イベン トだけが、 削除可能です。 編集し終

わった定義済みイベン ト を選択して [Remove] をクリ ックす

ると、 そのイベン トはデフォルト設定に戻り、 そのままリストに残ります。

86

セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン トの設定イベン トの設定イベン トの設定イベン トの設定

たとえば、 ブロ ッキングが有効になったイベン ト と有効になっていないイベン トの 2 つを編集

するこ とにした場合、 青い三角のアイコンは [Block] の横に表示されます。 元々 Block レスポ

ンスが無効になっていたイベン トで Block レスポンスを有効にする と、 両方のイベン トでブ

ロ ッキングが有効になり、 青い三角のアイコンは消えます。

4. [OK] をク リ ッ ク します。

5. 変更内容を保存します。

87Proventia Network Intrusion Prevention System User Guide

第第第第 8 章章章章 : セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン トでの作業イベン トでの作業イベン トでの作業イベン トでの作業

複数のセキュリテ ィ複数のセキュリテ ィ複数のセキュリテ ィ複数のセキュリテ ィ イベン トへのプロテクシ ョ ンイベン トへのプロテクシ ョ ンイベン トへのプロテクシ ョ ンイベン トへのプロテクシ ョ ン ド メ イン割り当てド メイン割り当てド メイン割り当てド メイン割り当て

はじめにはじめにはじめにはじめに プロテクシ ョ ン ド メ インを設定したら、 これらを複数のセキュ リティ イベン トに割り当てるこ とができます。 こ うするこ とで、 ネッ ト ワーク上にあるプロテクシ ョ ン ド メ インごとにセキュ リティ ポ リシーを設定する時間を短縮するこ とができます。

手順手順手順手順 複数のセキュ リ ティ イベン トに対してプロテクシ ョ ン ド メ インを割り当てるには :

1. [Security Events] を選択します。

2. [Security Events] タブで、 イベン ト を次のよ うに選択します。

� 複数のイベン ト を選択するには、 [Ctrl] キーを押しながら各イベン ト を選択します。

� イベン トの範囲を選択するには、 [Shift] キーを押しながら、 範囲内の 初と 後のイベン

ト を選択します。

3. コピーのアイコンをク リ ッ ク します。

4. [Paste] をク リ ッ ク します。

5. 赤い X アイコンの付いた項目をすべて選択し、 [Edit] をク リ ッ ク します。

6. 選択したイベン トに割り当てるプロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ン ド メ インド メ インド メ インド メ インを選択します。

7. 任意の追加設定を編集します。

詳細については、 「セキュ リ ティ イベン トの追加」 (84 ページ ) を参照してください。

8. [OK] をク リ ッ ク し、 [Security Events] ページに戻り ます。

9. 変更内容を保存します。

88

セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン ト情報の表示イベン ト情報の表示イベン ト情報の表示イベン ト情報の表示

セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン ト情報の表示イベン ト情報の表示イベン ト情報の表示イベン ト情報の表示

はじめにはじめにはじめにはじめに [Security Events] タブには、 何百もの攻撃とセキュ リ ティ イベン トが リ ス ト アップされています。よ り簡単に参照や検索が行えるよ うに、 イベン トの表示方法をカスタマイズするこ とができます。

フ ィルタと正規表現につフ ィルタと正規表現につフ ィルタと正規表現につフ ィルタと正規表現についていていていて

セキュ リティ イベン トのフ ィルタでは、 正規表現を使用して、 返されるイベン トの数を制限します。

正規表現 ( 別名 : regex) は、 指定したパターンと一致するテキス ト を検索するために使用する一連の記号および構文です。 ワイルドカード検索は、 正規表現を使用したものです。

も基本的なレベルでは、 次のワイルドカード検索がサポート されています。

� *. すべてのイベン トが返されます。

� *word* - 例例例例 : 「*http*」 には、 すべての HTTP イベン トが含まれます。

� word* - 例例例例 : 「http*」 には、 「HTTP」 で始まるすべてのイベン ト名が含まれます。

� *word - 例例例例 : 「*http」 には、 「HTTP」 で終わるすべてのイベン ト名が含まれます。

表示する列の選択表示する列の選択表示する列の選択表示する列の選択 表示する列を選択するには :

1. [Security Events] を選択します。

2. [Security Events] タブで、 [Select Columns] をク リ ッ ク します。

3. 表示したい列の横にあるチェッ ク ボッ クスをオンにします。

4. [OK] をク リ ッ ク します。

5. 変更内容を保存します。

注記注記注記注記 : イベン ト をグループ化またはサブグループ化してある場合、それらイベン トの列は [Security Events] タブに表示されなくな り ます。 その代わり、 グルーピング ツ リー内の展開 / 折り畳みが可

能な項目と して表示されます。

セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン トイベン トイベン トイベン ト

のグループ化のグループ化のグループ化のグループ化

セキュ リティ イベン ト をグループ化するには :

1. [Security Events] を選択します。

2. [Security Events] タブで、 [Group By] をク リ ッ ク します。

3. [All Columns] リ ス トから イベン ト グループ化の基準とする列を選択し、 [Add] をク リ ッ ク しま

す。

[Group By These Columns] リ ス トに、 選択した列が表示されます。

4. イベン ト グループ化の基準にする列それぞれについて、 手順手順手順手順 3 を繰り返します。

グループ化基準とする列を選択するたびに、 後に作成した 「グループ」 の下にサブグループが作成されていきます。

5. [OK] をク リ ッ ク します。

6. [Security Events] タブでグループを折り畳むか展開して、 イベン ト を表示します。

7. 変更内容を保存します。

セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン トイベン トイベン トイベン ト

のフ ィルタリングのフ ィルタリングのフ ィルタリングのフ ィルタリング

セキュ リティ イベン ト をフ ィルタ リ ングするには :

1. [Security Events] を選択します。

2. [Security Events] タブで [Filter] チェッ ク ボッ クスをオンにしてフ ィルタ リ ングを有効にしま

す。

89Proventia Network Intrusion Prevention System User Guide

第第第第 8 章章章章 : セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン トでの作業イベン トでの作業イベン トでの作業イベン トでの作業

3. [Filter] をク リ ッ ク します。

4. [Regular Expressions] 領域で、 フ ィルタ リ ングの基準となる正規表現を入力します。 この検索

機能では、 大文字と小文字が区別されません。

注記注記注記注記 : この機能を使用するには、 正規表現の機能を熟知している必要があ り ます。

5. 各カテゴ リについて、 適用するフ ィルタを選択します。 デフォルトは [Any] です。 この設定で

は、 アプライアンスは入力された正規表現と一致する任意の結果を検索します。

6. [OK] をク リ ッ ク します。

7. 変更内容を保存します。

セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン トイベン トイベン トイベン ト

値のリセッ ト値のリセッ ト値のリセッ ト値のリセッ ト

セキュ リティ イベン トの値を リセッ トするには :

1. [Security Events] を選択します。

2. [Security Events] タブで、 次のいずれかを行います。

� イベン ト を リセッ ト します。 リセッ トするイベン ト を選択し、 [Remove] をク リ ッ ク しま

す。 編集済みの事前定義イベン トはデフォルト値に戻り ますが、 リ ス トからは削除されません。 カスタム イベン トは、 リ ス トから削除されます。

� グループを リセッ ト します。 [Reset Groupings] をク リ ッ ク します。 イベン トから、 すべて

のグループ化が削除されます。

� フ ィルタを リセッ ト します。 [Filters] チェッ ク ボッ クスをオフにして、 設定したフ ィルタ

を無効にします。

3. 変更内容を保存します。

90

レスポンスレスポンスレスポンスレスポンス フ ィルタの設定フ ィルタの設定フ ィルタの設定フ ィルタの設定

レスポンスレスポンスレスポンスレスポンス フ ィルタの設定フ ィルタの設定フ ィルタの設定フ ィルタの設定

はじめにはじめにはじめにはじめに レスポンス フ ィルタを設定する と、 アプライアンスが応答を返すイベン トの数とマネージメン ト コンソールにレポート されるイベン トの数を調整してセキュ リティ ポリシーを絞り込むこ とができます。

レスポンス フ ィルタを使用して、 次の作業を行う こ とができます。

� フ ィルタで指定されているネッ ト ワーク基準に基づいて ト リガするセキュ リ ティ イベン トに

対し、 レスポンスを設定する

� アプライアンスがコンソールにレポートするセキュ リ ティ イベン トの数を減らす

たとえば、 安全で信頼できるホス ト 、 または何らかの理由で無視したいホス トがネッ ト ワーク上にある場合に、 IGNORE レスポンスが有効になったレスポンス フ ィルタを使用するこ とができます。

イベン トイベン トイベン トイベン ト フ ィルタの属フ ィルタの属フ ィルタの属フ ィルタの属

性性性性

レスポンス フ ィルタには、 次のよ うな設定可能な属性があ り ます。

� アダプタ

� 仮想 LAN (VLAN)

� 発信元または宛先の IP アドレス

� 発信元または標的のポート番号 ( すべてのポート、 または特定のサービスに関連付けられた

ポート )、 または ICMP タイプ / コード ( 使用されるのはこのう ちいずれか )

フ ィルタとその他イベンフ ィルタとその他イベンフ ィルタとその他イベンフ ィルタとその他イベントトトト

レスポンス フ ィルタ と一致する ト ラフ ィ ッ クを検出する と、 アプライアンスはフ ィルタで指定されたレスポンスを実行します。 フ ィルタが指定されていないと、 アプライアンスはイベン ト自体で指定されているセキュ リ ティ イベン ト を実行します。

注記注記注記注記 : セキュ リティ イベン トが無効になっている と、 対応するレスポンス フ ィルタも無効になり

ます。

レスポンスレスポンスレスポンスレスポンス フ ィルタのフ ィルタのフ ィルタのフ ィルタの

順序順序順序順序

レスポンス フ ィルタは、 ルールの順序に従います。 たとえば、 同一のセキュ リティ イベン トに対して 1 つ以上のフィルタを追加した場合、 アプライアンスは 初に一致したレスポンスを実行します。 アプライアンスは、 フ ィルタ リ ス トの一番上から下へ向かって読みとっていきます。

レスポンスレスポンスレスポンスレスポンス フ ィルタのフ ィルタのフ ィルタのフ ィルタの

追加追加追加追加

レスポンス フ ィルタを追加するには :

注記注記注記注記 : この手順に出てく る設定は、 [Response Filters] タブに表示される列に対応しています。

1. [Security Events] を選択します。

2. [Response Filters] タブを選択します。

3. [Add] をク リ ッ ク します。

91Proventia Network Intrusion Prevention System User Guide

第第第第 8 章章章章 : セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン トでの作業イベン トでの作業イベン トでの作業イベン トでの作業

4. 次の表のよ うに、 設定を完了または設定します。

設定設定設定設定 説明説明説明説明

Enabled フ ィルタは、 デフォルトで有効になっています。 フ ィルタを無効にするには、 このチェ ック ボックスをオフにします。

Protection Domain このフ ィルタを設定するプロテクシ ョ ン ド メインを選択します。

注記注記注記注記 : レスポンス フ ィルタをアクテ ィブにするには、 対応するセ

キュリテ ィ イベン トがここで指定するプロテクシ ョ ン ド メインに

対して有効になっている必要があります。

Event Name レスポンスのフ ィルタ リングを行うイベン ト を選択します。

フ ィルタごとに 1 つのイベン ト しか選択できません。

Event Name Info 必要な場合に、 イベン トに関する追加情報を表示します。

この設定は読み取り専用です。

Comment イベン ト フ ィルタ用の固有の説明を入力します。

Severity イベン トの危険度 (high、 medium、 low) を選択します。

Adapter レスポンス フ ィルタが適用されるアプライアンス ポート を選択し

ます。

注記注記注記注記 : アプライアンスは、 特定のアプライアンスに当てはまらない

ポート設定を無視します。 たとえば、 設定に利用できるポートが他にあっても、 お使いのアプライアンスでは 2 つのアダプタ ポートだ

けが設定可能である場合があります。

VLAN レスポンス フ ィルタが適用される仮想 LAN タグの範囲を入力しま

す。

Event Throttling 期間を秒単位で入力します。

指定期間中に、 攻撃と一致するイベン トが 大で 1 つレポート され

ます。

デフォルト値は 0 ( ゼロ ) です。 この設定では、 イベン ト スロッ ト

リングは無効です。

Ignore Events このイベン トの基準セッ ト と一致するイベン ト をアプライアンスに無視させるには、 このチェ ック ボックスをオンにします。

Display マネージメン ト コンソールでのイベン ト表示方法を選択します。

• No Display - 検出されたイベン ト を表示しません。

• WithoutRaw - イベン トの概要を記録します。

• WithRaw - イベン トの概要と、 関連するパケッ ト キャプチャを

記録します。

Block パケッ ト をドロップして TCP 接続に対するリセッ ト パケッ ト を送

信することで攻撃をブロックするには、 このチェ ック ボックスをオ

ンにします。

ICMP Type/Code パケッ トの両側について ICMP タイプまたはコードを入力するか、

[Well Known] をクリ ックしてよ く使用するタイプとコードを選択し

ます。

Log Evidence /var/iss/ ディ レク ト リに対するイベン ト を ト リガしたパケッ ト を記

録するには、 このチェ ック ボックスをオンにします。

92

レスポンスレスポンスレスポンスレスポンス フ ィルタの設定フ ィルタの設定フ ィルタの設定フ ィルタの設定

5. IP アドレス とポートの設定を、 次の表のよ うに指定または変更します。

Responses レスポンスを有効にするには、 次のいずれかのタブを選択します。

• Email - リストから Email レスポンスを選択します。

• Quarantine - 1 つ以上のチェ ック ボックスをオンにして、

Quarantine レスポンスを有効にします。

• SNMP - リス トから SNMP レスポンスを選択します。

• User Defined - 1 つ以上のチェ ック ボックスをオンにして、

ユーザー定義レスポンスを有効にします。

注記注記注記注記 : リスト内の任意のレスポンスのプロパティを変更するには、

[Edit] をクリ ッ クします。

詳細については、 「レスポンスの設定」 (97 ページ ) を参照して く だ

さい。

IP Address and Port フ ィルタ基準とする発信元または標的の IP アドレスについて、手順 5 に挙げられた設定を指定または変更します。

設定設定設定設定 説明説明説明説明

Address Not 指定するアドレスを除外するには、 このチェ ッ ク ボックスをオンにします。

Any すべてのアドレスを含めるには、 このオプシ ョ ンをオンにします。

Single Address 1 つのアドレスをフ ィルタ リングするには、 このオ

プシ ョ ンをオンにしてから [Address] にアドレスを

入力します。

Address Range 1 つのアドレス範囲をフ ィルタ リングするには、 こ

のオプシ ョ ンをオンにしてから [Range] に 初のア

ドレスと 後のアドレスを入力します。

注記注記注記注記 : サイ ト範囲として 0.0.0.0 ～ 255.255.255.255 は使用しないで ください。 これをサイ ト範囲として使用すると、 Web サイ トの IP アドレスなどのラン

ダムな IP アドレスが [Ungrouped Assets] フォルダ

に追加されます。

Network Address/#Network Bit (CIDR)

サブネッ ト上の IP アドレスを含める場合に、 この

オプシ ョ ンをオンにします。 IP アドレスとマスクを

入力して ください。 マスクとはネッ トワーク識別子のことで、 1 ～ 32 の数値です。 例 : 128.8.27.18 / 16

設定設定設定設定 説明説明説明説明

93Proventia Network Intrusion Prevention System User Guide

第第第第 8 章章章章 : セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン トでの作業イベン トでの作業イベン トでの作業イベン トでの作業

6. [OK] をク リ ッ ク します。

7. 変更内容を保存します。

Port Not 指定するポート を除外するには、 このチェ ッ ク ボッ

クスをオンにします。

Any すべてのポート を含めるには、 このオプシ ョ ンをオンにします。

Single Port 1 つのポートを含めるには、 このオプシ ョ ンをオン

にしてから [Port] に数値を入力します。

Port Range 1 つのポート範囲を含めるには、 このオプシ ョ ンを

オンにしてから [Range] に 初のポート と 後の

ポート を入力します。

設定設定設定設定 説明説明説明説明

94

レスポンスレスポンスレスポンスレスポンス フ ィルタの設定フ ィルタの設定フ ィルタの設定フ ィルタの設定

レスポンスレスポンスレスポンスレスポンス フ ィルタのフ ィルタのフ ィルタのフ ィルタの

順序変更順序変更順序変更順序変更

レスポンス フ ィルタの順序を変更するには :

1. [Security Events] を選択します。

2. [Response Filters] タブを選択します。

3. 項目を選択し、 上向き矢印のアイコン ( ) または下向き矢印のアイコン ( ) をク リ ッ ク し

てフ ィルタを移動します。

4. 変更内容を保存します。

レスポンスレスポンスレスポンスレスポンス フ ィルタでフ ィルタでフ ィルタでフ ィルタで

の作業の作業の作業の作業

レスポンス フ ィルタを編集、 コピー、 または削除するには :

1. [Security Events] を選択します。

2. [Response Filters] タブを選択し、 次のいずれかを行います。

3. 変更内容を保存します。

実行内容実行内容実行内容実行内容 手順手順手順手順

編集 ヒン トヒン トヒン トヒン ト : 変更したい項目を [Response Filters] タブでダブルク

リ ックすることで、 一部のプロパティを直接編集することができます。

1. フ ィルタを選択し、 編集編集編集編集のアイコン ( ) をクリ ッ クしま

す。

2. [Enabled] チェ ック ボックスをオンまたはオフにします。

3. このフ ィルタを編集し、 [OK] をクリ ックします。

コピー 1. フ ィルタを選択し、 コピーコピーコピーコピーのアイコン ( ) をクリ ッ クし

ます。

2. 貼り付け貼り付け貼り付け貼り付けのアイコン ( ) をクリ ックします。

3. 必要に応じてフ ィルタを編集し、 [OK] をクリ ックします。

削除 1. フ ィルタを選択します。

2. 削除削除削除削除のアイコン ( ) をクリ ックします。

95Proventia Network Intrusion Prevention System User Guide

第第第第 8 章章章章 : セキュリテ ィセキュリテ ィセキュリテ ィセキュリテ ィ イベン トでの作業イベン トでの作業イベン トでの作業イベン トでの作業

レスポンスレスポンスレスポンスレスポンス フ ィルタ情報の表示フ ィルタ情報の表示フ ィルタ情報の表示フ ィルタ情報の表示

はじめにはじめにはじめにはじめに [Response Filters] タブには、 マネージメン ト コンソールでのセキュ リティ イベン トの表示方法を調整するために定義したレスポンス フ ィルタが一覧表示されています。

表示する列の選択表示する列の選択表示する列の選択表示する列の選択 表示する列を選択するには :

1. [Security Events] を選択します。

2. [Response Filters] タブを選択します。

3. [Select Columns] をク リ ッ ク します。

4. タブ上に表示したい列の横にあるチェッ ク ボッ クスをオンにします。

5. [OK] をク リ ッ ク します。

6. 変更内容を保存します。

注記注記注記注記 : フ ィルタをグループ化またはサブグループ化してある場合、 それらフ ィルタの列は [Response Filters] タブに表示されなくな り ます。 その代わり、 グルーピング ツ リー内の展開 / 折り

畳みが可能な項目と して表示されます。

レスポンスレスポンスレスポンスレスポンス フ ィルタのフ ィルタのフ ィルタのフ ィルタの

グループ化グループ化グループ化グループ化

レスポンス フ ィルタをグループ化するには :

1. [Security Events] を選択します。

2. [Response Filters] タブを選択します。

3. [Group By] をク リ ッ ク します。

4. [All Columns] リ ス トからフ ィルタ グループ化の基準とする列を選択し、 [Add] をク リ ッ ク し

ます。

[Group By These Columns] リ ス トに、 選択した列が表示されます。

5. フ ィルタ グループ化の基準とする列それぞれについて、 手順 4 を繰り返します。

グループ化基準とする列を選択するたびに、 後に作成した 「グループ」 の下にサブグループが作成されていきます。

6. [OK] をク リ ッ ク します。

7. [Response Filters] タブでグループを折り畳むか展開して、 フ ィルタを表示します。

8. 変更内容を保存します。

レスポンスレスポンスレスポンスレスポンス フ ィルタのフ ィルタのフ ィルタのフ ィルタの

フ ィルタリングフ ィルタリングフ ィルタリングフ ィルタリング

レスポンス フ ィルタをフ ィルタ リ ングするには :

1. [Security Events] を選択します。

2. [Response Filters] タブを選択します。

3. [Filter] チェッ ク ボッ クスをオンにして、 フ ィルタ リ ングを有効にします。

4. [Filter] をク リ ッ ク します。

各カテゴ リについて、 適用するフ ィルタを選択します。 デフォルトは [Any] です。 この設定で

は、 アプライアンスはそのカテゴ リ と一致する任意の結果を検索します。

5. [OK] をク リ ッ ク します。

6. 変更内容を保存します。

96

第第第第 9 章章章章

レスポンスの設定レスポンスの設定レスポンスの設定レスポンスの設定

概要概要概要概要

はじめにはじめにはじめにはじめに この章では、 アプライアンスのレスポンスを設定する方法について説明します。 レスポンスは、ネッ ト ワークで不正侵入やその他重要なイベン ト を検出した場合のアプライアンスの対応を決定します。

この章の内容この章の内容この章の内容この章の内容 この章では、 次のト ピッ クについて説明します。

ト ピックト ピックト ピックト ピック ページページページページ

レスポンスについて 98

Email レスポンスの設定 99

Log Evidence レスポンスの設定 101

Quarantine レスポンスの設定 102

SNMP レスポンスの設定 104

ユーザー指定レスポンスの設定 106

97Proventia Network Intrusion Prevention System User Guide

第第第第 9 章章章章 : レスポンスの設定レスポンスの設定レスポンスの設定レスポンスの設定

レスポンスについてレスポンスについてレスポンスについてレスポンスについて

はじめにはじめにはじめにはじめに レスポンス ポ リシーは、 アプライアンスが不正侵入またはその他重要なイベン ト を検出した場合の対応を決定します。 レスポンスを作成し、 必要に応じてイベン トに適用します。

次の種類のレスポンスを設定するこ とができます。

� Email - 個別のアドレスまたはメール グループに、 メールによるアラート を送信します。

� Log Evidence - 保存されたファイルにアラート情報を記録します。

� Quarantine - ネッ ト ワークを攻撃に対して検疫します。

� SNMP - 統合された SNMP サーバーに SNMP ト ラ ップを送信します。

� User Specified - ネッ ト ワーク監視に対する特別な要件に基づいて、 アラート を送信します。

Block レスポンスについレスポンスについレスポンスについレスポンスについ

てててて

Block レスポンスは、 パケッ ト をド ロ ップして TCP 接続に対する リセッ ト パケッ ト を送信することで攻撃をブロ ッ クする、 デフォルトのレスポンスです。 アプライアンスの Block レスポンスは、アプライアンスの動作モードによって異なり ます。

アプライアンスのモードは、 アプライアンスのインス トール時に設定されます。 詳細については、「ネッ ト ワーク アダプタ カードの管理」 (144 ページ ) を参照して ください。

Ignore レスポンスにつレスポンスにつレスポンスにつレスポンスにつ

いていていていて

セキュ リティ イベン トに対して、 Ignore レスポンスを設定するこ とができます。 このレスポンスは、 イベン ト内で指定されている基準に一致するパケッ ト を無視するよ うに、 アプライアンスへ指示します。 また、 このレスポンスをレスポンス フ ィルタを通じて設定するこ と もできます。 レスポンス フ ィルタまたはセキュ リティ イベン トの作成時にこのレスポンスを選択する と、 アプライアンスは一致するパケッ ト を検出した場合にアクシ ョ ンを起こしません。

Ignore レスポンスは一般的に、 ネッ ト ワークを脅かさないセキュ リティ イベン ト をフ ィルタ リ ングする場合に限って使用します。 詳細については、 「レスポンス フ ィルタの設定」 (91 ページ ) を参照して ください。

SiteProtector 内のレス内のレス内のレス内のレス

ポンスポンスポンスポンス オブジェク トにオブジェク トにオブジェク トにオブジェク トに

ついてついてついてついて

SiteProtector を通じてアプライアンスを管理していて、 イベン トに対するレスポンスを設定したい場合には、 [Response Objects] を選択します。 レスポンス オブジェク トは、 データを集中化することのできるコンテナです。 データ変更の場合には、データの各インスタンスではなく、 レスポンス オブジェク ト を変更するこ とができます。

注記注記注記注記 : アプライアンスの管理に SiteProtector を使用している場合は、 Central Responses を使用して

イベン ト レスポンスを作成するこ とをお勧めします。 詳細については、 SiteProtector のヘルプの

「Configuring Central Responses」 を参照して ください。

モードモードモードモード アプライアンスの動作アプライアンスの動作アプライアンスの動作アプライアンスの動作

パッシブ モニタ リング Block レスポンスを無効にします。

インライン シミ ュレー

シ ョ ン

ネッ トワーク ト ラフ ィ ッ クを監視してアラート を生成しますが、 害の

ある ト ラフ ィ ッ クのブロックは行いません。

インライン プロテク

シ ョ ン

パケッ ト をドロップして TCP 接続に対するリセッ ト パケッ ト を送信す

ることで、 攻撃をブロックします。

表表表表 30: アプライアンスのモード と Block レスポンス

98

Email レスポンスの設定レスポンスの設定レスポンスの設定レスポンスの設定

Email レスポンスの設定レスポンスの設定レスポンスの設定レスポンスの設定

はじめにはじめにはじめにはじめに イベン ト発生時にアプライアンスが通知する必要のある個人またはグループへ送信されるよ うに、メールによる通知を設定するこ とができます。 また、 検出されたイベン トに関する重要な情報を提供するよ うに、 メ ッセージを含むイベン ト パラ メータを選択するこ と もできます。

Email レスポンスの追加レスポンスの追加レスポンスの追加レスポンスの追加 Email レスポンスを追加または変更するには :

