# UTM / 概要

UTM（Unified Threat Management）関連機能について概説します。
本製品には下記のUTM関連機能が実装されています。

- アプリケーションコントロール（DPI = ディープパケットインスペクション）
  パケットのデータ部分を検査して各種アプリケーションの通信を判別。本機能が判別した情報はファイアウォール、QoS、ポリシーベースルーティングのルール設定時に使用可能
- 侵入防御（IPS）
  サービス妨害や不正アクセスと思われる異常な通信を通知/遮断
- IPレピュテーション（IPアドレスブラックリスト）
  IPアドレスの分類リストをもとに、特定のIPアドレスを送信元または宛先とするパケットを通知/遮断
- マルウェアプロテクション（ストリーム型アンチウイルス）
  アプリケーションのデータ部分を検査して既知のマルウェアを検出した場合は該当パケットを通知/遮断
- URLフィルター（URLブラックリスト）
  ユーザーが定義したURLのブラックリスト、ホワイトリストにもとづいてWebアクセスを許可/禁止
- ファイアウォール
  ステートフルインスペクションによって通信フローを認識しながら、設定されたルールにもとづいてトラフィックを許可/破棄。
- NAT
  設定されたルールにもとづいてパケットのアドレスやポート番号を変換し、グローバルアドレスの共有や内部ホストの公開を実現
- Webコントロール（URLフィルタリング）
  URLのカテゴリーごとに設定されたルールにもとづいてWebアクセスを許可/禁止
- アンチウイルス（プロキシー型アンチウイルス）
  HTTPレスポンスパケットに含まれるファイルをスキャンし、既知のウイルスを検出した場合は該当パケットを通知/遮断

Note

アンチウイルスはAT-AR3050Sでは使用できません。

Note

IPレピュテーション（IPアドレスブラックリスト）、マルウェアプロテクション、Webコントロール（URLフィルタリング）、アンチウイルスの各機能を使用するにはアニュアルライセンスが必要です。また、アプリケーションコントロール（DPI）機能においてサンドバイン社が提供するアプリケーションシグネチャデータベースを使用する場合や、侵入防御（IPS）機能においてアドバンスドIPSを使用する場合もアニュアルライセンスが必要です（DPIで製品内蔵データベースを使用する場合や、IPSの基本機能だけを使用する場合はライセンス不要です）。
ライセンスのインストール方法については「運用・管理」/「システム」の「ライセンスキーのインストール」をご参照ください。

Note

UTM関連の機能は処理全般（通信処理、リソースの更新、インターネット上のサーバーへの問い合わせ等）で多くのメモリーおよびCPUリソースを消費するため、運用する環境の端末数（通信量）やサポートしている機能の組み合わせによっては、空きメモリーの減少を示すログ（Total Free Memory is now Low）が出力されたり、メモリー不足、スループット低下を起こし、それらを解消するために自発的に再起動する可能性があります。
これらを回避するため、実際の運用では下記の組み合わせを参考に、ネットワーク環境にあわせて使用する機能を設定してください。
併用するUTM機能の組み合わせ
(1) IPS、マルウェアプロテクション、IPレピュテーションのうち 2つまでとURLフィルター
(2) Webコントロールとアプリケーションコントロール（DPI）
また、状況に応じ、下記コマンドをno形式で実行して不要な機能（サービス）を無効にしてください。

- URLオフロード：service url-offload（初期設定で無効です）
- 無線LANコントローラー：service wireless

各機能の処理順序はおおむね下記のとおりです。
侵入防御（IPS）、IPレピュテーション（IPアドレスブラックリスト）、マルウェアプロテクション、URLフィルター、ファイアウォール、Webコントロール、アンチウイルスの各機能で破棄（遮断）アクションが適用されたパケットは次段階には進みません。
有効化されているUTM関連機能をすべて通過したパケットだけが出力または処理されます。

Note

QoSはUTM機能ではありませんが、ルール指定にエンティティー定義、アプリケーション定義を使う点がUTM機能（ファイアウォール、NAT、Webコントロール）と共通なため、図に示しています。詳細は「トラフィック制御」/「Quality of Service」をご覧ください。

