Cisco IronPort AsyncOS 7.7 for Security Management ユーザ ガイド

中央集中型 Web レポーティングの設定

Security Management アプライアンスで Web レポーティングを使用するには、すべての Web レポーティングがイネーブルになるよう、Security Management アプライアンスを設定する必要があります。さらに、すべてのレポートでユーザ名を認識できないようにすることができます。

中央集中型 Web レポーティングを設定するには、次の手順を実行します。

ステップ 1 Security Management アプライアンスで、[Management Appliance] > [Centralized Services] > [Web] > [Centralized Reporting] を選択します。

[Centralized Web Reporting] ページが表示されます。システム セットアップ ウィザードを実行してから初めて中央集中型レポーティングをイネーブルにする場合は、エンドユーザ ライセンス契約書を確認し、[Accept] をクリックします。

ステップ 2 [Edit Settings] をクリックします。

ステップ 3 [Edit Centralized Web Reporting Service Settings] ページが表示されます。

ステップ 4 [Enable Centralized Web Report Services] チェックボックスをクリックします。

Web セキュリティ アプライアンスでデータが保存されるのは、ローカル レポーティングが使用される場合だけです。Web セキュリティ アプライアンスで中央集中型レポーティングがイネーブルになっている場合、Web セキュリティ アプライアンスはシステム キャパシティとシステム ステータスを除いて、レポート データを保持しません。中央集中型 Web レポーティングがイネーブルになっていない場合、生成されるレポートはシステム キャパシティとシステム ステータスだけです。

ステップ 5 スケジュール設定されたレポートでユーザ名が認識できない状態でレポートを生成するには、[Anonymize usernames in reports] チェックボックスをオンにします。デフォルト設定では、スケジュール設定されたレポートにすべてのユーザ名が表示されます。

（注） 管理者ステータスを持っている場合は、常にユーザ名が表示されます。

ステップ 6 [Submit] をクリックして変更を送信し、[Commit Changes] をクリックしてアプライアンスでの変更を確定します。

（注） アプライアンスで Web レポーティングがイネーブルになっていて、この処理にディスク領域が割り当てられていない場合、ディスク領域が割り当てられるまで、中央集中型 Web レポーティングが機能しません。Web レポーティングおよびトラッキングに設定するクォータが、現在使用しているディスク領域よりも大きい場合、Web レポーティングおよびトラッキングのデータは失われません。詳細については、「ディスク使用量の管理」を参照してください。

Web セキュリティ アプライアンス用のインタラクティブ レポート ページ

すべての Web レポーティング ページは、インタラクティブなレポート ページになっています。このため、システム内の 1 つまたはすべての管理対象 Web セキュリティ アプライアンスの情報をモニタできます。

インタラクティブ レポート ページでは、異なる時間範囲の中央集中型レポートを表示でき、ページごとに表示するカラムのタイプを指定できます。多くのレポート ページにはインタラクティブなカラムがあり、そのページでデータを表示する際に各カラムのデータをニーズに応じてソートできるように、これらのカラムを設定できます。レポート ページ上のインタラクティブなカラムの設定については、「レポート ページのカラムの設定」を参照してください。

（注） レポート ページによっては、一部のカラムを使用できないことがあります。特定のレポート ページで使用可能なカラムを確認するには、各レポート ページの [Column] リンクをクリックします。「中央集中型 Web レポーティング ページのインタラクティブ カラム」に、このリリースのレポーティング ページで使用可能なカラムの説明があります。

また、カラムの内容が得られた [Web Tracking] ページへのリンクが、そのカラムに表示されることがあります。

レポーティング ページでの時間範囲の設定については、「インタラクティブ レポートの時間範囲の選択」を参照してください。

レポート ページのカラムの設定

レポート ページのカラムを設定するには、次の手順を実行します。

ステップ 1 Security Management アプライアンスのページで、[Web] > [Reporting] > [ Your_Web_Reporting_Page ] を選択します。

ステップ 2 [Columns] をクリックします。

表示するカラムを選択するためのポップアップ ウィンドウが表示されます。

ステップ 3 ポップアップ ウィンドウで、各カテゴリの横のチェックボックスをオンにします。
オプションを選択したら、[Done] をクリックします。これで、インタラクティブなカラム見出しを使用して、各カラムのデータをニーズに合わせてソートすることができます。

（注） 各レポート ページのいくつかのカラムには、Web トラッキングの詳細へのリンクが表示されます。

レポート ページからのレポートの印刷

ページ右上の [Printable PDF] リンクをクリックすると、すべてのレポート ページを読みやすい印刷形式の PDF 版で生成できます。[Export] リンクをクリックすると、グラフやその他のデータをカンマ区切り値（CSV）形式でエクスポートできます。大部分のレポートでは、CSV 形式のスケジューリングを行うことができます。ただし、CSV 形式で拡張レポートをスケジュールすることはできません。

レポート ページからの印刷の詳細については、「レポート データの印刷とエクスポート」を参照してください。

各ページに表示される [Export] リンクは、raw データをエクスポートするために使用されます。

レポート ページのレポーティング フィルタ

AsyncOS には、前年をカバーするレポート（[Last Year] レポート）のデータの集約を制限できるレポート フィルタがあります。1 ヵ月分に大量の一意のエントリが存在することで、集約されたレポートのパフォーマンスが低下する場合には、これらのフィルタを使用できます。これらのフィルタにより、レポート内の詳細、個々の IP、ドメイン、またはユーザ データを制限できます。概要レポートおよびサマリー情報は、引き続きすべてのレポートで利用できます。

レポーティング フィルタをイネーブルにする方法の詳細については、「Security Management アプライアンスのレポート フィルタ」を参照してください。

[User Details] ページ

[User Details] ページでは、[Web] > [Reporting] > [Users] ページのインタラクティブな [Users] テーブルで指定したユーザに関する具体的な情報を確認できます。

