Threat Defense サービスポリシー

Firepower Threat Defense サービスポリシーを使用して、特定のトラフィッククラスにサービスを適用することができます。たとえば、サービスポリシーを使用すると、すべての TCP アプリケーションに適用されるタイムアウトコンフィギュレーションではなく、特定の TCP アプリケーションに固有のタイムアウトコンフィギュレーションを作成できます。サービスポリシーは、1 つのインターフェイスに適用されるか、またはグローバルに適用される複数のアクションまたはルールで構成されます。

Firepower Threat Defense のサービスポリシーについて

Firepower Threat Defense サービスポリシーを使用して、特定のトラフィッククラスにサービスを適用することができます。サービスポリシーを使用すると、デバイスまたは特定のインターフェイスに着信するすべての接続に同じサービス以外を適用することができます。

トラフィッククラスはインターフェイスと拡張アクセスコントロールリスト（ACL）の組み合わせです。ACL の「許可」ルールによってクラスに含まれる接続が決定されます。ACL の「拒否」トラフィックには、そのトラフィックに適用されているサービスがないというだけで、これらの接続は実際にはドロップされません。IP アドレスと TCP/UCP ポートを使用し、必要な精度で対応する接続を特定できます。

トラフィッククラスには 2 つのタイプがあります。

インターフェイスベースのルール：サービスポリシールールでセキュリティゾーンまたはインターフェイスグループを指定すると、インターフェイスオブジェクトに含まれているすべてのインターフェイスを通過する ACL の「許可」トラフィックにルールが適用されます。

特定の機能では、入力インターフェイスに適用されたインターフェイスベースのルールがグローバルルールよりも常に優先されます。入力インターフェイスベースのルールを接続に適用すると、対応するグローバルルールは無視されます。入力インターフェイスまたはグローバルルールが適用されていない場合は、出力インターフェイスのインターフェイスサービスルールが適用されます。
グローバルルール：すべてのインターフェイスにこれらのルールが適用されます。インターフェイスベースのルールを接続に適用しない場合は、グローバルルールが確認され、ACL で「許可」されているすべての接続に適用されます。何も適用しない場合は、どのサービスも適用されずに接続が続行されます。

特定の接続が一致するのは、特定の機能のインターフェイスベースまたはグローバルのいずれか 1 つのトラフィッククラスのみです。特定のインターフェイスオブジェクト/トラフィックフローの組み合わせには設定できるルールは 1 つのみです。

サービスポリシーのルールは、アクセス制御ルールの後に適用されます。これらのサービスは、許可している接続にのみ設定されます。

FlexConfig とその他の機能にサービスポリシーを関連付ける方法

バージョン 6.3(0) よりも前では、接続関連のサービスルールは TCP_Embryonic_Conn_Limit と TCP_Embryonic_Conn_Timeout の事前定義の FlexConfig オブジェクトを使用して設定できました。これらのオブジェクトを削除し、Firepower Threat Defense Service サービスポリシーを使用してルールを作り直す必要があります。これらの接続関連コマンドの実装にカスタム FlexConfig オブジェクトを作成した場合（set connection コマンド）は、それらのオブジェクトも削除し、サービスポリシー経由で機能を実装する必要があります。

接続関連のサービスポリシーの機能は、その他のサービスルールで実装された機能とは異なる機能グループとして処理されます。そのため、トラフィッククラスが重複する問題に直面することはありません。ただし、次を設定する際には十分注意してください。

QoS ポリシールールはサービスポリシー CLI を使用して実装されます。これらのルールは接続ベースのサービスポリシールールよりも前に適用されます。ただし、QoS と接続の両方の設定を同じトラフィッククラスか、または重複するトラフィッククラスに適用できます。
FlexConfig ポリシーを使用してカスタマイズされたアプリケーションのインスペクションと NetFlow を実装できます。show running-config コマンドを使用して、サービスルールをすでに設定している policy-map コマンド、class-map コマンド、service-policy コマンドなど、CLI を調査できます。NetFlow とアプリケーションインスペクションは QoS および接続の設定との互換性はありますが、FlexConfig を実装する前に既存の設定を把握しておく必要があります。接続の設定は、アプリケーションインスペクションと NetFlow よりも前に適用されます。

（注）

Firepower Threat Defense サービスポリシーから作成されたトラフィッククラスは class_map_ACLname という名前になります。ACLname はサービスポリシールールで使用された拡張 ACL オブジェクトの名前。

接続設定に関する情報

接続の設定は、Firepower Threat Defense デバイスを経由する TCP フローなどのトラフィック接続の管理に関連するさまざまな機能で構成されます。一部の機能は、特定のサービスを提供するために設定する名前付きコンポーネントです。

接続の設定には、次が含まれています。

さまざまなプロトコルのグローバルタイムアウト：すべてのグローバルタイムアウトにデフォルト値があるため、早期の接続の切断が発生した場合にのみグローバルタイムアウトを変更する必要があります。Firepower Threat Defense のプラットフォームポリシーにグローバルタイムアウトを設定します。[Devices] > [Platform Settings] を選択します。
トラフィッククラスごとの接続タイムアウト：サービスポリシーを使用して、特定のタイプのトラフィックのグローバルタイムアウトを上書きできます。すべてのトラフィッククラスのタイムアウトにデフォルト値があるため、それらの値を設定する必要はありません。
接続制限と TCP 代行受信：デフォルトでは、Firepower Threat Defense デバイスを経由する（または宛先とする）接続の数に制限はありません。サービスポリシールールを使用して特定のトラフィッククラスに制限を設定することで、サービス妨害（DoS）攻撃からサーバを保護できます。特に、初期接続（TCP ハンドシェイクを完了していない初期接続）に制限を設定できます。これにより、SYN フラッディング攻撃から保護されます。初期接続の制限を超えると、TCP 代行受信コンポーネントは、プロキシ接続に関与してその攻撃が抑制されていることを確認します。
Dead Connection Detection（DCD; デッド接続検出）：アイドルタイムアウトの設定を超えたために接続が閉じられるように、頻繁にアイドル状態になっても有効な接続を維持する場合、Dead Connection Detection をイネーブルにして、アイドル状態でも有効な接続を識別してそれを維持することができます（接続のアイドルタイマーをリセットすることによって）。アイドル時間を超えるたびに、DCD は接続の両側にプローブを送信して、接続が有効であることを両側で合意しているかどうかを確認します。show service-policy コマンド出力には、DCD からのアクティビティ量を示すためのカウンタが含まれています。
TCP シーケンスのランダム化：それぞれの TCP 接続には 2 つの ISN（初期シーケンス番号）が割り当てられており、そのうちの 1 つはクライアントで生成され、もう 1 つはサーバで生成されます。デフォルトでは、Firepower Threat Defense デバイスは、着信と発信の両方向で通過する TCP SNY の ISN をランダム化します。ランダム化により、攻撃者が新しい接続に使用される次の ISN を予測して新しいセッションをハイジャックするのを阻止します。必要に応じて、トラフィッククラスごとにランダム化をディセーブルにすることができます。
TCP 正規化：TCP ノーマライザは、異常なパケットから保護します。一部のタイプのパケット異常をトラフィッククラスで処理する方法を設定できます。FlexConfig ポリシーを使用して TCP 正規化を設定できます。
TCPステートバイパス：ネットワークで非対称ルーティングを使用するかどうかをチェックする TCP ステートをバイパスできます。

