この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
この章の対象読者
使用可能なすべてのオペレーティングシステムとマネージャを確認するには、「最適なアプリケーションとマネージャを見つける方法」を参照してください。この章は、Cisco Defense Orchestrator（CDO）のクラウド提供型 Secure Firewall Management Center を使用する 脅威に対する防御 を対象としています。Device Manager の機能を使用して CDO を使用するには、CDO のマニュアルを参照してください。
 （注） |
クラウド提供型 Management Center は、脅威に対する防御 7.2 以降をサポートします。以前のバージョンでは、CDO の Device Manager 機能を使用できます。ただし、デバイスマネージャモードは、このモードを使用して 脅威に対する防御 をすでに管理している既存の CDO ユーザーのみが使用できます。 |
各 脅威に対する防御 は、トラフィックを制御、検査、監視、および分析します。CDO は、サービスの管理タスクを実行できる Web インターフェイスを備えた集中管理コンソールを提供し、ローカルネットワークを保護します。
ファイアウォールについて
ハードウェアでは、脅威に対する防御 ソフトウェアまたは ASA ソフトウェアを実行できます。脅威に対する防御 と ASA の間で切り替えを行う際には、デバイスの再イメージ化が必要になります。現在インストールされているものとは異なるソフトウェアバージョンが必要な場合も再イメージ化が必要です。「Cisco ASA および Firepower Threat Defense 再イメージ化ガイド」を参照してください。
ファイアウォールは、Secure Firewall eXtensible オペレーティングシステム（FXOS）と呼ばれる基盤となるオペレーティングシステムを実行します。ファイアウォールは FXOS Secure Firewall Chassis Manager をサポートしていません。トラブルシューティング用として限られた CLI のみがサポートされています。詳細については、Firepower 1000/2100 および Secure Firewall 3100 と Firepower Threat Defense の Cisco FXOS トラブルシューティング ガイドを参照してください。
プライバシー収集ステートメント：ファイアウォールには個人識別情報は不要で、積極的に収集することもありません。ただし、ユーザー名などの設定では、個人識別情報を使用できます。この場合、設定作業時や SNMP の使用時に、管理者が個人識別情報を確認できる場合があります。
クラウド提供型 Management Center Management Center は、オンプレミスの Management Center と同じ機能の多くを提供し、同じルックアンドフィールを備えています。CDO をプライマリマネージャとして使用する場合、オンプレミスの Management Center は分析のみに使用できます。オンプレミスの Management Center は、ポリシーの構成やアップグレードをサポートしていません。
（注） |
CDO は、コンテナインスタンスやクラスタをサポートしていません。 |
オンボーディングウィザードを使用して Threat Defense を CDO にオンボードするには、次のタスクを参照してください。
|
|
Cisco Commerce Workspace |
|
|
|
CDO |
|
|
|
CDO |
|
|
|
シャーシ マネージャ | Chassis Manager：Threat Defense 論理デバイスの追加。 |
|
|
CDO |
すべてのライセンスは、CDO によって 脅威に対する防御 に提供されます。オプションで、次の機能ライセンスを購入できます。
IPS：セキュリティインテリジェンスと次世代 IPS
マルウェア防御：マルウェア防御
URL：URL フィルタリング
Cisco Secure Client：Secure Client Advantage、Secure Client Premier、または Secure Client VPN のみ
キャリア（Diameter、GTP/GPRS、M3UA、SCTP）
シスコライセンスの概要については詳しくは、cisco.com/go/licensingguide を参照してください。
Smart Software Manager にマスターアカウントを持ちます。
まだアカウントをお持ちでない場合は、リンクをクリックして新しいアカウントを設定してください。Smart Software Manager では、組織のマスター アカウントを作成できます。
（輸出コンプライアンスフラグを使用して有効化される）機能を使用するには、ご使用のスマート ソフトウェア ライセンシング アカウントで強力な暗号化（3DES/AES）ライセンスを使用できる必要があります。
|
ステップ 1 |