[User Details] ページでは、システムでの個々のユーザのアクティビティを調査できます。特に、ユーザ レベルの調査を実行している場合に、ユーザがアクセスしているサイト、ユーザが直面しているマルウェアの脅威、ユーザがアクセスしている URL カテゴリ、これらのサイトで特定のユーザが費やしている時間などを確認する必要があるときは、このページが役立ちます。

特定のユーザの [User Details] ページを表示するには、[Web] > [Users] ページの [User] テーブルで対象のユーザをクリックします。

図 5-3 [User Details] ページ

[User Details] ページには、システム上の個々のユーザに関係する次の情報が表示されます。

[User Details] ページのいくつかのセクションでは、表示するカラムを設定できます。カラムの設定については、「Web セキュリティ アプライアンス用のインタラクティブ レポート ページ」を参照してください。

インタラクティブなセクションに表示するカテゴリを選択後、表示する項目の数を [Items Displayed] ドロップダウン メニューから選択できます。選択肢は [10]、[20]、[50]、[100] です。

[Users Details] ページの使用例については、「例 1：ユーザの調査」を参照してください。

[URL Categories] ページとその他のレポーティング ページの併用

[URL Categories] ページの利点の 1 つは、 [Application Visibility] ページおよび [Users] ページと組み合わせて使用して、特定のユーザだけでなく、特定のユーザがアクセスを試みているアプリケーションまたは Web サイトのタイプも調査できることです。

たとえば、 [URL Categories] ページで、サイトからアクセスされたすべての URL カテゴリの詳細を表示する、人事部門向けの概要レポートを生成できます。同じページのインタラクティブな [URL Categories] テーブルでは、URL カテゴリ「Streaming Media」に関するさらに詳しい情報を収集できます。[Streaming Media] カテゴリ リンクをクリックすると、特定の [URL Categories] レポート ページが表示されます。このページには、ストリーミング メディア サイトにアクセスしている上位ユーザが表示されるだけでなく（[Top Users by Category for Total Transactions] セクション）、YouTube.com や QuickPlay.com などのアクセスされたドメインも表示されます（[Domains Matched] インタラクティブ テーブル）。

この時点で、特定のユーザに関するさらに詳しい情報を得られます。たとえば、特定のユーザの使用状況が目立っているので、そのユーザのアクセス先を正確に確認する必要があるとします。ここから、[Users] インタラクティブ テーブルのユーザをクリックすることができます。このアクションにより [User Details] ページが表示され、そのユーザのトレンドを確認し、そのユーザの Web での行動を正確に把握できます。

さらに詳しい情報が必要な場合は、インタラクティブ テーブルで [Transactions Completed] リンクをクリックして、Web トラッキングの詳細を表示できます。これにより [Web Tracking] ページが表示され、ユーザがサイトにアクセスした日付、完全な URL、その URL で費やされた時間などに関する詳細情報を確認できます。

[URL Categories] ページの他の使用例については、「例 3：アクセスの多い URL カテゴリの調査」を参照してください。

カスタム URL カテゴリ

Security Management アプライアンスでは、Web セキュリティ アプライアンスと同様に、多数の定義済み URL カテゴリ（Web-based Reporting など）がデフォルトで用意されています。ただし、特定のホスト名と IP アドレスを指定する、ユーザ定義のカスタム URL カテゴリを作成することもできます。内部サイトや確実に信頼できる外部サイトのグループには、カスタム URL カテゴリを作成することを推奨します。

（注） Security Management アプライアンスでは、先頭に文字「c_」が付加されたカスタム URL カテゴリ名の最初の 4 文字が、アクセス ログで使用されます。Sawmill for Cisco IronPort を使用してアクセス ログを解析する場合は、カスタム URL カテゴリの名前に注意してください。カスタム URL カテゴリの最初の 4 文字にスペースが含まれていると、Sawmill for Cisco IronPort はアクセス ログ エントリを正しく解析できません。Sawmill for Cisco IronPort を使用してアクセス ログを解析する場合は、この最初の 4 文字に、サポートされている文字のみを使用してください。カスタム URL カテゴリの完全な名前をアクセス ログに記録する場合は、%XF フォーマット指定子をアクセス ログに追加します。

複数のカスタム URL カテゴリを作成し、各カテゴリに同じ URL を含めることができます。カスタム URL カテゴリの順序は重要です。リストの上位にあるカテゴリが、下位にあるカテゴリよりも優先されます。これらのカスタム URL カテゴリを同じアクセス ポリシー グループ、復号化ポリシー グループ、または Cisco IronPort Data Security ポリシー グループに入れ、各カテゴリに異なるアクションを定義した場合は、より上位にあるカスタム URL カテゴリのアクションが有効となります。

カスタム URL カテゴリを作成、編集、または削除するには、次の手順を実行します。

ステップ 1 Security Management アプライアンスのウィンドウで、[Web] > [Configuration Master 7.1] > [Custom URL Categories] を選択します。

[Custom URL Categories] ページが表示されます。

既存のカスタム URL カテゴリを編集するには、URL カテゴリの名前をクリックします。カスタム URL カテゴリを削除するには、削除するカスタム URL カテゴリの横にあるごみ箱をクリックします。

図 5-6 [Custom URL Categories] ページ

ステップ 2 カスタム URL カテゴリを作成または編集するには、[Add Custom Category] をクリックします。

[Create Custom URL Categories: Add Category] ページが表示されます。

図 5-7 カスタム URL カテゴリの作成

ステップ 3 カスタム URL カテゴリを作成または編集するには、次の設定を該当するフィールドに入力します。

• [Category Name]：URL カテゴリの名前を入力します。この名前は、ポリシー グループに URL フィルタリングを設定するときに表示されます。

• [List Order]：カスタム URL カテゴリのリストにおけるこのカテゴリの順序をテキスト フィールドに入力します。最上位の URL カテゴリには、 1 を入力します。URL フィルタリング エンジンでは、指定した順序でカスタム URL カテゴリに対してクライアント要求が評価されます。

