Cisco Configuration Assistant Version 1.9 新機 能ガイド
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年6月14日
章のタイトル： セキュリティ
セキュリティ
Cisco Configuration Assistant Version 1.9 に追加されたセキュリティ機能の設定のサポートについて理解するには、このセクションをお読みください。
URL フィルタ
（注） この機能は、Cisco SR520 セキュア ルータでのみ設定できます。
URL フィルタを使用すると、URL リストに記載されている情報に基づいて、特定の Web サイトへのアクセスを許可または拒否することで、インターネットへのアクセスを制御できます。
Cisco Configuration Assistant Version 1.9 は、Black/White リストのみをサポートしています（C3PL URL フィルタ）。Black/White リストとは、企業のネットワーク セキュリティ スタッフによって手動で作成および維持される URL のリストのことです。デフォルトの URL はなく、ユーザ定義です。Version 1.9 の URL フィルタは、サードパーティ製サーバをサポートしていません。
•
いくつかの特定の URL を免除する必要がある場合に、基本的なソリューションを提供します。
• 企業ポリシーの一環として拒否する URL を、企業は直接管理できます。
Cisco Configuration Assistant で URL フィルタ設定オプションにアクセスするには、[設定（Configure）] > [セキュリティ（Security）] を選択して [URL フィルタ（URL Filtering）] を選択し、[URL フィルタ（URL Filtering）] ウィンドウを開きます。
設定例
（注） URL フィルタを有効にする前に、Zone Based Firewall（ZBF）設定を有効にする必要があります。URL フィルタが無効な場合でも、ドメイン名リストとの間で URL の追加または削除ができますが、フィルタは実行されません。URL フィルタは、デフォルトでは無効です。
リストにあるドメイン以外のすべてのドメインの拒否または許可
フィルタ オプションを設定し、フィルタの対象にするドメイン名のリストを管理するには、次の手順に従います。
1. [有効にする（Enable）] チェックボックスをオンにし、URL フィルタを有効にします。
2. リストにあるドメイン以外のすべてのドメインを拒否するか、またはリストにあるドメイン以外のすべてのドメインを許可するかを選択します。
3. フィルタ対象のドメイン名のリストに URL を追加するには、[追加（Add）] をクリックして、追加した行をクリックし、フィルタ対象にするドメイン名を入力します。
部分ドメイン名でも、検証可能なかぎり使用可能です（例：cisco.com. は有効）。
（注） フィルタ リストに使用可能な URL の最大数は 100 です。
4. 必要に応じて、ドメイン名の追加または削除を続行し、[OK] または [適用（Apply）] をクリックします。
[OK] または [適用（Apply）] をクリックすると、リスト内の名前は修正できなくなります。名前を変更するには、削除してから再追加する必要があります。
URL リストのインポートおよびエクスポート
フィルタ対象の URL をリストしたテキスト ファイルをインポートしたり、現在の URL のリストをエクスポートして、別のデバイスまたはアプリケーションにインポートしたりできます。URL リスト ファイルの作成には、次のガイドラインが適用されます。
• ファイル名拡張子は .csv または .txt のいずれかにする必要があります。
1. Cisco SR520 セキュア ルータを備えたシステムで Cisco Configuration Assistant Version 1.9 を起動して [設定（Configure）] > [セキュリティ（Security）] を選択し、[URL フィルタ（URL Filtering）] を選択します。
2. [URL フィルタ（URL Filtering）] ウィンドウで、[URL フィルタを有効にする（Enable URL Filtering）] を選択します。
3. [URL リストのインポート（Import URL List）] をクリックし、フィルタ対象の URL リストを含んでいる .txt または .csv ファイルを選択します。
4. [開く（Open）] をクリックします。ファイルにリストされているすべての URL がインポートされ、[ドメイン リスト（Domain List）] に表示されます。
5. ファイルにリストされているすべてのドメインを許可するには、[次のリストにあるドメイン以外のすべてのドメインを拒否（Deny all domains except the ones in the list below）] を選択します。
6. ファイルにリストされているすべてのドメインを拒否するには、[次のリストにあるドメイン以外のすべてのドメインを許可（Permit all domains except the ones in the list below）] を選択します。
ZBF 設定をまだ作成していない場合は、作成を求めるプロンプトが表示されます。
1. Cisco SR520 セキュア ルータを備えたシステムで Cisco Configuration Assistant Version 1.9 を起動して [設定（Configure）] > [セキュリティ（Security）] を選択し、[URL フィルタ（URL Filtering）] を選択します。
2. [URL リストのエクスポート（Export URL List）] をクリックし、リストを保存する場所を選択します。
侵入防御システム（IPS）
Cisco IOS Intrusion Prevention System（IPS; 侵入防御システム）とは、さまざまなネットワーク攻撃を効果的に軽減するインライン型の詳細なパケット インスペクション機能のことです。IPS は、Cisco SR520 ルータでのみサポートされています。