サービスポリシーのガイドラインと制限事項

サービスポリシーは、ルーテッドモードまたはトランスペアレントモードのいずれかのルーテッドインターフェイスまたはスイッチインターフェイスのみに適用されます。インラインセットまたはパッシブインターフェイスには適用されません。
特定のインターフェイスまたはグローバルポリシーに最大 25 のトラフィッククラスを設定できます。つまり、25 を超えるサービスポリシールールを特定のセキュリティゾーンまたはインターフェイスグループのグローバルポリシーに設定することはできません。ただし、インターフェイスの場合、同じインターフェイスをセキュリティゾーンとインターフェイスグループに表示できるため、実際の制限はゾーンやグループではなく、インターフェイスに基づきます。したがって、ゾーン/グループのメンバーシップに基づき、ゾーン/グループごとに 25 のルールを設定できない場合があります。
特定のインターフェイスオブジェクト/トラフィックフローの組み合わせに設定できるルールは 1 つのみです。
コンフィギュレーションに対してサービスポリシーの変更を加えた場合は、すべての新しい接続で新しいサービスポリシーが使用されます。既存の接続では、その接続が確立された時点で設定されていたポリシーの使用が続行されます。すべての接続に新しいポリシーをすぐに使用するには、現在の接続を切断し、新しいポリシーを使用して再度接続できるようにする必要があります。SSH またはコンソール CLI セッションから clear conn コマンドまたは clear local-host コマンドを入力します。

Firepower Threat Defense のサービスポリシーの設定


スマートライセンス	従来のライセンス	サポートされるデバイス数	サポートされるドメイン数	アクセス
いずれか（Any）	該当なし	FTD	いずれか（Any）	Admin Access Admin Network Admin

手順

ステップ 1	[ポリシー（Policies）] > [アクセス制御（Access Control）] > [アクセス制御（Access Control）] を選択し、編集する Firepower Threat Defense のサービスポリシーのアクセスコントロールポリシーで [Edit] アイコン（）をクリックします。
ステップ 2	[詳細（Advanced）] タブをクリックします。
ステップ 3	Threat Defense サービスポリシーグループで [Edit] アイコン（）をクリックします。既存のポリシーが表示されたダイアログボックスが開きます。ポリシーは番号付きのルールのリストから構成されており、グローバルルール（すべてのインターフェイスに適用）とインターフェイスベースのルールに分かれています。テーブルには、インターフェイスオブジェクトおよび拡張アクセスコントロールリスト名（これらの組み合わせでルールのトラフィッククラスを定義）と適用されたサービスが表示されます。
ステップ 4	次のいずれかを実行します。 [ルールの追加（Add Rule）] をクリックして、新しいルールを作成します。サービスポリシールールの設定を参照してください。 [Edit] アイコン（）をクリックして、既存のルールを編集します。サービスポリシールールの設定を参照してください。 [Delete] アイコン（）をクリックしてルールを削除します。ルールをクリックし、移動先の新しい場所までドラッグします。インターフェイスとグローバルリスト間ではルールはドラッグできません。その代りに、ルールを編集してインターフェイス/グローバル設定を変更する必要があります。接続と一致するリスト内の最初のルールが接続に適用されます。
ステップ 5	ポリシーの編集が終了したら、[OK] をクリックします。
ステップ 6	[詳細（Advanced）] タブウィンドウで [保存（Save）] をクリックします。このボタンをクリックするまでは変更は保存されません。

サービスポリシールールの設定


スマートライセンス	従来のライセンス	サポートされるデバイス数	サポートされるドメイン数	アクセス
いずれか（Any）	該当なし	FTD	いずれか（Any）	Admin Access Admin Network Admin

特定のトラフィッククラスにサービスを適用するサービスポリシールールを設定します。

始める前に

[オブジェクト（Objects）] > [オブジェクト管理（Object Management）] > [アクセスリスト（Access List）] > [拡張（Extended）] に移動し、ルールが適用されるトラフィックを定義する拡張アクセスリストを作成します。ルールは、拡張アクセスリスト内の許可ルールに一致するすべての接続に適用されます。ACL ルールは正確に定義し、サービスが必要なトラフィックにのみサービスポリシールールが適用されるようにします。

インターフェイスベースのルールを作成している場合は、割り当てられたデバイスにインターフェイスを設定し、それらのインターフェイスをセキュリティゾーンまたはインターフェイスグループに追加する必要もあります。

手順

ステップ 1

[Firepower Threat Defense サービスポリシー（Firepower Threat Defense Service Policy）] ダイアログボックスがまだ表示されていない場合は、[ポリシー（Policies）] > [アクセス制御（Access Control）] > [アクセス制御（Access Control）] を選択してアクセスコントロールポリシーを編集し、[詳細（Advanced）] タブをクリックして [脅威に対する防御サービスポリシー（Threat Defense Service Policy）] を編集します。

ステップ 2

次のいずれかを実行します。

[ルールの追加（Add Rule）] をクリックして、新しいルールを作成します。
[Edit] アイコン（）をクリックして、既存のルールを編集します。

サービスポリシールールウィザードが開き、ルールの設定プロセスの手順が表示されます。

ステップ 3

[インターフェイスオブジェクト（Interface Object）] 手順で、ポリシーを使用するインターフェイスを定義するオプションを選択します。

[グローバルに適用（Apply Globally）]：すべてのインターフェイスに適用されるグローバルルールを作成するには、このオプションを選択します。
[インターフェイスオブジェクトを選択（Select Interface Objects）]：インターフェイスベースのルールを作成するには、このオプションを選択します。次に、目的のインターフェイスを含むセキュリティゾーンまたはインターフェイスオブジェクトを選択し、[>] をクリックして、それらを選択済みリストに移動します。サービスポリシールールは、選択したオブジェクトに含まれる各インターフェイスで設定されますが、ゾーンやグループ自体には設定されません。

インターフェイスの基準が完成したら、[次へ（Next）] をクリックします。

ステップ 4

[トラフィックフロー（Traffic Flow）] 手順で、ルールが適用される接続を定義する拡張 ACL オブジェクトを選択して [次へ（Next）] をクリックします。

