Cisco Cyber Threat Defense Solution 1.1設計および実装ガイ ド最終更新日 ： 2013 年 7 月 28 日

2 Cisco Validated Design2

Matt Robertson

Brian MacMahon

Cisco Validated Design 3

執筆者について

Matt は、 シスコのセキュ リ テ ィ テ ク ノ ロジー グループのテ クニカル マーケテ ィ ング エンジニア と し て、 シスコの世界最大規模の顧客を担当し ています。 ウォータールー大学でコ ンピ ュータ工学の学士号と修士号を取得し ており、 現在は、 高度な脅威検出と防御を行う ソ リ ューシ ョ ンの開発に注力し ています。

Brian McMahon は、 過去 25 年間にわた り、 さ まざまな規模の機関向けの教育、 テス ト 、テ クニカル サポー ト など、 コ ンピ ュータおよびネ ッ ト ワーク セキュ リ テ ィ に関する多様な業務を担当し てきま し た。 現在は、 シスコのテ クニカル マーケテ ィ ング エンジニア とし て、 ネ ッ ト ワークの動作に基づ く 脅威検出システムの開発に取り組んでいます。

執筆者について

C O N T E N T S

はじめに 6製品およびリ リース 7

ソ リ ューシ ョ ンの概要 9アーキテ クチャ 9NetFlow の概要 10モニ タ リ ング場所の選択 111 秒あた りのフ ロー ボリ ュームの決定 14

Lancope StealthWatch システムの導入 16設計上の考慮事項 16Lancope StealthWatch システムの導入 21Lancope StealthWatch システムの初期化 28

シスコ デバイスでの Flexible NetFlow の設定 33Flexible NetFlow の設定の概要 33Cisco Catalyst 3560-X および 3750-X シ リーズ 34Cisco Catalyst 4500 シ リーズ Supervisor Engine 7-E/7-LE 40Cisco Catalyst 6500 シ リーズ Supervisor Engine 2T 44シスコ サービス統合型ルータ G2 48Cisco ASR 1000 シ リーズ 52Cisco NetFlow Generation Appliance 56Cisco ASA 5500 シ リーズ適応型セキュ リ テ ィ アプ ラ イアンス 59Flexible NetFlow エクスポー ト の確認 62

NetFlow 分析と アイデンテ ィ テ ィ 、 デバイス プロ フ ァ イ リ ングおよびユーザ サービスとの統合 66

概要 66Lancope SMC と Cisco Identity Services Engine の統合 66

ま とめ 73

付録 A ： 参照 74セキュア ネ ッ ト ワーク サービス 74NetFlow 74Identity Services Engine 74

Cisco Validated Design プログラムについて 75

4Cisco Cyber Threat Defense Solution 1.1

5Cisco Cyber Threat Defense Solution 1.1

0Cisco Cyber Threat Defense Solution 1.1

はじめに脅威の状況は進化しています。 政府機関および大企業には Advanced Persistent Threat （APT） として知られるターゲッ ト を絞ったカスタム攻撃が押し寄せています。 これらの APT は多くの場合、 組織の境界防御を擦り抜けてネッ ト ワークにアクセスできるよ う な動機と資金力がある攻撃者によって開始されます。 これに対応するために政府機関や大企業の多くは、 ネッ ト ワークを脅かす攻撃を特定し、 調査するツールに注目しています。

Cisco Cyber Threat Defense Solution 1.1 は、内部ネッ ト ワークですでに動作中の脅威を検出するプロアクテ ィブな機能を備えています。 このソ リ ューシ ョ ンはネッ ト ワーク デバイスからテレ メト リ を使用して、 ネッ ト ワーク内部全体の広範囲にわたる本格的な可視性を提供します。 これによ り、 セキュ リ テ ィ オペレータはネッ ト ワーク ト ラフ ィ ッ クの 「誰が、 何を、 いつ、 どこで、 なぜ、 どのよ うに」 を把握して異常を検出するこ とができます。 このアプローチによ り、従来のネッ ト ワーク セキュ リ テ ィ プラ ッ ト フォームが通常存在しないアクセス レイヤおよびディ ス ト リ ビューシ ョ ン レイヤで、 疑わしいアクテ ィ ビテ ィ をさ らに可視化できます。 Cisco Cyber Threat Defense Solution 1.1 が提供する可視性およびコンテキス トのレベルは、 脆弱性が悪用される時間を大幅に削減し、 セキュ リ テ ィ オペレータの手に管理を戻すこ とができます。

ネッ ト ワーク全体に Cisco Cyber Threat Defense Solution 1.1 を配置する と、 次を含む （ただし これに限定されません） 広範なセキュ リ テ ィ タス クに役立つ情報と可視性が提供され、 セキュ リテ ィ オペレータをサポート します。

• データ損失イベン ト の検出

• 内部ネッ ト ワーク上のネッ ト ワーク調査アクテ ィ ビテ ィの検出

• 内部ネッ ト ワーク全体へのマルウェア拡散の検出および監視

• 内部ネッ ト ワークのボッ ト ネッ ト コマン ド と コン ト ロール チャネルの検出

Cisco Cyber Threat Defense Solution 1.1 は、 NetFlow や Network-Based Application Recognition（NBAR） などのシスコのネッ ト ワーキング テク ノ ロジーや、 Cisco Identity Services Engine（ISE） のアイデンテ ィテ ィ、 デバイス プロファ イ リ ング、 ポスチャおよびユーザ ポ リ シー サービスを利用します。

Copyright © 2013 Cisco Systems, Inc. All rights reserved

シスコ システムズ合同会社

〒 107-6227 東京都港区赤坂 9-7-1 ミ ッ ド タウン・タワー

はじめに

シスコは、 Lancope® と共同で Cisco Cyber Threat Defense Solution 1.1 を開発し提供しています。シスコが提供する Lancope StealthWatch® System は、 現在市販されているフローベース セキュ リテ ィ モニタ リ ング ソ リ ューシ ョ ンの中でも ト ップク ラスのソ リ ューシ ョ ンであ り、 Cisco Cyber Threat Defense Solution 1.1 では、 NetFlow アナラ イザおよび管理システムと して動作します。

このマニュアルでは、 Cisco Cyber Threat Defense Solution 1.1 の設計、 導入および実装の詳細について説明します。

製品および リ リ ース

Cisco Cyber Threat Defense Solution 1.1 は、 表 1 に示すコンポーネン ト を使用して、 明示されたすべての目標が達成される こ とが実証されたシステムです。

表 1 Cisco Cyber Threat Defense Solution 1.1 のコ ンポーネン ト

コ ンポーネン ト ハー ド ウ ェ ア リ リースイ メ ージ タ イプ と ライセンス

Cisco Catalyst®

3560-X または 3750-X シ リーズ

バージ ョ ン ID ： 02

リ ビジ ョ ン 0x03

10 GE サービス モジュール

Cisco IOS® ソフ トウェア リ リース 15.0(1)SE3

ユニバーサルおよび IP サービス

Cisco Catalyst 4500E シリーズ

Supervisor 7E Cisco IOS ソフ ト ウェア リ リース 15.0(2)X0

ユニバーサルおよび IP Base

Supervisor 7L-E Cisco IOS ソフ ト ウェア リ リース 15.0(2)X0

ユニバーサルおよび IP Base

Cisco Catalyst 6500 シリーズ

Supervisor 2T Cisco IOS ソフ ト ウェア リ リース 15.0(1)SY2

Advanced Enterprise

Services、 Advanced IP Services および IP Base

Cisco ISR G2 任意 Cisco IOS ソフ ト ウェア リ リース 15.2(4)M2

ユニバーサルおよび IP Base

Cisco ASR 1000 シ リーズ アグ リゲーシ ョ ン サービス ルータ

Cisco ASR 1000 シ リーズ ルータ プロセッサ 1 または 2 （RP1/RP2）、Cisco ASR 1001 ルータ、 Cisco ASR 1002 固定ルータ、 Cisco 1004、1006、 および次のプロセッサが装備された 1013 ルータ

• 10、 20、 または 40 Gbps の Embedded Services

Processor （ESP）

• SPA インターフェイス プロセッサ（SIP） 10/40

Cisco IOS Software

Release 15.2(1)S または XE3.5

ユニバーサルおよび IP Base

Cisco Adaptive Security Appliance

任意 Cisco ASA ソフ トウェア リ リース 8.4(4)1

任意

0Cisco Cyber Threat Defense Solution 1.1

7

はじめに

（注） 現在、 WS-X6908-10G-2T/2TXL、 WS-X6816-10T-2T/2TXL、 DFC4/DFC4XL を搭載した WS-X6716-10G、 および DFC4/DFC4XL を搭載した WS-X6716-10T ラ インカードのみが、Supervisor Engine 2T ベースのシステムで NetFlow レコードのエクスポート を実行できます。将来、 すべての Cisco Catalyst 6500 シ リーズ モジュールがこの機能をサポートする予定です。

（注） Cisco Catalyst 3560-X/3750-X シ リーズ スイ ッチでは、 NetFlow サービスは、 サービス モジュールの 2 個の 10 ギガビッ ト イーサネッ ト ポート でのみサポート されます。現在の リ リースでは、これらのポートは 10 ギガビッ ト イーサネッ ト ケーブル配線またはファ イバ チャネル SFP のみをサポート しています。

（注） ベス ト プラ クテ ィ ス ： ネッ ト ワーク全体を、 リ ス ト したシスコのネッ ト ワーク デバイスのみで構築できない場合があ り ます。 こ う した状況で、 ソ リ ューシ ョ ンに必要な広範囲にわたるネッ ト ワークの可視化を実現するには、 Lancope StealthWatch FlowSensor を使用する必要がある場合があ り ます。

Cisco NetFlow Generation Appliance

3140 Cisco NGA ソフ トウェア リ リース 1.0

任意

Cisco Identity Services Engine

任意 （VM を含む） Cisco ISE ソフ ト ウェア バージ ョ ン 1.1.1

任意

Lancope StealthWatch

管理コンソール任意 （VM を含む） StealthWatch 6.3 任意

Lancope StealthWatch FlowCollector

任意 （VM を含む） StealthWatch 6.3 任意

Lancope StealthWatch FlowSensor

任意 （VM を含む） StealthWatch 6.3 任意

Lancope StealthWatch FlowReplicator

任意 （VM を含む） StealthWatch 6.3 任意

表 1 Cisco Cyber Threat Defense Solution 1.1 のコ ンポーネン ト （続き）

80Cisco Cyber Threat Defense Solution 1.1

ソ リ ューシ ョ ンの概要

ソ リ ューシ ョ ンの概要

アーキテ クチャ

Cisco Cyber Threat Defense Solution 1.1 は、 Cisco NetFlow テク ノ ロジーを使用して、 すべてのネッ ト ワーク ト ラフ ィ ッ クへの包括的な可視性を提供します。 Cisco NetFlow テク ノ ロジーは、シスコ エンタープラ イズ スイ ッチおよびルータでサポート され、 パフォーマンスに影響しない完全なテレ メ ト リ をネッ ト ワークのすべての層で実装できるよ うにします。 この強化された可視性と Cisco TrustSec® ソ リ ューシ ョ ンからのアイデンテ ィテ ィおよびコンテキス ト情報を組み合わせる こ とで、 セキュ リ テ ィ オペレータはネッ ト ワークの ト ラフ ィ ッ クをよ り よ く把握できます。 図 1 に、 Cisco Cyber Threat Defense Solution 1.1 のハイレベルなシステム アーキテクチャを示します。

図 1 Cyber Threat Defense Solution 1.1 アーキテ ク チ ャ

ネッ ト ワーク ト ラフ ィ ッ クへの可視性は、 シスコ ルータおよびスイ ッチからの NetFlow エクスポート を通じて提供されます。 アイデンテ ィテ ィ サービス （ユーザ名とプロファ イル情報を含む） は、 Cisco TrustSec ソ リ ューシ ョ ンで提供されます。 Lancope StealthWatch FlowCollector は NetFlow 収集サービスを提供し、 疑わしいアクテ ィ ビテ ィ を検出する分析を実行します。StealthWatch 管理コンソールは、 すべての StealthWatch アプラ イアンスの一元管理を実現し、NetFlow とアイデンテ ィテ ィの複合分析の リ アルタ イムのデータ相関、 可視化、 および統合レポート を提供します。

Cisco Cyber Threat Defense Solution 1.1 のコンポーネン ト には、 ユーザを認証し NetFlow データを生成するネッ ト ワーク デバイス、 Lancope StealthWatch システムのコンポーネン ト 、 および Cisco TrustSec からのコンポーネン ト が含まれます。 フローと動作の可視性を得るための 小システム要件は、 StealthWatch 管理コンソールで管理される単一の StealthWatch FlowCollector を搭載した 1 つ以上の NetFlow ジェネレータです。 アイデンテ ィテ ィ サービスを得るための 小要件は、有効な Cisco TrustSec モニタ リ ング モードの展開で Cisco ISE と 1 つ以上の認証アクセス デバイスを配置する こ とです。

0Cisco Cyber Threat Defense Solution 1.1

9

ソ リ ューシ ョ ンの概要

NetFlow の概要

NetFlow は、 シスコ デバイスを通過する ト ラフ ィ ッ ク フロー （フローは、 任意の送信元と宛先間の単方向のパケッ ト ス ト リーム と して識別） の IP ネッ ト ワーク ト ラフ ィ ッ ク属性を計測するシスコのアプ リ ケーシ ョ ンです。 当初、 NetFlow は帯域幅、 アプ リ ケーシ ョ ン パフォーマンス、 使用率などのネッ ト ワーク ト ラフ ィ ッ クの特性を測定するために作成されました。 これまでに NetFlow は、 課金とアカウンテ ィ ング、 ネッ ト ワークの容量計画、 および可用性モニタ リングに使用されています。 NetFlow はレポー ト テク ノ ロジーです。 ト ラフ ィ ッ クがデバイスを通過する と き、 デバイスは ト ラフ ィ ッ ク フローの情報を収集し、 フローが発生した後に情報をレポート します。 NetFlow レポー ト には、 否認防止、 異常検出、 調査機能を提供する機能を含む強力なセキュ リ テ ィ アプ リ ケーシ ョ ンが付属しています。

NetFlow は 初の導入以来、 表 2 に示すよ うに多くのバージ ョ ンを経ています。 固定エクスポート形式のバージ ョ ン （1、 5、 7、 8） は柔軟性または適応性がな く、 各新バージ ョ ンには、以前のバージ ョ ン と互換性のない新しいエクスポート フ ィールドが含まれています。 NetFlow バージ ョ ン 9 では、 収集とエクスポー ト プロセスが完全に分離され、 NetFlow 収集のカスタマイズができます。

表 2 NetFlow のバージ ョ ン

Cisco Cyber Threat Defense Solution 1.1 は、カスタマイズ可能な NetFlow v9 レコードに対応できるよ うに、 Cisco IOS の Flexible NetFlow 機能のカスタマイズ機能を利用します。 このアプローチを使用して、 Cisco Cyber Threat Defense Solution 1.1 は TCP フラグ、 パケッ ト存続時間（TTL） 値、 プロ ト コル、 および NBAR を使用したアプ リ ケーシ ョ ン名などのパケッ ト フ ィールドを収集する こ とによ り、 各デバイスのセキュ リ テ ィ モニタ リ ングの可能性を 大限に高めるために各ソ リ ューシ ョ ン デバイスの NetFlow レコードを定義しています。 これらのフ ィールドの多くは、 NetFlow プロ ト コルの以前のバージ ョ ンでは使用できません。 それらを使用しないと、 Cisco Cyber Threat Defense Solution 1.1 に存在する微調整された検出アルゴ リ ズムの一部によって提供される利点が失われます。

（注） ベス ト プラ クテ ィ ス ： Cisco IOS Flexible NetFlow 機能を可能な限り使用して ください。

バージ ョ ン ステータ ス

1 元のバージ ョ ン。 v5 と似ていますが、 シーケンス番号または BGP 情報があ りません

2 リ リースされていません

3 リ リースされていません

4 リ リースされていません

5 固定形式。 実稼動で も一般的なバージ ョ ン。

6 リ リースされていません

7 v5 と似ていますが、 AS インターフェイス、 TCP フラグ、 および ToS 情報が含まれません。 Cisco Catalyst 6500 および 7600 に固有

8 11 の集約方式の選択。 企業では広く普及しませんでした

9 追加フ ィールドおよび技術のサポート を可能にする柔軟で拡張可能なエクスポート形式

IPFIX v9 と似ていますが、 標準化されていて可変長フ ィールドが付属しています

100Cisco Cyber Threat Defense Solution 1.1

ソ リ ューシ ョ ンの概要

図 2 に、 シスコ デバイスでの NetFlow 動作を示します。

1. フローがシスコ デバイス （NetFlow ジェネレータ） を通過する際、 NetFlow キー フ ィールドが抽出されます。

2. キー フ ィールドは、NetFlow キャ ッシュのフローを識別するために使用されます。NetFlow キャ ッシュは、 デバイス上に保持されるフローのデータベースです。 キー フ ィールドに加えて、 シスコ デバイスは TCP フラグ、 バイ ト カウンタ、 開始および終了時間などの追加で設定された収集フ ィールドを収集し、 このフローの NetFlow キャ ッシュ エン ト リ にこの情報を保存します。

3. フローが終了するか、 タ イムアウ ト イベン ト が発生する と、 フロー レコード と呼ばれる NetFlow Protocol Data Unit （PDU） が生成されてフロー コレ ク タに送信されます。

図 2 シス コ デバイ スでの NetFlow の動作

モニ タ リ ング場所の選択

Cisco Cyber Threat Defense Solution 1.1 は、 NetFlow がネッ ト ワークのすべてのレイヤのネッ トワーク デバイスでイネーブルになっている と きに も効果を発揮します。 このレベルの可視性では、 すべてのネッ ト ワーク ト ラフ ィ ッ クを記録および分析し、 内部ネッ ト ワークを介して横方向に広がったマルウェア、 つま り VLAN を出る こ とな く レイヤ 3 境界を通過せずに他のホスト に広がるマルウェアなどの脅威を識別する こ とができます。 ネッ ト ワーク全体の可視性は、ト ラフ ィ ッ クの送信元に近いと き、 行動アルゴ リ ズムの精度が向上し、 ネッ ト ワーク通信が消失しないこ とを保証します。

（注） ベス ト プラ クテ ィ ス ： NetFlow ができるだけアクセス レイヤの近くになるよ うにします。

Cisco Cyber Threat Defense Solution 1.1 実装では、 完全な （非サンプル） 方法で NetFlow を使用する必要があ り ます。 関連付けられたネッ ト ワーク レコードがあるのは特定の割合のネッ トワーク フローのみなので、 サンプ リ ングされた NetFlow では盲点が残り ます。 したがって、 悪意のあるアクテ ィ ビテ ィ を示す単一の ト ラフ ィ ッ ク異常を検出する こ とが困難にな り ます。

0Cisco Cyber Threat Defense Solution 1.1

11

ソ リ ューシ ョ ンの概要

一部の古いシスコ デバイス、 Cisco サービス統合型ルータ （ISR） および Cisco Aggregated Services Router （ASR） は、 機能セッ ト のソフ ト ウェア実装を使用して NetFlow サービスをサポート します。 ソフ ト ウェアでサポート されている NetFlow サービスを展開する と きは、 ソフト ウェア ルータの現在の使用率を考慮して ください。 NetFlow の使用可能性がデバイス パフォーマンスに影響を与える可能性があるためです。 たとえば、 Cisco IOS ソフ ト ウェアを実行しているフル ロード されたソフ ト ウェア ルータは、 NetFlow の有効化によ り CPU 使用率が約 15 パーセン ト上昇する場合があ り ます。 ソフ ト ウェアでサポート されている NetFlow サービスを実装する場合は、 次の URL にある Cisco NetFlow パフォーマンス分析のホワイ トペーパーを参照して ください ：http://www.cisco.com/en/US/solutions/collateral/ns341/ns524/ns562/ns583/net_implementation_white_paper0900aecd80308a66.pdf

