Firepower Management Center バージョン 6.0 コンフィギュレーション ガイド
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年12月14日
章のタイトル： セキュリティ、インターネット アクセス、および通信ポート
セキュリティ、インターネット アクセス、および通信ポート
以下のトピックでは、システム セキュリティ、インターネット アクセス、および通信ポートに関する情報を提供します。
セキュリティ、インターネット アクセス、および通信ポートについて
Firepower Management Center を保護するには、保護された内部ネットワークにインストールしてください。Firepower Management Center は必要なサービスとポートだけを使用するよう設定されますが、ファイアウォール外部からの攻撃がそこまで（または管理対象デバイスまで）決して到達できないようにする必要があります。
Firepower Management Center とその管理対象デバイスが同じネットワーク上に存在する場合は、デバイス上の管理インターフェイスを、Firepower Management Center と同じ保護された内部ネットワークに接続できます。これにより、Firepower Management Center からデバイスを安全に制御することができます。また、他のネットワーク上のデバイスからのトラフィックを Firepower Management Center で管理および分離できるように、複数の管理インターフェイスを設定することもできます。
アプライアンスの展開方法とは無関係に、アプライアンス間通信は暗号化されます。それでも、分散型サービス拒否（DDoS）や中間者攻撃などの手段でシステム アプライアンス間の通信が中断、ブロック、改ざんされないよう何らかの対策を講じる必要があります。
また、Firepower システムの機能によってはインターネット接続が必要となることにも注意してください。デフォルトでは、システム アプライアンスがインターネットに直接接続するように設定されます。加えて、システムで特定のポートを開いたままにしておく必要があります。その目的は基本的なアプライアンス間通信、セキュアなアプライアンス アクセス、および特定のシステム機能を正しく動作させるために必要なローカル/インターネット リソースへのアクセスを可能にすることです。
インターネット アクセス要件
デフォルトでは、システム アプライアンスはポート 443/tcp（HTTPS）および 80/tcp（HTTP）でインターネットに直接接続するよう設定されます。これらのポートは Firepower システムのすべてのアプライアンスでデフォルトで開かれています。ほとんどのシステム アプライアンスではプロキシ サーバの利用がサポートされている点に注意してください。プロキシ サーバは whois アクセスに使用できない点にも注意が必要です。
Firepower システム機能のインターネット アクセス要件
次の表に、Firepower システムの特定の機能におけるインターネット アクセス要件を示します。
通信ポートの要件
Firepower Management Center およびその管理対象デバイスは、（デフォルトでポート 8305/tcp を使用する）双方向 SSL 暗号化通信チャネルを使って通信します。基本的なプラットフォーム間通信用にこのポートを開いたままにする必要があります。他のオープン ポートの役割は次のとおりです。
一般に、機能関連のポートは、該当する機能を有効化または設定する時点まで、閉じたままになります。たとえば、Firepower Management Centerをユーザ エージェントに接続するまでは、エージェント通信ポート（3306/tcp）は閉じたままになります。別の例として、LOM を有効にするまでは、7000 および 8000 シリーズ デバイス上のポート 623/udp が閉じたままになります。
 注意 | 開いたポートを閉じると展開にどのような影響が及ぶか理解するまでは、開いたポートを閉じないでください。 |
たとえば、管理対象デバイスでポート 25/tcp（SMTP）アウトバウンドを閉じると、このデバイスが個々の侵入イベントに関する電子メール通知を送信できなくなります。別の例として、ポート 443/tcp（HTTPS）を閉じることにより物理管理対象デバイスの Web インターフェイスへのアクセスを無効にできますが、それと同時に、動的分析のためにデバイスから疑わしいマルウェア ファイルを AMP Threat Grid クラウドに送信できなくなります。
Firepower システムの機能と運用のためのデフォルト通信ポート
次の表は、Firepower システムの機能を最大限に活用できるように、各アプライアンス タイプで必要なオープン ポートを示しています。
|
|
|
|||
|
|
||||
|
|
|
|||
|
|
|
|||
|
Serial Over LAN（SOL）接続を使用して Lights-Out Management を実行できるようにします。 |
||||
|
Management Center 、 |
||||
フィードバック