• [Sites]：カスタム カテゴリに属する 1 つまたは複数のアドレスを入力します。

複数のアドレスは、改行またはカンマで区切って入力します。アドレスは次のいずれかの形式を使用して入力できます。

–IP アドレス。10.1.1.0 など

–CIDR アドレス。10.1.1.0/24 など

–ドメイン名。example.com など

–ホスト名。crm.example.com など

–ホスト名の一部。.example.com など

（注） .example.com などのホスト名の一部を入力すると、www.example.com も一致します。

• [Advanced]：[Regular Expressions] テキスト フィールドに、入力したパターンと一致する複数の Web サーバを指定するための正規表現を入力できます。

（注） URL フィルタリング エンジンでは、URL がまず [Sites] フィールドに入力したアドレスと比較されます。トランザクションの URL が [Sites] フィールドの入力内容と一致した場合は、ここで入力した式との比較は行われません。

ステップ 4 （任意）[Sort URLs] をクリックして、[Sites] フィールド内のすべてのアドレスをソートします。

[Sort URLs] をクリックすると、サイト URL が英数字順にソートされます。リスト順序でサイトに対して入力した元の順序は、ソートすると無効になります。

ステップ 5 [Submit] をクリックしてページ上の変更を送信し、[Commit Changes] をクリックしてアプライアンスへの変更を確定します。

誤って分類された URL と未分類の URL のレポート

誤って分類された URL と未分類の URL は、次の URL の Cisco IronPort サポート ポータルに報告できます。

http://cisco.com/web/ironport/index.html

報告内容は、今後のルール アップデート用に評価されます。

Web レピュテーション フィルタリングと、アンチマルウェア フィルタリングがイネーブルになっていることを確認してください。

多くの場合、疑わしいコンテンツを含む URL とマルウェアの相関性は高く、今後のフィルタで検出される可能性が高くなります。URL フィルタリングで判定できない場合は、他のダウンストリーム フィルタで悪質なトラフィックが検出されるように、システム パイプラインが設定されます。この機能の詳細については、 『 Cisco IronPort AsyncOS for Web User Guide 』を参照してください。

アプリケーションとアプリケーション タイプの違いについて

レポートに関連するアプリケーションを制御するには、アプリケーションとアプリケーション タイプの違いを理解することが非常に重要です。

• アプリケーション タイプ。 1 つまたは複数のアプリケーションを含むカテゴリです。たとえば 検索エンジン は、Google Search や Craigslist などの検索エンジンを含むアプリケーション タイプです。インスタント メッセージングは、Yahoo Instant Messenger や Cisco WebEx などを含む別のアプリケーション タイプです。Facebook もアプリケーション タイプです。

• アプリケーション。 アプリケーション タイプに属している特定のアプリケーションです。たとえば、YouTube はメディア アプリケーション タイプに含まれるアプリケーションです。

• アプリケーション動作。 アプリケーション内でユーザが実行できる特定のアクションまたは動作です。たとえば、ユーザは Yahoo Messenger などのアプリケーションの使用中にファイルを転送できます。すべてのアプリケーションに、設定可能なアプリケーション動作が含まれているわけではありません。

（注） Application Visibility and Control（AVC）エンジンを使用して Facebook アクティビティを制御する方法の詳細については、『Cisco IronPort AsyncOS for Web User Guide』の「Understanding Application Visibility and Control」を参照してください。

[Application Visibility] ページにアクセスするには、次の手順を実行します。

ステップ 1 Security Management アプライアンスのウィンドウで、[Web] > [Reporting] > [Application Visibility] を選択します。

[Application Visibility] ページが表示されます。

図 5-8 [Application Visibility] ページ

[Application Visibility] ページには次の情報が表示されます。

（注） [Application Visibility] ページの情報に関して、スケジュール設定されたレポートを生成することができます。レポートのスケジュール設定については、「レポートのスケジューリング」を参照してください。

[Malware Category] レポート ページ

[Malware Category] レポート ページでは、個々のマルウェア カテゴリとネットワークでのその動作に関する詳細情報を表示できます。

[Malware Category] レポート ページにアクセスするには、次の手順を実行します。

ステップ 1 Security Management アプライアンスのウィンドウで、[Web] > [Reporting] > [Anti-Malware] を選択します。

[Anti-Malware] ページが表示されます。

ステップ 2 [Malware Categories] インタラクティブ テーブルで、[Malware Category] カラム内のカテゴリをクリックします。

[Malware Category] レポート ページが表示されます。

図 5-10 [Malware Category] レポート ページ

[Malware Threat] レポート ページ

[Malware Threat] レポート ページには、特定の脅威にさらされているクライアント、および感染した可能性があるクライアントのリストが表示され、[Client Detail] ページへのリンクがあります。レポート上部のトレンド グラフには、指定した時間範囲内で脅威に関してモニタされたトランザクションおよびブロックされたトランザクションが表示されます。下部のテーブルには、指定した時間範囲内で脅威に関してモニタされたトランザクションおよびブロックされたトランザクションの実際の数が表示されます。

[Malware Threat] レポート ページにアクセスするには、次の手順を実行します。

ステップ 1 Security Management アプライアンスのウィンドウで、[Web] > [Reporting] > [Anti-Malware] を選択します。

[Anti-Malware] ページが表示されます。

ステップ 2 [Malware Threat] インタラクティブ テーブルで、[Malware Category] カラム内のカテゴリをクリックします。

[Malware Threat] レポート ページが表示されます。

図 5-11 [Malware Threat] レポート ページ

（注） [Anti-Malware] ページの [Top Malware Categories Detected] および [Top Malware Threats Detected] に関して、スケジュール設定されたレポートを生成することができます。ただし、[Malware Categories] および [Malware Threats] レポート ページから生成されるレポートを、スケジュール設定することはできません。レポートのスケジュール設定については、「レポートのスケジューリング」を参照してください。

マルウェアのカテゴリについて

マルウェアのカテゴリについて に、Security Management アプライアンスおよび Web セキュリティ アプライアンスでブロックできる、さまざまなマルウェアのカテゴリを示します

アンチマルウェアの設定

（注） Security Management アプライアンスでアンチマルウェア機能を使用するには、事前に Web セキュリティ アプライアンスでグローバル設定を指定し、各種のポリシーに特定の設定を適用する必要があります。詳細については、『Cisco IronPort AsyncOS for Web User Guide』の「Configuring Anti-Malware Scanning」を参照してください。

