Cisco Threat Intelligence Director（TID） の概要
Cisco Threat Intelligence Director（TID） は脅威インテリジェンス データを操作可能にし、インテリジェンス データの集約、防衛アクションの設定、環境内の脅威の分析を支援します。TID をホスティング プラットフォームにインストールして設定すると、脅威インテリジェンス ソースからデータが取り込まれ、設定されたすべての要素にそのデータが公開されます。このリリースでサポートされているホスティング プラットフォームと要素の詳細については、プラットフォームおよび要素の要件 を参照してください。
ソースには、オブザーバブルを含むインジケータが含まれています。インジケータは、脅威に関連するすべての特性を伝達し、個々のオブザーバブルは、その脅威に関連付けられた個々の特性（例えば、SHA-256 値）を表します。単純なインジケータには単一のオブザーバブルが含まれ、複合インジケータには 2 つ以上のオブザーバブルが含まれます。
オブザーバブルとそれらの間の AND/OR 演算子は、次の例に示すように、インジケータのパターンを形成します。
要素に公開した後、システムがトラフィック内のオブザーバブルを識別すると、TID はオブザベーションを生成します。また、TID はオブザーバブルの親インジケータに関連付けられたインシデントを更新します。
インシデントは、インジケータのパターンが満たされたときに完全に実現されます。詳細については、監視とインシデント生成を参照してください。
次の図に、サンプルの Firepower システム構成におけるデータ フローを示します。
TID およびセキュリティ インテリジェンス
アクセス コントロール ポリシーの一部として、セキュリティ インテリジェンスではレピュテーション インテリジェンスを使用して、IP アドレス、URL、およびドメインとの間の接続をすばやくブロックします。セキュリティ インテリジェンスは、Cisco Talos Security Intelligence and Research Group（Talos）からの業界をリードする脅威インテリジェンスへのアクセスを一意に提供します。セキュリティ インテリジェンスの詳細については、セキュリティ インテリジェンスについてを参照してください。
TID は、サードパーティのソースからのセキュリティ インテリジェンスに基づいて接続をブロックするシステムの機能を次のように拡張します。
-
TID は、追加のトラフィック フィルタリング基準をサポート：セキュリティ インテリジェンスは、IP アドレス、URL、および（DNS ポリシーが有効な場合は）ドメイン名に基づいてトラフィックをフィルタリングできるようにします。TID でも、これらの基準によるフィルタリングをサポートし、SHA-256 ハッシュ値に基づくフィルタリングのサポートを追加します。
-
TID は、追加のインテリジェンス取り込み方法をサポート：セキュリティ インテリジェンスおよび TID の両方を使用して、フラット ファイルを手動でアップロードするか、サードパーティ ホストからフラット ファイルを取得するようにシステムを構成することで、システムに脅威インテリジェンスをインポートできます。TID は、これらのフラット ファイルの管理における柔軟性を向上させます。また、TID は Structured Threat Information eXpression（STIX™）形式で提供されるインテリジェンスを取得して取り込むことができます。
-
TID は、フィルタリング処理のきめ細かい制御を提供：セキュリティ インテリジェンスにより、ネットワーク、URL、または DNS オブジェクトによるフィルタリング基準を指定できます。セキュリティ インテリジェンス オブジェクト（特にリストおよびフィード）には、複数の IP アドレス、URL、DNS ドメイン名を含めることができますが、ブラックリストまたはホワイトリストに含めることができるのは、オブジェクトの個別のコンポーネント単位ではなく、オブジェクト単位です。TID を使用すると、個別の基準（つまり簡易インジケータまたは個別のオブザーバブル）に対するフィルタリング処理を構成できます。
-
TID 構成の変更には再展開は不要：アクセス コントロール ポリシーでセキュリティ インテリジェンス設定を変更したら、管理対象デバイスに変更された構成を再展開する必要があります。TID では、管理対象デバイスへのアクセス コントロール ポリシーの初期展開後に、ソース、インジケータ、およびオブザーバブルを再展開せずに構成でき、システムによって新しい TID データが要素に自動的に公開されます。
 （注） |
アクセス コントロール ポリシーでセキュリティ インテリジェンスおよび TID の両方を有効にしている場合、システムではトラフィックをまずセキュリティ インテリジェンス基準でフィルタリングし、次に TID 基準でフィルタリングします。詳細については、TID-Firepower Management Center のアクションの優先順位付けを参照してください。 |
取り込みと運用可能化の方法
（注） |
TID の設定や操作中に問題が発生した場合は、TID の一般的な問題のトラブルシューティングを参照してください。 |
次の手順を実行します。
手順
| ステップ 1 |
TID で取り込むインテリジェンスのソースを設定します。詳細については、TID ソースを使用したフィード データの取り込みおよびソース要件を参照してください。 |
| ステップ 2 |
TID がインテリジェンス データを取り込みます。これにより、統合ビューにデータを集約して分析できるようになります。このビューから、要素を通過するトラフィックに含まれるインジケータやオブザーバブルが検出されたときのシステムのアクションを絞り込むことができます。 |
| ステップ 3 |
TID データを要素にパブリッシュするためのアクセス コントロール ポリシーを設定します。詳細については、アクセス制御を使用した TID データの公開とイベントの生成およびプラットフォームおよび要素の要件を参照してください。 |
| ステップ 4 |
TID は、データを要素にパブリッシュすることにより、データを運用可能にします。 |
