新機能
FMC バージョン 7.0 の新機能
新しい FMC で古いデバイスを管理できますが、常に環境全体を更新することを推奨します。 新しいトラフィック処理機能では、FMC とデバイスの両方で最新のリリースが前提条件となります。 デバイスが明らかに関与していない機能(Web インターフェイスの外観の変更、クラウド統合)では、FMC の最新バージョンのみを必須条件としているにもかかわらず、それが保証されない場合があります。新機能の説明では、バージョンの要件が標準で想定される条件から逸脱している場合は明示しています。
機能 |
説明 |
---|---|
クラウド提供型の管理センターの FTD サポート |
バージョン 7.0.3 FTD デバイスは、2022 年春に導入されたクラウド提供型の管理センターによる管理をサポートします。このクラウド提供型の管理センターは、Cisco Defense Orchestrator(CDO)プラットフォームを使用して、複数の Cisco セキュリティソリューションの管理を統合します。機能の更新はシスコが行います。 次の場合は、クラウド提供型の管理センターでバージョン 7.0.3 FTD を使用する必要があります。
この状況に当てはまる場合は、次のことを実行してください。
クラウド提供型の管理センターは、バージョン 7.1 を実行している脅威防御デバイス、または任意のバージョンを実行している従来のデバイスを管理できません。クラウド管理を登録解除して無効にしない限り、クラウド提供型の管理センターに登録されている脅威防御デバイスをバージョン 7.0.x からバージョン 7.1 にアップグレードすることはできません。バージョン 7.2 以降に直接アップグレードすることをお勧めします。 新規/変更された CLI コマンド:configure manager add 、configure manager delete 、configure manager edit 、show managers 詳細については、Cisco Defense Orchestrator のクラウド提供型 Firewall Management Center による Firewall Threat Defense の管理を参照してください。 |
機能 |
説明 |
|||||||||||||||||||||||||||||
---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
ダイナミックオブジェクト名でダッシュ文字を使用できるようになりました。 |
ダイナミックオブジェクト名でダッシュ文字を使用できるようになりました。これは、ACI エンドポイント更新アプリ(ダッシュ文字が許可されている)を使用して、テナントのエンドポイントグループを表すダイナミックオブジェクトを FMC で作成する場合に特に便利です。
|
|||||||||||||||||||||||||||||
SecureX との統合、SecureX とのオーケストレーションの改善 |
SecureX との統合プロセスが合理化されました。すでに SecureX アカウントを持っている場合は、新しい [統合(Integration)] > [SecureX] ページで該当するクラウドリージョンを選択し、[SecureXの有効化(Enable SecureX)] をクリックして、SecureX に対して認証するだけです。イベントをクラウドに送信するオプション、および Cisco Success Network と Cisco Support Diagnostics を有効にするオプションも、この新しいページに移動されました。 この新しいページで SecureX との統合を有効にすると、システムのクラウド接続のライセンス管理が Cisco Smart Licensing から SecureX に切り替わります。SecureX を「従来の」方法ですでに有効にしている場合、このクラウド接続管理による利点を得るには、無効にしてから再度有効にする必要があります。 Web インターフェースで示されていない場合でも、このページでは対象のクラウドリージョンや、シスコのセキュリティ分析とロギング(SaaS) を使用して Secure Network Analytics(Stealthwatch)クラウドに送信するイベントタイプも管理することを覚えておいてください。以前のバージョンでは、このオプションは、システム( FMC は SecureX オーケストレーションもサポートするようになりました。これは、セキュリティツール全体のワークフローを自動化するために使用できる強力なドラッグアンドドロップ インターフェイスです。SecureX を有効にすると、オーケストレーションを有効にできます。
|
|||||||||||||||||||||||||||||
Web インターフェイスの変更:SecureX、脅威インテリジェンス、およびその他の統合。 |
以下の FMC メニューオプションが変更されました。
|
機能 |
説明 |
||
---|---|---|---|
Snort 3 の rate_filter インスペクタ。 |
Snort 3 rate_filter インスペクタが導入されました。 これにより、ルールに対する過剰な一致に対応して侵入ルールのアクションを変更できます。レートベースの攻撃を特定の期間ブロックし、イベントの生成中でも一致するトラフィックを許可するように戻すことができます。詳細については、『Snort 3 Inspector Reference』を参照してください。
新規/変更されたページ:カスタムネットワーク分析ポリシーの Snort 3 バージョンを編集して、インスペクタを設定します。 サポートされるプラットフォーム:FTD |
||
ASA FirePOWER サービスを使用する ISA 3000 の新しいデフォルトパスワード |
