Firepower Management Center バージョン 6.5 コンフィギュレーションガイド

概要：アプリケーション検出

Firepower システムは IP トラフィックを分析するときに、ネットワーク上でよく使用されているアプリケーションを特定しようとします。アプリケーション認識は、アプリケーションを制御するために不可欠です。

システムによって検出されるアプリケーションには以下の 3 種類があります。

HTTP や SSH などのホスト間の通信を表すアプリケーションプロトコル
Web ブラウザや電子メールクライアントなどのホスト上で動作しているソフトウェアを表すクライアント
HTTP トラフィックの内容または要求された URL を表す MPEG ビデオや Facebook などの Web アプリケーション

システムは、ディテクタに指定されている特性に従って、ネットワークトラフィック内のアプリケーションを識別します。たとえば、システムはパケットヘッダーに含まれる ASCII パターンによってアプリケーションを確認できます。加えて、Secure Socket Layer（SSL）プロトコルディテクタは、セキュアなセッションからの情報を使用して、セッションからアプリケーションを識別します。

Firepower システムのアプリケーションディテクタには以下の 2 つのソースがあります。

システム提供ディテクタ。Web アプリケーション、クライアント、およびアプリケーションプロトコルを検出します。

アプリケーション（およびオペレーティングシステム）に対して使用できるシステム提供ディテクタは、インストールされている Firepower システムのバージョンと VDB のバージョンによって異なります。リリースノートとアドバイザリに、新しいディテクタと更新されたディテクタに関する情報が記載されています。また、プロフェッショナルサービスが作成した個別のディテクタをインポートすることもできます。
カスタムアプリケーションプロトコルディテクタ。Web アプリケーション、クライアント、アプリケーションプロトコルを検出するためにユーザーが作成するディテクタです。

また、暗黙的アプリケーションプロトコル検出を通してアプリケーションプロトコルを検出することもできます。これは、クライアントの検出に基づいてアプリケーションプロトコルの存在を推測するものです。

ネットワーク検出ポリシーで定義されているように、システムはモニタ対象ネットワーク内のホスト上で動作しているアプリケーションプロトコルだけを識別します。たとえば、モニタされていないリモートサイト上の FTP サーバに内部ホストがアクセスする場合、システムはアプリケーションプロトコルを FTP として識別しません。一方、モニタされているホスト上の FTP サーバにリモートまたは内部ホストがアクセスする場合、システムはアプリケーションプロトコルを肯定的に識別できます。

モニタ対象ホストが非モニタ対象サーバに接続するために使用するクライアントをシステムで識別できる場合、システムはクライアントの対応するアプリケーションプロトコルを識別することができますが、そのプロトコルをネットワークマップに追加することはしません。アプリケーション検出が発生するためには、クライアントセッションにサーバからの応答が含まれている必要があることに注意してください。

システムは、検出した各アプリケーションの特徴を把握します（アプリケーションの特性を参照）。システムはこれらの特徴を使用して、アプリケーションフィルタと呼ばれるアプリケーションのグループを作成します。アプリケーションフィルタは、アクセス制御するため、およびレポートとダッシュボードウィジェットで使用する検索結果とデータを制限するために使用されます。

また、エクスポートした NetFlow レコード、Nmap のアクティブスキャン、ホスト入力機能を使用してアプリケーションディテクタデータを補完することもできます。

アプリケーションディテクタの基本

Firepower システムは、アプリケーションディテクタを使用して、ネットワーク上で一般的に使用されるアプリケーションを識別します。[ディテクタ（Detectors）] ページ（[ポリシー（Policies）] > [アプリケーションディテクタ（Application Detectors）]）を使用してディテクタリストを表示し、検出機能をカスタマイズします。

ディテクタまたはその状態（アクティブ/非アクティブ）を変更できるかどうかは、そのタイプによって異なります。システムは、アクティブなディテクタのみを使用して、アプリケーショントラフィックを分析します。

（注）

シスコが提供するディテクタは、Firepower システムおよび VDB のアップデートによって変更される可能性があります。更新されたディテクタに関する情報については、リリースノートおよびアドバイザリを参照してください。

シスコが提供する内部ディテクタ

内部ディテクタは、クライアント、Web アプリケーション、およびアプリケーションプロトコルのトラフィック用の特別なディテクタカテゴリです。内部ディテクタはシステムアップデートによって配信され、常にオンになっています。

アプリケーションがクライアント関連のアクティビティを検出するように設計された内部ディテクタと照合する場合で、特定のクライアントディテクタがない場合は、汎用クライアントが報告される場合があります。

シスコが提供するクライアントディテクタ

クライアントディテクタは、クライアントトラフィックを検出し、VDB またはシステムアップデートを介して配信されるか、または Cisco Professional サービスによってインポート用に提供されます。クライアントディテクタを有効または無効にすることができます。インポートしたクライアントディテクタのみエクスポートできます。

シスコが提供する Web アプリケーションディテクタ

Web アプリケーションディテクタは、HTTP トラフィックペイロード内の Web アプリケーションを検出し、VDB またはシステムアップデートを介して配信されます。Web アプリケーションディテクタは常にオンになっています。

シスコが提供するアプリケーションプロトコル（ポート）ディテクタ

ポートベースのアプリケーションプロトコルディテクタは、ウェルノウンポートを使用してネットワークトラフィックを識別します。これらは VDB またはシステムアップデートを介して配信されるか、または Cisco Professional サービスによってインポート用に提供されます。アプリケーションプロトコルディテクタを有効または無効にしたり、カスタムディテクタの基礎として使用するためにディテクタ定義を表示することができます。

シスコが提供するアプリケーションプロトコル（Firepower）ディテクタ

Firepower ベースのアプリケーションプロトコルディテクタは、Firepower アプリケーションフィンガープリントを使用してネットワークトラフィックを分析し、VDB またはシステムアップデートを介して配信されます。アプリケーションプロトコルディテクタを有効または無効にすることができます。