ステップ 5

[接続の設定（Connection Setting）] 手順で、このトラフィッククラスに適用するサービスを設定します。

[TCP 状態バイパスの有効化（Enable TCP State Bypass）]（TCP 接続のみ）：TCP 状態バイパスを実装します。TCP 状態バイパスの対象である接続は、インスペクションエンジンによる検査はされず、すべての TCP 状態のチェックと TCP 正規化をバイパスします。詳細については、非同期ルーティングの TCP ステートチェックのバイパス（TCP ステートバイパス）を参照してください。

（注）

TCP 状態バイパスは、トラブルシューティングのために、または非対称ルーティングを解決できない場合に使用します。この機能は複数のセキュリティ機能を無効化するため、定義が狭いトラフィッククラスを指定して適切に実装しないと、多数の接続が発生することがあります。

[TCP シーケンス番号のランダム化（Randomize TCP Sequence Number）]（TCP 接続のみ）：TCP シーケンス番号のランダム化を有効にするか、無効にするかを示します。デフォルトでは、ランダム化が有効になっています。詳細については、TCP シーケンスのランダム化のディセーブルを参照してください。

[デクリメント TTL の有効化（Enable Decrement TTL）]（TCP 接続のみ）：クラスに一致するパケットの存続可能時間（TTL）をデクリメントします。パケット存続時間（TTL）をデクリメントすると、TTL が 1 のパケットはドロップされますが、接続に TTL がより大きいパケットを含むと想定されるセッションでは、接続が開かれます。OSPF hello パケットなどの一部のパケットは TTL = 1 で送信されるため、パケット存続時間（TTL）をデクリメントすると、予期しない結果が発生する可能性があります。

（注）

Firepower Threat Defense デバイスをトレースルートに表示する場合は、デクリメント TTL オプションを設定し、プラットフォームの設定のポリシーに ICMP 到達不能レート制限も設定する必要があります。Firepower Threat Defense デバイスをトレースルートに表示するを参照してください。

[接続（Connections）]：クラス全体で許可される接続の数を制限します。次のオプションを設定可能です。
- [TCP と UDP の最大数（Maximum TCP and UDP）]（TCP または UDP 接続のみ）：クラス全体で許可される同時接続の最大数（0 ～ 2000000）。TCP の場合、この数は確立された接続にのみ適用されます。デフォルトは 0 で、この場合は接続数が制限されません。制限がクラスに適用されるため、1 つの攻撃ホストがすべての接続を使い果たし、クラスに一致する他のホストが使用できる接続がなくなる可能性があります。この問題を改善するには、クライアントごとの制限を設定します。
- [最大初期接続数（Maximum Embryonic）]（TCP 接続のみ）：許可される TCP の同時初期接続（TCP ハンドシェイクで完了しない接続）の最大数（0 ~ 2000000）。デフォルトは 0 で、この場合は接続数が制限されません。0 以外の制限を設定することで、TCP 代行受信をイネーブルにします。代行受信によって、TCP SYN パケットを使用してインターフェイスをフラッディングする DoS 攻撃から内部システムを保護します。また、クライアントごとのオプションを設定して、SYN フラッディングから保護します。詳細については、SYN フラッド DoS 攻撃からのサーバの保護（TCP 代行受信）を参照してください。
[クライアントあたりの接続数（Connections Per Client）] ：特定のクライアント（送信元 IP アドレス）で許可される接続数の制限。次のオプションを設定可能です。
- [TCP と UDP の最大数（Maximum TCP and UDP）]（TCP または UDP 接続のみ）：クライアントごとに許可される同時接続の最大数（0 ～ 2000000）。TCP の場合は、確立済み接続、ハーフオープン（初期）接続、ハーフクローズ接続が含まれます。デフォルトは 0 で、この場合は接続数が制限されません。このオプションでは、クラスに一致する各ホストに許可される同時接続の最大数が制限されます。
- [最大初期接続数（Maximum Embryonic）]（TCP 接続のみ）：クライアントごとに許可される TCP の同時初期接続の最大数（0 ～ 2000000）。デフォルトは 0 で、この場合は接続数が制限されません。詳細については、SYN フラッド DoS 攻撃からのサーバの保護（TCP 代行受信）を参照してください。
[接続タイムアウト（Connections Timeout）]：トラフィッククラスに適用されるタイムアウトの設定。これらのタイムアウトで、プラットフォーム設定ポリシーに定義されているグローバルタイムアウトがオーバーライドされます。次の設定を行えます。
- [初期接続（Embryonic）]（TCP 接続のみ）：TCP 初期（ハーフオープン）接続が閉じられるまでのタイムアウト期間（0:0:5 ～ 1193:00:00）。デフォルト値は 0:0:30 です。
- [ハーフクローズ（Half Closed）]（TCP 接続のみ）：ハーフクローズ接続が閉じられるまでのアイドルタイムアウト期間（0:0:30 ～ 1193:0:0）。デフォルト値は 0:10:0 です。ハーフクローズ接続は、Dead Connection Detection（DCD; デッド接続検出）の影響を受けません。また、システムは、ハーフクローズ接続の切断時にリセットを送信しません。
- [アイドル（Idle）]（TCP、UDP、ICMP、IP 接続）：プロトコルの確立された接続が閉じた後のアイドルタイムアウト期間（0:0:1 ～ 1193:0:0）。デフォルトは 1:0:0 です。ただし、デフォルトが 0:2:0 である [TCP 状態バイパス（TCP State Bypass）] オプションを選択している場合を除く。
- [タイムアウト時に接続をリセット（Reset Connection Upon Timeout）]（TCP 接続のみ）：アイドル接続が削除された後に、両方のエンドシステムに TCP RST パケットを送信するかどうかを示します。
[デッド接続の検出（Detect Dead Connections）]（TCP 接続のみ）：Dead Connection Detection（DCD; デッド接続検出）を有効にするかどうかを示します。アイドル接続の期限が切れる前に、システムはエンドホストにプローブを送信して接続が有効であるかどうかを判断します。両方のホストが応答した場合は、接続が維持されます。それ以外の場合は、接続が解放されます。トランスペアレントファイアウォールモードで動作している場合、エンドポイントにスタティックルートを設定する必要があります。クラスタ内では DCD を使用できません。

次のオプションを設定します。
- [検出のタイムアウト（Detection Timeout）]：DCD プローブに応答がない場合に別のプローブを送信するまで待機する時間（hh:mm:ss 形式で、0:0:1 ～ 24:0:0 の範囲で指定）。デフォルト値は 0:0:15 です。
  
  または高可用性構成で動作しているシステムでは、間隔を 1 分（0:1:0）未満に設定しないことを推奨します。接続をシステム間で移動する必要がある場合、必要な変更には 30 秒以上かかり、変更が行われる前に接続が削除される場合があります。
- [検出の再試行（Detection Retries）]：接続がデッドであると宣言する前に行われる DCD の再試行の連続失敗回数（1 ~ 255）。デフォルトは 5 です。