各機能の適用対象は次のとおりです。

機能 | ブリッジングパケット | ルーティングパケット | 備考
IPv4 | IPv6 | IPv4 | IPv6
アプリケーションコントロール（DPI） | × | × | ○ | ○ |
侵入防御（IPS） | ○ | ○ | ○ | ○ |
IPレピュテーション（IPアドレスブラックリスト） | ○ | × | ○ | × |
マルウェアプロテクション | ○ | ○ | ○ | ○ | UDP、ICMPなどTCP以外のパケットや、ブリッジされる非IPパケットも検査対象
URLフィルター（URLブラックリスト） | ○ | ○ | ○ | ○ |
ファイアウォール | △ | △ | ○ | ○ |
NAT | △ | × | ○ | × |
Webコントロール（URLフィルタリング） | × | × | ○ | ○ | 対象はHTTP/HTTPSパケットのみ
アンチウイルス | × | × | ○ | ○ | 対象はHTTPレスポンスパケットのみ
QoS | △ | △ | ○ | ○ |

Note

△のブリッジングパケットは初期設定では適用対象外ですが、ソフトウェアブリッジに l3-filtering enableを設定している場合は、ブリッジされるL3トラフィックに対して該当機能が適用されるようになります。

侵入防御（IPS)、IPレピュテーション（IPアドレスブラックリスト）、マルウェアプロテクション、URLフィルター（URLブラックリスト）は、本製品のブリッジング用インターフェース（ブリッジポート）とルーティング用インターフェース（IP/IPv6インターフェース）を通過するパケットに対して機能します。ただし、IPレピュテーション（IPアドレスブラックリスト）の適用対象はIPv4パケット（IPv4アドレス）だけです。
一方、その他のUTM機能は原則的にルーティング用インターフェース（IP/IPv6インターフェース）を通過するパケットに対してのみ有効です（△の部分は前記の例外あり）。ただし、NATの適用対象はIPv4パケットだけ、またWebコントロール（URLフィルタリング）の適用対象はHTTPパケット（終点ポートが80/tcp）とHTTPSパケット（終点ポートが443/tcp）、アンチウイルスの適用対象はHTTPレスポンスパケットだけです。
また、ファイアウォール、NAT、Webコントロール、QoSの各機能では、ルールの条件指定に下記の設定要素を用います。

- エンティティー（通信主体）：MAC/IP/IPv6アドレスの情報。送信元、宛先の指定に使う
- アプリケーション：プロトコルタイプ、TCP/UDPポートなどの情報。通信の種類（アプリケーション）を指定するために使う

## クイックツアー

以下では、UTM機能の全体像や基本的な設定方法、使用感を示すため、実際にUTMの各機能を設定してみます。
Note

本クイックツアーはUTM機能の概要紹介を目的としており、UTMの設定手順や運用方法を述べるものではありません。そのため、個々の手順や操作、コマンドについての詳細な説明は行っていません。

Note

本クイックツアーでは概要紹介のためUTM関連の全機能を設定していますが、実際の運用ではネットワーク環境にあわせて必要な機能のみ設定してください。

UTM機能の大まかな設定手順は次のとおりです。以下、順を追って個々の機能の設定手順を示します。

1. ルール設定の前準備
2. UTM各機能の設定と有効化

個々の機能の詳細については各機能の解説編をご覧ください。
また、UTM関連機能の具体的な使用例については、「設定例集」をご覧ください。

### ルール設定の前準備

従来のファイアウォールでは、ルールの適用対象をインターフェース、アドレス、ポート、プロトコルなどで指定していましたが、本製品ではこれらを抽象化した「エンティティー（通信主体）」と「アプリケーション」で指定します。
次に指定方法の違いをまとめます。

従来の指定方法 | 本製品の指定方法
始点MAC/IP/IPv6アドレス | 送信元エンティティー | エンティティー定義
終点IP/IPv6アドレス | 宛先エンティティー
DSCP値 | アプリケーション定義
IPプロトコル番号
始点TCP/UDPポート番号
終点TCP/UDPポート番号
ICMPタイプ/コード

Note

DSCP値はQoSおよびポリシーベースルーティング（PBR）でのみサポートです。各機能については「トラフィック制御」/「Quality of Service」、「トラフィック制御」/「ポリシーベースルーティング」をご覧ください。

#### エンティティー（通信主体）の定義

ファイアウォール、NAT、Webコントロールの各機能では、送信元と宛先の指定に「エンティティー定義」を使います。
そのため、UTM機能の設定にあたっては、最初に必ずエンティティーを定義します。
エンティティーは、最初にトップレベルのゾーン（zone）を作成し、
その下にネットワーク（networkコマンド）と対応するサブネット（ip subnet / ipv6 subnet）を、
さらにその下にホスト（host）と対応するアドレス（mac-address / ip address / ipv6 address）を作成することで定義します。
Note

