セキュリティ コンフィギュレーション ガイド：ユー ザ サービスのセキュリティ保護

ユーザ サービスのセキュリティ保護の概要

---

『ユーザ サービスのセキュリティ保護の概要』では、Authentication, Authorization, and Accounting（AAA; 認証、認可、アカウンティング）プロトコルを使用したユーザの識別、リモート デバイスへのユーザ アクセスの制御、およびセキュリティ サーバ情報を使用した Cisco IOS ネットワーキング デバイスでのサービスの追跡について説明します。

機能情報の確認

ご使用のソフトウェア リリースでは、この概要モジュールで説明されるすべての機能がサポートされているとは限りません。最新の機能情報と注意事項については、ご使用のプラットフォームとソフトウェア リリースに対応したリリース ノートを参照してください。

プラットフォーム サポートと Cisco IOS および Catalyst OS ソフトウェア イメージ サポートに関する情報を入手するには、Cisco Feature Navigator を使用します。Cisco Feature Navigator には、 http://www.cisco.com/go/cfn からアクセスします。Cisco.com のアカウントは必要ありません。

この章の構成

• 「AutoSecure」

• 「認証、認可、アカウンティング（AAA）」

• 「セキュリティ サーバ プロトコル」

• 「RADIUS および TACACS+ アトリビュート」

• 「セキュア シェル（SSH）」

• 「Cisco IOS ログイン機能拡張」

• 「Cisco IOS Resilient 設定」

• 「イメージ確認」

• 「IP Source Tracker」

• 「ロールベースの CLI アクセス」

• 「パスワード、権限、ログインユーザ名を使用した、ネットワーキング デバイスでの CLI セッションでのセキュリティ」

• 「Kerberos」

• 「Lawful Intercept（合法的傍受）」

AutoSecure

AutoSecure 機能で、ルータのセキュリティ設定が簡単になり、ネットワーク攻撃に利用できる共通 IP サービスルータ設定を無効にしてルータ設定を強化し、ネットワーク攻撃下では、ネットワーク防御に役立つ IP サービスと機能を有効にします。

AutoSecure では、次の方法で、マネジメント プレーンおよびフォワーディング プレーンの両方でセキュリティ保護します。

• マネジメント プレーンのセキュリティ保護は、潜在的にセキュリティ攻撃に利用される可能性がある特定のグローバルおよびインターフェイス サービスをオフにし、攻撃の脅威を軽減できるグローバル サービスをオンにすることで行います。また、セキュリティ保護されたアクセスとロギングもルータに設定できます。

• フォワーディング プレーンのセキュリティ保護は、Cisco Express Forwarding（CEF; シスコ エクスプレス フォワーディング）またはルータの distributed CEF（dCEF; 分散 CEF）を可能な限りイネーブルにすることで行います。トラフィックが新たな宛先に到着し始めたときにキャッシュ エントリを作成する必要がないため、大量のトラフィックが多数の宛先に送信される場合でも、CEF は他のモードよりも予測しやすい方法で動作します。このため、CEF 用に設定されているルータは、SYN 攻撃下において、従来のキャッシュ方法を採用しているルータと比較して高い性能を発揮します。

認証、認可、アカウンティング（AAA）

シスコの Authentication, Authorization, and Accounting（AAA; 認証、認可、アカウンティング）パラダイムは、3 つの独立したセキュリティ機能をまとめて一貫性のあるモジュラ形式で設定するためのアーキテクチャ フレームワークです。AAA は、ユーザを認証する主な方法（TACACS+ サーバに格納されている username/password データベースなど）提供し、さらにバックアップ方法を指定します（ローカルに格納された username/password データベースなど）。このバックアップ方法は、主な方式のデータベースがネットワーキング デバイスからアクセスできない場合に使用されます。AAA を設定するには、「認証、認可、アカウンティング（AAA）」の章を参照してください。最大 4 つの順次バックアップ方法を設定できます。

（注） バックアップ方法が設定されていない場合は、username/password データベースになんらかの理由でアクセスできない場合にデバイスへのアクセスが拒否されます。

次のセクションで、AAA セキュリティ機能についてさらに詳細に説明します。

• 「認証」

• 「認可」

• 「アカウンティング」

• 「認証プロキシ」

• 「802.1x 認証サービス」

• 「ネットワーク アドミッション コントロール」

アカウンティング

アカウンティングで、ユーザ識別、開始時刻と終了時刻、実行コマンド（PPP など）、パケット数、バイト数などといったセキュリティ サーバ情報の収集と送信を行い、課金、監査、およびレポートに使用する手段を提供します。アカウンティングを使用することで、ユーザがアクセスしているサービスや、ユーザが消費しているネットワーク リソース量を追跡できます。

---

（注） 認証は AAA と別個に設定することができます。ただし RADIUS、TACACS+、または Kerberos を使用する場合や、バックアップの認証方式を設定する場合は、AAA を設定する必要があります。

---

セキュリティ サーバ プロトコル

AAA セキュリティ プロトコルは、セキュリティ機能を管理するルータまたはネットワーク アクセス サーバで使用されます。AAA は、ネットワーク アクセス サーバと シスコがサポートしている RADIUS または TACACS+ セキュリティ サーバ プロトコルとの間の通信を確立する手段に使用されます。

セキュリティ サーバ上のデータベースを使用してログイン ユーザ名とパスワードのペアを保存する場合は、該当するプロトコルをサポートするようルータまたはアクセス サーバを設定する必要があります。また、サポートされているほとんどのセキュリティ プロトコルは、AAA セキュリティ サービスを使用して管理する必要があるため、AAA をイネーブルにする必要があります。