1. 次のいずれかを行います。

� Proventia Manager で、 [Responses] を選択します。

� SiteProtector で、 [Response Objects] を選択します。

2. [Email] タブを選択します。

3. [Add] をク リ ッ ク します。

4. 次の表のよ うに、 設定を完了します。

5. [OK] をク リ ッ ク します。

6. 変更内容を保存します。

設定設定設定設定 説明説明説明説明

Name レスポンスの名前を入力します。

ヒン トヒン トヒン トヒン ト : この名前は、 イベン トのレスポンスを選択するときに表示さ

れます。 したがって、 選択内容をユーザーが簡単に判別できるような名前を入力して く ださい。

SMTP Host メール サーバーの完全修飾ド メイン名または IP アドレスを入力しま

す。

注記注記注記注記 : メールによる通知を送信するには、 SMTP ホストがアプライア

ンスからアクセス可能である必要があります。

From 個人またはグループのメール アドレスを入力します。

メール アドレスは、 セミ コロンで区切って く ださい。

To 個人またはグループのメール アドレスを入力します。

メール アドレスは、 セミ コロンで区切って く ださい。

Sensor Parameters メ ッセージの件名を [Subject]、 本文を [Body] に入力します。 リス ト

を展開し、 メ ッセージに追加するパラ メータを選択することもできます。

アプライアンスはイベン トに関して有効なパラ メータを使用します。無効なパラ メータは、 元のタグ形式 (<ObjectName> など ) のまま残り

ます。

99Proventia Network Intrusion Prevention System User Guide

第第第第 9 章章章章 : レスポンスの設定レスポンスの設定レスポンスの設定レスポンスの設定

Email レスポンスでの作レスポンスでの作レスポンスでの作レスポンスでの作

業業業業

Email レスポンスを編集、 コピー、 または削除するには :

1. 次のいずれかを行います。

� Proventia Manager で、 [Responses] を選択します。

� SiteProtector で、 [Response Objects] を選択します。

2. [Email] タブを選択し、 次のいずれかを行います。

3. 変更内容を保存します。

実行内容実行内容実行内容実行内容 手順手順手順手順

編集 ヒン トヒン トヒン トヒン ト : 変更したい項目を [Email] タブでダブルクリ ックする

ことで、 一部のプロパティを直接編集することができます。

1. レスポンスを選択し、 編集編集編集編集のアイコン ( ) をクリ ッ クし

ます。

2. [Enabled] チェ ック ボックスをオンまたはオフにします。

3. このレスポンスを編集し、 [OK] をクリ ックします。

コピー 1. レスポンスを選択し、 コピーコピーコピーコピーのアイコン ( ) をクリ ッ ク

します。

2. 貼り付け貼り付け貼り付け貼り付けのアイコン ( ) をクリ ックします。

3. 必要に応じてレスポンスを編集し、 [OK] をクリ ックしま

す。

削除 1. レスポンスを選択します。

2. 削除削除削除削除のアイコン ( ) をクリ ックします。

100

Log Evidence レスポンスの設定レスポンスの設定レスポンスの設定レスポンスの設定

Log Evidence レスポンスの設定レスポンスの設定レスポンスの設定レスポンスの設定

はじめにはじめにはじめにはじめに イベン トの概要を記録するよ うに、 アプライアンスを設定するこ とができます。 Log Evidence レスポンスは、 イベン ト を ト リ ガするパケッ トのコピーを作成し、 そのパケッ ト を特定する情報 ( イベン ト名、 イベン ト日時、 イベン ト ID) を記録します。 証拠ログは、 侵入者がネッ ト ワークに対して何を行ったか、 または何を行おう と したかを示します。

アプライアンスは、 /var/iss/ ディ レク ト リに対するイベン ト を ト リ ガしたパケッ ト を記録します。

Log Evidence レスポンレスポンレスポンレスポン

スの設定スの設定スの設定スの設定

Log Evidence レスポンスを設定するには :

1. 次のいずれかを行います。

� Proventia Manager で、 [Responses] を選択します。

� SiteProtector で、 [Response Objects] を選択します。

2. [Log Evidence] タブを選択します。

3. 次の表のよ うに、 設定を完了または設定します。

4. 変更内容を保存します。

設定設定設定設定 説明説明説明説明

Maximum Files ログに保管可能なファイルの 大数を入力します。

デフォルトは 10 ファイルです。 ログが 大ファイル数に達す

ると、 ゼロから再開されて既存ファイルが上書きされていきます。

Maximum File Size (in KB) ログに保管可能なファイルの 大サイズを入力します。

デフォルトは 10000 KB です。

Log File Prefix ログ ファイル名のプレフ ィ ックスを入力します。

デフォルトは 「evidence」 です。

Log File Suffix ログ ファイルの拡張子を入力します。

デフォルトは 「.enc」 です。

101Proventia Network Intrusion Prevention System User Guide

第第第第 9 章章章章 : レスポンスの設定レスポンスの設定レスポンスの設定レスポンスの設定

Quarantine レスポンスの設定レスポンスの設定レスポンスの設定レスポンスの設定

はじめにはじめにはじめにはじめに アプライアンスがセキュ リ ティ イベン ト 、 接続イベン ト、 またはユーザー定義イベン ト を検出した場合に侵入者をブロ ッ クするよ う な、 Quarantine レスポンスを作成するこ とができます。 これらのレスポンスはまた、 ワームやト ロイの木馬をブロ ッ ク します。 Quarantine レスポンスは、 アプライアンスがインライン プロテクシ ョ ン モードで動作するよ うに設定してある場合に限って機能します。

注記注記注記注記 : [Quarantined Intrusions] ページには、 検出された侵入イベン トに対応して動的に生成された

検疫ルールが表示されます。 詳細については、 「検疫済み不正侵入の管理」 (110 ページ ) を参照し

て ください。

事前定義された事前定義された事前定義された事前定義された Quarantine レスポンスレスポンスレスポンスレスポンス

次の表では、 アプライアンスに対して事前定義されている 3 つのレスポンスについて説明します。

注記注記注記注記 : 事前定義されたレスポンスの設定を変更するこ とができますが、 名前変更や削除を行う ことはできません。

Quarantine レスポンスレスポンスレスポンスレスポンス

の追加または変更の追加または変更の追加または変更の追加または変更

Quarantine レスポンスを追加または変更するには :

1. 次のいずれかを行います。

� Proventia Manager で、 [Responses] を選択します。

� SiteProtector で、 [Response Objects] を選択します。

2. [Quarantine] タブを選択します。

3. [Add] をク リ ッ クするか、 編集するレスポンスを反転表示させてから [Edit] をク リ ッ ク しま

す。

4. 次の表のよ うに、 設定を完了または設定します。

Quarantine オブジェク トオブジェク トオブジェク トオブジェク ト 説明説明説明説明

Quarantine Intruder 攻撃に関与する両方のマシンを完全にブロックします。

Quarantine Trojan 攻撃の被害を受けたマシンをすべて隔離します。

Quarantine Worm ワームが検索を試みている項目 (SQL ポートなど ) を隔離します。

表表表表 31: 事前定義されたレスポンス オブジェク ト

設定設定設定設定 説明説明説明説明

Name レスポンスの名前を入力します。

ヒン トヒン トヒン トヒン ト : この名前は、 イベン トのレスポンスを選択するときに表示され

ます。 したがって、 選択内容をユーザーが簡単に判別できるような名前を入力して く ださい。

Victim Address 標的となる IP アドレスに基づいてパケッ ト をブロックします。

Victim Port 標的となるポートに基づいてパケッ ト をブロックします。

Intruder Address 発信元の IP アドレスに基づいてパケッ ト をブロックします。

Intruder Port 発信元のポートに基づいてパケッ ト をブロックします。

ICMP Code ICMP コード番号に基づいてパケッ ト をブロックします ( プロ ト コルが 1 の場合 )。

102

Quarantine レスポンスの設定レスポンスの設定レスポンスの設定レスポンスの設定

5. [OK] をク リ ッ ク します。

6. 変更内容を保存します。

ICMP Type ICMP タイプ番号に基づいてパケッ ト をブロックします ( プロ ト コルが 1 の場合 )。

設定設定設定設定 説明説明説明説明

103Proventia Network Intrusion Prevention System User Guide

第第第第 9 章章章章 : レスポンスの設定レスポンスの設定レスポンスの設定レスポンスの設定

SNMP レスポンスの設定レスポンスの設定レスポンスの設定レスポンスの設定

はじめにはじめにはじめにはじめに 特定の値を引き出す接続イベン ト、 セキュ リ ティ イベン ト 、 ユーザー定義イベン トに対して Simple Network Management Protocol (SNMP) 通知レスポンスを設定し、 これらを SNMP マネージャへ送信するこ とができます。

SNMP の機能の機能の機能の機能 Simple Network Management Protocol (SNMP) は、 ネッ ト ワーク管理に使用される一連のプロ ト コルです。 SNMP に準拠したデバイス ( エージェン ト ) は、 自分自身に関するデータを Management Information Base (MIB ) に保管し、 このデータを HP OpenView などの SNMP 管理アプリ ケーシ ョ ンに返します。 SNMP エージェン トは、 同じコ ミ ュニティ内に置かれた SNMP 管理アプリケーシ ョンだけと通信します。 コ ミ ュニティは、 基本認証の目的でユーザーによって設定されます。

ISS MIB ファイルについファイルについファイルについファイルについ

てててて

ISS によって割り当てられたイベン ト名を SNMP ト ラ ップ メ ッセージに表示するために、 ISS MIB ファ イル (iss.mib) を SNMP 管理用アプリ ケーシ ョ ン (Hewlett-Packard OpenView など ) にインポート またはコンパイルするこ とができます。 ISS MIB ファ イルは、 ISS SNMP ト ラ ップの形式を定義します。 また、 ト ラ ップ メ ッセージに含まれる数値のオブジェク ト識別子 (OID) を解釈するために、 管理アプリ ケーシ ョ ンによって使用されます。 iss.mib ファ イルは、 ISS のダウンロード ページ (http://www.iss.net/download/) からダウンロードできます。 SNMP 管理用アプリケーシ ョ ンの使用については、 SNMP 管理用アプリ ケーシ ョ ン ソフ ト ウェアのマニュアルを参照して ください。

SNMP レスポンスの追レスポンスの追レスポンスの追レスポンスの追

加加加加

SNMP レスポンスを削除するには :

1. 次のいずれかを行います。

� Proventia Manager で、 [Responses] を選択します。

� SiteProtector で、 [Response Objects] を選択します。

2. [SNMP] タブを選択します。

3. [Add] をク リ ッ ク します。

4. 次の表のよ うに、 設定を完了します。

5. [OK] をク リ ッ ク します。

6. 変更内容を保存します。

SNMP レスポンスでのレスポンスでのレスポンスでのレスポンスでの

作業作業作業作業

SNMP レスポンスを編集、 コピー、 または削除するには :

1. 次のいずれかを行います。

� Proventia Manager で、 [Responses] を選択します。

� SiteProtector で、 [Response Objects] を選択します。

設定設定設定設定 説明説明説明説明

Name レスポンスの名前を入力します。

ヒン トヒン トヒン トヒン ト : これはイベン トのレスポンスを選択するときに表示される名前で

す。 したがって、 選択内容をユーザーが簡単に判別できるような名前を入力して く ださい。

Manager SNMP Manager が動作しているサーバーの IP アドレスを入力します。

SNMP ト ラ ップを送信するには、 SNMP ホストがアプライアンスからアク

セス可能である必要があります。

Community SNMP エージェン トでの認証で使用される有効な名前 ( 「public」 または

「private」 ) を入力します。

104

SNMP レスポンスの設定レスポンスの設定レスポンスの設定レスポンスの設定

2. [SNMP] タブを選択します。

3. 次のいずれかを行います。

4. 変更内容を保存します。

実行内容実行内容実行内容実行内容 手順手順手順手順

編集 ヒン トヒン トヒン トヒン ト : 変更したい項目を [SNMP] タブでダブルクリ ックす

ることで、 一部のプロパティを直接編集することができます。

1. レスポンスを選択し、 編集編集編集編集のアイコン ( ) をクリ ッ クし

ます。

2. [Enabled] チェ ック ボックスをオンまたはオフにします。

3. このレスポンスを編集し、 [OK] をクリ ックします。

コピー 1. レスポンスを選択し、 コピーコピーコピーコピーのアイコン ( ) をクリ ッ ク

します。

2. 貼り付け貼り付け貼り付け貼り付けのアイコン ( ) をクリ ックします。

3. 必要に応じてレスポンスを編集し、 [OK] をクリ ックしま

す。

削除 1. レスポンスを選択します。

2. 削除削除削除削除のアイコン ( ) をクリ ックします。

105Proventia Network Intrusion Prevention System User Guide

第第第第 9 章章章章 : レスポンスの設定レスポンスの設定レスポンスの設定レスポンスの設定

ユーザー指定レスポンスの設定ユーザー指定レスポンスの設定ユーザー指定レスポンスの設定ユーザー指定レスポンスの設定

はじめにはじめにはじめにはじめに アプリ ケーシ ョ ンまたはスク リプ ト を実行するなど、 ユーザー指定のレスポンスをイベン トに対して設定するこ とができます。

実行ファイルまたはシェ実行ファイルまたはシェ実行ファイルまたはシェ実行ファイルまたはシェルルルル スクリプ トの使用スクリプ トの使用スクリプ トの使用スクリプ トの使用

ユーザー指定レスポンスの場合、 任意のコマンド ライン オプシ ョ ンまたは引数 ( イベン ト名または発信元アドレスなど ) などの Linux バイナリ またはシェル スク リプ ト ファ イルを、 実行ファイル内で使用するこ とができます。

レスポンスを作成したら、 この実行ファイルをアプライアンスへ手動でコピーする必要があ り ます。 ユーザー指定レスポンスは必要なだけ定義できますが、 アプライアンスは特定のイベン トに対して 1 つのレスポンスしか実行できません。 一連の実行ファイルを実行するには、 アプライアンスが実行可能な 1 つのシェル スク リプ トにすべてのコマンドを置く必要があ り ます。

ユーザー指定レスポンスユーザー指定レスポンスユーザー指定レスポンスユーザー指定レスポンスの追加の追加の追加の追加

ユーザー指定レスポンスを追加するには :

1. 次のいずれかを行います。

� Proventia Manager で、 [Responses] を選択します。

� SiteProtector で、 [Response Objects] を選択します。

2. [User Specified] タブを選択します。

3. [Add] をク リ ッ ク します。

4. 次の表のよ うに、 設定を完了します。

5. [OK] をク リ ッ ク します。

6. 変更内容を保存します。

ユーザー指定レスポンスユーザー指定レスポンスユーザー指定レスポンスユーザー指定レスポンスでの作業での作業での作業での作業

ユーザー指定レスポンスを編集、 コピー、 または削除するには :

1. 次のいずれかを行います。

� Proventia Manager で、 [Responses] を選択します。

� SiteProtector で、 [Response Objects] を選択します。

2. [User Specified] タブを選択します。

設定設定設定設定 説明説明説明説明

Name レスポンスの名前を入力します。

ヒン トヒン トヒン トヒン ト : これはイベン トのレスポンスを選択するときに表示される名

前です。 したがって、 選択内容をユーザーが簡単に判別できるような名前を入力して く ださい。

Command レスポンスに関連付けられたコマンドを入力します。

Sensor Parameters リスト を展開し、 パラ メータを選択してから [Add] をクリ ックします。

レスポンスに追加するパラ メータごとに、 この手順を繰り返します。

[Move Up] または [Move Down] をクリ ックして、 パラメータを適切な

順序に並べ替えることができます。

106

ユーザー指定レスポンスの設定ユーザー指定レスポンスの設定ユーザー指定レスポンスの設定ユーザー指定レスポンスの設定

3. 次のいずれかを行います。

4. 変更内容を保存します。

実行内容実行内容実行内容実行内容 手順手順手順手順

編集 ヒン トヒン トヒン トヒン ト : 変更したい項目を [User Specified] タブでダブルク

リ ックすることで、 一部のプロパティを直接編集することができます。

1. レスポンスを選択し、 編集編集編集編集のアイコン ( ) をクリ ッ クし

ます。

2. [Enabled] チェ ック ボックスをオンまたはオフにします。

3. このレスポンスを編集し、 [OK] をクリ ックします。

コピー 1. レスポンスを選択し、 コピーコピーコピーコピーのアイコン ( ) をクリ ッ ク

します。

2. 貼り付け貼り付け貼り付け貼り付けのアイコン ( ) をクリ ックします。

3. 必要に応じてレスポンスを編集し、 [OK] をクリ ックしま

す。

削除 1. レスポンスを選択します。

2. 削除削除削除削除のアイコン ( ) をクリ ックします。

107Proventia Network Intrusion Prevention System User Guide

第第第第 9 章章章章 : レスポンスの設定レスポンスの設定レスポンスの設定レスポンスの設定

108

第第第第 10 章章章章

その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定

概要概要概要概要

はじめにはじめにはじめにはじめに この章では、 ユーザー定義イベン ト、 接続イベン ト、 Trons イベン ト などのその他不正侵入防御設定の設定と管理の方法について説明します。 また、 検疫済み不正侵入の管理、 アプライアンスのグローバルな調整パラ メータの表示、 X-Force ブロ ッキングの監視の方法についても説明します。

この章の内容この章の内容この章の内容この章の内容 この章では、 次のト ピッ クについて説明します。

ト ピックト ピックト ピックト ピック ページページページページ

検疫済み不正侵入の管理 110

接続イベン トの設定 111

ユーザー定義イベン トの設定 115

ユーザー定義イベン トのコンテキスト 117

ユーザー定義イベン トでの正規表現 122

ユーザー定義イベン ト情報の表示 124

Trons イベン トの設定 125

グローバル調整パラ メータの設定 127

X-Force デフォルト ブロッキングの設定 129

109Proventia Network Intrusion Prevention System User Guide

第第第第 10 章章章章 : その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定

検疫済み不正侵入の管理検疫済み不正侵入の管理検疫済み不正侵入の管理検疫済み不正侵入の管理

はじめにはじめにはじめにはじめに [Quarantined Intrusions] ページには、 検出された侵入イベン トに対応して動的に生成された検疫ルールが表示されます。 これらのルールは、 ブロ ッ クするパケッ ト とブロ ッ ク期間を指定します。これらはワームの拡散を防ぎ、 バッ ク ドアまたはト ロイの木馬に感染したシステムへのアクセスを拒否します。

重要重要重要重要 : 検疫済み不正侵入の表示または削除は、 Proventia Manager からでないと行えません。

Quarantine Rules の列の列の列の列 [Quarantine Rules] タブには、 次の情報が表示されます。

注記注記注記注記 : フ ィールド内のアスタ リ スク (*) は、 ルールのこの部分が無視されるこ とを示します。

検疫ルール詳細の表示検疫ルール詳細の表示検疫ルール詳細の表示検疫ルール詳細の表示 検疫ルールの詳細を表示するには :

1. Proventia Manager インターフェースで、 [Intrusion Prevention] [Quarantined Intrusions] の順に

選択します。

2. [Quarantine Rules] タブでルールを選択し、 [Display] をク リ ッ ク します。

3. [OK] をク リ ッ ク し、 [Quarantine Rules] タブに戻り ます。

検疫ルールの削除検疫ルールの削除検疫ルールの削除検疫ルールの削除 検疫ルールを削除するには :

1. Proventia Manager インターフェースで、 [Intrusion Prevention] [Quarantined Intrusions] の順に

選択します。

2. [Quarantine Rules] 表でルールを選択し、 [Remove] をク リ ッ ク します。

3. 変更内容を保存します。

フ ィールドフ ィールドフ ィールドフ ィールド 説明説明説明説明

Source IP ブロック対象パケッ トの発信元 IP アドレスを示します。

Source Port ブロック対象パケッ トの発信元ポート番号を示します ( プロ ト コルが 6 または 17 の場合 )。

Dest IP ブロック対象パケッ トの宛先 IP アドレスを示します。

Dest Port ブロック対象パケッ トの宛先ポート番号を示します ( プロ ト コルが 6 または 17 の場合 )。

ICMP Type ブロック対象パケッ トの ICMP タイプ番号を示します ( プロ ト コルが 1 の場合 )。

ICMP Code ブロック対象パケッ トの ICMP コード番号を示します ( プロ ト コルが 1 の場合 )。

Protocol ルールの IP プロ ト コルを示します (ICMP = 1、 TCP = 6、 UDP = 17)。

Expiration Time ルールの有効期限を示します。

Block Percentage ドロップされるパケッ トのパーセンテージを示します ( 一部のサービス

不能攻撃の影響を弱めるために、 100% より低い値を使用できます )。

表表表表 32: Quarantine Rules の列

110

接続イベン トの設定接続イベン トの設定接続イベン トの設定接続イベン トの設定

接続イベン トの設定接続イベン トの設定接続イベン トの設定接続イベン トの設定

はじめにはじめにはじめにはじめに 接続イベン トは、 特定のアドレスまたはポート との間のオープンな接続について知らせるユーザー定義の通知です。 アプライアンスが指定ポートでネッ ト ワーク アクティビティを検出した場合に、アクティビティやネッ ト ワーク パケッ トの種類、 または交換されるネッ ト ワーク パケッ トの内容に関係なく、 これらの通知が生成されます。

[Connection Events] ページには、 さまざまな接続タイプ (WWW、 FTP、 IRC など ) に対して事前定義された接続イベン トがリ ス ト アップされています。 このページを使用して、 これらイベン トのカスタマイズや、 監視の必要がある ト ラフ ィ ッ クをカバーする独自のイベン トの作成を行います。

たとえば、 誰かが FTP を使用してネッ ト ワークに接続するたびにコンソールへ警告する接続イベン ト を発生させるシグネチャを定義するこ とができます。

注記注記注記注記 : 接続は常に、 指定した宛先ポートに対して登録されます。 したがって、 FTP 接続を監視す

るには FTP ポート を使用する必要があ り ます。 各方向の ト ラフ ィ ッ クに関しては、 接続ごとに 1 つの項目で十分です。

接続イベン トの機能接続イベン トの機能接続イベン トの機能接続イベン トの機能 接続イベン トは、 特定アドレスからのネッ ト ワーク ト ラフ ィ ッ クが特定のネッ ト ワーク プロ ト コルを使用し、 特定のポート を通じて監視対象のネッ ト ワークに接続する場合に発生します。 アプライアンスは、 パケッ ト ヘッダーの値を使用して、 これらの接続を検出します。 接続イベン トは、必ずしも攻撃またはその他疑わしいアクティビティである とはいえませんが、 場合によってはセキュ リティ管理者にとって興味深いネッ ト ワーク事象です。

注記注記注記注記 : 接続イベン トは、 特定の攻撃シグネチャの有無についてネッ ト ワークを監視するわけではあ り ません。 この種の攻撃を監視するには、 セキュ リ ティ イベン ト を使用します。 詳細について

は、 「セキュ リ ティ イベン トの設定」 (84 ページ ) を参照してください。

接続イベン トの削除につ接続イベン トの削除につ接続イベン トの削除につ接続イベン トの削除についていていていて

任意の接続イベン ト を、 リ ス トから削除するこ とができます。 ただし、 事前定義された接続イベント を以前に編集し、 後から削除するこ とにした場合、 そのイベン トは事前定義された状態には戻らないので注意してください。 イベン トは一覧から完全に削除されます。 このイベン ト を今後再び使おう と しても、 利用できなくなり ます。

イベン ト を無効にし、 リ ス トに留めておく こ とを検討してください。 こ う しておけば、 別の機会にも う一度イベン ト を使用する場合も、 なんらかの形でそのイベン ト を使用するこ とが可能です。

接続イベン トの追加接続イベン トの追加接続イベン トの追加接続イベン トの追加 接続イベン ト を追加するには :

注記注記注記注記 : この手順に出てく る設定は、 [Connection Events] ページに表示される列に対応しています。

1. [Connection Events] ページで、 [Add] をク リ ッ ク します。

2. 次の表のよ うに、 設定を完了します。

設定設定設定設定 説明説明説明説明

Enabled イベン トは、 デフォルトで有効になっています。 必要であれば、チェ ック ボックスをオフにしてイベン ト を無効にします。

Event Name イベン トの内容を説明するような固有の名前を入力します。

事前定義されたイベン ト を編集中である場合は、 名前が読み取り専用で表示されます。

Comment イベン ト用の固有の説明を入力します。

Severity イベン トの危険度 (Low、 Medium、 High) を選択します。

111Proventia Network Intrusion Prevention System User Guide

第第第第 10 章章章章 : その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定

Event Throttling 期間を秒単位で入力します。

指定期間中に、 攻撃と一致するイベン トが 大で 1 つレポート さ

れます。

デフォルト値は 0 ( ゼロ ) です。 この設定では、 イベン ト スロッ ト

リングは無効です。

Protocol イベン トのプロ ト コルを入力します。

ICMP プロ ト コルを選択した場合は、 パケッ トの両側について ICMP タイプまたはコードを入力するか、 [Well Known] をクリ ッ

クしてよ く使用するタイプとコードを選択します。

Display マネージメン ト コンソールでのイベン ト表示方法を選択します。

• No Display - 検出されたイベン ト を表示しません。

• WithoutRaw - イベン トの概要を記録します。

• WithRaw - イベン トの概要と、 関連するパケッ ト キャプチャ

を記録します。

Block パケッ ト をドロップして TCP 接続に対するリセッ ト パケッ ト を

送信することで攻撃をブロックするには、 このチェ ック ボックス

をオンにします。

Log Evidence /var/iss/ ディレク ト リに対するイベン ト を ト リガしたパケッ ト を記

録するには、 このチェ ック ボックスをオンにします。

IP Address and Port 手順 4 を参照して ください。

Responses 手順 5 を参照して ください。

設定設定設定設定 説明説明説明説明

112

接続イベン トの設定接続イベン トの設定接続イベン トの設定接続イベン トの設定

3. IP アドレス とポートアド レス とポートアド レス とポートアド レス とポートの設定を、 必要に応じて次の表のよ うに指定します。

4. [Response] の設定を、 必要に応じて次の表のよ うに完了します。 リ ス ト内の任意のレスポンス

のプロパティを変更するには、 [Edit] をク リ ッ ク します。 詳細については、 「レスポンスの設

定」 (97 ページ ) を参照して ください。

5. [OK] をク リ ッ ク します。

設定設定設定設定 説明説明説明説明

Address Not 指定するアドレスを除外するには、 このチェ ッ ク ボックスをオンにします。

Any すべてのアドレスを含めるには、 このオプシ ョ ンをオンにします。

Single Address 1 つのアドレスをフ ィルタ リングするには、 このオ

プシ ョ ンをオンにしてから [Address] にアドレスを

入力します。

Address Range 1 つのアドレス範囲をフ ィルタ リングするには、 こ

のオプシ ョ ンをオンにしてから [Range] に 初のア

ドレスと 後のアドレスを入力します。

注記注記注記注記 : サイ ト範囲として 0.0.0.0 ～ 255.255.255.255 は使用しないで ください。 これをサイ ト範囲として使用すると、 Web サイ トの IP アドレスなどのラン

ダムな IP アドレスが [Ungrouped Assets] フォルダ

に追加されます。

Network Address/#Network Bit (CIDR)

サブネッ ト上の IP アドレスを含める場合に、 この

オプシ ョ ンをオンにします。 IP アドレスとマスクを

入力して ください。 マスクとはネッ トワーク識別子のことで、 1 ～ 32 の数値です。 例 : 128.8.27.18 / 16.