有効なゾーンには最低1つのネットワークが存在し、また、該当ネットワークには最低1つのサブネットアドレスを関連付けておく必要があります。

ゾーン「public」と配下のネットワーク「internet」、ホスト「myself」、「vpngw」

    awplus(config)# zone public

    awplus(config-zone)# network internet
    awplus(config-network)# ip subnet 0.0.0.0/0 interface ppp0
    awplus(config-network)# ipv6 subnet ::/0 interface ppp1

    awplus(config-network)# host myself
    awplus(config-host)# ip address 10.1.1.1
    awplus(config-host)# ipv6 address 2001:db8:1:1::1
    awplus(config-host)# exit

    awplus(config-network)# host vpngw
    awplus(config-host)# ip address 10.2.2.2
    awplus(config-host)# ipv6 address 2001:db8:2:2::2
    awplus(config-host)# exit
    awplus(config-network)# exit
    awplus(config-zone)# exit

ゾーン「dmz」と配下のネットワーク「servernet」、ホスト「web」、「dns」、「mail」

    awplus(config)# zone dmz

    awplus(config-zone)# network servernet
    awplus(config-network)# ip subnet 172.16.10.0/24
    awplus(config-network)# ipv6 subnet 2001:db8:1000:10::/64

    awplus(config-network)# host web
    awplus(config-host)# ip address 172.16.10.1
    awplus(config-host)# ipv6 address 2001:db8:1000:10::1
    awplus(config-host)# exit

    awplus(config-network)# host dns
    awplus(config-host)# ip address 172.16.10.2
    awplus(config-host)# ipv6 address 2001:db8:1000:10::2
    awplus(config-host)# exit

    awplus(config-network)# host mail
    awplus(config-host)# ip address 172.16.10.3
    awplus(config-host)# ipv6 address 2001:db8:1000:10::3
    awplus(config-host)# exit
    awplus(config-network)# exit
    awplus(config-zone)# exit

ゾーン「private」と配下のネットワーク「wired」、「wireless」、「branch」、「vpn」、ホスト「adminpc」、「dbserver」

    awplus(config)# zone private

    awplus(config-zone)# network wired
    awplus(config-network)# ip subnet 192.168.10.0/24
    awplus(config-network)# ipv6 subnet 2001:db8:10:10::/64

    awplus(config-network)# host adminpc
    awplus(config-host)# ip address 192.168.10.254
    awplus(config-host)# ipv6 address 2001:db8:10:10::fe
    awplus(config-host)# exit

    awplus(config-network)# host dbserver
    awplus(config-host)# ip address 192.168.10.2
    awplus(config-host)# exit
    awplus(config-network)# exit

    awplus(config-zone)# network wireless
    awplus(config-network)# ip subnet 192.168.20.0/24
    awplus(config-network)# ipv6 subnet 2001:db8:20:100::/64
    awplus(config-network)# exit

    awplus(config-zone)# network branch
    awplus(config-network)# ip subnet 192.168.100.0/24
    awplus(config-network)# ipv6 subnet 2001:db8:10:100::/64
    awplus(config-network)# exit

    awplus(config-zone)# network vpn
    awplus(config-network)# ip subnet 192.168.254.0/24
    awplus(config-network)# exit
    awplus(config-zone)# exit
    awplus(config)#

詳しくは、「UTM」/「エンティティー定義」をご覧ください。

#### アプリケーションの定義

ファイアウォールおよびNATでは、パケット種別（通信内容）の指定に「アプリケーション定義」を使います。
主要なアプリケーションはあらかじめ定義されていますが、そこに含まれていないアプリケーションのトラフィックを制御する場合は、最初にアプリケーションを定義する必要があります。
アプリケーション（application）は、IPプロトコルタイプ（protocol）、DSCP値（dscp）、始点/終点ポート番号（sport / dport）、ICMPタイプ/コード（icmp-type / icmp-code）で定義します。
アプリケーション「mydb」

    awplus(config)# application mydb
    awplus(config-application)# protocol tcp
    awplus(config-application)# sport 1024 to 65535
    awplus(config-application)# dport 8704
    awplus(config-application)# exit