新しいデバイスの場合、admin アカウントのデフォルトパスワードは Adm!n123 になりました。以前は、デフォルトの admin パスワードは Admin123 でした。 バージョン 7.0.1 以降にアップグレードまたは再イメージ化しても、パスワードは変更されません。ただし、すべてのユーザアカウント(特に管理者アクセス権を持つユーザアカウント)に強力なパスワードを設定することを推奨します。 サポートされるプラットフォーム:ASA FirePOWER サービスを使用する ISA 3000 |
機能 |
説明 |
||||
---|---|---|---|---|---|
プラットフォーム |
|||||
FTDv パフォーマンス階層型のスマートライセンス。 |
アップグレードの影響。 FTDv は、スループット要件と RA VPN セッションの制限に基づいて、パフォーマンス階層型のスマート ソフトウェア ライセンスをサポートするようになりました。オプションは、FTDv5(100 Mbps/50 セッション)から FTDv100(16 Gbps/10,000 セッション)までです。 新しいデバイスを追加する前に、お使いのアカウントに必要なライセンスが含まれていることを確認してください。追加のライセンスを購入するには、シスコの担当者またはパートナーの担当者にお問い合わせください。 FTDv をバージョン 7.0 にアップグレードすると、デバイスが自動的に FTDv50 階層に割り当てられます。レガシー(非階層型)ライセンスを引き続き使用するには、アップグレード後に階層を [変数(Variable)] に変更します。 サポートされているインスタンス、スループット、およびその他のホスティング要件の詳細については、該当するスタートアップガイドを参照してください。新規/変更されたページ:
|
||||
高可用性/拡張性 |
|||||
クラスタリング用の PAT ポートブロック割り当ての改善 |
PAT ポートブロック割り当ての改善により、制御ユニットはノードに参加するためにポートを確保し、未使用のポートを積極的に再利用できるようになります。割り当てを最適化するには、FlexConfig を使用して cluster-member-limit コマンドを実行して、予定しているクラスタ内の最大ノード数を設定します。これにより、制御ユニットは計画されたノード数にポートブロックを割り当てることができ、使用する予定のない追加のノード用にポートを予約する必要がなくなります。デフォルトは 16 ノードです。また、syslog 747046 を監視して、新しいノードに使用できるポートが十分にあることを確認することもできます。 新規/変更されたコマンド:cluster-member-limit (FlexConfig)、show nat pool cluster [summary] 、show nat pool ip detail サポートされるプラットフォーム:Firepower 4100/9300 |
||||
FTD CLI show cluster history の改善。 |
新しいキーワードを指定すると、show cluster history コマンドの出力をカスタマイズできます。 新規/変更されたコマンド:show cluster history [brief ] [latest ] [reverse ] [time ] サポートされるプラットフォーム:Firepower 4100/9300 |
||||
クラスタから永久に削除するための FTD CLI コマンド。 |
FTD CLI を使用して、ユニットをクラスタから完全に削除し、その設定をスタンドアロンデバイスに変換できるようになりました。 新規/変更されたコマンド: cluster reset-interface-mode サポートされるプラットフォーム:Firepower 4100/9300 |
||||
NAT |
|||||
優先順位付けされたシステム定義の NAT ルール。 |
新しいセクション 0 が NAT ルールテーブルに追加されました。このセクションは、システムの使用に限定されます。システムが正常に機能するために必要なすべての NAT ルールがこのセクションに追加され、これらのルールは作成したルールよりも優先されます。以前は、システム定義のルールがセクション 1 に追加され、ユーザー定義のルールがシステムの適切な機能を妨げる可能性がありました。 セクション 0 のルールを追加、編集、または削除することはできませんが、show nat detail コマンド出力に表示されます。 サポートされるプラットフォーム:FTD |
||||
仮想ルーティング |
|||||
ISA 3000 の仮想ルータサポート。 |
ISA 3000 デバイスには最大 10 台の仮想ルータを設定できるようになりました。 サポートされるプラットフォーム:ISA 3000 |
||||
サイト間 VPN |
|||||
ルートベースのサイト間 VPN 向けバックアップ用仮想トンネルインターフェイス(VTI)。 |
仮想トンネルインターフェイスを使用するサイト間 VPN を設定する場合、トンネルのバックアップ VTI を選択できます。 バックアップ VTI を指定すると復元力が得られるため、プライマリ接続がダウンした場合でもバックアップ接続は継続して機能します。たとえば、プライマリ VTI をあるサービスプロバイダーのエンドポイントに接続し、バックアップ VTI を別のサービスプロバイダーのエンドポイントに接続できます。 新規/変更されたページ:ポイントツーポイント接続の VPN タイプとして [ルートベース(Route-Based)] を選択した場合に、サイト間 VPN ウィザードにバックアップ VTI を追加する機能が追加されました。 サポートされるプラットフォーム:FTD |
||||
Remote Access VPN |
|||||
ロード バランシング。 |
RA VPN ロードバランシングがサポートされるようになりました。システムは、セッション数によってグループ化されたデバイス間でセッションを分散します。トラフィック量やその他の要因は考慮されません。 新規/変更された画面:RA VPN ポリシーの [詳細設定(Advanced Settings)] にロード バランシング オプションが追加されました。 サポートされるプラットフォーム:FTD |