Port Not 指定するポート を除外するには、 このチェ ッ ク ボッ

クスをオンにします。

Any すべてのポート を含めるには、 このオプシ ョ ンをオンにします。

Single Port 1 つのポートを含めるには、 このオプシ ョ ンをオン

にしてから [Port] に数値を入力します。

Port Range 1 つのポート範囲を含めるには、 このオプシ ョ ンを

オンにしてから [Range] に 初のポート と 後の

ポート を入力します。

レスポンスレスポンスレスポンスレスポンス 説明説明説明説明

Email リス トから Email レスポンスを選択します。

Quarantine 1 つ以上のチェ ック ボックスをオンにして、 Quarantine レスポンス

を有効にします。

SNMP リス トから SNMP レスポンスを選択します。

User Defined 1 つ以上のチェ ック ボックスをオンにして、 ユーザー定義レスポン

スを有効にします。

113Proventia Network Intrusion Prevention System User Guide

第第第第 10 章章章章 : その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定

6. 変更内容を保存します。

接続イベン トのフ ィルタ接続イベン トのフ ィルタ接続イベン トのフ ィルタ接続イベン トのフ ィルタリングリングリングリング

接続イベン ト をフ ィルタ リ ングするには :

1. [Connection Events] ページで [Filter] チェッ ク ボッ クスをオンにしてフ ィルタ リ ングを有効に

します。

2. [Filter] をク リ ッ ク します。

3. 各カテゴ リについて、 適用するフ ィルタを選択します。

デフォルトでは、 すべてのフ ィルタが [Any] に設定されています。 この設定では、 そのカテゴ

リ と一致する任意の結果が検索されます。

4. [OK] をク リ ッ ク します。

5. 変更内容を保存します。

接続イベン トでの作業接続イベン トでの作業接続イベン トでの作業接続イベン トでの作業 接続イベン ト を編集、 コピー、 または削除するには :

1. [Connection Events] ページで、 次のいずれかを行います。

2. 変更内容を保存します。

実行内容実行内容実行内容実行内容 手順手順手順手順

編集 ヒン トヒン トヒン トヒン ト : 変更したい項目を [Connection Event] ページでダブル

クリ ックすることで、 一部のプロパティを直接編集することができます。

1. イベン ト を選択し、 編集編集編集編集のアイコン ( ) をクリ ッ クしま

す。

2. [Enabled] チェ ック ボックスをオンまたはオフにします。

3. このイベン ト を編集し、 [OK] をクリ ックします。

コピー 1. イベン ト を選択し、 コピーコピーコピーコピーのアイコン ( ) をクリ ッ クし

ます。

2. 貼り付け貼り付け貼り付け貼り付けのアイコン ( ) をクリ ックします。

3. 必要に応じてイベン ト を編集し、 [OK] をクリ ックします。

削除 1. イベン ト を選択します。

2. 削除削除削除削除のアイコン ( ) をクリ ックします。

詳細については、 「接続イベン トの削除について」 (111 ペー

ジ ) を参照して ください。

114

ユーザー定義イベン トの設定ユーザー定義イベン トの設定ユーザー定義イベン トの設定ユーザー定義イベン トの設定

ユーザー定義イベン トの設定ユーザー定義イベン トの設定ユーザー定義イベン トの設定ユーザー定義イベン トの設定

はじめにはじめにはじめにはじめに ポリシー内で有効になっているイベン トは、 アプライアンスが検出するものを決定します。 ユーザー定義イベン トは、 コンテキス トに基づいて作成します。 コンテキス トは、 イベン トについてアプライアンスがスキャンを行うネッ ト ワーク パケッ トの種類と部分を基本的に指定します。

ユーザー定義イベン トのユーザー定義イベン トのユーザー定義イベン トのユーザー定義イベン トの追加追加追加追加

ユーザー定義イベン ト を追加するには :

注記注記注記注記 : この手順に出てく る設定は、 [User Defined Events] ページに表示される列に対応しています。

1. [User Defined Events] ページで、 [Add] をク リ ッ ク します。

2. 次の表のよ うに、 設定を完了します。

設定設定設定設定 説明説明説明説明

Enabled イベン トは、 デフォルトで有効になっています。 無効にするには、 このチェ ッ ク ボックスをオフにします。

Name イベン ト用の固有の名前を入力します。

Comment イベン ト用の固有の説明を入力します。

Severity イベン トの危険度 (high、 medium、 low) を選択します。

Context アプライアンスがスキャンする必要のあるネッ トワーク パケッ トの

種類と部分を選択します。

詳細については、 「ユーザー定義イベン トのコンテキスト」 (117 ペー

ジ ) を参照して く ださい。

Search String イベン トがこのシグネチャと一致するかどうかを判断する、パケッ ト ( コンテキスト ) 内のテキスト文字列を入力します。 文字列には、 ワ

イルドカードその他の式を使用できます。

詳細については、 「ユーザー定義イベン トでの正規表現」 (122 ページ

) を参照して ください。

Event Throttling 期間を秒単位で入力します。

指定期間中に、 攻撃と一致するイベン トが 大で 1 つレポート されま

す。

デフォルト値は 0 ( ゼロ ) です。 この設定では、 イベン ト スロッ ト リ

ングは無効です。

Display マネージメン ト コンソールでのイベン ト表示方法を選択します。

• No Display - 検出されたイベン ト を表示しません。

• WithoutRaw - イベン トの概要を記録します。

• WithRaw - イベン トの概要と、 関連するパケッ ト キャプチャを記

録します。

Block パケッ ト をドロップして TCP 接続に対するリセッ ト パケッ ト を送信

することで攻撃をブロックするには、 このチェ ック ボックスをオン

にします。

Log Evidence /var/iss/ ディ レク ト リに対するイベン ト を ト リガしたパケッ ト を記録

するには、 このチェ ッ ク ボックスをオンにします。

115Proventia Network Intrusion Prevention System User Guide

第第第第 10 章章章章 : その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定

3. [OK] をク リ ッ ク します。

イベン トがリ ス トの 後に表示されます。

4. 変更内容を保存します。

ユーザー定義イベン トでユーザー定義イベン トでユーザー定義イベン トでユーザー定義イベン トでの作業の作業の作業の作業

ユーザー定義イベン ト を編集、 コピー、 または削除するには :

1. [User Defined Events] ページで、 次のいずれかを行います。

2. 変更内容を保存します。

Responses レスポンスを有効にするには、 次のいずれかのタブを選択します。

• Email - リストから Email レスポンスを選択します。

• Quarantine - 1 つ以上のチェ ック ボックスをオンにして、

Quarantine レスポンスを有効にします。

• SNMP - リス トから SNMP レスポンスを選択します。

• User Defined - 1 つ以上のチェ ック ボックスをオンにして、 ユー

ザー定義レスポンスを有効にします。

注記注記注記注記 : リスト内の任意のレスポンスのプロパティを変更するには、

[Edit] をクリ ッ クします。

詳細については、 「レスポンスの設定」 (97 ページ ) を参照して く ださ

い。

設定設定設定設定 説明説明説明説明

実行内容実行内容実行内容実行内容 手順手順手順手順

編集 ヒン トヒン トヒン トヒン ト : 変更したい項目を [User Defined Events] ページでダ

ブルクリ ックすることで、 一部のプロパティを直接編集することができます。

1. イベン ト を選択し、 編集編集編集編集のアイコン ( ) をクリ ッ クしま

す。

2. [Enabled] チェ ック ボックスをオンまたはオフにします。

3. このイベン ト を編集し、 [OK] をクリ ックします。

コピー 1. イベン ト を選択し、 コピーコピーコピーコピーのアイコン ( ) をクリ ッ クし

ます。

2. 貼り付け貼り付け貼り付け貼り付けのアイコン ( ) をクリ ックします。

3. 必要に応じてイベン ト を編集し、 [OK] をクリ ックします。

削除 1. イベン ト を選択します。

2. 削除削除削除削除のアイコン ( ) をクリ ックします。

116

ユーザー定義イベン トのコンテキス トユーザー定義イベン トのコンテキス トユーザー定義イベン トのコンテキス トユーザー定義イベン トのコンテキス ト

ユーザー定義イベン トのコンテキストユーザー定義イベン トのコンテキストユーザー定義イベン トのコンテキストユーザー定義イベン トのコンテキスト

はじめにはじめにはじめにはじめに ユーザー定義イベン トのシグネチャを作成する場合は、 イベン トについて監視するネッ ト ワーク パケッ トの種類と特定部位をアプライアンスへ指示するコンテキス ト を選択します。 コンテキス トを指定したら、 パケッ ト をスキャンする と きの検索対象となる文字列を追加します。 詳細については、 「ユーザー定義イベン トでの正規表現」 (122 ページ ) を参照して ください。

たとえば、 Email_Subject という コンテキス トは、 メール パケッ ト ( メ ッセージ ) の件名を監視するよ うにアプライアンスを設定します。

DNS_Query コンテキスコンテキスコンテキスコンテキス

トトトト

ほとんどのプログラムは、 ド メ イン名を使用してインターネッ ト上のリ ソースにアクセスします。こ う したプログラムは、 サーバー上で DNS 名を検索して、 インターネッ ト リ ソースの具体的な IP を確認します。 DNS_Query コンテキス ト を使用して、 具体的な IP アドレスが分からない場合に特定のサイ ト またはサイ ト分野に対するアクセスを監視します。

� 監視内容監視内容監視内容監視内容

DNS_Query コンテキス トは、 UDP および TCP 上の DNS 照会パケッ トおよび DNS 応答パケッ

ト内の DNS 名を監視します。 アプライアンスは、 [Search String] ボッ クス内の情報と、 パケッ

ト内ド メ イン名の拡張版 ( 人間が判読可能な形式 ) とを比較します。

ユーザーが IP アドレスを使用して直接サイ トにアクセスしている と、 DNS 参照は発生せず、

アプライアンスはイベン ト を検出できません。

特定の URL を監視する場合は、 ド メ イン名は 初の要素に過ぎないこ とを念頭に置いてくだ

さい。 たとえば、 「//www.cnn.com」 は 「http://www.cnn.com/stories」 の 初の要素です。 URL の残り部分を検出するには、 URL_Data コンテキス ト ( 「URL_Data コンテキス ト 」 (120 ページ

) を参照 ) を使用してください。

� 例例例例

DNS_Query コンテキス ト と 「www.microsoft.com」 という文字列値とを併用して、 Microsoft の Web サイ トにアクセスするユーザーを監視するこ とができます。

サイ ト上のユーザーによるインターネッ ト上のハッカー関連素材へのアクセスが懸念される場合は、 次のよ う なド メ インへのアクセスを監視するこ とができます。

� hackernews.com

� rootshell.com

Email_Receiver コンテコンテコンテコンテ

キストキス トキス トキス ト

Email_Receiver コンテキス ト を使用して、 特定の受信者から発着する メールを監視します。

� 監視内容監視内容監視内容監視内容

Email_Receiver コンテキス トは、 SMTP、 POP、 IMAP プロ ト コルを使用したメール ヘッダー

の受信者アドレス部分を監視します。 Email_Receiver コンテキス ト を使用するシグネチャに一

致するイベン ト をアプライアンスが検出した場合は、 イベン トの詳細を調査し、 メールに使用されたプロ ト コルを確認するこ とができます。

注記注記注記注記 : このコンテキス トは、 MAPI プロ ト コルで送信されたメールを監視しません。

� 例例例例

何者かが 「ソーシャル エンジニア リ ング」 を使用して特定の従業員を操作している疑いがあ

る場合は、 該当する従業員のアドレスに宛てた着信メールを監視し、 発信元 IP を記録するこ

とができます。 または、 企業内の機密情報を何者かが特定の外部メール アドレスへ漏洩して

いる疑いがある場合は、 そのアドレスに対する メールを追跡するこ とができます。

Email_Sender コンテキコンテキコンテキコンテキ

ストス トス トス ト

Email_Sender コンテキス ト を使用して、 特定の受信者から発着する メールを監視します。

� 監視内容監視内容監視内容監視内容

117Proventia Network Intrusion Prevention System User Guide

第第第第 10 章章章章 : その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定

Email_Sender コンテキス トは、 SMTP、 POP、 IMAP プロ ト コルを使用したメール ヘッダーの

送信者アドレス部分を監視します。 Email_Sender コンテキス ト を使用するシグネチャに一致す

るイベン ト をアプライアンスが検出した場合は、 イベン トの詳細を調査し、 メールに使用されたプロ ト コルを確認するこ とができます。

注記注記注記注記 : このコンテキス トは、 MAPI プロ ト コルで送信されたメールを監視しません。

� 例例例例

Email_Sender コンテキス ト を使用して、 ソーシャル エンジニア リ ングの事例やその他従業員

操作 ( 着信 )、 または企業からの情報漏洩 ( 発信 ) を検出します。

Email_Subject コンテコンテコンテコンテ

キストキス トキス トキス ト

Email_Subject コンテキス ト を使用して、 メールの件名を監視します。

� 監視内容監視内容監視内容監視内容

Email_Subject コンテキス トは、 SMTP、 POP、 IMAP プロ ト コルを使用したメール ヘッダーの

件名を監視します。

注記注記注記注記 : このコンテキス トは、 MAPI プロ ト コルで送信されたメールを監視しません。

� 例例例例

重要なプロジェク トの名前またはファイルの名前を監視するこ とで情報漏洩を検出するシグネチャを作成するこ とができます。

Email_Subject を使用して、 ILOVEYOU ウ ィルスなどのウ ィルスを検出するこ と もできます。

ヒン トヒン トヒン トヒン ト : ウ ィルスやその他攻撃は件名を体系的に変更するプログラムを発達させているので、この種のウ ィルスを追跡するには Email_Content コンテキス ト を使用してください。

File_Name コンテキスコンテキスコンテキスコンテキス

トトトト

File_Name コンテキス ト を使用して、 ネッ ト ワーク越しに組織内の機密ファイルにアクセスする人を監視します。

� 監視内容監視内容監視内容監視内容

File_Name コンテキス トは、 次のいずれかのプロ ト コルを使用して リモートからファ イルの読

み取り またはファイルへの書き込みを試みる人 ( またはプログラム ) を検出します。

� TFTP

� FTP

� Windows のファイル共有 (CIFS または Samba)

� NFS

注記注記注記注記 : NFS は、 ファ イル名を直接参照せずにファイルを開く こ とができます。 このコンテキ

ス ト を使用して NFS アクセスを監視しても、 100% の効果は得られません。

� 例例例例

Windows ネッ ト ワークに広がった 1999 年の ExploreZip ワームは、 リモートの Windows 共有の

特定ファイルに書き込みを試みました。 このよ う なワームの場合、 ファ イルへのアクセス試みを監視してワームがローカルで蔓延するのを阻止するこ とができます。

News_Group コンテキコンテキコンテキコンテキ

ストス トス トス ト

News_Group コンテキス ト を使用して、 企業内のユーザーがアクセスするニュース グループの名前を監視します。

� 監視内容監視内容監視内容監視内容

News_Group コンテキス トは、 NNTP プロ ト コルを使用してニュース グループにアクセスする

ユーザーを監視します。

� 例例例例

118

ユーザー定義イベン トのコンテキス トユーザー定義イベン トのコンテキス トユーザー定義イベン トのコンテキス トユーザー定義イベン トのコンテキス ト

このコンテキス ト を使用して、 企業のインターネッ ト使用ポ リシーに照らして不適切である、ハッカーやポルノグラフ ィなどのニュース グループに対する投稿を検出するこ とができます。

Password コンテキストコンテキストコンテキストコンテキスト Password コンテキス ト を使用して、 ネッ ト ワーク上をク リ アテキス トで通過するパスワードを特定します。 パスワードが暗号化されていないと、 攻撃者は別のサイ トからスニッファ プログラムを使って ト ラフ ィ ッ クを監視し、 パスワードを簡単に盗むこ とができます。

� 監視内容監視内容監視内容監視内容

Password コンテキス トは、 FTP、 POP、 IMAP、 NNTP、 HTTP プロ ト コルを使用してパスワー

ドをク リ アテキス トで送信しているプログラムまたはユーザーを監視します。

また、 Password コンテキス ト を使用して次のこ と も可能です。

� セキュ リ ティを侵害されたアカウン ト を監視して、 法的なデータを入手する

� 解雇された従業員のアカウン ト を監視する

� デフォルト パスワードの使用を検出する

注記注記注記注記 : このコンテキス トは、 暗号化されたパスワードを監視しません。

� 例例例例

セキュリテ ィ侵害されたアカウン トの監視 ：セキュリテ ィ侵害されたアカウン トの監視 ：セキュリテ ィ侵害されたアカウン トの監視 ：セキュリテ ィ侵害されたアカウン トの監視 ： セキュ リティ侵害されたアカウン ト を取り消し

た後、 このアカウン ト を使おう とする外からの試みを監視するシグネチャを作成し、 セキュ リティ侵害されたデータにアクセスした人物を捜し出します。

解雇された従業員のアカウン トの監視解雇された従業員のアカウン トの監視解雇された従業員のアカウン トの監視解雇された従業員のアカウン トの監視 : 解雇された従業員のパスワードの検索を追加して、

閉じられたこれらアカウン トに対する リモートからのアクセス試みを検出します。

デフォルトデフォルトデフォルトデフォルト パスワード使用の検出パスワード使用の検出パスワード使用の検出パスワード使用の検出 : 自分のサイ トに関連するデフォルト パスワードを検索す

るシグネチャを設定して、 一般的な脆弱性の有無を調査する攻撃者を検出します。

注記注記注記注記 : X-Force データベースには、 このよ うなアカウン ト名を詳し く説明したレコードが数多

く含まれています。 デフォルト パスワードの詳細については、 X-Force データベース (http://xforce.iss.net) 内でパスワードを調べてください。

� このシグネチャのこのシグネチャのこのシグネチャのこのシグネチャの Internet Scanner との併用との併用との併用との併用

Internet Scanner を使用してネッ ト ワークをスキャンしている場合、 パスワード スキャンの結

果、 このコンテキス ト を使用してデフォルト パスワードをチェッ クするシグネチャによって、

このイベン トが多数検出される可能性があ り ます。

119Proventia Network Intrusion Prevention System User Guide

第第第第 10 章章章章 : その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定

SNMP_Community ココココンテキストンテキストンテキストンテキスト

SNMP_Community コンテキス ト を使用して、 SNMP コ ミ ュニティ文字列の悪用の可能性を監視します。

� 監視内容監視内容監視内容監視内容

SNMP_Community コンテキス トは、 SNMP コ ミ ュニティ文字列を含むパケッ ト を監視します。

SNMP コ ミ ュニティ文字列は、 SNMP メ ッセージに含まれるク リ アテキス トのパスワードで

す。 このパスワードは、 各メ ッセージを認証します。 パスワードが有効なコ ミ ュニティ文字列ではない場合、 そのメ ッセージは拒否されます。

許可されていないユーザーがコ ミ ュニティ文字列を知っている場合、 そのユーザーがこの情報を利用して機器から貴重な設定データを入手し、 場合によっては機器を再設定する可能性があり ます。

重要重要重要重要 : 独自性の高いコ ミ ュニティ文字列を使用し、 定期的に設定変更を行う こ とを強くお薦めします。

� 例例例例

古い文字列を使おう とするユーザーの検出古い文字列を使おう とするユーザーの検出古い文字列を使おう とするユーザーの検出古い文字列を使おう とするユーザーの検出 : SNMP コ ミ ュニティ文字列を変更する場合は、

このコンテキス ト を使ったシグネチャを作成して、 古い文字列の使用を試みるユーザーを検索するよ うにアプライアンスへ指示してください。

デフォルト文字列使用の検出デフォルト文字列使用の検出デフォルト文字列使用の検出デフォルト文字列使用の検出 : X-Force データベースには、 一般的な機器におけるデフォルト コ ミ ュニティ文字列に関連したいくつかの脆弱点に関する情報が含まれています。 攻撃者は、このよ う なデフォルト パスワードを使用するこ とで機器へのアクセスを試みます。 このアク

ティビティを検出するよ うにアプライアンスを設定するには、 このコンテキス ト を使用して、サイ ト内の機器に関連するデフォルト パスワードについて監視を行うシグネチャを作成しま

す。 このよ う なシグネチャは、 一般的な脆弱点の有無を調べよ う とする攻撃者を検出するこ とができます。

参照参照参照参照 : デフォルト パスワードの詳細については、 X-Force データベース (http://xforce.iss.net) 内で 「SNMP」 を検索してください。

� このシグネチャのこのシグネチャのこのシグネチャのこのシグネチャの Internet Scanner との併用との併用との併用との併用

Internet Scanner を使用してネッ ト ワークをスキャンしている場合、 SNMP スキャンの結果、 こ

のコンテキス ト を使用して SNMP コ ミ ュニティ文字列をチェッ クするシグネチャによって、

このイベン トが多数検出される可能性があ り ます。

URL_Data コンテキスコンテキスコンテキスコンテキス

トトトト

URL_Data コンテキス ト を使用して、 さまざまなセキュ リティ上の問題点または HTTP GET 要求に関連したポリ シー上の問題点を監視します。 HTTP GET 要求は、 Web ブラウザなどのク ライアン トが Web サーバーにファイルを要求する場合に発生します。 HTTP GET 要求は、 Web サーバーからファイルを取得するための も一般的な方法です。

� 監視内容監視内容監視内容監視内容

URL_Data コンテキス トは、 HTTP GET 要求を通じてアクセスされた場合に、 特定の文字列が

ないかど うか URL の内容 ( ド メ イン名またはアドレス自体を除く ) を監視します。

注記注記注記注記 : このコンテキス トは、 HTTP GET 要求に関連する ド メ イン名を監視しません。

� 例例例例

このコンテキス ト を使用して、 脆弱な CGI スク リプ トに関連する攻撃を監視します。 1999 年 8 月にリ リースされた ISS アドバイザリ #32 ( 英語版 ) では、 このコンテキス ト を使用して Microsoft Internet Information Server コンポーネン トの脆弱点の悪用試みを検索する方法が説明

されています。

参照参照参照参照 : 詳細については、 「Vulnerabilities in Microsoft Remote Data Service」 (http://xforce.iss.net/alerts/advise32.php) を参照してください。

このコンテキス ト を使用して、 従業員が会社で禁止されているサイ ト ( ポルノ サイ ト など ) へのアクセスにコンピュータを使用していないかど うかを全般的に検索するこ と もできます。

120

ユーザー定義イベン トのコンテキス トユーザー定義イベン トのコンテキス トユーザー定義イベン トのコンテキス トユーザー定義イベン トのコンテキス ト

User_Login_Name ココココンテキストンテキストンテキストンテキスト

User_Login_Name コンテキス ト を使用して、 認証要求の間にプレーンテキス ト形式で公開されるユーザー名を検出します。 このコンテキス トは多数のプロ ト コルに対して機能するので、 攻撃者が使用するプロ ト コルに関係なく、 特定アカウン トの使用の試みを追跡するこ とができます。

� 監視内容監視内容監視内容監視内容

User_Login_Name コンテキス トは、 FTP、 POP、 IMAP、 NNTP、 HTTP、 Windows、 R* プロ ト

コルを使用する認証要求内にプレーンテキス トのユーザー名がないかど うか監視します。

� 例例例例

このコンテキス トは、 セキュ リ ティ侵害されたアカウン トの使用を追跡する場合や、 近解雇された従業員が旧アカウン トにオンライン アクセスしている疑いがある場合に使用します。

「FredJ」 という アカウン トが攻撃によってセキュ リティ侵害されているこ とがわかっている場

合は、 このコンテキス ト を使用して、 このアカウン トへのアクセス試みを検索するよ う なシグネチャを作成します。

User_Probe_Name ココココンテキストンテキストンテキストンテキスト

User_Probe_Name コンテキス ト を使用して、 デフォルトのプログラム パスワードを使用してネット ワーク上のコンピュータへアクセスしよ う とする試みを特定します。

� 監視内容監視内容監視内容監視内容

User_Probe_Name コンテキス トは、 FINGER、 SMTP、 VRFY、 SMTP EXPN に関連するユー

ザー名を監視します。 攻撃者はこれらのデフォルト アカウン ト を使用して、 サーバーやその

他コンピュータへ今後アクセスするこ とが可能です。

� 例例例例

Password コンテキス トや SNMP_Community コンテキス ト と同様に、 X-Force データベースを

使用して、 ネッ ト ワーク上のシステムおよびソフ ト ウェアに関連するデフォルトのアカウン トとパスワードの一覧を作成するこ とができます。

参照参照参照参照 : デフォルト パスワードの詳細については、 X-Force データベース (http://xforce.iss.net) 内で 「SNMP」 を検索してください。

121Proventia Network Intrusion Prevention System User Guide

第第第第 10 章章章章 : その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定

ユーザー定義イベン トでの正規表現ユーザー定義イベン トでの正規表現ユーザー定義イベン トでの正規表現ユーザー定義イベン トでの正規表現

はじめにはじめにはじめにはじめに 正規表現 ( 文字列 ) は、 ユーザー定義イベン ト シグネチャ用に指定するコンテキス ト ( ネッ ト ワーク パケッ ト ) 内でのパターン検出にアプライアンスが使用する、 固定テキス ト と変数の組み合わせです。 1 つ以上の固定テキス ト文字列を検出するよ うにアプライアンスを設定する必要がある場合には、 正規表現を使用してユーザー定義イベン ト シグネチャを作成します。

正規表現ライブラリ正規表現ライブラリ正規表現ライブラリ正規表現ライブラリ アプライアンスは、 Deterministic Finite Automata (DFA) 正規表現という ISS のカスタム正規表現ライブラ リ を使用します。

優先順位の変更優先順位の変更優先順位の変更優先順位の変更 正規表現で括弧を使用して、 標準の優先順位を補正するこ とができます。

通常の優先順位では、 4+2*4 は 12 と解釈されます。 通常は、 乗算が加算よ り優先されるためです。ただし、 括弧を使用して優先順位を変更するこ とができます。 たとえば、 (4+2)*4 とする と、 回答は 12 ではなく 24 とな り ます。 この例では、 優先順位の数学的な用法について説明しましたが、 数値以外の用法も数多くあ り ます。