お使いのスマート ライセンシング アカウントに、必要なライセンスが含まれていることを確認してください。 ライセンスは、シスコまたは販売代理店からデバイスを購入した際に、スマート ソフトウェア ライセンシング アカウントにリンクされています。ただし、主導でライセンスを追加する必要がある場合は、Cisco Commerce Workspace で [製品とソリューションの検索（Find Products and Solutions）] 検索フィールドを使用します。次のライセンス PID を検索します。 
|
||
|
ステップ 2 |
Smart Software Manager に CDO を登録します（まだ登録していない場合）。 登録を行うには、Smart Software Manager で登録トークンを生成する必要があります。詳しい手順については、CDO のマニュアルを参照してください。 |
CDOは、Cisco Secure Sign-On をアイデンティティプロバイダーとして使用し、Duo Security を多要素認証（MFA）に使用します。CDO には MFA が必要です。MFA は、ユーザーアイデンティティを保護するためのセキュリティを強化します。MFA の一種である二要素認証では、CDO にログインするユーザーの ID を確認するために、2 つのコンポーネントまたは要素が必要です。
最初の要素はユーザー名とパスワードで、2 番目の要素は Duo Security からオンデマンドで生成されるワンタイムパスワード（OTP）です。
Cisco Secure Sign-On クレデンシャルを確立したら、Cisco Secure Sign-On ダッシュボードから CDO にログインできます。Cisco Secure Sign-On ダッシュボードから、サポートされている他のシスコ製品にログインすることもできます。
Cisco Secure Sign-On アカウントをお持ちの場合は、Cisco Secure Sign-On を使用した CDO へのログインに進みます。
Cisco Secure Sign-On アカウントがない場合は、新しい Cisco Secure Sign-On アカウントの作成に進んでください。
最初のサインオンワークフローは 4 段階のプロセスです。4 段階すべてを完了する必要があります。
DUO Security のインストール：Duo Security アプリケーションを携帯電話にインストールすることをお勧めします。Duo のインストールについてご質問がある場合は、『Duo Guide to Two Factor Authentication：Enrollment Guide』を参照してください。
時刻の同期：モバイルデバイスを使用してワンタイムパスワードを生成します。OTP は時間ベースであるため、デバイスのクロックがリアルタイムと同期していることが重要です。デバイスのクロックが正しい時刻に設定されていることを確認します。
Firefox または Chrome の最新バージョンを使用します。
|
ステップ 1 |
新しい Cisco Secure Sign-On アカウントにサインアップします。
|
||
|
ステップ 2 |
Duo を使用して多要素認証をセットアップします。 |
||
|
ステップ 3 |
（任意） 追加のオーセンティケータとして Google オーセンティケータを設定します。
|
||
|
ステップ 4 |
Cisco Secure Sign-On アカウントのアカウントリカバリのオプションを設定します。
|
CDO にログインし、デバイスのオンボードと管理を行います。
Cisco Defense Orchestrator（CDO）は、Cisco Secure Sign-On をアイデンティティ プロバイダーとして使用し、多要素認証（MFA）に Duo Security を使用します。
CDO にログインするには、まず Cisco Secure Sign-On でアカウントを作成し、Duo を使用して MFA を設定する必要があります。新しい Cisco Secure Sign-On アカウントの作成を参照してください。
Firefox または Chrome の最新バージョンを使用します。
|
ステップ 1 |
Web ブラウザで、https://sign-on.security.cisco.com/を開きます。 |
|
ステップ 2 |
[ユーザー名（Username）] と [パスワード（Password）] に入力します。 |
|
ステップ 3 |
[ログイン（Log in）] をクリックします。 |
|
ステップ 4 |
Duo Security を使用して別の認証要素を受け取り、ログインを確認します。システムによってログインが確認され、Cisco Secure Sign-On ダッシュボードが表示されます。 |
|
ステップ 5 |
Cisco Secure Sign-on ダッシュボードで適切な CDO タイルをクリックします。CDO タイルをクリックすると https://defenseorchestrator.com に移動し、CDO（EU）タイルをクリックすると https://defenseorchestrator.eu に移動します。また、CDO（APJC）タイルをクリックすると https://www.apj.cdo.cisco.com に移動します。 