| ステップ 5 |
要素はトラフィックをモニタリングし、 オブザベーションを Firepower Management Center にレポートします。 |
| ステップ 6 |
Firepower Management Center は、すべての要素からオブザベーションを収集し、TID インジケータと対比してオブザベーションを評価し、インシデントを適切に生成または更新します。 |
| ステップ 7 |
インシデント分析を実行します。詳細については、次を参照してください。 TID を使用したインシデントおよびオブザベーション データの分析 |
プラットフォームおよび要素の要件
TID は、次に示すホスティング プラットフォームと要素のタイプをサポートしています。
ホスティング プラットフォーム
次の物理および仮想 Firepower Management Center で TID をホスティングできます。
-
Firepower システムのバージョン 6.2.2 以降を実行している。
-
最小 15 GB のメモリで構成されている。
-
REST API アクセスが有効な状態で構成されている。
（注） |
ハイ アベイラビリティ構成のアクティブな Firepower Management Center で TID をホスティングする場合、システムは TID 構成と TID データをスタンバイ Firepower Management Center に同期しません。フェールオーバー後にデータを復元できるように、アクティブ Firepower Management Center で TID データの定期的なバックアップを実行することを推奨します。 |
詳細については、Firepower Management Center のアクセスとライセンスの要件およびFirepower Management Center および管理対象デバイスのパフォーマンスの影響を参照してください。
要素
デバイスが Firepower システムのバージョン 6.2.2 以降を実行している場合は、任意の Firepower Management Center 管理対象デバイスを TID 要素として使用できます。
Firepower Management Center のアクセスとライセンスの要件
アクセス（Access）
Firepower Management Center ユーザ アカウントを使用して、TID のメニューやページにアクセスすることができます。
-
[管理者（Admin）] または [Threat Intelligence Director ユーザ（Threat Intelligence Director User）] のユーザ ロールを持つアカウント。
-
[インテリジェンス（Intelligence）] 権限を含むカスタム ユーザ ロールを持つアカウント。
さらに、[管理者（Admin）]、[アクセス管理者（Access Admin）]、または [ネットワーク管理者（Network Admin）] のユーザ ロールを持つ Firepower Management Center ユーザ アカウントを使用して、アクセス コントロール ポリシーで TID を有効または無効にすることができます。
ユーザ アカウントの詳細については、Firepower システム ユーザ管理 を参照してください。
ライセンシング
Firepower システムでは、SHA-256 監視可能な公開のファイル ポリシーを設定する場合は、マルウェア ライセンス（クラシックまたはスマート）が必要です。
詳細については、アクセス制御を使用した TID データの公開とイベントの生成およびFirepower の機能ライセンスについてを参照してください。
Firepower Management Center および管理対象デバイスのパフォーマンスの影響
Firepower Management Center
いくつかのケースで、次のような場合があります。
-
特に大きな STIX ソースを取り込んている間にシステムのパフォーマンスがわずかに低下することがあり、取り込みが完了するまでに時間がかかることがあります。
-
新しいまたは変更された TID データを要素に公開するまでに、最大 15 分かかることがあります。
管理対象デバイス（Managed Device）
例外的なパフォーマンスの影響はありません。TID は、Firepower Management Center セキュリティ インテリジェンスの機能と同じようにパフォーマンスに影響します。
ソース要件
フィードは、TID でソースとして使用するには、次のタイプと配信要件を満たしている必要があります。
|
ソース タイプ（Source Type） |
要件 |
||
|---|---|---|---|
|
|
ファイルは、STIX バージョン 1.0、1.1、1.1.1、または 1.2 であり、STIX ドキュメントのガイドライン（http://stixproject.github.io/documentation/suggested-practices/）に準拠していなければなりません。 |
||
|
|
ファイルは、1 行に 1 つのオブザーバブル値を持つ ASCII テキスト ファイルでなければなりません。 TID では、以下はサポートされません。
|
|
配信方法 |
要件 |
|---|---|
|
|
ファイルは、最大で 500 MB をすることができます。 |
）をクリックします。
）が有効になっていることを確認します。詳細については、
）をクリックします。詳細については、
）をクリックします。詳細については、
）をクリックします。
）をクリックします。ソースが現在処理中の場合、このアイコンはグレー表示になります。ソースを削除すると、そのソースに関連付けられているすべてのインジケータも削除されます。関連付けられているオブザーバブルも削除される可能性があります。ただし、システム内に残っているインジケータに関連付けられたオブザーバブルは保持されます。
）：
）：
）：
）：
）されるか、完全に実現（ 
）されるかを指定するアイコン。
）を使用し、オブザーバブルをホワイトリストに入れます。詳細については、
）をクリックします。
）または
）を選択します。
）をクリックし、[適用（Apply）]
フィードバック