ステップ 6

[終了（Finish）] をクリックして変更を保存します。

ルールは適切なリスト（インターフェイスまたはグローバル）の下部に追加されます。グローバルルールは上から下の順に照合されます。インターフェイスリスト内のルールは、各インターフェイスオブジェクトで上から下の順に照合されます。定義が狭いトラフィッククラスのルールは、定義が広いルールの上に配置し、適切なサービスが適用されるようにします。各リスト内のルールはドラッグアンドドロップで移動できます。リスト間でルールを移動することはできません。

非同期ルーティングの TCP ステートチェックのバイパス（TCP ステートバイパス）

ネットワークで非同期ルーティング環境を設定し、特定の接続の発信フローと着信フローが 2 つの異なる Firepower Threat Defense デバイスを通過できる場合は、影響を受けるトラフィックに TCP ステートバイパスを実装する必要があります。

ただし、TCPステートバイパスによってネットワークのセキュリティが弱体化するため、非常に詳細に限定されたトラフィッククラスでバイパスを適用する必要があります。

ここでは、問題と解決策についてより詳細に説明します。

非同期ルーティングの問題

デフォルトで、Firepower Threat Defense デバイスを通過するすべてのトラフィックは、適応型セキュリティアルゴリズムを使用して検査され、セキュリティポリシーに基づいて許可またはドロップされます。Firepower Threat Defense デバイスでは、各パケットの状態（新規接続であるか、または確立済み接続であるか）がチェックされ、そのパケットをセッション管理パス（新規接続の SYN パケット）、高速パス（確立済みの接続）、またはコントロールプレーンパス（高度なインスペクション）に割り当てることによって、ファイアウォールのパフォーマンスが最大化されます。

高速パスの既存の接続に一致する TCP パケットは、セキュリティポリシーのあらゆる面の再検査を受けることなくFirepower Threat Defense デバイスを通過できます。この機能によってパフォーマンスは最大になります。ただし、SYN パケットを使用してファストパスにセッションを確立する方法、およびファストパスで行われるチェック（TCP シーケンス番号など）が、非対称ルーティングソリューションの障害となる場合があります。これは、接続の発信フローと着信フローの両方が同じFirepower Threat Defense デバイスを通過する必要があるためです。

たとえば、ある新しい接続がセキュリティアプライアンス 1 に到達するとします。SYN パケットはセッション管理パスを通過し、接続のエントリが高速パステーブルに追加されます。この接続の後続パケットがセキュリティアプライアンス 1 を通過した場合、高速パス内のエントリに一致するのでこのパケットは送信されます。しかし、後続のパケットがセキュリティアプライアンス 2 に到着すると、SYN パケットがセッション管理パスを通過していないために、高速パスにはその接続のエントリがなく、パケットはドロップされます。次の図は、非対称ルーティングの例を示したもので、アウトバウンドトラフィックはインバウンドトラフィックとは異なる Firepower Threat Defense デバイスを通過しています。

TCP ステートバイパスのガイドラインと制限事項

TCP ステートバイパスでサポートされない機能

TCP ステートバイパスを使用するときは、次の機能はサポートされません。

アプリケーションインスペクション：インスペクションでは、着信トラフィックと発信トラフィックの両方が同じ Firepower Threat Defense デバイスを通過する必要があるため、インスペクションは TCP ステートバイパストラフィックに適用されません。
Snort インスペクション：インスペクションでは着信トラフィックと発信トラフィックが同じデバイスを通過する必要があります。ただし、Snort インスペクションは、TCP ステートバイパストラフィックでは自動的にバイパスされません。また、TCP ステートバイパスを設定する同じトラフィッククラスにプレフィルタ fastpath ルールを設定する必要もあります。
TCP 代行受信、最大初期接続制限、TCP シーケンス番号ランダム化：Firepower Threat Defense デバイスでは接続の状態が追跡されないため、これらの機能は適用されません。
TCP 正規化：TCP ノーマライザはディセーブルです。
ステートフルフェールオーバー。

TCP ステートバイパスのガイドライン

変換セッションは Firepower Threat Defense デバイスごとに個別に確立されるため、TCP ステートバイパストラフィック用に両方のデバイスでスタティック NAT を設定する必要があります。ダイナミック NAT を使用すると、デバイス 1 でのセッションに選択されるアドレスは、デバイス 2 でのセッションに選択されるアドレスとは異なります。

TCP ステートバイパスの設定


スマートライセンス	従来のライセンス	サポートされるデバイス数	サポートされるドメイン数	アクセス
いずれか（Any）	該当なし	FTD	いずれか（Any）	Admin Access Admin Network Admin

非同期ルーティング環境で TCP ステートチェックをバイパスするには、影響を受けるホストまたはネットワークにのみに適用するトラフィッククラスを注意深く定義してから、サービスポリシーを使用してトラフィッククラスで TCP ステートバイパスをイネーブルにします。また、同じトラフィックに対応するプレフィルタ fastpath ポリシーを設定してトラフィックもインスペクションをバイパスさせる必要もあります。

バイパスによってネットワークのセキュリティが低下するため、そのアプリケーションをできるだけ制限します。

手順

ステップ 1

トラフィッククラスを定義する拡張 ACL を作成します。

たとえば、10.1.1.1 to 10.2.2.2 からの TCP トラフィックのトラフィッククラスを定義するには、次の手順を実行します。

[オブジェクト（Objects）] > [オブジェクト管理（Object Management）] を選択します。
目次から [アクセスリスト（Access List）] > [拡張（Extended）] を選択します。
[拡張アクセスリストを追加（Add Extended Access List）] ボタンをクリックします。
オブジェクトの [名前（Name）]（bypass など）を入力します。
[追加（Add）] をクリックしてルールを追加します。
アクションは [許可（Allow）] のままにします。
[送信元（Source）] リストの下に 10.1.1.1 と入力して [追加（Add）] をクリックし、[宛先（Destination）] リストの下に 10.2.2.2 と入力して [追加（Add）] をクリックします。
[ポート（Port）] タブをクリックし、[選択済みの送信元ポート（Selected Source Ports）] リストの下で [TCP (6)] を選択して [追加（Add）] をクリックします。ポート番号は入力せず、すべてのポートをカバーするプロトコルとして TCP を単純に追加します。
[拡張アクセスリストエントリ（Extended Access List Entry）] ダイアログボックスで [追加（Add）] をクリックして、ルールを ACL に追加します。
[拡張アクセスリストオブジェクト（Extended Access List Object）] ダイアログボックスで [保存（Save）] をクリックして、ACL オブジェクトを保存します。