||||
ローカル認証。 |
RA VPN ユーザーのローカル認証がサポートされるようになりました。これは、プライマリまたはセカンダリ認証方式として、または設定されたリモートサーバーに到達できない場合のフォールバックとして使用できます。
サポートされるプラットフォーム:FTD |
||||
ダイナミック アクセス ポリシー。 |
新しいダイナミック アクセス ポリシーを使用すると、変化する環境に自動的に適応するリモートアクセス VPN 認証を設定できます。
サポートされるプラットフォーム:FTD |
||||
マルチ証明書認証。 |
リモートアクセス VPN ユーザのマルチ証明書認証をサポートするようになりました。SSL または IKEv2 EAP フェーズで AnyConnect クライアントを使用して VPN アクセスを許可するためにユーザの ID 証明書を認証することに加えて、マシンまたはデバイス証明書を検証して、デバイスが会社支給のデバイスであることを確認できます。 サポートされるプラットフォーム:FTD |
||||
AnyConnect カスタム属性。 |
AnyConnect カスタム属性をサポートし、AnyConnect クライアント機能を設定するためのインフラストラクチャを、これらの機能の明示的なサポートをシステムに追加することなく、提供するようになりました。 サポートされるプラットフォーム:FTD |
||||
アクセス制御 |
|||||
FTD 用 Snort 3。 |
新規に FTD を展開する場合、Snort 3 がデフォルトの検査エンジンになります。アップグレードされた展開では引き続き Snort 2 が使用されますが、いつでも切り替えることができます。 Snort 3 を使用する利点は次のとおりですが、これに限定されません。
Snort 3 侵入ルールの更新は、SRU ではなく LSP(Lightweight Security Package)と呼ばれます。Snort 2 には引き続き SRU が使用されます。シスコからのダウンロードには、最新の LSP と SRU の両方が含まれており、設定に適したルールセットが自動的に使用されます。 FMC は、Snort 2 と Snort 3 の両方のデバイスでの展開を管理でき、各デバイスに正しいポリシーを適用します。ただし、Snort 2 とは異なり、FMC のみをアップグレードしてから展開することで、デバイス上の Snort 3 を更新することはできません。Snort 3 では、新しい機能と解決済みのバグにより、FMC 上のソフトウェアとその管理対象デバイスをアップグレードする必要があります。各ソフトウェアバージョンに含まれている Snort の詳細については、Cisco Firepower Compatibility Guideのバンドルされたコンポーネントのセクションを参照してください。
Snort 3 の Webサイト(https://snort.org/snort3)にもアクセスできます。https://snort.org/snort3 サポートされるプラットフォーム:FTD |
||||
ダイナミックオブジェクト。 |
ダイナミックオブジェクトは、アクセスコントロールルールで使用できます。 ダイナミックオブジェクトは、単に IP アドレスまたはサブネットのリストです(範囲なし、FQDN なし)。ただし、ネットワークオブジェクトとは異なり、ダイナミックオブジェクトへの変更はすぐに有効になり、再展開する必要はありません。これは、IP アドレスがワークロードリソースに動的にマッピングされる仮想環境やクラウド環境で役立ちます。 ダイナミックオブジェクトを作成および管理するには、Cisco Secure 動的属性コネクタを使用することをお勧めします。コネクタは、ワークロードの変更に基づいてファイアウォールポリシーを迅速かつシームレスに更新する別個の軽量アプリケーションです。そのためには、環境内のタグ付きリソースからワークロード属性を取得し、指定した基準に基づいて IP リストをコンパイルします(「動的属性フィルタ」)。次に、FMC でダイナミックオブジェクトを作成し、IP リストを入力します。ワークロードが変更されると、コネクタによってダイナミックオブジェクトが更新され、新しいマッピングに基づいてすぐにトラフィックの処理が開始されます。詳細については、Cisco Secure 動的属性コネクタ コンフィギュレーション ガイドを参照してください。 作成したダイナミックオブジェクトは、アクセス コントロール ルール エディタの新しい [動的属性(Dynamic Attributes)] タブでアクセスコントロールルールに追加できます。このタブは、フォーカスの狭い [SGT/ISE 属性(SGT/ISE Attributes)] タブに代わるものです。ここで、SGT 属性を使用したルールの設定を続行します。
サポート対象プラットフォーム:FMC Cisco Secure Dynamic Attributes Connector の統合でサポートされる仮想/クラウドワークロード:Microsoft Azure、AWS、VMware |
||||
Active Directory ドメインのクロスドメイン信頼。 |
Microsoft Active Directory フォレスト(相互に信頼する AD ドメインのグループ)のユーザーを使用してユーザー アイデンティティ ルールを設定できるようになりました。 新規/変更されたページ:
サポート対象プラットフォーム:FMC |
||||
DNS フィルタリング。 |
バージョン 6.7 でベータ機能として導入された DNS フィルタリングは、完全にサポートされるようになり、新しいアクセス コントロール ポリシーではデフォルトで有効になっています。 サポートされるプラットフォーム:すべて |
||||
イベントロギングおよび分析 |
|||||
Secure Network Analytics オンプレミス展開でのイベント保存プロセスの改善。 |