ハード ウェアでサポート されている NetFlow を搭載したシスコ デバイスは、 NetFlow サービスがイネーブルのと きに 小限のパフォーマンス低下が起こ り ます。 これらのデバイスでの も重要なパフォーマンス制限は、 ハード ウェアでサポート される NetFlow キャ ッシュのサイズです。 表 3 に、 CTD 1.1 ソ リ ューシ ョ ン コンポーネン ト がハード ウェアまたはソフ ト ウェアでサポート されるかど うかを示します。

表 3 NetFlow サポー ト ： ハー ド ウ ェ アまたはソ フ ト ウ ェ ア

表 4 に、 ハード ウェアでサポート される NetFlow を搭載したソ リ ューシ ョ ン デバイスのキャ ッシュ サイズの制限を示します。 デバイスの NetFlow キャ ッシュが満杯になる と、 デバイスはデバイスを通過する新しいフローの NetFlow レコードを生成しません。

表 4 シス コ デバイ スの NetFlow キャ ッ シ ュ サイズの制限

コ ンポーネン ト ハー ド ウ ェ ア サポー ト ソ フ ト ウ ェ アのサポー ト

Cisco Catalyst 3560-X または 3750-X シリーズ

X

Cisco Catalyst 4500E シ リーズ X

Cisco Catalyst 6500 シ リーズ X

Cisco NetFlow Generation Appliance X

Cisco ISR G2 X

Cisco ASR 1000 シ リーズ X

Cisco Adaptive Security Appliance X1

1. NetFlow Security Event Logging （NSEL） と して知られる ASA NetFlow 実装は、 ほとんどのソフ ト ウェアでサポート される NetFlow 実装とは異な り ます。 詳細については、 このガイ ドの ASA に関する項を参照して ください。

コ ンポーネン ト ハー ド ウ ェ アキャ ッ シ ュ サイズ（フ ロー）

Cisco Catalyst 3500-X 10 GE サービス モジュール 32,000

Cisco Catalyst 4500E シ リーズ Supervisor 7E 128,000

Supervisor 7L-E 128,000

Cisco Catalyst 6500 シ リーズ Supervisor 2T 512,000

Supervisor 2TXL 100 万

120Cisco Cyber Threat Defense Solution 1.1

ソ リ ューシ ョ ンの概要

（注） ソフ ト ウェアでサポート されている NetFlow を搭載したデバイス （ISR など） での NetFlow キャ ッシュ サイズは、 使用可能なメモ リ量で制限されます。

Cisco Cyber Threat Defense Solution 1.1 のすべての NetFlow 生成デバイスは Flexible NetFlow 機能をサポート していますが、 カスタマイズ可能なフロー レコードのサポートは、 プラ ッ トフォームによって異な り ます。 これは、 すべての必要なセキュ リ テ ィ情報を把握し、 ソ リ ューシ ョ ンのあらゆるデバイスにそれを適用できるユニバーサル フロー レコードはないこ とを意味します。 表 5 に、 ソ リ ューシ ョ ン デバイスでのフロー レコードのサポート を示します。 サポート の差異を考慮する と、 良の結果は可視性のギャ ップを埋めるために導入環境に異機種混在型のソ リ ューシ ョ ン コンポーネン ト がある場合に得られます。

表 5 フ ロー レ コー ド のサポー ト

最適な ソ リ ューシ ョ ン フロー レ コー ド

Cisco Catalyst 3560-X/ 3750-X

Cisco Catalyst 4500 Sup7-E/ Sup7L-E

シス コ Catalyst 6500 Sup2T Cisco ISR

Cisco ASR 1000

シス コ NGA

match ipv4 tos Yes Yes Yes Yes Yes Yes

match ipv4 protocol Yes Yes Yes Yes Yes Yes

match ipv4 source address Yes Yes Yes Yes Yes Yes

match ipv4 destination address Yes Yes Yes Yes Yes Yes

match ipv4 destination address Yes Yes Yes Yes Yes Yes

match transport destination-port

Yes Yes Yes Yes Yes Yes

match interface input Yes Yes Yes Yes Yes Yes

match datalink mac source-address

Yes No No No No No

match datalink mac destination-address

Yes No No No No No

collect routing next-hop address ipv4

No No No Yes Yes Yes

collect ipv4 dscp No No Yes Yes Yes

collect ipv4 ttl minimum match ipv4 ttl No Yes Yes Yes

collect ipv4 ttl maximum match ipv4 ttl No Yes Yes Yes

collect transport tcp flags No Yes Yes Yes Yes Yes

collect interface output Yes Yes Yes Yes Yes Nocollect counter bytes Yes Yes Yes Yes Yes Yes

collect counter packets Yes Yes Yes Yes Yes Yes

collect timestamp sys-uptime first

Yes Yes Yes Yes Yes Yes

collect timestamp sys-uptime last

Yes Yes Yes Yes Yes Yes

collect application name No No No Yes Yes No

0Cisco Cyber Threat Defense Solution 1.1

13

ソ リ ューシ ョ ンの概要

（注） ベス ト プラ クテ ィ ス ： ソ リ ューシ ョ ンが機能するためにすべてのシスコ ネッ ト ワーク デバイスがその展開に存在する必要はあ り ませんが、 各プラ ッ ト フォームで NetFlow サポート の違いがあるため一覧表示されているデバイスの異機種混在を導入する こ と を推奨します。

モニタ リ ングの場所と NetFlow 生成デバイスを選択後、 NetFlow をそのデバイスでイネーブルにする必要があ り ます。 詳細については、 このガイ ドのデバイス固有の NetFlow 設定の項を参照して ください。

1 秒あた りのフ ロー ボリ ュームの決定

モニタ リ ングの場所を特定したら、 次の手順はモニタ リ ングの場所によって生成される 1 秒あた りのフロー数 （fps） を決定し測定する こ とです。 fps の数 （量） は、 StealthWatch FlowCollector で受信して分析できる必要があるレコードの数を示します。 この数は、 （後の項で説明する） StealthWatch FlowCollector モデルの選択時に考慮される必要があ り ます。

Cisco Cyber Threat Defense Solution 1.1 の導入前に fps 数を決定する場合は慎重な検討を必要とします。 多くの要因がネッ ト ワーク デバイスによって生成されるフロー ボ リ ュームに影響を与える可能性があるため、 正確な数を予測する こ とは困難な場合があ り ます。 一般に、NetFlow ジェネレータは、 通過する ト ラフ ィ ッ クの 1 Gbps あた り 1000 ～ 5000 fps を生成します。 ただし、 これは一般的なガイ ド ラ インで、 開始点と してのみ使用して ください。

ト ラフ ィ ッ ク スループッ ト （Gbps） は fps 数に直接影響しません。 直接影響を与える唯一の尺度は、 デバイスを通過するフローの数 （およびレート ） です。 たとえば、 単一の大容量 （1 Gbps） のフローがポート を通過する と、 fps 数が 1 未満になる場合があ り ます。 その一方、ポー ト を通過する少容量のフローがある と、 合計スループッ トは低く fps 数は高く なる （たとえば、 合計スループッ ト が 100 Mbps で 4000 フロー） 場合があ り ます。 fps 数は、 次の測定値に大き く影響されます。

• デバイスを通過する一意のフローの数

• 1 秒あた りの新しい接続数

• フローの有効期間 （短寿命か長寿命か）

一般に重要な問題ではあ り ませんが、 NetFlow レコードがネッ ト ワーク ト ラ フ ィ ッ クに与える影響を考慮して ください。 NetFlow レコードが ト ラフ ィ ッ ク フロー全体に関するレポー トを表すため、 NetFlow は一般にネッ ト ワークに微小の ト ラフ ィ ッ クを追加します。 ただし、 一部の ト ラフ ィ ッ ク セッ ト は他のセッ ト よ り も多くの NetFlow レコード を生成できます。 以下は、 NetFlow によって生じるネッ ト ワーク オーバーヘッ ドに影響する可能性がある要因の一部です。

• 1 秒あた りのフロー数

• NetFlow レコードのサイズ。Cyber Threat Defense Solution 1.1 は、1500 バイ ト パケッ ト あたり平均 34 の NetFlow レコードをもたらす NetFlow v9 を推奨します。

• フロー タ イマー （フローのアクテ ィブおよび非アクテ ィブ タ イムアウ ト ）。 Cyber Threat Defense Solution 1.1 は、 60 秒のアクテ ィブ タ イマーと 15 秒の非アクテ ィブ タ イマーを推奨します。

NetFlow のイネーブル化の影響を予測するには、 次の URL で入手できる Lancope NetFlow Bandwidth Calculator を使用して ください。http://www.lancope.com/resource-center/netflow-bandwidth-calculator-stealthwatch-calculator/

140Cisco Cyber Threat Defense Solution 1.1

ソ リ ューシ ョ ンの概要

（注） ベス ト プラ クテ ィ ス ： NetFlow のオーバーヘッ ドを 小化する こ とが懸案事項の場合は、NetFlow 収集をできるだけ NetFlow ジェネレータの近くで行う必要があ り ます。

（注） ベス ト プラ クテ ィ ス ： 非対称のルーテ ィ ング状況では、 非対称ルート のすべてのデバイスが同じ FlowCollector に NetFlow レコードを送信する必要があ り ます。

モニタ リ ングの場所を決定し、 設計を検討した後は、 Cisco Cyber Threat Defense Solution 1.1 導入の次のステップと して、 Lancope StealthWatch システム コンポーネン ト を選択し配置します。

0Cisco Cyber Threat Defense Solution 1.1

15

Lancope StealthWatch システムの導入

Lancope StealthWatch システムの導入シスコによって提供される Lancope StealthWatch® System は、 現在市販されているフローベース セキュ リ テ ィ モニタ リ ング ソ リ ューシ ョ ンの中でも ト ップク ラ スのソ リ ューシ ョ ンであり 、 Cisco Cyber Threat Defense Solution 1.1 で NetFlow アナラ イザおよび管理システム と して動作します。 表 6 では、 Lancope StealthWatch システムの各コンポーネン ト を簡単に紹介して説明します。

表 6 Lancope StealthWatch システム コ ンポーネン ト

設計上の考慮事項

StealthWatch FlowSensor の追加 （オプシ ョ ン）

NetFlow 生成をネッ ト ワーク機器から行えない場合は、 Lancope StealthWatch FlowSensor および FlowSensor VE を使用して、 通信をフロー レコードに変換できます。 これによ り 、 このガイ ドで指定されていないネッ ト ワーキング機器を Cisco Cyber Threat Defense Solution 1.1 の導入に参加させる こ とができます。 また、 StealthWatch FlowSensor はネッ ト ワークの重要な領域に対するパケッ ト レベルのアプ リ ケーシ ョ ン ID とパフォーマンス メ ト リ ッ クの追加に使用できます。

Cisco Cyber Threat Defense Solution 1.1 の導入に StealthWatch FlowSensor を追加する こ と を検討する場合は、 次の手順を実行します。

コ ンポーネン ト 説明

StealthWatch

管理コンソール企業内のセキュ リ テ ィ とネッ ト ワーク インテ リ ジェンスを関連付けるために、 すべての StealthWatch アプラ イアンスを管理、調整、 および設定します。 フローとアイデンテ ィテ ィ を関連付けるために、 Cisco Identity Services Engine から認証されたセッシ ョ ン情報を取得します。

StealthWatchFlowCollector

NetFlow 対応デバイスによって生成されるフロー データの中央集中型コレク タ と して機能します。 StealthWatch FlowCollector は、 ネッ ト ワーク ト ラフ ィ ッ クを監視、 分類、 および分析して、ネッ ト ワーク とホス ト の両方のレベルで包括的なセキュ リ テ ィ インテ リ ジェンスを作成します。

StealthWatchFlowReplicator

単一の高速アプラ イアンスの NetFlow、 syslog、 および SNMP 情報を集約します。 この高速 UDP パケッ ト レプ リ ケータは、FlowReplicator で複数の場所から必要なネッ ト ワークの 適化およびセキュ リ テ ィの情報を収集し、 この情報を単一のデータ スト リームで 1 つ以上の StealthWatch FlowCollector アプラ イアンスに転送します。

StealthWatch FlowSensor すべてのホス ト とサーバの通信およびネッ ト ワーク ト ラフ ィ ック統計情報を受動的にモニタし、 それを FlowCollector に送信されるフロー レコードに変換します。

StealthWatch FlowSensor VE 仮想サーバ内部で動作するよ うに設計された仮想アプラ イアンス。 FlowSensor VE は、 VM 内ト ラフ ィ ッ クを受動的にモニタし、 それを FlowCollector に送信されるフロー レコードに変換します。

160Cisco Cyber Threat Defense Solution 1.1

Lancope StealthWatch システムの導入

手順

ステ ッ プ 1 StealthWatch FlowSensor を選択します。

StealthWatch FlowSensor を選択する場合は、 モニタ リ ング ポイン ト の予期される ト ラフ ィ ッ ク プロファ イルを考慮します。 FlowSensor でそのポイン ト に送信されている ト ラフ ィ ッ クのレベルを処理できるよ うにする必要があるためです。 Cisco Cyber Threat Defense Solution 1.1 の他の NetFlow 生成デバイス と同じよ うに、 FlowSensor をできるだけアクセス レイヤの近くに配置する こ と を推奨します。

表 7 に、 StealthWatch FlowSensor アプラ イアンス モデルとその仕様を示します。 表示される処理容量は、 サポート される平均レート です。 FlowSensor は、 表示された容量を超える短期バース ト を処理できます。 すべての NetFlow ジェネレータ と同様に、 StealthWatch FlowSensor によって生成される NetFlow ト ラフ ィ ッ クの量はモニタ対象の ト ラフ ィ ッ ク プロファ イルによって異な り ます。

（注） 1 つの StealthWatch FlowSensor の処理容量に到達した場合は、 適切なイーサネッ ト ロード バランサを使用して複数の FlowSensor をスタ ッ クできます。

StealthWatch FlowSensor VE は、 vSphere/ESX ホス ト内にインス トールされ、 そのホス ト内の VM 間の ト ラフ ィ ッ クの NetFlow レコードを生成するために使用できる仮想アプラ イアンスです。 FlowSensor VE は仮想スイ ッチに無差別に接続します。 これは、 監視する ト ラフ ィ ッ クから イーサネッ ト フレームを受動的にキャプチャし、 カンバセーシ ョ ン ペア、 ビッ ト レー トおよびパケッ ト レー ト に関係する貴重なセッシ ョ ン統計情報を含むフロー レコードを作成します。 FlowSensor VE はその後、 StealthWatch FlowCollector にこれらのレコードを送信します。表 8 では、 StealthWatch FlowCollector VE の導入要件について説明します。

表 8 StealthWatch FlowSensor VE の仕様

表 7 StealthWatch FlowSensor アプラ イアンスの仕様

モデル 処理容量 イ ン ターフ ェ イス 速度 物理層 フ ォーム フ ァ ク タ 電源

250 100 Mbps 2 10/100/100 銅 1 RU シ ョー ト 非冗長

1000 1 Gbps 3 10/100/1000 銅 1 RU シ ョー ト 非冗長

2000 60,000 5 10/100/1000 銅またはファ イバ 1 RU 冗長

3000 120,000 1 または 2 1 GB ファ イバ 1 RU 冗長

デ ィ ス ク領域の要件

フ ロー エ ク スポー ト 形式 CPU の最低要件 最小メ モ リ要件 イ ン ターフ ェ イス

1.4 GB NetFlow v9 2 GHz プロセッサ 512 MB

アプ リ ケーシ ョ ン インスペクシ ョ ン用に 1024 MB

大 16 個の vNIC

0Cisco Cyber Threat Defense Solution 1.1

17

Lancope StealthWatch システムの導入

ステ ッ プ 2 ネッ ト ワークに StealthWatch FlowSensor を統合します。

StealthWatch FlowSensor は、レイヤ 1 またはレイヤ 2 に隣接した形でモニタ リ ング ポイン ト に配置する必要があ り ます。 サンプル配置モードでは、 テス ト アクセス ポー ト （TAP）、Switched Port Analyzer （SPAN） ポー ト 、 またはネッ ト ワーク ハブを使用します。 ネッ ト ワークに StealthWatch FlowSensor を統合する方法の詳細については、 Lancope StealthWatch Documentation CD の 『System Hardware Installation Guide』 を参照して ください。

StealthWatch FlowCollector の選択

StealthWatch FlowCollector は、 Cisco Cyber Threat Defense Solution 1.1 ですべての NetFlow ジェネレータによって生成される NetFlow データの中央集中型コレクシ ョ ンおよび分析ポイン ト として機能します。 ソ リ ューシ ョ ンの導入に必要な StealthWatch FlowCollector の数とモデルの選択は、 次の要因によって異な り ます。

• StealthWatch FlowCollector に到達する 1 秒あた りのフロー ボ リ ュームに影響する前の項で行った決定

• StealthWatch FlowCollector の導入戦略

• 各 StealthWatch FlowCollector の物理容量

手順

ステ ッ プ 1 StealthWatch FlowCollector の導入戦略を決定します。

StealthWatch FlowCollector は分散型または集中型方式で配置できます。 分散配置では、FlowCollector は複数のサイ ト に配置され、 通常は も多い NetFlow レコード数を生成する送信元の近くに配置されます。 この配置は、 NetFlow によって生じるオーバーヘッ ドを制限する とい う利点があ り ます。 集中型配置では、 すべての StealthWatch FlowCollector は単一のデータセンターに配置され （通常はロード バランサの背後など）、 NetFlow 収集全体に対する 1 つの収集場所、 または1 つの IP アド レスの利点が得られます。 この配置は、 NetFlow ジェネレータが離れている環境で利点をもたら します。

サイ ト間の帯域幅が制限される こ とがある とい う点も考慮する必要があ り ます （WAN 経由の場合など）。 一般に、 1 つの FlowCollector をできるだけ関連 ト ラフ ィ ッ クに使用する必要があり ます。 一元化されたコレ クシ ョ ンの利点は、 ト ラフ ィ ッ クが類似していないと小さ く な ります。

特定の FlowCollector がフロー データを受信する と きに、 重複フロー レコードを重複除去します。 これは、 1 つのデータベース エン ト リ がそのフローに対して作成される こ と を意味します。 この重複除去プロセスによ り、 FlowCollector は各フロー エクスポータに関する詳細を保持し、 急増した ト ラフ ィ ッ ク量のレポート を排除する と同時に も効率的な方法でフロー データを保存できます。

理想的な実装では、 特定のフローに関連するデータをエクスポートするすべてのルータはそのデータを同じ FlowCollector に送信します。 ただし、 一意の各ホス ト ペア （またはカンバセーシ ョ ン） は FlowCollector で追加の リ ソースを消費します。同時接続数が多すぎる場合、 フロー レコードはメモ リ から消去されます。 カンバセーシ ョ ンがしばら くの間アイ ドル状態になるまでレコードを消去する こ とな く、 すべてのアクテ ィブなカンバセーシ ョ ンで状態を保つのに十分な リ ソースが FlowCollector に確実に割り当てられるよ う 、 導入計画時に配慮して ください。

（注） ベス ト プラ クテ ィ ス ： フローに属するすべての NetFlow レコードは、 同じ StealthWatch FlowCollector に送信される必要があ り ます。

180Cisco Cyber Threat Defense Solution 1.1

Lancope StealthWatch システムの導入

ステ ッ プ 2 パフォーマンス上の考慮事項

各 StealthWatch FlowCollector は、表 9 に示すよ うに 小の保証フロー ボ リ ュームをサポート できます。 ただし、 Cisco Cyber Threat Defense Solution 1.1 用の StealthWatch FlowCollector を選択する際は次の要因についても考慮して ください。

• エクスポータ カウン ト ： 各 StealthWatch FlowCollector が受け入れる こ とができる NetFlow 生成デバイスの数。

• データ レー ト ： StealthWatch FlowCollector が受信している fps のレート 。

• ホス ト カウン ト ： StealthWatch FlowCollector が状態を維持できるホス ト の数 （ネッ ト ワークの内部と外部の両方）。 内部ホス ト の数はホス ト カウン ト値の 60 パーセン ト を超えないこ とを推奨します。

