Flowmon IDSプローブの設定

Save PDF

Last Updated: September 16, 2026
9 minute read

Flowmon Products
Flowmon Anomaly Detection System
Documentation

この設定は[設定] → [IDS設定]にあります。

[IDS設定]タブでは、Flowmon IDSプローブを管理できます。[プローブ]、[ルール]、[カテゴリー]、[設定]の各セクションが含まれます。

Flowmon IDSプローブは、サードパーティのオープンソース侵入検知システム(IDS)であるSuricataをFlowmonプラットフォームに統合します。Suricataは、シグネチャと呼ばれる検知ルールを使用してネットワークトラフィックを検査します。各シグネチャは、パケットの内容に基づいて脅威を記述します。トラフィックがシグネチャに一致すると、IDSはアラートを生成します。

高トラフィックネットワークでのリソース使用量を削減するために、IDSプローブは完全なパケットキャプチャを実行するのではなく、各ネットワークフローの最初のNパケットのみを検査します。デフォルトでは、フローあたり10パケット(各方向から5パケット)が検査されます。この制限はFlowmon OSで設定できます。

注:

Flowmon IDSプローブパッケージは無償で提供されており、Flowmonサポートサービスの対象外です。Flowmon IDSプローブを有効にする方法については、Flowmon OSユーザーガイドを参照してください。

Flowmon ADSを使用してFlowmon IDSプローブを設定するには、プローブがバージョン13.1.0以降で動作している必要があります。

ADSインターフェースではすべてのSuricata設定オプションが利用できるわけではありません。SuricataおよびFlowmon IDSプローブのシステムレベルの設定については、Flowmon OSユーザーガイドを参照してください。競合が発生した場合、ここで設定した構成がFlowmon OSで設定した構成より優先されます。

プローブ

[プローブ]セクションには、登録されているすべてのIDSプローブとその現在のステータスが表示されます。リストには次の列が含まれます。

状態: プローブの現在の動作状態(例:実行中、停止、エラー)。
名前: プローブの名前。
所有者: プローブを所有するユーザー。
IDSプローブサーバ: IDSプローブサーバのホスト名またはIPアドレス。ローカルのFlowmon Collectorが使用される場合は[ローカルコレクターを使用]と表示されます。

登録済みプローブを表示するIDS設定タブ

新しいIDSプローブを追加するには、[追加]をクリックします。次のフィールドを入力する必要があります。

名前: プローブの名前。
ローカルコレクターを使用: 有効にすると、IDSプローブは所有者アカウントの下でローカルに実行されます。無効にすると、リモートIDSプローブの接続設定を構成する必要があります。
IDSプローブサーバ: リモートIDSプローブサーバのホスト名またはIPアドレス。このフィールドは、[ローカルコレクターを使用]が無効の場合にのみ必要です。
ログイン: リモートIDSプローブサーバのユーザー名。
パスワード: リモートIDSプローブサーバのパスワード。

保存する前に、[接続のテスト]をクリックしてIDSプローブサーバへの接続を確認してください。

ルール

[ルール]セクションには、すべてのカスタムIDS検知ルールが表示されます。ルールはSuricataルール形式で記述され、特定のトラフィックパターンを検知するために使用できます。

デフォルトでは、IDSプローブは2つのルールソースを使用します。

Flowmon Services — FlowmonがホストするEmerging Threats Open Rulesのコピー。Flowmon Servicesフィードに到達できない場合は、オフラインバックアップが自動的に使用されます。
ローカルルール — プローブのローカルルールディレクトリに配置されている.rulesファイルはすべて、リモートルールと共に読み込まれます。

両方のソースのルールは組み合わされて自動的に更新されます。ADSインターフェースを使用してカスタムルールを追加でき、これらはデフォルトのルールセットの上に適用されます。

新しいルールを追加するには、**[追加]**をクリックします。次のフィールドを入力する必要があります。

名前: ルールの名前。
ルール: Suricataルール形式で記述されたルール定義。[カテゴリー]セクションで定義されたカスタムカテゴリーにルールをリンクするには、classtypeキーワードをカテゴリー名に一致するように設定します。たとえば、カテゴリー名がmy-custom-categoryの場合:
```
alert http any any -> any any (msg:"Example alert"; content:"example"; classtype:my-custom-category; sid:2; rev:1;)
```

設定で使用されているルールを変更または削除すると、その設定に割り当てられているすべてのプローブへの設定アップロードが自動的にトリガーされます。設定アップロードが自動的にトリガーされる条件の一覧については、設定がプローブにプッシュされる仕組みを参照してください。

高度なルール管理（ルールアクションの変更や追加のリモートルールソースの追加など）については、Flowmon OSユーザーガイドを参照してください。

設定

**[設定]**セクションでは、IDS設定の作成と管理ができます。IDS設定は、プローブ、ルール、およびIP範囲を1つのデプロイ可能なセットアップとして割り当てます。

新しいIDS設定を追加するには、**[追加]**をクリックします。次のフィールドを入力する必要があります。

名前: IDS設定の名前。
プローブ: このIDS設定に割り当てられたプローブ。プローブは一度に1つのIDS設定にのみ含めることができます。
無効なルール: このIDS設定で無効化されているルール。
カスタムルール: このIDS設定内で適用されるカスタムルール。
範囲: この設定のHOME_NETを定義するために使用するIP範囲。HOME_NETは、内部ネットワークに属するアドレスをSuricataに伝えます。多くのルールはHOME_NETを対象とした、またはHOME_NETから発信される脅威を検知するために記述されているため、正しく設定することで誤検知を減らせます。IPアドレス、ネットワーク（CIDR表記）、または範囲を1行に1エントリで入力できます。**[フィルターからインポート]**オプションを使用して、既存のフィルターから範囲を入力することもできます。

たとえば、典型的なプライベートネットワークを定義するには:
```
192.168.0.0/16
10.0.0.0/8
172.16.0.0/12
```
SuricataはEXTERNAL_NETをHOME_NETの外側にあるすべてとして自動的に導出します。

IDS設定の追加ダイアログ

行をクリックすると展開され、割り当てられた各プローブに対する最後の設定適用のステータスが次の列で表示されます。

プローブ: 設定が適用されたプローブ。
タイムスタンプ: 設定が最後に適用された日時。
ステータス: 最後の設定適用の結果（例：成功）。

IDS設定ステータス

設定がプローブにプッシュされる仕組み

設定に割り当てられているすべてのプローブへの設定アップロードは、次のいずれかによって自動的にトリガーされます。

IDS設定を作成または編集する。
設定で参照されているカスタムルールを編集または削除する。
カテゴリーを追加、編集、または削除する。

プローブが削除または設定から割り当て解除された場合、クリーンな設定が自動的にそのプローブにプッシュされます。IDS設定自体を削除した場合も同様の効果があり、それまで割り当てられていたすべてのプローブにクリーンな設定が自動的にプッシュされます。

Flowmon ADS User Guide