新しい シスコのセキュリティ分析とロギング(オンプレミス) アプリと新しい FMC ウィザードにより、オンプレミス Secure Network Analytics ソリューションのリモートデータストレージをより簡単に設定できます。
syslog を使用して Firepower イベントを Stealthwatch に送信するアップグレードされた展開では、ウィザードを使用する前にこれらの設定を無効にします。そうしないと、二重にイベントが発生します。Stealthwatch への syslog 接続を削除するには、FTDプラットフォーム設定を使用します([デバイス(Devices)] > [プラットフォーム設定(Platform Settings)])。 syslog へのイベント送信を無効にするには、アクセス制御ルールを編集します。 Stealthwatch のハードウェア要件およびソフトウェア要件を含む詳細については、オンプレミスにおけるシスコのセキュリティ分析とロギング:Firepower イベント統合ガイド を参照してください。 サポート対象プラットフォーム:FMC |
||||
Secure Network Analytics オンプレミス展開でリモートに保存されたイベントを操作する。 |
FMC を使用して、Secure Network Analytics オンプレミス展開でリモートに保存された接続イベントを操作できるようになりました。 接続イベントページ([分析(Analysis)] > [接続(Connections)] > [イベント(Events)])と統合イベントビューア([分析(Analysis)] > [統合イベント(Unified Events)])の新しいデータソースオプションを使用して、処理する接続イベントを選択できます。デフォルトでは、時間範囲に何も存在しない場合、ローカルに保存された接続イベントが表示されます。その場合、システムはリモートに保存されたイベントを表示します。 また、リモートで保存された接続イベントに基づいてレポートを生成できるように、レポートテンプレートにデータソースオプションが追加されました([概要(Overview)] > [レポート(Reporting)] > [レポートテンプレート(Report Templates)])。
サポートされるプラットフォーム:FMC。 |
||||
すべての接続イベントを Secure Network Analytics クラウドに保存する。 |
Cisco Security Analytics and Logging(SaaS)を使用して、すべての接続イベントを Stealthwatch クラウドに保存できるようになりました。以前は、セキュリティ インテリジェンス、侵入、ファイル、およびマルウェアのイベント、およびそれらに関連する接続イベントに限定されていました。 クラウドに送信するイベントを変更するには、[システム(System)] > [統合(Integration)] を選択します。[クラウドサービス(Cloud Services)] タブで、[シスコクラウドイベントの設定(Cisco Cloud Event Configuration)] を編集します。優先順位の高い接続イベントをクラウドに送信する古いオプションは、[すべて(All)]、[なし(None)]、または [セキュリティイベント(Security Events)] の選択肢に置き換えられました。
サポート対象プラットフォーム:FMC |
||||
統合イベントビューア。 |
統合イベントビューア([分析(Analysis)] > [統合イベント(Unified Events)])では、1 つのテーブルで接続、セキュリティ インテリジェンス、侵入、ファイル、およびマルウェアの各イベントが表示されます。これは、異なるタイプのイベント間の関係を調べるのに役立ちます。 単一の検索フィールドを使用すると、複数の条件に基づいてビューを動的にフィルタリングできます。また、[本番稼働(Go Live)] オプションでは、管理対象デバイスから受信したイベントがリアルタイムで表示されます。 サポート対象プラットフォーム:FMC |
||||
SecureX のリボン。 |
FMC 上の SecureX のリボンは SecureX にピボットされ、シスコのセキュリティ製品全体の脅威の状況を即座に確認できます。 SecureX に接続してリボンを有効にするには、[分析(Analysis)] > [SecureX] を使用します。クラウドリージョンを選択し、SecureX に送信するイベントを指定するには、引き続き [システム(System)] > [統合(Integration)] > [クラウドサービス(Cloud Services)] を使用する必要があります。 詳細については、Cisco Secure Firewall Threat Defense および SecureX 統合ガイドを参照してください。 サポート対象プラットフォーム:FMC |
||||
ローカルストレージをオフにすると、すべての接続イベントのレート制限が免除されます。 |
イベントレート制限は、FMC に送信されるすべてのイベントに適用されます。ただし、セキュリティイベント(セキュリティ インテリジェンス、侵入、ファイル、マルウェアのイベント、およびそれらに関連する接続イベント)は例外です。 ローカル接続イベントストレージを無効にすると、セキュリティイベントだけでなく、すべての接続イベントがレート制限から除外されるようになりました。これを行うには、[システム(System)] > [設定(Configuration)] > [データベース(Database)] ページで [最大接続イベント数(Maximum Connection Events)] を 0 に設定します。
ローカルイベントストレージを無効にしても、リモートイベントストレージには影響せず、接続の概要や相関にも影響しないことに注意してください。システムは、引き続き、トラフィックプロファイル、相関ポリシー、ダッシュボード表示などの機能に接続イベント情報を使用します。 サポート対象プラットフォーム:FMC |
||||
ファイルおよびマルウェアイベントテーブルに一緒に表示されるポートとプロトコル。 |
