Cisco ASA with FirePOWER Services ローカル管理設定ガ イ ド 6.0

シスコ ASA FirePOWER モジュールの概要

---

シスコ ASA FirePOWER モジュール® は、Cisco ASA5506-X、ASA5506H-X、ASA5506W-X、ASA5508-X、ASA5512-X、ASA5515-X、ASA5516-X、ASA5525-X、ASA5545-X、ASA5555-X、ASA5585-X-SSP-10、ASA5585-X-SSP-20、ASA5585-X-SSP-40、ASA5585-X-SSP-60、および ISA3000 の各デバイスに展開できるモジュールです。モジュールは、ユーザの組織のセキュリティ ポリシー（ネットワークを保護するためのガイドライン）に準拠した方法でネットワーク トラフィックを処理するように設計されています。セキュリティ ポリシーにはアクセプタブル ユース ポリシー（AUP）も含まれていることがあります。AUP は、組織のシステムの使用方法に関するガイドラインを従業員に提供します。

このガイドでは、ASDM 経由でアクセス可能な、ASA FirePOWER モジュールの機能の Onbox 設定に関する情報を提供します。各章の説明、図、および手順では、ユーザ インターフェイスのナビゲート、システム パフォーマンスの最大化、問題のトラブルシューティングに役に立つ詳細な情報を記載しています。

（注） ASA FirePOWER モジュールをホストしている ASA でコマンドの権限を有効にする場合は、特権レベル 15 を持つユーザ名でログインして、ASA FirePOWER のホーム、設定、およびモニタリングのページを参照できるようにする必要があります。ステータス ページ以外の ASA FirePOWER のページに対する読み取り専用またはモニタ専用のアクセス権限は、サポートされていません。

続く各トピックでは、ASA FirePOWER モジュールの概要、主要なコンポーネント、およびこのマニュアルの使用方法について説明しています。

• ASA FirePOWER モジュールの概要
• ASA FirePOWER モジュール コンポーネント
• ライセンスの表記規則
• IP アドレスの表記規則

ASA FirePOWER モジュールの概要

ASA FirePOWER モジュールは、ネットワーク セグメントにインストールされている ASA デバイスで動作し、分析用のトラフィックをモニタします。

インラインで展開されたシステムは、 アクセス コントロール を使用してトラフィックのフローに影響を与えることができ、これによって、ネットワークを出入りしたり通過したりするトラフィックを処理する方法を詳細に指定できます。ネットワーク トラフィックについて収集したデータおよびそのデータから収集したすべての情報は、次に基づいてそのトラフィックのフィルタ処理や制御ができます。

• シンプルで容易に決定されるトランスポート層およびネットワーク層の特性（送信元と宛先、ポート、プロトコルなど）
• レピュテーション、リスク、ビジネスとの関連性、使用されたアプリケーション、または訪問した URL などの特性を含む、トラフィックに関する最新のコンテキスト情報
• 組織内の Microsoft Active Directory LDAP ユーザ

各タイプのトラフィックのインスペクションと制御は、最大限の柔軟性とパフォーマンスを引き出すために最も意味がある局面で実行されます。たとえば、レピュテーション ベースのブラックリスト登録は、単純な送信元と宛先のデータを使用するため、禁止されたトラフィックをプロセスの初期段階でブロックできます。その一方、侵入およびエクスプロイトの検出とブロックは、プロセスの最後の防衛ラインとして実行されます。

ASA FirePOWER モジュール コンポーネント

続く各トピックでは、組織のセキュリティ、適用可能な使用ポリシー、およびトラフィック管理の戦略に対して有用な、ASA FirePOWER モジュールの主な機能について説明します。

• アクセス コントロール
• 侵入検知および侵入防御
• 高度なマルウェア防御とファイル制御
• アプリケーション プログラミング インターフェイス

ライセンスの表記規則

項の先頭に記載されているライセンス文は、その項に記載されている機能を使用するのに必要なライセンスを示しています。具体的なライセンスは次のとおりです。

保護

保護 ライセンスでは、デバイスで侵入検知および侵入防御、ファイル制御、セキュリティ インテリジェンスのフィルタリングを実行することができます。

Control

Control ライセンスでは、デバイスでユーザおよびアプリケーションの制御を実行することができます。Control ライセンスには 保護 ライセンスが必要です。

URL フィルタリング（URL Filtering）

URL フィルタリング（URL Filtering）ライセンスでは、デバイスが定期的に更新されるクラウドベースのカテゴリおよびレピュテーション データを使用して、モニタ対象ホストが要求する URL に基づいて、ネットワークを通過できるトラフィックを決定できます。URL フィルタリング（URL Filtering） ライセンスには 保護 ライセンスが必要です。

マルウェア

マルウェア ライセンスでは、デバイスがネットワークベースの高度なマルウェア防御（AMP）を実行できます。つまり、ネットワーク上で転送されるファイルに含まれるマルウェアの検出、キャプチャ、およびブロックができます。また、ネットワーク上で転送されるファイルを追跡するトラジェクトリを表示することもできます。マルウェア ライセンスには 保護 ライセンスが必要です。

ライセンス付きの機能の多くは追加的であるため、このドキュメントでは、各機能で最も必要なライセンスについてのみ記載しています。たとえば、ある機能で 、保護 および Control のライセンスが必要な場合、Control のみが記載されています。ただし、追加的でないライセンスを機能が必要とする場合、マニュアルではそのライセンスをプラス（+）文字で示しています。

ライセンス文の「または」という語は、その項に記載されている機能を使用するには特定のライセンスが必要であるが、追加のライセンスで機能を追加できることを示しています。たとえば、あるファイル ポリシー内で、一部のファイル ルール アクションには 保護 ライセンスが必要であり、他のファイル ルール アクションには マルウェア ライセンスが必要であるとします。この場合、そのファイル ルールの説明のライセンス文には、「保護 または マルウェア」と示されます。

IP アドレスの表記規則

IPv4 Classless Inter-Domain Routing（CIDR）の表記、および IPv6 の類似のプレフィックス長の表記を使用して、ASA FirePOWER モジュールの多数の場所でアドレス ブロックを定義することができます。

CIDR 表記は、ネットワーク IP アドレスとビット マスクを組み合わせて使用し、指定されたアドレス ブロック内の IP アドレスを定義します。たとえば次の表に、プライベート IPv4 アドレス空間を CIDR 表記で示します。

同様に、IPv6 はネットワーク IP アドレスとプレフィックス長を組み合わせて使用し、指定されたブロック内の IP アドレスを定義します。たとえば 2001:db8::/32 は、プレフィックス長が 32 ビットの 2001:db8:: ネットワーク内の IPv6 アドレスを表します。つまり、2001:db8:: ～ 2001:db8:ffff:ffff:ffff:ffff:ffff:ffff を表します。

CIDR またはプレフィックス長の表記を使用して IP アドレスのブロックを指定する場合、ASA FirePOWER モジュール は、マスクまたはプレフィックス長で指定されたネットワーク IP アドレスの部分 のみ を使用します。たとえば、10.1.2.3/8 と入力した場合、ASA FirePOWER モジュール では 10.0.0.0/8 が使用されます。

つまり シスコ は、CIDR またはプレフィックス長の表記を使用する場合に、ビット境界上でネットワーク IP アドレスを使用する標準の方法を推奨していますが、ASA FirePOWER モジュール ではこれは必要ありません。