セキュリティ インテリジェンス ポリシーにより、送信元/宛先の IP アドレスまたは宛先 URL に基づいて、望ましくないトラフィックを早い段階でドロップできます。システムは、ブラックリストに登録されたこのトラフィックをアクセス コントロール ポリシーで評価する前にドロップすることにより、使用されるシステム リソースの量を減らします。

次に基づいてトラフィックをブラックリストに登録できます。

• Cisco Talos Intelligence Group（Talos） フィード：Talos定期的に更新されるセキュリティ インテリジェンス フィードへのアクセスを提供します。マルウェア、スパム、ボットネット、フィッシングなど、セキュリティに対する脅威を表すサイトは目まぐるしく現れては消えるため、カスタム設定を更新して導入するのでは最新の状況に追いつきません。システムはフィードの更新を定期的にダウンロードするため、設定を再導入する必要なく新しい脅威インテリジェンスを利用できます。

  （注）	Talos フィードはデフォルトで 1 時間ごとに更新されます。[デバイス（Device）] > [更新（Updates）] ページからは、更新頻度を変更するだけでなく、オンデマンドでフィードを更新することもできます。

• ネットワークおよび URL オブジェクト：ブロック対象の IP アドレスまたは URL が既知の場合は、それらのオブジェクトを作成し、それらをブラックリスト（またはホワイトリストとも呼ばれる例外リスト）に追加できます。ネットワークオブジェクトには、FQDN または範囲指定を使用できないことに注意してください。

IP アドレス（ネットワーク）と URL で別のブラックリストを作成します。

（注）	HTTP/HTTPS 要求の宛先が、ホスト名ではなく IP アドレスを使用する URL である場合は、ネットワーク アドレス リストにある IP アドレスの評価が検索されます。ネットワークおよび URL リストで IP アドレスを重複させる必要はありません。

セキュリティ インテリジェンスを使用するには、脅威ライセンスを有効にする必要があります。オプション ライセンスの有効化と無効化を参照してください。

セキュリティ インテリジェンス ポリシーのログ記録を有効にすると、システムはブラックリストに追加された接続ごとにセキュリティ インテリジェンス イベントを生成します。これらの接続に一致する接続イベントがあります。

ブラックリストに追加されたドロップされた接続の統計情報は、[モニタリング（Monitoring）] ページの、使用可能なさまざまなダッシュボードに表示されます。

[モニタリング（Monitoring）] > [アクセスおよびSIルール（Access and SI Rules）] ダッシュボードに、トラフィックと一致する、上位のアクセス ルールとセキュリティ インテリジェンスに相当するルールが表示されます。

さらに、[モニタリング（Monitoring）] > [イベント（Events）]、次に [セキュリティインテリジェンス（Security Intelligence）] を選択して、セキュリティ インテリジェンス イベントと、関連する接続イベントを [接続（Connection）] タブに表示できます。

• イベントの [SIカテゴリID（SI Category ID）] フィールドは、ネットワークまたは URL オブジェクトあるいはフィードなど、ブラックリストに一致するオブジェクトを示します。

• 接続イベントの [理由（Reason）] フィールドは、イベントに表示されたアクションが適用された理由について説明します。たとえば、ブロック アクションは、IP ブロックまたは URL ブロックなどの理由と組み合わされて、接続がブラックリストに追加され、セキュリティ インテリジェンスによってドロップされたことを示します。

使用例の章には、セキュリティ インテリジェンス ポリシーの実装例が含まれています。脅威をブロックする方法を参照してください。