• フロー ス ト レージ ： ネッ ト ワークの特定のロケーシ ョ ンに必要なきめ細かいフロー データの量。

（注） 特定のシャーシに対しエクスポータの 大数および 大データ レー ト の両方に近づいたシステムは、 パフォーマンスの問題の影響を受ける可能性があ り ます。 たとえば、 大データ レー トの推定 10% ～ 20% の低下は、 エクスポータの 大数で発生する場合があ り ます。

表 10 に、VM の予約済みメモ リ と CPU 数に基づく StealthWatch FlowCollector VE のサポート を示します。

StealthWatch 管理コ ン ソールの選択

StealthWatch 管理コンソール （SMC） は、 StealthWatch システム全体のインス トールを管理し、システムに接続される FlowCollector の数とシステム全体でモニタ されるフローの総ボ リ ュームによってラ イセンス供与されます。

表 11 に、 SMC モデルとそれらがサポート できる StealthWatch FlowCollector の数を示します。表 12 に、 SMC VE がサポート できる （予約済みメモ リ と CPU に基づく ） FlowCollector と同時使用ユーザの数を示します。

表 9 StealthWatch FlowCollector アプ ラ イアンスの仕様

モデル1 秒あた りのフ ロー数 エ ク スポータ ホス ト ス ト レージ

StealthWatch FlowCollector 1000 大 30,000 大 500 大 250,000 1.0 TB

StealthWatch FlowCollector 2000 大 60,000 大 1000 大 500,000 2.0 TB

StealthWatch FlowCollector 4000 大 120,000 大 2000 大 1,000,000 4.0 TB

表 10 StealthWatch FlowCollector VE の仕様

1 秒あた りのフ ロー数 エ ク スポータ ホス ト 予約済み メ モ リ 予約済み CPU

大 4500 大 250 大 125,000 4 GB 2

大 15,000 大 500 大 250,000 8 GB 3

大 22,500 大 1000 大 500,000 16 GB 4

大 30,000 大 1000 大 500,000 32 GB 5

0Cisco Cyber Threat Defense Solution 1.1

19

Lancope StealthWatch システムの導入

表 11 SMC アプ ラ イ アンスの仕様

表 12 SMC VE の仕様

（注） 導入環境で多数のホス ト グループとモニタ対象インターフェイスが予想される場合は、 SMC に送信されるデータの量がこれらの環境で増加する可能性があるため、 よ り高性能な SMC を検討する必要があ り ます。

StealthWatch FlowReplicator の選択 （オプシ ョ ン）

StealthWatch FlowReplicator は、 UDP パケッ ト をモニタ し、 それらのパケッ ト のコピーを生成して 1 つ以上の新しい宛先に送信します。 パケッ トはアプラ イアンスを通過する と きに元の送信元から送信されたよ うに見えるよ うに変換されます。 各 FlowReplicator には 2 つのアクテ ィブなインターフェイスが用意されています。 一方はパケッ ト コピーの管理、 モニタ リ ング、 および生成用に IP アド レスが割り当てられ、 も う一方はモニタ リ ング用の無差別モードにする ことができます。

各 FlowReplicator は、 1 秒あた りのパケッ ト数 （pps） の観点から、 一定ボ リ ュームの出入力について評価されます。 それぞれは、 パケッ ト あた り 2 ～ 3 個のコピーの生成に対してテス ト されますが、 必要に応じてよ り多くの宛先をサポート できます。 表 13 に、 StealthWatch FlowReplicator モデルと仕様を示します。

表 13 StealthWatch FlowReplicator アプ ラ イ アンスの仕様

（注） アプラ イアンスの物理的制限を超過し、 多くのコピーが リ ンクに対して生成されている場合、パケッ トはド ロ ップされます。

SMC モデル 最大 FlowCollector 数 サイズ ス ト レージ メ モ リ

SMC 1000 5 1 RU 1.0 TB 8 GB

SMC 2000 25 2 RU 2.0 TB 16 GB

FlowCollector 同時使用ユーザ 予約済み メ モ リ 予約済み CPU1 2 4 GB 2

3 5 8 GB 3

5 10 16 GB 4

FlowReplicator モデル 処理容量 物理層

フ ォーム フ ァ ク タ 電源 耐障害性

1000 10,000 pps の入力

20,000 pps の出力

銅 1 RU シ ョート

非冗長 No

2000 20,000 pps の入力

60,000 pps の出力

銅またはファ イバ

1 RU 冗長 Yes

200Cisco Cyber Threat Defense Solution 1.1

Lancope StealthWatch システムの導入

Lancope StealthWatch システムの導入

こ こでは、 各アプラ イアンスを Lancope StealthWatch システムに配置し、 Cisco Cyber Threat Defense Solution 1.1 で動作できるよ うにする準備に必要な手順について説明します。

各アプ ラ イ アンスの取り付け

各アプラ イアンスを取り付けるには、 次の手順を実行します。

手順

ステ ッ プ 1 StealthWatch 管理コンソール （SMC） をインス トールします。

管理デバイス と して、 SMC アプラ イアンスはすべての StealthWatch システム コンポーネン トと管理デバイスにアクセスでき Cisco Identity Services Engine への HTTPS 接続を開く こ とができるネッ ト ワーク上の場所に取り付ける必要があ り ます。 フェールオーバー SMC がある場合は、 プラ イマ リおよびセカンダ リ SMC を別々の物理的な場所に設置する こ とを推奨します。詳細については、 Lancope StealthWatch Documentation CD の 『System Hardware Installation Guide』 を参照して ください。

ステ ッ プ 2 （オプシ ョ ン） StealthWatch FlowSensor を取り付けます。

パッシブ モニタ リ ング デバイス と して、 StealthWatch FlowSensor は IP アクテ ィ ビテ ィ を監視および記録するネイテ ィブ NetFlow サポート が現在ないネッ ト ワークの任意の場所に配置できます。Cisco Cyber Threat Defense Solution 1.1 の NetFlow 設定と同様に、 FlowSensor はアクセス レイヤ ト ラフ ィ ッ クをモニタできるよ うに配置する と も効果的です。 StealthWatch FlowSensor の取り付けの詳細については、 Lancope StealthWatch Documentation CD の 『System Hardware Installation Guide』 を参照して ください。

ステ ッ プ 3 （オプシ ョ ン） StealthWatch FlowSensor VE をインス トールます。

StealthWatch FlowSensor VE は、単一の vSphere/ESX ホス ト内の VM 間通信を無差別にモニタするために使用されます。 詳細については、 Lancope StealthWatch Documentation CD の『FlowSensor VE Installation and Configuration Guide』 を参照して ください。

ステ ッ プ 4 StealthWatch FlowCollector を取り付けます。

収集およびモニタ リ ング デバイス と して、 各 StealthWatch FlowCollector アプラ イアンスは NetFlow データを生成して FlowCollector に送信するデバイスにアクセス可能なネッ ト ワーク上の場所に設置する必要があ り ます。 また FlowCollector は、 SMC からの HTTPS アクセスを含めて、 管理インターフェイスにアクセスする必要があるデバイスにアクセスできる こ とが必要です。 詳細については、 Lancope StealthWatch Documentation CD の 『System Hardware Installation Guide』 を参照して ください。

ステ ッ プ 5 （オプシ ョ ン） StealthWatch FlowReplicator を取り付けます。

StealthWatch FlowReplicator を配置する唯一の要件は、 StealthWatch システム コンポーネン ト の他の部分に対して妨げられていない通信パスがある こ とです。 詳細については、 次の手順（ファ イアウォールの設定） と Lancope StealthWatch Documentation CD の 『System Hardware Installation Guide』 を参照して ください。

StealthWatch FlowReplicator には 2 つのアクテ ィブなインターフェイスが用意されています。 一方はパケッ ト コピーの管理、 モニタ リ ング、 および生成用に IP アド レスが割り当てられ、 もう一方はモニタ リ ング用の無差別モードにする こ とができます。

0Cisco Cyber Threat Defense Solution 1.1

21

Lancope StealthWatch システムの導入

フ ァ イ アウォールの設定

ファ イアウォールが配置のどこかにある場合は、 Cyber Threat Defense Solution 1.1 のデータ フローを示した図 3 を参照し、 適切なポートおよびサービスが許可されている こ と を確認して ください。 表 14 では、 必要なサービスをさ らに詳し く示します。 追加情報については、 Lancope StealthWatch Documentation CD の 『System Hardware Installation Guide』 を参照して ください。

図 3 Cisco Cyber Threat Defense Solution 1.1 のデー タ フ ロー

表 14 必要なサービス

ク ラ イアン ト サーバ ポー ト CommentSMC FlowCollector TCP/443 HTTPSSMC Cisco Identity Services

EngineTCP/443 HTTPS

SMC エクスポータ UDP/161 SNMPSMC – UDP/123 NTPSMC –- TCP/25 SMTP （オプシ ョ ン）

SMC - UDP/53 DNSSMC - UDP/162 SNMP-TRAP （オプシ ョ ン）

SMC - UDP/514 SYSLOG （オプシ ョ ン）

SMC Identity Services Engine TCP/443 HTTPS

–- SMC UDP/514 SYSLOG （オプシ ョ ン）

–- SMC UDP/161 SNMP （オプシ ョ ン）

220Cisco Cyber Threat Defense Solution 1.1

Lancope StealthWatch システムの導入

表 14 必要なサービス （続き）

各アプ ラ イ アンスでのシステム設定の実行

システム設定ダイアログは、 各 StealthWatch コンポーネン ト のネッ ト ワーキングおよびアクセス情報を初期化するために使用されます。 ダイアログおよび設定手順は各 StealthWatch アプライアンスで同じです。 この設定の詳細情報は、 Lancope StealthWatch Documentation CD の『System Configuration Guide』 で入手できます。

手順

ステ ッ プ 1 コンソール インターフェイスを介してアプラ イアンスにログインします。

（注） デフォル ト のコンソール ユーザ名は sysadmin で、 パスワードは lan1cope です。

ステ ッ プ 2 システム設定プログラムを実行します。 図 4 のよ う な画面が表示されます。

図 4 システム設定画面

ク ラ イアン ト サーバ ポー ト CommentSW Web インターフェイス SMC TCP/443 HTTPSFlowCollector SMC TCP/443 HTTPSFlowCollector FlowSensor TCP/443 HTTPSFlowCollector –- UDP/123 NTPFlowCollector –- UDP/53 DNSFlowSensor –- UDP/123 NTPFlowSensor –- UDP/53 DNSFlowSensor FlowCollector UDP/2055 NetFlowエクスポータ FlowCollector UDP/2055 NetFlow

0Cisco Cyber Threat Defense Solution 1.1

23

Lancope StealthWatch システムの導入

（注） 追加情報については、 StealthWatch の 『System Configuration Guide』 の第 1 章を参照して ください。

（注） コマン ド プロンプ ト で SystemConfig を入力する とシステム コンフ ィギュレーシ ョ ンが開始します。

ステ ッ プ 3 管理ポート ネッ ト ワーキングを設定します。

これは、 アプラ イアンスがネッ ト ワークに接続するために必要な IP アド レス とサブネッ ト の情報です。 また、 Web インターフェイス経由でアプラ イアンスに接続するために使用される IP アド レスでもあ り ます。

（注） 追加情報については、 StealthWatch の 『System Configuration Guide』 の第 2 章を参照して ください。

（注） ベス ト プラ クテ ィ ス ： すべての StealthWatch システム コンポーネン ト に対し DNS エント リ を設定します。

ステ ッ プ 4 ユーザ パスワードを変更します。

コンソール インターフェイスにアクセスするために使用されるパスワードを変更します。 これは、 アプラ イアンスのコマン ド プロンプ トへの SSH アクセスに使用するパスワードでもあ ります。

（注） 詳細情報については、 『System Configuration Guide』 の第 3 章を参照して ください。

（注） SSH アクセスはデフォル ト ではディセーブルになっており、 Web インターフェイスを介してイネーブルにできます。 これは、 次の手順で説明します。

ステ ッ プ 5 信頼できるホス ト の設定を行います （オプシ ョ ン）。

これらの設定は、 アプラ イアンスにアクセスできるホス ト の IP アド レスを反映します。 追加情報については、 『System Configuration Guide』 の第 4 章を参照して ください。

240Cisco Cyber Threat Defense Solution 1.1

Lancope StealthWatch システムの導入

各アプ ラ イ アンスの Web イ ン タ ーフ ェ イ スにログイ ン し ます。

手順

ステ ッ プ 1 StealthWatch FlowCollector の Web インターフェイスにアクセスします。

Web インターフェイスは https://sfc.demo.local からアクセスできます。 sfc.demo.local は前の手順で設定した IP アド レスに対する DNS エン ト リ です。

ステ ッ プ 2 SMC の Web インターフェイスにアクセスします。

Web インターフェイスは https://smc.demo.local/smc/login.html からアクセスできます。smc.demo.local は前の手順で設定した IP アド レスに対する DNS エン ト リ です。

（注） Web インターフェイスのアクセス クレデンシャルはコンソール アクセス クレデンシャルとは異な り ます。 デフォル ト のユーザ名は admin で、 パスワードは lan411cope です。

ステ ッ プ 3 各アプラ イアンスの Web インターフェイスは、 図 5 のよ うに表示されます。

図 5 StealthWatch FlowCollector の Web イ ン タ ーフ ェ イ ス

（注） 詳細情報については、 『System Configuration Guide』 の第 6 章を参照して ください。

0Cisco Cyber Threat Defense Solution 1.1

25

Lancope StealthWatch システムの導入

ホス ト 名および DNS の設定

手順

ステ ッ プ 1 Web インターフェイスのホームページから、 [Configuration] > [Naming and DNS] をク リ ッ ク します。

ステ ッ プ 2 アプラ イアンスのホス ト名およびド メ イン名を入力します。

ステ ッ プ 3 [Apply] をク リ ッ ク します。

ステ ッ プ 4 テキス ト ボッ ク スに、 DNS サーバのアド レスを入力します。

ステ ッ プ 5 [Add] をク リ ッ ク します。

ステ ッ プ 6 [Apply] をク リ ッ ク します。

時刻設定値の設定

手順

ステ ッ プ 1 Web インターフェイスのホームページから、 [Configuration] > [System Time and NTP] をク リ ック します。

ステ ッ プ 2 [Enable Network Time Protocol] チェ ッ クボッ ク スがオンになっている こ と を確認します。

ステ ッ プ 3 ド ロ ップダウン メニューから推奨される NTP サーバを選択するか、 テキス ト ボッ ク スにローカル NTP サーバの IP アド レスを入力します。

（注） ベス ト プラ クテ ィ ス ：NetFlow ジェネレータを含むすべての Cisco Cyber Threat Defence Solution コンポーネン ト に対して同じ時刻源を使用します。

ステ ッ プ 4 [Add] をク リ ッ ク します。

ステ ッ プ 5 [Apply] をク リ ッ ク します。

ステ ッ プ 6 StealthWatch アプラ イアンスが設置されているタ イム ゾーンになるよ うにタ イム ゾーンの設定を行います。

ステ ッ プ 7 [Apply] をク リ ッ ク します。

管理パスワー ド を設定し ます。

Web インターフェイスの管理アカウン ト のパスワードを変更するには、 次の手順に従います。

手順

ステ ッ プ 1 Web インターフェイスのホームページから、 [Configuration] > [Password] をク リ ッ ク します。

ステ ッ プ 2 テキス ト ボッ ク スに現在のパスワード と新しいパスワードを入力します。

ステ ッ プ 3 [Apply] をク リ ッ ク します。

260Cisco Cyber Threat Defense Solution 1.1

Lancope StealthWatch システムの導入

認証局の証明書を設定し ます

（注） 認証局の証明書は、 この手順を開始する前に取得し、 ローカル ディ ス クに保存しておく必要があ り ます。

（注） ベス ト プラ クテ ィ ス ： こ こで使用される認証局の証明書は、 Cisco Identity Services Engine にアイデンテ ィテ ィ証明書を発行するために使用される ものと同じである必要があ り ます。

手順

ステ ッ プ 1 Web インターフェイスのホームページから、 [Configuration] > [Certificate Authority Certificates] をク リ ッ ク します。

ステ ッ プ 2 [Choose File] をク リ ッ ク し、 ローカル ディ ス クを参照して、 CA 証明書を検索します。

ステ ッ プ 3 SMC 設定で識別されるよ うに証明書に名前を付けます。

ステ ッ プ 4 [Add Certificate] をク リ ッ ク します。

アプ ラ イ アンスのア イデンテ ィ テ ィ 証明書の設定

（注） 証明書と秘密キーは、 この手順を開始する前に、 （前のステップで追加した） 認証局から取得し、 ローカル ディ ス クに保存しておく必要があ り ます。

手順

ステ ッ プ 1 Web インターフェ イスのホーム ページから、 [Configuration] > [SSL Certificate] をク リ ッ ク します。

ステ ッ プ 2 1 番目の [Choose File] をク リ ッ ク し、 ローカル ディ ス クを参照して、 アプラ イアンスのアイデンテ ィテ ィ証明書を検索します。

ステ ッ プ 3 （オプシ ョ ン） 2 番目の [Choose File] をク リ ッ ク して、 ローカル ディ ス クを参照し、 アイデンテ ィテ ィ証明書の発行に使用する証明書チェーンを検索します。

ステ ッ プ 4 3 番目の [Choose File] をク リ ッ ク し、 ローカル ディ ス クを参照して、 アプラ イアンスの秘密キーを検索します。

ステ ッ プ 5 [Upload Certificate] をク リ ッ ク します。

0Cisco Cyber Threat Defense Solution 1.1

27

Lancope StealthWatch システムの導入

（オプシ ョ ン） 管理システムの設定

SMC 以外の StealthWatch コンポーネン ト （FlowCollector など） では、 アプラ イアンスにアクセスするために SMC によって使用される クレデンシャルはデフォル ト設定から変更できます。この手順の完了は、 企業の要件に完全に依存し、 Cisco Cyber Threat Defense Solution 1.1 の動作には影響しません。

（注） このオプシ ョ ンのセッ ト アップ手順を完了するには、 SMC IP アド レスを把握している必要があ り ます。

手順

ステ ッ プ 1 Web インターフェイスのホームページから、 [Configuration] > [Management Systems Configuration] をク リ ッ ク します。

ステ ッ プ 2 [Add New Management System] をク リ ッ ク します。

ステ ッ プ 3 SMC の IP アド レスを入力します。

ステ ッ プ 4 [Is SMC] チェ ッ クボッ クスをオンにします。

ステ ッ プ 5 マネージャ クレデンシャルを入力します。

ステ ッ プ 6 イベン ト クレデンシャルを入力します。

ステ ッ プ 7 [Apply] をク リ ッ ク します。

アプ ラ イ アンスの再起動

上記の手順では、 アプラ イアンスのホス ト と時間の設定に対して変更を行いました。 この時点で、 アプラ イアンスを再起動してすべての設定が正し く動作する こ と を確認する こ と を強く推奨します。

（注） Web インターフェイスの各設定項目の詳細情報は、 Web インターフェイスの [Help] をク リ ッ クしてアクセスできるオンラ イン ヘルプで確認できます。

Lancope StealthWatch システムの初期化

前の項の手順を完了した後、 2 つの必須の Lancope StealthWatch アプラ イアンス （FlowCollector と SMC） をすぐに導入して動作状態にする必要があ り ます。 ただし、 アプラ イアンスは互いにまだ リ ンク されておらず、 StealthWatch システムは完全に初期化されていません。

StealthWatch FlowCollector は完全に配置されて動作状態になっており、 NetFlow エクスポータから NetFlow レコードを受信し、 そのデータベースへの入力を開始する こ とができます。 必要に応じて、 このドキュ メ ン ト の前述の手順を省略し、 NetFlow エクスポータが NetFlow を生成し FlowCollector に送信を開始するよ うに NetFlow エクスポータで NetFlow エクスポート を設定できます。