アプリケーション「isakmp」

    awplus(config)# application isakmp
    awplus(config-application)# protocol udp
    awplus(config-application)# sport 500
    awplus(config-application)# dport 500

アプリケーション「esp」

    awplus(config)# application esp
    awplus(config-application)# protocol 50
    awplus(config-application)# exit

詳しくは、「UTM」/「アプリケーション定義」をご覧ください。

### UTM各機能の設定と有効化

エンティティーとアプリケーションの定義がすんだら、UTMの各機能の設定を行い、機能を有効化します。
なお一部の機能には、アニュアルライセンスが必要です。

#### アプリケーションコントロール（DPI）

通信内容（レイヤー7）にもとづいて、トラフィックがどのアプリケーションに所属するかを識別するアプリケーションコントロール（DPI = ディープパケットインスペクション）機能を有効化します。
Note

サンドバイン社が提供するアプリケーションシグネチャデータベースを使用するにはアニュアルライセンスが必要です。

アプリケーションコントロール（DPI）機能自体はアプリケーションの識別を行うだけですが、その情報は動的な「アプリケーション定義」として、下記機能のルール設定時に利用できます。

- ファイアウォール
- QoS
- ポリシーベースルーティング

Note

NAT機能でもルール設定時にアプリケーションの指定を行いますが、NATルールではアプリケーションコントロール（DPI）によって判別されたアプリケーションは指定できません。ruleコマンド（NATモード）でNAT対象トラフィックを指定するときは、あらかじめ定義されている事前定義済みアプリケーションか、applicationコマンドで定義するカスタムアプリケーション、あるいは、すべてを意味する「any」キーワードを指定してください。

アプリケーションコントロール（DPI)の設定は、DPIモード（dpiコマンド）で行います。
providerコマンドでシグネチャデータベースの提供元を指定した後、enableコマンドで有効化します。

    awplus(config)# dpi
    awplus(config-dpi)# provider built-in
    または
    awplus(config-dpi)# provider procera

    awplus(config-dpi)# enable
    awplus(config-dpi)# exit
    awplus(config)#

詳しくは、「UTM」/「アプリケーションコントロール（DPI）」をご覧ください。

#### 侵入防御（IPS）

サービス妨害（DoS）や不正アクセスと思われるトラフィックを検出してログに記録、あるいは通信を遮断する侵入防御（IPS）機能の設定を行います。
侵入防御（IPS）機能の処理は、ブリッジング用、ルーティング用の両インターフェースで受信したパケットに対して行われます。
侵入防御（IPS）の設定は、IPSモード（ipsコマンド）で行います。
イベント種別ごとのアクション設定はcategory actionコマンドで、機能の有効化はprotectコマンドで行います。

    awplus(config)# ips

    awplus(config-ips)# do show ips categories
    Category (* = invalid)       Action
    ---------------------------------------
      checksum                   alert
      ftp-bounce                 alert
      gre-decoder-events         alert
      http-events                alert
      icmp-decoder-events        alert
      ip-decoder-events          alert
      ppp-decoder-events         alert
      smtp-events                alert
      stream-events              alert
      udp-decoder-events         alert

    awplus(config-ips)# category checksum action deny
    awplus(config-ips)# category ftp-bounce action deny
    awplus(config-ips)# category http-events action disable

    awplus(config-ips)# protect
    awplus(config-ips)# exit
    awplus(config)#

詳しくは、「UTM」/「侵入防御（IPS）」をご覧ください。

#### IPレピュテーション

IPアドレスの分類リスト（IPレピュテーションデータベース）をもとに、特定IPアドレスを送信元または宛先とするパケットを制御するIPレピュテーション（IPアドレスブラックリスト）機能の設定を行います。
IPレピュテーション（IPアドレスブラックリスト）機能の処理は、ブリッジング用、ルーティング用の両インターフェースで受信したパケットに対して行われます。
Note

