UTM / IPレピュテーション

IPレピュテーション（IPアドレスブラックリスト）は、好ましくないIPアドレスのリスト（IPレピュテーションデータベース）をもとに、特定の送信元からのパケットを制御する機能です。

Note - IPレピュテーション（IPアドレスブラックリスト）機能を使用するにはサブスクリプションライセンスが必要です。

IPレピュテーション（IPアドレスブラックリスト）機能はUTMの第2列に位置する機能であり、ブリッジング用、ルーティング用の両インターフェースで受信したパケットに対して、UTM関連機能では侵入防御（IPS）に続き、2番目にIPレピュテーション（IPアドレスブラックリスト）の処理が行われます。

Note - IPレピュテーション（IPアドレスブラックリスト）機能の対象はIPv4パケットだけです。IPv6には対応していません。

IPレピュテーション機能では、Emerging Threats社が提供する最新のIPレピュテーションデータベースにもとづいて、危険性のあるIPアドレスから送信されたトラフィックをIPレピュテーションカテゴリーに分類します。

各カテゴリーに対するデフォルトのアクションはalert（ログへの記録）ですが、category actionコマンドでカテゴリーごとにアクションを変更可能です。

データベースの更新をつかさどるアップデートマネージャーについては「UTM」/「アップデートマネージャー」をご覧ください。

また、IPレピュテーション（IPアドレスブラックリスト）機能の具体的な使用例については、「設定例集」をご覧ください。

基本設定

IPレピュテーション（IPアドレスブラックリスト）機能の設定は、IPレピュテーションモード（ip-reputationコマンド）で行います。
provider emerging-threatsコマンドでIPレピュテーションデータベースの提供元を指定した後、category actionコマンドでカテゴリーごとのアクションを指定し、protectコマンドで有効化します。

以下、IPレピュテーション（IPアドレスブラックリスト）機能の基本的な設定手順を示します。

IPレピュテーション（IPアドレスブラックリスト）機能の設定を行うため、IPレピュテーションモードに移行します。これにはip-reputationコマンドを使います。
awplus(config)# ip-reputation ↓
IPレピュテーションデータベースの提供元を指定します。これにはprovider emerging-threatsコマンドを使います。
awplus(config-ip-reputation)# provider emerging-threats ↓

危険性のあるIPアドレスからのトラフィックを検出したときに実行すべきアクションをIPレピュテーションカテゴリーごとに指定します。これにはcategory actionコマンドを使います。
アクションには次の3つがあります。各イベントに対するデフォルトのアクションはalert（ログに記録）です。

alert（ログに記録）
deny（パケットを破棄）
disable（何もしない）

なお、category actionコマンドで指定するIPレピュテーションカテゴリー名は、show ip-reputation categoriesコマンドで確認できます。

awplus(config-ip-reputation)# do show ip-reputation categories ↓ Category Action Description ----------------------------------------------------------------------------- AbusedTLD alert Abused or free TLD Related Bitcoin_Related alert Bitcoin Mining and related Blackhole alert Blackhole or Sinkhole systems Bot alert Known Infected Bot Brute_Forcer alert SSH or other brute forcer ChatServer alert POLICY Chat Server CnC alert Malware Command and Control Server Compromised alert Known compromised or Hostile DDoSAttacker alert DDoS Source DriveBySrc alert Driveby Source Drop alert Drop site for logs or stolen credentials DynDNS alert Domain or IP Related to a Dynamic DNS Entry or Request ...

ここでは、IPレピュテーションカテゴリー「Bot」、「ChatServer」に分類されたトラフィックを破棄（deny）するよう設定します。
また、IPレピュテーションカテゴリー「DynDNS」に分類されたトラフィックに対しては何もしない（disable）よう設定します。

awplus(config-ip-reputation)# category Bot action deny ↓ awplus(config-ip-reputation)# category ChatServer action deny ↓ awplus(config-ip-reputation)# category DynDNS action disable ↓

4．IPレピュテーション（IPアドレスブラックリスト）機能を有効化します。これにはprotectコマンドを使います。

awplus(config-ip-reputation)# protect ↓

設定は以上です。

■ IPレピュテーションデータベースの更新チェック間隔は、update-intervalコマンドで変更可能です。初期値は1時間です。

awplus(config)# ip-reputation ↓ awplus(config-ip-reputation)# update-interval days 1 ↓

■ IPレピュテーションデータベースは通常自動更新されますが、update nowコマンドで手動更新することも可能です。

awplus# update iprep_et_rules ↓

■ IPレピュテーションデータベースの更新ステータスはshow resourceコマンドで確認できます。

awplus# show resource iprep_et_rules ↓ -------------------------------------------------------------------------------- Resource Name Status Version Interval Last Download Next Download Check -------------------------------------------------------------------------------- iprep_et_rules Sleeping - never None N/A

■ IPレピュテーション（IPアドレスブラックリスト）機能の有効・無効とIPレピュテーションデータベースの提供元、バージョン、更新チェック間隔は、show ip-reputationコマンドで確認できます。

awplus# show ip-reputation ↓ Status: Enabled (Inactive Unlicensed) Provider: emerging-threats Resource version: not set Resource update interval: 1 hour

PN: 613-002107 Rev.A