侵入ポリシーまたはネットワーク分析ポリシーの基本レイヤ（基本ポリシーとも呼ばれる）は、ポリシーのすべての設定のデフォルト設定を定義し、ポリシーの最下位に位置します。新しいポリシーを作成し、新しいレイヤを追加しないで設定を変更すると、その変更は My Changes レイヤに保存され、基本ポリシーの設定を変更するのではなく、上書きます。

侵入ポリシーでルール状態の推奨を生成する場合は、その推奨に基づいてルール状態を自動的に変更するかどうかを選択できます。

下記の図に示すように、推奨されたルール状態を使用すると、侵入ポリシーの基本レイヤのすぐ上に読み取り専用の組み込み Firepower 推奨レイヤが挿入されます。

このレイヤは侵入ポリシー固有のものです。

それ以後、推奨されたルール状態を使用しないことを選択すると、Firepower 推奨レイヤは削除されます。このレイヤは手動で削除できませんが、推奨されるルール状態を使用するかどうかを選択することで、サービスを追加したり削除することができます。

Firepower 推奨レイヤを追加すると、ナビゲーション パネルの [ポリシー階層（Policy Layers）] の下に Firepower 推奨リンクが追加されます。このリンクから Firepower 推奨レイヤ ページの読み取り専用ビューにアクセスして、[ルール（Rules）] ページの推奨でフィルタリングされたビューを読み取り専用モードで表示できます。

推奨されたルール状態を使用すると、ナビゲーション パネルの Firepower 推奨リンクの下に [ルール（Rules）] サブリンクも追加されます。[ルール（Rules）] サブリンクから、Firepower 推奨レイヤの [ルール（Rules）] ページの読み取り専用画面にアクセスできます。このビューでは次の点に注意してください。

• 状態列にルール状態のアイコンがない場合、状態は基本ポリシーから継承されます。

• このビューまたは他の [ルール（Rules）] ページ ビューの Firepower 推奨列にルール状態のアイコンがない場合、このルールに対する推奨は存在しません。

共有レイヤとは、あるポリシー内で作成して共有を許可し、別のポリシーに追加されたレイヤのことです。共有可能レイヤとは、共有が許可されているレイヤのことです。

以下の図に示すマスター ポリシーの例では、全社的レイヤと、サイト A およびサイト B に固有のレイヤを作成し、これらのサイト固有のレイヤの共有を許可しています。その上で、これらのサイト固有のレイヤを共有レイヤとしてサイト A とサイト B のポリシーに追加しています。

マスター ポリシーの全社的なレイヤには、サイト A とサイト B に適用される設定が含まれる一方、サイト固有のレイヤには各サイトに固有の設定が含まれています。たとえば、ネットワーク分析ポリシーの場合、サイト A にはモニタ対象ネットワークに Web サーバがないため、保護したり、HTTP インスペクション プリプロセッサのオーバーヘッドを処理したりする必要はありませんが、両方のサイトで TCP ストリームの前処理が必要になる場合があります。両方のサイトで共有する全社的レイヤで TCP ストリーム処理を有効にし、サイト A で共有するサイト固有のレイヤで HTTP Inspect プリプロセッサを無効にして、サイト B で共有するサイト固有のレイヤで HTTP Inspect プリプロセッサを有効にできます。サイト固有のポリシーで上位レイヤの設定を編集することで、必要に応じて、設定の調整によって各サイトのポリシーをさらに調整することもできます。

この例のマスター ポリシーでフラット化された設定値そのものがトラフィックをモニタするのに役立つわけではありませんが、サイト固有のポリシーを設定および更新する際に時間が節約されるため、ポリシー階層で活用することができます。

その他にも多くのレイヤ設定が可能です。たとえば、企業、部門、ネットワーク、さらにはユーザごとにポリシーのレイヤを定義できます。侵入ポリシーの場合は、一方のレイヤに詳細設定を含め、もう一方にルール設定を含めることもできます。

ユーザ設定可能なレイヤを同じタイプの他のポリシー（侵入またはネットワーク分析）と共有できるように設定できます。共有可能レイヤ内の設定を変更し、変更をコミットすると、そのレイヤを共有するすべてのポリシーが更新され、影響を受けたすべてのポリシーのリストが提供されます。レイヤを作成したポリシーの機能設定のみを変更できます。

別のポリシーに追加しているレイヤの共有を無効にすることはできません。まずレイヤを他のポリシーから削除するか、他のポリシーを削除する必要があります。

基本ポリシーが共有するレイヤが作成されたカスタム ポリシーである場合、ポリシーに共有レイヤを追加することはできません。追加した場合、ポリシーで依存関係が循環することになります。