|
|
ステップ 6 |
両方のオーセンティケータを設定している場合は、オーセンティケータのロゴをクリックして [Duo Security] か [Google Authenticator] を選択します。
|
CLI 登録キーを使用し、CDO のオンボーディングウィザードを使用して Threat Defense をオンボードします。
|
ステップ 1 |
CDO のナビゲーションウィンドウで [インベントリ（Inventory）] をクリックし、青色のプラスボタン（ |
|
ステップ 2 |
[FTD] タイルを選択します。 |
|
ステップ 3 |
[管理モード] で、[FTD] が選択されていることを確認します。 管理モードとして [FTD] を選択した後はいつでも、[スマートライセンスの管理（Manage Smart License）] をクリックして、デバイスで使用可能なスマートライセンスを登録したり、既存のスマートライセンスを変更したりできます。使用可能なライセンスについては、ライセンスを取得するを参照してください。 |
|
ステップ 4 |
オンボーディング方法として [CLI登録キーを使用（Use CLI Registration Key）] を選択します。 
|
|
ステップ 5 |
[デバイス名（Device Name）] を入力して、[次へ（Next）] をクリックします。 |
|
ステップ 6 |
[ポリシー割り当て（Policy Assignment）] については、ドロップダウンメニューを使用して、デバイスのアクセス コントロール ポリシーを選択します。ポリシーが設定されていない場合は、[デフォルトのアクセスコントロールポリシー（Default Access Control Policy）] を選択します。 |
|
ステップ 7 |
[サブスクリプションライセンス（Subscription License）] については、[物理FTDデバイス（Physical FTD Device）] オプションボタンをクリックして、有効にする各機能ライセンスをチェックします。[Next] をクリックします。 |
|
ステップ 8 |
[CLI登録キー（CLI Registration Key）] については、CDO は、登録キーとその他のパラメータを使用してコマンドを生成します。このコマンドをコピーして、Threat Defense の初期設定で使用する必要があります。 configure manager add cdo_hostname registration_key nat_id display_name Chassis Manager で論理デバイスを展開するときに（Chassis Manager：Threat Defense 論理デバイスの追加 を参照）、 cdo_hostname 、registration_key 、nat_id の部分を [CDOオンボード（CDO Onboard）] および [CDOオンボードを確認（Confirm CDO Onboard）] フィールドにコピーします。 例:サンプルコマンド |
|
ステップ 9 |
オンボーディングウィザードで [次へ（Next）] をクリックして、デバイスの登録を開始します。 |
|
ステップ 10 |
（任意） [インベントリ（Inventory）] ページの並べ替えとフィルタ処理に役立つよう、デバイスにラベルを追加します。ラベルを入力し、青いプラスボタン（ |
Threat Defense をスタンドアロンのネイティブインスタンスとして Firepower 4100 から展開できます。CDO は、コンテナインスタンスやクラスタをサポートしていません。
この手順では、アプリケーションで使用されるブートストラップ設定を含む、論理デバイスの特性を設定できます。
Threat Defense と一緒に使用する管理インターフェイスを設定します。インターフェイスの設定 を参照してください。管理インターフェイスが必要です。後でデータインターフェイスから管理を有効にできます。ただし、データ管理を有効にした後で使用する予定がない場合でも、管理インターフェイスを論理デバイスに割り当てる必要があります。この管理インターフェイスは、シャーシの管理のみに使用される（[インターフェイス（Interfaces）] タブの上部に [MGMT] として表示される）シャーシ管理ポートと同じではありません。
また、少なくとも 1 つのデータ インターフェイスを設定する必要があります。
次の情報を用意します。
このデバイスのインターフェイス Id
管理インターフェイス IP アドレスとネットワークマスク
ゲートウェイ IP アドレス
CDO によって生成された CDO ホスト名、登録キー、および NAT ID。オンボーディング ウィザードを使用したデバイスのオンボーディングを参照してください。
DNS サーバの IP アドレス
|
ステップ 1 |
Chassis Manager で、[論理デバイス（Logical Devices）] を選択します。 |
|
ステップ 2 |
をクリックし、次のパラメータを設定します。 
|
|
ステップ 3 |