IPレピュテーション（IPアドレスブラックリスト）機能を使用するにはアニュアルライセンスが必要です。

IPレピュテーション（IPアドレスブラックリスト）の設定は、IPレピュテーションモード（ip-reputationコマンド）で行います。
providerコマンドでIPレピュテーションデータベースの提供元を指定した後、category actionコマンドでカテゴリーごとのアクションを指定し、protectコマンドで有効化します。

    awplus(config)# ip-reputation
    awplus(config-ip-reputation)# provider proofpoint

    awplus(config-ip-reputation)# do show ip-reputation categories
    Category              Action    Description
    -----------------------------------------------------------------------------
    AbusedTLD             alert     Abused or free TLD Related
    Bitcoin_Related       alert     Bitcoin Mining and related
    Blackhole             alert     Blackhole or Sinkhole systems
    Bot                   alert     Known Infected Bot
    Brute_Forcer          alert     SSH or other brute forcer
    ChatServer            alert     POLICY Chat Server
    CnC                   alert     Malware Command and Control Server
    Compromised           alert     Known compromised or Hostile
    DDoSAttacker          alert     DDoS Source
    DriveBySrc            alert     Driveby Source
    Drop                  alert     Drop site for logs or stolen credentials
    DynDNS                alert     Domain or IP Related to a Dynamic DNS Entry
                                      or Request
    ...

    awplus(config-ip-reputation)# category Bot action deny
    awplus(config-ip-reputation)# category ChatServer action deny
    awplus(config-ip-reputation)# category DynDNS action disable

    awplus(config-ip-reputation)# protect
    awplus(config-ip-reputation)# exit
    awplus(config)#

詳しくは、「UTM」/「IPレピュテーション」をご覧ください。

#### マルウェアプロテクション（ストリーム型アンチウイルス）

本製品を通過するアプリケーションパケットのデータ部分を検査し、既知のマルウェアを検出した場合は該当パケットを通知/遮断するマルウェアプロテクション機能の設定を行います。
マルウェアプロテクション機能は、ブリッジング用、ルーティング用のインターフェースを通過するすべてのパケット、すなわち、IPv4/IPv6上のTCPパケットをはじめ、 UDP、ICMPなどTCP以外のパケットや、ブリッジされる非IPパケットに対して作用します。
Note

マルウェアプロテクション機能を使用するにはアニュアルライセンスが必要です。

マルウェアプロテクション機能の設定は、マルウェアプロテクションモード（malware-protectionコマンド）で行います。
provider kasperskyコマンドでマルウェアシグネチャデータベースの提供元を指定し、protectコマンドで有効化します。

    awplus(config)# malware-protection
    awplus(config-malware)# provider kaspersky
    awplus(config-malware)# protect
    awplus(config-malware)# exit
    awplus(config)#

詳しくは、「UTM」/「マルウェアプロテクション（ストリーム型アンチウイルス）」をご覧ください。

#### URLフィルター（URLブラックリスト）

ユーザーが定義したURLのブラックリスト、ホワイトリストにもとづいて、Webアクセスを拒否・許可するURLフィルター（URLブラックリスト）機能を有効化します。
URLフィルターの設定は、次の流れで行います。

1. ブラックリスト、ホワイトリストのリストファイルを作成し、ローカルファイルシステムに保存します。
   blacklist.txt

       baddomain.example.com
       example.jp/badcontents/*
       example.com/files/xxxx/*

   whitelist.txt

       */useful/*
       *.rel

2. URLフィルターモード（url-filterコマンド）のblacklistコマンド、whitelistコマンドでリストファイルを指定し、protectコマンドでURLフィルター機能を有効化します。

       awplus(config)# url-filter
       awplus(config-url-filter)# whitelist flash:/whitelist.txt
       awplus(config-url-filter)# blacklist flash:/blacklist.txt
       awplus(config-url-filter)# protect

詳しくは、「UTM」/「URLフィルター」をご覧ください。

#### ファイアウォール

ステートフルインスペクションファイアウォールの設定を行います。
ファイアウォール有効時はデフォルトですべてのトラフィックが拒否されるため、あらかじめ必要な許可ルールを設定した上で、有効化します。
ファイアウォールの設定は、ファイアウォールモード（firewallコマンド）で行います。
ルールの設定はruleコマンドで、機能の有効化はprotectコマンドで行います。

    awplus(config)# firewall
    awplus(config-firewall)# rule permit any from private to public
    awplus(config-firewall)# rule permit mydb from private to private.wired.dbserver
    awplus(config-firewall)# rule permit ssh from private.wired.adminpc to dmz.servernet
    awplus(config-firewall)# rule permit http from public to dmz.servernet.web log
    awplus(config-firewall)# rule permit isakmp from public.internet.vpngw to public.internet.myself
    awplus(config-firewall)# rule permit esp from public.internet.vpngw to public.internet.myself

    awplus(config-firewall)# protect
    awplus(config-firewall)# exit
    awplus(config)#