こ こでは、 Lancope SMC に Lancope StealthWatch FlowCollector を統合し、 NetFlow の分析用に StealthWatch システムを準備するプロセスについて説明します。

280Cisco Cyber Threat Defense Solution 1.1

Lancope StealthWatch システムの導入

SMC ク ラ イ アン ト ソ フ ト ウ ェ アの実行

手順

ステ ッ プ 1 SMC の Web インターフェイスにアクセスします。

ステ ッ プ 2 ク ラ イアン ト コンピュータの SMC に割り当てる メモ リ量を選択します。

ステ ッ プ 3 開いている多くの文書があった り大きなデータ セッ ト （100,000 レコードを超えるフロー クエリ など） が予想される場合は、 よ り大きな メモ リ割り当てを考慮します。 ローカルワークステーシ ョ ンは、 少な く と も 2 倍のメモ リ割り当てを選択している必要があ り ます。

ステ ッ プ 4 [Start] をク リ ッ ク して、 SMC ク ラ イアン ト ソフ ト ウェアをダウンロード し、 インス トールします。

ド メ イ ンの設定

SMC ク ラ イアン ト に初めてログインする と、 [Default Domain Properties] ページが表示されます。 ド メ インは、 すべてのホス ト とホス ト グループ、 ネッ ト ワーク デバイス、 FlowCollector、Cisco Identity Services Engine などの、 この導入に関連する情報のセッ ト を定義します。

（注） ベス ト プラ クテ ィ ス：企業向けの Cisco Cyber Threat Defense Solution 1.1 の導入には単一のド メインを使用します。

手順

ステ ッ プ 1 [Name] フ ィールドに、 ド メ インの名前を入力します。

ステ ッ プ 2 [Archive Hour] フ ィールドに、 アーカイブ時間を指定します。

アーカイブ時間は、 関連ド メ イン内のすべての StealthWatch FlowCollector がデータ収集の新しい 1 日 （24 時間） を開始し、 すべてのインデッ ク ス カウンタをゼロに リ セッ トする時刻です。前の 24 時間で受信したすべてのデータはデータベースにアーカイブされます。

（注） ベス ト プラ クティ ス ： アーカイブ時間をネッ ト ワーク ト ラフ ィ ッ クが 小の時刻に設定します。

0Cisco Cyber Threat Defense Solution 1.1

29

Lancope StealthWatch システムの導入

ステ ッ プ 3 図 6 のよ うに [OK] をク リ ッ ク します。

図 6 アーカ イ ブ時間の設定

ステ ッ プ 4 SMC の表示をよ く理解します （図 7 を参照）。

上部のバーは、 メニュー オプシ ョ ンを示します。 左側には、 エンタープラ イズ ツ リーが表示され、 ホス ト グループ ツ リーも含まれています。 右側には、 ドキュ メ ン ト が表示されます。

図 7 アーカ イ ブ時間の設定

300Cisco Cyber Threat Defense Solution 1.1

Lancope StealthWatch システムの導入

StealthWatch FlowCollector の追加

手順

ステ ッ プ 1 エンタープラ イズ ツ リーのド メ インを強調表示します。

ステ ッ プ 2 [Configuration] > [Add FlowCollector] をク リ ッ ク します。

ステ ッ プ 3 StealthWatch FlowCollector の名前と IP アド レスを入力します （図 8 を参照）。

図 8 FlowCollector の追加

ステ ッ プ 4 マネージャおよびイベン ト クレデンシャルを入力します （オプシ ョ ン）。 ク レデンシャルが FlowCollector の導入時のデフォル ト から変更された場合にのみこのステップを実行します。

ステ ッ プ 5 [OK] をク リ ッ ク します。

ステ ッ プ 6 [Properties for FlowCollector] ダイアログが開きます。 表 15 を使用してデフォル ト設定を確認します。.

表 15 デフ ォル ト 設定の詳細

設定項目 Options 設定

FlowCollector 名前 sfc.demo.local

Advanced Ignore flows between inside hosts オフ

Ignore flows between outside hosts オフ

Ignore flow to and from non-routable addresses オフ

Ignore flows between inside hosts when calculating File Sharing Index

オン

Ignore null0 flows オフ

Seconds required to qualify a flow as long duration 32.4k

Suspect long duration flow trust threshold 6

Minimum number of asymmetric flows per 5-minute period to trigger Asymmetric_Route alert

50

Minimum number of Class C subnets an infected host must contact before a worm alarm is triggered

8

0Cisco Cyber Threat Defense Solution 1.1

31

Lancope StealthWatch システムの導入

ステ ッ プ 7 [Synchronize] > [Synchronize] をク リ ッ ク し、 [Close] をク リ ッ ク します。

ステ ッ プ 8 エンタープラ イズ ツ リーを展開し、 FlowCollector を表示します （図 9 を参照）。

図 9 FlowCollector の表示

展開のこの時点で、 StealthWatch システムが導入され、 NetFlow レコードを受信して分析を開始する準備ができました。

Store flow interface data 可能なかぎ り

Watch List 空

Broadcast List 空

Ignore List 空

Mitigation White List IP ranges SMC IP アド レス

ド メ イン名 空

Monitor Port ポート 2055

エクスポータおよびインターフェイス

Accept flows from any exporter オン

システム アラーム FlowCollector Data Deleted オフ

FlowCollector Flow Data Lost オン

FlowCollector Log Retention Reduced オン

FlowCollector Management Channel Down オン

FlowSensor Time Mismatch オン

FlowSensor Traffic Lost オン

FlowSensor VE Configuration Error オン

Interface Utilization Exceeded Inbound オン

Interface Utilization exceeded Outbound オン

新しい VM オン

V-Motion オン

表 15 デフ ォル ト 設定の詳細 （続き）

設定項目 Options 設定

320Cisco Cyber Threat Defense Solution 1.1

シス コ デバイスでの Flexible NetFlow の設定

シス コ デバイ スでの Flexible NetFlow の設定前述したよ うに、 Cisco Cyber Threat Defense Solution 1.1 は特定のシスコ プラ ッ ト フォームの Flexible NetFlow 機能を使用します。 こ こでは、 Cisco IOS での Flexible NetFlow の設定に必要な概念と手順の概要を説明し、Cisco Cyber Threat Defense Solution 1.1 リ リースのコンポーネン トであるシスコ デバイスの詳細な設定およびト ラブルシューティングのガイダンスを提供します。

Flexible NetFlow の設定の概要

Cisco IOS デバイスでの Flexible NetFlow の設定は、 次の詳細で説明する 4 つの手順から成り ます。

• フロー レコードの設定

• フロー エクスポータの設定

• フロー モニタの作成

• 1 つ以上のインターフェイスへのフロー モニタの適用

フ ロー レ コー ド の設定

フロー レコードは、 フロー内のパケッ トやフロー単位で収集されたカウンタのタ イプなどの NetFlow プロセスによって収集される情報を定義します。 カスタム NetFlow レコードは、 発信 NetFlow レコードに含めるフ ィールドをシスコ デバイスに伝える一連の一致および収集コマンドを指定します。 Cisco Cyber Threat Defense Solution 1.1 は、 各サポート対象デバイスの特定のフロー レコードを定義します。 シスコは、 展開から 大の結果を得るためにこれらのフロー レコードを使用する こ と を強く推奨します。

一致フ ィールドは、 フローの一意性を決定するために使用される こ と を意味するキー フ ィールドです。 収集フ ィールドは、 レポー ト と分析のためにコレク タに詳細を提供するためのレコードに含まれる追加情報です。

フ ロー エ ク スポー タの設定

フロー エクスポータは、 NetFlow レコードが送信される場所と方法を定義します。 フロー エクスポータの設定は、 Cyber Threat Defense Solution 1.1 で使用されるすべての Cisco IOS デバイスで同じです。 この設定は、 古い Cisco IOS およびプラ ッ ト フォームの リ リースでは NetFlow 設定と異なる場合がある こ とに注意して ください。

フ ロー モニ タの作成

フロー モニタは、 NetFlow キャ ッシュまたはキャ ッシュを保存されている情報について説明します。 また、 フロー モニタは、 フロー レコードおよびフロー エクスポータを リ ンク します。フロー モニタには、 エクスポー ト のタ イマー、 キャ ッシュのサイズ、 および必要に応じて、 パケッ ト のサンプ リ ング レー ト などのさまざまなキャ ッシュ特性が含まれます。

ネッ ト ワーク ト ラフ ィ ッ クがシスコ デバイスを通過する と き、 フローは継続的に作成され追跡されます。 フローが期限切れになる と、 NetFlow キャ ッシュから StealthWatch FlowCollector にエクスポート されます。 フローが特定の時間にわたって非アクテ ィブの場合 （たとえば、 新しいパケッ ト がフローに対し受信されていない場合）、 またはフローが長時間存続している（アクテ ィブ） およびアクテ ィブ タ イマーよ り も長く存続している場合 （たとえば、 長時間の FTP ダウンロード）、 フローはエクスポート の準備ができています。 フローが非アクテ ィブか長時間存続しているかど うかを指定するタ イマーがあ り ます。

0Cisco Cyber Threat Defense Solution 1.1

33

シス コ デバイスでの Flexible NetFlow の設定

（注） ベス ト プラ クテ ィ ス ： Cisco Cyber Threat Defense Solution 1.1 は、 60 秒のアクテ ィブ タ イムアウ ト と 15 秒の非アクテ ィブ タ イムアウ ト を推奨します。

イ ン タ ーフ ェ イ スへのフ ロー モニ タの適用

フロー モニタがインターフェイスに割り当てられるまで、 シスコ デバイスは NetFlow レコードを生成しません。 インターフェイスに適用される と、 フロー モニタがアクテ ィブにな り、NetFlow レコードがモニタが適用されているインターフェイスに対してのみ生成されます。

（注） ベス ト プラ クテ ィ ス ： Cisco Cyber Threat Defense solution 1.1 は、 フローのセキュ リ テ ィの可視性が必要なすべてのインターフェイスにフロー モニタを適用する こ と を推奨します。

Cisco Catalyst 3560-X および 3750-X シ リ ーズ

Flexible NetFlow は、 10GE サービス モジュールの Cisco Catalyst 3560-X および 3750-X（Cat3k-X） シ リーズ スイ ッチでサポート されています。 以前プラ ッ ト フォームでサポー ト されていなかったサービス モジュールは、 モジュールを通過するすべての ト ラフ ィ ッ クでハードウェアでサポート される ラ インレー ト NetFlow をイネーブルにできます。

アクセス レイヤで NetFlow を生成し、 フローの可視性を取得する機能は、 Cisco Cyber Threat Defense Solution 1.1 の主要コンポーネン ト です。 以前は、 NetFlow によって提供される可視性はレイヤ 3 境界でのみ使用可能で内部 LAN 攻撃は明らかにな り ませんでした。 NetFlow はアクセス レイヤで使用可能になったので、 LAN に存在する疑わしい動作を検出できるよ うにな りました。

設計上の考慮事項

Cisco Catalyst 3500 シ リーズでの NetFlow サービスは、10GE サービス モジュールが搭載された Cisco Catalyst 3500-X シ リーズ （3560-X および 3750-X） プラ ッ ト フォームでのみサポー ト されます。 これは、 NetFlow 機能をイネーブルにするサービス モジュールである こ とに注意して ください。 NetFlow データは、 モジュールを通過する ト ラフ ィ ッ クに対してのみ生成されます。したがって、 サービス モジュールは、 Cisco Cyber Threat Defense Solution 1.1 の重要なコンポーネン ト にな り ます。

10GE サービス モジュールは、 「ノースサウス」 NetFlow と称される ものをサポー ト します。 つま り、 スイ ッチを通過するフローに対する NetFlow レコードを生成する こ と を意味します。 たとえば、 ト ランク ポート で送受信されるフローなどです。 サービス モジュールは、 「イース トウェス ト 」 NetFlow をサポー ト していません。 これは、 NetFlow がサービス モジュールを通過しない ト ラフ ィ ッ クに対して生成されないこ とを意味します。 たとえば、 ローカルで切り替えられる ト ラフ ィ ッ クなどです。 Cisco Cyber Threat Defense Solution 1.1 の目的の 1 つは、 ローカルで切り替えられる ト ラフ ィ ッ クの可視性を取得する こ となので、 導入オプシ ョ ンは慎重に考慮して ください。

NetFlow は、 サービス モジュールのハード ウェアでサポー ト されます。 ハード ウェアは、 常駐するキャ ッシュ内の 32,000 のフローをサポート できます。 この数字は Cisco Catalyst 3750-X スイ ッチのスタ ッ ク内で拡大縮小される こ とに注意して ください。 たとえば、 4 つのサービス モジュールが搭載された 4 台のスイ ッチのスタ ッ クは 128,000 のフローをサポート できます。NetFlow がサービス モジュールでイネーブルの場合、 スイ ッチでパフォーマンス低下は生じません。

340Cisco Cyber Threat Defense Solution 1.1

シス コ デバイスでの Flexible NetFlow の設定

サービス モジ ュールのイネーブル化

正常に動作するには、 サービス モジュールをサポートするハード ウェア プラ ッ ト フォームにインス トールし、 適切な Cisco IOS ソフ ト ウェア イ メージと ラ イセンスが必要です。 表 16 に、サービス モジュールで Flexible NetFlow をイネーブルにするための 小要件を示します。

表 16 Cisco Catalyst 3500-X シ リ ーズ サービス モジ ュールの要件

（注） サービス モジュールには、 独自のオペレーテ ィ ング システムがあ り ます。 正し く機能するには、 サービス モジュールのオペレーテ ィ ング システムをスイ ッチのオペレーテ ィ ング システムに一致させる必要があ り ます。

（注） 次の手順は、ハード ウェア要件を満たし、 IP Services ラ イセンス と適切な Cisco IOS ソフ ト ウェア パッケージをすでに入手している こ と を前提と しています。

手順

ステ ッ プ 1 サービス モジュールをインス トールし、 スイ ッチの電源を入れます。

ステ ッ プ 2 正しいソフ ト ウェア イ メージにスイ ッチをアップグレード します。

3560X# archive download-sw /overwrite /reload image-name

ステ ッ プ 3 IP Services ラ イセンスをインス トールします。

3560X# license install license-name

（注） 状況に応じて、 ラ イセンスをアクテ ィブにするためにスイ ッチを再起動する必要があ ります。

ステ ッ プ 4 ラ イセンスがアクテ ィブである こ と を確認します。

3560X# show license detailIndex: 1 Feature: ipservices Version: 1.0

License Type: Permanent License State: Active, In Use License Priority: Medium License Count: Non-Counted Store Index: 1Store Name: Primary License Storage

ステ ッ プ 5 正しいソフ ト ウェア イ メージにサービス モジュールをアップグレード します。

3560X# archive download-sw service-module-image-name

コ ンポーネン ト 要件

ハード ウェアの 小条件 バージ ョ ン ID ： 02

リ ビジ ョ ン ： 0x03Cisco IOS ソフ ト ウェア 15.0(1)SE3ラ イセンス IP サービス

0Cisco Cyber Threat Defense Solution 1.1

35

シス コ デバイスでの Flexible NetFlow の設定

ステ ッ プ 6 サービス モジュールが動作可能である こ と を確認します。

3560X#show switch service-modulesSwitch/Stack supports service module CPU version: 03.00.41

Temperature CPU Switch# H/W Status (CPU/FPGA) CPU Link Version--------------------------------------------------------------------------------------------------------------------------1 OK 67C/74C connected 03.00.41

正し く設定されていない場合、 次のよ う な メ ッセージが表示されます。

3560X#show switch service-modulesSwitch/Stack supports service module CPU version: 03.00.41

Temperature CPU Switch# H/W Status (CPU/FPGA) CPU Link Version---------------------------------------------------------------------------------------------------------------------------------1 LB-PASS-THRU * 71C/87C notconnected N/A* Module services not supported on a Lanbase license

ハード ウェア ステータスが PASS-THRU モードの場合、 設定ミ スが発生しています。 エラー メ ッセージには、 ハード ウェア、 ソフ ト ウェア イ メージ、 またはラ イセンスが要件を満たしていないこ とを示すエラーの原因に関する詳細情報が提示されます。 チェ ッ ク リ ス ト と前述の手順を確認し修正します。

ケーブル接続

10GE サービス モジュールには、 2 つのデュアル速度 10 ギガビッ ト イーサネッ ト SFP+ ポー トがあ り ます。 現在のバージ ョ ン （15.01） 以降では、 これらのポートは銅線の 1000BASE-T をサポート していません。 サービス モジュールを銅線ネッ ト ワークにケーブル配線する と きは、 特別な考慮が必要です。

（注） ベス ト プラ クテ ィ ス ： 標準の 10GbE 銅ケーブルを使用します （アグ リ ゲーシ ョ ン /コア スイ ッチに使用可能な 10GbE ポー ト が必要です）。

（注） ベス ト プラ クテ ィ ス ： メディア コンバータを搭載したマルチモード ギガビッ ト イーサネッ ト ファ イバ SFP （GLC-SX-MM） を使用します。

Flexible NetFlow の設定

Cisco Catalyst 3500-X シ リーズ スイ ッチは、通常の場合アクセス レイヤに配置されます。 この項では、 アクセス レイヤ スイ ッチと して Cisco Catalyst 3500-X シ リーズの Flexible NetFlow 機能を大限に使用するために必要なフローの可視性レベルを実装する方法について説明します。

360Cisco Cyber Threat Defense Solution 1.1

シス コ デバイスでの Flexible NetFlow の設定

フ ロー レ コー ド の設定

手順

ステ ッ プ 1 次のコマン ドを使用して、 フロー レコードを作成します。

3560X(config)#flow record CYBER_3KX_RECORD3560X(config-flow-record)#match datalink mac source-address3560X(config-flow-record)#match datalink mac destination-address3560X(config-flow-record)#match ipv4 tos3560X(config-flow-record)#match ipv4 ttl3560X(config-flow-record)#match ipv4 protocol3560X(config-flow-record)#match ipv4 source address3560X(config-flow-record)#match ipv4 destination address3560X(config-flow-record)#match transport source-port3560X(config-flow-record)#match transport destination-port3560X(config-flow-record)#collect interface input snmp3560X(config-flow-record)#collect interface output snmp3560X(config-flow-record)#collect counter bytes3560X(config-flow-record)#collect counter packets3560X(config-flow-record)#collect timestamp sys-uptime first3560X(config-flow-record)#collect timestamp sys-uptime last

上記のサンプル レコードは、 アクセス レイヤ スイ ッチと して、 エン ドユーザ デバイス と ト ラフ ィ ッ ク セッ ト を一意に識別できる とい う事実を利用しています。

データ リ ンク MAC 宛先/送信元アド レスは、 その組織固有識別子 （OUI） から使用可能なデバイス ベンダーに関する情報と と もに、 スイ ッチに ト ラフ ィ ッ クを送受信するユーザ デバイスの一意の ID を提供します。

入力/出力インターフェイス値は、 ト ラフ ィ ッ クがスイ ッチを出入りする物理インターフェイスの Simple Network Management Protocol （SNMP） インターフェイス インデッ ク ス値をレポートします。 たとえば、 ダウンス ト リーム フローの場合、 入力インターフェイス値はサービス モジュールのポート を示し、 出力インターフェイス値はダウン リ ンク ポート を示します。 有線ロケーシ ョ ン データベースからの情報と統合する と、 後者はユーザ デバイスの場所を追跡するために使用できます。

フ ロー エ ク スポー タの設定

フロー エクスポータは、 宛先 IP アドレスおよびポート を含む FlowCollector について説明します。

手順

ステ ッ プ 1 エクスポータを定義します。

3560X(config)#flow exporter CYBER_EXPORTER

ステ ッ プ 2 （オプシ ョ ン） 説明を追加します。

3560X(config-flow-exporter)#description Lancope StealthWatch FlowCollector for the Cisco Cyber Threat Defense Solution