次のセクションで、RADIUS および TACACS+ セキュリティ サーバについてさらに詳細に説明します。

• 「RADIUS」

• 「TACACS+」

RADIUS および TACACS+ アトリビュート

RADIUS および TACACS+ RFC にはさまざまなベンダー インタープリテーションがあります。ベンダーごとに他の RFC との準拠性がある場合もありますが、相互運用性は保証されません。相互運用性は、RADIUS および TACACS+ で標準 RFC が使用されている場合にのみ保証されます。

非標準の RADIUS および TACACS+ RFC が使用されている場合、それぞれのデバイスで相互運用できるようベンダーがアトリビュートを開発し実装する必要があります。

次のセクションで、RADIUS および TACACS+ アトリビュートについてさらに詳細に説明します。

• 「RADIUS アトリビュート」

• 「TACACS+ アトリビュート」

セキュア シェル（SSH）

Secure Shell（SSH; セキュア シェル）機能は、rsh、rlogin、rc などの UNIX r-commands スイートに安全に置換するアプリケーションおよびプロトコルです（Cisco IOS は rlogin をサポートします）。このプロトコルは標準の暗号メカニズムを使用してセッションの安全を確保します。アプリケーションは Berkeley の rexec および rsh ツールと同様に使用できます。現在、2 つのバージョンの SSH（SSH バージョン 1 と SSH バージョン 2）を使用できます。

Cisco IOS ログイン機能拡張

Cisco IOS Login Enhancements（Login Block）機能により、ユーザはサービス拒絶（DoS）攻撃と思われる攻撃が検出された場合、ログイン試行を自動的にブロックするオプションを設定して、ルータのセキュリティを強化できます。

この機能により導入された Login Block オプションおよび Login Delay オプションで、Telnet または SSH 仮想接続を設定できます。この機能をイネーブルにすると、接続試行の失敗が複数回検出された場合に、「待機時間」を強制して「辞書攻撃」をスローダウンし、ルーティング デバイスを DoS 攻撃から保護できます。

Cisco IOS Resilient 設定

Cisco IOS Resilient Configuration 機能で、実行中のイメージおよび設定のワーキング コピーを保護し維持することができます。これにより、イメージや設定ファイルが永続ストレージ（NVRAM やフラッシュ）の内容を消去する不正な攻撃に耐えることができます。

イメージ確認

イメージ確認機能で、Cisco IOS イメージの整合性を自動的に確認できます。そのため、ユーザは、イメージが偶発的な破壊から保護されていることを確認できます。破壊は、シスコによってファイルが作成された瞬間からユーザに届くまで、輸送中にいつでも起きる可能性があります。

IP Source Tracker

IP Source Tracker 機能で、攻撃下にあると考えられるホストへのトラフィックに関する情報を収集できます。また、この機能で、ネットワークへの入り口への攻撃を簡単にトレースできます。

ロールベースの CLI アクセス

ロールベースの CLI アクセス機能を使用すれば、ネットワーク管理者は「ビュー」を定義できます。ビューは、Cisco IOS EXEC コマンドおよびコンフィギュレーション（config）モード コマンドへのアクセスを精選したり部分的に制限する、操作コマンドと設定機能のセットです。ビューで、ユーザの Cisco IOS Command-Line Interface（CLI; コマンドライン インターフェイス）や設定情報へのアクセスを制限します。つまり、ビューで、使用するコマンドや表示する設定情報を定義できます。したがって、ネットワーク管理者はシスコ ネットワーキング デバイスへのアクセスを柔軟に管理できます。

パスワード、権限、ログインユーザ名を使用した、ネットワーキング デバイスでの CLI セッションでのセキュリティ

ネットワーキング デバイスがネットワークに、セキュリティ オプションを設定せずにインストールされている状態や、ネットワーキング デバイスがインストールされており、セキュリティのベースラインが、ネットワーキング デバイスで実行している Cisco IOS CLI オペレーティング システム セッションでどのように実装されているか知るための手助けが必要な場合があります。

このマニュアルでは、次の基本セキュリティの内容を説明しています。

• CLI セッションでの異なる認証レベルを区別して、ネットワーキング デバイスのステータス対デバイスのモニタに使用されるコマンドを変更できるコマンドへのアクセスを制御する

• パスワードは CLI セッションに割り当てられる

• ユーザはネットワーキング デバイスにユーザ名を使用してログインできる

• コマンドの権限レベルを変更して CLI セッションでの新しい承認レベルを作成する

Kerberos

Kerberos 機能は、暗号化と認証に Data Encryption Standard（DES; データ暗号規格）暗号化アルゴリズムを使用した AAA を使用して実装されるシークレットキー ネットワーク認証プロトコルです。Kerberos はネットワーク リソースの要求を認証するために設計され、ユーザおよびサービスの安全な検証を実行する信頼のあるサードパーティのコンセプトに基づいています。これは主に、ユーザとユーザが使用しているネットワーク サービスが本当に要求されているものであるかを確認するために使用されます。この検証を行うには、信頼できる Kerberos サーバでユーザのクレデンシャル キャッシュに格納して標準のユーザ名およびパスワード認証メカニズムの代わりに使用できる期限付きのチケットを発行します。

Lawful Intercept（合法的傍受）

Lawful Intercept（LI; 合法的傍受）機能は、法執行機関の要件に適合するサービス プロバイダーをサポートし、Voice over IP（VoIP）またはエッジ ルータを通るデータ トラフィックを代行受信する機能を提供します。Lawful Intercept（LI; 合法的傍受）アーキテクチャには、Cisco Service Independent Intercept アーキテクチャと PacketCable The Lawful Lawful Intercept アーキテクチャが含まれています。