ファイルおよびマルウェアイベントテーブルでは、[ポート(Port)] フィールドにプロトコルが表示されるようになり、[ポート(Port)] フィールドでプロトコルを検索できます。アップグレード前に存在したイベントの場合、プロトコルが不明な場合は「TCP」が使用されます。 新規/変更されたページ:
サポートされるプラットフォーム:FMC |
||||
のアップグレード |
|||||
FTD のアップグレード パフォーマンスとステータスレポートの改善。 |
FTD のアップグレードがより簡単かつ確実に、より少ないディスク容量で実行できるようになりました。メッセージセンターの新しい [アップグレード(Upgrades)] タブでは、アップグレードステータスとエラーレポートがさらに強化されています。 サポートされるプラットフォーム:FTD |
||||
FTD の [アップグレード(Upgrade)] ウィザード。 |
FMC の新しいデバイス アップグレード ページ([デバイス(Devices)] > [アップグレード(Upgrade)])には、バージョン 6.4 以降の FTD デバイスをアップグレードするためのわかりやすいウィザードがあります。アップグレードするデバイスの選択、アップグレードパッケージのデバイスへのコピー、互換性と準備状況の確認など、アップグレード前の重要な段階を順を追って説明します。 開始するには、[デバイス管理(Device Management)] ページ([デバイス(Devices)] > [デバイス管理(Device Management)] > [アクションの選択(Select Action)])で新しい [Firepower ソフトウェアのアップグレード(Upgrade Firepower Software)] アクションを使用します。 続行すると、選択したデバイスに関する基本情報と、現在のアップグレード関連のステータスが表示されます。表示内容には、アップグレードできない理由が含まれます。あるデバイスがウィザードの 1 つの段階に「合格」しない場合、そのデバイスは次の段階には表示されません。 ウィザードから移動しても、進行状況は保持されます。ただし、管理者アクセス権を持つ他のユーザーはウィザードをリセット、変更、または続行できます。
サポートされるプラットフォーム:FTD |
||||
多くの FTD デバイスを一度にアップグレードします。 |
FTD アップグレードウィザードでは、次の制限が解除されます。
サポートされるプラットフォーム:FTD |
||||
管理とトラブルシューティング |
|||||
SD カードを使用した ISA 3000 でのゼロタッチ復元。 |
ローカルバックアップを実行すると、バックアップファイルが SD カードにコピーされます(カードがある場合)。交換用デバイスの設定を復元するには、新しいデバイスに SD カードを取り付け、デバイスの起動中に [リセット(Reset)] ボタンを 3 〜 15 秒間押します。 サポートされるプラットフォーム:ISA 3000 |
||||
RA およびサイト間 VPN ポリシーを選択的に展開する。 |
バージョン 6.6 で導入された選択的ポリシーの展開では、リモートアクセスとサイト間 VPN ポリシーがサポートされるようになりました。 新規/変更されたページ:[展開(Deploy)] > [展開(Deployment)] ページに VPN ポリシーオプションが追加されました。 サポートされるプラットフォーム:FTD |
||||
新しいヘルス モジュール。 |
次の正常性モジュールが追加されました。
さらに、バージョン 6.6.3 で [アプライアンス設定のリソース使用率(Appliance Configuration Resource Utilization)] モジュールとして導入された [構成メモリ割り当て(Configuration Memory Allocation)] モジュールは、バージョン 6.7 では完全にはサポートされていませんでしたが、完全にサポートされます。 サポートされるプラットフォーム:FMC |
||||
セキュリティと強化 |
|||||
AWS 導入用の新しいデフォルトパスワード。 |
初期展開時にユーザーデータ( [高度な詳細(Advanced Details)] > [ユーザーデータ(User Data)] )を使用してデフォルトパスワードを定義していなければ、admin アカウントのデフォルトパスワードは AWS のインスタンス ID です。 以前は、デフォルトの admin パスワードは Admin123 でした。 サポートされているプラットフォーム:FMCv for AWS、FTDv for AWS |
||||
証明書の登録用の EST。 |
証明書の登録用の Enrollment over Secure Transport のサポートが提供されました。 新規/変更されたページ:[オブジェクト(Objects)] > [PKI] > [証明書の登録(Cert Enrollment)] > [CA情報(CA Information)] タブ設定時の新しい登録オプション。 サポート対象プラットフォーム:FMC |
||||
EdDSA 証明書タイプのサポート。 |
新しい証明書キータイプ:EdDSA(キーサイズ 256)が追加されました。 新規/変更されたページ:[オブジェクト(Objects)] > [PKI] > [証明書の登録(Cert Enrollment)] > [キー(Key)] タブの設定時の新しい証明書キーオプション。 サポート対象プラットフォーム:FMC |
||||
NTP サーバーの AES-128 CMAC 認証。 |
AES-128 CMAC キーを使用して、FMC と NTP サーバー間の接続を保護できるようになりました。 新規/変更されたページ:。 サポートされるプラットフォーム:FMC |
||||
SNMPv3 ユーザーは、SHA-224 または SHA-384 認証アルゴリズムを使用して認証できます。 |