ステ ッ プ 3 送信元を定義します。

3560X(config-flow-exporter)#source <SVI Interface>

この設定は、 スイ ッチの NetFlow レコードの送信元である IP アド レスです。 ベス ト プラ クテ ィ スは、 管理 VLAN 上の IP アド レスでループバッ クまたは SVI インターフェイスを定義し、送信元と してそのインターフェイスを使用する こ とです。

0Cisco Cyber Threat Defense Solution 1.1

37

シス コ デバイスでの Flexible NetFlow の設定

ステ ッ プ 4 宛先 IP アド レスを定義します。

3560X(config-flow-exporter)#destination <ip-address>

ステ ッ プ 5 ト ランスポー ト プロ ト コルを定義します。

3560X(config-flow-exporter)#transport udp 2055

（注） ベス ト プラ クテ ィ ス ： NetFlow は通常、 UDP ポート 2055 上で送信されます。

フ ロー モニ タの作成

フロー モニタは、 デバイスの NetFlow データベースを表し、 フロー レコード と フロー モニタを関連付けます。

手順

ステ ッ プ 1 フロー モニタを定義します。

3560X(config)#flow monitor CYBER_MONITOR

ステ ッ プ 2 （オプシ ョ ン） 説明を追加します。

3560X(config-flow-monitor)#description Main NetFlow Cache for the Cisco Cyber Threat Defense Solution

ステ ッ プ 3 フロー レコードを設定します。

3560X(config-flow-monitor)#record CYBER_3KX_RECORD

ステ ッ プ 4 エクスポータを設定します。

3560X(config-flow-monitor)#exporter CYBER_EXPORTER

ステ ッ プ 5 アクテ ィブ タ イムアウ ト を定義します。

アクテ ィブ タ イムアウ トは、 まだアクテ ィブなフローに対してどのよ う な頻度で NetFlow レコードが生成されるかを示します。 シスコは、 60 秒の値を使用する こ と を推奨します。

3560X(config-flow-monitor)#cache timeout active 60

ステ ッ プ 6 非アクテ ィブ タ イムアウ ト を定義します。

非アクテ ィブ タ イムアウ トは、 非アクテ ィブ （データを送信していない） だがまだキャ ッシュ内に常駐しているフローがキャ ッシュから タ イムアウ ト になる時間帯を示します。 シスコは、15 秒の値を使用する こ と を推奨します。

3560X(config-flow-monitor)#cache timeout inactive 15

イ ン タ ーフ ェ イ スへのフ ロー モニ タの適用

手順

ステ ッ プ 1 インターフェイス コンフ ィギュレーシ ョ ン モードを開始します。

3560X(config)#interface range tenGigabitEthernet 1/1-2

380Cisco Cyber Threat Defense Solution 1.1

シス コ デバイスでの Flexible NetFlow の設定

ステ ッ プ 2 入力ト ラフ ィ ッ クにフロー モニタを適用します。

3560X(config-if-range)#ip flow monitor CYBER_MONITOR input

ステ ッ プ 3 出力ト ラフ ィ ッ クにフロー モニタを適用します。

3560X(config-if-range)#ip flow monitor CYBER_MONITOR output

確認

手順

ステ ッ プ 1 show コマン ドを使用して設定を確認します。

3560X#show run flow [exporter|monitor|record]

NetFlow レコードがアプラ イアンスからエクスポー ト され、 FlowCollector によって受信されている こ と を確認します。 （詳細は、 後述の 「Flexible NetFlow エクスポート の検証」 の項に記載されています。）

Cisco Catalyst 3500-X シ リ ーズ NetFlow の最終設定

!flow record CYBER_3KX_RECORDmatch datalink mac source-addressmatch datalink mac destination-address match ipv4 tosmatch ipv4 ttlmatch ipv4 protocolmatch ipv4 source addressmatch ipv4 destination address match transport source-portmatch transport destination-port collect interface input snmp collect interface output snmp collect counter bytescollect counter packetscollect timestamp sys-uptime first collect timestamp sys-uptime last!!flow exporter CYBER_EXPORTERdescription Lancope StealthWatch FlowCollector for the Cisco Cyber Threat DefenseSolutiondestination <ip-address> source <SVI-interface> transport udp 2055!!flow monitor CYBER_MONITORdescription Main NetFlow Cache for the Cisco Cyber Threat Defense Solution record CYBER_3KX_RECORDexporter CYBER_EXPORTERcache timeout active 60 cache timeout inactive 15!!interface TenGigabitEthernet1/1/1 switchport trunk encapsulation dot1q switchport mode trunk

0Cisco Cyber Threat Defense Solution 1.1

39

シス コ デバイスでの Flexible NetFlow の設定

ip flow monitor CYBER_MONITOR input ip flow monitor CYBER_MONITOR output!interface TenGigabitEthernet1/1/2 switchport trunk encapsulation dot1q switchport mode trunkip flow monitor CYBER_MONITOR inputip flow monitor CYBER_MONITOR output?!

（注） 詳細については、次の URL で 『Cisco Catalyst 3K-X Service Module: Enabling Flexible NetFlow in the Access』 を参照して ください。http://www.cisco.com/en/US/prod/collateral/switches/ps5718/ps10745/white_paper_c11-691508_ps10744_Products_White_Paper.html [英語]

Cisco Catalyst 4500 シ リ ーズ Supervisor Engine 7-E/7-LEネイテ ィブ Flexible NetFlow のサポートは、 Supervisor Engine 7-E および 7-LE の リ リースで Cisco Catalyst 4500 シ リーズに導入されました。 以前は、 Cisco Catalyst 4500 シ リーズはオプシ ョ ンの NetFlow サービス カードで NetFlow をサポート していました。

モジュ ラ型の Cisco Catalyst 4500 シ リーズでは、 アクセス レイヤとアグ リ ゲーシ ョ ン レイヤの両方にプレゼンスがあ り 、 IP ベース イ メージと ラ イセンスに NetFlow サービスが含まれています。

設計上の考慮事項

Cisco Cyber Threat Defense Solution 1.1 は、アクセス レイヤとアグ リ ゲーシ ョ ン レイヤ両方のスイ ッチと して Cisco Catalyst 4500 Supervisor 7-E/7-LE を導入する こ と を推奨します。 Supervisor 7-E および 7-LE は、 すべてのフロー モニタで共有される 128,000 エン ト リ ハード ウェア フロー テーブルをサポート します。 フロー モニタ内のキャ ッシュ エン ト リ を制限する こ とができますが （フロー モニタの設定で cache entries numbers コマン ドを使用）、 この導入ガイ ドでは、 スイ ッチ全体に対するフロー モニタは 1 つで、 完全なフロー キャ ッシュが Cisco Cyber Threat Defense Solution 1.1 に割り当てられている と仮定しています。

Cisco Catalyst 4500 シ リーズは、 単一のフロー レコード内のレイヤ 2 およびレイヤ 3 フ ィールドの両方の選択をサポート していません。 これは、 ソ リ ューシ ョ ンの他のアクセス レイヤ スイ ッチと異な り ます （Cisco Catalyst 3500-X シ リーズ）。

Flexible NetFlow の設定

前述のとおり、 Supervisor 7-E および 7-LE はさまざまな NetFlow サービスをサポー ト し、 アクセス レイヤおよびアグ リ ゲーシ ョ ン レイヤの両方で効果的に使用できます。 こ こでは、Supervisor 7 E/7-LE で必要なフローの可視性の推奨レベルを実装する手順について説明します。

Cisco Catalyst 4500 シ リーズ スイ ッチは、アクセス レイヤ スイ ッチとアグ リ ゲーシ ョ ン レイヤ スイ ッチの両方と して機能できるため、 アクセス ポートおよび ト ランク ポート に対し異なるフロー レコードおよびフロー モニタを定義する こ とができます。 ただし、 Cisco Cyber Threat Defense Solution 1.1 は、 完全な機能を維持する と同時に、 設定をできる限り容易に維持できるよ うに、 両方に対し同じ設定を使用する こ と を推奨します。

400Cisco Cyber Threat Defense Solution 1.1

シス コ デバイスでの Flexible NetFlow の設定

フ ロー レ コー ド の設定

手順

ステ ッ プ 1 次のコマン ドを使用して、 フロー レコードを作成します。

4500sup7e(config)#flow record CYBER_4K_RECORD4500sup7e(config-flow-record)#match ipv4 tos4500sup7e(config-flow-record)#match ipv4 protocol4500sup7e(config-flow-record)#match ipv4 source address4500sup7e(config-flow-record)#match ipv4 destination address4500sup7e(config-flow-record)#match transport source-port4500sup7e(config-flow-record)#match transport destination-port4500sup7e(config-flow-record)#collect ipv4 dscp4500sup7e(config-flow-record)#collect ipv4 ttl minimum4500sup7e(config-flow-record)#collect ipv4 ttl maximum4500sup7e(config-flow-record)#collect transport tcp flags4500sup7e(config-flow-record)#collect interface output4500sup7e(config-flow-record)#collect counter bytes4500sup7e(config-flow-record)#collect counter packets4500sup7e(config-flow-record)#collect timestamp sys-uptime first4500sup7e(config-flow-record)#collect timestamp sys-uptime last

（注） Cisco Catalyst 4500 シ リーズは、 単一のフロー レコード内でレイヤ 2 およびレイヤ 3 フ ィールドを両方選択する こ とを許可していません。

フ ロー エ ク スポー タの設定

フロー エク スポータは、 宛先 IP ア ド レスおよびポー ト を含む FlowCollector について説明します。

手順

ステ ッ プ 1 エクスポータを定義します。

4500sup7e(config)#flow exporter CYBER_EXPORTER

ステ ッ プ 2 （オプシ ョ ン） 説明を追加します。

4500sup7e(config-flow-exporter)#description Lancope StealthWatch FlowCollector for Cisco Cyber Threat Defense Solution

ステ ッ プ 3 送信元を定義します。

4500sup7e(config-flow-exporter)#source <SVI Interface>

この設定は、 スイ ッチの NetFlow レコードの送信元である IP アド レスです。 ベス ト プラ クテ ィ スは、 管理 VLAN 上の IP アド レスでループバッ クまたは SVI インターフェイスを定義し、送信元と してそのインターフェイスを使用する こ とです。

ステ ッ プ 4 宛先 IP アド レスを定義します。

4500sup7e(config-flow-exporter)#destination <ip-address>

ステ ッ プ 5 ト ランスポー ト プロ ト コルを定義します。

4500sup7e(config-flow-exporter)#transport udp 2055

0Cisco Cyber Threat Defense Solution 1.1

41

シス コ デバイスでの Flexible NetFlow の設定

（注） ベス ト プラ クテ ィ ス ： NetFlow は通常、 UDP ポート 2055 上で送信されます。

フ ロー モニ タの作成

フロー モニタは、 デバイスの NetFlow データベースを表し、 フロー レコード と フロー モニタを関連付けます。

手順

ステ ッ プ 1 フロー モニタを定義します。

4500sup7e(config)#flow monitor CYBER_MONITOR

ステ ッ プ 2 （オプシ ョ ン） 説明を追加します。

4500sup7e(config-flow-monitor)#description Main NetFlow Cache for the Cisco Cyber Threat Defense Solution

ステ ッ プ 3 フロー レコードを設定します。

4500sup7e(config-flow-monitor)#record CYBER_4K_RECORD

ステ ッ プ 4 エクスポータを設定します。

4500sup7e(config-flow-monitor)#exporter CYBER_EXPORTER

ステ ッ プ 5 アクテ ィブ タ イムアウ ト を定義します。

アクテ ィブ タ イムアウ トは、 まだアクテ ィブなフローに対してどのよ う な頻度で NetFlow レコードが生成されるかを示します。 シスコは、 60 秒の値を使用する こ と を推奨します。

4500sup7e(config-flow-monitor)#cache timeout active 60

ステ ッ プ 6 非アクテ ィブ タ イムアウ ト を定義します。

非アクテ ィブ タ イムアウ トは、 非アクテ ィブ （データを送信していない） だがまだキャ ッシュ内に常駐しているフローがキャ ッシュから タ イムアウ ト になる時間帯を示します。 シスコは、15 秒の値を使用する こ と を推奨します。

4500sup7e(config-flow-monitor)#cache timeout inactive 15

イ ン タ ーフ ェ イ スへのフ ロー モニ タの適用

手順

ステ ッ プ 1 インターフェイス コンフ ィギュレーシ ョ ン モードを開始します。

4500sup7e(config)#interface GigabitEthernet 1/1

ステ ッ プ 2 レイヤ 2 スイ ッチド入力ト ラフ ィ ッ クにフロー モニタを適用します。

4500sup7e(config-if)#ip flow monitor CYBER_MONITOR layer2-switched input

420Cisco Cyber Threat Defense Solution 1.1

シス コ デバイスでの Flexible NetFlow の設定

確認

ステ ッ プ 1 show コマン ドを使用して設定を確認します。

4500sup7e#show run flow [exporter|monitor|record]

NetFlow レコードがアプラ イアンスからエクスポー ト され、 FlowCollector によって受信されている こ と を確認します。 （詳細は、 後述の 「Flexible NetFlow エクスポート の検証」 の項に記載されています。）

Cisco Catalyst 4500 シ リ ーズ Supervisor 7-E/7-LE NetFlow の最終設定

!flow record CYBER_4K_RECORDmatch ipv4 tosmatch ipv4 protocolmatch ipv4 source addressmatch ipv4 destination address match transport source-portmatch transport destination-port match interface inputcollect ipv4 dscpcollect ipv4 ttl minimum collect ipv4 ttl maximumcollect transport tcp flags collect interface output collect counter bytes collect counter packetscollect timestamp sys-uptime firstcollect timestamp sys-uptime last!!flow exporter CYBER_EXPORTER?description Lancope StealthWatch FlowCollector for the Cisco Cyber Threat DefenseSolution?destination <ip-address> source <SVI-interface> transport udp 2055!!flow monitor CYBER_MONITORdescription Main NetFlow Cache for the Cisco Cyber Threat Defense Solution 1 record CYBER_4K_RECORDexporter CYBER_EXPORTERcache timeout active 60 cache timeout inactive 15!interface GigabitEthernet1/1ip flow monitor CYBER_MONITOR input!

（注） 詳細については、 次の URL の 『Cisco Catalyst 4500 Series Switch Software Configuration Guide, Release IOS-XE 3.1.0 SG: Configuring Flexible NetFlow』 を参照して ください。http://www.cisco.com/en/US/docs/switches/lan/catalyst4500/12.2/01xo/configuration/guide/fnf.html [英語]

0Cisco Cyber Threat Defense Solution 1.1

43

シス コ デバイスでの Flexible NetFlow の設定

Cisco Catalyst 6500 シ リ ーズ Supervisor Engine 2TCisco Catalyst 6500 シ リーズの導入以来、 NetFlow サービスはプラ ッ ト フォームで使用できます。 Cisco Catalyst 6500 シ リーズへの Supervisor Engine 2T の導入によ り、 Flexible NetFlow サポート の導入や NetFlow フ ィーチャ セッ ト の完全なハード ウェア サポー ト など、 NetFlow サービスが向上し続けています。

設計上の考慮事項

Cisco Catalyst 6500 シ リーズの Supervisor Engine 2T は、 単一システムの NetFlow データ収集のかつてないレベルをサポート しています。 13,000,000 のフロー エン ト リ をサポート できるよ う展開を拡大できます。 表 17 に、 Supervisor Engine 2T の改善された NetFlow フ ィーチャ セッ トの詳細を示します。

表 17 Cisco Catalyst 6500 シ リ ーズ ス イ ッ チ Supervisor Engine 2T NetFlow のサポー ト

（注） 現在、 WS-X6908-10G-2T/2TXL、 WS-X6816-10T-2T/2TXL、 DFC4/DFC4XL を搭載した WS-X6716-10G、 および DFC4/DFC4XL を搭載した WS-X6716-10T ラ インカードのみが、Supervisor Engine 2T ベースのシステムで NetFlow レコードのエクスポート を実行できます。 将来、 すべての 6500 シ リーズ モジュールがこの機能をサポー トする予定です。

Flexible NetFlow の設定

こ こでは、Supervisor Engine 2T での Cisco Cyber Threat Defense Solution 1.1 に必要なフローの可視性の推奨レベルを実装する手順について説明します。

Cisco Catalyst 6500 シ リーズ スイ ッチは、 アクセス、 アグ リ ゲーシ ョ ン、 またはディ ス ト リビューシ ョ ン レイヤ スイ ッチと して機能できるため、 アクセス ポートおよび ト ランク ポートに対し異なるフロー レコードおよびフロー モニタを定義する こ とができます。 ただし、 このガイ ドは、 完全な機能を維持する と同時に、 設定をできる限り容易に維持できるよ うに、 両方に対し同じ設定を使用する こ と を推奨します。

フ ロー レ コー ド の設定

手順

ステ ッ プ 1 次のキー フ ィールドおよび非キー フ ィールドを使用して、 フロー レコードを作成します。

6500sup2T(config)#flow record CYBER_6K_RECORD6500sup2T(config-flow-record)#match ipv4 tos6500sup2T(config-flow-record)#match ipv4 protocol6500sup2T(config-flow-record)#match ipv4 source address

機能 Supervisor Engine 2T/2TXL

NetFlow テーブル サイズ 512,000/100 万NetFlow ハッシュ効率 99%

大フロー エン ト リ （6513-E） 1300 万出力 NetFlow YesTCP Flags Yes

440Cisco Cyber Threat Defense Solution 1.1

シス コ デバイスでの Flexible NetFlow の設定

6500sup2T(config-flow-record)#match ipv4 destination address6500sup2T(config-flow-record)#match transport source-port6500sup2T(config-flow-record)#match transport destination-port6500sup2T(config-flow-record)#match interface input6500sup2T(config-flow-record)#collect transport tcp flags6500sup2T(config-flow-record)#collect interface output6500sup2T(config-flow-record)#collect counter bytes6500sup2T(config-flow-record)#collect counter packets6500sup2T(config-flow-record)#collect timestamp sys-uptime first6500sup2T(config-flow-record)#collect timestamp sys-uptime last

（注） Supervisor Engine 2T は、 TCP フラグの収集をサポート していますが、 ipv4 ヘッダーの TTL フ ィールドの収集はサポート していません。

フ ロー エ ク スポー タの設定

フロー エク スポータは、 宛先 IP ア ド レスおよびポー ト を含む FlowCollector について説明します。

手順

ステ ッ プ 1 エクスポータを定義します。

6500sup2T(config)#flow exporter CYBER_EXPORTER

ステ ッ プ 2 （オプシ ョ ン） 説明を追加します。

6500sup2T(config-flow-exporter)#description Lancope StealthWatch FlowCollector for the Cisco Cyber Threat Defense Solution

ステ ッ プ 3 送信元を定義します。

6500sup2T(config-flow-exporter)#source <SVI-interface>

この設定は、 スイ ッチの NetFlow レコードの送信元である IP アド レスです。 ベス ト プラ クテ ィ スは、 管理 VLAN 上の IP アド レスでループバッ クまたは SVI インターフェイスを定義し、送信元と してそのインターフェイスを使用する こ とです。

ステ ッ プ 4 宛先 IP アド レスを定義します。

6500sup2T(config-flow-exporter)#destination <ip-address>

ステ ッ プ 5 ト ランスポー ト プロ ト コルを定義します。

6500sup2T(config-flow-exporter)#transport udp 2055

（注） ベス ト プラ クテ ィ ス ： NetFlow は通常、 UDP ポート 2055 上で送信されます。

フ ロー モニ タの作成

フロー モニタは、 デバイスの NetFlow データベースを表し、 フロー レコード と フロー モニタを関連付けます。

0Cisco Cyber Threat Defense Solution 1.1

45

シス コ デバイスでの Flexible NetFlow の設定

手順

ステ ッ プ 1 フロー モニタを定義します。

6500sup2T(config)#flow monitor CYBER_MONITOR

ステ ッ プ 2 （オプシ ョ ン） 説明を追加します。

6500sup2T(config-flow-monitor)#description Main NetFlow Cache for the Cisco Cyber Threat Defense Solution

