この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
以下のトピックでは、遠隔監視制御・情報取得（SCADA）プロトコルのプリプロセッサとその設定方法について説明します。
Supervisory Control and Data Acquisition（SCADA）プロトコルは、製造、水処理、配電、空港、輸送システムなどの工業プロセス、インフラストラクチャ プロセス、および設備プロセスからのデータをモニタ、制御、取得します。Firepower システムは、ネットワーク分析ポリシーの一部として設定できる Modbus、Distributed Network Protocol（DNP3）、および Common Industrial Protocol（CIP）SCADA プロトコル用のプリプロセッサを提供します。
Modbus、DNP3、または CIP プリプロセッサが無効になっており、これらのプリプロセッサのいずれかを必要とする侵入ルールを有効にして展開した場合、システムはプリプロセッサを現在の設定で使用しますが、対応するネットワーク分析ポリシーの Web インターフェイスではプリプロセッサは無効になったままとなります。
Modbus プロトコルは 1979 年に Modicon が初めて発表した、広く利用されている SCADA プロトコルです。Modbus プリプロセッサは、Modbus トラフィックの異常を検出し、ルール エンジンによる処理のために Modbus プロトコルをデコードします。ルール エンジンは Modbus キーワードを使用して特定のプロトコル フィールドにアクセスします。
1 つの構成オプションで、プリプロセッサが Modbus トラフィックを検査するポートのデフォルト設定を変更できます。
プリプロセッサが Modbus トラフィックを検査するポートを指定します。複数のポートを指定する場合は、カンマで区切ります。
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威 |
保護 |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
ネットワークに Modbus 対応デバイスが含まれていない場合は、トラフィックに適用するネットワーク分析ポリシーでこのプリプロセッサを有効にしないでください。
マルチドメイン展開では、編集できる現在のドメインで作成されたポリシーが表示されます。また、編集できない先祖ドメインで作成されたポリシーも表示されます。下位のドメインで作成されたポリシーを表示および編集するには、そのドメインに切り替えます。| ステップ 1 |
、次に [Network Analysis Policy]または、次に [Network Analysis Policy]を選択します。
|
||
| ステップ 2 |
編集するポリシーの横にある編集アイコン（ 代わりに表示アイコン（ |
||
| ステップ 3 |
ナビゲーション パネルで [設定（Settings）] をクリックします。 |
||
| ステップ 4 |
[SCADA プリプロセッサ（SCADA Preprocessors）] の下の [Modbus の構成（Modbus Configuration）] が無効になっている場合は、[有効化（Enabled）] をクリックします。 |
||
| ステップ 5 |
[Modbus の構成（Modbus Configuration）] の横にある編集アイコン（ |
||
| ステップ 6 |
[ポート（Ports）] フィールドに値を入力します。 複数の値を指定する場合は、カンマで区切ります。 |
||
| ステップ 7 |
最後のポリシー確定後にこのポリシーで行った変更を保存するには、[ポリシー情報（Policy Information）] をクリックして、[変更を確定（Commit Changes）] をクリックします。 変更を確定せずにポリシーをそのままにした場合は、別のポリシーを編集すると、最後の確定後にキャッシュされた変更は破棄されます。 |
イベントを生成し、インライン展開では、違反パケットをドロップします。 を行うには、Modbus プリプロセッサ ルール（GID 144）を有効にします。詳細については、侵入ルール状態の設定およびModbus プリプロセッサ ルールを参照してください。
設定変更を展開します。設定変更の展開を参照してください。
次の表に示す Modbus プリプロセッサ ルールによって イベントを生成し、インライン展開では、違反パケットをドロップします。 するには、これらのルールを有効にする必要があります。
|
プリプロセッサ ルール GID:SID |
説明 |
|---|---|
|
144:1 |
Modbus の見出しの長さが、Modbus 機能コードに必要な長さと一致していない場合に、イベントが生成されます。 各 Modbus 機能の要求と応答には期待される形式があります。メッセージの長さが、期待される形式と一致しない場合に、このイベントが生成されます。 |
|
144:2 |