カスタムアプリケーションディテクタ

カスタムアプリケーションディテクタはパターンベースです。クライアント、Web アプリケーション、またはアプリケーションプロトコルのトラフィックからのパケット内のパターンを検出します。インポートされたカスタムディテクタを完全に制御できます。

Web インターフェイスでのアプリケーションプロトコルの識別

次の表に、Firepower システムが検出されたアプリケーションプロトコルを識別する方法について概略を示します。

表 1. Firepower システムのアプリケーションプロトコルの識別
ID	説明
アプリケーションプロトコル名	Firepower Management Center は、次のアプリケーションプロトコルの場合に、名前でアプリケーションプロトコルを識別します。システムによって肯定的に識別された NetFlow データを使用して識別され、`/etc/sf/services` にポートとアプリケーションプロトコルの関連付けが存在するホスト入力機能を使用して手動で識別された Nmap または別のアクティブな発生源によって識別された
`pending`	Firepower Management Center は、システムが肯定的と否定的のどちらでもアプリケーションを識別できない場合に、アプリケーションプロトコルを `pending` として識別します。多くの場合、システムが保留中のアプリケーションを識別するには、より多くの接続データを収集して分析する必要があります。 [アプリケーションの詳細（Application Details）] および [サーバ（Servers）] テーブルやホストプロファイルで `pending` ステータスが表示されるのは、特定のアプリケーションプロトコルトラフィック（検出されたクライアントまたは Web アプリケーショントラフィックから推論されたトラフィック以外）が検出されたアプリケーションプロトコルだけです。
`unknown`	Firepower Management Center は、以下の場合にアプリケーションプロトコルを `unknown` として識別します。アプリケーションがシステムのディテクタのどれとも一致しないアプリケーションプロトコルが NetFlow データを使用して識別されたものの、`/etc/sf/services` にポートとアプリケーションプロトコルの関連付けが存在しない
空白	使用可能なすべての検出データが検証されましたが、アプリケーションプロトコルが識別されませんでした。[アプリケーションの詳細（Application Details）] および [サーバー（Servers）] テーブルとホストプロファイルでは、アプリケーションプロトコルが検出されなかった非 HTTP 汎用クライアントトラフィックに対して、アプリケーションプロトコルが空白として表示されます。

クライアント検出からの暗黙的アプリケーションプロトコル検出

非監視対象サーバにアクセスするために監視対象ホストが使用しているクライアントをシステムが識別できる場合、Firepower Management Center はその接続でクライアントに対応するアプリケーションプロトコルが使用されていると推測します（システムは監視対象ネットワーク上のアプリケーションだけを追跡するため、通常、接続ログには監視対象ホストが非監視対象サーバにアクセスしている接続に関するアプリケーションプロトコル情報が含まれていません）。

暗黙的アプリケーションプロトコル検出と呼ばれるこのプロセスの結果は次のようになります。

システムはこれらのサーバの New TCP Port イベントまたは New UDP Port イベントを生成しないため、サーバが [サーバ（Servers）] テーブルに表示されません。加えて、これらのアプリケーションプロトコルの検出を基準にして、検出イベントアラートまたは相関ルールをトリガーすることはできません。
アプリケーションプロトコルはホストに関連付けられないため、ホストプロファイルの詳細を表示したり、サーバ ID を設定したり、トラフィックプロファイルまたは相関ルールに関するホストプロファイル資格内の情報を使用したりできません。加えて、システムはこの種の検出に基づいて脆弱性とホストを関連付けません。

ただし、アプリケーションプロトコル情報が接続内に存在するかどうかに対する相関イベントをトリガーできます。また、接続ログ内のアプリケーションプロトコル情報を使用して、接続トラッカーとトラフィックプロファイルを作成できます。

ホスト制限と検出イベントロギング

システムがクライアント、サーバ、または Web アプリケーションを検出すると、関連するホストがすでにクライアント、サーバ、または Web アプリケーションの最大数に達していなければ、検出イベントが生成されます。

ホストプロファイルには、ホストごとに最大 16 のクライアント、100 のサーバ、および 100 の Web アプリケーションが表示されます。

クライアント、サーバ、または Web アプリケーションの検出によって異なるアクションはこの制限の影響を受けないことに注意してください。たとえば、サーバー上でトリガーするように設定されたアクセスコントロールルールでは、引き続き、接続イベントが記録されます。

アプリケーション検出に関する特別な考慮事項

SFTP

SFTP トラフィックを検出するためには、同じルールが SSH も検出する必要があります。

Squid

システムは、次のいずれかの場合に Squid サーバトラフィックを肯定的に識別します。

モニタ対象ネットワーク上のホストからプロキシ認証が有効になっている Squid サーバへの接続をシステムが検出した場合
モニタ対象ネットワーク上の Squid プロキシサーバからターゲットシステム（つまり、クライアントが情報または別のリソースを要求する宛先サーバ）への接続をシステムが検出した場合

ただし、システムは次の場合に Squid サービストラフィックを識別できません。

監視対象ネットワーク上のホストが、プロキシ認証が無効になっている Squid サーバに接続している場合
Squid プロキシサーバが HTTP 応答から Via: ヘッダーフィールドを除去するように設定されている場合

SSL アプリケーション検出

システムは、Secure Socket Layer（SSL）セッションからのセッション情報を使用してセッション内のアプリケーションプロトコル、クライアントアプリケーション、または Web アプリケーションを識別するアプリケーションディテクタを備えています。

システムは暗号化された接続を検出すると、その接続を汎用 HTTPS 接続として、または、該当する場合には SMTPS などのより特殊なセキュアプロトコルとしてマークします。システムは SSL セッションを検出すると、そのセッションに対する接続イベント内の Client フィールドに SSL client を追加します。セッションの Web アプリケーションが識別されると、システムでトラフィックの検出イベントが生成されます。