ステ ッ プ 3 フロー レコードを設定します。

6500sup2T(config-flow-monitor)#record CYBER_6K_RECORD

ステ ッ プ 4 エクスポータを設定します。

6500sup2T(config-flow-monitor)#exporter CYBER_EXPORTER

ステ ッ プ 5 アクテ ィブ タ イムアウ ト を定義します。

アクテ ィブ タ イムアウ トは、 まだアクテ ィブなフローに対してどのよ う な頻度で NetFlow レコードが生成されるかを示します。 シスコは、 60 秒の値を使用する こ と を推奨します。

6500sup2T(config-flow-monitor)#cache timeout active 60

ステ ッ プ 6 非アクテ ィブ タ イムアウ ト を定義します。

非アクテ ィブ タ イムアウ トは、 非アクテ ィブ （データを送信していない） だがまだキャ ッシュ内に常駐しているフローがキャ ッシュから タ イムアウ ト になる時間帯を示します。 シスコは、15 秒の値を使用する こ と を推奨します。

6500sup2T(config-flow-monitor)#cache timeout inactive 15

イ ン タ ーフ ェ イ スへのフ ロー モニ タの適用

Cisco Catalyst 6500 シ リーズ スイ ッチでは、 フロー モニタはルーテ ィ ングされた （レイヤ 3）ポー ト にのみ適用できます。 ただし、 ルーテッ ド ポート に適用される と、 NetFlow レコードはレイヤ 3 境界を越える ト ラフ ィ ッ クに対してのみ生成され、 VLAN 内の ト ラフ ィ ッ クに対しては生成されません。

VLAN 内の ト ラフ ィ ッ クをモニタするには、 フロー モニタを VLAN インターフェイスに適用する必要があ り ます。

手順

ステ ッ プ 1 VLAN インターフェイス コンフ ィギュレーシ ョ ン モードを開始します。

6500sup2T(config)#interface vlan 100

ステ ッ プ 2 入力ト ラフ ィ ッ クにフロー モニタを適用します。

6500sup2T(config-if)#ip flow monitor CYBER_MONITOR input

ステ ッ プ 3 出力ト ラフ ィ ッ クにフロー モニタを適用します。

6500sup2T(config-if)#ip flow monitor CYBER_MONITOR output

460Cisco Cyber Threat Defense Solution 1.1

シス コ デバイスでの Flexible NetFlow の設定

確認

手順

ステ ッ プ 1 show コマン ドを使用して設定を確認します。

6500sup2T#show run flow [exporter|monitor|record]

NetFlow レコードがアプラ イアンスからエクスポー ト され、 FlowCollector によって受信されている こ と を確認します。 （詳細は、 後述の 「Flexible NetFlow エクスポート の検証」 の項に記載されています。）

Final Cisco Catalyst 6500 Series Supervisor 2T NetFlow Configuration

!flow record CYBER_6K_RECORDmatch ipv4 tosmatch ipv4 protocolmatch ipv4 source addressmatch ipv4 destination address match transport source-portmatch transport destination-port match interface inputcollect transport tcp flagscollect interface output collect counter bytes collect counter packetscollect timestamp sys-uptime first collect timestamp sys-uptime last!!flow exporter CYBER_EXPORTERdescription Lancope StealthWatch FlowCollector for the Cisco Cyber Threat DefenseSolutiondestination <ip-address>source <SVI-interface>transport udp 2055!!flow monitor CYBER_MONITORdescription Main NetFlow Cache for the Cisco Cyber Threat Defense Solution record CYBER_6K_RECORDexporter CYBER_EXPORTER cache timeout active 60 cache timeout inactive 15!!interface Vlan 200ip flow monitor CYBER_MONITOR input ip flow monitor CYBER_MONITOR output!

（注） 詳細については、次の URL で 『Cisco Catalyst 6500 Supervisor Engine 2T: NetFlow Enhancements』を参照して ください。http://www.cisco.com/en/US/prod/collateral/switches/ps5718/ps708/white_paper_c11-652021.html [ 英語 ]

0Cisco Cyber Threat Defense Solution 1.1

47

シス コ デバイスでの Flexible NetFlow の設定

シス コ サービス統合型ルー タ G2Cisco ISR G2 ルータでの Flexible NetFlow サポートは、 Cisco IOS ソフ ト ウェアのガイ ドに記載されているよ うに、 NetFlow のプラ ッ ト フォームに依存しない実装に準拠しています。 ISR では、 NetFlow サービスのサポー トは、 レイヤ 3 境界を超えるフローに関する情報を収集し NetFlow レコードを生成する従来の NetFlow アプローチを取り ます。 この場合、 ネッ ト ワークのさまざまな領域を通過するフローへの可視性を提供する際に Cisco ISR は主要コンポーネント にな り ます。

また、 ISR G2 には NetFlow サービス と完全に統合されたソフ ト ウェアでサポート される Network-Based Application Recognition （NBAR） が含まれます。 イネーブルの場合、 NBAR はインターフェイスを通過するパケッ ト でディープ パケッ ト インスペクシ ョ ンを実行し、 ト ラフ ィ ッ クを生成しているアプ リ ケーシ ョ ンを認識して分類できます （サポート されているプロト コルの場合）。 ト ラフ ィ ッ ク セッ ト のアプ リ ケーシ ョ ン分類は、 NetFlow レコードでエクスポート できます。

設計上の考慮事項

Cisco ISR G2 プラ ッ ト フォームは、 フ ィーチャ セッ ト のソフ ト ウェア実装を使用して NetFlow および NBAR サービスをサポート します。 ソフ ト ウェアでサポート されている NetFlow サービスを展開する と きは注意して ください。 機能がパフォーマンスに影響する可能性があるためです。 たとえば、 Cisco IOS ソフ ト ウェアを実行しているフル ロード された ISR は、 NetFlow の有効化に起因して CPU 使用率が約 15 パーセン ト上昇する場合があ り ます。

ソフ ト ウェアでサポート されている NetFlow サービスを実装する場合は、 次の URL にある Cisco NetFlow パフォーマンス分析のホワイ トペーパーを参照して ください。http://www.cisco.com/en/US/solutions/collateral/ns341/ns524/ns562/ns583/net_implementation_white_paper0900aecd80308a66.pdf

Flexible NetFlow の設定

Cisco ISR G2 プラ ッ ト フォームは通常、 VLAN 間のレイヤ 3 境界と して、 多くの場合ブランチ ネッ ト ワークのエッジに配置されます。 こ こでは、 Cisco ISR G2 の Flexible NetFlow および NBAR の機能を 大限に使用するために推奨されるフローの可視性レベルを実装する手順を説明します。

フ ロー レ コー ド の設定

手順

ステ ッ プ 1 次のキー フ ィールドおよび非キー フ ィールドを使用して、 フロー レコードを作成します。

ISR(config)#flow record CYBER_ISR_RECORD ISR(config-flow-record)#match ipv4 tos ISR(config-flow-record)#match ipv4 protocolISR(config-flow-record)#match ipv4 source address ISR(config-flow-record)#match ipv4 destination address ISR(config-flow-record)#match transport source-port ISR(config-flow-record)#match transport destination-port ISR(config-flow-record)#match interface inputISR(config-flow-record)#collect routing next-hop address ipv4ISR(config-flow-record)#collect ipv4 dscp ISR(config-flow-record)#collect ipv4 ttl minimum ISR(config-flow-record)#collect ipv4 ttl maximum

480Cisco Cyber Threat Defense Solution 1.1

シス コ デバイスでの Flexible NetFlow の設定

ISR(config-flow-record)#collect transport tcp flags ISR(config-flow-record)#collect interface output ISR(config-flow-record)#collect counter bytes ISR(config-flow-record)#collect counter packetsISR(config-flow-record)#collect timestamp sys-uptime firstISR(config-flow-record)#collect timestamp sys-uptime lastISR(config-flow-record)#collect application name

上記のフロー レコードは、 NetFlow バージ ョ ン 9 のフォーマッ ト と ISR の場所をレイヤ 3 境界と して利用し、 [Time To Live] フ ィールド、 TCP フラグ、 およびネクス ト ホップ アド レスなどの、 NetFlow のすべてのスイ ッチベースの実装で使用できないさまざまなレイヤ 3 および 4 のフ ィールドを収集します。

ISR は NBAR をサポートする Cisco Cyber Threat Defense Solution 1.1 の唯一のデバイスです。上記のフロー レコードでは、 [collect application name] オプシ ョ ンを使用してフローを作成しているアプ リ ケーシ ョ ンの名前を収集できます。

（注） ルータで NBAR サービスを使用する と、 ルータのパフォーマンスに影響を与える可能性があ ります。 アプ リ ケーシ ョ ン名の収集は Cisco Cyber Threat Defense Solution 1.1 での重要な機能ですが、 NBAR サービスの有効化は慎重に行う必要があ り ます。

フ ロー エ ク スポー タの設定

フロー エク スポータは、 宛先 IP ア ド レスおよびポー ト を含む FlowCollector について説明します。

手順

ステ ッ プ 1 エクスポータを定義します。

ISR(config)#flow exporter CYBER_EXPORTER

ステ ッ プ 2 （オプシ ョ ン） 説明を追加します。

ISR(config-flow-exporter)#description Lancope StealthWatch FlowCollector for the Cisco Cyber Threat Defense Solution

ステ ッ プ 3 送信元を定義します。

ISR(config-flow-exporter)#source loopback 1

この設定は、 スイ ッチの NetFlow レコードの送信元である IP アド レスです。 ベス ト プラ クテ ィ スは、 管理 VLAN 上で IP アド レスでループバッ ク インターフェイスを定義し、 送信元としてそのインターフェイスを使用する こ とです。

ステ ッ プ 4 宛先 IP アド レスを定義します。

ISR(config-flow-exporter)#destination <ip-address>

ステ ッ プ 5 ト ランスポー ト プロ ト コルを定義します。

ISR(config-flow-exporter)#transport udp 2055

（注） ベス ト プラ クテ ィ ス ： NetFlow は通常、 UDP ポート 2055 上で送信されます。

0Cisco Cyber Threat Defense Solution 1.1

49

シス コ デバイスでの Flexible NetFlow の設定

フ ロー モニ タの作成

フロー モニタは、 デバイスの NetFlow データベースを表し、 フロー レコード と フロー モニタを関連付けます。

手順

ステ ッ プ 1 フロー モニタを定義します。

ISR(config)#flow monitor CYBER_MONITOR

ステ ッ プ 2 （オプシ ョ ン） 説明を追加します。

ISR(config-flow-monitor)#description Main NetFlow Cache for the Cisco Cyber Threat Defense Solution

ステ ッ プ 3 フロー レコードを設定します。

ISR(config-flow-monitor)#record CYBER_ISR_RECORD

ステ ッ プ 4 エクスポータを設定します。

ISR(config-flow-monitor)#exporter CYBER_EXPORTER

ステ ッ プ 5 アクテ ィブ タ イムアウ ト を定義します。

アクテ ィブ タ イムアウ トは、 まだアクテ ィブなフローに対してどのよ う な頻度で NetFlow レコードが生成されるかを示します。 シスコは、 60 秒の値を使用する こ と を推奨します。

ISR(config-flow-monitor)#cache timeout active 60

ステ ッ プ 6 非アクテ ィブ タ イムアウ ト を定義します。

非アクテ ィブ タ イムアウ トは、 非アクテ ィブ （データを送信していない） だがまだキャ ッシュ内に常駐しているフローがキャ ッシュから タ イムアウ ト になる時間帯を示します。 シスコは、15 秒の値を使用する こ と を推奨します。

ISR(config-flow-monitor)#cache timeout inactive 15

イ ン タ ーフ ェ イ スへのフ ロー モニ タの適用

フロー モニタは、 すべてのルーテ ィ ング インターフェイス とサブインターフェースに適用する必要があ り ます。

手順

ステ ッ プ 1 インターフェイス コンフ ィギュレーシ ョ ン モードを開始します。

ISR(config)#interface GigabitEthernet 0/0

ステ ッ プ 2 入力ト ラフ ィ ッ クにフロー モニタを適用します。

ISR(config-if)#ip flow monitor CYBER_MONITOR input

500Cisco Cyber Threat Defense Solution 1.1

シス コ デバイスでの Flexible NetFlow の設定

確認

手順

ステ ッ プ 1 show コマン ドを使用して設定を確認します。

ISR#show run flow [exporter|monitor|record]

NetFlow レコードがアプラ イアンスからエクスポー ト され、 FlowCollector によって受信されている こ と を確認します。 （詳細は、 後述の 「Flexible NetFlow エクスポート の検証」 の項に記載されています。）

Final Configuration

!flow record CYBER_ISR_RECORDmatch ipv4 tosmatch ipv4 protocolmatch ipv4 source addressmatch ipv4 destination address match transport source-portmatch transport destination-port match interface inputcollect routing next-hop address ipv4collect ipv4 dscpcollect ipv4 ttl minimum collect ipv4 ttl maximum collect transport tcp flags collect interface output collect counter bytes collect counter packetscollect timestamp sys-uptime first collect timestamp sys-uptime last collect application name!!flow exporter CYBER_EXPORTERdescription Lancope StealthWatch FlowCollector for the Cisco Cyber Threat DefenseSolutiondestination <ip-address> source loopback 1 transport udp 2055!!flow monitor CYBER_MONITORdescription Main NetFlow Cache for the Cisco Cyber Threat Defense Solution record CYBER_ISR_RECORDexporter CYBER_EXPORTER cache timeout active 60 cache timeout inactive 15!!interface GigabitEthernet0/0ip address <ip-address> <net-mask>ip flow monitor CYBER_MONITOR input!

0Cisco Cyber Threat Defense Solution 1.1

51

シス コ デバイスでの Flexible NetFlow の設定

（注） 詳細については、次の URL にある『NetFlow Configuration Guide, Cisco IOS Software Release 15.2 M&T』 を参照して ください。http://www.cisco.com/en/US/partner/docs/ios-xml/ios/fnetflow/configuration/15-mt/fnf-15-mt-book.html [ 英語 ]

Cisco ASR 1000 シ リ ーズ

Cisco ASR G2 1000 シ リーズ ルータでの Flexible NetFlow サポートは、 Cisco IOS のガイ ドに記載されているよ うに、 NetFlow のプラ ッ ト フォームに依存しない実装に準拠しています。 ASR での NetFlow サポー トは、 レイヤ 3 境界を越えるフローに関する情報を収集し NetFlow レコードを生成する従来の NetFlow アプローチを取り ます。 この場合、 ネッ ト ワークのさまざまな領域を通過するフローへの可視性を提供する際に ASR は主要コンポーネン ト にな り ます。

設計上の考慮事項

Cisco ASR 1000 には、 NetFlow サービス と完全に統合されたソフ ト ウェアでサポート される NBAR が含まれます。 イネーブルの場合、 NBAR はインターフェイスを通過するパケッ ト でディープ パケッ ト インスペクシ ョ ンを実行し、 ト ラフ ィ ッ クを生成しているアプ リ ケーシ ョンを認識して分類できます （サポート されているプロ ト コルの場合）。 ト ラフ ィ ッ ク セッ ト のアプ リ ケーシ ョ ン分類は、 NetFlow レコードでエクスポー ト できます。

NetFlow および NBAR は ASR 1000 シ リーズでソフ ト ウェア サービス と して実装されるため、これらの機能を展開する と きは、 デバイス パフォーマンスに影響を及ぼす可能性があるため注意が必要です。

NetFlow エ ク スポー ト の設定

フ ロー レ コー ド の設定

フロー レコードの設定では、 各フローに対し収集されるデータ フ ィールドが定義されます。

手順

ステ ッ プ 1 次のキー フ ィールドおよび非キー フ ィールドを使用して、 フロー レコードを作成します。

ASR(config)#flow record CYBER_ASR_RECORD ASR(config-flow-record)#match ipv4 tos ASR(config-flow-record)#match ipv4 protocolASR(config-flow-record)#match ipv4 source address ASR(config-flow-record)#match ipv4 destination address ASR(config-flow-record)#match transport source-port ASR(config-flow-record)#match transport destination-port ASR(config-flow-record)#match interface inputASR(config-flow-record)#collect routing next-hop address ipv4ASR(config-flow-record)#collect ipv4 dscp ASR(config-flow-record)#collect ipv4 ttl minimum ASR(config-flow-record)#collect ipv4 ttl maximum ASR(config-flow-record)#collect transport tcp flags ASR(config-flow-record)#collect interface output ASR(config-flow-record)#collect counter bytes ASR(config-flow-record)#collect counter packets

520Cisco Cyber Threat Defense Solution 1.1

シス コ デバイスでの Flexible NetFlow の設定

ASR(config-flow-record)#collect timestamp sys-uptime first ASR(config-flow-record)#collect timestamp sys-uptime last ASR(config-flow-record)#collect application name

NetFlow バージ ョ ン 9 のフォーマッ ト と ASR のロールをレイヤ 3 境界と して利用する こ とで、存続可能時間値、 TCP フラグおよびネクス ト ホップ アド レスなどの、 NetFlow のスイ ッチベースの実装で必ずし も使用できる とは限らないさまざまなレイヤ 3 および 4 のフ ィールドの収集が可能にな り ます。

上記のフロー レコードでは、 [collect application name] オプシ ョ ンを使用して NBAR からアプ リケーシ ョ ンの名前の収集が可能です。 NBAR が実行されていない場合、 この行は省略される場合があ り ます。

（注） NBAR サービスはルータのパフォーマンスに影響を及ぼす可能性があ り ます。 アプ リ ケーシ ョン名の収集は Cisco Cyber Threat Defense Solution での重要な機能ですが、 NBAR サービスの有効化は慎重に行う必要があ り ます。

フ ロー エ ク スポー タの設定

フロー エクスポータの設定では、 宛先 IP アド レスやポート など、 フロー レコードが送信される場所 （FlowCollector） が定義されます。

手順

ステ ッ プ 1 エクスポータを定義します。

ASR(config)#flow exporter CYBER_EXPORTER

ステ ッ プ 2 （オプシ ョ ン） 説明を追加します。

ASR(config-flow-exporter)#description Lancope StealthWatch FlowCollector for the Cisco Cyber Threat Defense Solution

ステ ッ プ 3 送信元を定義します。

ASR(config-flow-exporter)#source Loopback 1

この設定は、 スイ ッチが NetFlow エクスポー ト レコードの送信元と して使用する IP アド レスです。 ベス ト プラ クテ ィ スは、 管理 VLAN 上で IP アド レスでループバッ ク インターフェイス（例で示す Loopback 1） を定義し、 送信元と してそのインターフェイスを使用する こ とです。ループバッ ク インターフェイスは、 フロー エクスポート の送信元と して使用する前に設定する必要がある こ とに注意して ください。

ステ ッ プ 4 宛先 IP アド レスを定義します。

ASR(config-flow-exporter)#destination ip-address-of-FlowCollector

ステ ッ プ 5 ト ランスポー ト プロ ト コルを定義します。

ASR(config-flow-exporter)#transport udp 2055

（注） ベス ト プラ クテ ィ ス ： NetFlow は通常、 UDP ポート 2055 上で送信されます。

0Cisco Cyber Threat Defense Solution 1.1

53

シス コ デバイスでの Flexible NetFlow の設定

フ ロー モニ タの作成

フロー モニタは、 デバイスのメモ リ常駐型 NetFlow データベースを表し、 フロー レコード とフロー エクスポータの設定を関連付けます。

手順

ステ ッ プ 1 フロー モニタを定義します。

ASR(config)#flow monitor CYBER_MONITOR

ステ ッ プ 2 （オプシ ョ ン） 説明を追加します。

ASR(config-flow-monitor)#description Main NetFlow Cache for the Cisco Cyber ThreatDefense Solution

ステ ッ プ 3 フロー レコードを設定します。

ASR(config-flow-monitor)#record CYBER_ASR_RECORD

ステ ッ プ 4 エクスポータを設定します。

ASR(config-flow-monitor)#exporter CYBER_EXPORTER

ステ ッ プ 5 アクテ ィブ タ イムアウ ト を定義します。

アクテ ィブ タ イムアウ トは、 まだアクテ ィブなフローに対してどのよ う な頻度で NetFlow レコードが生成されるかを示します。 60 秒の値を使用する こ と を推奨します。

ASR(config-flow-monitor)#cache timeout active 60

ステ ッ プ 6 非アクテ ィブ タ イムアウ ト を定義します。

非アクテ ィブ タ イムアウ トは、 非アクテ ィブ （データを送信していない） だがまだキャ ッシュ内に常駐しているフローがキャ ッシュから タ イムアウ ト になる時間帯を示します。 シスコは、15 秒の値を使用する こ と を推奨します。

ASR(config-flow-monitor)#cache timeout inactive 15

イ ン タ ーフ ェ イ スへのフ ロー モニ タの適用

フロー モニタは、 すべてのルーテ ィ ング インターフェイス とサブインターフェースに適用する必要があ り ます。

手順

ステ ッ プ 1 インターフェイス コンフ ィギュレーシ ョ ン モードを開始します。

ASR(config)#interface GigabitEthernet 0/0/0

ステ ッ プ 2 入力ト ラフ ィ ッ クにフロー モニタを適用します。

ASR(config-if)#ip flow monitor CYBER_MONITOR input

540Cisco Cyber Threat Defense Solution 1.1

シス コ デバイスでの Flexible NetFlow の設定

確認

手順

ステ ッ プ 1 show コマン ドを使用して設定を確認します。

ASR#show run flow [exporter|monitor|record]

ステ ッ プ 2 NetFlow レコードがアプラ イアンスからエクスポー ト され、 FlowCollector によって受信されている こ と を確認します。 （詳細については、 『Design and Implementation Guide』 を参照して ください。）

Final Configuration

!flow record CYBER_ASR_RECORDmatch ipv4 tosmatch ipv4 protocolmatch ipv4 source addressmatch ipv4 destination address match transport source-portmatch transport destination-port match interface inputcollect routing next-hop address ipv4 collect ipv4 dscpcollect ipv4 ttl minimumcollect ipv4 ttl maximum collect transport tcp flags collect interface output collect counter bytes collect counter packetscollect timestamp sys-uptime firstcollect timestamp sys-uptime last collect application name!!flow exporter CYBER_EXPORTER?description Lancope StealthWatch FlowCollector for the Cisco Cyber Threat DefenseSolution?destination <ip-address> source loopback 1 transport udp 2055!!flow monitor CYBER_MONITORdescription Main NetFlow Cache for the Cisco Cyber Threat Defense Solution record CYBER_ASR_RECORDexporter CYBER_EXPORTERcache timeout active 60?cache timeout inactive 15!!interface GigabitEthernet0/0/0ip address <ip-address> <net-mask>ip flow monitor CYBER_MONITOR input!

