カスタムフィードの作成

[Create Custom Feed] ページを使用して、動的アドレス、許可リスト、ブロックリスト、感染したホスト、DDoS、および C&C Server のカスタムフィードを構成します。これらのフィードは、適用ポリシーの作成に使用できる関連性のあるタイムリーなインテリジェンスを提供します。

始める前に

構成しているフィードの種類を把握し、必要な情報をすべて手元に用意します。ローカルフィードはローカルシステムで作成され、そこからアップロードされます。
感染したホストとは、侵害されていることがわかっているホストのことです。感染したホストのカスタムフィードの場合は、ホストのIPアドレスを手動で入力するか、感染したホストのIPアドレスを含むテキストファイルをアップロードします。
許可リスト、ブロックリスト、感染したホストのフィードを作成すると、それぞれのジュニパーATPクラウド/ATP Applianceフィードが上書きされます。
脅威防御タイプとしてATPクラウド/ATPアプライアンスのみモードが選択されている場合、感染したホストとDDoSカスタムフィードは利用できないことに注意してください。

ローカルファイルとリモートファイルのカスタムフィードを作成するには:

フィードソースの設定>脅威対策> を選択します。

[フィードソース] ページが表示されます。Policy Enforcer 設定ページで ATP クラウド/ATP アプライアンス構成タイプを選択しない場合、脅威防止タイプとして利用可能なカスタムフィードのみが表示されます。
[ 作成 ] をクリックし、次のいずれかを選択します。
- ローカルファイルを含むフィード - 指定されたフィールドにデータを手動で入力するか、ロケーションコンピューター上のテキストファイルからアップロードします。
- リモートファイルサーバーとのフィード - リモートサーバーとの通信を構成して、リモートファイルサーバーからデータフィードを取得します。
表 1 または表 2 のガイドラインを使用して、構成を完了します。
OK をクリックします。

メモ：

動的アドレスタイプのカスタムフィードを使用するには、ファイアウォール規則の送信元アドレスまたは宛先アドレスに適用します。ファイアウォールルールでは、アドレスをフィルタリングしてカスタムフィードのみを表示できます。

動的アドレスを使用して作成されたファイアウォールポリシールールがある場合、[フィードソース] ページから同じ動的アドレスを削除することはできません。最初にファイアウォールポリシールールを削除してから、[フィードソース] ページから動的アドレスを削除する必要があります。
ATPクラウド/ATPアプライアンス構成タイプが選択されていない場合(選択なし)、ATPクラウド/ATPアプライアンスレルムは無効になります。サイトの選択は通常、ATP Cloud/ATP Applianceレルムページから行われるため、「選択なし」モードのときは、「カスタムフィードの作成」ページからサイトを選択する必要があります。その後、カスタムフィードが、選択したサイトのデバイスにダウンロードされます。これは、[カスタムフィードの作成] ページで使用できるサイト選択の唯一の時間です。

