シスコサポートコミュニティ
キャンセル
次の結果を表示 
次の代わりに検索 
もしかして: 

IOS-IPS 初期設定

IOS-IPS 初期設定

 

時々、IOS-IPSの設定方法について尋ねられることがありましたので

日本語版で IOS-IPS の初期設定手順を作成しました。

本日本語版のソースは以下になります。

※本編では極力最小限の設定を心がけている為、まったく同じ内容ではございません。

---

IOS-IPS Step-by-Step

http://www.cisco.com/en/US/prod/collateral/iosswrel/
ps6537/ps6586/ps6634/prod_white_paper0900
aecd805c4ea8.html

 

<作業の大まかな流れ>

Step 1: IOS IPS files に必要なファイルを Cisco サイトからダウンロード

Step 2: IOS IPS の作業場所(ディレクトリ)を作成(ルータのフラッシュ上になります)

Step 3: Signature を適用する際の鍵をルータに登録

Step 4: IOS IPS を有効化

Step 5: IOS IPS 用の signature を適用(ロード)する

※signature とは悪意のあるパケット特有の情報が格納されていてファイルとなります。

ルータはその情報をもとにどのパケットが悪いパケットかどうか判断します。

 

Step 1: IOS IPS files に必要なファイルを Cisco サイトからダウンロード

Step1-1: signature ファイルのダウンロード

以下のリンクより IOS-SXXX-CLI.pkg をダウンロードします。

このファイルは Step5 にて必要となります。

※ログインアカウントが必要となります。

---

Cisco IOS Intrusion Prevention System Feature Software

http://tools.cisco.com/support/downloads/go/Model.x?
mdfid=281442967&mdfLevel=Software%20Family&tree
Name=Security&modelName=Cisco%20IOS%20Intrusion
%20Prevention%20System%20Feature%20Software&tree
MdfId=268438162

 

Ste1-2: Step3 で必要となる key 情報(テキスト情報)を Cisco サイトからダウンロード

作業PC に以下のサイト内にあるテキスト情報を保存しておいてください。

---

realm-cisco.pub.key.txt

http://download-sj.cisco.com/cisco/ciscosecure/ids/
sigup/5.0/ios/realm-cisco.pub.key.txt

 

Step 2: IOS IPS の作業場所(ディレクトリ)を作成(ルータのフラッシュ上になります)

router# mkdir ips

 

### 確認 ###

router# dir

Directory of flash:/

6 drw- 0 Feb 14 2008 11:36:36 -08:00 ips    <--- ips ディレクトリーが確認できます。

 

Step 3: Signature を適用する際の鍵をルータに登録

signature をルータ上で展開する際にキーが必要となります。

そのキーは Step1-2 でダウンロードしたものとなりルータに登録する必要があります。

登録方法はいたって簡単で先ほどのテキストをコピーペーストするだけです。

以下はサイトにあったテキスト情報です。

---

crypto key pubkey-chain rsa

named-key realm-cisco.pub signature

  key-string

   30820122 300D0609 2A864886 F70D0101 01050003 82010F00 3082010A 02820101

   00C19E93 A8AF124A D6CC7A24 5097A975 206BE3A2 06FBA13F 6F12CB5B 4E441F16

   17E630D5 C02AC252 912BE27F 37FDD9C8 11FC7AF7 DCDD81D9 43CDABC3 6007D128

   B199ABCB D34ED0F9 085FADC1 359C189E F30AF10A C0EFB624 7E0764BF 3E53053E

   5B2146A9 D7A5EDE3 0298AF03 DED7A5B8 9479039D 20F30663 9AC64B93 C0112A35

   FE3F0C87 89BCB7BB 994AE74C FA9E481D F65875D6 85EAF974 6D9CC8E3 F0B08B85

   50437722 FFBE85B9 5E4189FF CC189CB9 69C46F9C A84DFBA5 7A0AF99E AD768C36

   006CF498 079F88F8 A3B3FB1F 9FB7B3CB 5539E1D1 9693CCBB 551F78D2 892356AE

   2F56D826 8918EF3C 80CA4F4D 87BFCA3B BFF668E9 689782A5 CF31CB6E B4B094D3

   F3020301 0001

quit

exit

exit

---

上記の --- --- のあいだの行をコピーしてコンフィグレーションモードのコンソール上に

貼り付ければ終了です。

 

Router(config)#            <--- ここで貼り付けを選択

 

######コンソール上のではこのようになります。###################################

Router(config)# crypto key pubkey-chain rsa

Router(config-pubkey-chain)# named-key realm-cisco.pub signature

Translating "realm-cisco.pub"...domain server (255.255.255.255)

 

Router(config-pubkey-key)#  key-string

Enter a public key as a hexidecimal number ....