0Cisco Cyber Threat Defense Solution 1.1

55

シス コ デバイスでの Flexible NetFlow の設定

（注） 詳細については、 次の URL にある 『NetFlow Configuration Guide, Cisco IOS XE Release 3S (ASR 1000)』 を参照して ください。http://www.cisco.com/en/US/docs/ios-xml/ios/netflow/configuration/xe-3s/asr1000/nf-xe-3s-asr1000-book.pdf [ 英語 ]

Cisco NetFlow Generation Appliance大規模なデータセンターでは、 高レー ト で NetFlow を生成する こ とは難しい場合があ り ます。マルチギガビッ ト データセンターでのフロー可視性に対する専用の高性能なソ リ ューシ ョ ンである Cisco NetFlow Generation Appliance （NGA） は、 Cisco Cyber Threat Defense Solution の一部と して、 スケーラブルかつ低コス ト な方法で、 これらの環境でフローの可視性を復元できます。

設計上の考慮事項

Cisco NGA には、 4 つの 10G モニタ リ ング インターフェイス と 大 4 つの独立したフロー キャ ッシュおよびフロー モニタが付属しています。 これは、 Cisco NGA が 大 40 ギガビッ トのデータを受信し、 データ ポート 、 レコード テンプレートおよびエクスポート パラ メータのさまざまな組み合わせをサポート できる こ と を意味します。 これは、 NGA をデータセンター内に配置する と きに考慮する こ とが重要です。

NGA は、 物理アクセス、 アグ リ ゲーシ ョ ンおよびコア レイヤからデータを受信するよ うに配置できます。 目的は、 データセンター内のすべての ト ラフ ィ ッ ク とデータセンターから発信される ト ラフ ィ ッ クの完全な可視性を確保する こ とです。 仮想環境内の ト ラフ ィ ッ ク（VM-to-VM ト ラフ ィ ッ ク） は、 StealthWatch FlowSensor VE を使用してモニタできます。 データセンターに出入りする ト ラフ ィ ッ クは、 ASA などのエッジ デバイスを使用してモニタできます。 アグ リ ゲーシ ョ ンおよびコア レイヤに NGA を戦略的に配置する こ とで、 データセンター内の ト ラフ ィ ッ クの有効なモニタ リ ングを確実に行う こ とができ、 データセンターから発信される ト ラフ ィ ッ クの追加の統計情報も提供されます。 Cisco NGA は非常にスケーラブルで、 大 64,000,000 のアクテ ィブ フローをサポート できます。 インス トールの詳細については、 『Quick Start Guide for Cisco NetFlow Generation Appliance 3140』 を参照して ください。

（注） ベス ト プラ クテ ィ ス ： NGA のモニタ リ ング インターフェイスは、 データセンター内の ト ラフ ィ ッ クへの完全な可視性を確保するためにチョーク ポイン トから提供される必要があ り ます。

NGA で NetFlow を設定する場合は、 次のサポー ト対象の項目に留意して ください。

• 大 10 のフ ィルタ ： これらは、 どのフローが特定のコレク タに送信されるかを定義します。 これによ り、 ユーザはコレク タの分析アプ リ ケーシ ョ ンを使用して、 コレ ク タ間で NetFlow データを負荷分散できます。

• 大 4 台の管理対象デバイス ： 前述のとおり、 管理対象デバイスを設定する こ とで、 ト ラフ ィ ッ クの送信元から インターフェイス情報を収集する こ とができます。

• 大 6 台のコレク タ ： 大 6 台の NetFlow コレ ク タに NetFlow エクスポート を有効化するこ とで、 データセンターで NetFlow データ エクスポー ト を負荷分散し、 特定のアプ リ ケーシ ョ ンをモニタできます。

• 大 4 台のモニタ ： 大 4 台の独立したフロー モニタ （フロー キャ ッシュ） を同時にアクテ ィブにできます。 各モニタは 大 3 件のレコードをサポート します。 これら 3 件のレコードの う ち、 IPv4、 IPv6 およびレイヤ 2 のレコード タ イプがそれぞれ 1 つずつサポートされます。

560Cisco Cyber Threat Defense Solution 1.1

シス コ デバイスでの Flexible NetFlow の設定

Flexible NetFlow の設定

Cisco NGA が導入され、 ネッ ト ワーク ト ラフ ィ ッ クのコピーを受信した後 （詳細については『Cisco Cyber Threat Defense Solution 1.1 How-to Guide: Gain Visibility in the Data Center with the Cisco NetFlow Generation Appliance』 を参照）、 Flexible NetFlow エクスポート を設定する必要があ り ます。 Cisco NGA での Flexible NetFlow 設定は、 Web インターフェイス経由または CLI から直接行う こ とができます。 こ こでは、 Cisco NGA Web インターフェイスを使用した検証済みの設定について説明します。

NetFlow のク イ ッ ク設定の実行

これは、 v5 または v9 NetFlow パケッ ト をコレ ク タにエクスポートするための も簡単な設定です。

手順

ステ ッ プ 1 図 10 に示すよ うに、 [Setup] > [Quick Setup] をク リ ッ ク します。

図 10 ク イ ッ ク設定

ステ ッ プ 2 名前を定義します。

この設定を識別する一意の名前を入力します。

ステ ッ プ 3 1 つ以上のデータ ポート を定義します。

着信パケッ ト を受け入れる各アプラ イアンスのデータ ポー ト のチェ ッ クボッ ク スをオンにします。

ステ ッ プ 4 コレ ク タのアド レスを定義します。

[Collector Address] フ ィールドにコレク タの IP アド レスを入力します。

ステ ッ プ 5 UDP コレ ク タ ポート を定義します。

コレ ク タ デバイスが リ スンするポート を入力します。 これは通常、 コレク タ デバイスで設定できます。 StealthWatch はデフォル ト で UDP ポート 2055 上で NetFlow を予期します。

0Cisco Cyber Threat Defense Solution 1.1

57

シス コ デバイスでの Flexible NetFlow の設定

ステ ッ プ 6 NetFlow バージ ョ ンを定義します。

標準の NetFlow バージ ョ ン 5 のモニタ リ ングおよびエクスポート を実行するよ うにアプラ イアンスを設定するには、 バージ ョ ン 5 を選択します。 フ ィールドは NetFlow バージ ョ ン 5 の規格によって決定されるため、 個々のレコード フ ィールドを選択する必要はあ り ません。

モニタ リ ング/収集に含めるバージ ョ ン 9 フ ィールドを選択します。

（注） ベス ト プラ クティ ス ： バージ ョ ン 9 を使用し、 図 11 に示すよ うにフ ィールドを選択します。

図 11 ク イ ッ ク設定ウ ィ ン ド ウ

（注） MAC フ ィールドはオプシ ョ ンで、 管理対象デバイスの設定が確立されているかど うかに基づきます。 管理対象デバイスの設定が確立されている場合は、 MAC フ ィールドを選択する必要があ り ます。 管理対象デバイスの設定が確立されていない場合、 MAC フ ィールドは選択しないでください。

ステ ッ プ 7 [Submit] をク リ ッ ク します。 ` 次のコンポーネン ト が作成されます。

• V5 の場合

– Cyber_Example_collector とい う名前のコレク タ

– Cyber_Example_exporter とい う名前のエクスポータ

– Cyber_Example _monitor とい う名前のモニタ

580Cisco Cyber Threat Defense Solution 1.1

シス コ デバイスでの Flexible NetFlow の設定

• V9 の場合

– Cyber_Example_collector とい う名前のコレク タ

– Cyber_Example_exporter とい う名前のエクスポータ

– Cyber_Example_monitor とい う名前のモニタ

– Cyber_Example_record とい う名前のレコード

ステ ッ プ 8 [Monitor] タブで [Cyber_Example_monitor] を選択し、 [Activate/Inactivate] をク リ ッ ク します。

これによ り、 新し く作成されたフロー モニタが入力ト ラフ ィ ッ クの NetFlow 情報を生成し、 それを StealthWatch FlowCollector に送信できるよ うにな り ます。

フ ィルタの作成、 複数のコレク タ、 レコード、 エク スポータおよびモニタの設定に関する詳細については、 『Cisco NetFlow Generation Appliance (NGA) 3140 User Guide』 の 「Setting Up Multiple NetFlow Monitor Instances」 の項を参照して ください。

Cisco ASA 5500 シ リ ーズ適応型セキュ リ テ ィ アプ ラ イ アンス

NetFlow セキュ リ テ ィ イベン ト ロギングについて

NetFlow の Cisco ASA 実装は、 NetFlow Security Event Logging （NSEL） と して知られています。初に Cisco ASA ソフ ト ウェア バージ ョ ン 8.2(1) に導入された NSEL によ り、特定の大容量の

ト ラフ ィ ッ ク関連イベン ト を標準の syslog ロギングで提供される ものよ り も効率的でスケーラブルな方法でセキュ リ テ ィ アプラ イアンスからエクスポー トする こ とができます。

NSEL は NetFlow v9 プロ ト コルの上に組み込まれます。 ただし、 NetFlow v9 レコード内のフ ィールドは標準の NetFlow レポー ト とは異なって使用されます。

標準の NetFlow と NSEL との主な違いは、 NSEL が IP フロー内の重要なイベン ト を示すレコードのみをエクスポートするステー ト フル フロー ト ラ ッキング メ カニズムである こ とです。NSEL イベン トは、 フロー ステータスに関するデータをエクスポートするために使用され、 標準の NetFlow などのアクテ ィ ビテ ィ タ イマーによってではな く、 状態変更をもたらすイベン トによって発生します。 ASA は現在、 3 つのイベン ト タ イプでレポート しています。

• Flow Create

• Flow Tear Down

• Flow Denied

NSEL 実装と標準の NetFlow バージ ョ ン 9 の実装における他のわずかな違いにも注意する必要があ り ます。

• NSEL は双方向です。 Cisco IOS デバイスを介した接続では 2 つのフローが生成されます。一方は各方向用であるのに対し、 NSEL は接続ごとに単一のフローを送信します。

• NSEL は各方向のバイ ト数ではな く、 双方向フローの総バイ ト数を報告します。

• NSEL はパケッ ト数を報告しません。

• NSEL には 3 つのイベン ト タ イプの事前定義済みテンプレート があ り ます。 これらのテンプレー トは通常、 NSEL データが記録される前にエクスポート されます。

NSEL flow-export アクシ ョ ンは、 インターフェイスベースのポ リ シーではサポート されません。これらはグローバル サービス ポ リ シーにのみ適用できます。

0Cisco Cyber Threat Defense Solution 1.1

59

シス コ デバイスでの Flexible NetFlow の設定

NSEL は独自の利点を提供し、 NSEL レコード とデータがそれに従って処理され対処される場合に、 ネッ ト ワーク エッジを通過する ト ラフ ィ ッ クへのよ り深い洞察と可視性を提供できます。 Cisco Cyber Threat Defense Solution のコンポーネン ト と して、 Lancope StealthWatch システムは一意のフ ィールドを把握して活用し、 ネッ ト ワークの脅威を検出するセキュ リ テ ィ アナ リス ト を支援するための可視性と コンテキス ト を提供します。

（注） ベス ト プラ クテ ィ ス ： ASA データから 大限のメ リ ッ ト を得るためには、 欠落したタ イムアウ ト 、 パケッ トおよびバイ ト カウン ト データを入力するために従来の NetFlow を同じフロー データの StealthWatch にエクスポートする他のデバイスを用意する こ と を推奨します。 これによ り、 NSEL によって提供される一意のコンテキス ト の利点を維持しながら、 完全なフローの可視性が確保されます。

NSEL の設定

NSEL は、 モジュ ラ ポ リ シー フレームワーク （MPF） を使用して ASA アプラ イアンスで設定されます。 すべてのフローで NSEL をイネーブルにする もっ と も簡単な方法は、 次の手順に従って、 グローバル ポ リ シーの一部と して設定する こ とです。

NSEL コ レ ク タの設定

手順

ステ ッ プ 1 NSEL コレ ク タを設定します。

この手順では、 NetFlow レコードが ASA によって送信される NetFlow コレ ク タを定義します。

ASA(config)# flow-export destination interface-name collector-ip-address port

interface-name はコレク タ （collector-ip-address および port で） が到達可能な ASA アプラ イアンスのインターフェイスです。 次に例を示します。

ASA(config)# flow-export destination inside 192.168.200.25 2055

グローバル ポ リ シーで NSEL を設定し ます

手順

ステ ッ プ 1 global_policy コンフ ィギュレーシ ョ ンを開始します。

ASA(config)# policy-map global_policy

ステ ッ プ 2 class-default コンフ ィギュレーシ ョ ンを開始します。

ASA(config-pmap)# class class-default

ステ ッ プ 3 すべての ト ラフ ィ ッ クの flow-export アクシ ョ ンを定義します。

ASA(config-pmap-c)# flow-export event-type all destination collector-ip-address

collector-ip-address は、 前に作成されたコレク タに与えられた IP アド レス と同じです。

600Cisco Cyber Threat Defense Solution 1.1

シス コ デバイスでの Flexible NetFlow の設定

（オプシ ョ ン） テンプレー ト タ イムアウ ト 間隔の調整

手順

ステ ッ プ 1 テンプレート レコードが送信される間隔を変更します。

ASA(config)# flow-export template timeout-rate 2

（注） ベス ト プラ クテ ィ ス ： 次に示すよ うに、 2 分間のインターバル レー ト を使用します。

（オプシ ョ ン） 冗長な syslog メ ッ セージの無効化

NSEL の目的はフローベースのイベン ト をロギングするよ り高性能な方法を作成する こ とであったため、 NSEL を有効にする と、 複数の冗長な syslog メ ッセージが作成されます。 高性能展開では、 これらの冗長メ ッセージを無効にする こ とが推奨されます。

手順

ステ ッ プ 1 冗長な syslog メ ッセージを無効にします。

ASA(config)# logging flow-export-syslogs disable

ステ ッ プ 2 冗長な syslog メ ッセージのステータスを示します。

ASA# show logging flow-export-syslogs

確認

手順

ステ ッ プ 1 show コマン ドを使用して設定を確認します。

ステ ッ プ 2 ランタ イム カウンタをチェ ッ ク して NSEL の統計データ とエラー データを確認します。

ASA# show flow-export countersdestination: management 192.168.200.25 2055

Statistics:packets sent 2896

Errors:block allocation failure 0 invalid interface 0 template send failure 0 no route to collector 0

設定が正しい場合、 コマン ドの出力が次のよ うに表示されます。

• StealthWatch FlowCollector の IP アド レスになる宛先

• ゼロよ り大き く なるよ うに送信されるパケッ ト （フローがデバイスを経由している と仮定）

• エラー ゼロ

ステ ッ プ 3 ASA が SMC の StealthWatch FlowCollector のエクスポータ ツ リーにある こ と を確認します。

ステ ッ プ 4 ASA を右ク リ ッ ク し、 [Flows] > [Flow Table] を選択して、 フロー テーブルを開きます。

0Cisco Cyber Threat Defense Solution 1.1

61

シス コ デバイスでの Flexible NetFlow の設定

Final Configuration

!flow-export destination management <ip-address> 2055!policy-map global_policy class class-defaultflow-export event-type all destination <ip-address>

!flow-export template timeout-rate 2 logging flow-export syslogs disable!