SSL アプリケーショントラフィックの場合は、管理対象デバイスも、サーバ証明書から一般名を検出して SSL ホストパターンからのクライアントまたは Web アプリケーションと照合できます。システムが特定のクライアントを識別すると、SSL client をそのクライアントの名前に置き換えます。

SSL アプリケーショントラフィックは暗号化されるため、システムは暗号化されたストリーム内のアプリケーションデータではなく、証明書内の情報しか識別に使用できません。そのため、SSL ホストパターンではアプリケーションを制作した会社しか識別できない場合があり、同じ会社が作成した SSL アプリケーションは識別情報が同じ可能性があります。

HTTPS セッションが HTTP セッション内から起動される場合などは、管理対象デバイスがクライアント側のパケット内のクライアント証明書からサーバ名を検出します。

SSL アプリケーション識別を有効にするには、応答側のトラフィックを監視するアクセスコントロールルールを作成する必要があります。このようなルールには、SSL アプリケーションに関するアプリケーション条件または SSL 証明書からの URL を使用した URL 条件を含める必要があります。ネットワーク検出では、応答側の IP アドレスがネットワーク上に存在しなくても、ネットワーク検出ポリシーでモニタできます。アクセスコントロールポリシーの設定によって、トラフィックが識別されるかどうかが決まります。SSL アプリケーションの検出を識別するには、アプリケーションディテクタリストで、または、アプリケーション条件をアクセスコントロールルールに追加するときに、SSL protocol タグでフィルタ処理します。

参照先 Web アプリケーション

Web サーバがトラフィックを他の Web サイト（通常は、アドバタイズメントサーバ）に参照する場合があります。ネットワーク上で発生するトラフィック参照のコンテキストをわかりやすくするために、システムは、参照セッションに対するイベント内の [Web アプリケーション（Web Application）] フィールドにトラフィックを参照した Web アプリケーションを列挙します。VDB に既知の照会先サイトのリストが含まれています。システムがこのようなサイトのいずれかからのトラフィックを検出すると、照会元サイトがそのトラフィックに対するイベントと一緒に保存されます。たとえば、Facebook 経由でアクセスされるアドバタイズメントが実際は Advertising.com 上でホストされている場合は、検出された Advertising.com トラフィックが Facebook Web アプリケーションに関連付けられます。また、システムは、Web サイトで他のサイトへの単リンクが提供されている場合などは、HTTP トラフィック内の参照元 URL を検出することもできます。この場合、参照元 URL は [HTTP 参照元（HTTP Referrer）] イベントフィールドに表示されます。

イベントでは、参照元アプリケーションが存在する場合に、それがトラフィックの Web アプリケーションとして列挙されますが、URL は参照先サイトの URL です。上の例では、トラフィックに対する接続イベントの Web アプリケーションは Facebook ですが、URL は Advertising.com です。参照元 Web アプリケーションが検出されない場合、ホストが自身を参照している場合、または参照がチェインしている場合は、参照先アプリケーションが Web アプリケーションとして表示される場合もあります。ダッシュボードでは、Web アプリケーションの接続カウントとバイトカウントに、Web アプリケーションが参照先のトラフィックに関連付けられたセッションが含まれます。

照会先トラフィックに対して明示的に機能するルールを作成する場合は、照会元アプリケーションではなく、照会先アプリケーションに関する条件を追加する必要があることに注意してください。Facebook から参照される Advertising.com トラフィックをブロックするには、Advertising.com アプリケーションのアクセスコントロールルールにアプリケーション条件を追加します。

アプリケーション検出の要件と前提条件

モデルのサポート

任意

サポートされるドメイン

任意

ユーザの役割

管理者
検出管理者（Discovery Admin）

カスタムアプリケーションディテクタ

ネットワーク上でカスタムアプリケーションを使用する場合、アプリケーションの識別に必要な情報をシステムに提供するカスタム Web アプリケーション、クライアント、またはアプリケーションプロトコルディテクタを作成します。アプリケーションディテクタの種類は、[プロトコル（Protocol）]、[タイプ（Type）]、および [検出方向（Direction）] フィールドで選択した内容によって決まります。

システムがサーバトラフィックでアプリケーションプロトコルの検出および識別を開始するように、クライアントセッションにサーバからの応答パケットを含める必要があります。UDP トラフィックの場合、応答パケットの送信元がサーバとして指定されることに注意してください。

すでに別の Firepower Management Center にディテクタを作成している場合、そのディテクタをエクスポートして、この Firepower Management Center にインポートすることができます。その後、必要に応じてインポートしたディテクタを編集できます。カスタムディテクタおよび Cisco Professional サービスが提供するディテクタをエクスポートおよびインポートすることができます。ただし、シスコが提供するその他の種類のディテクタをエクスポートおよびインポートすることはできません。

カスタムアプリケーションディテクタおよびユーザー定義アプリケーションフィールド

カスタムアプリケーションディテクタフィールド：概要

次のフィールドを使用して、カスタムアプリケーションディテクタおよびユーザ定義アプリケーションを設定できます。

基本および高度なカスタムアプリケーションディテクタを設定するには、次のフィールドを使用します。

アプリケーションプロトコル（Application Protocol）

検出するアプリケーションプロトコル。これには、システムが提供するアプリケーションまたはユーザ定義のアプリケーションを指定できます。

アプリケーションを（アイデンティティルールで設定された）アクティブな認証から除外できるようにする場合は、User-Agent Exclusion タグを使用してアプリケーションプロトコルを選択するか、作成する必要があります。