攻撃が検出されると、IPS デバイスは違反パケットを廃棄する一方、他のすべてのトラフィックの通過を許可します。IPS デバイスは、疑わしいアクティビティを検出すると、ネットワーク セキュリティが損害を受ける前に対応し、Cisco IOS syslog メッセージまたは Security Device Event Exchange（SDEE）を使用してイベントをログに記録します。
セッション中のデータ パケットは、署名パッケージまたは署名定義ファイル（SDF）と比較されます。パケットが署名と一致すると、署名がトリガーされ、イベントが攻撃として検出されます。
Cisco Configuration Assistant Version 1.9 の IPS 設定には、次の事項が該当します。
• Cisco Configuration Assistant Version 1.9 は、次のものをサポートしています。
– 12.4 (20)T 以降のイメージを備えた SR520 での IPS 5.0
– 基本 IPS 設定、IPS 署名の更新、および IPS アラート
• IPS セキュリティ ダッシュボード、IPS 署名編集機能、および監視機能はサポートされていません。
• Cisco SR520 での IPS は、128MB SDF（基本署名セット）のみをサポートしています。
• 公開鍵の取得、署名パッケージのダウンロード、およびパッケージからの署名定義ファイルのルータへのインストールを行います。
（注） IPS は、IPS をサポートしている、Cisco SR520 セキュア ルータなどのデバイスでのみ設定できます。
IPS の設定
1. [ホスト名（Hostname）] リストで、IPS を有効にするデバイスを選択します。
2. IPS のインターフェイスを設定するには、[外部（信頼できない）インターフェイス/ゾーン（Outside (untrusted) Interface/Zone）] リストから外部インターフェイスを選択するか、[内部（信頼できる）インターフェイス/ゾーン（Inside (trusted) Interface/Zone）] リストから内部インターフェイスを選択します。
ルータで検出される利用可能なインターフェイスは、テーブルの [内部（Inside）] 列および [外部（Outside）] 列に表示されます。
外部および内部という用語は、インターフェイスで攻撃に対して IPS パケット スキャンを行う方向を指しています（着信パケット フローまたは発信パケット フロー）。
– テーブルの [外部（Outside）] 列に表示されているインターフェイスに IPS を選択すると、IPS は、このインターフェイスの発信パケットのみをスキャンします。
– 同様に、テーブルの [内部（Inside）] 列に表示されているインターフェイスに IPS を選択すると、IPS は、このインターフェイスの着信パケットのみをスキャンします。
– インターフェイスの発信または着信パケット フロー、またはその両方に対する IPS スキャンを有効にすることができます。IPS を有効にできるインターフェイスの数に制限はありません。
内部インターフェイスおよび外部インターフェイスを設定したら、表示されているリンクをクリックし、Cisco.com から公開鍵をダウンロードします。次に、鍵の鍵文字列セクションをコピーし、鍵のテキスト領域に貼り付けます。
公開鍵は必須であり、realm-cisco.pub という名前です。
– [SDF のインストール（Install SDF）] をクリックして [署名パッケージのダウンロード（Download Signature Package）] ダイアログを開くと、SDM-IPS 署名定義ファイル（SDF）パッケージをダウンロードするリンクが表示されます。
– ダウンロード リンクをクリックして Cisco.com に移動し、SDM-IPS 署名パッケージのリストから Cisco IOS SDM-IPS 署名パッケージを選択します。SR520 での使用がサポートされているのは、基本カテゴリの SDM-IPS パッケージのみです。基本カテゴリは、最大 128 MB までのサイズの署名ファイルをサポートし、最大 128 MB のメモリのルータを対象としています。
– ローカル PC 上の署名パッケージ ファイル（.zip ファイル）の場所を指定します。
– [OK] または [適用（Apply）] をクリックします。[OK] または [適用（Apply）] をクリックすると、設定がルータに送信されます。
すべての IPS 関連の設定ファイルは、flash:/ips/ という場所に配置されます。
• [IPS 設定の削除（Delete IPS Configuration）] ボタン、[IPS 署名の更新（IPS Signature Updates）] タブ、および [IPS アラート（IPS Alerts）] タブがアクティブになります。
• デバイスにロードされ有効になっている署名は、[IPS 署名の更新（IPS Signature Update）] タブに表示されます。
IPS 署名の更新
IPS 署名の更新が利用できるのは、IPS が正常に設定されていて、署名パッケージがダウンロードされている場合だけです。IPS 署名の更新は、SDM-IPS パッケージ ファイルに対してのみサポートされています。[IPS 署名の更新（IPS Signature Updates）] タブで、選択した SDF パッケージに対して、新しい更新済みの署名をインポートできます。
IPS 署名の更新をインポートするには、次の手順に従います。
1. [IPS] ウィンドウで、[IPS 署名の更新（IPS Signature Updates）] タブをクリックします。
2. リンクをクリックして Cisco.com を開き、IPS-SDM .sdf パッケージ ファイルを選択してダウンロードします。
3. ローカル PC 上の SDF パッケージ ファイル（.zip ファイル）の場所を指定します。
4. [署名の抽出（Extract Signatures）] をクリックして、インポート対象の、選択した SDF 内の新しい更新済みの署名を表示します。
5. [OK] をクリックして、テーブルに表示されている署名をルータにアップロードし、ルータの SDF パッケージ バージョンを更新します。
IPS アラート
IPS アラートには、侵入検知アラート、実行された処理、およびアラートごとの次のような情報が表示されます。
現在のアラートのリストを表示するには [アラートの表示（Show Alerts）] をクリックし、リストをクリアするには [アラートの解除（Clear Alerts）] をクリックします。
フィードバック