アンチマルウェアを設定するには、まず次の 2 つの設定を指定する必要があります。

• グローバルなアンチマルウェア設定。 オブジェクト スキャン パラメータを設定し、URL を照合するためのグローバル設定を指定します。さらに、どのようなときに URL をブロックするか、または処理の続行を許可するかを制御します。

• アクセス ポリシーのアンチマルウェア設定。 マルウェア スキャンの判定に基づいたマルウェア カテゴリのモニタまたはブロックをイネーブルにします。

ステップ 1 Security Management アプライアンスのウィンドウで、[Configuration Master 7.1] > [Access Policies] を選択します。

[Access Policies] ウィンドウが表示されます。

ステップ 2 [Web Reputation and Anti-Malware Filtering] カラムで、設定するアクセス ポリシーのポリシー名のリンクをクリックします。

そのポリシーの [Access Policies: Reputation and Anti-Malware Settings] ウィンドウが表示されます。

このページでは、マルウェア スキャンの判定に基づいたマルウェア カテゴリのモニタまたはブロックをイネーブルにすることができます。

ステップ 3 [Web Reputation and Anti-Malware Settings] セクションで、ドロップダウン メニューから [Define Web Reputation and Anti-Malware Custom Settings] を選択します（まだ選択されていない場合）。

これにより、このアクセス ポリシーに対して、グローバル ポリシーとは異なる Web レピュテーション設定およびアンチマルウェア設定を指定できます。

ステップ 4 [Cisco IronPort DVS Anti-Malware Settings] セクションで、ポリシーのアンチマルウェア設定を必要に応じて指定します。

図 5-12 アクセス ポリシーのアンチマルウェア設定

ステップ 5 ポリシーのアンチマルウェア設定を必要に応じて指定します。

アクセス ポリシーに対するアンチマルウェア設定 に、アクセス ポリシーに対して指定できるアンチマルウェア設定を示します。

ステップ 6 [Submit] をクリックしてページ上の変更を送信し、[Commit Changes] をクリックしてアプライアンスへの変更を確定します。

アンチマルウェアの詳細および Web セキュリティ アプライアンスでこの機能を設定する方法については、 『 Cisco IronPort AsyncOS for Web User Guide 』 の「Configuring Anti-Malware Scanning」を参照してください。

[Client Details] ページ

[Web Proxy: Clients by Malware Risk] セクションで個々のクライアントのハイパーテキスト リンクをクリックすると、特定のユーザのページが表示され、指定した時間範囲における特定のクライアントの Web アクティビティおよびマルウェア リスクのデータがすべて示されます。

[Client Details] ページにアクセスするには、次の手順を実行します。

ステップ 1 Security Management アプライアンスのウィンドウで、[Web] > [Reporting] > [Client Malware Risk] を選択します。

[Client Malware Risk] ページが表示されます。

ステップ 2 [User/IP address] カラム内のリンクをクリックします。

[Client Details] ページが表示されます。

図 5-14 [Client Details] ページ

[Client Details] ページには次の情報が表示されます。

他の Web レポーティング ページと同様に、[Client Details] ページのすべてのテーブルでは、インタラクティブ リンクを通じて他の詳細情報を表示でき、ページのデータをユーザのニーズに合わせて表示できるように、対話型カラム見出しを設定して各カラムのデータをソートすることができます。カラムの設定の詳細については、「Web セキュリティ アプライアンス用のインタラクティブ レポート ページ」を参照してください。

（注） クライアント レポートで、ユーザ名の末尾にアスタリスク（*）が表示されることがあります。たとえば、クライアント レポートに「jsmith」と「jsmith*」のエントリが表示される場合があります。アスタリスク（*）が付いているユーザ名は、ユーザの指定したユーザ名が認証サーバで確認されていないことを示しています。この状況は、認証サーバがその時点で使用できず、かつ認証サービスを使用できないときもトラフィックを許可するようにアプライアンスが設定されている場合に発生します。

Web レピュテーション フィルタとは

Web レピュテーション フィルタは、Web サーバの動作を分析し、URL ベースのマルウェアが含まれている可能性を判断するためのレピュテーション スコアを URL に割り当てます。この機能は、エンドユーザのプライバシーや企業の機密情報を危険にさらす URL ベースのマルウェアを防ぐために役立ちます。Web セキュリティ アプライアンスは、URL レピュテーション スコアを使用して、疑わしいアクティビティを特定するとともに、マルウェア攻撃を未然に防ぎます。Web レピュテーション フィルタは、アクセス ポリシーと復号化ポリシーの両方と組み合わせて使用できます。

Web レピュテーション フィルタでは、統計的に有意なデータを使用してインターネット ドメインの信頼性が評価され、URL のレピュテーションにスコアが付けられます。特定のドメインが登録されていた期間、Web サイトがホストされている場所、Web サーバがダイナミック IP アドレスを使用しているかどうかなどのデータを使用して、特定の URL の信頼性が判定されます。

Web レピュテーションの計算では、URL をネットワーク パラメータに関連付けて、マルウェアが存在する可能性が判定されます。マルウェアが存在する可能性の累計が、-10 ～ +10 の Web レピュテーション スコアにマッピングされます（+10 がマルウェアを含む可能性が最も低い）。

パラメータには、たとえば次のものがあります。

• URL 分類データ

• ダウンロード可能なコードの存在

• 長く不明瞭なエンドユーザ ライセンス契約書（EULA）の存在

• グローバルなボリュームとボリュームの変更

• ネットワーク オーナー情報

• URL の履歴

• URL の経過時間

• ブロック リストに存在

• 許可リストに存在

• 人気のあるドメインの URL タイプミス

• ドメインのレジストラ情報

• IP アドレス情報

Web レピュテーション フィルタリングの詳細については、 『 Cisco IronPort AsyncOS for Web User Guide 』 の「Web Reputation Filters」を参照してください。