参照参照参照参照 : 優先順位または正規表現使用の詳細については、 Jeffrey E. Friedl ( 編者 )、 Andy Oram ( 編者) による 「Mastering Regular Expressions: Powerful Techniques for Perl and Other Tools (O'Reilly Nutshell)」 を参照して ください。

正規表現構文正規表現構文正規表現構文正規表現構文 ユーザー定義イベン ト シグネチャでは、 次の正規表現構文を使用するこ とができます。

メ タキャラクタメ タキャラクタメ タキャラクタメ タキャラクタ 説明説明説明説明

(r) r と一致します。

x x と一致します。

xr 後ろに r が続く x と一致します。

\s スペースまたはタブと一致します ( 改行には一致しない )。

\d 10 進数字と一致します。

\” 二重引用符と一致します。

\’ 一重引用符と一致します。

\\ バックスラッシュと一致します。

\n 復帰改行と一致します (ASCII NL または LF)。

\r 復帰と一致します (ASCII CR)。

\t 水平タブと一致します (ASCII HT)。

\v 垂直タブと一致します (ASCII VT)。

\f ページ送り と一致します (ASCII FF)。

\b バックスペースと一致します (ASCII BS)。

\a ベルと一致します (ASCII BS)。

\ooo 指定した 8 進数文字コード と一致します。

\xhhh 指定した 16 進数文字コード と一致します。

表表表表 33: 標準の文字列表現

122

ユーザー定義イベン トでの正規表現ユーザー定義イベン トでの正規表現ユーザー定義イベン トでの正規表現ユーザー定義イベン トでの正規表現

. 改行を除く任意の文字と一致します。

\@ 空文字列と一致します ( 受け付け位置を表す )。

““ 空文字列と一致します。

[xy-z] x、 または y から z までの範囲にある任意の文字 ( 文字クラス ) と一致し

ます。

[^xy-z] x 以外の文字、 または y から z までの範囲にない任意の文字と一致しま

す。

• キャレッ ト を先頭の文字として く ださい。 先頭に置かないと、 キャレッ トは文字列の一部と見なされます。

• 文字列にダッシュを含める場合は、 ダッシュを先頭に入力して く ださい。

“text” 内部のメ タキャラクタに関係な く、 文字どおりのテキスト と一致します。

• テキストは一単位としては扱われません。

r? 0 回または 1 回出現する r と一致します。

r* 0 回以上出現する r と一致します (Kleene 閉包 )。

r+ 1 回以上出現する r と一致します ( 正の Kleene 閉包 )。

r{m,n} 低 m 回、 大 n 回出現する r と一致します。

r|l r または l のいずれかと一致します。

r/l 後に l が続く r のみと一致します。

^r 行頭にある r のみと一致します (bol アンカー )

r$ 行尾にある r のみと一致します (eol アンカー )

r, l 任意の正規表現と一致します。

m, n 整数と一致します。

x,y,z 印刷可能文字、 またはエスケープされた任意の ASCII 文字と一致します。

text 印刷可能文字、 またはエスケープされた一連の ASCII 文字と一致します。

ooo 連続する 8 進数字 ( 大 3 文字 ) と一致します。

hhh 連続する 16 進数字と一致します。

メ タキャラクタメ タキャラクタメ タキャラクタメ タキャラクタ 説明説明説明説明

表表表表 33: 標準の文字列表現 ( 続き )

123Proventia Network Intrusion Prevention System User Guide

第第第第 10 章章章章 : その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定

ユーザー定義イベン ト情報の表示ユーザー定義イベン ト情報の表示ユーザー定義イベン ト情報の表示ユーザー定義イベン ト情報の表示

はじめにはじめにはじめにはじめに [User Defined Events] ページには、 アプライアンス用に作成済みのカスタム イベン ト シグネチャがすべて表示されます。 このビューでのユーザー定義イベン トの表示方法を調整して、 イベン ト を管理および検索しやすくするこ とができます。

表示する列の選択表示する列の選択表示する列の選択表示する列の選択 表示する列を選択するには :

1. [User Defined Events] ページで、 [Select Columns] をク リ ッ ク します。

2. 表示したい列の横にあるチェッ ク ボッ クスをオンにします。

3. [OK] をク リ ッ ク します。

注記注記注記注記 : イベン ト をグループ化またはサブグループ化してある場合、 それらイベン トの列は [User Defined Events] タブに表示されなくな り ます。 その代わり、 グルーピング ツ リー内の展

開 / 折り畳みが可能な項目と して表示されます。

4. 変更内容を保存します。

ユーザー定義イベン トのユーザー定義イベン トのユーザー定義イベン トのユーザー定義イベン トのグループ化グループ化グループ化グループ化

ユーザー定義イベン ト をグループ化するには :

1. [User Defined Events] ページで、 [Group By] をク リ ッ ク します。

2. [All Columns] リ ス トから イベン ト グループ化の基準とする列を選択し、 [Add] をク リ ッ ク しま

す。

[Group By These Columns] リ ス トに、 選択した列が表示されます。

3. イベン ト グループ化の基準にする列それぞれについて、 手順 3 を繰り返します。

グループ化基準とする列を選択するたびに、 後に作成した 「グループ」 の下にサブグループが作成されていきます。

4. [OK] をク リ ッ ク します。

5. [User Defined Events] タブでグループを折り畳むか展開して、 イベン ト を表示します。

6. 変更内容を保存します。

ユーザー定義イベン トのユーザー定義イベン トのユーザー定義イベン トのユーザー定義イベン トのフ ィルタリングフ ィルタリングフ ィルタリングフ ィルタリング

ユーザー定義イベン ト をフ ィルタ リ ングするには :

1. [User Defined Events] ページで [Filter] チェッ ク ボッ クスをオンにしてフ ィルタ リ ングを有効

にします。

2. [Filter] をク リ ッ ク します。

3. 各カテゴ リについて、 適用するフ ィルタを選択します。

デフォルトは [Any] です。 この設定では、 アプライアンスは入力された正規表現と一致する任

意の結果を検索します。

4. [OK] をク リ ッ ク します。

5. 変更内容を保存します。

124

Trons イベン トの設定イベン トの設定イベン トの設定イベン トの設定

Trons イベン トの設定イベン トの設定イベン トの設定イベン トの設定

はじめにはじめにはじめにはじめに Trons は、 PAM が再構築および限定された前処理に使用するパターン マッチング システムです。これによって、 フ リーウェア コ ミ ュニティで記述された Snort シグネチャをアプライアンスで使用できるよ うになり ます。 Trons イベン トは、 1 つ以上の Snort ルールを含む ASCII ファ イルです。

Snort™ ルールを使用する と、 アプライアンスは、 攻撃パターンやスキャン、 プローブなどのセキュ リティ脅威を検出するために、 パケッ トの盗聴およびネッ ト ワーク ト ラフ ィ ッ クのリ アルタイム監視を実行できるよ うになり ます。 アプライアンス用に Trons イベン ト を設定するこ とで、Snort の機能を組み込むこ とができます。

重要重要重要重要 : 現時点では、 Trons イベン トの実装をお勧めしません。

例例例例 次のルールは、 ネッ ト ワーク上のポート 139 へ何者かがアクセスを試みた場合にト リガします。

alert tcp any any -> 1.2.3.4/24 139 (flags:S;msg:"139 connect attempt";)

Trons ルールの順序ルールの順序ルールの順序ルールの順序 Trons ファ イルの処理は次のよ うに進行するので、 Trons ファ イル内でのルール順序は重要です。

� Trons ルールは、 リ ス ト アップされた順序で処理されます。

� 1 つのシグネチャが一致した後は、 イベン ト を ト リガした ト ラフ ィ ッ クの処理が停止します。

このため、 よ り具体的で重要なルールを リ ス トの 初に持ってく る必要があ り ます。 次のシナリオを検討して ください。

alert tcp any any -> 1.2.3.4/24 139 (flags:S;msg:"139 connect attempt";)

alert tcp any any -> 1.2.3.4/24 139 (flags:S;msg:"QAZ Worm";content:"|71 61 7a 77 73 78 2e 68 73 71|";)

1.2.3.4/24 ネッ ト ワーク上のポート 139 へのアクセス試みに関して、 初のイベン トが ト リガします。 アクセス試みが発生する と、 よ り重要である 2 番目のイベン トは ト リ ガしません。 2 番目のイベン トに一致する ト ラフ ィ ッ クは、 初のイベン トにも一致します。 初に一致が見られた時点で、 Trons はト ラフ ィ ッ クの処理を停止します。

Trons ルールの追加まルールの追加まルールの追加まルールの追加ま

たは変更たは変更たは変更たは変更

Trons ルールを追加または変更するには :

1. [TronsRule] ページで、 [Add] をク リ ッ クするか、 編集するルールを反転表示させてから [Edit] をク リ ッ ク します。

ヒン トヒン トヒン トヒン ト : 変更したい項目を [TronsRule] タブでダブルク リ ッ クするこ とで、 一部のプロパティ

を直接編集するこ とができます。

2. 次の表のよ うに、 設定を完了または設定します。

設定設定設定設定 説明説明説明説明

Enabled Trons ファイルの一部としてルールを有効にするには、 このチェ ッ

ク ボックスをオンにします。

Comment ルール用の固有の説明を入力します。

Rule String アプライアンスへイベン トがト リガしたことを知らせ、 イベン トへの対応方法を通知するテキスト文字列を入力します。

Trons イベン トに対するデフォルト レスポンスは DISPLAY:WithoutRaw です。 このレスポンスは、 イベン ト概要

を記録してコンソールに表示します。

125Proventia Network Intrusion Prevention System User Guide

第第第第 10 章章章章 : その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定

3. [OK] をク リ ッ ク します。

4. 変更内容を保存します。

Event Throttling 期間を秒単位で入力します。

指定期間中に、 攻撃と一致するイベン トが 大で 1 つレポート され

ます。

デフォルト値は 0 ( ゼロ ) です。 この設定では、 イベン ト スロッ ト

リングは無効です。

設定設定設定設定 説明説明説明説明

126

グローバル調整パラメータの設定グローバル調整パラメータの設定グローバル調整パラメータの設定グローバル調整パラメータの設定

グローバル調整パラ メータの設定グローバル調整パラ メータの設定グローバル調整パラ メータの設定グローバル調整パラ メータの設定

はじめにはじめにはじめにはじめに グローバル調整パラ メータは、 不正侵入防御設定にグループ レベルおよびサイ ト レベルで影響します。

セキュ リティ ニーズをよ り よ く満たすため、 またはハードウェアのパフォーマンスを向上させるために、 グローバル調整パラ メータを使用して特定のパラ メータを設定 ( または調整 ) し、 アプライアンスのグループへ全体的に適用するこ とができます。 一般的には、 SiteProtector を通じて管理しているアプライアンスのグループに対してグローバル調整パラ メータを編集または設定しますが、 特定のアプライアンスに影響を与えるグローバル調整パラ メータを Proventia Manager 経由で見るこ とができます。

また、 ISS X-Force が推奨する Blocking レスポンスを使用するかど うか指定するこ と もできます。ISS では原則と して X-Force ブロ ッキングを無効化しないこ とを推奨していますが、 ネッ ト ワーク上で現在見られる疑わしいアクティビティが有効なものかど うか確認するためや、 ネッ ト ワークに対する明白な脅威に対する防御を講じるために、 このオプシ ョ ンを無効化する必要のある場合があり ます。

グローバルグローバルグローバルグローバル パラメータパラメータパラメータパラメータ

とローカルとローカルとローカルとローカル パラメータパラメータパラメータパラメータ

の違いの違いの違いの違い

グローバル調整パラ メータは、 ローカル調整パラ メータ とは次の点で異なり ます。

� グローバル調整パラ メータは、 不正侵入防御アプライアンスのグループに影響する不正侵入防

御設定です。

� ローカル調整パラ メータは、 特定の不正侵入防御アプライアンスに影響する設定です ( ネッ ト

ワーク アダプタ カード設定など )。

ローカル調整パラ メータは特定のアプライアンスに対して固有であるため、 デバイス レベル

でしか設定できません。

適切な場合には、 有効にしてあるローカル調整パラ メータがグローバル調整パラ メータよ り優先されます。

調整可能なコンポーネン調整可能なコンポーネン調整可能なコンポーネン調整可能なコンポーネントトトト

アプライアンスのグループで、 次のコンポーネン ト を調整するこ とができます。

� 不正侵入防御レスポンス

� 不正侵入防御セキュ リ ティ リ ス ク

� ファ イアウォール

� 自動アップデート

1 台のアプライアンスに対する高度なパラ メータの適用に関しては、 「高度なパラ メータの設定」(148 ページ ) を参照して ください。

高度なパラメータについ高度なパラメータについ高度なパラメータについ高度なパラメータについてててて

高度なパラ メータは、 名前と値のペアで構成されています。 各ペアには、 デフォルト値が設定されています。

たとえば、 np.firewall.log とい うパラ メータは、 有効にしてあるファ イアウォール ルールと一致するパケッ トの詳細を記録するかど うかを決定するパラ メータです。 このパラ メータは、 デフォルトで有効になっています。

[Advanced Parameters] タブの表に表示されているパラ メータの値を、 編集するこ とができます。 パラ メータがリ ス トに表示されていない場合は、 そのパラ メータにデフォルト値がないこ とを意味します。 表示するには、 パラ メータを新しい値と共に追加すればよいだけです。

調整パラメータの追加調整パラメータの追加調整パラメータの追加調整パラメータの追加 調整パラ メータを追加するには :

1. [Global Tuning Parameters] を選択します。

2. [Tuning Parameters] タブで、 [Add] をク リ ッ ク します。

127Proventia Network Intrusion Prevention System User Guide

第第第第 10 章章章章 : その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定

3. 次の表のよ うに、 設定を完了します。

4. [OK] をク リ ッ ク します。

5. 変更内容を保存します。

グローバル調整パラメーグローバル調整パラメーグローバル調整パラメーグローバル調整パラメータでの作業タでの作業タでの作業タでの作業

グローバル調整パラ メータを編集、 コピー、 または削除するには :

1. [Global Tuning Parameters] を選択します。

2. [Tuning Parameters] タブを選択し、 次のいずれかを行います。

3. 変更内容を保存します。

設定設定設定設定 説明説明説明説明

Name パラ メータの名前を入力します。

例例例例 : np.log.count

Value パラ メータに関連付けられた値のタイプに従って、 値を入力します。

• Boolean - True または False の値を選択します。

• Number - パラメータに対して適切な数値を入力します。 例例例例 : 10

• String - パラメータの値 ( ログ ファイルの場所など ) を入力しま

す。

Comment パラ メータ用の固有の説明を入力します。

例例例例 : イベン ト ログ ファイルの数。

実行内容実行内容実行内容実行内容 手順手順手順手順

編集 ヒン トヒン トヒン トヒン ト : 変更したい項目を [Tuning Parameters] タブでダブル

クリ ックすることで、 一部のプロパティを直接編集することができます。

1. パラ メータを選択し、 編集編集編集編集のアイコン ( ) をクリ ッ クし

ます。

2. [Enabled] チェ ック ボックスをオンまたはオフにします。

3. このパラ メータを編集し、 [OK] をクリ ックします。

コピー 1. パラ メータを選択し、 コピーコピーコピーコピーのアイコン ( ) をクリ ッ ク

します。

2. 貼り付け貼り付け貼り付け貼り付けのアイコン ( ) をクリ ックします。

3. 必要に応じてパラ メータを編集し、 [OK] をクリ ックしま

す。

削除 1. パラ メータを選択します。

2. 削除削除削除削除のアイコン ( ) をクリ ックします。

128

X-Force デフォルトデフォルトデフォルトデフォルト ブロッキングの設定ブロッキングの設定ブロッキングの設定ブロッキングの設定

X-Force デフォルトデフォルトデフォルトデフォルト ブロッキングの設定ブロッキングの設定ブロッキングの設定ブロッキングの設定

はじめにはじめにはじめにはじめに X-Force デフォルト ブロ ッキングを使用する場合は、 X-Force が推奨するイベン ト ( またはシグネチャ ) に対して Block レスポンスが自動的に有効になり ます。

手順手順手順手順 デフォルト ブロ ッキングを設定するには :

1. [Global Tuning Parameters] を選択します。

2. [X-Force Default Blocking] タブを選択します。

3. X-Force ブロ ッキングは、 デフォルトで有効になっています。 無効にするには、 [Use X-Force blocking recommendations] ボッ クスをオフにします。

4. 変更内容を保存します。

129Proventia Network Intrusion Prevention System User Guide

第第第第 10 章章章章 : その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定その他の不正侵入防御設定の指定

130

第第第第 11 章章章章

ファイアウォール設定の指定ファイアウォール設定の指定ファイアウォール設定の指定ファイアウォール設定の指定

概要概要概要概要

はじめにはじめにはじめにはじめに ファ イアウォール ルールを設定して、 パケッ ト内のさまざまな発信元情報および宛先情報を基に攻撃をブロ ッ クするこ とができます。 この情報は、 ルール ステート メン ト内で指定します。

この章の内容この章の内容この章の内容この章の内容 この章では、 次のト ピッ クについて説明します。

ト ピックト ピックト ピックト ピック ページページページページ

ファイアウォール ルールの設定 132

ファイアウォール ルール言語 136

ファイアウォールのログ機能の調整 139

131Proventia Network Intrusion Prevention System User Guide

第第第第 11 章章章章 : フ ァイアウォール設定の指定ファイアウォール設定の指定ファイアウォール設定の指定ファイアウォール設定の指定

ファイアウォールファイアウォールファイアウォールファイアウォール ルールの設定ルールの設定ルールの設定ルールの設定

はじめにはじめにはじめにはじめに ファ イアウォール ルールを追加して、 不要なパケッ ト をネッ ト ワークへ入る前にド ロ ップまたはブロ ッ クするこ とができます。 ファ イアウォール ルールを手動で追加するこ と も、 アプライアンスが指定の値を使用してルールを作成できるよ うにするこ と もできます。 これによって、 ファ イアウォール設定をよ り柔軟に指定するこ とができます。

重要重要重要重要 : ファ イアウォール ルールは、 アプライアンスがインライン モードに設定されている場合に

限って機能します。 パッシブ モードのアプライアンスは、 従来のセンサーと同じよ うに機能し、

パケッ トの直接のパスには置かれません。 シ ミ ュレーシ ョ ン モードでは、 パケッ トは依然と して

アプライアンスを通過し、 ト ラフ ィ ッ クに対して何を行っていたかについての記述が行われます。

[Firewall Rules] ページを使用してファイアウォール ルールを設定し、 パケッ ト内のさまざまな発信元情報および宛先情報を基に攻撃をブロ ッ クするこ とができます。

ファイアウォールファイアウォールファイアウォールファイアウォール ルールールールー

ルの基準ルの基準ルの基準ルの基準

次の基準を任意に組み合わせて、 ファ イアウォール ルールを定義するこ とができます。

� アダプタ

� VLAN 範囲

� プロ ト コル (TCP、 UDP、 ICMP)

� 発信元または標的の IP アドレスおよびポート範囲

ファイアウォールファイアウォールファイアウォールファイアウォール ルールールールー

ルの順序ルの順序ルの順序ルの順序

アプライアンスは、 ファ イアウォール ルールを リ ス トの上から下へ表示順に読み取り、 対応するアクシ ョ ンを適用します。 接続がファイアウォール ルールに一致する と、 その接続の処理はそれ以上続行されずに停止し、 設定されているその他ファイアウォール ルールは無視されます。

例例例例

次のステート メン ト を使用して、 ネッ ト ワーク セグメン トに対するすべての接続を、 特定ホス トの特定ポート宛のものを除いて強制切断します。

adapter any IP src addr any dst addr 1.2.3.4 tcp dst port 80

(Action = "ignore")

adapter any IP src addr any dst addr 1.2.3.1-1.2.3.255

(Action = "drop")

初のルールは、 ホス ト 1.2.3.4 のポート 80 に対するすべてのト ラフ ィ ッ クを、 Web サーバーに対する正当な ト ラフ ィ ッ ク と して通過を許可します。 このネッ ト ワーク セグメン トにおけるその他のト ラフ ィ ッ クは、 すべて中断されます。

ルール順序を逆にする と、 1.2.3.4 上の Web サーバーに対する ト ラフ ィ ッ クであっても、 このセグメン トに対する ト ラフ ィ ッ クはすべてド ロ ップされます。

132

ファイアウォールファイアウォールファイアウォールファイアウォール ルールの設定ルールの設定ルールの設定ルールの設定

ファイアウォールファイアウォールファイアウォールファイアウォール ルールールールー

ルとアクシ ョ ンルとアクシ ョ ンルとアクシ ョ ンルとアクシ ョ ン

ファ イアウォールは、 ルール ( ステート メン ト ) と一致するパケッ トに対処する方法を説明するいくつかのアクシ ョ ンをサポート しています。 表 19 では、 これらのアクシ ョ ンについて説明します。

ファイアウォールファイアウォールファイアウォールファイアウォール ルールールールー

ルの追加ルの追加ルの追加ルの追加

ファ イアウォール ルールを追加するには :

5. [Firewall Settings] ページで、 [Add] をク リ ッ ク します。

6. 次の表のよ うに、 設定を完了します。

ルールルールルールルール 説明説明説明説明

Ignore (Permit) 一致するパケッ ト を通過させ、 そのパケッ トに対してこれ以上のアクシ ョ ンやレスポンスが取られないようにします。

Protect このルールに一致するパケッ トは、 PAM によって処理されます。 ロギン

グ、 Block レスポンス、 Quarantine レスポンスなど通常のレスポンスよっ

て、 一致するパケッ トが処理されるようにします。

Monitor IP ホワイ ト リス ト と して機能します。 Quarantine レスポンスの回避、

Blocking レスポンスの回避といったステート メン トに一致するパケッ ト

に適用されます。 ただし、 その他すべてのレスポンスは、 依然としてパケッ トに適用されます。

Drop (Deny) パケッ トがファイアウォールを通過するときに、 これをドロップします。ファイアウォールは直列で配置されているので、 このアクシ ョ ンはパケッ トが対象のシステムに到達するのを防ぎます。 パケッ トがドロップされたユーザーには、 単に対象システムが応答しないように見えます。この接続は何度か再試行される可能性があり、 終的にはタイムアウトします。

Drop and Reset Drop アクシ ョ ンと同じように機能しますが、 発信元システムに TCP リセッ ト パケッ ト を送信します。 Drop アクシ ョ ンを使用した場合よりも早

く接続が終了します ( 自動的にリセッ ト されるため )。

表表表表 34: ファイアウォール アクシ ョ ン

設定設定設定設定 説明説明説明説明

Rule ID リスト内でのルールの順序を示します。

詳細については、 「ファイアウォール ルールの順序の変更」

(134 ページ ) を参照して ください。

Enabled ルールを有効にするには、 このチェ ッ ク ボックスをオンにします。

Rule Comment ルール用の固有の説明を入力します。

Log /var/iss/ ディ レク ト リ内のファイアウォール ログにあるルールと一

致するパケッ トの詳細を記録するかどうか選択します。

Action リストからファイアウォール アクシ ョ ンを選択します。

各アクシ ョ ンの詳細については、 「ファイアウォール ルールとアク

シ ョ ン」 (133 ページ ) を参照して ください。

133Proventia Network Intrusion Prevention System User Guide

第第第第 11 章章章章 : フ ァイアウォール設定の指定ファイアウォール設定の指定ファイアウォール設定の指定ファイアウォール設定の指定

7. [OK] をク リ ッ ク します。

8. 変更内容を保存します。

ファイアウォールファイアウォールファイアウォールファイアウォール ルールールールー

ルの順序の変更ルの順序の変更ルの順序の変更ルの順序の変更

ファ イアウォール ルールの順序を変更するには :

1. [Firewall Settings] ページでルールを選択し、 上向き矢印上向き矢印上向き矢印上向き矢印のアイコン ( ) または下向き矢印下向き矢印下向き矢印下向き矢印の

アイコン ( ) をク リ ッ ク してルールを移動します。

2. 変更内容を保存します。

アプライアンスは、 一覧に表示されている順序でファイアウォール ルールを処理します。

Rule Type リストからルールの種類を選択します。

• Constructed - Proventia Manager が指定の値を使用してルール

を作成できるようにするには、 このオプシ ョ ンを選択します。

• Manually Entered - 独自のファイアウォール ルールを作成する

には、 このオプシ ョ ンを選択します。 [Firewall Rule] 領域に、

ファイアウォール ルールを入力して く ださい。

詳細については、 「ファイアウォール ルール言語」 (136 ページ ) を参照して ください。

VLAN VLAN タグの範囲を入力します。

Protocol リストからプロ ト コルを選択します。

ルールのプロ ト コルとして [Any] を選択すると、 次の条件が一致し

た場合に次の基準が適用されます。

• ICMP コードを設定すると、 ルールに ICMP 節が追加されます。

• 発信元または宛先のポート を設定すると、 ルールに UDP 節と TCP 節が追加されます。

• ゼロ (0) より大きいプロ ト コル番号を設定すると、 ルールに Protocol Number 節が追加されます。

• プロ ト コル設定を指定しないと、 ルールに IP 節が追加されま

す。 発信元または宛先の IP アドレスが指定されていれば、 それ

らも追加されます。

注記注記注記注記 : [Any] 以外のプロ ト コル値を設定した場合、 ファイアウォー

ル ルールはそのプロ ト コルのみに設定されます。

IP Address and Port 発信元と対象の IP アドレスおよびポートを設定します。

設定設定設定設定 説明説明説明説明

134

ファイアウォールファイアウォールファイアウォールファイアウォール ルールの設定ルールの設定ルールの設定ルールの設定

ファイアウォールファイアウォールファイアウォールファイアウォール ルールールールー

ルでの作業ルでの作業ルでの作業ルでの作業

ファ イアウォール ルールを編集、 コピー、 または削除するには :

1. [Firewall Settings] を選択します。

2. 次のいずれかを行います。

3. 変更内容を保存します。

実行内容実行内容実行内容実行内容 手順手順手順手順

編集 ヒン トヒン トヒン トヒン ト : 変更したい項目を [Firewall Rules] タブでダブルク

リ ックすることで、 一部のプロパティを直接編集することができます。

1. ルールを選択し、 編集編集編集編集のアイコン ( ) をクリ ッ クします。

2. [Enabled] チェ ック ボックスをオンまたはオフにします。

3. このルールを編集し、 [OK] をクリ ックします。

コピー 1. ルールを選択し、 コピーコピーコピーコピーのアイコン ( ) をクリ ッ クしま

す。

2. 貼り付け貼り付け貼り付け貼り付けのアイコン ( ) をクリ ックします。

3. 必要に応じてルールを編集し、 [OK] をクリ ックします。

削除 1. ルールを選択します。

2. 削除削除削除削除のアイコン ( ) をクリ ックします。

135Proventia Network Intrusion Prevention System User Guide

第第第第 11 章章章章 : フ ァイアウォール設定の指定ファイアウォール設定の指定ファイアウォール設定の指定ファイアウォール設定の指定

ファイアウォールファイアウォールファイアウォールファイアウォール ルール言語ルール言語ルール言語ルール言語

はじめにはじめにはじめにはじめに ファ イアウォール ルールは、 ルールの適用される ト ラフ ィ ッ クを規定するいくつかのステート メン ト ( または条件節 ) で構成されます。 アプライアンスが使用するファイアウォール ルールを手動で作成する場合は、 次のト ピッ クで説明する構文を使用するこ とができます。