ステップ 2

TCP ステートバイパスのサービスポリシールールを設定します。

たとえば、このトラフィッククラスの TCP ステートバイパスをグローバルに設定するには、次の手順を実行します。

[ポリシー（Policies）] > [アクセス制御（Access Control）] > [アクセス制御（Access Control）] を選択して、このサービスを必要とするデバイスに割り当てられているポリシーを編集します。
[詳細（Advanced）] タブをクリックして、[脅威に対する防御サービスポリシー（Threat Defense Service Policy）] の [Edit] アイコン（）をクリックします。
[ルールの追加（Add Rule）] をクリックします。
[グローバルに適用（Apply Globally）] を選択して、[次へ（Next）] をクリックします。
このルールに対して作成した拡張 ACL オブジェクトを選択して、[次へ（Next）] をクリックします。
[TCP ステートバイパスの有効化（Enable TCP State Bypass）] を選択します。
（オプション）バイパスされる接続の [アイドル（Idle）] タイムアウトを調整します。デフォルトは 2 分です。
[終了（Finish）] をクリックしてルールを追加します。必要に応じて、ルールをサービスポリシー内の必要な位置にドラッグアンドドロップします。
[OK] をクリックして、サービスポリシーに加えた変更を保存します。
[詳細（Advanced）] タブで [保存（Save）] をクリックして、アクセスコントロールポリシーに加えた変更を保存します。

ステップ 3

トラフィッククラスのプレフィルタ fastpath のルールを設定します。

プレフィルタルール内に ACL オブジェクトを使用できません。そのため、プレフィルタルールに直接か、またはクラスを定義するネットワークオブジェクトを最初に作成するかのいずれかでトラフィッククラスを再度作成する必要があります。

次の手順では、アクセスコントロールポリシーに接続されているプレフィルタポリシーがすでにあることを前提としています。プレフィルタポリシーをまだ作成していない場合は、[ポリシー（Policies）] > [アクセス制御（Access Control）] > [プレフィルタ（Prefilter）] に移動し、最初にポリシーを作成します。アクセスコントロールポリシーに接続し、ルールを作成するには、この手順を使用できます。

この手順は 10.1.1.1 から 10.2.2.2 への TCP トラフィックの fastpath ルールを作成する例に沿っています。

[ポリシー（Policies）] > [アクセス制御（Access Control）] > [アクセス制御（Access Control）] を選択して、TCP バイパスサービスポリシールールを持つポリシーを編集します。
ポリシーの説明のすぐ下の左側にある [プレフィルタポリシー（Prefilter Policy）] のリンクをクリックします。
[プレフィルタポリシー（Prefilter Policy）] ダイアログボックスで、適切なポリシーがまだ選択されていないデバイスに割り当てるポリシーを選択します。この時点ではまだ [OK] をクリックしないでください。

デフォルトのプレフィルタポリシーにはルールを追加できないため、カスタムポリシーを選択する必要があります。
[プレフィルタポリシー（Prefilter Policy）] ダイアログボックスで、[Edit] アイコン（）をクリックします。このアクションによって、ポリシーの編集が可能な新しいブラウザウィンドウまたはタブが開きます。
[プレフィルタルールの追加（Add Prefilter Rule）] をクリックし、次のプロパティを使用してルールを設定します。
- [名前（Name）]：自分にとってわかりやすい名前（TCPBypass など）。
- [アクション（Action）]：[Fastpath] を選択します。
- [インターフェイスオブジェクト（Interface Objects）] タブ：TCP ステートバイパスをグローバルルールとして設定した場合は送信元も宛先もデフォルトの [任意（any）] のままにします。インターフェイスベースのルールを作成した場合は、[送信元インターフェイスオブジェクト（Source Interface Objects）] リストのルールに使用したものと同じインターフェイスオブジェクトを選択し、宛先は [任意（any）] のままにします。
- [ネットワーク（Networks）] タブ：[送信元ネットワーク（Source Networks）] リストに 10.1.1.1 を、[宛先ネットワーク（Destination Networks）] リストに 10.2.2.2 を追加します。ネットワークオブジェクトを使用するか、またはアドレスを手動で追加することができます。
- [ポート（Ports）] タブ： [選択済み送信元ポート（Selected Source Ports）] で、TCP(6) を選択し、ポートを入力せずに [追加（Add）] をクリックします。こうすることで、TCP ポート番号に関係なく、すべての（および唯一の）TCP トラフィックにルールが適用されます。
[追加（Add）] をクリックしてプレフィルタポリシーにルールを追加します。
[保存（Save）] をクリックしてプレフィルタポリシーに変更を保存します。

これで、プレフィルタ編集ウィンドウを閉じてアクセスコントロールポリシーの編集ウィンドウに戻ることができます。
アクセスコントロールポリシーの編集ウィンドウには [プレフィルタポリシー（Prefilter Policy）] ダイアログボックスが開かれたままになっています。[OK] をクリックしてプレフィルタポリシーの割り当てに変更を保存します。
プレフィルタポリシーの割り当てを変更した場合は、アクセスコントロールポリシーで [保存（Save）] をクリックしてその変更を保存します。

これで、影響を受けるデバイスに変更を展開できます。

TCP シーケンスのランダム化のディセーブル


スマートライセンス	従来のライセンス	サポートされるデバイス数	サポートされるドメイン数	アクセス
いずれか（Any）	該当なし	FTD	いずれか（Any）	Admin Access Admin Network Admin

各 TCP 接続には 2 つの初期シーケンス番号（ISN）が割り当てられており、1 つはクライアントで生成され、もう 1 つはサーバで生成されます。Firepower Threat Defense デバイスは、着信と発信の両方向で通過する TCP SYN の ISN をランダム化します。

保護対象のホストの ISN をランダム化することにより、攻撃者が新しい接続に使用される次の ISN を予測して新しいセッションをハイジャックするのを阻止します。

たとえば、データがスクランブルされるため、必要に応じて TCP 初期シーケンス番号ランダム化をディセーブルにすることができます。次に、ランダム化を無効にする状況をいくつか示します。

別の直列接続されたファイアウォールでも初期シーケンス番号がランダム化され、トラフィックに影響することはないものの、両方のファイアウォールでこの動作を実行する必要がない場合。
デバイスで eBGP マルチホップを使用していて、eBGP ピアで MD5 を使用している場合。ランダム化により、MD5 チェックサムは分解されます。
Firepower Threat Defense デバイスによる接続のシーケンス番号のランダム化が不要な WAAS デバイスを使用する場合。
ISA 3000 のハードウェアバイパスを有効にしている場合、ISA 3000 がデータパスの一部でなくなると、TCP 接続はドロップされます。