SNMPv3 ユーザーは、SHA-224 または SHA-384 アルゴリズムを使用して認証できるようになりました。 新規/変更されたページ:[デバイス(Devices)] > [プラットフォーム設定(Platform Settings)] > [SNMP] > [ユーザー(Users)] > [認証アルゴリズムタイプ(Auth Algorithm Type)] サポートされるプラットフォーム:FTD |
||||
ユーザビリティとパフォーマンス |
|||||
ポリシーとオブジェクトのグローバル検索。 |
特定のポリシーを名前で検索し、特定のオブジェクトを名前と設定値で検索できるようになりました。この機能は、クラシックテーマでは使用できません。 新規/変更されたページ:[展開(Deploy)] メニューの左側にある [FMC] メニューバーに [検索(Search)] アイコンとフィールドの機能が追加されました。 サポート対象プラットフォーム:FMC |
||||
Intel QuickAssist Technology(QAT)を使用した FTDv でのハードウェア暗号化アクセラレーション。 |
VMware の FTDv および KVM の FTDv でハードウェア暗号化アクセラレーション(CBC 暗号のみ)がサポートされるようになりました。この機能を使用するには、ホスティング プラットフォームに Intel QAT 8970 PCI アダプタ/バージョン 1.7 以降のドライバが必要です。リブートすると、ハードウェア暗号化アクセラレーションが自動的に有効になります。 サポートされるプラットフォーム:VMware の FTDv、KVM の FTDv |
||||
多対 1 および 1 対多接続の CPU 使用率とパフォーマンスが向上しました。 |
ダイナミック NAT / PAT およびスキャン脅威検出とホスト統計情報を含む接続を除き、システムは接続の作成時に、ローカルホストオブジェクトを作成せず、ロックすることもなくなりました。これにより、多数の接続を同じサーバー(ロードバランサや Web サーバーなど)に対して確立する場合や、1 つのエンドポイントが多数のリモートホストに接続する場合に、パフォーマンスと CPU 使用率が向上します。 次のコマンドが変更されました:clear local-host (廃止)、 show local-host サポートされるプラットフォーム:FTD |
||||
FMC REST API:新しいサービスと操作 新機能と既存の機能をサポートするために、次の FMC REST API サービス/操作が追加されました。詳細については、Firepower Management Center REST API バージョン 7.0 クイックスタートガイド [英語] を参照してください。 |
|||||
デバイス |
alerts:GET |
||||
統合 |
fmchastatuses:GET securexconfigs:GET および PUT |
||||
オブジェクト |
anyconnectcustomattributes、anyconnectpackages、anyconnectprofiles:GET anyconnectcustomattributes/overrides:GET applicationfilters:PUT、POST、および DELETE certificatemaps:GET dnsservergroups:GET dnsservergroups/overrides:GET dynamicobjectmappings:POST dynamicobjects:GET、PUT、POST、および DELETE dynamicobjects/mappings:GET および PUT geolocations:PUT、 POST、および DELETE grouppolicies:GET hostscanpackages:GET intrusionrules、intrusionrulegroups:GET、PUT、POST、および DELETE intrusionrulesupload:POST ipv4addresspools、ipv6addresspools:GET ipv4addresspools/overrides、ipv6addresspools/overrides:GET localrealmusers:GET、PUT、POST、DELETE radiusservergroups:GET realms:PUT、POST、および DELETE sidnsfeeds、sidnslists、sinetworkfeeds、sinetworklists:GET sinkholes:GET ssoservers:GET ssoservers/overrides:GET usage:GET |
||||
ポリシー |
accesspolicies/securityintelligencepolicies:GET dnspolicies:GET dnspolicies/allowdnsrules、dnspolicies/blockdnsrules:GETdynamicaccesspolicies:GET、PUT、POST、および DELETE identitypolicies:GET intrusionpolicies:PUT、POST、および DELETE intrusionpolicies/intrusionrulegroups、intrusionpolicies/intrusionrules:GET および PUT networkanalysispolicies:GET、PUT、POST、および DELETE networkanalysispolicies/inspectorconfigs:GET networkanalysispolicies/inspectoroverrideconfigs:GET および PUT ravpns:GET ravpns/addressassignmentsettings、ravpns/certificatemapsettings、ravpns/connectionprofiles:GET |
||||
検索(Search) |