ファイアウォール節ファイアウォール節ファイアウォール節ファイアウォール節 ファ イアウォール ルールは、 各パケッ トに対する特定の基準と一致するよ うに連結された複数の条件節で構成されています。 条件節は、 プロ ト コル スタ ッ クの特定層を表します。 各条件節は、条件と式に分割できます。 式はルールの変数部分であ り、 アドレス、 ポート、 または数値のパラメータに組み込むこ とができます。

次のファイアウォール条件節を使用するこ とができます。

� Adapter 節節節節

一連のアダプタ (A ～ H) を指定します。 これによって、 ルールが特定のアダプタに割り当て

られます。 Adapter 節は、 ルールが適用される特定のアダプタを示します。 サポート されてい

るアダプタ式は、 any と、 A ～ H の文字です。 Adapter 節を指定しないと、 ルールは任意のア

ダプタ と一致します。

adapter <adapter-id>adapter Aadapter anyadapter A,Cadapter A-C

� Ethernet 節節節節

802.1 フレームと一致するよ うに、 ネッ ト ワーク プロ ト コルのタイプ、 または仮想 LAN (VLAN) 識別子を指定します。 Ethernet 節を使用して、 801.1q VLAN ト ラフ ィ ッ クのフ ィルタ

リ ング、 または特定タイプのイーサネッ ト プロ ト コルの許可 / 拒否を行う こ とができます。

プロ ト コル タイプの一覧は、 http://www.iana.org/assignments/ethernet-numbers で見るこ とができます。 イーサネッ ト プロ ト コル定数は、 10 進数、 8 進数、 16 進数、 エイ リ アス表記で指定可能です。 特定タイプのイーサネッ ト プロ ト コルをよ り簡単にブ

ロ ッ クできるよ うにするには、 既知の番号ではなくエイ リ アスを指定します。 場合によっては、 エイ リ アスによって 1 つ以上のポートがブロ ッ ク されます ( 例 : IPX と PPPoE)。

ether proto <protocol-id>ether proto {arp|aarp|atalk|ipx|mpls|netbui|pppoe|rarp|sna|xns}ether vid <vlan-number>ether vid <vlan-number> proto <protocol-id>

ether proto !arpether vid 1 proto 0x0800ether vid 2 proto 0x86ddether vid 3-999 proto 0x0800,0x86dd

� IP Datagram 節節節節

IPv4 アドレス、 TCP/UDP の発信元または宛先ポート、 ICMP タイプまたはコード、 特定の IP プロ ト コル番号など、 ト ランスポート レベルのフ ィルタ リ ング フ ィールドを指定します。 IP Datagram 節は、 ステート メン トが一致するために満たす必要のある、 IP データグラム内のプ

ロ ト コルおよびプロ ト コル固有の条件を示します。 現時点では ICMP、 TCP、 UDP の条件しか

サポート されていませんが、 任意の IP プロ ト コルに基づいてフ ィルタを指定するこ とができ

ます。 IP Datagram 節を指定しないと、 ステート メン トは任意の IP データグラム プロ ト コルと

一致します。

下の例の 初と 2 番目のステート メン トは、 IP アドレス式と一致する発信元 IP と宛先 IP のパ

ケッ ト をブロ ッ ク します。 3 番目のステート メン トは、 IP アドレス式と一致する発信元 IP または宛先 IP のパケッ ト をブロ ッ ク します。 4 番目のステート メン トは、 プロ ト コル タイプと

一致する IP パケッ ト をブロ ッ ク します。 5 番目のステート メン トは、 初のステート メン ト

136

ファイアウォールファイアウォールファイアウォールファイアウォール ルール言語ルール言語ルール言語ルール言語

と 2 番目のステート メン ト を組み合わせたものです。 6 番目のステート メン トは、 初、 2 番目、 4 番目のステート メン ト を組み合わせたものです。

1. ip src addr <IPv4-addr>2. ip dst addr <IPv4-addr>3. ip addr <IPv4-addr>4. ip proto <protocol-type>5. ip src addr <IPv4-addr> dst addr <IPv4-addr>6. ip src addr <IPv4-addr> dst addr <IPv4-addr> proto <protocol-type>

例例例例

ip addr 192.168.10.1/24ip addr 192.168.10.0-192.168.10.255

ファイアウォールの条件ファイアウォールの条件ファイアウォールの条件ファイアウォールの条件 TCP およびおよびおよびおよび UDP の条件の条件の条件の条件

TCP および UDP のポート番号は、 10 進数、 8 進数、 16 進数で指定可能です。 ポートの値の範囲は、 0 ～ 65534 です。

tcp src port <TCP-UDP-port>tcp dst port <TCP-UDP-port>tcp dst port <TCP-UDP-port> src port <TCP-UDP-port> udp src port <TCP-UDP-port>udp dst port <TCP-UDP-port>udp dst port <TCP-UDP-port> src port <TCP-UDP-port>

ICMP の条件の条件の条件の条件

ICMP の条件は、 10 進数、 8 進数、 16 進数で指定可能です。 有効な数値は、 http://www.iana.org/assignments/icmp-parameters で見るこ とができます。

icmp type <protocol-type>icmp code <message-code>icmp type <protocol-type> code <message-code>

式式式式 式は、 条件節のプロ ト コル パーサーと一致する必要のある一連のヘッダー値を表現します。 各条件節は、 プロ ト コル スタ ッ ク内の特定層との一致に直接関わっています。 構文と値の範囲は、 条件説によって決定されます。 式は、 1 つの値、 カンマで区切られた一連の値、 または範囲セッ トです。 式は、 現在のと ころ、 アダプタ番号、 IPv4 アドレス、 TCP および UDP のポート番号、 CMP メ ッセージのタイプおよびコード、 IP データグラム プロ ト コル番号を指定するために存在しています。

<value><value>, <value><value> - <value>

感嘆符 (!) で始まる式は、 否定式と呼ばれます。 否定式は、 指定したもの以外すべての値と一致します。 どの値と も一致しない否定式は、 エラーを引き起こします。

137Proventia Network Intrusion Prevention System User Guide

第第第第 11 章章章章 : フ ァイアウォール設定の指定ファイアウォール設定の指定ファイアウォール設定の指定ファイアウォール設定の指定

IPv4 アドレス式の例アドレス式の例アドレス式の例アドレス式の例

<n> は、 0 ～ 255 の範囲で 16 進数または 10 進数を示します。 すべての 16 進数には、 0x とい うプリ フ ィ ッ クスが付いている必要があ り ます。 次の表では、 いくつかの例を紹介します。

TCP/UDP ポート、 プロ ト コル識別子、 または数値ポート、 プロ ト コル識別子、 または数値ポート、 プロ ト コル識別子、 または数値ポート、 プロ ト コル識別子、 または数値

任意の定数に対して リ ス ト アップされる値は、 要求された範囲内にある必要があ り ます。 範囲内にないと、 パーサーは Parse 節を拒否します。

0xFFFF655350, 1, 20 - 2 ! 3 - 65535

ファイアウォールファイアウォールファイアウォールファイアウォール ルールールールー

ル一式の例ル一式の例ル一式の例ル一式の例

次のステート メン トは、 ファ イアウォール ルールのサンプル一式です。 プロ ト コルを指定しないと、 ルールは 「Any」 が指定されたと見なして任意のプロ ト コルを使用します。

� adapter A ip src addr xxx.xxx.x.x

(x は IP アドレスの数字を表します )

� adapter A ip src addr xxx.xxx.x dst addr any tcp src port 20 dst port 80

(x は IP アドレスの数字を表します )

� adapter any ip src addr any dst addr xxx.xxx.xx.x

� adapter any ip src addr any dst addr any icmp type 8

� tcp

� adapter B icmp

� udp

例例例例 説明説明説明説明

n.n.n.n 1 つのアドレス

n.n.n.n, n.n.n.n アドレス リスト

n.n.n.n/<netmask> CIDR 形式を使用した特定のアドレス。 ネッ トマスク値は 1 ～ 32 の範囲内である必要があります。

n.n.n.n - n.n.n.n 初の値が 後の値よりも大きいアドレス範囲。

表表表表 35: IPv4 アドレスの構文

138

ファイアウォールのログ機能の調整ファイアウォールのログ機能の調整ファイアウォールのログ機能の調整ファイアウォールのログ機能の調整

ファイアウォールのログ機能の調整ファイアウォールのログ機能の調整ファイアウォールのログ機能の調整ファイアウォールのログ機能の調整

はじめにはじめにはじめにはじめに ローカルの高度なパラ メータを使用して、 アプライアンスに関してファイアウォールのログ機能が動作する方法を調整するこ とができます。 ファ イアウォール ログの数、 ログ名、 ログの 大サイズなどの値を指定するこ とができます。

ファイアウォールのログファイアウォールのログファイアウォールのログファイアウォールのログ機能のパラメータ機能のパラメータ機能のパラメータ機能のパラメータ

次に挙げるファイアウォール ログ機能のパラ メータを、 編集するこ とができます。

手順手順手順手順 ファ イアウォール ログの設定を調整するには :

1. [Local Tuning Parameters] を選択します。

2. [Advanced Parameters] タブを選択します。

3. 変更するパラ メータを選択し、 [Edit] をク リ ッ ク します。

4. 次の表のよ うに、 設定を完了または設定します。

5. [OK] をク リ ッ ク します。

6. 変更内容を保存します。

名前名前名前名前 説明説明説明説明 値値値値

np.firewall.log 有効になっているファイアウォール ルールと一致

するパケッ トの詳細を記録するかどうかを決定します。

String ( 文字列 )

デフォルト : オン

np.firewall.log.count ファイアウォール ログ ファイルの数。 Number ( 数値 )

デフォルト : 10

np.firewall.log.prefix ファイアウォール ログ ファイルのプレフ ィ ッ ク

ス。

String ( 文字列 )

デフォルト : /var/iss/fw

np.firewall.log.size ファイアウォール ログ ファイルの 大サイズ ( バイ ト単位 )。

Number ( 数値 )

デフォルト : 1400000

np.firewall.log.suffix ファイアウォール ログ ファイルのサフ ィ ッ クス。 String ( 文字列 )

デフォルト : .log

表表表表 36: ファイアウォールの高度なパラメータ

設定設定設定設定 説明説明説明説明

Enabled パラメータを有効にするには、 このチェ ック ボックスをオンにします。

Name パラメータの名前を表示します。

注記注記注記注記 : パラ メータ名を変更しないことをお薦めします。

Comment パラメータを説明します。 必要であれば、 新しい説明を入力します。

Value パラメータの値を編集します。

注記注記注記注記 : デフォルト パラメータ値の維持をお勧めします。

139Proventia Network Intrusion Prevention System User Guide

第第第第 11 章章章章 : フ ァイアウォール設定の指定ファイアウォール設定の指定ファイアウォール設定の指定ファイアウォール設定の指定

140

第第第第 12 章章章章

ローカル調整パラメータの設定ローカル調整パラメータの設定ローカル調整パラメータの設定ローカル調整パラメータの設定

概要概要概要概要

はじめにはじめにはじめにはじめに ローカル調整パラ メータは、 個別びアプライアンスの不正侵入防御設定に、 デバイス レベルで影響を与えます。 この章では、 アプライアンスに対するローカル調整パラ メータ ( アラート待ち行列、 ネッ ト ワーク アダプタ カードのプロパティ、 高度なパラ メータなど ) の設定方法について説明します。

この章の内容この章の内容この章の内容この章の内容 この章では、 次のト ピッ クについて説明します。

ト ピックト ピックト ピックト ピック ページページページページ

アラートの設定 142

ネッ トワーク アダプタ カードの管理 144

アラート キューの管理 147

高度なパラ メータの設定 148

TCPReset の設定 152

141Proventia Network Intrusion Prevention System User Guide

第第第第 12 章章章章 : ローカル調整パラ メータの設定ローカル調整パラ メータの設定ローカル調整パラ メータの設定ローカル調整パラ メータの設定

アラートの設定アラートの設定アラートの設定アラートの設定

はじめにはじめにはじめにはじめに アプライアンス関連のイベン ト をについて通知するアラート メ ッセージを設定するこ とができます。 また、 イベン トがアラート を引き起こした場合にアプライアンスが取るべきアクシ ョ ン ( アプライアンス管理者へのメール送信、 イベン トに対応した実行ファイルの実行 ) を決定するこ と もできます。

アラートアラートアラートアラート タイプタイプタイプタイプ 3 種類のセンサー イベン ト アラート を有効にするこ とができます。

� Error ( エラーエラーエラーエラー ) - これらのアラートは、 センサーのシステム エラーが発生した場合に通知しま

す。

� Warning ( 警告警告警告警告 ) - これらのアラートは、アプライアンス自体で問題が発生した場合に通知しま

す。

� Informative ( 通知通知通知通知 ) - これらのアラートは、 アプライアンス上でユーザーが実行した可能性の

あるアクシ ョ ン ( パスワードの変更、 ログのダウンロード、 パラ メータの編集など ) に関して

通知します。

システムシステムシステムシステム アラート とアラート とアラート とアラート と SNMP

設定メニューを通じて、次のよ うなシステムの健全性に関連したイベン トが発生した場合に SNMP ト ラ ップを送信するよ うに、 アプライアンスを設定するこ とができます。

� 空きディ スク容量不足

� ディ スク障害

� 高すぎる CPU 使用率

アプライアンスは、 これらの問題点を検出したと きに、 アプライアンスのインス トール時に指定した SNMP レシーバに SNMP ト ラ ップを送信するこ とができます。 このよ うなシステム関連のアラートは、 SNMPv1 ト ラ ップまたは SNMPv2 ト ラ ップと して送信可能です。 システム健全性関連の SNMP イベン トの設定については、 「SNMP Configuration」 (37 ページ ) を参照して ください。

手順手順手順手順 アラート を設定するには :

1. [Local Tuning Parameters] を選択します。

2. [Alerts] タブを選択します。

3. 設定するアラートのタイプの各領域 (Sensor Error、 Warning、 Informative) で、 [Enable] チェッ

ク ボッ クスをオンにします。

4. [Priority] で、 イベン トの危険度 (Low、 Medium、 High) を選択します。

5. [Display on console] チェッ ク ボッ クスをオンにして、 アラートがコンソールに表示されるよ う

にします。

注記注記注記注記 : Proventia Manager では、 アラートは [Alerts] タブに表示されます。 SiteProtector では、 ア

ラートはコンソールの [Analysis] タブに表示されます。

6. SNMP ト ラ ップを送信するには、 次の表に示す設定を指定または変更します。

設定設定設定設定 説明説明説明説明

Send SNMP trap このオプシ ョ ンを有効にするには、 チェ ック ボックスをオンに

してから次のいずれかを行います。

• 以前に設定した SNMP ト ラ ップを使用する場合は、 リス トか

ら選択して手順 7 に進みます。

• 新しい SNMP ト ラ ップを設定するには、 [Configure SNMP] をクリ ックします。

142

アラートの設定アラートの設定アラートの設定アラートの設定

7. メールによる通知を送信するには、 次の表に示す設定を指定または変更します。

8. 変更内容を保存します。

Configure SNMP [Add] をクリ ックし、 次の設定を指定します。

• Name - SNMP ト ラ ップまたはレスポンスの名前を入力しま

す。

• Manager - SNMP Manager が動作している IP アドレスを入

力します。

SNMP ト ラ ップを送信するには、 SNMP ホストがアプライア

ンスからアクセス可能である必要があります。

• Community - 適切なコ ミ ュニテ ィ文字列 (public または private) を入力します。

設定設定設定設定 説明説明説明説明

Send Email このオプシ ョ ンを有効にするには、 チェ ック ボックスをオンに

してから次のいずれかを行います。

• 以前に設定したメール通知を使用する場合は、 リス トから選択して手順 8 に進みます。

• 新しいメール通知を設定するには、 [Configure Email] をク

リ ックします。

Configure Email [Add] をクリ ックし、 次の設定を指定します。

• Name - 名前を入力します。

• SMTP Host - メール サーバー (完全修飾ド メイン名または IP アドレスとして ) を入力します。

注記注記注記注記 : メールによる通知を送信するには、 SMTP ホストがア

プライアンスからアクセス可能である必要があります。

• From - 個人またはグループのメール アドレス (1 つまたは複

数 ) を入力します。

アドレスは、 カンマで区切ります。

• To - 個人の受信者またはメール グループを入力します。

アドレスは、 カンマで区切ります。

• Subject - 件名を入力するか、 リス トから共通のパラメータを

選択します。

共通のパラメータを選択した場合、 選択したパラメータは、対応するイベン ト情報と共に使用されます。

• Body - メ ッセージ本文を入力するか、 リス トから共通のパラ

メータを選択します。

共通のパラメータを選択した場合、 選択したパラメータは、対応するイベン ト情報と共に使用されます。

設定設定設定設定 説明説明説明説明

143Proventia Network Intrusion Prevention System User Guide

第第第第 12 章章章章 : ローカル調整パラ メータの設定ローカル調整パラ メータの設定ローカル調整パラ メータの設定ローカル調整パラ メータの設定

ネッ トワークネッ トワークネッ トワークネッ トワーク アダプタアダプタアダプタアダプタ カードの管理カードの管理カードの管理カードの管理

はじめにはじめにはじめにはじめに アプライアンスのネッ ト ワーク アダプタ カードの設定を、 表示および管理するこ とができます。

重要重要重要重要 : このページで設定を変更する と、 一時的にアプライアンス と リ ンクできなくなる場合があり ます。

ハイハイハイハイ アベイラビリテ ィアベイラビリテ ィアベイラビリテ ィアベイラビリテ ィ モードについてモードについてモードについてモードについて

Proventia Network IPS のハイ アベイラビ リ ティ機能 (HA) によって、 アプライアンスは既存のハイ アベイラビ リ ティ環境で動作するこ とができます。 両アプライアンスは、 アプライアンス間のすべてのト ラフ ィ ッ クを ミ ラー リ ンク経由で通過させ、 ネッ ト ワーク上のすべてのト ラフ ィ ッ クを監視して確実に状態を維持します。 アプライアンスは、 非対称的にルーティングされた ト ラフ ィ ッ クを監視し、 ネッ ト ワークを完全に防御するこ と も可能になり ます。 Proventia Network IPS におけるハイ アベイラビ リ ティのサポートは、 連動する 2 アプライアンスに限定されています。

どちらのアプライアンスも、 パケッ ト をインラインで処理し、 相互接続 / ミ ラー ポートではなくインライン監視ポートに到着する ト ラフ ィ ッ クをブロ ッ ク します。 また、 インライン監視ポートで受信したイベン ト をマネージメン ト コンソールへレポート します。

ハイ アベイラビ リ ティの詳細については、 「ネッ ト ワーク可用性の維持」 (43 ページ ) を参照してください。

ネッ トワークネッ トワークネッ トワークネッ トワーク アダプタアダプタアダプタアダプタ カードのプロパティの編カードのプロパティの編カードのプロパティの編カードのプロパティの編集集集集

ネッ ト ワーク アダプタ カードのプロパティを編集するには :

1. [Local Tuning Parameters] を選択します。

2. [Adapter Management] タブを選択します。

3. リ ス トでアダプタを選択し、 [Edit] をク リ ッ ク します。

4. ポートに関連付ける名前を [Port] に入力します。

注記注記注記注記 : ポート名は、 アプライアンスの前面にあるラベル (1A、 B1、 2C、 2D、 3E、 3F、 4G、

4H) と対応しています。 ポートは、 カード上で次のよ う なポートのペアにまとめられます。

� 1A と 1B (Card1)

� 2C と 2D (Card2)

� 3E と 3F (Card3)

� 4G と 4H (Card4)

5. [TCP Resets] ド ロ ップダウン メニューで、 Kill をこのポート を通じて送信するか外部 Kill ポー

ト を通じて送信するか、 指定します。

144

ネッ トワークネッ トワークネッ トワークネッ トワーク アダプタアダプタアダプタアダプタ カードの管理カードの管理カードの管理カードの管理

6. [Port/Duplex Speed Settings] で、 リ ンク速度とモードを決定する場合にネッ ト ワーク アダプタ

が使用する方式を選択します。

7. [Unanalyzed Policy] リ ス トで次のいずれかのオプシ ョ ンを選択して、 ネッ ト ワークが混雑した

と きにエージェン トが ト ラフ ィ ッ クを処理する方法を決定します。

8. 一方のリ ンクがダウンした ( ケーブル破損、 ケーブル接続解除など ) と きに、 対応するインラ

イン ポート上のリ ンク もネッ ト ワーク ド ラ イバによって切断されるよ うにする必要がある場

合は、 [Propagate Link] を True に設定します。

注記注記注記注記 : これは、 [Adapter Mode] が [Inline Protection] または [Inline Simulation] に設定されている

場合に使用してください。

9. [Adapter Mode (Non-HA)] リ ス トで、 アプライアンスのモードを選択します。

重要重要重要重要 : アプライアンスの監視モードをシ ミ ュレーシ ョ ンからプロテクシ ョ ンに変更する と、次の高度なパラ メータがデフォルトで有効になり ます。

- np.drop.invlid.checksum

- np.drop.invalid.protocol

10. アプライアンスの [Fail Mode] を選択できないので注意してください。 GX4000 シ リーズ アプ

ライアンスはデフォルトでフェールオープンします。 GX5000 シ リーズ アプライアンスは、 デ

フォルトでフェールクローズします。 このモードを変更するこ とはできません。

方式方式方式方式 説明説明説明説明

Auto リンク上の 2 つのインターフェースが、 ケーブルが接続された瞬間に

も適した共通モードを自動的に選択できるようにします。

注記注記注記注記 : 自動ネゴシエーシ ョ ンをサポート しないスイッチまたはその他

ネッ トワーク デバイスの設定を変更する必要がある場合、 または自動

ネゴシエーシ ョ ンがリンクを確立するのに時間がかかりすぎる場合に限り、 この設定の使用をお薦めします。

10 MB Half Duplex デバイスは、 1 秒あたり 10 メガビッ トで情報を送受信します ( 両方同

時にではない )。

10 MB Full Duplex デバイスは、 1 秒あたり 10 メガビッ トで情報を両方向へ同時に送信し

ます。

100 MB Half Duplex

デバイスは、 1 秒あたり 100 メガビッ トで情報を送受信します ( 両方同

時にではない )。

100 MB Full Duplex

デバイスは、 1 秒あたり 100 メガビッ トで情報を両方向へ同時に送信

します。

1000 MB Full Duplex

デバイスは、 1 秒あたり 1000 メガビッ トで情報を両方向へ同時に送信

します。

オプオプオプオプシ ョ ンシ ョ ンシ ョ ンシ ョ ン

説明説明説明説明

Forward ト ラフ ィ ックを処理せずに転送します。 つまり、 異常時にト ラフ ィ ックを通過させます ( フェールオープン )。 ト ラフ ィ ックのレベルが通常に戻ると、 エージェ

ン トは通常の動作に戻ります。

注記注記注記注記 : アプライアンスがインライン シミ ュレーシ ョ ン モードに設定されている場

合は、 常に [Forward] 設定を使用して く ださい。

Drop ト ラフ ィ ックの一部を処理せずにブロックします。 つまり、 異常時にト ラフ ィ ックを遮断します ( フェールクローズ )。 ト ラフ ィ ックのレベルが通常に戻ると、

エージェン トは通常の動作に戻ります。

145Proventia Network Intrusion Prevention System User Guide

第第第第 12 章章章章 : ローカル調整パラ メータの設定ローカル調整パラ メータの設定ローカル調整パラ メータの設定ローカル調整パラ メータの設定

11. [OK] をク リ ッ ク します。

12. 変更内容を保存します。

HA の有効化の有効化の有効化の有効化 ハイ アベイラビ リ ティを有効にするには、 両方のアプライアンスで次の作業を行います。

1. [Local Tuning Parameters] を選択します。

2. [Adapter Management] タブを選択します。

[Sensor High Availability Mode] が、 ページの下部に表示されています。

3. 次のいずれかのモードを選択します。

� HA simulation (HA シ ミ ュレーシ ョ ンシ ミ ュレーシ ョ ンシ ミ ュレーシ ョ ンシ ミ ュレーシ ョ ン )

� HA protection (HA プロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ンプロテクシ ョ ン )

注記注記注記注記 : 両方のアプライアンスで、 同じモードを選択してください。

4. 変更内容を保存します。

注記注記注記注記 : HA モードが有効になっている場合、 アダプタ モードは事前設定され、 編集できませ

ん。 HA シ ミ ュレーシ ョ ン モードを選択する と、 すべての監視アダプタがインライン シ ミ ュ

レーシ ョ ン モードにな り ます。 HA プロテクシ ョ ン モードを選択する と、 すべての監視アダ

プタがインライン プロテクシ ョ ン モードにな り ます。 HA アダプタ モード以外の設定は保持

されますが、 通常モードに切り替えられるまでは使用されません。

HA の無効化の無効化の無効化の無効化 ハイ アベイラビ リ ティを無効にするには :

1. [Local Tuning Parameters] を選択します。

2. [Adapter Management] タブを選択します。

[Sensor High Availability Mode] が、 ページの下部に表示されています。

3. [Normal] を選択します。

4. 変更内容を保存します。

146

アラートアラートアラートアラート キューの管理キューの管理キューの管理キューの管理

アラートアラートアラートアラート キューの管理キューの管理キューの管理キューの管理

はじめにはじめにはじめにはじめに アプライアンスは、 SensorEventQueue.adf という名前のキュー ファ イルを使用して、 イベン ト アラート を保管します。 [Alert Queue] ページを使用して、 このファ イルがどの程度大き くなる とアラートが失われるかの設定、 またファイルの 大サイズに達した後でキュー ファ イルがアラートを扱う方法の設定を行う こ とができます。