[Web Reputation Filters] ページにアクセスするには、次の手順を実行します。

ステップ 1 Security Management アプライアンスのウィンドウで、[Web] > [Reporting] > [Web Reputation Filters] を選択します。

[Web Reputation Filters] ページが表示されます。

図 5-15 [Web Reputation Filters] ページ

[Web Reputation Filters] ページには次の情報が表示されます。

上記の最初の 4 つのセクションには、印刷可能なファイルにデータをエクスポートするための [Export] ハイパーテキスト リンクが表示されています。印刷可能なファイルについては、「レポート ページからのレポートの印刷」を参照してください。

[Web Reputation Actions] テーブルには、設定可能なインタラクティブ カラムがあります。インタラクティブ カラムの設定の詳細については、「レポート ページのカラムの設定」および「中央集中型 Web レポーティング ページのインタラクティブ カラム」を参照してください。

Web レピュテーション スコアの設定

Security Management アプライアンスおよび Web セキュリティ アプライアンスをインストールしてセットアップすると、Web セキュリティ アプライアンスで Web レピュテーション スコアのデフォルトの設定が指定されます。ただし、Web レピュテーションのスコアを付けるためのこれらのしきい値の設定は、必要に応じて変更できます。

アクセス ポリシーおよび復号化ポリシーのグループに対して、Web レピュテーション フィルタの設定を指定する必要があります。

アクセス ポリシーに対する Web レピュテーション フィルタの設定

アクセス ポリシー グループに対する Web レピュテーション フィルタの設定を編集するには、次の手順を実行します。

ステップ 1 Security Management アプライアンスのウィンドウで、[Configuration Master 7.1] > [Access Policies] を選択します。

ステップ 2 [Web Reputation and Anti-Malware Filtering] カラムで、編集するアクセス ポリシー グループのリンクをクリックします。

ステップ 3 [Web Reputation and Anti-Malware Settings] セクションで、[Enable Web Reputation Filters] チェックボックスをオンにします（オフになっている場合）。

[Web Reputation Score] ボックスが表示されます。

図 5-16 アクセス ポリシーに対する Web レピュテーション フィルタの設定

これにより、グローバル ポリシー グループの Web レピュテーションおよびアンチマルウェアの設定をオーバーライドできます。

ステップ 4 [Enable Web Reputation Filtering] チェックボックスがオンになっていることを確認します。

ステップ 5 マーカーを動かして、URL のブロック、スキャン、許可の各アクションの範囲を変更します。

ステップ 6 [Submit] をクリックしてページ上の変更を送信し、[Commit Changes] をクリックしてアプライアンスへの変更を確定します。

この時点で、復号化ポリシーに対して Web レピュテーションを設定する必要があります。復号化ポリシーに対する Web レピュテーション フィルタ設定の編集または指定については、 『 Cisco IronPort AsyncOS for Web User Guide 』 の「Web Reputation Filters」を参照してください。

L4 トラフィック モニタの設定

L4 トラフィック モニタは、Security Management アプライアンスのシステム セットアップ ウィザード（[Management Appliance] > [System Administration] > [System Setup Wizard] を選択）を使用した初期システム セットアップの中で、イネーブルにすることができます。

デフォルトでは、L4 トラフィック モニタがイネーブルになり、すべてのポートでトラフィックをモニタするように設定されます。これには、DNS やその他のサービスが含まれます。

正しいクライアント IP アドレスをモニタするには、ネットワーク アドレス変換（NAT）が行われる前にファイアウォール内で必ず L4 トラフィック モニタを設定する必要があります。

L4 トラフィック モニタの設定の詳細については、 『 Cisco IronPort AsyncOS for Web User Guide 』 を参照してください。システム セットアップ ウィザードの詳細については、「システム セットアップ ウィザードについて」を参照してください。

（注） [L4 Traffic Monitor] ページの情報に関して、スケジュール設定されたレポートを生成することができます。レポートのスケジュール設定については、「レポートのスケジューリング」を参照してください。

Web トラッキングの設定

Web トラッキング結果は、次の 2 つのビューで表示できます。

• デフォルトの Web トラッキング結果

• 詳細な Web トラッキング結果

デフォルトの Web トラッキング結果

デフォルトの Web トラッキング ビューでは、Web トラッキングの結果を、ユーザ名または IP アドレス、トランザクション タイプなどの基本的な基準でフィルタリングできます。

デフォルトの Web トラッキングの結果を収集するには、次の手順を実行します。

ステップ 1 Security Management アプライアンスで、[Web] > [Reporting] > [Web Tracking] を選択します。

[Web Tracking] ページが表示されます。

ステップ 2 [Time Range] ドロップダウン リストで、トラッキングする時間範囲を選択します。

時間範囲および Security Management アプライアンスでの時間範囲の機能については、「インタラクティブ レポートの時間範囲の選択」を参照してください。

ステップ 3 [User/Client IP] にユーザまたはクライアント IP アドレスを入力し [Website] フィールドに入力します。

これらの Web サイトおよびユーザまたはクライアント IP アドレスに関して、情報がトラッキングされます。

ステップ 4 [Transaction Type] ドロップダウン リストで、トラッキングするトランザクションのタイプを選択します。

選択肢は、[All Transactions]、[Completed]、[Blocked]、[Monitored]、[Warned] です。

ステップ 5 [Search] をクリックします。

デフォルト ビューの結果は、カラムで設定できません。結果はタイム スタンプでソートされ、最新の結果が最上部に表示されます。デフォルト ビューの結果は、次のページのようになります。

図 5-20 デフォルトの Web トラッキング ビューの [Results] ページ

[Results] ウィンドウには次の情報が表示されます。

• URL がアクセスされた時刻

• トランザクション Web サイト

[Transaction] カラムで [Display Details] をクリックすると、トランザクションに関する詳細情報が表示されます。

• Disposition

[Disposition] カラムには、トランザクションがブロックされた理由、つまりポリシーによってブロックされたのか、WBRS スコアによってブロックされたのかなどが表示されます。