 

Router(config-pubkey)#$2A864886 F70D0101 01050003 82010F00 3082010A 02820101

Router(config-pubkey)#$D6CC7A24 5097A975 206BE3A2 06FBA13F 6F12CB5B 4E441F16

Router(config-pubkey)#$912BE27F 37FDD9C8 11FC7AF7 DCDD81D9 43CDABC3 6007D128

Router(config-pubkey)#$085FADC1 359C189E F30AF10A C0EFB624 7E0764BF 3E53053E

Router(config-pubkey)#$0298AF03 DED7A5B8 9479039D 20F30663 9AC64B93 C0112A35

Router(config-pubkey)#$994AE74C FA9E481D F65875D6 85EAF974 6D9CC8E3 F0B08B85

Router(config-pubkey)#$5E4189FF CC189CB9 69C46F9C A84DFBA5 7A0AF99E AD768C36

Router(config-pubkey)#$A3B3FB1F 9FB7B3CB 5539E1D1 9693CCBB 551F78D2 892356AE

Router(config-pubkey)#$80CA4F4D 87BFCA3B BFF668E9 689782A5 CF31CB6E B4B094D3

Router(config-pubkey)#   F3020301 0001

Router(config-pubkey)# quit

Router(config-pubkey-key)# exit

Router(config-pubkey-chain)# exit

Router(config)#

######################################################################

 

### 確認 ###

Router# show  crypto key pubkey-chain rsa

Codes: M - Manually configured, C - Extracted from certificate

Code Usage         IP-Address/VRF         Keyring          Name

M    Signing                              default          realm-cisco.pub   <--- 登録されている

 

Step 4: IOS IPS を有効化

Step4-1: IOS IPS ルール命名(IOS IPS をインタフェース上で設定する際に使用)

router(config)# ip ips name iosips

 

Step4-2: IOS IPS の作業場所を設定

Step2 で作成した IOS IPS のディレクトリーを設定する。

router(config)# ip ips config location flash:ips

 

Step4-3: ログの出力方法の設定

IOS IPS では SDEE と syslog のどちらかもしくは両方に IOS IPS のイベントを

出力することが可能です。

※SDEE はシスコのプロトコルで外部のサーバにイベントを送信する際にしようするものです。

 

router(config)#ip ips notify sdee

router(config)#ip ips notify log

※片方または両方のログを有効にすることが可能です。

 

Step4-4: signature の設定

sginature 内部には現在 3000 以上もの定義されております。

すべての定義を有効にした場合ルータ上のメモリーを使用しさらに CPU も使用する為

通信不安定またはルータ自体の不安定などの懸念点が考えられます。

※メモリー&CPU も有限のリソースなのですべて有効にすることは推奨されておりません。

その為、ある程度有効にする定義を絞らなくてはなりません。

定義の絞込みは以下のように設定します。

---

router(config)#ip ips signature-category

router(config-ips-category)# category all

router(config-ips-category-action)# retired true

router(config-ips-category-action)# exit

router(config-ips-category)# category ios_ips basic

router(config-ips-category-action)# retired false

router(config-ips-category-action)# exit

router(config-ips-category)# exit

Do you want to accept these changes? [confirm]y

router(config)#

 

上記の意味は category all ですべての定義に対して設定することを意味します。

そので retired true として一度すべての定義を無効にしています。

その後、category ios_ips basic で IOS IPS 用で基本的な定義郡に対して設定

をし、retired false として ios_ips basic に対して定義を有効にしています。

※ retired と enable 設定につきましては以下をご参照ください。

---

https://supportforums.cisco.com/docs/DOC-20936

 

Step4-5: IOS IPS をインタフェースで有効にする(方向設定ありin/out)

router(config)#interface GigabitEthernet 0/0

router(config-if)#ip ips iosips in

router(config-if)#ip ips iosips out

※ in のみでも設定可能ですがそのインタフェースの in 方向のパケットのみが検査対象となります。

 

Step 5: IOS IPS 用の signature を適用(ロード)する

router# copy ftp://cisco:cisco@192.168.1.1/IOS-S633-CLI.pkg idconf

Loading IOS-S633-CLI.pkg !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

 

以上で設定は終わりです。

コメント
Cisco Employee

こんにちわ。一部情報を更新させて頂きます。

2014年6月現在、Step1-2に記載の「realm-cisco.pub.key.txt」は以下サイトよりダウンロード可能です。
http://download.cisco.com/cisco/ciscosecure/ids/sigup/5.0/ios/realm-cisco.pub.key.txt

また、以下サイトのStep 3.4の「show run」上の出力も同様のCrypt key設定となります。
http://www.cisco.com/en/US/prod/collateral/iosswrel/ps6537/ps6586/ps6634/prod_white_paper0900aecd805c4ea8.html

3775
閲覧回数
5
いいね!
1
コメント