ポリシーグループを使用してセキュリティポリシーを設定すると、SD ルーティングデバイスでのポリシーの設定および展開操作が簡素化されます。ワークフローを使用してポリシーを設定し、それらのポリシーをネットワーク内のデバイスに関連付けます。

[Policy Groups] ページには、次のものが含まれます。

• ポリシー グループ

• 組み込みセキュリティ設定

• DNS セキュリティ設定

セキュリティポリシーは、カスタム定義のアプリケーションリストに含まれるカスタムアプリケーションを使用したトラフィックの照合をサポートしていません。

セキュリティポリシー作成ワークフローを使用して、セキュリティポリシーの作成、サブポリシーの追加、既存のサブポリシーへのルールの追加などを行うことができます。

1. Cisco SD-WAN Manager のメニューから、[Configuration] > [Policy Groups] > [Group of Interest]の順に選択します。

2. [セキュリティ（Security）] タブをクリックします。セキュリティオブジェクトとプロファイルのリストが表示されます。

セキュリティポリシーに別のリストグループを設定するには、次の表を使用します。

セキュリティは、今日のネットワーキング インフラストラクチャの非常に重要な要素です。ネットワーク管理者とセキュリティ担当者は、攻撃や侵害からネットワークを防御することを強く求められています。ハイブリッドクラウドとリモート従業員接続のために、ネットワークのセキュリティ境界がなくなりつつあります。

アプリケーション認識機能を備えたエンタープライズ ファイアウォールは、従来のインターフェイスベースのモデルとは異なり、柔軟で理解しやすいゾーンベースのモデルを使用してデータトラフィックを検査します。

ファイアウォールポリシーは、TCP、UDP、および ICMP データトラフィックフローのステートフル検査を可能にするローカライズされたセキュリティポリシーの一種です。特定のゾーンから発信されたトラフィックフローは、2 つのゾーン間のポリシーに基づいて別のゾーンに進むことが許可されます。ゾーンは、1 つ以上の VPN をグループ化したものです。VPN をゾーンにグループ化すると、オーバーレイネットワークにセキュリティ境界を確立できるため、ゾーン間を通過するすべてのデータトラフィックを制御できます。組み込みセキュリティの詳細については、「アプリケーション認識型のエンタープライズ ファイアウォール」を参照してください。

1. Cisco SD-WAN Manager から、[Policy Groups] > [Embedded Security]の順に選択します。

2. セキュリティポリシーを選択し、[Edit] をクリックします。

3. [Add Rule] をクリックします。

1. [Configuration] > [Policy Groups]から、[Embedded Security] を選択します。

2. リストからセキュリティポリシーを選択し、[Edit] をクリックして、次の詳細を入力します。

3. [Add Sub-Policy] をクリックし、セキュリティポリシーのサブポリシーを追加します。

1. Cisco SD-WAN Manager のメニューから、[Configuration] > [Policy Groups]の順に選択し、[Embedded Security] を選択します。

2. リストからセキュリティポリシーを選択し、[Edit] をクリックして、次の詳細を入力します。

3. セキュリティポリシーの追加設定を指定するには、[Additional Settings] をクリックします。

   フィールド	説明
   [TCP SYN Flood Limit]	各宛先アドレスの毎秒 SYN フラッドパケット数のしきい値を指定します。
   [Max Incomplete]	ファイアウォールポリシーのタイムアウト制限を指定します。[Max Incomplete] タイムアウト制限は、ファイアウォールリソースを保護し、これらのリソースが使い果たされるのを防ぎます。
   [TCP Limit]	デバイスで許可される最大 TCP ハーフオープンセッションを指定します。
   [UDP Limit]	デバイスで許可される最大 UDP ハーフオープンセッションを指定します。
   [ICMP Limit]	デバイスで許可される最大 ICMP ハーフオープンセッションを指定します。
   [Audit Trail]	[Audit Trail] オプションを有効にします。このオプションは、検査アクションを持つルールにのみ適用されます。
   [Unified Logging]	統合ログ機能を有効にします。
   [Optimized Policy]	最適化ポリシーオプションを有効にします。
   [Session Reclassify Allow]	ポリシー変更時にトラフィックの再分類を許可します。
   [ICMP Unreachable Allow]	ICMP 到達不能パケットのパススルーを許可します。
   [Advanced Inspection Profile]	デバイスレベルでグローバル詳細検査プロファイル（AIP）をアタッチします。検査対象のトラフィックに一致するデバイス内のすべてのルールが、詳細な検査プロファイルを使用して検査されます。

4. [Advanced Inspection Profile] ドロップダウンリストからプロファイルを選択するか、[Create New] をクリックします。

   フィールド	説明
   [Profile Name]	プロファイル名。
   [Description]	プロファイルの説明です。
   [Select an Intrusion Prevention]	デバイスで許可される最大 TCP ハーフオープンセッションを指定します。
   [UDP Limit]	デバイスで許可される最大 UDP ハーフオープンセッションを指定します。
   [ICMP Limit]	デバイスで許可される最大 ICMP ハーフオープンセッションを指定します。
   [Audit Trail]	[Audit Trail] オプションを有効にします。このオプションは、検査アクションを持つルールにのみ適用されます。
   [Unified Logging]	統合ログ機能を有効にします。
   [Optimized Policy]	最適化ポリシーオプションを有効にします。
   [Session Reclassify Allow]	ポリシー変更時にトラフィックの再分類を許可します。
   [ICMP Unreachable Allow]	ICMP 到達不能パケットのパススルーを許可します。