• Bandwidth

• User ID/Client IP

詳細な Web トラッキング結果

詳細な Web トラッキング ビューでは、より詳細な基準を使用して Web トラッキングの結果をフィルタリングできます。たとえば、WBRS レピュテーション スコア、URL カテゴリ、Web レピュテーションの脅威などによってフィルタリングできます。

詳細な Web トラッキングの結果を収集するには、次の手順を実行します。

ステップ 1 Security Management アプライアンスのウィンドウで、[Web] > [Reporting] > [Web Tracking] を選択します。

[Web Tracking] ページが表示されます。

ステップ 2 [Time Range] ドロップダウン リストで、トラッキングする時間範囲を選択します。

時間範囲および Security Management アプライアンスでの時間範囲の機能については、「インタラクティブ レポートの時間範囲の選択」を参照してください。

ステップ 3 [User/Client IP] にユーザまたはクライアント IP アドレスを入力し [Website] フィールドに入力します。

これらの Web サイトおよびユーザまたはクライアント IP アドレスに関して、情報がトラッキングされます。

ステップ 4 [Transaction Type] ドロップダウン リストで、トラッキングするトランザクションのタイプを選択します。

選択肢は、[All]、[Completed]、[Blocked]、[Monitored]、[Warned] です。

ステップ 5 [Advanced] の矢印をクリックしてページを展開し、詳細な基準を表示します。

ステップ 6 [Filter by URL Category] の横のオプション ボタンをクリックして、URL カテゴリをディセーブルまたはイネーブルにします。

URL カテゴリによるフィルタリングをイネーブルにすると、[Filter By URL Category] ドロップダウン リストの選択肢を選択して、イネーブルにするカテゴリを選択できます。

ステップ 7 特定のポリシーでフィルタリングするには、[Filter by Policy] の横のオプション ボタンをクリックし、テキスト フィールドにポリシー名を入力します。

このポリシーが Web セキュリティ アプライアンスで宣言済みであることを確認してください。

ステップ 8 特定のマルウェアの脅威でフィルタリングするには、[Filter by Malware Threat] の横のオプション ボタンをクリックし、テキスト フィールドに脅威の名前を入力します。

ステップ 9 WBRS のスコア範囲を指定するには、[Score Range] の横のオプション ボタンをクリックします。

このフィルタをディセーブルにするには、[WBRS] セクションの [Disable Filter] オプション ボタンをクリックします。WBRS スコア範囲情報の詳細については、 『 Cisco IronPort AsyncOS for Web User Guide 』 を参照してください。

ステップ 10 レピュテーションの脅威で Web トラッキングをフィルタリングするには、[WBRS] セクションで [Filter by Reputation Threat] オプション ボタンをクリックします。このフィルタをディセーブルにするには、このセクションの [Disable Filter] オプション ボタンをクリックします。

ステップ 11 特定のモバイル ユーザ セキュリティでフィルタリングするには、[Filter by User Location] の横のオプション ボタンをクリックし、テキスト フィールドに位置を入力します。このフィルタをディセーブルにするには、このセクションの [Disable Filter] オプション ボタンをクリックします。

ステップ 12 特定の Web アプライアンスでフィルタリングするには、[Filter by Web Appliance] の横のオプション ボタンをクリックし、テキスト フィールドに Web アプライアンス名を入力します。このフィルタをディセーブルにするには、このセクションの [Disable Filter] オプション ボタンをクリックします。

ステップ 13 特定のユーザ要求でフィルタリングするには、[Filter by User-Requested Transaction] の横のオプション ボタンをクリックし、テキスト フィールドに Web アプライアンス名を入力します。このフィルタをディセーブルにするには、このセクションの [Disable Filter] オプション ボタンをクリックします。

ステップ 14 ページ ビューの結果をイネーブルにするには、[Enable Page] ビューの結果の横にあるチェックボックスをオンにします。

ステップ 15 [Search] をクリックします。

Web トラッキングの検索結果が表示されます。

ステップ 16 [Transaction] カラムで [Display Details] をクリックすると、トランザクションに関する詳細情報が表示されます。

Web トラッキングの使用例については、「例 1：ユーザの調査」を参照してください。

[System Capacity] ページに表示されるデータの解釈方法

[System Capacity] ページにデータを表示する時間範囲を選択する場合、次のことに留意することが重要です。

• Day レポート：Day レポートでは、時間テーブルを照会し、24 時間の間に 1 時間ごとにアプライアンスが受信したクエリーの正確な数を表示します。この情報は時間テーブルから収集されます。

• Month レポート：Month レポートでは、30 日間または 31 日間（その月の日数に応じる）の日テーブルを照会し、30 日間または 31 日間の正確なクエリー数を表示します。これも正確な数値です。

[System Capacity] ページの [Maximum] 値インジケータは、指定された期間の最大値を示します。[Average] 値は指定された期間のすべての値の平均です。集計期間は、レポートに対して選択された間隔に応じて異なります。たとえば、月単位のチャートの場合は、日付ごとの [Average] 値と [Maximum] 値を表示することができます。

（注） 他のレポートで時間範囲に [Year] を選択した場合は、最も大きな時間範囲である 90 日を選択することを推奨します。

[System Capacity] ページにアクセスするには、次の手順を実行します。

ステップ 1 Security Management アプライアンスのウィンドウで、[Web] > [Reporting] > [System Capacity] を選択します。

[System Capacity] ページが表示されます。

図 5-21 [System Capacity] ページ

ステップ 2 [Overview of Averaged Usage and Performance] インタラクティブ テーブルの Web Security Appliance カラムで特定のアプライアンスをクリックし、そのアプライアンスのシステム キャパシティを表示します。

このユーザに関する [System Capacity] グラフが表示されます。[System Capacity] ページでは、次の 2 種類の情報を表示できます。

• [System Capacity]：[System Load]

• [System Capacity]：[Network Load]

[System Capacity]：[System Load]

