VMware NSX 4.1 分散IDS/IPSとゲートウェイIDS/IPSの動作確認

<font color="blue">**VMware NSX 4.1**</font> の <font color="red">**分散IDS/IPSとゲートウェイIDS/IPSの動作**</font> を確認しましたので、以下にまとめます。

検証環境：
* VMware NSX：4.1.0.2
* VMware vCenter Server : 8.0b

# VMware NSX 分散IDS/IPS及びゲートウェイIDS/IPSとは
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/251519/276b814b-62ee-b835-7164-a327aeb22431.png)
NSX-T 3.0から分散IDS/IPSが、NSX-T 3.2.1からゲートウェイIDS/IPSが提供開始されています。
　<font color="blue">**分散IDS/IPS**</font> は、従来は物理機器にて提供されていた侵入検知のIDS/IPS機能を、<font color="blue">**ハイパーバイザレベルで実装するもので、仮想マシンの粒度で漏れなくシグネチャベースの保護が可能**</font>となる機能です。
　<font color="red">**ゲートウェイIDS/IPS**</font> は<font color="red">**Tier-1ゲートウェイにて実装されるIDS/IPS機能**</font>となり、NSX基盤における境界型のIDS/IPSとして実装可能な機能となります。

# VMware NSX 分散及びゲートウェイIDS/IPSの前提条件
NSXにおいて分散IDS/IPS 及び ゲートウェイIDS/IPS を使用するには、従来のPro/Adv/Ent Plusライセンスに加えて、<font color="green">「NSX Distributed Firewall with Threat Prevention」及び「NSX Gateway Firewall with Threat Prevention」ライセンス</font> が必要となります。　
参照：[VMware NSX ライセンスと機能の総まとめ – ２０２３年版 (NSX version 4.0)](https://blogs.vmware.com/vmware-japan/2023/02/nsx-license-2023.html)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/251519/6df5fe43-9f47-f90b-692e-3416c3d69bc1.png)


# VMware NSX 分散及びゲートウェイIDS/IPSの設定
VMware NSX 管理UIより、「セキュリティ」＞「IDS/IPSとマルウェア管理」＞「設定の開始」より、IDS/IPSの設定を開始します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/251519/e54b9309-ae88-9ec1-37f1-117ad96192b5.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/251519/8f98fbf9-8ad7-2514-437a-f6231ce38027.png)
「NSX Appilcation Platformの展開」において「設定をスキップ」を選択し、IDS/IPSの設定に進みます。（マルウェア防止の設定はスキップします）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/251519/93d0e5a6-f4f4-e83c-db2b-90220d860474.png)
* **分散IDS/IPSの有効化及びゲートウェイIDS/IPSの有効化**
「分散ルール」タブにおいて、「分散IDS/IPS」の「設定」を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/251519/b8774219-26f6-923b-bea7-ba7a8263b7c2.png)
「East-Westトラフィックでホストとクラスタを有効にする」パネルにおいて、該当のクラスタにおいて、「IDS/IPS」をスライドバーにて有効にします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/251519/9516e733-38cc-18fd-03a3-8a0a8b482999.png)
「North-Southトラフィックでゲートウェイを有効にする」パネルにおいて、該当のTier-1ゲートウェイを選択の上、「IDS/IPS」をスライドバーにて有効にします。
※<font color="purple">ゲートウェイIDS/IPSは、Tier-1ゲートウェイにおいてのみ</font>有効化可能
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/251519/44ca95b5-ba35-89b5-9296-011ef7119293.png)

* **IDS/IPSルールの作成にあたり、IDS/IPSプロファイル（シグネチャのセット）を作成** 
「プロファイル」タブより、IDS/IPSプロファイルを作成します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/251519/fdf21771-30c3-835b-fd13-38906a77ce10.png)
IDS/IPSプロファイルの名前、「侵入の重要度」で適用するシグネチャ範囲を指定します。（その他CVSSスコア等で、適用するシグネチャの範囲を指定出来ます）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/251519/07735a6d-2a86-9689-9ca5-b3b811799869.png)

* **IDS/IPSプロファイルを使用した、分散及びゲートウェイIDS/IPSルールの作成**
上記のプロファイルを使用し「分散ルール」タブより、分散IDS/IPSルールを作成します。分散IDS/IPSルールの作成は、分散Firewallと同様に送信元・宛先・サービスを指定し、セキュリティプロファイルとしてIDS/IPSプロファイルを選択します。モードは「検出のみ」「検出して防御」が選択可能です。
    * 検出のみ：シグネチャの検出のみで、アクションの実行は無し
    * 検出して防止：シグネチャを検出し、シグネチャの内容に応じてドロップ or 却下
<font color="purple">例）任意の送信元、宛先間の分散Firewallトラフィックに対して、「IDS Profile」で指定したシグネチャに該当するトラフィックは、「検出して防御」する</font>
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/251519/b4ac970d-9222-7949-1416-94812851d87e.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/251519/c38b1874-932b-6c3e-49bd-d3f3247a7545.png)
同様にゲートウェイIDS/IPSルールを作成します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/251519/03c16c1a-1caa-dfa8-561d-76420bce3e8a.png)


# 分散及びゲートウェイIDS/IPSの動作検証と結果
分散及びゲートウェイIDS/IPSの構成における、[クロスサイトスクリプティング（XSS）](https://www.mobi-connect.net/blog/what-is-xss/)攻撃の動作検証結果を示します。
* **ゲートウェイIDS/IPSの攻撃の例**
Tier-1ゲートウェイ配下の仮想マシン間でのXSS攻撃の結果を、NSX UIの「セキュリティ」＞「IDS/IPS」画面より確認します。参考：[IDS/IPS イベントのモニタリング](https://docs.vmware.com/jp/VMware-NSX/4.1/administration/GUID-852AADD3-653F-4C1C-A10E-24D03B4084CA.html#GUID-852AADD3-653F-4C1C-A10E-24D03B4084CA__GUID-1F52D4C4-7372-4055-8B18-62E804D87E6D)
影響スコアや、検出時間、攻撃の送信元やターゲット、攻撃タイプ（例：trojan-activity）、サービス（例：HTTP）、該当する場合はCVEやCVSSスコア等が表示されます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/251519/469d445b-a64b-c9b6-4e28-915fc2d8680f.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/251519/5a9ab51c-3223-4901-3571-07642af8baa5.png)

* **分散IDS/IPSの攻撃の例**
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/251519/e271666d-bfb0-9717-42e7-af66c4adc67c.png)

結果はゲートウェイIDS/IPSと同様です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/251519/3f2641e5-7182-6e27-dbb6-1defe5de5202.png)