インターフェイスごとに、またはグローバルに適用するアクセス ルールは、防御の最前線となります。エントリ時に、特定のタイプのトラフィック、または特定のホストあるいはネットワーク間のトラフィックをドロップできます。デフォルトでは、内部ネットワーク（高セキュリティ レベル）から外部ネットワーク（低セキュリティ レベル）へのトラフィックは、自由に流れることが ASA によって許可されます。

アクセス ルールは、内部から外部へのトラフィックを制限するため、または外部から内部へのトラフィックを許可するために使用できます。

基本的なアクセス ルールでは、送信元アドレスとポート、宛先アドレスとポート、およびプロトコルの「5タプル」を使用してトラフィックを制御します。アクセス ルール およびアクセス コントロール リスト を参照してください。

ルールをアイデンティティ アウェアにすることで、ルールを増やすことができます。これにより、ユーザ アイデンティティまたはグループ メンバーシップに基づいてルールを設定できます。アイデンティティ制御を実装するには、次のいずれかの組み合わせを実行します。

• AD エージェントとも呼ばれる Cisco Context Directory Agent（CDA）を別のサーバにインストールして、 Active Directory（AD）サーバにすでに定義されているユーザおよびグループ情報を収集します。次に、この情報を取得するように ASA を設定し、ユーザまたはグループ基準をアクセス ルールに追加します。アイデンティティ ファイアウォールを参照してください。

• Cisco Identity Services Engine（ISE）を別のサーバにインストールして、Cisco Trustsec を実装します。その後、セキュリティ グループ基準をアクセス ルールに追加できます。ASA および Cisco TrustSecを参照してください。

• ASA FirePOWER モジュールを ASA にインストールして、モジュールのアイデンティティ ポリシーを実装します。ASA FirePOWER のアイデンティティアウェアなアクセス ポリシーは、モジュールにリダイレクトするトラフィックに適用されます。「ASA FirePOWER モジュール」を参照してください。

Web ベース アプリケーションを広範に使用すると、大量のトラフィックが HTTP または HTTPS プロトコルで伝送されます。従来の 5 タプル アクセス ルールでは、すべての HTTP/HTTPS トラフィックを許可または拒否します。Web トラフィックをより細かく制御する必要がある場合があります。

モジュールを ASA にインストールしてアプリケーション フィルタリングを可能にし、使用されるアプリケーションに基づいて HTTP または他のトラフィックを選択的に許可することができます。したがって、HTTP を包括的に許可する必要はありません。トラフィック内部を監視し、ネットワークで受け入れられないアプリケーション（不適切なファイル共有など）を防止できます。アプリケーション フィルタリングのモジュールを追加する場合は、ASA で HTTP インスペクションを設定しないでください。

アプリケーション フィルタリングを実装するには、ASA FirePOWER モジュールを ASA にインストールし、ASA FirePOWER アクセス ルールでアプリケーション フィルタリング基準を使用します。これらのポリシーは、モジュールにリダイレクトするトラフィックに適用されます。「ASA FirePOWER モジュール」を参照してください。

URL フィルタリングは、宛先サイトの URL をベースにしたトラフィックを拒否または許可します。

URL フィルタリングの目的は、主に Web サイトへのアクセスを完全にブロックまたは許可することです。個々のページをターゲットにすることができますが、通常はホスト名（www.example.com など）または特定のタイプのサービスを提供するホスト名の一覧を定義する URL カテゴリ（ギャンブルなど）を指定します。

HTTP/HTTPS トラフィックに対して、URL フィルタリングとアプリケーション フィルタリングのどちらを使用するかを決定する際は、その Web サイトに送信するすべてのトラフィックに適用するポリシーを作成するかどうかを考慮に入れてください。このようにすべてのトラフィックを同じように処理する（トラフィックを拒否または許可する）場合は、URL フィルタリングを使用します。トラフィックをサイトでブロックするか、許可するかを選択する場合は、アプリケーション フィルタリングを使用します。

URL フィルタリングを実装するには、次のいずれかの手順を実行します。

• ASA FirePOWER モジュールを ASA にインストールし、ASA FirePOWER アクセス ルールで URL フィルタリング基準を使用します。これらのポリシーは、モジュールにリダイレクトするトラフィックに適用されます。ASA FirePOWER モジュールを参照してください。

• ScanCenter のフィルタリング ポリシーを設定するクラウド Web セキュリティ サービスに登録して、トラフィックをクラウド Web セキュリティ アカウントに送信するように ASA を設定します。ASA および Cisco クラウド Web セキュリティを参照してください

スキャニング、サービス妨害（DoS）、および他の攻撃から保護するために多くの手段を実装できます。ASA の数多くの機能は、接続制限を適用して異常な TCP パケットをドロップすることで、攻撃から保護するのに役立ちます。一部の機能は自動ですが、ほとんどの場合でデフォルトが適切である設定可能な機能もあれば、完全に任意で必要な場合に設定する必要がある機能もあります。