5. [Select an Intrusion Prevention] ドロップダウンリストから侵入防御を選択するか、[Create New] をクリックします。

   フィールド	説明
   [Profile Name]	プロファイル名。名前は、最大 32 文字まで使用できます。
   [Signature Set]	署名セットを指定します。次のオプションがあります。 バランス 接続性 セキュリティ
   [Inspection Mode]	検査モードを指定します。次のオプションがあります。 検知 保護
   高度
   [Customer Signature Set]	新しいグローバルカスタム署名を追加するために、カスタマー署名セットを有効にします。[Add New Global Custom Signature] ウィンドウで、[Download From] でダウンロード元を次のオプションから選択します。 リモート サーバ（Remote Server） ローカル サーバ（非推奨）
   [Select an Signature Allow List]	許可署名リストを選択するか、[Create New] を選択して新しい IPS 署名リストを作成します。
   [Alert Log Level]	アラートログレベルを選択します。 エラー 緊急 アラート 深刻 警告 通知 情報 デバッグ

6. [Add] をクリックします。

7. [Select an Advanced Malware Protection] ドロップダウンリストから高度なマルウェア保護プロファイルを選択するか、[Create New] をクリックします。

   フィールド	説明
   [Profile Name]	プロファイル名。名前は、最大 32 文字まで使用できます。
   [Select AMP Cloud Region]	AMP クラウドリージョンを選択します。次のオプションがあります。 NAM EU APJC
   [Inspection Mode]	検査モードを指定します。次のオプションがあります。 検知 保護
   [Alert Log Level]	アラートログレベルを選択します。 深刻 警告 情報
   [File Analaysis]	ファイル分析を有効にします。
   [Select TG Cloud Region]	ドロップダウンリストからクラウドリージョンを選択します。次のオプションがあります。 NAM EU
   [Alert Log Level]	アラートログレベルを選択します。 深刻 警告 情報
   [Select one or more file types]	ドロップダウンリストから 1 つ以上のファイルタイプを選択します。 すべて（All） pdf [ms-exe] [new-office] rtf mdb [mscab] [msole2] [wri] [xlw] flv swf

8. [Add] をクリックします。

9. [URL Filter] ドロップダウンリストから URL フィルタを選択するか、[Create New] を選択して新しいフィルタを作成します。

   フィールド	説明
   [Profile Name]	プロファイル名。名前は、最大 32 文字まで使用できます。
   [Web Category]	ドロップダウンリストから Web カテゴリを選択します。次のオプションがあります。 ブロック（Block） 許可（Allow）
   [Select one or more web categories]	ドロップダウンリストから 1 つ以上の Web カテゴリを選択します。オプションは、[abortion]、[abused-drugs] などです。
   Web Reputation	ドロップダウンリストから Web レピュテーションを選択します。レピュテーションのオプションは、次のとおりです。 高リスク 不審 中リスク 低リスク 高信頼性
   高度
   [Select allow url list]	許可 URL リストを選択するか、[Create New] を選択して新しい許可 URL リストを作成します。
   [Select block url list]	ブロック URL リストを選択するか、[Create New] を選択して新しいブロック URL リストを作成します。
   [Block Page Server]	ドロップダウンリストからブロックページサーバーを選択します。次のオプションがあります。 [Block Page Content] [Redirect URL]：リダイレクト URL を指定します。
   [Alerts And Logs]	ドロップダウンリストから 1 つ以上のファイルタイプを選択します。 ブロックリスト 許可リスト レピュテーション/カテゴリ

10. [Add] をクリックします。

11. [TLS Action] を選択します。

    フィールド	説明
    [TLS Action]	ドロップダウンリストから Web カテゴリを選択します。次のオプションがあります。 復号（Decrypt） パススルー（Pass Through） [復号しない（Do not Decrypt）]
    [Select an TLS/SSL Decryption]	ドロップダウンリストから TLS/SSL 復号プロファイルを選択するか、[Create New] を選択して新しいプロファイルを作成します。

Cisco Umbrella 統合機能では、デバイスを介して DNS サーバーに送信されるドメインネームシステム（DNS）クエリを検証して、クラウドベースのセキュリティサービスを有効にすることができます。セキュリティ管理者は、完全修飾ドメイン名（FQDN）へのトラフィックを許可または拒否するポリシーを Cisco Umbrella ポータルに設定します。ルータは、ネットワークエッジの DNS フォワーダとして機能し、DNS トラフィックを透過的にキャッチして Cisco Umbrella クラウドに DNS クエリを転送します。

1. Cisco SD-WAN Manager のメニューから、[Configuration] > [Policy Groups] > [DNS Security]の順に選択します。

2. [Add DNS Security Policy] をクリックします。