:Intrusion Prevention

使用制限

• Cloud Firewall の侵入防止は、インターネット境界でのアウトバウンドトラフィックに対して、TLS 検査による暗号化トラフィックの復号と検査をサポートしています。インターネット境界でのインバウンドトラフィックの場合、Cloud Firewall と Web Application Firewall を組み合わせて保護を強化してください。VPC 境界では、TLS/SSL 復号および検査はサポートされていません。

• データ集約により、Cloud Firewall の侵入防止統計に遅延が発生します。リアルタイムデータをクエリするには、Log Audit またはログ分析を使用します。詳細については、「Log Audit」または「ログのクエリと分析」をご参照ください。

  • 過去 1 時間の防御データをクエリする場合、結果には 10 分の遅延があります。過去 10 分間に発生したイベントは結果に表示されません。

  • 過去 1 時間以上 (直近 30 分間を含む) の防御データをクエリする場合、結果には 30 分の遅延があります。過去 30 分間に発生したイベントは結果に表示されません。

    たとえば、現在の時刻が 15:00:00 の場合、12:00:00 から 15:00:00 までのデータをクエリすると、14:30:00 から 15:00:00 までのデータは除外されます。12:00:00 から 14:30:00 までのデータをクエリすると、その期間の完全な結果が返されます。

侵入防止ルールの表示または変更

Cloud Firewall をアクティブ化すると、緩和設定の脅威エンジンはデフォルトで ブロックモード になります。このモードでは、Cloud Firewall が攻撃を自動的にブロックします。Cloud Firewall は、サービストラフィックに基づいて適切なブロックモードレベル — 緩い、中程度、Strict — を選択します。脅威インテリジェンス、基本防御、および仮想パッチはデフォルトで有効です。

次のいずれかの方法を使用して、IPS の設定 ページに移動できます。

• [IPS] ページから、[保護詳細リスト] の右上隅にあるリンクをクリックします。

  

• 左側のナビゲーションウィンドウで、Prevention Configuration > IPS の設定 を選択します。

[基本的な保護] カードで、デフォルトの侵入防止ルールを表示します。ルールを変更するには、リストから該当のルールを見つけ、[このアクション] 列でその操作を更新します。詳細については、「IPS 設定」をご参照ください。

IPS プライベート IP 追跡の有効化

• エントリポイント:

  [IPS] ページから、「保護詳細リスト」の右上隅にあるリンクをクリックして、直接「IPS プライベート IP 追跡設定」ページに移動します。

  

• 有効化

  IPS プライベートネットワークのトレーサビリティ ページで、特定のリソースのトレースを有効化します。これにより、内部ネットワークのアセットのIPアドレスを公開することなく、リスクアセットをすばやく特定できます。

  説明

  IPS プライベート IP 追跡には、同じアセットに対して インターネット境界ファイアウォール保護 と NAT セッションログサービス の両方を有効にする必要があります。詳細な手順については、「IPS プライベート IP 追跡設定」をご参照ください。

  

• 追跡可能性:

  機能を有効化すると、IPS ページの[保護詳細リスト] および [詳細] セクションでリスクアセットのIP アドレスを表示できます。

  リスト	詳細

インターネットブロックイベントの表示

Cloud Firewall は、ご利用のクラウドアセットのインバウンドおよびアウトバウンドのインターネットトラフィックに関する統計を提供します。これらの統計は、Cloud Firewall がアセットをどの程度保護し、安全に保っているかを評価するのに役立ちます。インターネットブロックデータは、最大 90 日前までクエリできます。各クエリは最大 31 日間をカバーします。

「レスポンス検出 > Security Events > 侵入防御」ページに移動します。「Protection Status」タブで、時間範囲を設定し、保護統計および保護詳細リストを表示します。

• Protection Statistics モジュールは、総攻撃数、攻撃タイプ分布、およびブロックデータを表示します。

  ブロックデータのメトリックには、次のものが含まれます。

  • Top Blocked Destinations: Cloud Firewall によってブロックされたトラフィックの中から、上位 5 件の宛先 IP アドレスを表示します。

    ブロックされた宛先 IP にカーソルを合わせ、 アイコンをクリックすると、ログ監査 ページが開きます。そのページでは、その IP の宛先ポート、アプリケーションタイプ、操作などの詳細情報を確認できます。