説明

アプリケーションディテクタの説明。

名前（Name）

アプリケーションディテクタの名前。

ディテクタタイプ（Detector Type）

ディテクタのタイプ（[基本（Basic）] または [高度（Advanced）]）。基本的なアプリケーションディテクタは、一連のフィールドとして Web インターフェイスで作成されます。高度なアプリケーションディテクタは、外部で作成され、カスタム .lua ファイルとしてアップロードされます。

カスタムアプリケーションディテクタ（Custom Application Detector）フィールド：検出パターン

基本的なカスタムアプリケーションディテクタの検出パターンを設定するには、次のフィールドを使用します。

方向（Direction）

ディテクタが検出するトラフィックの送信元。[クライアント（Client）] または [サーバ（Server）]。

オフセット（Offset）

システムがパターンの検索を開始する必要がある、パケットペイロードの先頭からのパケットの場所（バイト単位）。

パケットペイロードは 0 バイトから始まるため、パケットペイロードの先頭から数えたバイト数から 1 を減算することでオフセットを計算します。たとえば、パケットの 5 桁目のビットパターンを検索するには、[オフセット（Offset）] フィールドに「4」と入力します。

パターン

パターン文字列は、選択した [タイプ（Type）] に関連付けられます。

ポート

ディテクタが検出するトラフィックのポート。

プロトコル

検出するプロトコル。選択するプロトコルによって、[タイプ（Type）] フィールドが表示されるか [URL（URL）] フィールドが表示されるかが決まります。

プロトコル（および、場合によっては、[タイプ（Type）] フィールドと [方向（Direction）] フィールドの後続の選択）によって、作成するアプリケーションディテクタのタイプ（Web アプリケーション、クライアント、またはアプリケーションプロトコル）が決まります。


ディテクタタイプ	プロトコル	タイプまたは方向
Web アプリケーション	HTTP	[タイプ（Type）] は [コンテンツタイプ（Content Type）] または [URL（URL）] です。
	RTMP	任意
	SSL	任意
クライアント（Client）	HTTP	[タイプ（Type）] は [ユーザエージェント（User Agent）] です。
	SIP	任意
	TCP または UDP	[方向（Direction）] は [クライアント（Client）] です。
アプリケーションプロトコル（Application Protocol）	TCP または UDP	[方向（Direction）] は [サーバ（Server）] です。

タイプ

入力したパターン文字列のタイプ。表示されるオプションは、選択した [プロトコル（Protocol）] によって決まります。プロトコルとして [RTMP（RTMP）] を選択すると、[タイプ（Type）] フィールドの代わりに [URL（URL）] フィールドが表示されます。

（注）

[タイプ（Type）] として [ユーザエージェント（User Agent）] を選択すると、システムはアプリケーションの [タグ（Tag）] を User-Agent Exclusion に自動的に設定します。

タイプの選択

文字列特性

Ascii

文字列は ASCII でエンコードされます。

Common Name

文字列は、サーバ応答メッセージ内の commonName フィールドの値です。

Content Type

文字列は、サーバ応答ヘッダー内のコンテンツタイプフィールドの値です。

Hex

文字列は、16 進表記です。

Organizational Unit

文字列は、サーバ応答メッセージ内の organizationName フィールドの値です。

SIP Server

文字列は、メッセージヘッダー内の From フィールドの値です。

SSL Host

文字列は、ClientHello メッセージ内の server_name フィールドの値です。

URL

文字列は URL です。

（注）

ディテクタは、ユーザが入力する文字列が URL の完全なセクションであると想定します。たとえば、cisco.com と入力した場合、www.cisco.com/support や www.cisco.com と一致しますが、www.wearecisco.com とは一致しません。

User Agent

文字列は、GET リクエストヘッダー内の user-agent フィールドの値です。これは SIP プロトコルにも使用可能であり、文字列が SIP メッセージヘッダー内の User-Agent フィールドの値であることを示します。

URL

RTMP パケットの C2 メッセージ内の swfURL フィールドの完全な URL または URL のセクション。[プロトコル（Protocol）] として [RTMP（RTMP）] を選択すると、[タイプ（Type）] フィールドの代わりにこのフィールドが表示されます。

（注）

ディテクタは、ユーザが入力する文字列が URL の完全なセクションであると想定します。たとえば、cisco.com と入力した場合、www.cisco.com/support や www.cisco.com と一致しますが、www.wearecisco.com とは一致しません。

ユーザ定義のアプリケーションフィールド

基本および高度なカスタムアプリケーションディテクタでユーザ定義のアプリケーションを設定するには、次のフィールドを使用します。

ビジネスとの関連性（Business Relevance）: アプリケーションが娯楽ではなく組織のビジネス活動のコンテキストで使用される可能性。[非常に高い（Very High）]、[高（High）]、[中（Medium）]、[低（Low）]、または [非常に低い（Very Low）]。アプリケーションを最も的確に説明するオプションを選択します。
カテゴリ（Categories）: アプリケーションの最も重要な機能を説明する一般分類。
説明: アプリケーションの説明。
名前（Name）: アプリケーションの名前。
リスク（Risk）: アプリケーションが組織のセキュリティポリシーに対抗する目的で使用される可能性。[非常に高い（Very High）]、[高（High）]、[中（Medium）]、[低（Low）] または [非常に低い（Very Low）]。アプリケーションを最も的確に説明するオプションを選択します。
タグ（Tags）: アプリケーションに関する追加情報を提供する 1 つ以上の事前定義されたタグ。アプリケーションを（アイデンティティルールで設定された）アクティブな認証から除外できるようにする場合は、User-Agent Exclusion タグをアプリケーションに追加する必要があります。