手順

ステップ 1

トラフィッククラスを定義する拡張 ACL を作成します。

たとえば、任意のホストから 10.2.2.2 に送信される TCP トラフィックのトラフィッククラスを定義するには、次の手順を実行します。

[オブジェクト（Objects）] > [オブジェクト管理（Object Management）] を選択します。
目次から [アクセスリスト（Access List）] > [拡張（Extended）] を選択します。
[拡張アクセスリストを追加（Add Extended Access List）] ボタンをクリックします。
オブジェクトの [名前（Name）]（preserve-sq-no など）を入力します。
[追加（Add）] をクリックしてルールを追加します。
アクションは [許可（Allow）] のままにします。
[送信元（Source）] リストを空白のままにして、[宛先（Destination）] リストの下に 10.2.2.2 と入力して、[追加（Add）] をクリックします。
[ポート（Port）] タブをクリックし、[選択済みの送信元ポート（Selected Source Ports）] リストの下で [TCP (6)] を選択して [追加（Add）] をクリックします。ポート番号は入力せず、すべてのポートをカバーするプロトコルとして TCP を単純に追加します。
[拡張アクセスリストエントリ（Extended Access List Entry）] ダイアログボックスで [追加（Add）] をクリックして、ルールを ACL に追加します。
[拡張アクセスリストオブジェクト（Extended Access List Object）] ダイアログボックスで [保存（Save）] をクリックして、ACL オブジェクトを保存します。

ステップ 2

TCP シーケンス番号のランダム化を無効にするサービスポリシールールを設定します。

たとえば、このトラフィッククラスのランダム化をグローバルに無効にするには、次の手順を実行します。

[ポリシー（Policies）] > [アクセス制御（Access Control）] > [アクセス制御（Access Control）] を選択して、このサービスを必要とするデバイスに割り当てられているポリシーを編集します。
[詳細（Advanced）] タブをクリックして、[脅威に対する防御サービスポリシー（Threat Defense Service Policy）] の [Edit] アイコン（）をクリックします。
[ルールの追加（Add Rule）] をクリックします。
[グローバルに適用（Apply Globally）] を選択して、[次へ（Next）] をクリックします。
このルールに対して作成した拡張 ACL オブジェクトを選択して、[次へ（Next）] をクリックします。
[TCP シーケンス番号のランダム化（Randomize TCP Sequence Number）] の選択を解除します。
（オプション）その他の接続オプションを必要に応じて調節します。
[終了（Finish）] をクリックしてルールを追加します。必要に応じて、ルールをサービスポリシー内の必要な位置にドラッグアンドドロップします。
[OK] をクリックして、サービスポリシーに加えた変更を保存します。
[詳細（Advanced）] タブで [保存（Save）] をクリックして、アクセスコントロールポリシーに加えた変更を保存します。

これで、影響を受けるデバイスに変更を展開できます。

サービスポリシーのルールの例

次のトピックにサービスポリシールールの例を示します。

SYN フラッド DoS 攻撃からのサーバの保護（TCP 代行受信）


スマートライセンス	従来のライセンス	サポートされるデバイス数	サポートされるドメイン数	アクセス
いずれか（Any）	該当なし	FTD	いずれか（Any）	Admin Access Admin Network Admin

攻撃者が一連の SYN パケットをホストに送信すると、SYN フラッディングサービス妨害（DoS）攻撃が発生します。これらのパケットは通常、スプーフィングされた IP アドレスから発信されます。SYN パケットのフラッディングが定常的に生じると、SYN キューが一杯になる状況が続き、正規ユーザからの接続要求に対してサービスを提供できなくなります。

SYN フラッディング攻撃を防ぐために初期接続数を制限できます。初期接続とは、送信元と宛先の間で必要になるハンドシェイクを完了していない接続要求のことです。

接続の初期接続しきい値を超えると、Firepower Threat Defense デバイスはサーバのプロキシとして動作し、SYN Cookie 方式を使用してクライアント SYN 要求に対する SYN-ACK 応答を生成します（SYN Cookie の詳細については、Wikipedia を参照してください）。Firepower Threat Defense デバイスはクライアントから ACK を受信すると、クライアントが本物であることを認証し、サーバへの接続を許可できます。プロキシを実行するコンポーネントは、TCP 代行受信と呼ばれます。

接続制限を設定すると、サーバを SYN フラッド攻撃から保護できます。必要に応じて、TCP 代行受信の統計情報を有効にして、ポリシーの結果をモニタできます。次の手順では、エンドツーエンドのプロセスについて説明します。

始める前に

保護するサーバの TCP SYN バックログキューより低い初期接続制限を設定していることを確認します。これより高い初期接続制限を設定すると、有効なクライアントが、SYN 攻撃中にサーバにアクセスできなくなります。初期接続制限に適切な値を決定するには、サーバの容量、ネットワーク、サーバの使用状況を入念に分析してください。
Firepower Threat Defense デバイス上の CPU コア数によっては、各コアによる接続の管理方法が原因で、同時接続および初期接続の最大数が設定されている数を超える場合があります。最悪の場合、デバイスは最大 n-1 の追加接続および初期接続を許可します。ここで、n はコアの数です。たとえば、モデルに 4 つのコアがあり、6 つの同時接続および 4 つの初期接続を設定した場合は、各タイプで 3 つの追加接続を使用できます。モデルのコア数を確認するには、デバイスの CLI で show cpu core コマンドを入力します。

手順

ステップ 1

保護するサーバのリストであるトラフィッククラスを定義する拡張 ACL を作成します。

たとえば、IP アドレスが 10.1.1.5 と 10.1.1.6 の Web サーバを保護するためのトラフィッククラスを定義します。

[オブジェクト（Objects）] > [オブジェクト管理（Object Management）] を選択します。
目次から [アクセスリスト（Access List）] > [拡張（Extended）] を選択します。
[拡張アクセスリストを追加（Add Extended Access List）] ボタンをクリックします。
オブジェクトの [名前（Name）]（protected-servers など）を入力します。
[追加（Add）] をクリックしてルールを追加します。
アクションは [許可（Allow）] のままにします。
[送信元（Source）] リストを空白のままにして、[宛先（Destination）] リストの下に 10.1.1.5 と入力して、[追加（Add）] をクリックします。
また、[宛先（Destination）] リストの下に 10.1.1.6 と入力して、[追加（Add）] をクリックします。
[ポート（Port）] タブをクリックし、利用可能なポートのリストで [HTTP] を選択して、[宛先に追加（Add to Destination）] をクリックします。サーバで HTTPS 接続もサポートされている場合は、HTTPS ポートも追加します。
[拡張アクセスリストエントリ（Extended Access List Entry）] ダイアログボックスで [追加（Add）] をクリックして、ルールを ACL に追加します。
[拡張アクセスリストオブジェクト（Extended Access List Object）] ダイアログボックスで [保存（Save）] をクリックして、ACL オブジェクトを保存します。