重要重要重要重要 : このページで設定を変更する と、 一時的にアプライアンス と リ ンクできなくなる場合があり ます。

アラートアラートアラートアラート キューとキューとキューとキューと SiteProtector

このページでの選択内容で、 Proventia Manager キュー ファ イルの設定だけが変更されます。 アプライアンスを SiteProtector から管理している場合、 イベン ト データは待ち行列から直接 Event Collector を通過して Site Database に入り ます。 しかし、 アプライアンス と Event Collector、 または Event Collector と Site Database の間での通信がダウンする と、 このイベン ト データはキュー ファ イルに格納されます。 通常の通信が回復する と、 待ち行列入り したデータは Event Collector を通過して Site Database に送られます。

手順手順手順手順 アラート キューのサイズを管理するには :

1. [Local Tuning Parameters] を選択します。

2. [Alert Queue] タブを選択します。

3. 次の表のよ うに、 設定を完了または設定します。

4. 変更内容を保存します。

重要重要重要重要 : このページに対する変更を保存する場合は、 エージェン ト を再起動する必要があ り ます。 これによってアプライアンスが一時的にバイパス モードになるため、 ネッ ト ワーク とセ

キュ リ ティに一時的な影響が及ぶ可能性があ り ます。

設定設定設定設定 説明説明説明説明

Proventia Manager Alert Queue Max Size

アラート キュー ファイルの 大サイズを入力します。

Proventia Manager Alert Queue Full Policy

キューが 大サイズに達したときにアプライアンスが使用する方法を、 次のいずれかから選択します。

• Stop Logging - ファイルの 大サイズに達すると、 キュー ファイルはアラートの記録を停止します。

• Wrap Around - ファイルの 大サイズに達すると、 キュー ファイルは も古いアラートを上書きして、 新しいアラートのために容量を確保します。

147Proventia Network Intrusion Prevention System User Guide

第第第第 12 章章章章 : ローカル調整パラ メータの設定ローカル調整パラ メータの設定ローカル調整パラ メータの設定ローカル調整パラ メータの設定

高度なパラメータの設定高度なパラメータの設定高度なパラメータの設定高度なパラメータの設定

はじめにはじめにはじめにはじめに セキュ リティ ニーズをよ り よ く満たすため、 またはハードウェアのパフォーマンスを向上させるために、 [Advanced Parameters] タブを使用して特定アプライアンスの特定パラ メータを設定 ( または調整 ) するこ とができます。

各アプライアンスに対して、 次のコンポーネン ト を調整するこ とができます。

� 不正侵入防御レスポンス

� 不正侵入防御セキュ リ ティ リ ス ク

� ファ イアウォール

� 自動アップデート

高度なパラメータについ高度なパラメータについ高度なパラメータについ高度なパラメータについてててて

高度なパラ メータは、 名前と値のペアで構成されています。 各ペアには、 デフォルト値が設定されています。 たとえば、 np.firewall.log とい うパラ メータは、 有効にしてあるファ イアウォール ルールと一致するパケッ トの詳細を記録するかど うかを決定するパラ メータです。 このパラ メータは、デフォルトで有効になっています。

[Advanced Parameters] タブの表に表示されているパラ メータの値を、 編集するこ とができます。 パラ メータがリ ス トに表示されていない場合は、 そのパラ メータにデフォルト値がないこ とを意味します。 表示するには、 パラ メータを新しい値と共に追加すればよいだけです。

ファ イアウォール ログ機能のパラ メータについては、 「ファ イアウォールのログ機能の調整」(139 ページ ) を参照して ください。

共通の高度な調整パラ共通の高度な調整パラ共通の高度な調整パラ共通の高度な調整パラメータメータメータメータ

次の表では、 共通の高度な調整パラ メータについて説明します。

名前名前名前名前 タイプタイプタイプタイプ デフォルト値デフォルト値デフォルト値デフォルト値 説明説明説明説明

crm.history.enabled Boolean (ブーリアン )

True 管理履歴を記録するかどうかを決定します。

crm.history.file String (文字列 )

/var/iss/crmhistory.log

管理用履歴ファイルの名前。

crm.policy.numbackups Number (数値 )

4 保存できる古いポリシー ファ

イルの数。

engine.adapter.high-water.default Number (数値 )

5 各アダプタで流れると予想される、 ト ラフ ィ ッ ク サンプリン

グ間隔あたりのパケッ ト数。 上限達成値は、 ト ラフ ィ ッ クの流れが下限達成値を前後している場合にト ラフ ィ ッ クが低いという複数の警告が生成されないようにする場合に使用します。

表表表表 37: 共通の高度な調整パラ メータ

148

高度なパラメータの設定高度なパラメータの設定高度なパラメータの設定高度なパラメータの設定

engine.adapter.low-water.default Number (数値 )

1 各アダプタで流れると予想される、 ト ラフ ィ ッ ク サンプリン

グ間隔あたりの 低パケッ ト数。 下限達成値は、 監査イベント Network_Quiet および Network_Normal を発行するた

めのしきい値として使用されます。

engine.droplog.enabled Boolean (ブーリアン )

False ドロップされたパケッ トの記録を有効にするかどうかを決定します。

engine.droplog.fileprefix String (文字列 )

/var/iss/drop ドロップ ログ ファイル名のプ

レフ ィ ッ クス。

engine.droplog.filesuffix String (文字列 )

.enc ドロップ ログ ファイル名のサ

フ ィ ッ クス。

engine.droplog.flush Boolean (ブーリアン )

False ドロップされたパケッ トのバッファ リングを無効にします。 この設定を有効にすると、 パフォーマンスに悪影響が出ます。

engine.droplog.maxfiles Number (数値 )

10 保存できるドロップ ログ ファ

イルの数。

engine.droplog.maxkbytes Number (数値 )

10000 (kb) ドロップ ログ ファイルの 大

サイズ。

engine.evidencelog.fileprefix String (文字列 )

/var/iss/evidence

証拠ファイル名のプレフ ィ ッ クス。

engine.evidencelog.filesufffix String (文字列 )

.enc 証拠ファイル名のサフ ィ ッ クス。

engine.evidencelog.maxfiles Number (数値 )

10 保存できる証拠ファイルの数。

engine.evidencelog.maxkbytes Number (数値 )

10000 (kb) 証拠ファイルの 大サイズ。

engine.log.file String (文字列 )

/var/iss/engine#.log

エンジン ログ ファイルの名前。

engine.pam.logfile String (文字列 )

/var/iss/pam#.log

PAM ログ ファイルの名前。

engine.statistics.interval Number (数値 )

120 統計値収集の間隔 ( 秒単位 )。

np.drop.invalid.checksum String (文字列 )

True インライン プロテクシ ョ ン モードにおいて、チェ ッ クサム エラーを含むパケッ ト をブロックするかどうか決定します。

名前名前名前名前 タイプタイプタイプタイプ デフォルト値デフォルト値デフォルト値デフォルト値 説明説明説明説明

表表表表 37: 共通の高度な調整パラ メータ ( 続き )

149Proventia Network Intrusion Prevention System User Guide

第第第第 12 章章章章 : ローカル調整パラ メータの設定ローカル調整パラ メータの設定ローカル調整パラ メータの設定ローカル調整パラ メータの設定

np.drop.invalid.protocol String (文字列 )

True インライン プロテクシ ョ ン モードにおいて、 プロ ト コルに違反するパケッ ト をブロックするかどうか決定します。

np.drop.resource.error String (文字列 )

False インライン プロテクシ ョ ン モードにおいて、 パケッ ト を調査するための十分なリソースがない場合にパケッ ト をブロックするかどうか決定します。

np.drop.rogue.tcp.packets String (文字列 )

False インライン プロテクシ ョ ン モードにおいて、 既知の TCP 接続の一部ではないパケッ ト をブロックするかどうか決定します。

np.firewall.log String (文字列 )

オン 有効になっているファイアウォール ルールと一致するパ

ケッ トの詳細を記録するかどうかを決定します。

np.log.quarantine.added String (文字列 )

オン 検疫テーブルに追加されたルールの詳細を記録します。

np.log.quarantine.expired String (文字列 )

オン 検疫テーブルで期限切れになったルールの詳細を記録します。

np.log.quarantine.removed String (文字列 )

オン 期限切れ前に検疫テーブルから削除されたルールの詳細を記録します。

np.statistics String (文字列 )

オン PAM 統計値の記録を有効にす

るかどうかを決定します。

np.statistics.file オン /var/iss/pamstats.dat

PAM 統計値ファイルの名前。

pam.traffic.sample Boolean (ブーリアン )

True 異常なレベルのネッ トワーク アクテ ィビテ ィ を検出する目的で、 ト ラフ ィ ッ ク サンプリン

グを有効にします。 このパラメータは、 Network_Quiet およ

び Network_Normal の監査イベ

ン トに影響を与えます。

pam.traffic.sample.interval Number (数値 )

300 異常なレベルのネッ トワーク アクテ ィビテ ィ を検出する目的でト ラフ ィ ッ クの流れをサンプリングする場合の間隔 ( 秒単位

)。 このパラメータは、

Network_Quiet および Network_Normal の監査イベン

トに影響を与えます。

sensor.trace.level Number (数値 )

3 Proventia Network IPS のログ レベル。

名前名前名前名前 タイプタイプタイプタイプ デフォルト値デフォルト値デフォルト値デフォルト値 説明説明説明説明

表表表表 37: 共通の高度な調整パラ メータ ( 続き )

150

高度なパラメータの設定高度なパラメータの設定高度なパラメータの設定高度なパラメータの設定

高度なパラメータの追加高度なパラメータの追加高度なパラメータの追加高度なパラメータの追加 高度なパラ メータを追加するには :

1. [Local Tuning Parameters] を選択します。

2. [Advanced Parameters] タブを選択します。

3. [Add] をク リ ッ ク します。

4. 次の表のよ うに、 設定を完了します。

5. [OK] をク リ ッ ク します。

6. 変更内容を保存します。

高度なパラメータの作業高度なパラメータの作業高度なパラメータの作業高度なパラメータの作業 高度なパラ メータを編集、 コピー、 または削除するには :

1. [Local Tuning Parameters] を選択します。

2. [Advanced Parameters] タブを選択し、 次のいずれかを行います。

3. 変更内容を保存します。

設定設定設定設定 説明説明説明説明

Enabled パラ メータを有効にするには、 このチェ ッ ク ボックスをオンにします。

Name パラ メータの名前を入力します。

例例例例 : engine.log.file

Comment パラ メータ用の固有の説明を入力します。

例例例例 : エンジン ログ ファイル。

Value 次のいずれかのオプシ ョ ンを選択します。

• Boolean - True または False の値を選択します。

• Number - パラメータに対して適切な数値を入力します。

• String - パラ メータの値 ( ログ ファイルの場所など ) を入力します。例 : /var/iss/engine#.log

実行内容実行内容実行内容実行内容 手順手順手順手順

編集 ヒン トヒン トヒン トヒン ト : 変更したい項目を [Advanced Parameters] タブでダブ

ルクリ ックすることで、 一部のプロパティを直接編集することができます。

1. パラ メータを選択し、 編集編集編集編集のアイコン ( ) をクリ ッ クし

ます。

2. [Enabled] チェ ック ボックスをオンまたはオフにします。

3. このパラ メータを編集し、 [OK] をクリ ックします。

コピー 1. パラ メータを選択し、 コピーコピーコピーコピーのアイコン ( ) をクリ ッ ク

します。

2. 貼り付け貼り付け貼り付け貼り付けのアイコン ( ) をクリ ックします。

3. 必要に応じてパラ メータを編集し、 [OK] をクリ ックしま

す。

削除 1. パラ メータを選択します。

2. 削除削除削除削除のアイコン ( ) をクリ ックします。

151Proventia Network Intrusion Prevention System User Guide

第第第第 12 章章章章 : ローカル調整パラ メータの設定ローカル調整パラ メータの設定ローカル調整パラ メータの設定ローカル調整パラ メータの設定

TCPReset の設定の設定の設定の設定

はじめにはじめにはじめにはじめに アプライアンスを使用して、 ネッ ト ワーク機器上の ( 読み取り専用 ) SPAN ポート を監視するこ とができます。 ( 読み取り専用 ) SPAN ポート を監視するには、 アプライアンスの TCPReset (Kill) ポート を設定する必要があ り ます。 ( 読み取り専用 ) 監視ポート を使用する場合、 アプライアンスは別のインターフェースに Kill を送信する必要があ り ます。

注記注記注記注記 : アプライアンスは、 パッシブ モニタ リ ング モードであっても、 監視ポート を通じて Kill を送信するよ うにデフォルト設定されています。 たとえば、 ハブを通じて監視を行っていれば、 外部 Kill ポート を設定する必要はあ り ません。

手順手順手順手順 TCPReset を設定するには :

1. Kill ポート ( アプライアンス前面の右側にある 「2」 の管理ポート ) をネッ ト ワークに接続しま

す。

2. Kill ポート (eth0) のルーターの MAC アドレスを確認するには、 次のいずれかを行います。

� ルーターの MAC アドレスは、 システム管理者に問い合わせてください。 MAC アドレスを

受け取ったら、 手順 4 に進みます。

� アプライアンス上で get-reset-config とい う スク リプ ト を実行し、 MAC アドレスを入手しま

す。 手順 3 に進みます。

3. アプライアンスへ root と してログインし、 get-reset-config を実行します。

次の点に注意してください。

� パラ メータを指定せずにスク リプ ト を実行する と、 使用方法が表示されます。

� 必要なパラ メータを指定してスク リプ ト を実行する と、 MAC アドレスが表示されます。

注記注記注記注記 : get-reset-config ユーティ リ ティでは、 ネッ ト ワークへ接続してルーターの MAC アドレスを検出するために、 一時的な IP アドレスが必要となり ます。 通常動作の間、 Kill ポートはステルス モードにあ り、 IP アドレスは必要あ り ません。

4. Proventia Manager で、 [System] [Local Tuning Parameters] の順に選択します。

5. [Advanced Parameters] タブを選択します。

6. ローカル調整パラ メータ np.macaddress.destination を追加して、 ルーターの MAC アドレスを設定します。

np.macaddress.destination = XX:XX:XX:XX:XX:XX

注記注記注記注記 : ローカル パラ メータ追加の詳細については、 「高度なパラ メータの追加」 (151 ページ ) を参照してください。

7. [Adapter Management] タブを選択します。

8. 外部 Kill ポート を有効にするアダプタを選択し、 [Edit] をク リ ッ ク します。

9. 外部 Kill ポート を有効にするポートのそれぞれで、 [TCP Resets] を 「This Port」 から 「TCP Reset Port」 に変更して [OK] をク リ ッ ク します。

10. 外部 Kill ポート をその他アダプタ上で有効にするには、 手順 8 ～ 9 を繰り返します。

例例例例 : 外部 Kill ポート を有効にし、 ポート A、 B、 C、 D で受信したイベン トに対して TCP リセッ ト を送信するこ とができますが、 ポート E および F で受信したイベン トに対する TCP リセッ ト をポート E および F を通じて送信するこ と もできます。

11. [Save Changes] をク リ ッ ク します。

152

ネッ トワークネッ トワークネッ トワークネッ トワーク フレーム 大サイズの増加フレーム 大サイズの増加フレーム 大サイズの増加フレーム 大サイズの増加

ネッ トワークネッ トワークネッ トワークネッ トワーク フレーム 大サイズの増加フレーム 大サイズの増加フレーム 大サイズの増加フレーム 大サイズの増加

はじめにはじめにはじめにはじめに Proventia Network IPS GX5000 シ リーズ アプライアンスは、 デフォルトで、 9216 バイ トのネッ トワーク フレーム 大サイズに対応しています (Ethernet FCS [Frame Check Sequence] を含む )。 通常のイーサネッ ト ( 特に IEEE 802.3 標準の ) フレームは、 1518 バイ トに制限されています。

特定タイプのネッ ト ワーク機器は、 「ジャンボ」 フレームに対応しています。 一般的に、 1518 バイト を超えるフレームがジャンボ フレームと見なされます。 新のネッ ト ワーク機器、 特にギガビッ ト ケーブル機器は、 ジャンボ フレームに対応していますが、 多くの機器タイプではフレーム サイズが約 9000 バイ トに制限されています。 ネッ ト ワークが 9216 バイ ト を超えるジャンボ フレームを使用する場合は、 高度な調整パラ メータを設定してフレーム バッファ サイズを増やすことができます。

重要重要重要重要 : フレーム サイズの増加は、 ネッ ト ワークにとって絶対に必要な場合のみと して ください。

フレームの 大サイズを増やしても、 ネッ ト ワーク フレームを保持するために利用可能なメモリ

量は増えません。 よ り多くのバッファを使用する という こ とは、 アプライアンスの保持できるフレームが、 これに相応してよ り少なくなるこ とを意味します。 結果と して、 分析を待つ受信パケットの 「バッ ク ログ」 が短くなり ます。 ト ラフ ィ ッ クの多いネッ ト ワークでは、 すぐに分析できないパケッ ト をアプライアンスがド ロ ップする場合があ り ます。

手順手順手順手順 ネッ ト ワーク フレーム サイズを増やすには :

1. [Local Tuning Parameters] を選択します。

2. [Advanced Parameters] タブを選択します。

3. [Add] をク リ ッ ク します。

4. 次の表のよ うに、 設定を完了または変更します。

5. [OK] をク リ ッ ク します。

6. 変更内容を保存します。

設定設定設定設定 説明説明説明説明

Enabled パラメータを有効にするには、 このチェ ック ボックスをオンに

します。

Name 「adapter.MaxFrameSize」 と入力します。

Comment パラメータ用の固有の説明を入力します。

例例例例 : Frame Size Allowance

Value [Number] を選択し、 フレーム サイズの適切な値を入力します。

重要重要重要重要 : 1536 またはそれ以上の数値と、 16384 またはそれ以下の

数値を入力する必要があります。 この数値は、 512 の倍数として

ください。 そうでないと、 値は無視されます。

153Proventia Network Intrusion Prevention System User Guide

第第第第 12 章章章章 : ローカル調整パラ メータの設定ローカル調整パラ メータの設定ローカル調整パラ メータの設定ローカル調整パラ メータの設定

154

第第第第 13 章章章章

システム設定の管理システム設定の管理システム設定の管理システム設定の管理

概要概要概要概要

はじめにはじめにはじめにはじめに この章では、 システム ステータスの表示方法と、 システム設定およびプロパティの変更方法について説明します。 この章の手順では、 Proventia Manager を使用します。 SiteProtector を通じてアプライアンスを管理している場合でも、 これらのローカル設定を指定するには Proventia Manager を使用する必要があ り ます。

この章の内容この章の内容この章の内容この章の内容 この章では、 次のト ピッ クについて説明します。

ト ピックト ピックト ピックト ピック ページページページページ

システム ステータスの表示 156

ログ ファイルの管理 157

システム ツールを使った作業 158

ユーザー アクセスの設定 159

新ライセンスのインストールと表示 160

155Proventia Network Intrusion Prevention System User Guide

第第第第 13 章章章章 : システム設定の管理システム設定の管理システム設定の管理システム設定の管理

システムシステムシステムシステム ステータスの表示ステータスの表示ステータスの表示ステータスの表示

はじめにはじめにはじめにはじめに システム ステータス情報を時々確認して、 アプライアンスが大量のネッ ト ワーク ト ラフ ィ ッ クを受けていないかど うかチェッ ク します。 システム設定は、 メモ リや CPU の使用率の急激な変化を検出するのにも役立ちます。

手順手順手順手順 システム ステータスを表示するには :

1. ナビゲーシ ョ ン ウ ィンド ウ枠の [System] を選択します。

次のシステム情報が表示されます。

2. 情報を更新するには、 [Refresh Data] リ ス トから値を選択します。

ヒン トヒン トヒン トヒン ト : 手動で更新する場合は、 [Refresh Now] を選択します。

表表表表 統計値統計値統計値統計値 説明説明説明説明

Memory Usage Total memory アプライアンスにインス トールされているメモリの量。

Used memory 動作中のプロセスによって現在使用されているメモリの量。

Free memory アプライアンス上の未使用メモリの量。

CPU Usage User ユーザーレベルのプロセスによって使用されている CPU リソースの割合。

System カーネルによって使用されているシステム リソースの

割合。

Idle 現在使用されていない CPU リソースの割合。

156

ログログログログ ファイルの管理ファイルの管理ファイルの管理ファイルの管理

ログログログログ ファイルの管理ファイルの管理ファイルの管理ファイルの管理

はじめにはじめにはじめにはじめに Proventia Manager の [Log Files] ページには、 アプライアンスに関連するログ ファ イルがすべて表示されます。 このページを使用して、 システム ログの表示、 ダウンロード、 削除を行います。

ログログログログ ファイル内のタイファイル内のタイファイル内のタイファイル内のタイ

ムスタンプについてムスタンプについてムスタンプについてムスタンプについて

ログ ファ イル内のタイムスタンプは、 Unix タイム (UTC 1970 年 1 月 1 日以来経過した秒数 ) で保存されます。

logtime とい う ツールを使用して、 このタイムスタンプをローカル タイムに変換するこ とができます。

重要重要重要重要 : この操作は、 アプライアンス本体で行う必要があ り ます。

ログログログログ ファイルのダウンファイルのダウンファイルのダウンファイルのダウン

ロードロードロードロード

ログ ファ イルをダウンロードするには :

1. ナビゲーシ ョ ン ウ ィンド ウ枠で、 [System] → [Tools] の順に選択します。

2. ダウンロードするファ イルを選択し、 [Download] をク リ ッ ク します。

3. [Save the file to disk] を選択し、 [OK] をク リ ッ ク します。

4. [File Name] にファイル名を入力し、 [Save] をク リ ッ ク します。

注記注記注記注記 : ダウンロード後も、 保存されたログ ファ イルはアプライアンスに残り ます。

ログログログログ ファイルの削除ファイルの削除ファイルの削除ファイルの削除 ログ ファ イルを削除するには :

1. ナビゲーシ ョ ン ウ ィンド ウ枠で、 [System] → [Tools] の順に選択します。

2. 次のいずれかを行います。

� 削除するファイルを選択し、 [Delete] をク リ ッ ク します。

� [Delete All] をク リ ッ ク します。

3. [OK] をク リ ッ ク します。

ログログログログ ファイルのタイムファイルのタイムファイルのタイムファイルのタイム

スタンプの変換スタンプの変換スタンプの変換スタンプの変換

ログ ファ イルのタイムスタンプを変換するには :

1. アプライアンスへ root と してログオンします。

2. 必要なパラ メータを使って logtime を実行します。 引数を指定せずに logtime を実行する と、

使用方法が表示されます。

例例例例 : frw000.log とい う ファ イアウォール ログ ファ イルのタイムスタンプを変換するには、 次の

コマンドを実行します。

logtime /var/iss/frw000.log /var/iss/newfrw000.log

このコマンドによって、 frw000.log をベースと した newfrw000.log とい う ファ イルが新規作成

されます。 このファイル内のタイムスタンプは、 ローカル タイムになっています。 元のログ ファ イルは変更されません。

新しい変換済みログ ファ イルを /var/iss ディ レク ト リ内に作成する と、 これを Proventia Manager からダウンロードできるよ うにな り ます。

157Proventia Network Intrusion Prevention System User Guide

第第第第 13 章章章章 : システム設定の管理システム設定の管理システム設定の管理システム設定の管理

システムシステムシステムシステム ツールを使った作業ツールを使った作業ツールを使った作業ツールを使った作業

はじめにはじめにはじめにはじめに [Tools] ページを使用して、 次のよ う な基本的なシステム作業を行います。

� アプライアンスの管理ポートに関する問題の処理

� アプライアンスが SiteProtector と正し く通信しているかど うかのテス ト

� 設定済みの SNMP ト ラ ップ レシーバ、 メール サーバー、 NTP サーバーとアプライアンスが通

信可能かど うかのテス ト

重要重要重要重要 : これらの作業は、 Proventia Manager からでないと行えません。

アプライアンスの再起動アプライアンスの再起動アプライアンスの再起動アプライアンスの再起動 アプライアンスを再起動するには :

1. Proventia Manager で、 [System] → [Local Tuning Parameters] の順に選択します。

2. [Reboot] をク リ ッ ク します。

3. [OK] をク リ ッ ク してアプライアンスを再起動します。

アプライアンスのシャッアプライアンスのシャッアプライアンスのシャッアプライアンスのシャットダウントダウントダウントダウン

アプライアンスをシャ ッ ト ダウンするには :

1. Proventia Manager で、 [System] → [Local Tuning Parameters] の順に選択します。

2. [Shut Down] をク リ ッ ク します。

3. [OK] をク リ ッ ク してアプライアンスをシャ ッ ト ダウンします。

コンピュータへのコンピュータへのコンピュータへのコンピュータへの ping コンピュータに対して ping を打つには :

1. Proventia Manager で、 [System] → [Local Tuning Parameters] の順に選択します。

2. [Diagnostics] 領域の [Ping] ボッ クスに、 テス ト対象コンピュータの IP アドレスを入力します。

3. [Submit] をク リ ッ ク します。

Traceroute ユーティ リユーテ ィ リユーテ ィ リユーテ ィ リ

テ ィの使用ティの使用ティの使用ティの使用

Traceroute ユーティ リ ティ を使用するには :

1. [System] [Tools] の順に選択します。

2. [Diagnostics] 領域で、 追跡対象のコンピュータの IP アドレスを [Traceroute] ボッ クスに入力し

ます。

3. 次のよ うにプロ ト コルプロ ト コルプロ ト コルプロ ト コルを選択します。

4. [Submit] をク リ ッ ク します。

プロ ト コルプロ ト コルプロ ト コルプロ ト コル 説明説明説明説明

UDP UDP traceroute プロ ト コル (UNIX の 「traceroute」 コマンド ) を選択した場合、

アプライアンスは対象ホストのランダムなポートに UDP パケッ ト を送信しま

す。 TTL (Time to Live) のフ ィールド と宛先ポートのフ ィールドは、 「ICMP Port Unreachable」 メ ッセージが返されるごと、 または 30 ホップに達するご

とに増えていきます。

ICMP ICMP traceroute プロ ト コル (Windows の 「tracert」 コマンド ) を選択した場

合、 TTL (Time to Live) のフ ィールド と宛先ポートのフ ィールドは、 「ICMP Port Unreachable」 メ ッセージが返されるごと、 または 30 ホップに達するご

とに増えていきます。

158

ユーザーユーザーユーザーユーザー アクセスの設定アクセスの設定アクセスの設定アクセスの設定

ユーザーユーザーユーザーユーザー アクセスの設定アクセスの設定アクセスの設定アクセスの設定

はじめにはじめにはじめにはじめに 次のパスワードを、 Proventia Manager インターフェースで変更するこ とができます。

� コマンド ラ インの root パスワード

� Proventia アプライアンスの管理用パスワード

� Proventia Manager の Web 管理用パスワード

重要重要重要重要 : パスワードを記録しておき、 保護してください。 パスワードがわからなくなった場合は、アプライアンスを再インス トールしてネッ ト ワークを設定し直す必要があ り ます。