カスタムアプリケーションディテクタの設定

基本または高度なカスタムアプリケーションディテクタを設定できます。

手順

ステップ 1

[ポリシー（Policies）] > [アプリケーションディテクタ（Application Detectors）] を選択します。

ステップ 2

[カスタムディテクタの作成（Create Custom Detector）] をクリックします。

ステップ 3

[名前（Name）] と [説明（Description）] を入力します。

ステップ 4

[アプリケーションプロトコル（Application Protocol）] を選択します。次の選択肢があります。

既存のアプリケーションプロトコルのディテクタを作成する場合（たとえば、非標準ポートで特定のアプリケーションプロトコルを検出する場合）、ドロップダウンリストからアプリケーションプロトコルを選択します。
ユーザ定義アプリケーションのディテクタを作成する場合は、ユーザー定義のアプリケーションの作成に示されている手順に従います。

ステップ 5

[ディテクタタイプ（Detector Type）] を選択します。

ステップ 6

[OK] をクリックします。

ステップ 7

[検出パターン（Detection Patterns）] または [検出基準（Detection Criteria）] を設定します。

基本ディテクタを設定する場合は、基本ディテクタでの検出パターンの指定の説明に従って、プリセットした [検出パターン（Detection Patterns）] を指定します。

高度なディテクタを設定する場合は、高度なディテクタでの検出条件の指定の説明に従って、カスタム [検出基準（Detection Criteria）] を指定します。

注意	高度なカスタムディテクタは複雑で、有効な .lua ファイルを作成すること以外の知識も必要になります。ディテクタを誤って設定すると、パフォーマンスや検出機能にマイナスの影響を与える可能性があります。

ステップ 8

必要に応じて、カスタムアプリケーションプロトコルディテクタのテストの説明に従って、[パケットキャプチャ（Packet Captures）] を使用して新しいディテクタをテストします。

ステップ 9

[保存（Save）] をクリックします。

（注）

アクセスコントロールルールにアプリケーションを含めると、ディテクタは自動的にアクティブにされ、使用中は非アクティブにできません。

次のタスク

ディテクタのアクティブ化と非アクティブ化の説明に従ってディテクタをアクティブにします。

ユーザー定義のアプリケーションの作成

ここで作成するアプリケーション、カテゴリ、およびタグは、アクセスコントロールルールやアプリケーションフィルタオブジェクトマネージャで使用できます。

注意	ユーザー定義アプリケーションを作成すると、展開プロセスを経由することなく、ただちに Snort プロセスが再起動します。Snort プロセスの再起動を続行することが警告され、キャンセルが可能になります。再起動は、現在のドメインまたはそのいずれかの子ドメイン内のいずれかの管理対象デバイスで発生します。この中断中にトラフィックがドロップされるか、それ以上インスペクションが行われずに受け渡されるかは、ターゲットデバイスがトラフィックを処理する方法に応じて異なります。詳細はSnort® の再起動によるトラフィックの動作を参照してください。

始める前に

カスタムアプリケーションディテクタの設定の説明に従って、カスタムアプリケーションプロトコルディテクタの設定を開始します。

手順

ステップ 1	[ディテクタの作成（Create Detector）] ページで、[追加（Add）] をクリックします。
ステップ 2	[名前（Name）] を入力します。
ステップ 3	[説明（Description）] を入力します。
ステップ 4	[ビジネスとの関連性（Business Relevance）] を選択します。
ステップ 5	[リスク（Risk）] を選択します。
ステップ 6	[カテゴリ（Categories）] の横にある [追加（Add）] をクリックしてカテゴリを追加し、新しいカテゴリの名前を入力するか、または [カテゴリ（Categories）] ドロップダウンリストから既存のカテゴリを選択します。
ステップ 7	オプションで、[タグ（Tags）] の横にある [追加（Add）] をクリックしてタグを追加し、新しいタグの名前を入力するか、または [タグ（Tags）] ドロップダウンリストから既存のタグを選択します。
ステップ 8	[OK] をクリックします。

次のタスク

カスタムアプリケーションディテクタの設定の説明に従って、カスタムアプリケーションプロトコルディテクタの設定を続けます。トラフィックを分析するためにシステムがディテクタを使用できるようにするには、その前に、ディテクタを保存してアクティブにする必要があります。

基本ディテクタでの検出パターンの指定

アプリケーションプロトコルのパケットヘッダーで特定のパターン文字列を検索するよう、カスタムアプリケーションプロトコルディテクタを設定できます。また、複数のパターンを検索するようにディテクタを設定することもできます。この場合は、アプリケーションプロトコルのトラフィックは、アプリケーションプロトコルを確実に識別するため、ディテクタのすべてのパターンとマッチングさせる必要があります。

アプリケーションプロトコルディテクタは、オフセットを使用して ASCII または 16 進数のパターンを検索できます。

始める前に

カスタムアプリケーションディテクタの設定の説明に従って、カスタムアプリケーションプロトコルディテクタの設定を開始します。

手順

ステップ 1

[ディテクタの作成（Create Detector）] ページの [検出パターン（Detection Patterns）] セクションで、[追加（Add）] をクリックします。

ステップ 2

ディテクタの検査対象とするトラフィックの [プロトコル（Protocol）] を選択します。

ステップ 3

ユーザが検出するパターン [タイプ（Type）] を指定します。

ステップ 4

指定した [タイプ（Type）] に一致する [パターン文字列（Pattern String）] を入力します。

ステップ 5

オプションで、[オフセット（Offset）] を入力します（バイト単位）。

ステップ 6

オプションで、使用するポートに基づいてアプリケーションプロトコルのトラフィックを指定するには、1 から 65535 までのポートを [ポート（Port(s)）] フィールドに入力します。複数のポートを使用する場合は、カンマで区切ります。

ステップ 7

オプションで、[クライアント（Client）] または [サーバ（Server）] のいずれかの [方向（Direction）] を選択します。

ステップ 8

[OK] をクリックします。

ヒント

パターンを削除する場合は、削除するパターンの横にあるをクリックします。

次のタスク

カスタムアプリケーションディテクタの設定の説明に従って、カスタムアプリケーションプロトコルディテクタの設定を続けます。トラフィックを分析するためにシステムがディテクタを使用できるようにするには、その前に、ディテクタを保存してアクティブにする必要があります。