ステップ 2

初期接続制限を設定するサービスポリシールールを設定します。

たとえば、同時初期接続の合計を 1000 接続に設定し、クライアントごとの制限を 50 接続に設定する場合は、次の手順を実行します。

[ポリシー（Policies）] > [アクセス制御（Access Control）] > [アクセス制御（Access Control）] を選択して、このサービスを必要とするデバイスに割り当てられているポリシーを編集します。
[詳細（Advanced）] タブをクリックして、[脅威に対する防御サービスポリシー（Threat Defense Service Policy）] の [Edit] アイコン（）をクリックします。
[ルールの追加（Add Rule）] をクリックします。
[グローバルに適用（Apply Globally）] を選択して、[次へ（Next）] をクリックします。
このルールに対して作成した拡張 ACL オブジェクトを選択して、[次へ（Next）] をクリックします。
[接続（Connections）] > [最大初期接続数（Maximum Embryonic）] に 1000 を入力します。
[クライアントあたりの接続数（Connections Per Client）] > [最大初期接続数（Maximum Embryonic）] に 50 を入力します。
（オプション）その他の接続オプションを必要に応じて調節します。
[終了（Finish）] をクリックしてルールを追加します。必要に応じて、ルールをサービスポリシー内の必要な位置にドラッグアンドドロップします。
[OK] をクリックして、サービスポリシーに加えた変更を保存します。
[詳細（Advanced）] タブで [保存（Save）] をクリックして、アクセスコントロールポリシーに加えた変更を保存します。

ステップ 3

（オプション）TCP 代行受信の統計情報のレートを設定します。

TCP 代行受信では次のオプションを使用して、統計情報の収集レートが決定されます。すべてのオプションにはデフォルト値があります。それらのレートがニーズに合っている場合は、この手順を省略できます。

[レート間隔（Rate Interval）]：履歴監視ウィンドウのサイズ（1 ～ 1440 分）。デフォルトは 30 分です。この間隔の間に、システムは攻撃の数を 30 回サンプリングします。
[バーストレート（Burst Rate）]：Syslog メッセージ生成のしきい値（25 ～ 2147483647）。デフォルトは 1 秒間に 400 です。バーストレートを超えると、デバイスは Syslog メッセージ 733104 を生成します。
[平均レート（Average Rate）]：Syslog メッセージ生成の平均レートのしきい値（25 ～ 2147483647）。デフォルトは 1 秒間に 200 回です。平均レートを超えると、デバイスは Syslog メッセージ 733105 を生成します。

これらのオプションを調整する場合は、次の手順を実行します。

[オブジェクト（Objects）] > [オブジェクト管理（Object Management）] を選択します。
[FlexConfig] > [テキストオブジェクト（Text Object）] を選択します。
システム定義オブジェクト threat_defense_statistics の [Edit] アイコン（）をクリックします。
値は直接変更できますが、[オーバーライド（Override）] セクションを開き、[追加（Add）] をクリックして、デバイスオーバーライドを作成することを推奨します。
（アクセスコントロールポリシーの割り当てを介して）サービスポリシーを割り当てるデバイスを選択し、[追加（Add）] をクリックして、選択済みリストにデバイスを移動します。
[オーバーライド（Override）] タブをクリックします。
オブジェクトには 3 つのエントリが必要なため、3 になるまで必要に応じて [カウント（Count）] ボタンをクリックします。
レート間隔、バーストレート、および平均レートとして 1 ～ 3 の順序で必要な値を入力します。オブジェクトの説明を参照し、正しい順序で値を入力していることを確認してください。
[オブジェクトのオーバーライド（Object Override）] ダイアログボックスで [追加（Add）] をクリックします。
[テキストオブジェクトの編集（Edit Text Object）] ダイアログボックスで [保存（Save）] をクリックします。

ステップ 4

TCP 代行受信の統計情報を有効にします。

TCP 代行受信の統計情報を有効にするには FlexConfig ポリシーを設定する必要があります。

[デバイス（Devices）] > [FlexConfig] を選択します。
ポリシーをすでにデバイスに割り当てている場合は、そのポリシーを編集します。割り当てていない場合は、新しいポリシーを作成して、影響を受けるデバイスに割り当てます。
[利用可能な FlexConfig（Available FlexConfig）] リストで [Threat_Detection_Configure] を選択して [>>] をクリックします。オブジェクトが [選択済み追加 FlexConfig（Selected Append FlexConfigs）] リストに追加されます。
[保存（Save）] をクリックします。
（オプション）[プレビュー設定（Preview Config）] をクリックし、いずれかのデバイスを選択することで、設定が正しいことを確認できます。
次の展開時にデバイスに書き込まれる CLI コマンドが生成されます。それらのコマンドには、サービスポリシーおよび脅威検出の統計情報に必要なコマンドが含まれます。プレビューの下にスクロールして、追加された CLI を確認します。デフォルト値を使用している場合、TCP 代行受信の統計情報のコマンドは、次のようになります（わかりやすくするために改行されています）。
```
###Flex-config Appended CLI ###

threat-detection statistics tcp-intercept rate-interval 30 
       burst-rate 400 average-rate 200
```

ステップ 5

これで、影響を受けるデバイスに変更を展開できます。

ステップ 6

次のコマンドを使用して、デバイスの CLI から TCP 代行受信の統計情報をモニタします。

show threat-detection statistics top tcp-intercept [all | detail] ：攻撃を受けて保護された上位 10 のサーバを表示します。all キーワードは、トレースされているすべてのサーバの履歴データを表示します。detail キーワードは、履歴サンプリングデータを表示します。システムはレート間隔の間に攻撃の数を 30 回サンプリングするため、デフォルトの 30 分間隔の場合、60 秒ごとに統計情報が収集されます。

（注）

shun コマンドを使用して、ホスト IP アドレスへの攻撃をブロックできます。ブロックを削除するには、no shun コマンドを使用します。

clear threat-detection statistics tcp-intercept TCP 代行受信の統計情報を削除します。

例:


hostname(config)# show threat-detection statistics top tcp-intercept
Top 10 protected servers under attack (sorted by average rate)
Monitoring window size: 30 mins    Sampling interval: 30 secs
<Rank> <Server IP:Port> <Interface> <Ave Rate> <Cur Rate> <Total> <Source IP (Last Attack Time)>
----------------------------------------------------------------------------------
1    10.1.1.5:80 inside 1249 9503 2249245 <various> Last: 10.0.0.3 (0 secs ago)
2    10.1.1.6:80 inside 10 10 6080 10.0.0.200 (0 secs ago)

Firepower Threat Defense デバイスをトレースルートに表示する


スマートライセンス	従来のライセンス	サポートされるデバイス数	サポートされるドメイン数	アクセス
いずれか（Any）	該当なし	FTD	いずれか（Any）	Admin Access Admin Network Admin