globalsearch:GET |
FDM バージョン 7.0 の新機能
機能 |
説明 |
---|---|
プラットフォーム機能 |
|
ISA 3000 の仮想ルータサポート |
ISA 3000 デバイスには最大 10 の仮想ルータを設定できます。 |
AWS における FTDv の新しいデフォルトパスワード |
AWS では、初期展開時にユーザーデータを使用してデフォルトのパスワードを定義(FTDv のデフォルトの管理者パスワードは AWS のインスタンス ID です。 )していなければ、 |
ファイアウォールと IPS の機能 |
|
システム定義の NAT ルールの新しいセクション 0 |
新しいセクション 0 が NAT ルールテーブルに追加されました。このセクションは、システムの使用に限定されます。システムが正常に機能するために必要なすべての NAT ルールがこのセクションに追加され、これらのルールは作成したルールよりも優先されます。以前は、システム定義のルールがセクション 1 に追加され、ユーザー定義のルールがシステムの適切な機能を妨げる可能性がありました。セクション 0 のルールを追加、編集、または削除することはできませんが、show nat detail コマンド出力に表示されます。 |
Snort 3 のカスタム侵入ルール |
オフラインツールを使用して、Snort 3 で使用するカスタム侵入ルールを作成し、侵入ポリシーにアップロードできます。独自のカスタムルールグループにカスタムルールを編成して、必要に応じて簡単に更新できます。FDM で直接ルールを作成することもできますが、ルールの形式はアップロードされたルールと同じです。FDM には、ルール作成のガイダンスはありません。新しい侵入ルールの基礎として、システム定義のルールを含む既存のルールを複製できます。 侵入ポリシーの編集時に、 ページにカスタムグループとルールのサポートが追加されました。 |
FDM 管理対象システムの Snort 3 の新機能 |
FDM 管理対象システムで Snort 3 を検査エンジンとして使用する場合、次の追加機能を設定できるようになりました。
|
URL カテゴリとレピュテーションに基づく DNS 要求のフィルタリング |
URL フィルタリングカテゴリとレピュテーションルールを DNS ルックアップ要求に適用できます。ルックアップ要求の完全修飾ドメイン名(FQDN)にブロックしているカテゴリやレピュテーションがある場合、システムは DNS 応答をブロックします。ユーザーは DNS 解決を受信しないため、ユーザーは接続を完了できません。非 Web トラフィックに URL カテゴリおよびレピュテーション フィルタリングを適用するには、このオプションを使用します。この機能を使用するには、URL フィルタリングライセンスが必要です。 アクセス コントロール ポリシーの設定に [Reputation Enforcement on DNS Traffic] オプションが追加されました。 |
VPN 機能 |
|
リモートアクセス VPN の FDM SSL 暗号設定 |
FDM でリモートアクセス VPN 接続に使用する TLS バージョンと暗号化の暗号を定義できます。以前は、FTD API を使用して SSL を設定する必要がありました。 次のページが追加されました: 、 。 |
Diffie-Hellman グループ 31 のサポート |
IKEv2 プロポーザルおよびポリシーで Diffie-Hellman(DH)グループ 31 を使用できるようになりました。 |
デバイス上の仮想トンネルインターフェイスの最大数は 1024 です |
作成できる仮想トンネルインターフェイス(VTI)の最大数は 1024 です。以前のバージョンでは、送信元インターフェイスあたりの最大数は 100 でした。 |
サイト間 VPN セキュリティ アソシエーションの IPsec ライフタイム設定 |
セキュリティ アソシエーションが再ネゴシエートされるまでに維持する期間のデフォルト設定を変更できます。 サイト間 VPN ウィザードに [Lifetime Duration] オプションと [Lifetime Size] オプションが追加されました。 |
ルーティング機能 |
|
等コストマルチパス(ECMP)ルーティング |
複数のインターフェイスを含むように ECMP トラフィックゾーンを設定できます。これにより、ゾーン内の任意のインターフェイスで、既存の接続のトラフィックが FTD デバイスに出入りできるようになります。この機能により、FTD デバイス上での等コストマルチパス(ECMP)のルーティングや、FTD デバイスへのトラフィックの複数のインターフェイスにわたる外部ロードバランシングが可能になります。 ECMP トラフィックゾーンはルーティングにのみ使用されます。これらはセキュリティゾーンとは異なります。 [Routing] ページに [ECMP Traffic Zones] タブが追加されました。FTD API に ECMPZones リソースが追加されました。 |
インターフェイス機能 |
|
新しいデフォルトの内部 IP アドレス |
192.168.1.0/24 のアドレスが DHCP を使用して外部インターフェイスに割り当てられている場合、IP アドレスの競合を避けるために、内部インターフェイスのデフォルト IP アドレスが 192.168.1.1 から 192.168.95.1 に変更されています。 |
デフォルトの外部 IP アドレスで IPv6 自動設定が有効になりました。管理用の新しいデフォルト IPv6 DNS サーバーについて |
外部インターフェイスのデフォルト設定には、IPv4 DHCP クライアントに加えて、IPv6 自動設定が含まれています。デフォルトの管理 DNS サーバーには、IPv6 サーバー:2620:119:35::35 も含まれるようになりました。 |
ISA 3000 の EtherChannel サポート |
FDM を使用して ISA 3000 で EtherChannel を設定できるようになりました。 新規/変更された画面: |