マルチドメイン展開では、先祖ポリシーの共有レイヤを子孫ドメインのポリシーに追加できます。

レイヤの [Rules] ページで個々の設定を表示することも、[Rules] ページのポリシー ビューですべての設定の実質的な効果を表示することもできます。[ルール（Rules）] ページのポリシー ビューのルール設定を変更する場合、ポリシーの最上位のユーザ設定可能なレイヤを変更します。[ルール（Rules）] ページにあるレイヤ ドロップダウンリストを使用して、別のレイヤに切り替えることができます。

次の表では、複数のレイヤで同じ種類の設定を構成した場合の結果について説明しています。

たとえば、あるレイヤでルール状態を [Drop and Generate Events] に設定し、それよりも上位のレイヤで [Disabled] に設定した場合、侵入ポリシーの [Rules] ページには、ルールが無効であることが示されます。

別の例として、あるレイヤでルールの送信元ベースの抑制を 192.168.1.1 に設定し、別のレイヤでそのルールの宛先ベースの抑制を 192.168.1.2 に設定した場合、[Rules] ページには、送信元アドレス 192.168.1.1 と宛先アドレス 192.168.1.2 に関するイベントを抑制する累積的な結果が示されます。抑制およびレートベースのルール状態の設定では、選択した各ルールの同じ種類の設定が、ルール状態がそのルールに対して設定された最初の下位レイヤまで累積的に組み合わせられることに注意してください。ルール状態が設定されているレイヤより下の設定は無視されます。

特定のレイヤの各 [ルール（Rules）] ページの色分けでは、有効状態が上位レイヤ、下位レイヤ、現在のレイヤのどれに該当するのかが次の色で示されます。

• 赤：上位レイヤでの有効状態

• 黄色：下位レイヤでの有効状態

• 陰影なし：現在のレイヤでの有効状態

侵入ポリシーの [ルール（Rules）] ページはすべてのルール設定の最終的な効果の複合ビューであるため、ルール状態はこのページでは色分けされません。

ネットワーク分析ポリシーでのプリプロセッサの設定および侵入ポリシーでの詳細設定の設定と同様の方法を使用します。ネットワーク分析の [Settings] ページでプリプロセッサを有効化/無効化したり、侵入ポリシーの [Advanced Settings] ページで侵入ポリシーの詳細設定を有効化/無効化することができます。これらのページには、すべての関連機能の有効状態の概要も表示されます。たとえば、ネットワーク分析 SSL プリプロセッサが、あるレイヤで無効になっており、そのレイヤよりも上位のレイヤで有効になっている場合、[Settings] ページではそのプリプロセッサが有効であると表示されます。このページで加えられる変更は、ポリシーの最上位のレイヤに表示されます。Back Orifice プリプロセッサにはユーザ設定可能なオプションがないことに注意してください。

また、プリプロセッサまたは詳細設定を有効化または無効化したり、ユーザ設定可能なレイヤのサマリ ページの設定ページにアクセスしたりできます。このページで、レイヤの名前および説明を変更し、レイヤを同じタイプの他のポリシーと共有するかどうかを設定できます。ナビゲーション パネルの [ポリシー層（Policy Layers）] の下のレイヤの名前を選択することによって、別のレイヤのサマリー ページに切り替えることができます。

プリプロセッサまたは詳細設定を有効にすると、ナビゲーション パネルのレイヤ名の下にその機能の設定ページへのサブリンクが表示され、レイヤのサマリ ページの機能の横に編集アイコン（）が表示されます。これらは、レイヤで機能を無効化するか [Inherit] に設定すると表示されなくなります。

プリプロセッサまたは詳細設定の状態（有効または無効）を設定すると、下位レイヤでこの機能の状態と設定が上書きされます。プリプロセッサまたは詳細設定に、基本ポリシーまたは下位レイヤの状態と設定を継承させる場合は、状態を [Inherit] に設定します。[Settings or Advanced Settings] ページで作業するときは、[Inherit] の選択が表示されません。また、現在有効にされている機能を継承すると、ナビゲーション パネルではその機能のサブリンクが表示されなくなり、設定ページではその機能の編集アイコンが表示されなくなることにも注意してください。

システムでは、設定が有効になっている最も上位のレイヤの設定が使用されます。設定を明示的に変更しなかった場合は、デフォルト設定が使用されます。たとえば、ネットワーク分析 DCE/RPC プリプロセッサをあるレイヤで有効にして変更し、それよりも上位のレイヤでは有効にするが、変更しない場合は、上位レイヤのデフォルト設定が使用されます。

各レイヤのサマリ ページは次のようにカラーコード化されており、有効な設定が上位レイヤ、下位レイヤ、または現在のレイヤのいずれにあるかが示されます。

• 赤色：有効な設定は上位レイヤにあります

• 黄色：有効な設定は下位レイヤにあります

• 陰影なし：有効な設定は現在のレイヤにあります

[設定（Settings）] および [詳細設定（Advanced Settings）] ページは、関連するすべての設定の複合ビューであるため、これらのページは有効な設定の位置を示すためにカラー コーディングを使用しません。