[System Capacity] ウィンドウの最初の 4 つのグラフは、システム負荷に関するレポートです。これらのレポートには、アプライアンスでの全体的な CPU 使用状況が示されます。AsyncOS は、アイドル状態の CPU リソースを使用してトランザクション スループットを向上させるように最適化されています。CPU 使用率が高くても、必ずしもシステム キャパシティの問題を示すわけではありません。CPU 使用率が高く、かつ高ボリュームのメモリ ページ スワッピングが発生する場合、キャパシティの問題の可能性があります。このページには、Web セキュリティ アプライアンスのレポーティングの処理などのさまざまな機能で使用される CPU 量を示すグラフも示されます。機能別 CPU のグラフは、システム上で最も多くのリソース使用する製品の領域を示す指標です。アプライアンスの最適化が必要な場合、このグラフは、調整やディセーブル化の必要な機能を判断するのに役立ちます。

また、応答時間/遅延のグラフと 1 秒あたりのトランザクションのグラフには、全体的な応答時間（ミリ秒単位）、および [Time Range] ドロップダウン メニューで指定した日付範囲での 1 秒あたりのトランザクション数が示されます。

図 5-22 [System Capacity]：[System Load]

[System Capacity]：[Network Load]

[System Capacity] ウィンドウの次のグラフには、発信接続、出力用帯域幅、プロキシ バッファ メモリの統計情報が示されます。日、週、月、または年の結果を表示することもできます。ご自身の環境における通常量とスパイクのトレンドを理解しておくことが重要です。

図 5-23 [System Capacity]：[Network Load]

プロキシ バッファ メモリ スワッピングに関する注意事項

システムは、定期的にプロキシ バッファ メモリをスワップするように設計されているので、一部のプロキシ バッファ メモリ スワッピングは起こり得るものであり、アプライアンスの問題を示すものではありません。システムが 常に 高ボリュームのプロキシ バッファ メモリをスワップする場合以外は、プロキシ バッファ メモリ スワッピングは正常であり、起こり得る挙動です。システムが極端に大量の処理を行い、大量であるためにプロキシ バッファ メモリを絶えずスワップする場合は、ネットワークに Cisco IronPort アプライアンスを追加するか、またはスループットが最大になるように設定を調整して、パフォーマンスの向上を図る必要があります。

[System Capacity] のカラム設定は、[System Capacity] ページの [Overview of Averaged Usage and Performance] セクションで指定できます。インタラクティブ カラムの設定の詳細については、「レポート ページのカラムの設定」および「中央集中型 Web レポーティング ページのインタラクティブ カラム」を参照してください。

スケジュール設定されたレポートの管理

ここでは、次の内容について説明します。

• 「スケジュール設定されたレポートの追加」

• 「スケジュール設定されたレポートの編集」

• 「スケジュール設定されたレポートの削除」

• 「追加の拡張レポート」

（注） スケジュール設定されたレポートでは、すべてのユーザ情報を認識できないようにすることができます。レポートでユーザ名が認識できない状態でレポートを生成するには、[Anonymize usernames in reports] チェックボックスをオンにします。デフォルト設定では、すべてのレポートにすべてのユーザ名が表示されます。

Security Management アプライアンスは、生成した最新のレポートを保持します（すべてのレポートに対して、最大で 1000 バージョン）。必要に応じた数（ゼロも含む）のレポート受信者を定義できます。電子メール受信者を指定しない場合でも、レポートはアーカイブされます。レポートを多数のアドレスに送信する必要がある場合、個別に受信者を設定するよりも、メーリング リストを作成するほうが容易です。

デフォルトでは、スケジュール設定された各レポートのうち、直近の 12 のレポートがアーカイブされます。レポートは、アプライアンスの /periodic_reports ディレクトリに保管されます。（詳細については、 付録 A「アプライアンスへのアクセス」 を参照してください）。

スケジュール設定されたレポートの追加

スケジュール設定された Web レポートを追加するには、次の手順を実行します。

ステップ 1 Security Management アプライアンスのウィンドウで、[Web] > [Reporting] > [Scheduled Reports] を選択します。

ステップ 2 [Add Scheduled Report] をクリックします。

[Add Scheduled Report] ページが表示されます。

図 5-25 [Add Scheduled Reports] ページ

ステップ 3 [Type] の横のドロップダウン メニューから、レポート タイプを選択します。

ステップ 4 [Title] フィールドに、レポートのタイトルを入力します。

同じ名前の複数のレポートを作成することを防止するため、わかりやすいタイトルを使用することを推奨します。

ステップ 5 [Time Range] ドロップダウン メニューから、レポートの時間範囲を選択します。

ステップ 6 生成されるレポートの形式を選択します。

デフォルト形式は PDF です。大部分のレポートでは、CSV のスケジューリングを行うことができます。

ステップ 7 [Number of Items] の横のドロップダウン リストから、生成されるレポートに出力する項目の数を選択します。

有効な値は 2 ～ 20 です。デフォルト値は 5 です。

ステップ 8 [Sort Column] の横のドロップダウン リストから、このレポートでデータをソートするためのカラムを選択します。これにより、スケジュール設定されたレポート内の任意のカラムを基準とする上位「N」個の項目のレポートを作成できます。

ステップ 9 [Schedule] 領域で、レポートのスケジュールを設定する日、週、または月の横にあるオプション ボタンを選択します。

ステップ 10 [Email] テキスト フィールドに、生成されたレポートが送信される電子メール アドレスを入力します。

電子メール アドレスを指定しなかった場合は、レポートのアーカイブのみが行われます。

ステップ 11 [Submit] をクリックします。

スケジュール設定されたレポートの編集

レポートを編集するには、[Web] > [Reporting] > [Scheduled Reports] ページに移動し、編集するレポートに対応するチェックボックスをオンにします。設定を変更し、[Submit] をクリックしてページでの変更を送信し、[Commit Changes] ボタンをクリックしてアプライアンスへの変更を確定します。

スケジュール設定されたレポートの削除

レポートを削除するには、[Web] > [Reporting] > [Scheduled Reports] ページに移動し、削除するレポートに対応するチェックボックスをオンにします。スケジュール設定されたレポートをすべて削除する場合は、[All] チェックボックスを選択し、 削除 を実行して変更を 確定 します。削除されたレポートのアーカイブ版は削除されません。