高度なディテクタでの検出条件の指定

注意	高度なカスタムディテクタは複雑で、有効な .lua ファイルを作成すること以外の知識も必要になります。ディテクタを誤って設定すると、パフォーマンスや検出機能にマイナスの影響を与える可能性があります。

注意	信頼できないソースから .lua ファイルをアップロードしないでください。

カスタム .lua ファイルには、カスタムアプリケーションのディテクタ設定を含めます。カスタム .lua ファイルを作成するには、lua プログラミング言語に関する高度な知識とシスコの C-lua API に関する経験が求められます。以下を使用して、.lua ファイルを準備することを強くお勧めします。

lua プログラミング言語に関するサードパーティの説明書と参考資料
オープンソースディテクタ開発者ガイド： https://www.snort.org/downloads
OpenAppID Snort コミュニティリソース： http://blog.snort.org/search/label/openappid

（注）

システムは、システムコールまたはファイル I/O を参照する .lua ファイルをサポートしていません。

始める前に

カスタムアプリケーションディテクタの設定の説明に従って、カスタムアプリケーションプロトコルディテクタの設定を開始します。
該当する .lua ファイルをダウンロードし、内容を調べることによって、有効な .lua ファイルを作成する準備を進めます。ディテクタファイルのダウンロードの詳細については、ディテクタ詳細情報の表示またはダウンロードを参照してください。
カスタムアプリケーションのディテクタ設定を含む有効な .lua ファイルを作成します。

手順

ステップ 1	高度なカスタムアプリケーションディテクタの [ディテクタの作成（Create Detector）] ページにある [検出条件（Detection Criteria）] セクションで、[追加（Add）] をクリックします。
ステップ 2	[参照...（Browse...）] をクリックして、`.lua` ファイルに移動し、アップロードします。
ステップ 3	[OK] をクリックします。

次のタスク

カスタムアプリケーションディテクタの設定の説明に従って、カスタムアプリケーションプロトコルディテクタの設定を続けます。トラフィックを分析するためにシステムがディテクタを使用できるようにするには、その前に、ディテクタを保存してアクティブにする必要があります。

カスタムアプリケーションプロトコルディテクタのテスト

検出するアプリケーションプロトコルからのトラフィックを持つパケットが格納されたパケットキャプチャ（pcap）ファイルが存在する場合、その pcap ファイルに対してカスタムアプリケーションプロトコルディテクタをテストできます。シスコでは、不要なトラフィックのない単純でクリーンな pcap ファイルを使用することをお勧めします。

pcap ファイルは 256 KB 以下でなければなりません。それより大きい pcap ファイルに対してディテクタのテストを試行すると、Firepower Management Center は自動的にファイルを切り捨て、不完全なファイルをテストします。ディテクタをテストするためにファイルを使用する前に、pcap の未解決のチェックサムを修正する必要があります。

始める前に

カスタムアプリケーションディテクタの設定の説明に従って、カスタムアプリケーションプロトコルディテクタを設定します。

手順

ステップ 1

[ディテクタの作成（Create Detector）] ページの [パケットキャプチャ（Packet Captures）] セクションで、[追加（Add）] をクリックします。

ステップ 2

ポップアップウィンドウで pcap ファイルを参照し、[OK] をクリックします。

ステップ 3

pcap ファイルの内容に対してディテクタをテストするには、pcap ファイルの横にある評価アイコンをクリックします。メッセージに、テストが成功したかどうかが示されます。

ステップ 4

必要に応じて手順 1 ～ 3 を繰り返し、その他の pcap ファイルに対してディテクタをテストします。

ヒント

pcap ファイルを削除するには、削除するファイルの横にあるをクリックします。

次のタスク

カスタムアプリケーションディテクタの設定の説明に従って、カスタムアプリケーションプロトコルディテクタの設定を続けます。トラフィックを分析するためにシステムがディテクタを使用できるようにするには、その前に、ディテクタを保存してアクティブにする必要があります。

ディテクタ詳細情報の表示またはダウンロード

ディテクタリストを使用して、アプリケーションディテクタの詳細を表示（すべてのディテクタ）したり、ディテクタの詳細をダウンロード（カスタムアプリケーションディテクタのみ）したりできます。

手順

ステップ 1

アプリケーションディテクタの詳細を表示するには、次のいずれかを実行します。

関連する VDB バージョンについては、https://www.cisco.com/c/en/us/support/security/defense-center/products-technical-reference-list.html の『Cisco Firepower Application Detector Reference 』[英語] を参照してください。
a. [ポリシー（Policies）] > [アプリケーションディテクタ（Application Detectors）] を選択します。

b. リストをフィルタ処理して、特定のディテクタを検索します。

c. [情報（Information）]（）をクリックします。

ステップ 2

カスタムアプリケーションディテクタのディテクタ詳細をダウンロードするには、ダウンロード（ [ダウンロード（download）] アイコン）をクリックします。

コントロールが淡色表示されている場合、設定が先祖ドメインに属しているか、またはユーザが必要な権限を持っていません。

ディテクタリストのソート

[ディテクタ（Detectors）] ページには、デフォルトで名前のアルファベット順にディテクタがリストされます。列見出しの横にある上または下矢印は、ページがその列でその方向にソートされていることを示します。

手順

ステップ 1	[ポリシー（Policies）] > [アプリケーションディテクタ（Application Detectors）] を選択します。
ステップ 2	該当する列見出しをクリックします。

