IPFilter カテゴリの設定
IPフィルターを使用すると、ネットワークに入ってくるトラフィックを制御するためのルールを作成できます。
IPFilter カテゴリを設定するには:
- IPFilter プロファイルを構成します。
この例では、プロファイル名は
ipf_profileです。ルールはipf_rule、ipf_rule1、ipf_rule2です。set services security-intelligence profile ipf_profile category IPFilter set services security-intelligence profile ipf_profile rule ipf_rule match threat-level [8 9 10] set services security-intelligence profile ipf_profile rule ipf_rule then action block dropset services security-intelligence profile ipf_profile rule ipf_rule then log set services security-intelligence profile ipf_profile rule ipf_rule1 match threat-level 4 set services security-intelligence profile ipf_profile rule ipf_rule1 then action block close http message "SecIntel Redirect Message" set services security-intelligence profile ipf_profile rule ipf_rule1 then logset services security-intelligence profile ipf_profile rule ipf_rule2 match feed-name fd1 set services security-intelligence profile ipf_profile rule ipf_rule2 then action permit set services security-intelligence profile ipf_profile rule ipf_rule then logset services security-intelligence profile ipf_profile rule ipf_rule2 match threat-level 5set services security-intelligence profile ipf_profile rule ipf_rule2 then action block close http file secintel_redirect.txtset services security-intelligence profile ipf_profile rule ipf_rule2 match threat-level 6 set services security-intelligence profile ipf_profile rule ipf_rule2 then action block close http redirect-url http://www.yahoo.com/redirect.html set services security-intelligence profile ipf_profile rule ipf_rule2 then logset services security-intelligence profile ipf_profile default-rule then action recommendedset services security-intelligence profile ipf_profile default-rule then log
show services security-intelligenceを使用するCLI コマンドを使用してプロファイルを確認します。出力は次のようになります。show services security-intelligence ... } profile ipf_profile { category IPFilter; rule ipf_rule { match { feed-name fd1; threat-level [ 8 9 10 ]; } then { action { block { drop; } } log; } } rule ipf_rule2 { match { feed-name fd1; threat-level [ 5 6 ]; } then { action { block { close { http { redirect-url http://www.yahoo.com/redirect.html; } } } } log; } } rule ipf_rule1 { match { threat-level 4; } then { action { block { close { http { message "Secintel Redirect Message"; } } } } log; } } default-rule { then { action { recommended; } log; } } }- 手順 1 で作成したプロファイルを指すように IPFilter ポリシーを構成します。この例では、IPFilter ポリシー名は
ipf_policyです。set services security-intelligence policy ipf_policy IPFilter ipf_profile
show services security-intelligenceを使用するCLI コマンドを使用してポリシーを確認します。出力は次のようになります。show services security-intelligence policy ipf_policy IPFilter { ipf_profile; }- IPFilter ポリシーを含むようにファイアウォール ポリシーを構成します。この例では、trust-to-untrust ゾーンを設定します。
set security policies from-zone trust to-zone untrust policy p1 match source-address any destination-address any application any set security policies from-zone trust to-zone untrust policy p1 then permit application-services security-intelligence-policy ipf_policy
show security policiesを使用するCLI コマンドを使用して設定を確認します。出力は次のようになります。show security policies ... } policy p1 { match { source-address any; destination-address any; application any; dynamic-application any; } then { permit { application-services { security-intelligence-policy ipf_policy; } } } } } from-zone untrust to-zone trust { policy p1 { match { source-address [ sda-1 any ]; destination-address any; application any; } then { permit; } } } default-policy { permit-all; }- 変更をコミットします。