追加の拡張レポート

Security Management アプライアンスの [Web] > [Reporting] セクションでは、追加で 2 種類の拡張レポートを生成できます。次のものがあります。

• Top URL Categories -- Extended

• Top Application Types -- Extended

Top URL Categories -- Extended

[Top URL Categories -- Extended] レポートは、管理者が [URL Categories] レポートよりも詳細な情報を必要とする場合に役立ちます。

たとえば、通常の [URL Categories] レポートでは、大きい URL カテゴリ レベルで特定の従業員の帯域幅使用状況を評価する情報を収集できます。しかし、ネットワーク管理者は、各 URL カテゴリの上位 10 個の URL、または各 URL カテゴリの上位 5 人のユーザの帯域幅使用状況をモニタする、詳細なレポートを必要としているとします。この場合管理者は、[Top URL Categories -- Extend] レポートを使用します。

（注） このタイプのレポートで生成できる最大レポート数は 20 です。

[Top URL Categories -- Extended] レポートを生成するには、次の手順を実行します。

ステップ 1 Security Management アプライアンスのウィンドウで、[Web] > [Reporting] > [Scheduled Reports] を選択します。

ステップ 2 [Add Scheduled Report] をクリックします。

[Add Scheduled Report] ウィンドウが表示されます。

ステップ 3 [Type] の横のドロップダウン メニューから、[Top URL categories -- Extended] を選択します。

ステップ 4 [Title] テキスト フィールドに、URL 拡張レポートのタイトルを入力します。

ステップ 5 [Time Range] ドロップダウン メニューから、レポートの時間範囲を選択します。

ステップ 6 生成されるレポートの形式を選択します。

デフォルト形式は PDF です。

ステップ 7 [Number of Items] の横のドロップダウン リストから、生成されるレポートに出力する URL カテゴリの数を選択します。

有効な値は 2 ～ 20 です。デフォルト値は 5 です。

ステップ 8 [Sort Column] の横のドロップダウン リストから、このレポートでデータをソートするためのカラムを選択します。これにより、スケジュール設定されたレポート内の任意のカラムを基準とする上位「N」個の項目のレポートを作成できます。

ステップ 9 [Schedule] 領域で、レポートのスケジュールを設定する日、週、または月の横にあるオプション ボタンを選択します。

ステップ 10 [Email] テキスト フィールドに、生成されたレポートが送信される電子メール アドレスを入力します。

ステップ 11 [Submit] をクリックします。

Top Application Types -- Extended

[Top Application Type -- Extended] レポートを生成するには、次の手順を実行します。

ステップ 1 Security Management アプライアンスのウィンドウで、[Web] > [Reporting] > [Scheduled Reports] を選択します。

ステップ 2 [Add Scheduled Report] をクリックします。

[Add Scheduled Report] ウィンドウが表示されます。

ステップ 3 [Type] の横のドロップダウン メニューから、[Top Application Types -- Extended] を選択します。

ステップ 4 [Title] テキスト フィールドにレポートのタイトルを入力します。

ステップ 5 [Time Range] ドロップダウン メニューから、レポートの時間範囲を選択します。

ステップ 6 生成されるレポートの形式を選択します。

デフォルト形式は PDF です。

ステップ 7 [Number of Items] の横のドロップダウン リストから、生成されるレポートに出力する URL カテゴリの数を選択します。

有効な値は 2 ～ 20 です。デフォルト値は 5 です。

ステップ 8 [Sort Column] の横のドロップダウン リストから、テーブルに表示するカラムのタイプを選択します。選択肢は、[Transactions Completed]、[Transactions Blocked]、[Transaction Totals] です。

ステップ 9 [Schedule] 領域で、レポートのスケジュールを設定する日、週、または月の横にあるオプション ボタンを選択します。

ステップ 10 [Email] テキスト フィールドに、生成されたレポートが送信される電子メール アドレスを入力します。

ステップ 11 [Submit] をクリックします。

[Generate Report Now] オプション

[Web] > [Archived Reports] ページの [Generate Report Now] オプションを使用すると、各レポート タイプのオンデマンド データ表示を生成できます。この機能を使用してレポートを生成するには、次の手順を実行します。

ステップ 1 Security Management アプライアンスのウィンドウで、[Web] > [Reporting] > [Archived Reports] を選択します。

[Archived Reports] ページが表示されます。

ステップ 2 [Generate Report Now] をクリックします。

図 5-26 オンデマンド レポートの生成

ステップ 3 [Report type] セクションで、ドロップダウン リストからレポート タイプを選択します。

ステップ 4 [Title] テキスト フィールドに、レポートのタイトル名を入力します。

AsyncOS では、レポート名が一意かどうかは確認されません。混乱を避けるために、同じ名前で複数のレポートを作成しないでください。

ステップ 5 [Time Range to Include] ドロップダウン リストから、レポート データの時間範囲を選択します。

ステップ 6 [Format] セクションで、レポートの形式を選択します。

選択肢は次のとおりです。

– [PDF]。配信用、アーカイブ用、またはその両方の用途で PDF 形式のドキュメントを作成します。[Preview PDF Report] をクリックすると、ただちに PDF ファイルでレポートを表示できます。

– [CSV]。カンマ区切りの表データを含む ASCII テキスト ファイルを作成します。各 CSV ファイルには、最大 100 行を含めることができます。レポートに複数の種類の表が含まれる場合、各表に対して別個の CSV ファイルが作成されます。

ステップ 7 [Delivery Option] セクションから、次のオプションを選択します。

• [Archive Report] チェックボックスをオンにして、レポートをアーカイブします。

このオプションを選択すると、レポートが [Archived Reports] ページに表示されます。

（注） [Domain-Based Executive Summary] レポートはアーカイブできません。

• レポートを電子メールで送信する場合は、[Email now to recipients] チェックボックスをオンにします。

• テキスト フィールドに、レポートの受信者の電子メールアドレスを入力します。

ステップ 8 [Deliver This Report] をクリックして、レポートを生成します。