ディテクタリストのフィルタリング

手順

ステップ 1	[ポリシー（Policies）] > [アプリケーションディテクタ（Application Detectors）] を選択します。
ステップ 2	ディテクタリストのフィルタグループに記載されているフィルタグループの 1 つを展開し、フィルタの横にあるチェックボックスを選択します。グループ内のすべてのフィルタを選択するには、グループ名を右クリックし、[すべて選択（Check All）] を選択します。
ステップ 3	あるフィルタを削除するには、[フィルタ（Filters）] フィールドにあるフィルタの名前の削除（[削除（remove）] アイコン [削除（remove）] アイコン）をクリックするか、フィルタリストでフィルタを無効にします。グループ内のすべてのフィルタを削除するには、グループ名を右クリックし、[すべて選択解除（Uncheck All）] を選択します。
ステップ 4	すべてのフィルタを削除するには、検出機能に適用されるフィルタリストの横の [すべてクリア（Clear all）] をクリックします。

ディテクタリストのフィルタグループ

複数のフィルタグループを別個にまたは組み合わせて使用し、ディテクタのリストをフィルタリングすることができます。

名前（Name）

ユーザが入力した文字列を含む名前または説明でディテクタを検索します。文字列には任意の英数字または特殊文字を含めることができます。

カスタムフィルタ（Custom Filter）

オブジェクト管理ページで作成したカスタムアプリケーションフィルタに一致するディテクタを検索します。

作成者（Author）

ディテクタを作成したユーザに照らしてディテクタを検索します。次によってディテクタをフィルタリングできます。

カスタムディテクタを作成またはインポートした個々のユーザ
Cisco。これは、個別にインポートされたアドオンディテクタを除く、シスコが提供するすべてのディテクタを表します（ディテクタをインポートした場合、そのユーザはそのディテクタの作成者になります）。
任意のユーザ（Any User）。これは、によって提供されたのではないすべてのディテクタを表します。

状態（State）

状態（つまり、アクティブまたは非アクティブ）に照らしてディテクタを検索します。

タイプ

アプリケーションディテクタの基本に示すように、ディテクタタイプに従ってディテクタを検索します。

プロトコル

ディテクタが検査するトラフィックプロトコルに照らしてディテクタを検索します。

カテゴリ（Category）

検出するアプリケーションに割り当てられたカテゴリに照らしてディテクタを検索します。

リスク（Risk）

検出するアプリケーションに割り当てられたリスク（Very High、High、Medium、Low、Very Low）を基準にディテクタを検索します。

ビジネスとの関連性（Business Relevance）

検出するアプリケーションに割り当てられたビジネスとの関連性（[非常に高い（Very High）]、[高（High）]、[中（Medium）]、[低（Low）]、[非常に低い（Very Low）]）に照らしてディテクタを検索します。

他のディテクタページへの移動

手順

ステップ 1	[ポリシー（Policies）] > [アプリケーションディテクタ（Application Detectors）] を選択します。
ステップ 2	次のページを表示するには、をクリックします。
ステップ 3	前のページを表示するには、をクリックします。
ステップ 4	別のページを表示するには、ページ番号を入力して、Enter キーを押します。
ステップ 5	最後のページに移動するには、をクリックします。
ステップ 6	最初のページに移動するには、をクリックします。

ディテクタのアクティブ化と非アクティブ化

ネットワークトラフィックを分析するためにディテクタを使用できるようにするには、その前に、ディテクタをアクティブにする必要があります。デフォルトでは、Cisco が提供するすべてのディテクタはアクティブになっています。

システムの検出機能を補完するために、ポートごとに複数のアプリケーションディテクタをアクティブにすることができます。

ポリシーのアクセスコントロールルールにアプリケーションを含め、そのポリシーを導入するときに、そのアプリケーションに対してアクティブなディテクタがない場合、1 つ以上のディテクタが自動的にアクティブになります。同様に、導入されているポリシーのアプリケーションが使用されているときに、そのアプリケーションのアクティブなディテクタをすべて非アクティブにしようとしても、ディテクタを非アクティブにすることはできません。

ヒント

パフォーマンスを向上させるために、使用する予定のないアプリケーションプロトコル、クライアント、または Web アプリケーションのディテクタはすべて非アクティブにします。

注意	システムまたはカスタムのアプリケーションディテクタをアクティブ化/非アクティブ化すると、展開プロセスを経由することなく、ただちに Snort プロセスが再起動します。Snort プロセスの再起動を続行することが警告され、キャンセルが可能になります。再起動は、現在のドメインまたはそのいずれかの子ドメイン内のいずれかの管理対象デバイスで発生します。この中断中にトラフィックがドロップされるか、それ以上インスペクションが行われずに受け渡されるかは、ターゲットデバイスがトラフィックを処理する方法に応じて異なります。詳細はSnort® の再起動によるトラフィックの動作を参照してください。

手順

ステップ 1

[ポリシー（Policies）] > [アプリケーションディテクタ（Application Detectors）] を選択します。

ステップ 2

アクティブまたは非アクティブにするディテクタの横にあるスライダをクリックします。コントロールが淡色表示されている場合、設定は先祖ドメインに属しており、設定を変更する権限がありません。

（注）

一部のアプリケーションディテクタはその他のディテクタによって必要とされることに注意してください。そのようなディテクタのいずれかを非アクティブにすると、それに依存するディテクタも無効となることを示す警告が表示されます。

カスタムアプリケーションディテクタの編集

カスタムアプリケーションディテクタを変更するには、次の手順を使用します。

手順

ステップ 1

[ポリシー（Policies）] > [アプリケーションディテクタ（Application Detectors）] を選択します。

ステップ 2

変更するディテクタの横にあるをクリックします。代わりに表示（ [表示（view）] ボタン）が表示される場合、設定は先祖ドメインに属しており、設定を変更する権限がありません。

ステップ 3

カスタムアプリケーションディテクタの設定の説明に従って、ディテクタを変更します。

ステップ 4

ディテクタの状態に応じて、次の保存オプションがあります。

非アクティブなディテクタを保存するには、[保存（Save）] をクリックします。
非アクティブなディテクタを新規の非アクティブなディテクタとして保存するには、[新規保存（Save as New）] をクリックします。

