Cloud Firewall:IPS 設定

脅威エンジンモード

クラウドファイアウォールを有効にすると、その脅威エンジンはデフォルトでブロックモードになり、トラフィックに基づいて厳格レベルを自動的に選択します。 ブロックモードとブロックモードの機能は、ブロックモードが有効な場合にのみ脅威をブロックします。 ブロックモードが無効になっている場合、侵入防止機能は脅威と悪意のあるトラフィックの監視のみを行います。

エンジンモードの詳細については、「IPS 機能の概要」をご参照ください。

1. Cloud Firewall コンソールにログインします。 左側のナビゲーションペインで、緩和設定 > IPS の設定を選択します。

2. インターネットボーダー タブで、右端の Threat Engine Mode を設定します。

   次のいずれかのエンジンモードを選択できます。

   • [観察]：このモードでは、Cloud Firewall は攻撃をブロックせずにログに記録し、アラートを生成します。脅威インテリジェンス、基本保護、および仮想パッチの保護アクションはすべて監視に設定されます。

   • [ブロック]: このモードでは、Cloud Firewall は悪意のあるトラフィックをブロックし、侵入アクティビティを停止します。

     セキュリティ要件に応じて、異なる厳格度レベルのブロックモードを選択できます。

     • [ブロック - 緩い]：粗粒度の保護を提供し、誤検知率の低いルールを使用します。このモードは、誤検知に敏感なサービスに最適です。

     • [ブロック - 中]：「緩い」モードと「厳格」モードのバランスを取り、高精度を実現します。このモードは日常的な運用に適しています。

     • [ブロック - 厳格]：包括的なルールセットを使用して細粒度の保護を提供します。このモードは「中」モードよりも誤検知率が高くなる可能性がありますが、検出漏れ率を低く抑える必要があるシナリオに最適です。

機能

インターネット境界の IPS 設定は、基本保護、仮想パッチ、脅威インテリジェンス、インテリジェント防御、データ損失防止、およびトラフィックのトレーサビリティなどの機能を提供します。左側のトグルを使用して、これらの機能を有効化または無効化できます。

基本保護ルール

基本保護は、コマンド実行の脆弱性のブロックや、侵害されたデバイスから C&C サーバーへの接続の遮断など、基本的な侵入防止を提供します。この機能は、資産に対する基本的な保護を提供します。

1. VPC 境界 > 基本的な保護ルールの表示 をクリックします。

2. 基本的な保護 パネルで、各ルールの このアクション と 有効化ステータス を設定します。

   • 保護ルールの変更: このアクション 列で、ルールのアクションを変更します。 変更されたルールはカスタムルールとしてマークされます。

   • デフォルトの保護ルールを復元：ワンクリックですべての VPC ファイアウォールの IPS ルールを復元する をクリックし、OK をクリックします。

   • ルールの有効化または無効化: 有効化ステータス 列のトグルをクリックします。

     • [有効]：ルールがアクティブです。カスタム保護ルールはデフォルトルールよりも優先度が高くなります。

     • [無効]：ルールが非アクティブです。

仮想パッチルール

Cloud Firewall は、一般的な高リスクで緊急性の高い脆弱性に対するリアルタイムの保護を提供します。仮想パッチは、ネットワーク層でホットパッチを適用して悪用の試みをブロックし、ホストにパッチを適用する際に発生する可能性のあるサービスの中断を回避します。サーバーに仮想パッチをインストールする必要はありません。この機能を無効にすると、リアルタイム更新を受信できなくなります。

1. 仮想パッチルールの表示 をクリックします。

2. 仮想パッチ パネルで、各ルールの このアクション と 有効化ステータス を設定します。

   • 保護ルールの変更: このアクション 列で、ルールのアクションを変更します。 変更されたルールはカスタムルールとしてマークされます。

   • デフォルトの保護ルールを復元：ワンクリックですべての VPC ファイアウォールの IPS ルールを復元する をクリックし、OK をクリックします。

   • ルールの有効化または無効化: 有効化ステータス 列のトグルをクリックします。

     • [有効]：ルールがアクティブです。カスタム保護ルールはデフォルトルールよりも優先度が高くなります。

     • [無効]：ルールが非アクティブです。

IPS モード

1. IPS 保護モードの設定 をクリックします。

2. IPS 保護モードの設定 ダイアログボックスで、モードを選択し、OK をクリックします。

   次のいずれかの IPS モードを選択できます。

   • 動作モードの監視: Cloud Firewallはトラフィックを監視し、悪意のあるトラフィックのアラートを生成します。

   • ブロック動作モード: クラウドファイアウォールは悪意のあるトラフィックを傍受し、侵入の試みをブロックします。 ビジネス要件に基づいて、ブロック作業モードのレベルを選択できます。

     • Loose: blocks attacks in a loose manner by using rules that prevent a high rate of false positives. This level is suitable for business that requires the false positive rate to be minimized.

     • Medium: blocks attacks in a standard manner by using common rules. This level is suitable for daily O&M.

     • Strict: blocks attacks in a strict manner by using all rules. This level is suitable for business that requires the false negative rate to be minimized, such as major events or cybersecurity protection activities launched by public service sectors. The activities are rehearsals for network attack and defense. This level may cause a higher false positive rate than the Medium level.

IPS 機能

基本保護と仮想パッチを設定できます。設定が完了すると、Cloud Firewall は有効な基本保護ルールと仮想パッチルールに基づいてトラフィックを検査します。

目的のクラウドエンタープライズネットワーク (CEN) インスタンスまたは Express Connect ファイアウォールを見つけます。操作 列で、IPS 保護機能の設定 をクリックして設定を構成します。

IPS 許可リスト

特定の宛先または送信元 IP アドレスとの間で信頼できるトラフィックを許可する必要がある場合は、それらを許可リストに追加できます。許可リスト内の IP アドレスからのトラフィックは、基本保護と仮想パッチのルールによってブロックされません。宛先 IP 許可リストと送信元 IP 許可リストの両方に、最大 50 個の IP アドレスを追加できます。

対象のクラウドエンタープライズネットワーク (CEN) インスタンスまたは Express Connect ファイアウォールを見つけ、操作 列で IPS ホワイトリストの設定 をクリックして設定を構成します。

許可リストは、[未設定]、[カスタム]、[アドレス帳を参照] の 3 つの方法で設定できます。[カスタム] を選択した場合は、100.100.100.100/32 などの CIDR ブロックを入力し、複数のブロックをコンマで区切ります。[アドレス帳を参照] を選択した場合は、まず [アクセス制御] でアドレス帳を管理する必要があります。この設定は、同じ CEN インスタンス内のすべての VPC に適用されます。