# 2.28. 不正アクセス検知(IDS)の設定

不正アクセス検知(IDS:Intrusion Detection System)機能は、不正なパケット受信を検知する機能です。

注意

IPv4のみサポートとなります。IPv6はサポートしていません。

## 2.28.1. 不正アクセス検知条件

本機能では、パケット受信時に以下の条件で不正アクセスの検知を行います。

不正アクセス検知はIPヘッダ、IPオプション、ICMP、UDP、TCP、FTPの6種類のタイプに分類されます。

> タイプ | イベント ログ番号 | 名称 | 内容
> --- | --- | --- | ---
> IPヘッダ | ids - 001〇 | Short header | IPヘッダ長が20バイト未満 (何らかのids ip typeコマンドが設定されている 場合、このイベントは必ず検知されます。)
> ids - 002〇 | Malformed packet | IPパケットの構造が不正 (何らかのids ip typeコマンドが設定されている 場合、このイベントは必ず検知されます。)
> ids - 003 | Unknown protocol | プロトコル領域の値が143以上
> ids - 004 | Land attack | 送信元IPアドレスと宛先IPアドレスが同じ
> ids - 005 | Localhost source spoof | 送信元IPアドレスが127.0.0.1
> ids - 006 | Broadcast source address | 送信元IPアドレスが255.255.255.255
> ids - 007 | Multicast source address | 送信元IPアドレスがマルチキャストアドレス
> IPオプション ヘッダ | ids - 051〇 | Malformed option packet | オプションヘッダの構造が不正
> ids - 052 | Security and handling restriction header | Security and handling restriction headerを受信
> ids - 053 | Loose source routing header | Loose source routing headerを受信
> ids - 054 | Internet timestamp header | Internet timestamp headerを受信
> ids - 055 | Record route header | Record route headerを受信
> ids - 056 | Stream identifier header | Stream identifier headerを受信
> ids - 057 | Strict source routing header | Strict source routing headerを受信
> ICMP | ids - 101〇 | Short header | ICMPヘッダ長が4バイト未満
> ids - 102 | Source quench | Source quenchを受信
> ids - 103 | Timestamp request | Timestamp requestを受信
> ids - 104 | Timestamp reply | Timestamp replyを受信
> ids - 105 | Information request | Information requestを受信
> ids - 106 | Information reply | Information replyを受信
> ids - 107 | Address mask request | Address mask requestを受信
> ids - 108 | Address mask reply | Address mask replyを受信
> ids - 109 | Too large | 1025バイト以上のICMPを受信
> ids - 110 | Ping of death attack | Ping of death attackを受信
> UDP | ids - 151〇 | Short header | UDPヘッダ長が8バイト未満
> ids - 152 | UDP bomb | UDPパケットの構造が不正
> TCP | ids - 201〇 | Short header | TCPヘッダ長が20バイト未満 (FTPが設定されている場合、有効となります)
> ids - 202 | No bits set | フラグに何もセットされていない
> ids - 203 | SYN and FIN | SYNとFINが同時にセット
> ids - 204 | FIN and no ACK | ACKのないFINを受信
> FTP | ids - 251 | Improper port | 不正なデータ通信用ポートを指定

注釈

「イベントログ番号」欄に"〇"が付記されているイベントの検知が有効な場合に、「一部パケットの強制廃棄」コマンドが設定されていると、当該イベントが検出されたパケットは強制的に廃棄されます。
(個別のids ip typeコマンド設定より優先されます)

注釈

不正パケット検知の有無、およびイベントを検知したパケットの廃棄の有無はタイプ毎に設定できます。

注釈

フラグメントパケットはリアセンブル前のパケットに対してIPヘッダ、IPオプションのみチェックを行います。
リアセンブル後のパケットに対してのチェックは行いません。

注釈

IDS機能を有効にすると転送性能が低下する可能性があります。

> 不正パケット検知時の動作は以下になります。

> > - 検知のみ・廃棄（タイプ毎にどちらかを選択）

> >   - 検知のみの場合は、同一タイプの他のイベントの検知は行わず、次のタイプの検知を行います。
> >     ただし、ids - 001、ids - 002、ids - 201のイベントは、検知のみの場合でも以降の検知は行いません。

> >   - 廃棄の場合は、以降のイベントの検知は行いません。

> > - syslogの出力 (IDSとしてsyslog出力を設定)

> >   - syslog機能利用により外部への通知ができます。

> > - 統計情報のカウント

> syslogの出力例は以下のとおりです。

> リスト 2.28.1 出力例

>     プロトコル領域が143以上
>     ids - 003 - [IP] Unknown protocol packet was detected (protocol 180) 10.44.20.139 > 192.168.160.105, GigaEthernet0.0

## 2.28.2. 不正アクセス検知条件の設定

設定は以下のとおりです。

> 項目 | 説明
> --- | ---
> ids ip type | IDS機能の有効化
> ids ip implied-discard | 一部イベントの強制廃棄
> show ids statistics | IDS統計情報の表示

> リスト 2.28.2 設定例 (すべての条件を検知し、syslogに出力を行う)

>     syslog enable 131072
>     syslog function ids warn

>     ids ip type all action detect

> リスト 2.28.3 設定例 (IPヘッダとICMPのみ検知して廃棄する、検知時にsyslogに出力を行う)

>     syslog ip host 192.168.0.100
>     syslog enable 131072
>     syslog function ids warn

>     ids ip type ip-header action discard
>     ids ip type icmp action discard

イベント検知後、一定時間内に同一番号のイベントが検知された場合、syslogの出力を抑止することができます。

これにより、syslogの出力による負荷を軽減することができます。syslogを抑止した場合でも、イベントの検知は行います。

> 項目 | 説明
> --- | ---
> ids logging-interval | 重複した検知ログの抑止設定

> リスト 2.28.4 設定例 (60秒間に同じイベントが発生した場合にログの出力を抑制)

>     syslog enable 131072
>     syslog function ids warn

>     ids ip type all action discard
>     ids logging-interval 60

図 2.28.1 検知ログ抑止動作

注釈

clear ids statistics実行時に、抑止の経過時間はクリアされます。