デフォルトでは、Firepower Threat Defense デバイスは、トレースルートにホップとして表示されません。表示されるようにするには、デバイスを通過するパケットの存続可能時間を減らし、ICMP 到達不能メッセージのレート制限を増やす必要があります。これを行うには、サービスポリシールールを設定し、ICMP プラットフォーム設定ポリシーを調整する必要があります。

（注）

パケット存続時間（TTL）をデクリメントすると、TTL が 1 のパケットはドロップされますが、接続に TTL がより大きいパケットを含むと想定されるセッションでは、接続が開かれます。OSPF hello パケットなどの一部のパケットは TTL = 1 で送信されるため、パケット存続時間（TTL）をデクリメントすると、予期しない結果が発生する可能性があります。トラフィッククラスを定義する際には、これらの考慮事項に注意してください。

手順

ステップ 1	Traceroute レポートを有効にするトラフィッククラスを定義する拡張 ACL を作成します。たとえば、OSPF トラフィックを除く、すべてのアドレスのトラフィッククラスを定義するには、次の手順を実行します。 [オブジェクト（Objects）] > [オブジェクト管理（Object Management）] を選択します。目次から [アクセスリスト（Access List）] > [拡張（Extended）] を選択します。 [拡張アクセスリストを追加（Add Extended Access List）] ボタンをクリックします。オブジェクトの [名前（Name）]（traceroute-enabled など）を入力します。 [追加（Add）] をクリックして、OSPF を除外するルールを追加します。アクションを [ブロック（Block）] に変更し、[ポート（Port）] タブをクリックします。[宛先ポート（Destination Ports）] リストの下でプロトコルとして [OSPFIGP (89)] を選択し、[追加（Add）] をクリックして、プロトコルを選択済みリストに追加します。 [拡張アクセスリストエントリ（Extended Access List Entry）] ダイアログボックスで [追加（Add）] をクリックして、OSPF ルールを ACL に追加します。 [追加（Add）] をクリックして、その他すべての接続を含めるルールを追加します。アクションは [許可（Allow）] のままにして、[送信元（Source）] と [宛先（Destination）] リストの両方を空にします。 [拡張アクセスリストエントリ（Extended Access List Entry）] ダイアログボックスで [追加（Add）] をクリックして、ルールを ACL に追加します。 OSPF 拒否ルールが [すべて許可（Allow Any）] ルールの上にあることを確認します。必要に応じて、ルールをドラッグアンドドロップして移動します。 [拡張アクセスリストオブジェクト（Extended Access List Object）] ダイアログボックスで [保存（Save）] をクリックして、ACL オブジェクトを保存します。
ステップ 2	存続可能時間の値をデクリメントするサービスポリシールールを設定します。たとえば、存続可能時間をグローバルにデクリメントするには、次の手順を実行します。 [ポリシー（Policies）] > [アクセス制御（Access Control）] > [アクセス制御（Access Control）] を選択して、このサービスを必要とするデバイスに割り当てられているポリシーを編集します。 [詳細（Advanced）] タブをクリックして、[脅威に対する防御サービスポリシー（Threat Defense Service Policy）] の [Edit] アイコン（）をクリックします。 [ルールの追加（Add Rule）] をクリックします。 [グローバルに適用（Apply Globally）] を選択して、[次へ（Next）] をクリックします。このルールに対して作成した拡張 ACL オブジェクトを選択して、[次へ（Next）] をクリックします。 [デクリメント TTL の有効化（Enable Decrement TTL）] を選択します。（オプション）その他の接続オプションを必要に応じて調節します。 [終了（Finish）] をクリックしてルールを追加します。必要に応じて、ルールをサービスポリシー内の必要な位置にドラッグアンドドロップします。 [OK] をクリックして、サービスポリシーに加えた変更を保存します。 [詳細（Advanced）] タブで [保存（Save）] をクリックして、アクセスコントロールポリシーに加えた変更を保存します。これで、影響を受けるデバイスに変更を展開できます。
ステップ 3	ICMP 到達不能メッセージのレート制限を増やします。 [デバイス（Devices）] > [プラットフォーム設定（Platform Settings）] を選択します。ポリシーをすでにデバイスに割り当てている場合は、そのポリシーを編集します。割り当てていない場合は、新しい Firepower Threat Defense プラットフォーム設定ポリシーを作成して、影響を受けるデバイスに割り当てます。目次から [ICMP] を選択します。 [レート制限（Rate Limit）] を（50 などに）増やします。[バーストサイズ（Burst Size）] は使用されないため、無視できます。 ICMP ルールテーブルは、このタスクには無関係なので、空のままにすることができます。 [保存（Save）] をクリックします。
ステップ 4	これで、影響を受けるデバイスに変更を展開できます。

サービスポリシーのモニタリング

デバイスの CLI を使用してサービスポリシー関連の情報をモニタできます。次に、便利なコマンドをいくつか示します。

show conn [detail]

接続情報を表示します。詳細情報は、フラグを使用して特別な接続の特性を示します。たとえば、「b」フラグは、TCPステートバイパスの対象であるトラフィックを示します。
show service-policy

Dead Connection Detection（DCD; デッド接続検出）の統計情報を含むサービスポリシーの統計情報を表示します。
show threat-detection statistics top tcp-intercept [all | detail]

攻撃を受けて保護された上位 10 サーバを表示します。all キーワードは、トレースされているすべてのサーバの履歴データを表示します。detail キーワードは、履歴サンプリングデータを表示します。システムはレート間隔の間に攻撃の数を 30 回サンプリングするため、デフォルトの 30 分間隔の場合、60 秒ごとに統計情報が収集されます。

Firepower Threat Defense のサービスポリシーの履歴


機能	バージョン	説明
Firepower Threat Defense のサービスポリシー。	6.3	Firepower Threat Defense をアクセスコントロールポリシーの高度なオプションの一部として設定できるようになりました。Firepower Threat Defense サービスポリシーを使用して、特定のトラフィッククラスにサービスを適用することができます。サポートされている機能には、TCP ステートバイパス、TCP シーケンス番号のランダム化、パケットでの存続可能時間（TTL）の値の減分、デッド接続検出、トラフィッククラスごとおよびクライアントごとの接続および初期接続の最大数の制限の設定、初期接続、ハーフクローズ接続、およびアイドル接続のタイムアウトなどがあります。新規画面：[ポリシー（Policies）] > [アクセス制御（Access Control）] > [アクセス制御（Access Control）]、[詳細（Advanced）] タブ、[Threat Defense サービスポリシー（Threat Defense Service Policy）]。サポートされているプラットフォーム：Firepower Threat Defense

Firepower Management Center バージョン 6.4 コンフィギュレーションガイド

偏向のない言語

翻訳について

Book Title

Firepower Management Center バージョン 6.4 コンフィギュレーションガイド

Chapter Title

Threat Defense サービスポリシー

検索結果

章のタイトル： Threat Defense サービスポリシー

Threat Defense サービスポリシー