詳しくは、「UTM」/「ファイアウォール」をご覧ください。

#### NAT

ダイナミックENAT（IPマスカレード）とポートフォワーディングの設定を行います。
ファイアウォールとNATを併用する場合は、NAT対象のトラフィックがファイアウォールで破棄されないよう適切なファイアウォールルールを設定する必要があります。
NATの設定は、NATモード（natコマンド）で行います。
ルールの設定はruleコマンドで、機能の有効化はenableコマンドで行います。

    awplus(config)# nat
    awplus(config-nat)# rule masq any from private to public
    awplus(config-nat)# rule portfwd http from public with dst dmz.servernet.web log

    awplus(config-nat)# enable
    awplus(config-nat)# exit
    awplus(config)#

詳しくは、「UTM」/「NAT」をご覧ください。

#### Webコントロール

Webサイトをカテゴリーに分類し、カテゴリーごとにアクセスの禁止・許可を制御するWebコントロール（URLフィルタリング）機能の設定を行います。
Note

Webコントロール（URLフィルタリング）機能を使用するにはアニュアルライセンスが必要です。

Note

Webコントロール（URLフィルタリング）またはアンチウイルス機能を有効にした本製品同士を接続する場合は、各製品に異なるホスト名（hostnameコマンド）を設定してください。

Webコントロール（URLフィルタリング）の設定は、Webコントロールモード（web-controlコマンド）で行います。
providerコマンドでURLカテゴリーデータベースの提供元を指定した後、actionコマンドでデフォルトアクションを、categoryコマンドとmatchコマンドでカスタムカテゴリーの定義を、ruleコマンドでURLカテゴリーごとのアクションを指定し、protectコマンドで有効化します。
初期設定ではデフォルト拒否（特定サイトのみ許可）の動作をしますが、ここではデフォルト許可に設定を変更し、特定カテゴリーのサイトだけを禁止する設定にしています。

    awplus(config)# web-control
    awplus(config-web-control)# provider opentext
    awplus(config-web-control)# action permit

    awplus(config-web-control)# do show web-control categories
    Category                                                  Category Hits  Custom
        Custom Matches
    --------------------------------------------------------------------------------
    abortion                                                              0
    alcohol-tobacco                                                       0
    auctions                                                              0
    botnets                                                               0
    business-economy                                                   3023
    cheating                                                              0
    computer-internet-info                                             2469
    computer-security                                                   705
    ...

    awplus(config-web-control)# category Work
    awplus(config-category)# match chat-for-work
    awplus(config-category)# match work-blog
    awplus(config-category)# exit

    awplus(config-web-control)# rule permit Work from private
    awplus(config-web-control)# rule deny personal-sites-blogs from private
    awplus(config-web-control)# rule deny weapons from private

    awplus(config-web-control)# protect
    awplus(config-web-control)# exit
    awplus(config)#

詳しくは、「UTM」/「Webコントロール」をご覧ください。

#### アンチウイルス（プロキシー型アンチウイルス）

本製品を通過するHTTPレスポンスパケットに含まれるファイルをスキャンし、既知のウイルスを検出した場合は該当パケットを通知/遮断するアンチウイルス機能の設定を行います。
アンチウイルス機能は、本製品のルーティング用インターフェースを通過するHTTPレスポンスパケット（IPv4/IPv6）に対して作用します
Note

アンチウイルス機能はAT-AR4050S、AT-AR4050S-5Gでのみサポートです。AT-AR3050Sでは使用できません。

Note

アンチウイルス機能を使用するにはアニュアルライセンスが必要です。

Note

Webコントロール（URLフィルタリング）またはアンチウイルス機能を有効にした本製品同士を接続する場合は、各製品に異なるホスト名（hostnameコマンド）を設定してください。

アンチウイルス機能の設定は、アンチウイルスモード（antivirusコマンド）で行います。
provider kasperskyコマンドでウイルス定義データベースの提供元を指定し、protectコマンドで有効化します。

    awplus(config)# antivirus
    awplus(config-antivirus)# provider kaspersky
    awplus(config-antivirus)# protect
    awplus(config-antivirus)# exit
    awplus(config)#

詳しくは、「UTM」/「アンチウイルス（プロキシー型アンチウイルス）」をご覧ください。