（注） 詳細については、 『Configuring Network Secure Event Logging』（http://www.cisco.com/en/US/docs/security/asa/asa84/configuration/guide/monitor_nsel.html [ 英語 ]）および 『Cisco ASA 5500 Series Implementation Note for NetFlow Collectors, 8.4, 8.5, and 8.6』（http://www.cisco.com/en/US/docs/security/asa/asa84/system/netflow/netflow.html [ 英語 ]） を参照して ください。

Flexible NetFlow エ ク スポー ト の確認

NetFlow をソ リ ューシ ョ ンの各デバイスで設定する と きは、 フロー モニタが動作可能で NetFlow レコードを StealthWatch FlowCollector にエクスポート している こ と を確認する必要があ り ます。 前の項では、 デバイスは Flexible NetFlow で設定され、 設定は Cisco Cyber Threat Defense Solution 1.1 で推奨されている Flexible NetFlow 設定と一致する こ とが確認されました。NetFlow 設定が動作可能である こ と を確認するには、 次の手順を使用します。

Cisco IOS ソ フ ト ウ ェ アベースのデバイ スでの NetFlow エ ク スポー ト の確認

手順

ステ ッ プ 1 キャ ッシュ内に存在するフロー レコードを表示します。

Cisco-IOS#show flow monitor CYBER_MONITOR cache

このコマン ドは、 現在 CYBER_MONITOR のメモ リ内にあるすべてのフロー レコードを表示します。 フローが設定されたインターフェイスを通過している と仮定して、 レコードが表示されます。 そ うでない場合は、 フロー モニタが正しいインターフェイスに正しい方向で適用されていて、 ト ラフ ィ ッ クがインターフェイス上にある こ と を確認します。

ステ ッ プ 2 フロー モニタの履歴統計を表示します。

Cisco-IOS#show flow monitor CYBER_MONITOR statisticsCache type: NormalCache size: 128Current entries: 0High Watermark: 0

Flows added: 0Flows aged: 0- Active timeout ( 60 secs) 0- Inactive timeout ( 15 secs) 0- Event aged 0- Watermark aged 0- Emergency aged 0

620Cisco Cyber Threat Defense Solution 1.1

シス コ デバイスでの Flexible NetFlow の設定

Cache type: Normal (Platform cache)Cache size: UnknownCurrent entries: 19

Flows added: 0Flows aged: 171593- Active timeout ( 60 secs) 171593

このコマン ドは、 キャ ッシュ内に現在あるフローの数やキャ ッシュからエージングされたフローの数など、 CYBER_MONITOR の履歴統計を表示します。 キャ ッシュのサイズ、 および、アクテ ィブおよび非アクテ ィブ タ イムアウ ト も こ こで確認できます。

ステ ッ プ 3 フロー レコードがデバイスからエクスポー ト されている こ と を確認します。

Cisco-IOS#show flow exporter CYBER_EXPORTER statisticsFlow Exporter CYBER_EXPORTER:

Packet send statistics (last cleared 8w4d ago):Successfully sent: 702414 (147362340 bytes)

Client send statistics:Client: Flow Monitor EXAMPLE_MONITOR

Records added: 0- sent: 1404828Bytes added: 0- sent: 147362340

このコマン ドは、 フロー エクスポータからエクスポー ト されたパケッ トおよびバイ ト の履歴数を表示します。 送信されたパケッ ト数 （および送信されたレコード数） は、 ゼロよ り も大き くて、 増加している必要があ り ます。 そ うでない場合は、 フロー エクスポータがフロー モニタに適切に適用されている こ と を確認します。

（注） NetFlow では、 複数のフロー レコードを単一のパケッ ト で送信できるため、 上記の出力のレコード数とパケッ ト数が異なっている場合があ り ます。

Cisco ASA アプ ラ イ アンスでの NetFlow エ ク スポー ト の確認

手順

ステ ッ プ 1 ランタ イム カウンタをチェ ッ ク して NSEL の統計データ とエラー データを確認します。

ASA# show flow-export countersdestination: management 192.168.200.25 2055

Statistics:packets sent 2896

Errors:block allocation failure 0 invalid interface 0 template send failure 0 no route to collector 0

0Cisco Cyber Threat Defense Solution 1.1

63

シス コ デバイスでの Flexible NetFlow の設定

設定が正しい場合、 コマン ドの出力が次のよ うに表示されます。

• StealthWatch FlowCollector の IP アド レスになる宛先

• ゼロよ り大き く なるよ うに送信されるパケッ ト （フローがデバイスを経由している と仮定）

• エラー ゼロ

NetFlow レ コー ド が FlowCollector によ っ て受信されている こ との確認

設定が動作可能である こ と を確認する 後の手順は、 各エクスポータのフロー レコードが FlowCollector によって受信されている こ と を確認する こ とです。

（注） この手順は、 前の手順が成功して、 NetFlow が NetFlow 生成デバイスからエクスポー ト されている こ と を想定しています。

手順

ステ ッ プ 1 SMC のコンソールにログインします。

ステ ッ プ 2 エンタープラ イズ ツ リーで FlowCollector を展開します。

ステ ッ プ 3 図 12 に示すよ うに、 設定したフロー エクスポータが展開したツ リーに表示されている こ と を確認します。

図 12 展開し たツ リ ー

ステ ッ プ 4 フロー エクスポータを右ク リ ッ ク し、 [Flows] > [Flow Table] をク リ ッ ク します。

ステ ッ プ 5 図 13 に示すよ うに、 （予期した） フロー レコードがテーブルに表示されている こ と を確認します。

640Cisco Cyber Threat Defense Solution 1.1

シス コ デバイスでの Flexible NetFlow の設定

図 13 フ ロー テーブル

0Cisco Cyber Threat Defense Solution 1.1

65

NetFlow 分析と アイデンテ ィ テ ィ 、 デバイス プロ フ ァ イ リ ングおよびユーザ サービス との統合

NetFlow 分析と ア イデンテ ィ テ ィ 、 デバイ ス プロ フ ァイ リ ングおよびユーザ サービス との統合

概要

Cisco Cyber Threat Defense Solution 1.1 は Cisco TrustSec ソ リ ューシ ョ ン と連携して動作するように設定されています。 これは、 両方のソ リ ューシ ョ ンを同時に展開できる と と もに、 管理者に強化された可視性とネッ ト ワークの制御が提供される こ と を意味します。

（注） 読者は Cisco TrustSec Solution 2.0 以降をよ く理解していて、 それを少な く と もモニタ モード またはよ り良い配置で導入している こ と を前提と しています。 TrustSec の詳細については、 次の URL を参照して ください ： http://www.cisco.com/go/trustsec

Lancope StealthWatch 管理コンソール （SMC） と Cisco Identity Services Engine （ISE） の統合により、 管理者はユーザおよびデバイスの ID を SMC コンソール内のフローまたはフローのセッ トに迅速に関連付けるこ とができます。 図 14 に、 ユーザ名、 デバイス タイプ、 および他のセッシ ョ ン情報を IP アド レスを持つすべての関連フローと と もに使用できる この拡張機能を示します。 こ こでは、 Cisco Cyber Threat Defense Solution の機能を強化するために、 Lancope SMC と Cisco TrustSec ソ リ ューシ ョ ンまたは Cisco ISE 展開を統合するプロセスについて説明します。

図 14 [Identity and Device] テーブル

Lancope SMC と Cisco Identity Services Engine の統合

StealthWatch 6.3 は、 Cisco ISE モニタ リ ング （MNT） ノードから ID 情報を収集するために Representational State Transfer （REST） API を使用します。 REST API コールは、 安全で認証済みの HTTPS セッシ ョ ンを通過します。

Identity Services Engine モニ タ リ ング ノ ー ド の配置の確認

Cisco ISE ノードで API コールを正常に呼び出すためには、 ノードを有効な MNT ノード と して配置する必要があ り ます。 この配置は、 ISE ダッシュボードの ISE 展開構成をチェ ッ クする ことで確認できます。

660Cisco Cyber Threat Defense Solution 1.1

NetFlow 分析と アイデンテ ィ テ ィ 、 デバイス プロ フ ァ イ リ ングおよび

手順

ステ ッ プ 1 Cisco ISE ダッシュボードにログインします。

ステ ッ プ 2 [Administration] > [System] > [Deployment] に移動します。

展開されたすべての設定済みノードが リ ス ト された [Deployment Nodes] ページが表示されます。

ステ ッ プ 3 [Deployment Nodes] ページの [Role(s)] カラムで、モニタするターゲッ ト ノードのロールが図 15 に示すよ うに Cisco モニタ リ ング ISE ノードのタ イプと して表示されている こ と を確認します。（注 ： スタン ドアロン ロールには MNT 機能が付属しています。）

図 15 [Deployment Nodes] 画面

ア ク セスをモニ タ するための ISE での管理ユーザの作成

（注） ベス ト プラ クテ ィ ス ：Cisco Cyber Threat Defense Solution および ISE REST API を使用する展開の場合、 推奨されるプラ クテ ィ スは、 API の使用を認証するために ISE で別のユーザ アカウント を作成する こ とです。

手順

ステ ッ プ 1 ISE ダッシュボードにログインします。

ステ ッ プ 2 [Administration] > [System] > [Admin Access] > [Administrators] に移動します。

ステ ッ プ 3 [Admin Users] を選択します。図 16 に示すよ うに、 [Add] をク リ ッ ク し、 [Create an Admin User] を選択します。

0Cisco Cyber Threat Defense Solution 1.1

67

NetFlow 分析と アイデンテ ィ テ ィ 、 デバイス プロ フ ァ イ リ ングおよびユーザ サービス との統合

図 16 管理ユーザの作成

ステ ッ プ 4 [Admin User]、 [Password]、 [User Information]、 [Account Options]、 および [Admin Groups] セクシ ョ ンに入力します （表 18 を参照）。

表 18 管理ユーザ情報

ステ ッ プ 5 [Submit] をク リ ッ ク します。

ISE にア ク テ ィ ブなセ ッ シ ョ ンがある こ と を確認し ます

手順

ステ ッ プ 1 ISE ダッシュボードにログインします。

ステ ッ プ 2 [Operations] > [Authentications] をク リ ッ ク します。

ステ ッ プ 3 ラ イブ認証テーブルが空でないこ とを確認します。

設定項目 設定

Admin User 容易に識別できる管理ユーザの名前を付けます。 アカウン ト ステータス

が [Enabled] に設定されている こ と を確認します。 Password ユーザのパスワードを作成します。 User Information オプシ ョ ン ： ユーザを説明する情報を追加します。 Account Options オプシ ョ ン ： 下記のよ う な有意義な説明を追加します。

Account used the StealthWatch Management Console to access ISE Session information for the Cisco Cyber Threat Defense Solution.

Admin Groups ユーザを事前定義済みの Helpdesk Admin グループに入れます。

680Cisco Cyber Threat Defense Solution 1.1

NetFlow 分析と アイデンテ ィ テ ィ 、 デバイス プロ フ ァ イ リ ングおよび

ISE API が Web ブ ラウザを使用し ている こ と を確認し ます

Cisco ISE と Lancope SMC の統合は、Cisco ISE でサポート される 2 つの API コールを活用します。

• 認証済みセッシ ョ ンの リ ス ト ： 現在アクテ ィブなすべての認証済みセッシ ョ ンの リ ス ト を取得します。

• IP アド レスによるエン ドポイン ト ： IP アド レスによるホス ト の認証済みセッシ ョ ン情報を取得します。

統合を進める前に、管理者クレデンシャルと API 動作を Web ブラウザを使用して検証する こ とを推奨します。

手順

ステ ッ プ 1 Web ブラウザを開きます （Mozilla Firefox が推奨されます）。

ステ ッ プ 2 次の URL を使用して AuthList API を呼び出します。

https://ise.demo.local/ise/mnt/api/Session/AuthList/null/null

（注） この例では、 ise.demo.local は ISE ノードの DNS 名です。 ご使用の環境の ISE MNT ノードの正しい DNS 名または IP アド レスに置き換えて ください。

ステ ッ プ 3 手順 2 のモニタ リ ング クレデンシャルを使用してログインします。

ステ ッ プ 4 認証リ ス ト が表示される こ と を確認します。

（注） ISE 内で管理されているアクテ ィブな認証済みセッシ ョ ンがない場合、 認証リ ス トは空になっています。 セッシ ョ ンが API から返されない場合は、 ISE ダッシュボードに移動してアクテ ィブなセッシ ョ ンがある こ と を確認します。

ステ ッ プ 5 ISE 内のアクテ ィブなセッシ ョ ンからの IP アド レスを使用して、 次の URL で Endpoint by IP Address API を呼び出します。

https://ise.demo.local/ise/mnt/api/Session/EndPointIPAddress/<ip-address>

ステ ッ プ 6 手順 2 のモニタ リ ング クレデンシャルを使用してログインします。

ステ ッ プ 7 認証セッシ ョ ンの情報が取得されている こ と を確認します。

認証局の証明書を設定し ます。

SMC は、 Cisco ISE のアイデンテ ィテ ィ証明書を発行した認証局を信頼するよ うに設定する必要があ り ます。 ベス ト プラ クテ ィ スが StealthWatch システムの導入に従っている場合、 この手順はすでに完了しています。 そ うでない場合は、 認証局の証明書を SMC で取得してインストールする必要があ り ます。

0Cisco Cyber Threat Defense Solution 1.1

69

NetFlow 分析と アイデンテ ィ テ ィ 、 デバイス プロ フ ァ イ リ ングおよびユーザ サービス との統合

手順

ステ ッ プ 1 SMC （管理） Web インターフェイスにログインします。

ステ ッ プ 2 ホーム ページから、 [Configuration] > [Certificate Authority Certificates] をク リ ッ ク します。

ステ ッ プ 3 [Choose File] をク リ ッ ク し、 ローカル ディ ス クを参照して、 CA 証明書を検索します。

ステ ッ プ 4 SMC 設定で識別されるよ うに証明書に名前を付けます。

ステ ッ プ 5 [Add Certificate] をク リ ッ ク します。

Cisco ISE を Lancope SMC に登録し ます。

導入のこの時点で、 Cisco ISE にアクテ ィブな認証セッシ ョ ンがあ り、 設定したユーザ名とパスワードを使用して外部エンテ ィテ ィによってそれらを取得できる こ とが確認済みです。

手順

ステ ッ プ 1 SMC ク ラ イアン ト ソフ ト ウェアにログインします。

ステ ッ プ 2 ド メ インを強調表示し、 [Configuration] > [Add Cisco ISE …] をク リ ッ ク します。

ステ ッ プ 3 図 17 に示すよ うに、 ISE 展開の名前を入力します。

図 17 Cisco ISE の追加

ステ ッ プ 4 [Add] をク リ ッ ク して、 名前、 IP アド レス、 ユーザ名、 およびパスワードを入力します。 Cisco Identity Services Engine が配置されるタイム ゾーンを確認し、 [OK] をク リ ッ ク します。 （図 18 を参照）。

700Cisco Cyber Threat Defense Solution 1.1

NetFlow 分析と アイデンテ ィ テ ィ 、 デバイス プロ フ ァ イ リ ングおよび

図 18 Cisco ISE 展開 ノ ー ド の追加

ステ ッ プ 5 冗長性のために 2 つ目の ISE MNT ノードを入力するには、 2 つ目のノードに対し上記の手順を繰り返します。

ステ ッ プ 6 Cisco Identity Services Engine で通信ステータスを確認します。

図 19 に示すよ うに、 [Identity Services] メニューを展開し、 [Identity Services Engine] アイコンにマウスオーバーし、 通信ステータスを確認します。

0Cisco Cyber Threat Defense Solution 1.1

71

NetFlow 分析と アイデンテ ィ テ ィ 、 デバイス プロ フ ァ イ リ ングおよびユーザ サービス との統合

図 19 通信ステータ スの確認

ステ ッ プ 7 [Identity Services Engine] アイコンを右ク リ ッ ク し、[Hosts] > [Identity and Device Table] に移動します。 図 20 に示すよ うに、 [Identity and Device] テーブルが開きます。 認証済みのユーザ名がテーブルにある こ と を確認します。

図 20 [Identity and Device] テーブル

720Cisco Cyber Threat Defense Solution 1.1

ま とめ

ま とめこのマニュアルでは、 Cisco Cyber Threat Defense Solution 1.1 の設計、 導入および実装の詳細について説明します。 運用ソ リ ューシ ョ ンは、 ネッ ト ワーク上にあ り、 高度な脅威防御の検出とインシデン ト対応の迅速化を支援する準備が整っている必要があ り ます。 Cyber Threat Defense に対し このソ リ ューシ ョ ンを 大限利用する方法については、 Cisco Cyber Threat Defense ガイド シ リーズの他のマニュアルを参照して ください。

730Cisco Cyber Threat Defense Solution 1.1

付録 A ： 参照

付録 A ： 参照

セキュ ア ネ ッ ト ワーク サービス

• 『Cisco TrustSec Solution 2.0 Design and Implementation Guide』 ：http://www.cisco.com/en/US/docs/solutions/Enterprise/Security/TrustSec_2.0/trustsec_2.0_dig.pdf [英語]

NetFlow• 『Lancope NetFlow Bandwidth Calculator』 ：

http://www.lancope.com/resource-center/netflow-bandwidth-calculator-stealthwatch-calculator/

• 『NetFlow Performance Analysis』 ：http://www.cisco.com/en/US/solutions/collateral/ns341/ns524/ns562/ns583/net_implementation_ white_paper0900aecd80308a66.pdf

• 『Cisco Catalyst 3K-X Service Module: Enabling Flexible NetFlow in the Access』 ：http://www.cisco.com/en/US/prod/collateral/switches/ps5718/ps10745/white_paper_c11-691508_ ps10744_Products_White_Paper.html [英語]

• 『Cisco Catalyst 4500 Series Switch Software Configuration Guide, Cisco IOS-XE Software Release

• 3.1.0 SG: Configuring Flexible NetFlow』 ：http://www.cisco.com/en/US/docs/switches/lan/catalyst4500/12.2/01xo/configuration/guide/fnf.html

[英語]

• 『Cisco Catalyst 6500 Series Supervisor Engine 2T: NetFlow Enhancements』 ：http://www.cisco.com/en/US/prod/collateral/switches/ps5718/ps708/white_paper_c11-652021.html [英語]

• 『NetFlow Configuration Guide, Cisco IOS Software Release 15.2 M&T』 ：http://www.cisco.com/en/US/partner/docs/ios-xml/ios/fnetflow/configuration/15-mt/fnf-15-mt-book.html [英語]

• 『Configuring Network Secure Event Logging (NSEL)』 ：

• http://www.cisco.com/en/US/docs/security/asa/asa84/configuration/guide/monitor_nsel.html [英語]

• 『Cisco ASA 5500 Series Implementation Note for NetFlow Collectors 8.4, 8.5, and 8.6』 ：http://www.cisco.com/en/US/docs/security/asa/asa84/system/netflow/netflow.html [英語]

Identity Services Engine• 『Cisco Identity Services Engine API Reference Guide, Release 1.0.4』 ：

http://www.cisco.com/en/US/docs/security/ise/1.0/api_ref_guide/ise10_api_ref_guide.html [ 英語 ]

0Cisco Cyber Threat Defense Solution 1.1

74

Cisco Validated Design プログラムについて

Cisco Validated Design プログラムについてCVD プログラムは、 お客様による信頼性の高い、 確実かつ迅速な導入を促進するために設計、テス ト 、 および文書化されたシステム と ソ リ ューシ ョ ンで構成されています。 詳細については、 http://www.cisco.com/go/designzone をご覧ください。

このマニュアルに記載されているデザイン、 仕様、 表現、 情報、 および推奨事項 （総称して「デザイン」） は、 障害も含めて本マニュアル作成時点のものです。 シスコおよびそのサプラ イヤは、 商品性の保証、 特定目的への準拠の保証、 および権利を侵害しないこ とに関する保証、あるいは取引過程、 使用、 取引慣行によって発生する保証をはじめとする、 一切の保証の責任を負わないものと します。 いかなる場合においても、 シスコおよびそのサプラ イヤは、 このデザインの使用または使用できないこ とによって発生する利益の損失やデータの損傷をはじめとする、 間接的、 派生的、 偶発的、 あるいは特殊な損害について、 あらゆる可能性がシスコまたはそのサプラ イヤに知ら されていても、 それらに対する責任を一切負わないものと します。 デザインは予告なしに変更される こ とがあ り ます。 このマニュアルに記載されているデザインの使用は、 すべてユーザ側の責任にな り ます。 これらのデザインは、 シスコ、 そのサプラ イヤ、パー トナーの技術的な助言や他の専門的な助言に相当する ものではあ り ません。 ユーザは、 デザインを実装する前に技術アドバイザーに相談して ください。 シスコによるテス ト の対象外となった要因によって、 結果が異なる こ とがあ り ます。

The Cisco implementation of TCP header compression is an adaptation of a program developed by the University of California, Berkeley (UCB) as part of UCB’s public domain version of the UNIX operating system. All rights reserved. Copyright © 1981, Regents of the University of California. Cisco and the Cisco Logo are trademarks of Cisco Systems, Inc. and/or its affiliates in the U.S. and other countries.シスコの商標の一覧は、 http://www.cisco.com/go/trademarks に掲載されています。 Third-party trademarks mentioned are the property of their respective owners. 「パー トナー」 または 「partner」とい う用語の使用はシスコ と他社との間のパートナーシップ関係を意味する ものではあ り ません。 (1005R)このマニュアルで使用している IP アド レスおよび電話番号は、 実際のアド レスおよび電話番号を示すものではあ り ません。 マニュアル内の例、 コマン ド出力、 ネッ ト ワーク トポロジ図、 およびその他の図は、 説明のみを目的と して使用されています。 説明の中に実際のアド レスおよび電話番号が使用されていたと しても、 それは意図的なものではな く、 偶然の一致による ものです。

750Cisco Cyber Threat Defense Solution 1.1