アクティブなディテクタを保存してすぐに使用を開始するには、[保存して再アクティブ化（Save and Reactivate）] をクリックします。

注意	カスタムアプリケーションディテクタを保存して再びアクティブ化すると、展開プロセスを経由することなく、ただちに Snort プロセスが再起動します。Snort プロセスの再起動を続行することが警告され、キャンセルが可能になります。再起動は、現在のドメインまたはそのいずれかの子ドメイン内のいずれかの管理対象デバイスで発生します。この中断中にトラフィックがドロップされるか、それ以上インスペクションが行われずに受け渡されるかは、ターゲットデバイスがトラフィックを処理する方法に応じて異なります。詳細はSnort® の再起動によるトラフィックの動作を参照してください。

アクティブなディテクタを新規の非アクティブなディテクタとして保存するには、[新規保存（Save as New）] をクリックします。

ディテクタの削除

カスタムディテクタおよび Cisco Professional サービスが提供する個別にインポートされたアドオンディテクタを削除することができます。その他の Cisco が提供するディテクタを削除することはできませんが、その多くを非アクティブにすることはできます。

（注）

ディテクタが展開されたポリシーで使用されている間は、そのディテクタを削除できません。

注意	アクティブ化されたカスタムアプリケーションディテクタを削除すると、展開プロセスを経由することなく、ただちに Snort プロセスが再起動します。Snort プロセスの再起動を続行することが警告され、キャンセルが可能になります。再起動は、現在のドメインまたはそのいずれかの子ドメイン内のいずれかの管理対象デバイスで発生します。この中断中にトラフィックがドロップされるか、それ以上インスペクションが行われずに受け渡されるかは、ターゲットデバイスがトラフィックを処理する方法に応じて異なります。詳細はSnort® の再起動によるトラフィックの動作を参照してください。

手順

ステップ 1	[ポリシー（Policies）] > [アプリケーションディテクタ（Application Detectors）] を選択します。
ステップ 2	削除するディテクタの横にあるをクリックします。代わりに表示（）が表示される場合、設定は先祖ドメインに属しており、設定を変更する権限がありません。
ステップ 3	[OK] をクリックします。

Firepower Management Center バージョン 6.5 コンフィギュレーション ガイド

偏向のない言語

翻訳について

検索結果

章のタイトル： アプリケーションの検出

アプリケーションの検出

概要：アプリケーション検出

アプリケーション ディテクタの基本

シスコが提供する内部ディテクタ

シスコが提供するクライアント ディテクタ

シスコが提供する Web アプリケーション ディテクタ

シスコが提供するアプリケーション プロトコル（ポート）ディテクタ

シスコが提供するアプリケーション プロトコル（Firepower）ディテクタ

カスタム アプリケーション ディテクタ

Web インターフェイスでのアプリケーション プロトコルの識別

クライアント検出からの暗黙的アプリケーション プロトコル検出

ホスト制限と検出イベント ロギング

アプリケーション検出に関する特別な考慮事項

SFTP

Squid

SSL アプリケーション検出

参照先 Web アプリケーション

アプリケーション検出の要件と前提条件

モデルのサポート

サポートされるドメイン

ユーザの役割

カスタム アプリケーション ディテクタ

カスタム アプリケーション ディテクタおよびユーザー定義アプリケーション フィールド

カスタム アプリケーション ディテクタ フィールド：概要

カスタム アプリケーション ディテクタ（Custom Application Detector）フィールド：検出パターン

ユーザ定義のアプリケーション フィールド

カスタム アプリケーション ディテクタの設定

手順

次のタスク

ユーザー定義のアプリケーションの作成

始める前に

手順

次のタスク

基本ディテクタでの検出パターンの指定

始める前に

手順

次のタスク

高度なディテクタでの検出条件の指定

始める前に

手順

次のタスク

カスタム アプリケーション プロトコル ディテクタのテスト

始める前に

手順

次のタスク

ディテクタ詳細情報の表示またはダウンロード

手順

ディテクタ リストのソート

手順

ディテクタ リストのフィルタリング

手順

ディテクタ リストのフィルタ グループ

名前（Name）

カスタム フィルタ（Custom Filter）

作成者（Author）

状態（State）

タイプ

プロトコル

カテゴリ（Category）

タグ

リスク（Risk）

ビジネスとの関連性（Business Relevance）

他のディテクタ ページへの移動

手順

ディテクタのアクティブ化と非アクティブ化

手順

カスタム アプリケーション ディテクタの編集

手順

ディテクタの削除

手順

このドキュメントは役に立ちましたか?

シスコに問い合わせ

章のタイトル：アプリケーションの検出

アプリケーションディテクタの基本

シスコが提供するクライアントディテクタ

シスコが提供する Web アプリケーションディテクタ

シスコが提供するアプリケーションプロトコル（ポート）ディテクタ

シスコが提供するアプリケーションプロトコル（Firepower）ディテクタ

カスタムアプリケーションディテクタ

Web インターフェイスでのアプリケーションプロトコルの識別

クライアント検出からの暗黙的アプリケーションプロトコル検出

ホスト制限と検出イベントロギング

カスタムアプリケーションディテクタ

カスタムアプリケーションディテクタおよびユーザー定義アプリケーションフィールド

カスタムアプリケーションディテクタフィールド：概要

カスタムアプリケーションディテクタ（Custom Application Detector）フィールド：検出パターン

ユーザ定義のアプリケーションフィールド

カスタムアプリケーションディテクタの設定

カスタムアプリケーションプロトコルディテクタのテスト

ディテクタリストのソート

ディテクタリストのフィルタリング

ディテクタリストのフィルタグループ

カスタムフィルタ（Custom Filter）

他のディテクタページへの移動

カスタムアプリケーションディテクタの編集