ブート ローダ (root) パスワードを有効化または無効化するこ と もできます。 ブート ローダ パスワードは、 起動プロセスの間にアプライアンスを不正なユーザーから保護します。 ブート ローダ パスワードを有効にした場合は、 デフォルト以外の起動オプシ ョ ンを使用する場合に root パスワードを入力する必要があ り ます。

パスワードの変更パスワードの変更パスワードの変更パスワードの変更 パスワードを変更するには :

1. Proventia Manager で、 [System] → [Accesss] の順に選択します。

2. 変更するパスワードに関する領域で、 [Current Password] に現在のパスワードを入力します。

3. [Set Password] をク リ ッ ク します。

4. 新しいパスワードを 2 回入力して確認し、 [OK] をク リ ッ ク します。

5. [Save Changes] をク リ ッ ク します。

ブートローダブートローダブートローダブートローダ パスワーパスワーパスワーパスワー

ドの有効化または無効化ドの有効化または無効化ドの有効化または無効化ドの有効化または無効化

ブート ローダ パスワードを有効にするには :

1. ナビゲーシ ョ ン ウ ィンド ウ枠の [System] → [Access] の順に選択します。

2. パスワードを有効化するか無効化するかに従って、 [Enable bootloader password] チェッ ク ボッ クスをオンまたはオフにします。

3. [Save Changes] をク リ ッ ク します。

159Proventia Network Intrusion Prevention System User Guide

第第第第 13 章章章章 : システム設定の管理システム設定の管理システム設定の管理システム設定の管理

新ライセンスのインストールと表示新ライセンスのインストールと表示新ライセンスのインストールと表示新ライセンスのインストールと表示

はじめにはじめにはじめにはじめに [Licensing] ページを使用して、 ライセンス ファ イルの現在のステータスに関する重要な情報 ( 有効期限など ) の参照や、 Proventia Manager をアクティブ化するための新しいライセンス キー ファ イルの入力を行います。 インス トールするライセンス キー ファ イルはそれぞれ、 製品ライセンス固有です。 また、 ネッ ト ワークに固有の IP アドレス範囲情報が必要である場合があ り ます。 また、新ライセンスの入手方法が説明されている [License Information] ページにアクセスするこ と もで

きます。

重要重要重要重要 : ISS は、 ネッ ト ワーク情報を法による要請がない限り他の機関と共有しない、 という同社の

機密性ポリシーによる制約を受けています。

ライセンスライセンスライセンスライセンス キーキーキーキー ファイファイファイファイ

ルのインス トールルのインストールルのインストールルのインストール

ライセンス キー ファ イルをインス トールするには :

1. Proventia Manager で、 [System] → [Local Tuning Parameters] の順に選択します。

2. [Upload a new License Key] ボッ クス横の [ 参照参照参照参照 ] をク リ ッ ク します。

3. ダウンロード したライセンス キーを探します。

4. [OK] をク リ ッ ク します。

5. [Upload] をク リ ッ ク します。

現在のライセンス設定の現在のライセンス設定の現在のライセンス設定の現在のライセンス設定の表示表示表示表示

現在のライセンス設定を表示するには :

1. Proventia Manager で、 [System] [Licensing] の順に選択します。

2. [Status] 領域で、 次のステータス情報を確認します。

3. ライセンスの入手または継続に関する情報を入手するには、 [License Renewal Information] をク リ ッ ク します。

[License Information] ページが表示されます。

ステータスステータスステータスステータス 説明説明説明説明

Serial Number ライセンス キーのシリアル番号。

注記注記注記注記 : 各ライセンス キーには、 ID と OCN に特有のシリアル番号

が独自に割り振られています。

OCN 注文発注番号 (Order Confirmation Number: OCN)、 または ISS における顧客番号。

Expiration ライセンスの期限が切れる日時 (yyyy-mm-dd 形式 )。

Maintenance Expiration 保守契約の期限が切れる日時 (yyyy-mm-dd 形式 )。

160

第第第第 14 章章章章

アラート とシステム情報の表示アラート とシステム情報の表示アラート とシステム情報の表示アラート とシステム情報の表示

はじめにはじめにはじめにはじめに この章では、 Proventia Manager でのシステム アラート、 イベン ト、 ログ、 統計値の表示方法について説明します。

この章では、 次のト ピッ クについて説明します。

ト ピックト ピックト ピックト ピック ページページページページ

アラートの表示 162

保存されたアラート ファイルの管理 165

通知ステータスの表示 166

統計値の表示 167

161Proventia Network Intrusion Prevention System User Guide

第第第第 14 章章章章 : アラート とシステム情報の表示アラート とシステム情報の表示アラート とシステム情報の表示アラート とシステム情報の表示

アラートの表示アラートの表示アラートの表示アラートの表示

はじめにはじめにはじめにはじめに Proventia Manager のアラート イベン ト ログ ページを使用して、 システムおよびセキュ リティ関連のアラート を表示および管理します。 このアラート リ ス トには、 次のタイプのアラートが含まれます。

� ネッ ト ワークで発生した攻撃試みに関連する、 不正侵入防御アラート

� アプライアンス とその動作に関連する、 システム アラート

参照参照参照参照 : マネージメン ト コンソールに表示するアラートの作成については、 「アラートの設定」(142 ページ ) を参照して ください。

アプライアンスがアラーアプライアンスがアラーアプライアンスがアラーアプライアンスがアラートトトト リス ト を保存する方リス ト を保存する方リス ト を保存する方リス ト を保存する方

法法法法

現在のリ ス トは、 3 つのカンマ区切り値ファイル (.csv ファ イル ) と して保存されます。 この 3 つのファイルは、 [Alerts] ページに表示されたデータを相互参照するために使用されます。 ファ イルは次のとおりです。

アラート情報の表示アラート情報の表示アラート情報の表示アラート情報の表示 アラート情報を表示するには :

1. 次のいずれかを行います。

� [Alerts] ボタンをク リ ッ ク します。

� 次のいずれかを選択します。

[Notification] → [Alerts]

[Intrusion Prevention] → [Alerts]

[System] → [Alerts]

[Alerts] タブには、 各アラートに関する次の情報が表示されます。

ファイルファイルファイルファイル 内容内容内容内容

filename_eventdata.csv アラート レコード番号と一致する個別レコード。 このファイル

には、 アラート名と危険度も含まれます。

filename_eventinfo.csv アラートのアラート固有情報のセクシ ョ ンに挙げられたデータ。

filename_eventresp.csv アラートの実行したレスポンスのセクシ ョ ンに含まれるデータ。

表表表表 38: アラート リスト ファイル

列列列列 説明説明説明説明

Rec.# アラートのレコード番号。

Risk Level アラートの危険度アイコン。

Alert Name アラート名。

Source IP アラートの発信元 IP アドレス。

Source Port アラートの発信元ポート とポート名。

Destination IP アラートの宛先 ( または対象 ) IP アドレス。

Destination Port アラートの宛先 ( または対象 ) ポート とポート名。

Protocol アラートのプロ ト コルとプロ ト コル番号。

Vuln Status 脆弱点のステータス。

Alert Date & Time アラートの発生日時。

162

アラートの表示アラートの表示アラートの表示アラートの表示

2. アラートの詳細を表示するには、 アラート名アラート名アラート名アラート名をク リ ッ ク します。

ヒン トヒン トヒン トヒン ト : 前後のアラートの詳細を表示するには、 上向き矢印または下向き矢印をク リ ッ ク します。

3. ビューを更新するには、 [Refresh Data] リ ス トから次のいずれかを選択します。

� リ ス ト を直ちに更新するには、 [Refresh Now] を選択します。

� リ ス ト を自動的に更新するには、 更新間隔を選択します。

ヒン トヒン トヒン トヒン ト : 自動更新を無効にするには、 [Auto Off] を選択します。 このオプシ ョ ンを選択した場

合は、 ページを手動で更新して 新アラート を表示する必要があ り ます。

アラートのフ ィルタリンアラートのフ ィルタリンアラートのフ ィルタリンアラートのフ ィルタリンググググ

アラート をフ ィルタ リ ングするには :

1. 次のいずれかを行います。

� [Alerts] ボタンをク リ ッ ク します。

� 次のいずれかを選択します。

[Notification] → [Alerts]

[Intrusion Prevention] → [Alerts]

[System] → [Alerts]

2. [Alerts] タブで、 次の表を参照して [Filter Options] からフ ィルタ オプシ ョ ンを 1 つ選択しま

す。

オプシ ョ ンオプシ ョ ンオプシ ョ ンオプシ ョ ン 説明説明説明説明

Risk Level [Risk Level] リス トで選択したレベルのアラートが表示されま

す。

Alert Name 検索するアラートの名前アラートの名前アラートの名前アラートの名前を入力します。

アラート名の検索には、 ワイルドカード文字を使用できます。

Alert Type Intrusion Prevention または System のいずれかのアラートアラートアラートアラート タイタイタイタイ

ププププを選択します。

Date and Time アラートの検索を行う特定の開始日時を [Start Date and Time] に、 または終了日時を [End Date and Time] に入力します。

Source IP 指定した発信元発信元発信元発信元 IP アドレスアドレスアドレスアドレスに関して、 アラート を検索します。

Target IP 指定した対象対象対象対象 IP アドレスアドレスアドレスアドレスに関して、 アラート を検索します。

Source and Target IP 指定した発信元と対象の発信元と対象の発信元と対象の発信元と対象の IP アドレスアドレスアドレスアドレスに関して、 アラート を検索

します。

Source Port Number 指定した発信元ポート番号発信元ポート番号発信元ポート番号発信元ポート番号に関して、 アラート を検索します。

Target Port Number 指定した対象ポート番号対象ポート番号対象ポート番号対象ポート番号に関して、 アラート を検索します。

Protocol Number 指定したプロ ト コル番号プロ ト コル番号プロ ト コル番号プロ ト コル番号で、 アラート を検索します。

Multiple Values アラート検索に使用するフ ィルタの組み合わせを入力します。

たとえば、 日時、 発信元 IP、 プロ ト コル タイプの値を入力して

検索を絞り込むことができます。

163Proventia Network Intrusion Prevention System User Guide

第第第第 14 章章章章 : アラート とシステム情報の表示アラート とシステム情報の表示アラート とシステム情報の表示アラート とシステム情報の表示

アラートアラートアラートアラート リス トの保存リス トの保存リス トの保存リス トの保存 アラート リ ス ト を保存するには :

1. 次のいずれかを行います。

� [Alerts] ボタンをク リ ッ ク します。

� 次のいずれかを選択します。

[Notification] → [Alerts]

[Intrusion Prevention] → [Alerts]

[System] → [Alerts]

2. [Alerts] タブで、 次の表を参照して [Save alerts list to file] を選択します。

3. 保存対象の情報があるログを選択し、 [Download] をク リ ッ ク します。

4. [File Download] ダイアログ ボッ クスで、 [Save] をク リ ッ ク します。

5. 次のいずれかを行います。

� この情報を新しいファイルに保存するには、 新しいファイル名を入力してから [Save] をク

リ ッ ク します。

� この情報を既存のファイルに保存するには、 [Save] をク リ ッ ク します。

リス トからのアラートのリス トからのアラートのリス トからのアラートのリス トからのアラートの消去消去消去消去

アラート を リ ス トから消去するには :

1. 次のいずれかを行います。

� [Alerts] ボタンをク リ ッ ク します。

� 次のいずれかを選択します。

[Notification] → [Alerts]

[Intrusion Prevention] → [Alerts]

[System] → [Alerts]

2. [Alerts] タブで、 次の表を参照して [Clear alerts list to file] を選択します。

3. [OK] をク リ ッ ク します。

164

保存されたアラート保存されたアラート保存されたアラート保存されたアラート ファイルの管理ファイルの管理ファイルの管理ファイルの管理

保存されたアラート保存されたアラート保存されたアラート保存されたアラート ファイルの管理ファイルの管理ファイルの管理ファイルの管理

はじめにはじめにはじめにはじめに Proventia Manager の [Log File Management] ページを使用して、保存したアラート ファ イルの表示と管理を行う こ とができます。 別のシステムへのファイルのダウンロード、 ファ イルの削除、 またはその両方を行う こ とができます。 別のシステムへファイルをダウンロード した後も、 保存されたファイルはアプライアンス上に存在します。

アラートアラートアラートアラート ファイルのダファイルのダファイルのダファイルのダ

ウンロードウンロードウンロードウンロード

アラート ファ イルをダウンロードするには :

1. 次のいずれかを行います。

� [Alerts] ボタンをク リ ッ ク します。

� 次のいずれかを選択します。

[Notification] → [Alerts]

[Intrusion Prevention] → [Alerts]

[System] → [Alerts]

2. [Alerts] ページで、 [View/manage alerts Files] をク リ ッ ク します。

3. ダウンロードするファ イルを選択し、 [Download] をク リ ッ ク します。

4. [Save the file to disk] を選択し、 [OK] をク リ ッ ク します。

5. [File Name] にファイル名を入力し、 [Save] をク リ ッ ク します。

アラートアラートアラートアラート ファイルの削ファイルの削ファイルの削ファイルの削

除除除除

アラート ファ イルを削除するには :

1. 次のいずれかを行います。

� [Alerts] ボタンをク リ ッ ク します。

� 次のいずれかを選択します。

[Notification] → [Alerts]

[Intrusion Prevention] → [Alerts]

[System] → [Alerts]

2. [Alerts] ページで、 [View/manage alerts Files] をク リ ッ ク します。

3. 次のいずれかを行います。

� 削除するファイルを選択し、 [Delete] をク リ ッ ク します。

� [Delete All] をク リ ッ ク します。

4. [OK] をク リ ッ ク します。

165Proventia Network Intrusion Prevention System User Guide

第第第第 14 章章章章 : アラート とシステム情報の表示アラート とシステム情報の表示アラート とシステム情報の表示アラート とシステム情報の表示

通知ステータスの表示通知ステータスの表示通知ステータスの表示通知ステータスの表示

はじめにはじめにはじめにはじめに [Notifications Status] 領域には、 アプライアンス上で発生中のアクシ ョ ンに関する有益な情報が表示されます。

次の情報を参照または変更するこ とができます。

� アラート イベン ト ログ データ

� システム ログ

アラートアラートアラートアラート イベン トイベン トイベン トイベン ト ログログログログ データの表示データの表示データの表示データの表示

[Notifications Status] ページのアラート イベン ト ログ情報を使用して、 イベン ト ログのサイズと数を監視するこ とができます。 この情報の監視は、 システムおよびイベン ト データを効率よ く管理するのに役立ちます。 深刻なイベン トが発生した場合には、 情報を見つけだして問題を迅速に解決するこ とができます。

[Alert Event Log] 表には、 次の情報が表示されます。

システムシステムシステムシステム ログの表示ログの表示ログの表示ログの表示 [System Logs] ページを使用して、 システム ログを表示します。 システム ログには、 ユーザーがアクシ ョ ンを実行した ( システム再起動、 手動による機能設定 )、 またはアプライアンス自体がアクシ ョ ンを取った ( 自動アップデート など ) など、 アプライアンスが取ったアクシ ョ ンに関する重要な情報が含まれています。

通知ステータス通知ステータス通知ステータス通知ステータス データデータデータデータ

の更新の更新の更新の更新

このページを、 特定の間隔で手動更新または自動更新するこ とができます。

データを更新するには :

� [Refresh Data] リ ス トからオプシ ョ ンを選択します。

� Refresh Now ( このオプシ ョ ンは、 手動でページを更新する場合に使用します )

� every 10 seconds (30 秒ごと )

� every 20 seconds (30 秒ごと )

� every 30 seconds (30 秒ごと )

� every 1 minute (1 分ごと )

� every 2 minutes (2 分ごと )

� Auto Off ( このオプシ ョ ンは、 自動更新を無効にする場合に使用します )

ページが更新され、 新のイベン トが表示されます。

項目項目項目項目 説明説明説明説明

Number of Logged Alerts ログ ファイルに書き込まれるアラートの数。

Percentage Full 割り当てられた容量の、 アラート ログ項目を含むパーセンテー

ジ。

Time of Last Alert ログ ファイルへアラートが 後に書き込まれた日時。

表表表表 39: アラート イベン ト ログ データ

166

統計値の表示統計値の表示統計値の表示統計値の表示

統計値の表示統計値の表示統計値の表示統計値の表示

はじめにはじめにはじめにはじめに [Statistics] ページを使用して、 アプライアンスによって処理されたネッ ト ワーク ト ラフ ィ ッ クの統計値を参照します。 これらの統計値は、 テス ト 、 ト ラブルシューティング、 ネッ ト ワーク データや攻撃傾向を探し出すためのある種の監査に使用するこ とができます。

統計値の表示統計値の表示統計値の表示統計値の表示 統計値を参照するには :

1. Proventia Manager のナビゲーシ ョ ン ウ ィンド ウ枠で、 [Statistics] を選択します。

2. 表示する統計値ページを選択します。

ド ライバドライバドライバドライバ パケッ トの種パケッ トの種パケッ トの種パケッ トの種

類類類類

次の表では、 ド ライバ パケッ トについて説明します。

統計値統計値統計値統計値 説明説明説明説明

Protection statistics [Protection Statistics] ページを使用して、 現在のアプライアンス

設定と、 設定の結果として生じた動作に関する情報を参照します。 この情報には、 攻撃およびアプライアンスが取ったブロック アクシ ョ ンに関する詳細のほか、 有効化されているイベン ト チェ ックが含まれます。

Packet analysis statistics [Packet Analysis Statistics] ページを使用して、 PAM (Protocol Analysis Module) から出力された統計値すべてを参照します。 こ

の情報を使用して、 プロ ト コルの回数やプロ ト コルの処理を追跡することができます。

Driver statistics [Driver Statistics] ページを使用して、 パケッ ト総数 ( インジェク

ト、 拒否、 またはドロップされたパケッ トなど ) や分析されずに

ネッ トワークを通過したパケッ トに関する情報のほか、 アプライアンスで使用される各アダプタにおけるネッ トワーク アクテ ィ

ビテ ィ を参照します。 分析されていないパケッ トは、 アプライアンスがオーバーロード している場合、 またはグループを通じたポリシー 「適用」 などのルーチン イベン トが原因で、 通過可能と

なる可能性があります。

パケッ トパケッ トパケッ トパケッ ト 説明説明説明説明

Received Packets アダプタのインスタンスが作成されて以来、 受信されたパケッ トの数。

Transmitted Packets アダプタのインスタンスが作成されて以来、 送信されたパケッ トの数。 この数には、 転送されたパケッ ト、 インジェク ト されたパケッ ト、 未分析のパケッ トが含まれます。

Forwarded Packets アダプタのインスタンスが作成されて以来、 対のインターフェースまたはミ ラー インターフェースに転送されたパケッ トの数。

この数にはインジェク ト されたパケッ トは含まれませんが、 分析されずに転送されたパケッ トは含まれます。

Dropped Packets アダプタのインスタンスが作成されて以来、 転送されなかった (ドロップされた ) パケッ トの数。 分析されずにドロップされたパ

ケッ ト も含まれます。

表表表表 40: ド ライバ パケッ ト

167Proventia Network Intrusion Prevention System User Guide

第第第第 14 章章章章 : アラート とシステム情報の表示アラート とシステム情報の表示アラート とシステム情報の表示アラート とシステム情報の表示

Injected Packets アダプタのインスタンスが作成されて以来、 インジェク ト されたパケッ ト ( アプリケーシ ョ ンによって構成され、 送信されたパ

ケッ ト ) の数。

Unanalyzed Packets アダプタのインスタンスが作成されて以来、 分析されずに転送またはドロップされたパケッ トの数。 アプリケーシ ョ ンが受信後すぐに未分析パケッ ト を処理できない場合、 これらはドライバによって処理されます。 未分析パケッ ト を転送またはドロップするかどうかや、 アプリケーシ ョ ンが動作を継続していないと ド ライバが判断する場合のしきい値は、 設定パラ メータによって決定されます。

パケッ トパケッ トパケッ トパケッ ト 説明説明説明説明

表表表表 40: ド ライバ パケッ ト

168

索引索引索引索引

bBlock Percentage 110

cConnection Event タブ 111, 114crm.history.enabled 148crm.history.file 148crm.policy.numbackups 148

dDest IP 110Dest Port 110DNS_Query コンテキスト 117

eEmail_Receiver コンテキスト 117Email_Sender コンテキスト 118Email_Subject context 118Email レスポンス

追加 99engine.adapter.high-water.default 148engine.adapter.low-water.default 149engine.droplog.enabled 149engine.droplog.fileprefix 149engine.droplog.filesuffix 149engine.droplog.flush 149engine.droplog.maxfiles 149engine.droplog.maxkbytes 149engine.evidencelog. maxkbytes 149engine.evidencelog.fileprefix 149engine.evidencelog.filesufffix 149engine.evidencelog.maxfiles 149engine.evidencelog.maxkbytes 149engine.log.file 149engine.pam.logfile 149engine.statistics.interval 149Expiration Time 110

Proventia Network Intrusion Prevention System User Guide

fFile_Name コンテキスト 118Find Updates ボタン 60FINGER、 関連ユーザー名の監視 121

hHA 実装論理図 47HA 設定 45HA モード 45HTTP GET 要求 120

iICMP Code 110ICMP Type 110ILOVEYOU ウィルスの例 118Internet Security Systems

Web サイ ト xiiテクニカル サポート xii

ISS のマネージメン ト コンソール 16, 72

lLicensing ページ 56Log Evidence タブ 101

nNetwork Sensor

169

索引索引索引索引

正規表現ライブラ リ 122News_Group コンテキスト 118np.drop.invalid.checksum 149np.drop.invalid.protocol 150np.drop.resource.error 150np.drop.rogue.tcp.packets 150np.firewall.log 150np.log.quarantine.added 150np.log.quarantine.expired 150np.log.quarantine.removed 150np.statistics 150np.statistics.file 150

ppam.traffic.sample 150pam.traffic.sample.interval 150Password コンテキスト 119Protocol 110PXE ブート サーバー 39

qQuarantine Intruder 102Quarantine Trojan 102Quarantine Worm 102Quarantine タブ 102Quarantine レスポンス

追加 102Quarantine レスポンス オブジェク ト 102

rReadme ix

ssensor.trace.level 150SiteProtector 16, 72SiteProtector による管理のオプシ ョ ン 73SiteProtector による管理の設定 74SNMP EXPN、 関連ユーザー名の監視 121SNMP、 関連ユーザー名の監視 121SNMP コ ミ ュニテ ィ文字列 120SNMP_Community コンテキスト 120SNMP タブ 104SNMP レスポンス

170

追加 104Source IP 110Source Port 110

tTrons ルール

追加 125

uUpdate Settings ページ 60Updates to Download ページ 60URL_Data コンテキスト 120User Specified タブ 106User_Login_Name コンテキスト 121User_Probe_Name コンテキスト 121

vVRFY、 関連ユーザー名の監視 121

wWeb サイ ト、 Internet Security Systems xii

ああああアップデート

アプライアンス 60アップデートの検索

プロセス 60アップデート パッケージ 60アプライアンス ソフ トウェアの再インス トール 41アプライアンスの再インストール

再設定 42アプライアンスの再設定 42

いいいいイベントの参照 16印刷上の表記規則 x

かかかか管理パスワードの変更 159関連マニュアル ix

索引索引索引索引

ここここコンテキスト

DNS_Query 117Email_Receiver 117Email_Sender 118Email_Subject 118File_Name 118News_Group 118Password 119SNMP_Community 120URL_Data 120User_Login_Name 121User_Probe_Name 121

しししし事前定義されたレスポンス オブジェク ト 102自動アップデート 60使用、 プロテクシ ョ ン ド メイン 82

すすすす図

PXE セッ ト アップ 41

せせせせ正規表現

ユーザー定義シグネチャ 122セキュリテ ィ イベン ト

説明 84設定、 外部 Kill ポート 152設定スナップシ ョ ッ ト、 作成 40

たたたた対象読者 vii

つつつつ追加、 Email レスポンス 99追加、 Quarantine レスポンス 102追加、 SNMP レスポンス 104追加、 プロテクシ ョ ン ド メイン 82追加、 ユーザー指定レスポンス 106

Proventia Network Intrusion Prevention System User Guide

ててててテクニカル サポート、 Internet Security Systems xii

とととと動作モード

定義 17, 20

ぬぬぬぬヌル モデム ケーブル 40

ははははハイ アベイラビリテ ィ実装 47ハイ アベイラビリテ ィ設定 46ハイ アベイラビリテ ィについて 44パスワード

root 159管理用 159ブート ローダ 159

ひひひひ表記規則、 印刷上

コマンド x手順 x本書 x

ふふふふファームウェア アップデート 60ブートローダ パスワード 159不正侵入防御アップデート 60HA 物理ネッ トワーク図 48プロテクシ ョ ン ド メイン

使用する場合 82追加 82

へへへへ変更

アプライアンス モード 17パスワード 159

変更、 アプライアンスのパスワード 159

171

索引索引索引索引

ほほほほ防御ステータス 57

ままままマネージメン ト コンソール

ユーザー マニュアル 16

ゆゆゆゆユーザー指定レスポンス

追加 106ユーザー定義シグネチャ

正規表現 122優先順位

正規表現での変更 122

よよよよ( 読み取り専用 ) SPAN ポートの監視 152

ららららライセンス ファイル

HA 56HA 以外 56

りりりりリモート root アクセスの無効化 34

ろろろろロールバック 60

172

Internet Security Systems, Inc. Software License Agreement THIS SOFTWARE PRODUCT IS PROVIDED IN OBJECT CODE AND IS LICENSED, NOT SOLD. BY INSTALLING, ACTIVATING, COPYING OR OTHERWISE USING THIS SOFTWARE PRODUCT, YOU AGREE TO ALL OF THE PROVISIONS OF THIS SOFTWARE LICENSE AGREEMENT (“LICENSE”). EXCEPT AS MAY BE MODIFIED BY AN APPLICABLE ISS LICENSE NOTIFICATION THAT ACCOMPANIES, PRECEDES, OR FOLLOWS THIS LICENSE, AND AS MAY FURTHER BE DEFINED IN THE USER DOCUMENTATION ACCOMPANYING THE SOFTWARE PRODUCT, YOUR RIGHTS AND OBLIGATIONS WITH RESPECT TO THE USE OF THIS SOFTWARE PRODUCT ARE AS SET FORTH BELOW. IF YOU ARE NOT WILLING TO BE BOUND BY THIS LICENSE, RETURN ALL COPIES OF THE SOFTWARE PRODUCT, INCLUDING ANY LICENSE KEYS, TO ISS WITHIN FIFTEEN (15) DAYS OF RECEIPT FOR A FULL REFUND OF ANY PAID LICENSE FEE. IF THE SOFTWARE PRODUCT WAS OBTAINED BY DOWNLOAD, YOU MAY CERTIFY DESTRUCTION OF ALL COPIES AND ANY LICENSE KEYS IN LIEU OF RETURN. 1. License - Upon your payment of the applicable fees and ISS delivery to you of the applicable license notification, Internet Security Systems, Inc. (“ISS”) grants to

you as the only end user (“Licensee”) a nonexclusive and nontransferable, limited license for the accompanying ISS software product, the related documentation, and any associated license key(s) (Software), for use only on the specific network configuration, for the number and type of devices, and for the time period (“Term”) that are specified in ISS quotation and Licensees purchase order, as accepted by ISS. ISS limits use of Software based upon the number of nodes, users and/or the number and type of devices upon which it may be installed, used, gather data from, or report on, depending upon the specific Software licensed. A device includes any network addressable device connected to Licensees network, including remotely, including but not limited to personal computers, workstations, servers, routers, hubs and printers. A device may also include ISS hardware (each an Appliance) delivered with pre-installed Software and the license associated with such shall be a non-exclusive, nontransferable, limited license to use such pre-installed Software only in conjunction with the ISS hardware with which it is originally supplied and only during the usable life of such hardware. Except as provided in the immediately preceding sentence, Licensee may reproduce, install and use the Software on multiple devices, provided that the total number and type are authorized by ISS. Licensee may make a reasonable number of backup copies of the Software solely for archival and disaster recovery purposes. In connection with certain Software products, ISS licenses security content on a subscription basis for a Term. Content subscriptions are licensed pursuant to this License based upon the number of protected nodes or number of users. Security content is regularly updated and includes, but is not limited to, Internet content (URLs) and spam signatures that ISS classifies, security algorithms, checks, decodes, and ISS related analysis of such information, all of which ISS regards as its confidential information and intellectual property. Security content may only be used in conjunction with the applicable Software in accordance with this License. The use or re-use of such content for commercial purposes is prohibited. Licensees access to the security content is through an Internet update using the Software. In addition, unknown URLs may be automatically forwarded to ISS through the Software, analyzed, classified, entered into ISS URL database and provided to Licensee as security content updates at regular intervals. ISS URL database is located at an ISS facility or as a mirrored version on Licensees premises. Any access by Licensee to the URL database that is not in conformance with this License is prohibited. Upon expiration of the security content subscription Term, unless Licensee renews such content subscription, Licensee shall implement appropriate system configuration modifications to terminate its use of the content subscription. Upon expiration of the license Term, Licensee shall cease using the Software and certify return or destruction of it upon request.