  • Top Blocked Sources: Cloud Firewall によってブロックされたトラフィックの中で、割合順の上位 3 つのソースの種類を表示します。

  • Top Blocked Applications: Cloud Firewall によってブロックされたトラフィックの中で、アプリケーションの種類の上位 5 件を表示します。

• 保護詳細リスト: クエリ条件に基づいて、攻撃トラフィックの保護詳細を一覧表示します。詳細には、リスクレベル、イベント数、ソース IP アドレス、および宛先 IP アドレスが含まれます。

  

  説明

  ソース IP が WAF または DDoS の back-to-origin IP アドレスである場合、Cloud Firewall はそのような back-to-origin IP アドレスを検出し、WAF back-to-origin IP アドレス および DDoS back-to-origin IP アドレス を表示します。

  このセクションでは、次のことができます。

  • イベントの検索: リスクレベル、防御ステータス、攻撃タイプ、ソース、方向、時間範囲などのフィルターを設定し、検索 をクリックすると、一致するイベントが表示されます。

  • イベント詳細の表示: アクション 列で、Details をクリックしてブロックされたイベントの詳細ページを開きます。基本情報、攻撃ペイロード、およびその他の詳細を確認します。攻撃ペイロードには、5 タプル情報とペイロードの内容が表示されます。これにより、攻撃をトレースし、セキュリティリスクを軽減できます。

  • ブロックされたイベントのダウンロード：検索バーの右側にある アイコンをクリックします。その後、右上隅の ダウンロードタスクの管理 パネルからイベントをダウンロードします。

  • AI アシストによるイベント分析：「AI Analysis」列の アイコンをクリックして、セキュリティ AI アシスタントによる迅速なイベント分析の支援を利用します。

    これには、次のものが含まれます。

    ペイロードコンテンツ分析: リクエストの簡単な説明と、要求された操作の AI 分析。
    脅威インテリジェンス: 送信先アドレスと脅威インテリジェンスデータベースとの比較結果。 説明 この機能は、Cloud Firewall の Premium Edition または 従量課金 エディションでは利用できません。
    攻撃者の意図: AI 予測による攻撃者の動作。
    緩和の推奨事項: Cloud Firewall の緩和設定 (ACL ポリシーや IPS 設定など) とアセットチェックに関する提案。

VPC ブロックイベントの表示

Cloud Firewall は、VPC 間のトラフィックのトラフィック保護統計を提供します。ご利用の VPC のトラフィックフローとブロックステータスを表示できます。VPC ブロックデータは、最大 90 日前までクエリできます。各クエリは最大 31 日間をカバーします。

レスポンス検出 > Security Events > 侵入防御 ページに移動します。VPC 保護 タブで、選択した時間範囲内の VPC ブロックイベントについて、イベント名、リスクレベル、攻撃タイプなどの詳細を表示します。

次のことができます。

• イベントの検索: リスクレベル、防御ステータス、攻撃タイプ、および時間などのフィルターを設定します。その後、検索 をクリックして、一致するイベントを表示します。

• イベント詳細の表示: アクション 列で Details をクリックしてブロックされたイベントの詳細ページを開き、基本情報、攻撃ペイロード、およびその他の詳細を確認します。攻撃ペイロードには、5 タプル情報とペイロードの内容が表示されます。これにより、攻撃をトレースし、セキュリティリスクを軽減できます。

• 保護イベントのダウンロード：検索バーの右側にある アイコンをクリックします。その後、右上隅の ダウンロードタスクの管理 パネルからイベントをダウンロードします。

• AI 支援によるイベント分析: AI Analysis 列の アイコンをクリックすると、セキュリティ AI アシスタント でイベントを迅速に分析できます。

  これには、次のものが含まれます。

  ペイロードコンテンツ分析: リクエストの簡単な説明と、要求された操作の AI 分析。
  脅威インテリジェンス: 送信先アドレスと脅威インテリジェンスデータベースとの比較結果。 説明 この機能は、Cloud Firewall の Premium Edition または 従量課金 エディションでは利用できません。
  攻撃者の意図: AI 予測攻撃者の動作。
  緩和の推奨事項: Cloud Firewall の緩和設定 (ACL ポリシーや IPS 設定など) とアセットチェックに関する提案。