Modbus プロトコル ID がゼロ以外の場合に、イベントが生成されます。プロトコル ID フィールドは、Modbus と共にその他のプロトコルを多重伝送するために使用されます。プリプロセッサはこのような他のプロトコルを処理しないため、代わりにこのイベントが生成されます。 |
|
144:3 |
プリプロセッサが予約済み Modbus 機能コードを検出すると、イベントが生成されます。 |
Distributed Network Protocol（DNP3）は、当初は発電所間で一貫性のある通信を実現する目的で開発された SCADA プロトコルです。DNP3 も、水処理、廃棄物処理、輸送などさまざまな産業分野で幅広く利用されるようになっています。
DNP3 プリプロセッサは、DNP3 トラフィックの異常を検出し、ルール エンジンによる処理のために DNP3 プロトコルをデコードします。ルール エンジンは、DNP3 キーワードを使用して特定のプロトコル フィールドにアクセスします。
指定された各ポートでの DNP3 トラフィックのインスペクションを有効にします。1 つのポートを指定するか、複数のポートをカンマで区切ったリストを指定できます。
DNP3 リンク層フレームに含まれているチェックサムを検証します。無効なチェックサムを含むフレームは無視されます。
ルール 145:1 を有効にすると、無効なチェックサムが検出されたときに イベントを生成し、インライン展開では、違反パケットをドロップします。 できます。
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威 |
保護 |
任意（Any） |
任意（Any） |
Admin/Intrusion Admin |
ネットワークに DNP3 対応デバイスが含まれていない場合は、トラフィックに適用するネットワーク分析ポリシーでこのプリプロセッサを有効にしないでください。
マルチドメイン展開では、編集できる現在のドメインで作成されたポリシーが表示されます。また、編集できない先祖ドメインで作成されたポリシーも表示されます。下位のドメインで作成されたポリシーを表示および編集するには、そのドメインに切り替えます。| ステップ 1 |
、次に [Network Analysis Policy]または、次に [Network Analysis Policy]を選択します。
|
||
| ステップ 2 |
編集するポリシーの横にある編集アイコン（ 代わりに表示アイコン（ |
||
| ステップ 3 |
ナビゲーション パネルで [設定（Settings）] をクリックします。 |
||
| ステップ 4 |
[SCADA プリプロセッサ（SCADA Preprocessors）] の下の [DNP3 の構成（DNP3 Configuration）] が無効になっている場合は、[有効化（Enabled）] をクリックします。 |
||
| ステップ 5 |
[DNP3 の構成（DNP3 Configuration）] の横にある編集アイコン（ |
||
| ステップ 6 |
ポートの値を入力します。 複数の値を指定する場合は、カンマで区切ります。 |
||
| ステップ 7 |
[不良 CRC の記録（Log bad CRCs）] チェックボックスをオンまたはオフにします。 |
||
| ステップ 8 |
最後のポリシー確定後にこのポリシーで行った変更を保存するには、[ポリシー情報（Policy Information）] をクリックして、[変更を確定（Commit Changes）] をクリックします。 変更を確定せずにポリシーをそのままにした場合は、別のポリシーを編集すると、最後の確定後にキャッシュされた変更は破棄されます。 |
イベントを生成し、インライン展開では、違反パケットをドロップします。 を行うには、DNP3 プリプロセッサ ルール（GID 145）を有効にします。詳細については、侵入ルール状態の設定、DNP3 プリプロセッサ オプション、およびDNP3 プリプロセッサ ルールを参照してください。
設定変更を展開します。設定変更の展開を参照してください。
次の表に示す DNP3 プリプロセッサ ルールによって イベントを生成し、インライン展開では、違反パケットをドロップします。 するには、これらのルールを有効にする必要があります。
|
プリプロセッサ ルール GID:SID |
説明 |
|---|---|
|
145:1 |
[無効な CRC を記録（Log bad CRC）] が有効である場合に、無効なチェックサムを含むリンク層フレームがプリプロセッサにより検出されると、イベントが生成されます。 |
|
145:2 |
無効な長さの DNP3 リンク層フレームがプリプロセッサにより検出されると、イベントが生成され、パケットがブロックされます。 |
|
145:3 |
再構成中に無効なシーケンス番号のトランスポート層セグメントがプリプロセッサにより検出されると、イベントが生成され、パケットがブロックされます。 |
|
145:4 |