ライセンシング機能 |
|
FTDv のパフォーマンス階層型ライセンス |
FTDv は、スループット要件と RA VPN セッションの制限に基づいて、パフォーマンス階層型のスマートライセンスをサポートするようになりました。使用可能なパフォーマンスライセンスのいずれかで FTDv のライセンスを取得すると、2 つのことが発生します。まず、デバイスのスループットを指定されたレベルに制限するレートリミッタがインストールされます。次に、VPN セッションの数は、ライセンスで指定されたレベルに制限されます。 |
管理およびトラブルシューティングの機能 |
|
FTD API を使用した DHCP リレー設定。 |
FTD API を使用して DHCP リレーを設定できます。インターフェイスで DHCP リレーを使用すると、他のインターフェイスを介してアクセス可能な DHCP サーバーに DHCP 要求を送信できます。物理インターフェイス、サブインターフェイス、EtherChannel、および VLAN インターフェイスで DHCP リレーを設定できます。いずれかのインターフェイス上に DHCP サーバーを設定している場合、DHCP リレーは設定できません。 以前のリリースで FlexConfig を使用して DHCP リレーを設定した場合は(dhcprelay コマンド)、アップグレード後に API を使用して設定を再実行し、FlexConfig オブジェクトを削除する必要があります。 FTD API に次のモデルを追加しました:dhcprelayservices |
ブートストラップ処理の高速化と FDM への早期ログイン |
FDM 管理対象システムを最初にブートストラップするプロセスが改善され、より高速になりました。したがって、デバイスを起動してから FDM にログインするまで待機する必要はありません。また、ブートストラップの進行中にログインできるようになりました。ブートストラップが完了していない場合は、プロセスのステータス情報が表示されるため、デバイスで何が発生しているかがわかります。 |
多対 1 および 1 対多接続の CPU 使用率とパフォーマンスが向上しました。 |
ダイナミック NAT / PAT およびスキャン脅威検出とホスト統計情報を含む接続を除き、システムは接続の作成時に、ローカルホストオブジェクトを作成せず、ロックすることもなくなりました。これにより、多数の接続を同じサーバー(ロードバランサや Web サーバーなど)に対して確立する場合や、1 つのエンドポイントが多数のリモートホストに接続する場合に、パフォーマンスと CPU 使用率が向上します。 次のコマンドが変更されました:clear local-host (廃止)、 show local-host |
FDM 管理対象デバイスのアップグレード準備状況チェック。 |
アップロードした FTD ソフトウェア アップグレード パッケージをインストールする前に、アップグレード準備状況チェックを実行できます。準備状況チェックでは、システムに対してアップグレードが有効であり、システムがパッケージのインストールに必要な他の要件を満たしていることを確認します。アップグレードの準備状況チェックを実行すると、インストールの失敗を回避できます。 [System Upgrade] セクションに、アップグレードの準備状況チェックを実行するリンクが追加されました。 ページの |
FTD REST API バージョン 6.1(v6) |
ソフトウェアバージョン 7.0 の FTD REST API はバージョン 6.1 です。API URL の v6 を使用するか、優先的に /latest/ を使用して、デバイスでサポートされている最新の API バージョンを使用していることを示せます。6.1 の URL バージョンパス要素は、6.0:v6 と同じであることに注意してください。 使用しているリソースモデルに変更が加えられている可能性があるため、既存のすべての呼び出しを再評価してください。リソースを表示できる API エクスプローラを開くには、FDM にログインして、[詳細オプション(More options)] ボタン( |
バージョン 7.0 の新しいハードウェアと仮想プラットフォーム
機能 |
説明 |
---|---|
VMware vSphere/VMware ESXi 7.0 のサポート。 |
VMware vSphere/VMware ESXi 7.0 に FMCv、FTDv、および NGIPSv 仮想アプライアンスを展開できるようになりました。 バージョン 7.0 でも VMware 6.0 のサポートは終了します。Firepower ソフトウェアをアップグレードする前に、ホスティング環境をサポートされているバージョンにアップグレードします。 |
新しい仮想環境。 |
次の環境に FMCv および FTDv が導入されました。
|
新しい侵入ルールとキーワード
アップグレードにより侵入ルールをインポートして自動的に有効化が可能です。
侵入ルールを更新(SRU/LSP)すると、新規および更新された侵入ルールとプリプロセッサルール、既存のルールに対して変更された状態、および変更されたデフォルトの侵入ポリシーの設定が提供されます。現在のバージョンでサポートされていないキーワードが新しい侵入ルールで使用されている場合、SRU/LSP を更新しても、そのルールはインポートされません。
アップグレードし、これらのキーワードがサポートされると、新しい侵入ルールがインポートされ、IPS の設定に応じて自動的に有効化できるため、イベントの生成とトラフィックフローへの影響を開始できます。
Snort のバージョンを確認するには、互換性ガイドの「バンドルされたコンポーネント」の項を参照するか、次のコマンドのいずれかを使用します。
-
FMC: を選択します。
-
FDM:show summary CLI コマンドを使用します。
Snort リリースノートには、新しいキーワードの詳細が含まれています。https://www.snort.org/downloads でSnort ダウンロードページのリリースノートを参照できます。