表 1: [カスタムフィードの作成] ページのフィールド、ローカルファイルを含むフィード
フィールド	説明
名前	英数字で始まり、ダッシュとアンダースコアのみを含むことができる一意の文字列を入力します。スペースは使用できません。最大 32 文字です。
説明	カスタムフィードの説明を入力します。最大長は 64 文字です。この説明は、すべての管理者にとってできるだけ役立つものにする必要があります。
フィードの種類	脅威対策タイプとして、次のいずれかのカスタムフィードを選択します。動的アドレス許可リストブロックリスト感染したホスト Ddos Cc
サイト	リストから必要なサイトを選択して、動的アドレスまたは許可リスト、ブロックリスト、またはC&C Serverフィードに関連付けます。デフォルトモード(ATPクラウドなし)では、ATPクラウドがないためサイトのみが表示されます。動的アドレス、許可リスト、ブロックリスト、およびC&C Serverの同じフィードタイプ間でサイトを共有できます。感染したホストと DDoS の場合、同じフィードタイプでサイトを共有することはできません。ただし、異なるフィードタイプ間でサイトを共有することはできます。
ゾーン/レルム	クラウドフィードのみ、ATPクラウド/JATP、またはJuniper Connected Securityモードを搭載したATPクラウド/ATPアプライアンスを使用している場合は、リストから必要なレルムを選択します。これらのレルムを動的アドレスまたは許可リスト、ブロックリスト、およびC&C Serverフィードに関連付けます。動的アドレス、許可リスト、ブロックリスト、CC の同じフィードタイプ間でレルムを共有できます。感染したホストと DDoS の場合、同じフィードタイプ間でレルムを共有することはできません。ただし、異なるフィードタイプ間でレルムを共有することはできます。サイトが割り当てられていないATPクラウド/ATPアプライアンス・レルムは、ここにはリストされていません。サイトが関連付けられているレルムのみがここに一覧表示されます。メモ：サイトがテナントに関連付けられている場合、ATPクラウド/ATPアプライアンスレルムは<レルム名>(テナント:<テナント名>)形式でリストを表示します。
ユーザー入力タイプ (許可リストとブロックリストで使用可能)	[許可リスト] と [ブロックリスト] で次のいずれかの入力タイプを選択します。 IP、サブネット、範囲:標準の4オクテット形式でIPV4アドレスを入力します。CIDR 表記と IP アドレス範囲も使用できます。次の形式のいずれかが有効です: 1.2.3.4、1.2.3.4/30、または 1.2.3.4-1.2.3.6。 URL とドメイン - 次の形式が有効です。 http://www.yourfeed.com https://www.yourfeed.com www.yourfeed.com yourfeed.com yourfeed.com/abc ワイルドカードとプロトコルは有効なエントリではありません。
カスタムリスト	次のいずれかの操作を行います。 [ ファイルのアップロード(Upload File)] をクリックして、IP アドレスリストを含むテキストファイルをアップロードします。[ 追加 ] ボタンをクリックして、アドレス一覧をカスタムリストに含めます。感染したホストとDDoSの場合、アップロードするファイルの先頭に文字列 `add` 、その後にIPアドレスが続く必要があります。特定の IP アドレスを削除する場合は、文字列 `delete` の後に削除する IP アドレスを入力します。ファイルには 1 行に 1 つの項目のみを含める必要があります (コンマやセミコロンは含めないでください)。すべての項目は、カスタムリストに追加される前に検証されます。ファイルには、500 を超えるエントリを含めることはできません。500 を超える IP アドレスを含むファイルをアップロードしようとすると、エラーメッセージが表示されます。[リモートファイルサーバーを使用したフィード] オプションを使用して、500 を超える IP アドレスを含むファイルをアップロードします。アイテムとスレッシュホールドの値を[カスタムリスト]セクションにあるスペースに手動で入力します。項目を追加するには、[ + ] をクリックしてスペースを追加します。構文には、IPv4アドレスを標準の4オクテット形式で入力します。CIDR 表記と IP アドレス範囲も使用できます。次の形式のいずれかが有効です: 1.2.3.4、1.2.3.4/30、または 1.2.3.4-1.2.3.6。

表 2: [カスタムフィードの作成] ページのフィールド、リモートファイルサーバーのフィード
フィールド	説明
名前	英数字で始まり、ダッシュとアンダースコアのみを含むことができる一意の文字列を入力します。スペースは使用できません。最大 32 文字です。
説明	カスタムフィードの説明を入力します。最大長は 64 文字です。この説明は、すべての管理者にとってできるだけ役立つものにする必要があります。
フィードの種類	脅威対策タイプとして、次のいずれかのカスタムフィードを選択します。動的アドレス許可リストブロックリスト感染したホスト Ddos Cc
サーバーURLのタイプ	次のいずれかを選択します。ティッカーティッカー
サーバーファイルの URL	リモートファイルサーバーの URL を入力します。
証明書のアップロード (URL の種類が HTTPS の場合)	[ 参照 ] をクリックし、アップロードする CA 証明書を選択します。 https サーバー URL の証明書をアップロードしない場合は、証明書がアップロードされていないことを示す警告メッセージが表示され、さらに続行するかどうかが表示されます。[ はい ] をクリックして証明書をアップロードせずに先に進むか、[ いいえ ] をクリックして戻って証明書をアップロードします。
名	リモートファイルサーバーの資格情報を入力します。これは必須フィールドではありません。ユーザー名を入力せずにカスタムフィードの作成に進むことができます。
パスワード	リモートファイルサーバーの資格情報を入力します。ユーザー名を指定した場合、これは必須フィールドです。
更新間隔	リモートファイルサーバーから更新を取得する頻度を選択します:毎時、毎日、毎週、毎月、なし。
サイト	リストから必要なサイトを選択して、カスタムフィードに関連付けます。

感染したホストのサイトの登録を解除しようとすると、サイト内の各エンドポイントから現在感染しているすべてのホストを解決するための警告メッセージが表示されます。感染したホストを解決するには、ATPクラウドUIにログインし、ホストを解決してから、Policy Enforcerからサイトの割り当てを解除します。サイトの割り当てを解除する前に、感染したホストを必ず解決してください。サイトの割り当てを解除すると、ホストを解決できません。

カスタムフィードの作成

関連ドキュメント