2. Migration Utilities - For Software ISS markets or sells as a Migration Utility, the following shall apply. Provided Licensee holds a valid license to the ISS Software to which the Migration Utility relates (the Original Software), ISS grants to Licensee as the only end user a nonexclusive and nontransferable, limited license to the Migration Utility and the related documentation (“Migration Utility”) for use only in connection with Licensees migration of the Original Software to the replacement software, as recommended by ISS in the related documentation. The Term of this License is for as long as Licensee holds a valid license to the applicable Original Software. Licensee may reproduce, install and use the Migration Utility on multiple devices in connection with its migration from the Original Software to the replacement software. Licensee shall implement appropriate safeguards and controls to prevent unlicensed use of the Migration Utility. Licensee may make a reasonable number of backup copies of the Migration Utility solely for archival and disaster recovery purposes.

3. Third-party Products - Use of third party product(s) supplied hereunder, if any, will be subject solely to the manufacturers terms and conditions that will be provided to Licensee upon delivery. ISS will pass any third party product warranties through to Licensee to the extent authorized. If ISS supplies Licensee with Crystal Decisions Runtime Software, then the following additional terms apply: Licensee agrees not to alter, disassemble, decompile, translate, adapt or reverse-engineer the Runtime Software or the report file (.RPT) format, or to use, distribute or integrate the Runtime Software with any general-purpose report writing, data analysis or report delivery product or any other product that performs the same or similar functions as Crystal Decisions product offerings; Licensee agrees not to use the Software to create for distribution a product that converts the report file (.RPT) format to an alternative report file format used by any general-purpose report writing, data analysis or report delivery product that is not the property of Crystal Decisions; Licensee agrees not to use the Runtime Software on a rental or timesharing basis or to operate a service bureau facility for the benefit of third parties unless Licensee first acquires an Application Service Provider License from Crystal Decisions; CRYSTAL DECISIONS AND ITS SUPPLIERS DISCLAIM ALL WARRANTIES, EXPRESS, OR IMPLIED, INCLUDING WITHOUT LIMITATION THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE, AND NONINFRINGEMENT OF THIRD PARTY RIGHTS. CRYSTAL DECISIONS AND ITS SUPPLIERS SHALL HAVE NO LIABILITY WHATSOEVER UNDER THIS AGREEMENT OR IN CONNECTION WITH THE SOFTWARE. In this section 3 Software means the Crystal Reports software and associated documentation supplied by ISS and any updates, additional modules, or additional software provided by Crystal Decisions in connection therewith; it includes Crystal Decisions Design Tools, Report Application Server and Runtime Software, but does not include any promotional software or other software products provided in the same package, which shall be governed by the online software license agreements included with such promotional software or software product.

4. Beta License - If ISS is providing Licensee with the Software, security content and related documentation, and/or an Appliance as a part of an alpha or beta test, the following terms of this Section 4 additionally apply and supersede any conflicting provisions herein or any other license agreement accompanying, contained or embedded in the subject prototype product or any associated documentation. ISS grants to Licensee a nonexclusive, nontransferable, limited license to use the ISS alpha/beta software program, security content, if any, Appliance and any related documentation furnished by ISS (Beta Products) for Licensees evaluation and comment (the “Beta License”) during the Test Period. ISS standard test cycle, which may be extended at ISS discretion, extends for sixty (60) days, commencing on the date of delivery of the Beta Products (the “Test Period”). Upon expiration of the Test Period or termination of the Beta License, Licensee shall, within thirty (30) days, return to ISS or destroy all copies of the beta Software, and shall furnish ISS written confirmation of such return or destruction upon request. If ISS provides Licensee a beta Appliance, Licensee agrees to discontinue use of and return such Appliance to ISS upon ISS request and direction. If Licensee does not promptly comply with this request, ISS may, in its sole discretion, invoice Licensee in accordance with ISS current policies. Licensee will provide ISS information reasonably requested by ISS regarding Licensee’s experiences with the installation and operation of the Beta Products. Licensee agrees that ISS shall have the right to use, in any manner and for any purpose, any information gained as a result of Licensees use and evaluation of the Beta Products. Such information shall include but not be limited to changes, modifications and corrections to the Beta Products. Licensee grants to ISS a perpetual, royalty-free, non-exclusive, transferable, sublicensable right and license to use, copy, make derivative works of and distribute any report, test result, suggestion or other item resulting from Licensee’s evaluation of its installation and operation of the Beta Products. LICENSEE AGREES NOT TO EXPORT BETA PRODUCTS DESIGNATED BY ISS IN ITS BETA PRODUCT DOCUMENTATION AS NOT YET CLASSIFIED FOR EXPORT TO ANY DESTINATION OTHER THAN THE U.S. AND THOSE COUNTRIES ELIGIBLE FOR EXPORT UNDER THE PROVISIONS OF 15 CFR 740.17(A) (SUPPLEMENT 3), CURRENTLY CANADA, THE EUROPEAN UNION, AUSTRALIA, JAPAN, NEW ZEALAND, NORWAY, AND SWITZERLAND. If Licensee is ever held or deemed to be the owner of any copyright rights in the Beta Products or any changes, modifications or corrections to the Beta Products, then Licensee hereby irrevocably assigns to ISS all such rights, title and interest and agrees to execute all documents necessary to implement and confirm the letter and intent of this Section. Licensee acknowledges and agrees that the Beta Products (including its existence, nature and specific features) constitute Confidential Information as defined in Section 18. Licensee further agrees to treat as Confidential Information all feedback, reports, test results, suggestions, and other items resulting from Licensee’s evaluation and testing of the Beta Products as contemplated in this Agreement. With regard to the Beta Products, ISS has no obligation to provide support, maintenance, upgrades, modifications, or new releases. However, ISS agrees to use its reasonable efforts to correct errors in the Beta Products and related documentation within a reasonable time, and will provide Licensee with any corrections it makes available to other evaluation participants. The documentation relating to the Beta Products may be in draft form and will, in many cases, be incomplete. Owing to the experimental nature of the Beta Products, Licensee is advised not to rely exclusively on the Beta Products for any reason. LICENSEE AGREES THAT THE BETA PRODUCTS AND RELATED DOCUMENTATION ARE BEING DELIVERED “AS IS” FOR TEST AND EVALUATION PURPOSES ONLY WITHOUT WARRANTIES OF ANY KIND, INCLUDING WITHOUT LIMITATION ANY IMPLIED WARRANTY OF NONINFRINGEMENT, MERCHANTABILITY OR FITNESS FOR A PARTICULAR PURPOSE. LICENSEE ACKNOWLEDGES AND AGREES THAT THE BETA PRODUCT MAY CONTAIN DEFECTS, PRODUCE ERRONEOUS AND UNINTENDED RESULTS AND MAY AFFECT DATA NETWORK SERVICES AND OTHER MATERIALS OF LICENSEE. LICENSEES USE OF THE BETA PRODUCT IS AT THE SOLE RISK OF LICENSEE. IN NO EVENT WILL ISS BE LIABLE TO LICENSEE OR ANY OTHER PERSON FOR DAMAGES, DIRECT OR INDIRECT, OF ANY NATURE, OR EXPENSES INCURRED BY LICENSEE. LICENSEE’S SOLE AND EXCLUSIVE REMEDY SHALL BE TO TERMINATE THE BETA PRODUCT LICENSE BY WRITTEN NOTICE TO ISS.

5. Evaluation License - If ISS is providing Licensee with the Software, security content and related documentation on an evaluation trial basis at no cost, such license Term is 30 days from installation, unless a longer period is agreed to in writing by ISS. ISS recommends using Software and security content for evaluation in a non-production, test environment. The following terms of this Section 5 additionally apply and supercede any conflicting provisions herein. Licensee agrees to remove or disable the Software and security content from the authorized platform and return the Software, security content and documentation to ISS upon expiration of the evaluation Term unless otherwise agreed by the parties in writing. ISS has no obligation to provide support, maintenance, upgrades, modifications, or new releases to the Software or security content under evaluation. LICENSEE AGREES THAT THE EVALUATION SOFTWARE, SECURITY CONTENT AND RELATED DOCUMENTATION ARE BEING DELIVERED AS IS FOR TEST AND EVALUATION PURPOSES ONLY WITHOUT WARRANTIES OF ANY KIND, INCLUDING WITHOUT LIMITATION ANY IMPLIED WARRANTY OF NONINFRINGEMENT, MERCHANTABILITY OR FITNESS FOR A PARTICULAR PURPOSE. IN NO EVENT WILL ISS BE LIABLE TO LICENSEE OR ANY OTHER PERSON FOR DAMAGES, DIRECT

OR INDIRECT, OF ANY NATURE, OR EXPENSES INCURRED BY LICENSEE. LICENSEES SOLE AND EXCLUSIVE REMEDY SHALL BE TO TERMINATE THE EVALUATION LICENSE BY WRITTEN NOTICE TO ISS.

6. Covenants - ISS reserves all intellectual property rights in the Software, security content and Beta Products. Licensee agrees: (i) the Software, security content or Beta Products is owned by ISS and/or its licensors, is a valuable trade secret of ISS, and is protected by copyright laws and international treaty provisions; (ii) to take all reasonable precautions to protect the Software, security content or Beta Product from unauthorized access, disclosure, copying or use; (iii) not to modify, adapt, translate, reverse engineer, decompile, disassemble, or otherwise attempt to discover the source code of the Software, security content or Beta Product; (iv) not to use ISS trademarks; (v) to reproduce all of ISS and its licensors copyright notices on any copies of the Software, security content or Beta Product; and (vi) not to transfer, lease, assign, sublicense, or distribute the Software, security content or Beta Product or make it available for time-sharing, service bureau, managed services offering, or on-line use.

7. Support and Maintenance - Depending upon what maintenance programs Licensee has purchased, ISS will provide maintenance, during the period for which Licensee has paid the applicable maintenance fees, in accordance with its prevailing Maintenance and Support Policy that is available at http://documents.iss.net/maintenance_policy.pdf. Any supplemental Software code or related materials that ISS provides to Licensee as part of any support and maintenance service are to be considered part of the Software and are subject to the terms and conditions of this License, unless otherwise specified.

8. Limited Warranty - The commencement date of this limited warranty is the date on which ISS provides Licensee with access to the Software. For a period of ninety (90) days after the commencement date or for the Term (whichever is less), ISS warrants that the Software or security content will conform to material operational specifications described in its then current documentation. However, this limited warranty shall not apply unless (i) the Software or security content is installed, implemented, and operated in accordance with all written instructions and documentation supplied by ISS, (ii) Licensee notifies ISS in writing of any nonconformity within the warranty period, and (iii) Licensee has promptly and properly installed all corrections, new versions, and updates made available by ISS to Licensee. Furthermore, this limited warranty shall not apply to nonconformities arising from any of the following: (i) misuse of the Software or security content, (ii) modification of the Software or security content, (iii) failure by Licensee to utilize compatible computer and networking hardware and software, or (iv) interaction with software or firmware not provided by ISS. If Licensee timely notifies ISS in writing of any such nonconformity, then ISS shall repair or replace the Software or security content or, if ISS determines that repair or replacement is impractical, ISS may terminate the applicable licenses and refund the applicable license fees, as the sole and exclusive remedies of Licensee for such nonconformity. THIS WARRANTY GIVES LICENSEE SPECIFIC LEGAL RIGHTS, AND LICENSEE MAY ALSO HAVE OTHER RIGHTS THAT VARY FROM JURISDICTION TO JURISDICTION. ISS DOES NOT WARRANT THAT THE SOFTWARE OR THE SECURITY CONTENT WILL MEET LICENSEE’S REQUIREMENTS, THAT THE OPERATION OF THE SOFTWARE OR SECURITY CONTENT WILL BE UNINTERRUPTED OR ERROR-FREE, OR THAT ALL SOFTWARE OR SECURITY CONTENT ERRORS WILL BE CORRECTED. LICENSEE UNDERSTANDS AND AGREES THAT THE SOFTWARE AND THE SECURITY CONTENT ARE NO GUARANTEE AGAINST UNSOLICITED E-MAILS, UNDESIRABLE INTERNET CONTENT, INTRUSIONS, VIRUSES, TROJAN HORSES, WORMS, TIME BOMBS, CANCELBOTS OR OTHER SIMILAR HARMFUL OR DELETERIOUS PROGRAMMING ROUTINES AFFECTING LICENSEE’S NETWORK, OR THAT ALL SECURITY THREATS AND VULNERABILITIES, UNSOLICITED E-MAILS OR UNDESIRABLE INTERNET CONTENT WILL BE DETECTED OR THAT THE PERFORMANCE OF THE SOFTWARE AND SECURITY CONTENT WILL RENDER LICENSEES SYSTEMS INVULNERABLE TO SECURITY BREACHES. THE REMEDIES SET OUT IN THIS SECTION 8 ARE THE SOLE AND EXCLUSIVE REMEDIES FOR BREACH OF THIS LIMITED WARRANTY.

9. Warranty Disclaimer - EXCEPT FOR THE LIMITED WARRANTY PROVIDED ABOVE, THE SOFTWARE AND SECURITY CONTENT ARE EACH PROVIDED AS IS AND ISS HEREBY DISCLAIMS ALL WARRANTIES, BOTH EXPRESS AND IMPLIED, INCLUDING IMPLIED WARRANTIES RESPECTING MERCHANTABILITY, TITLE, NONINFRINGEMENT, AND FITNESS FOR A PARTICULAR PURPOSE. LICENSEE EXPRESSLY ACKNOWLEDGES THAT NO REPRESENTATIONS OTHER THAN THOSE CONTAINED IN THIS LICENSE HAVE BEEN MADE REGARDING THE GOODS OR SERVICES TO BE PROVIDED HEREUNDER, AND THAT LICENSEE HAS NOT RELIED ON ANY REPRESENTATION NOT EXPRESSLY SET OUT IN THIS LICENSE.

10. Proprietary Rights - ISS represents and warrants that ISS has the authority to license the rights to the Software and security content that are granted herein. ISS shall defend and indemnify Licensee from any final award of costs and damages against Licensee for any actions based on infringement of any U.S. copyright, trade secret, or patent as a result of the use or distribution of a current, unmodified version of the Software and security content, but only if ISS is promptly notified in writing of any such suit or claim, and only if Licensee permits ISS to defend, compromise, or settle same, and only if Licensee provides all available information and reasonable assistance. In any such suit, if the use of the alleged infringing intellectual property is held to constitute an infringement and is enjoined, or if in light of any claim, ISS deems it reasonably advisable to do so, ISS may at ISS sole option: (i) procure the right to continue the use of such Software and security content for Licensee; (ii) replace or modify such Software and security content in a manner such that such Software and security content are free of the infringement claim; or (iii) require Licensee to return the same to ISS and ISS shall refund the fees paid for the affected Software, security content or portion thereof, less amortization for use (A) on a straight line basis over a period of three (3) years from the effective date of the applicable order for a perpetual license, or (B) on a straight line basis over the subscription term for a term license. The foregoing is the exclusive remedy of Licensee and states the entire liability of ISS with respect to claims of infringement or misappropriation relating to the Software and security content.

11. Limitation of Liability - ISS’ ENTIRE LIABILITY FOR MONETARY DAMAGES ARISING OUT OF THIS LICENSE SHALL BE LIMITED TO THE AMOUNT OF THE LICENSE FEES ACTUALLY PAID BY LICENSEE UNDER THIS LICENSE, PRORATED OVER A THREE-YEAR TERM FROM THE DATE LICENSEE RECEIVED THE SOFTWARE. OR SECURITY CONTENT, AS APPLICABLE, IN NO EVENT SHALL ISS BE LIABLE TO LICENSEE UNDER ANY THEORY INCLUDING CONTRACT AND TORT (INCLUDING NEGLIGENCE AND STRICT PRODUCTS LIABILITY) FOR ANY SPECIAL, PUNITIVE, INDIRECT, INCIDENTAL OR CONSEQUENTIAL DAMAGES, INCLUDING, BUT NOT LIMITED TO, COSTS OF PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES, DAMAGES FOR LOST PROFITS, LOSS OF DATA, LOSS OF USE, OR COMPUTER HARDWARE MALFUNCTION, EVEN IF ISS HAS BEEN ADVISED OF THE POSSIBILITY OF SUCH DAMAGES.

12. Termination - Licensee may terminate this License at any time by notifying ISS in writing. All rights granted under this License will terminate immediately, without prior written notice from ISS, at the end of the term of the License, if not perpetual. If Licensee fails to comply with any provisions of this License, ISS may immediately terminate this License if such default has not been cured within ten (10) days following written notice of default to Licensee. Upon termination or expiration of a license for Software, Licensee shall cease all use of such Software, including Software pre-installed on ISS hardware, and destroy all copies of the Software and associated documentation. Termination of this License shall not relieve Licensee of its obligation to pay all fees incurred prior to such termination and shall not limit either party from pursuing any other remedies available to it.

13. General Provisions - This License, together with the identification of the Software and/or security content, pricing and payment terms stated in the applicable ISS quotation and Licensee purchase order (if applicable) as accepted by ISS, constitute the entire agreement between the parties respecting its subject matter. Standard and other additional terms or conditions contained in any purchase order or similar document are hereby expressly rejected and shall have no force or effect. If Licensee has not already downloaded the Software, security content and documentation, then it is available for download at http://www.iss.net/download/. All ISS hardware with pre-installed Software and any other products not delivered by download are delivered f.o.b. origin. This License will be governed by the substantive laws of the State of Georgia, USA, excluding the application of its conflicts of law rules. This License will not be governed by the United Nations Convention on Contracts for the International Sale of Goods, the application of which is expressly excluded. If any part of this License is found void or unenforceable, it will not affect the validity of the balance of the License, which shall remain valid and enforceable according to its terms. This License may only be modified in writing signed by an authorized officer of ISS.

14. Notice to United States Government End Users - Licensee acknowledges that any Software and security content furnished under this License is commercial computer software and any documentation is commercial technical data developed at private expense and is provided with RESTRICTED RIGHTS. Any use, modification, reproduction, display, release, duplication or disclosure of this commercial computer software by the United States Government or its agencies is subject to the terms, conditions and restrictions of this License in accordance with the United States Federal Acquisition Regulations at 48 C.F.R. Section 12.212 and DFAR Subsection 227.7202-3 and Clause 252.227-7015 or applicable subsequent regulations. Contractor/manufacturer is Internet Security Systems, Inc., 6303 Barfield Road, Atlanta, GA 30328, USA.

15. Export and Import Controls; Use Restrictions - Licensee will not transfer, export, or reexport the Software, security content, Beta Products, any related technology, or any direct product of either except in full compliance with the export controls administered by the United States and other countries and any applicable import and use restrictions. Licensee agrees that it will not export or reexport such items to anyone on the U.S. Treasury Department’s list of Specially Designated Nationals or the U.S. Commerce Department’s Denied Persons List or Entity List or such additional lists as may be issued by the U.S. Government from time to time, or to any country to which the United States has embargoed the export of goods or for use with chemical or biological weapons, sensitive nuclear end-uses, or missiles. Licensee represents and warrants that it is not located in, under control of, or a national or resident of any such country or on any such list. Many ISS software products include encryption and export outside of the United States or Canada is strictly controlled by U.S. laws and regulations. ISS makes its current export classification information available at http://www.iss.net/export. Please contact ISS’ Sourcing and Fulfillment for export questions relating to the Software or security content (fulfillment@iss.net). Licensee understands that the foregoing obligations are U.S. legal requirements and agrees that they shall survive any term or termination of this License.

16. Authority - Because the Software is designed to test or monitor the security of computer network systems and may disclose or create problems in the operation of the systems tested, Licensee and the persons acting for Licensee represent and warrant that: (a) they are fully authorized by the Licensee and the owners of the computer network for which the Software is licensed to enter into this License and to obtain and operate the Software in order to test and monitor that computer network; (b) the Licensee and the owners of that computer network understand and accept the risks involved; and (c) the Licensee shall procure and use the Software in accordance with all applicable laws, regulations and rules.

17. Disclaimers - Licensee acknowledges that some of the Software and security content is designed to test the security of computer networks and may disclose or create problems in the operation of the systems tested. Licensee further acknowledges that neither the Software nor security content is fault tolerant or designed or intended for use in hazardous environments requiring fail-safe operation, including, but not limited to, aircraft navigation, air traffic control systems, weapon systems, life-support systems, nuclear facilities, or any other applications in which the failure of the Software and security content could lead to death or personal injury, or severe physical or property damage. ISS disclaims any implied warranty of fitness for High Risk Use. Licensee accepts the risk associated with the foregoing disclaimers and hereby waives all rights, remedies, and causes of action against ISS and releases ISS from all liabilities arising therefrom.

18. Confidentiality - “Confidential Information” means all information proprietary to a party or its suppliers that is marked as confidential. Each party acknowledges that during the term of this Agreement, it will be exposed to Confidential Information of the other party. The obligations of the party (“Receiving Party”) which receives Confidential Information of the other party (“Disclosing Party”) with respect to any particular portion of the Disclosing Party’s Confidential Information shall not attach or shall terminate when any of the following occurs: (i) it was in the public domain or generally available to the public at the time of disclosure to the Receiving Party, (ii) it entered the public domain or became generally available to the public through no fault of the Receiving Party subsequent to the time of disclosure to the Receiving Party, (iii) it was or is furnished to the Receiving Party by a third parting having the right to furnish it with no obligation of confidentiality to the Disclosing Party, or (iv) it was independently developed by the Receiving Party by individuals not having access to the Confidential Information of the Disclosing Party. Each party acknowledges that the use or disclosure of Confidential Information of the Disclosing Party in violation of this License could severely and irreparably damage the economic interests of the Disclosing Party. The Receiving Party agrees not to disclose or use any Confidential Information of the Disclosing Party in violation of this License and to use Confidential Information of the Disclosing Party solely for the purposes of this License. Upon demand by the Disclosing Party and, in any event, upon expiration or termination of this License, the Receiving Party shall return to the Disclosing Party all copies of the Disclosing Party’s Confidential Information in the Receiving Party’s possession or control and destroy all derivatives and other vestiges of the Disclosing Party’s Confidential Information obtained or created by the Disclosing Party. All Confidential Information of the Disclosing Party shall remain the exclusive property of the Disclosing Party.

19. Compliance - From time to time, ISS may request Licensee to provide a certification that the Software and security content is being used in accordance with the terms of this License. If so requested, Licensee shall verify its compliance and deliver its certification within forty-five (45) days of the request. The certification shall state Licensees compliance or non-compliance, including the extent of any non-compliance. ISS may also, at any time, upon thirty (30) days prior written notice, at its own expense appoint a nationally recognized software use auditor, to whom Licensee has no reasonable objection, to audit and examine use and records at Licensee offices during normal business hours, solely for the purpose of confirming that Licensees use of the Software and security content is in compliance with the terms of this License. ISS will use commercially reasonable efforts to have such audit conducted in a manner such that it will not unreasonably interfere with the normal business operations of Licensee. If such audit should reveal that use of the Software or security content has been expanded beyond the scope of use and/or the number of authorized devices or Licensee certifies such non-compliance, ISS shall have the right to charge Licensee the applicable current list prices required to bring Licensee in compliance with its obligations hereunder with respect to its current use of the Software and security content. In addition to the foregoing, ISS may pursue any other rights and remedies it may have at law, in equity or under this License.

20. Data Protection - The data needed to process this transaction will be stored by ISS and may be forwarded to companies affiliated with ISS and possibly to Licensees vendor within the framework of processing Licensees order. All personal data will be treated confidentially.

2005 年 10 月 7 日改訂

176

VCCI について この装置は、情報処理装置等電波障害自主規制協議会（VCCI）の基準に基づくクラス A

情報技術装置です。この装置を家庭環境で使用すると電波障害を引き起こすことがありま

す。この場合には使用者が適切な対策を講ずるよう要求されることがあります。