完全なフラグメントを再構成する前に DNP3 再構成バッファがクリアされると、イベントが生成されます。このことは、FIR フラグを伝送するセグメントが、他のセグメントがキューに入れられた後で現れる場合に発生します。 |
|
145:5 |
予約済みアドレスを使用する DNP3 リンク層フレームをプリプロセッサが検出すると、イベントが生成されます。 |
|
145:6 |
予約済み機能コードを使用する DNP3 要求または応答をプリプロセッサが検出すると、イベントが生成されます。 |
Common Industrial Protocol（CIP）は、産業自動化アプリケーションをサポートするために広く使用されているアプリケーション プロトコルです。EtherNet/IP（ENIP）は、イーサネット ベースのネットワークで使用される CIP の実装です。
CIP プリプロセッサは、TCP で実行される CIP および ENIP トラフィックを検出し、それを侵入ルール エンジンに送信します。カスタム侵入ルールで CIP および ENIP のキーワードを使用すると、CIP および ENIP トラフィックで攻撃を検出できます。「CIP および ENIP のキーワード」を参照してください。さらに、アクセス コントロール ルールで CIP および ENIP アプリケーションの条件を指定することによって、トラフィックを制御できます。アプリケーション条件とフィルタの設定を参照してください。
CIP および ENIP トラフィックを検査するポートを指定します。0 ～ 65535 の整数を指定できます。ポート番号が複数ある場合は、カンマで区切ります。
 （注） |
リストするデフォルトの CIP 検出ポート 44818 およびその他のポートを、TCP ストリームのリスト [ストリームの再構成をどちらのポートでも実行する（Perform Stream Reassembly on Both Ports）] に追加する必要があります。TCP ストリームのプリプロセス オプションおよびカスタム ネットワーク分析ポリシーの作成を参照してください。 |
CIP 要求メッセージにプロトコル固有のタイムアウト値が含まれておらず、[TCP 接続あたりの未接続な同時要求の最大数（Maximum number of concurrent unconnected requests per TCP connection）] に達した場合は、このオプションで指定した秒数の間、システムがメッセージの時間を測定します。タイマーが満了すると、他の要求用のスペースを確保するために、メッセージが削除されます。0 ～ 360 の整数を指定できます。0 を指定すると、プロトコル固有のタイムアウト値を持たないすべてのトラフィックは、最初にタイムアウトになります。
システムが接続を閉じるまで無応答のままにすることができる同時要求の数。1 ～ 10000 の整数を指定できます。
システムが TCP 接続ごとに許可する同時 CIP 接続の最大数。1 ～ 10000 の整数を指定できます。
設計上、セッションごとに 1 回ずつ、同じアプリケーションがアプリケーション ディテクタで検出されてイベント ビューアに表示されます。1 つの CIP セッションでは複数のアプリケーションを別々のパケットに含めることができ、単一の CIP パケットに複数のアプリケーションを格納できます。CIP プリプロセッサは、対応する侵入ルールに従ってすべての CIP と ENIP のトラフィックを処理します。
次の表にイベント ビューに表示される CIP の値を示します。
|
イベント フィールド |
表示される値 |
|---|---|
|
アプリケーション プロトコル（Application Protocol） |
CIP または ENIP |
|
クライアント |
CIP クライアントまたは ENIP クライアント |
|
[Webアプリケーション（Web Application）] |
次に示す特定のアプリケーションを検出しました。
|
次の表に示す CIP プリプロセッサ ルールでイベントを生成するには、それらのルールを有効にする必要があります。ルールの有効化については、侵入ルール状態の設定を参照してください。
|
GID:SID |
ルール メッセージ |
|---|---|
|
148:1 |
CIP_MALFORMED |
|
148:2 |
CIP_NON_CONFORMING |
|
148:3 |
CIP_CONNECTION_LIMIT |
|
148:4 |
CIP_REQUEST_LIMIT |
CIP プリプロセッサを設定する際には次の点に注意してください。
リストするデフォルトの CIP 検出ポート 44818 およびその他の CIP ポートを TCP ストリームのリスト [ストリームの再構成をどちらのポートでも実行する（Perform Stream Reassembly on Both Ports）] に追加する必要があります。CIP プリプロセッサのオプション、カスタム ネットワーク分析ポリシーの作成、およびTCP ストリームのプリプロセス オプションを参照してください。
イベント ビューアには、CIP アプリケーションに対する特別な処理が用意されています。CIP イベントを参照してください。