次に、ASA で使用可能な脅威からの保護サービスを示します。

• IP パケット フラグメンテーションの保護：ASA は、すべての ICMP エラー メッセージの完全リアセンブリ、および ASA を介してルーティングされる残りの IP フラグメントの仮想リアセンブリを実行し、セキュリティ チェックに失敗したフラグメントをドロップします。コンフィギュレーションは必要ありません。

• 接続制限、TCP 正規化、およびその他の接続関連機能：TCP と UDP の接続制限値とタイムアウト、TCP シーケンス番号のランダム化、TCP ステート バイパスなどの接続関連サービスを設定します。TCP 正規化は、正常に見えないパケットをドロップするように設計されています。接続設定を参照してください。

  たとえば、TCP と UDP の接続、および初期接続（信元と宛先の間で必要になるハンドシェイクを完了していない接続要求）を制限できます。接続と初期接続の数を制限することで、DoS 攻撃（サービス拒絶攻撃）から保護されます。ASA では、初期接続の制限を利用して TCP 代行受信を発生させます。代行受信によって、TCP SYN パケットを使用してインターフェイスをフラッディングする DoS 攻撃から内部システムを保護します。

• 脅威検出：攻撃を識別できるように統計情報の収集するために脅威検出を ASA に実装します。基本脅威検出はデフォルトでイネーブルになっていますが、高度な統計情報とスキャン脅威検出を実装できます。スキャン脅威であると特定されたホストを遮断できます。脅威の検出を参照してください。

• 次世代 IPS：ASA FirePOWER モジュールを ASA にインストールして、次世代 IPS の侵入ルールを ASA FirePOWER に実装します。これらのポリシーは、ASA FirePOWER にリダイレクトするトラフィックに適用されます。「ASA FirePOWER モジュール」を参照してください。

ネットワーク アドレス変換（NAT）の主な機能の 1 つは、プライベート IP ネットワークがインターネットに接続できるようにすることです。NAT は、プライベート IP アドレスをパブリック IP に置き換え、内部プライベート ネットワーク内のプライベート アドレスをパブリック インターネットで使用可能な正式の、ルーティング可能なアドレスに変換します。このようにして、NAT はパブリック アドレスを節約します。これは、ネットワーク全体に対して 1 つのパブリック アドレスだけを外部に最小限にアドバタイズすることができるからです。

NAT の他の機能には、次のおりです。

• セキュリティ：内部アドレスを隠蔽し、直接攻撃を防止します。

• IP ルーティング ソリューション：NAT を使用する際は、重複 IP アドレスが問題になりません。

• 柔軟性：外部で使用可能なパブリック アドレスに影響を与えずに、内部 IP アドレッシング スキームを変更できます。たとえば、インターネットにアクセス可能なサーバの場合、インターネット用に固定 IP アドレスを維持できますが、内部的にはサーバのアドレスを変更できます。

• IPv4 と IPv6（ルーテッド モードのみ）の間の変換：IPv4 ネットワークに IPv6 ネットワークを接続する場合は、NAT を使用すると、2 つのタイプのアドレス間で変換を行うことができます。

NAT は必須ではありません。特定のトラフィック セットに NAT を設定しない場合、そのトラフィックは変換されませんが、セキュリティ ポリシーはすべて通常どおりに適用されます。

次を参照してください。

• Network Address Translation（NAT）

• NAT の例と参照

インスペクション エンジンは、ユーザのデータ パケット内に IP アドレッシング情報を埋め込むサービスや、ダイナミックに割り当てられるポート上でセカンダリ チャネルを開くサービスに必要です。これらのプロトコルでは、必要なピンホールを開く、およびネットワーク アドレス変換（NAT）を適用するために ASA で詳細なパケット インスペクションを行う必要があります。

デフォルトの ASA ポリシーは、すでに DNS、FTP、SIP、ESMTP、TFTP などの数多くの一般的なプロトコルのインスペクションをグローバルに適用しています。デフォルトのインスペクションでネットワークに必要なすべてが揃うことがあります。

ただし、他のプロトコルのインスペクションをイネーブルにしたり、インスペクションを微調整したりする必要がある場合があります。多くのインスペクションには、それらの内容に基づいてパケットを制御できる詳細なオプションがあります。プロトコルを十分に理解している場合には、そのトラフィックをきめ細かく制御できます。

サービス ポリシーを使用して、アプリケーション インスペクションを設定します。グローバル サービス ポリシーを設定するか、サービス ポリシーを各インターフェイスに適用するか、またはその両方を行うことができます。

次を参照してください。

• サービス ポリシー

• アプリケーション レイヤ プロトコル インスペクションの準備

• 基本インターネット プロトコルのインスペクション

• 音声とビデオのプロトコルのインスペクション

• モバイル ネットワークのインスペクション。