アクセス コントロール ポリシーのデフォルトのアクションとして侵入防御アクションを使用することをお勧めします。
CIP プリプロセッサは、アクセス コントロール ポリシーのデフォルト アクション [アクセス制御：すべてのトラフィックを信頼（Access Control: Trust All Traffic）] をサポートしていません。このアクションを実行すると、侵入ルールとアクセス コントロール ルールで指定された CIP アプリケーションによりトリガーされたトラフィックがドロップされないなど、望ましくない動作が生じる可能性があるためです。
CIP プリプロセッサは、アクセス コントロール ポリシーのデフォルト アクション [アクセス制御：すべてのトラフィックをブロック（Access Control: Block All Traffic）] をサポートしていません。このアクションを実行すると、ブロックされると想定されない CIP アプリケーションがブロックされるなど、望ましくない動作が生じる可能性があるためです。
CIP プリプロセッサは、CIP アプリケーションのアプリケーション可視性（ネットワーク検出を含む）をサポートしていません。
CIP および ENIP アプリケーションを検出し、それらをアクセス コントロール ルールや侵入ルールなどで使用するには、対応するカスタム ネットワーク分析ポリシーで CIP プリプロセッサを手動で有効にする必要があります。カスタム ネットワーク分析ポリシーの作成、「デフォルトのネットワーク分析ポリシーの設定」、およびネットワーク分析ルールの設定を参照してください。
CIP のプリプロセッサ ルールおよび CIP 侵入ルールをトリガーするトラフィックをドロップするには、対応する侵入ポリシーの [インラインの場合ドロップする（Drop when Inline）] オプションが有効になっていることを確認します。「インライン展開でのドロップ動作の設定」を参照してください。
アクセス コントロール ルールを使用して CIP または ENIP アプリケーション トラフィックをブロックするには、対応するネットワーク分析ポリシーでインライン正規化プリプロセッサおよびその [インライン モード（Inline Mode）] オプションが有効になっている（デフォルト設定）ことを確認してください。カスタム ネットワーク分析ポリシーの作成、「デフォルトのネットワーク分析ポリシーの設定」、およびインライン導入でのプリプロセッサによるトラフィックの変更を参照してください。
|
スマート ライセンス |
従来のライセンス |
サポートされるデバイス |
サポートされるドメイン |
アクセス（Access） |
|---|---|---|---|---|
|
脅威 |
保護 |
を除きFTD任意 |
任意（Any） |
Admin/Intrusion Admin |
CIP ポートとしてリストするデフォルトの CIP 検出ポート 44818 およびその他のポートを TCP ストリームのリスト [ストリームの再構成をどちらのポートでも実行する（Perform Stream Reassembly on Both Ports）] に追加する必要があります。CIP プリプロセッサのオプション、カスタム ネットワーク分析ポリシーの作成、およびTCP ストリームのプリプロセス オプションを参照してください。
CIP プリプロセッサの設定のガイドライン の内容についてよく理解しておきます。
| ステップ 1 |
、次に [Network Analysis Policy]または、次に [Network Analysis Policy]を選択します。
|
||
| ステップ 2 |
編集するポリシーの横にある編集アイコン（ 代わりに表示アイコン（ |
||
| ステップ 3 |
ナビゲーション パネルで [設定（Settings）] をクリックします。 |
||
| ステップ 4 |
[SCADA プリプロセッサ（SCADA Preprocessors）] の下の [CIP 設定（CIP Configuration）] が無効になっている場合は、[有効（Enabled）] をクリックします。 |
||
| ステップ 5 |
CIP プリプロセッサのオプションで説明するオプションを変更できます。 |
||
| ステップ 6 |
最後のポリシー確定後にこのポリシーで行った変更を保存するには、[ポリシー情報（Policy Information）] をクリックして、[変更を確定（Commit Changes）] をクリックします。 変更を確定せずにポリシーをそのままにした場合は、別のポリシーを編集すると、最後の確定後にキャッシュされた変更は破棄されます。 |
イベントを生成し、インライン展開では、違反パケットをドロップします。 する場合は、CIP 侵入ルールを有効にします。詳細については、侵入ルール状態の設定およびCIP イベントを参照してください。
設定変更を展開します。設定変更の展開を参照してください。
）をクリックします。
）が表示される場合、設定は先祖ドメインに属しており、設定を変更する権限がありません。
フィードバック