[Data Ports] 領域を展開し、デバイスに割り当てるインターフェイスをそれぞれクリックします。  以前に [Interfaces] ページで有効にしたデータ インターフェイスのみを割り当てることができます。後ほど CDO でこれらのインターフェイスを有効にして設定します。IP アドレスの設定も行います。 ハードウェア バイパス 対応のポートは次のアイコンで表示されます： |
|
ステップ 4 |
画面中央のデバイス アイコンをクリックします。 ダイアログボックスが表示され、初期のブートストラップ設定を行うことができます。これらの設定は、初期導入専用、またはディザスタ リカバリ用です。通常の運用では、後でアプリケーション CCLI 設定のほとんどの値を変更できます。 |
|
ステップ 5 |
[一般情報（General Information）] ページで、次の手順を実行します。 
|
|
ステップ 6 |
[設定（Settings）] タブで、次の項目を入力します。 
|
|
ステップ 7 |
[利用規約（Agreement）] タブで、エンド ユーザ ライセンス（EULA）を読んで、同意します。 |
|
ステップ 8 |
[OK] をクリックして、設定ダイアログボックスを閉じます。 |
|
ステップ 9 |
[保存（Save）] をクリックします。 シャーシは、指定したソフトウェアバージョンをダウンロードし、アプリケーション インスタンスにブートストラップ設定と管理インターフェイス設定をプッシュすることで、論理デバイスを導入します。[ 論理デバイス（Logical Devices） ] ページで、新しい論理デバイスのステータスを確認します。論理デバイスの [Status] が [online] と表示されたら、アプリケーションでセキュリティ ポリシーの設定を開始できます。  |
ここでは、次の設定を使用して基本的なセキュリティポリシーを設定する方法について説明します。
内部インターフェイスと外部インターフェイス：内部インターフェイスにスタティック IP アドレスを割り当て、外部インターフェイスに DHCP を使用します。
DHCP サーバー：クライアントの内部インターフェイスで DHCP サーバーを使用します。
デフォルトルート：外部インターフェイスを介してデフォルトルートを追加します。
NAT：外部インターフェイスでインターフェイス PAT を使用します。
アクセスコントロール：内部から外部へのトラフィックを許可します。
基本的なセキュリティ ポリシーを設定するには、次のタスクを実行します。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
脅威に対する防御 インターフェイスを有効にし、それらをセキュリティゾーンに割り当てて IP アドレスを設定します。通常は、システムで意味のあるトラフィックを通過させるように、少なくとも 2 つのインターフェイスを設定する必要があります。通常は、アップストリームルータまたはインターネットに面した外部インターフェイスと、組織のネットワークの 1 つ以上の内部インターフェイスを使用します。これらのインターフェイスの一部は、Web サーバーなどのパブリックアクセスが可能なアセットを配置する「緩衝地帯」（DMZ）となる場合があります。
一般的なエッジルーティングの状況は、内部インターフェイスでスタティックアドレスを定義すると同時に、ISP から DHCP を介して外部インターフェイスアドレスを取得することです。
次の例では、DHCP によるスタティックアドレスとルーテッドモードの外部インターフェイスを使用して、ルーテッドモードの内部インターフェイスを設定します。
|
ステップ 1 |
[デバイス（Devices）] > [デバイス管理（Device Management）] の順に選択し、ファイアウォールの をクリックします。 |
||
|
ステップ 2 |
[インターフェイス（Interfaces）] をクリックします。  |
||
|
ステップ 3 |
内部に使用するインターフェイスの をクリックします。 [全般（General）] タブが表示されます。 
|
||
|
ステップ 4 |
「外部」に使用するインターフェイスをクリックします。 [全般（General）] タブが表示されます。 
|
||
|
ステップ 5 |
[保存（Save）] をクリックします。 |
クライアントで DHCP を使用して 脅威に対する防御 から IP アドレスを取得するようにする場合は、DHCP サーバーを有効にします。
|
ステップ 1 |
を選択し、デバイスをクリックします。 |
|
ステップ 2 |
を選択します。 |
|
ステップ 3 |
[サーバー（Server）] ページで、[追加（Add）] をクリックして、次のオプションを設定します。 
|
|
ステップ 4 |
[OK] をクリックします。 |
|
ステップ 5 |
[保存（Save）] をクリックします。 |
デフォルトルートは通常、外部インターフェイスから到達可能なアップストリームルータを指し示します。外部インターフェイスに DHCP を使用する場合は、デバイスがすでにデフォルトルートを受信している可能性があります。手動でルートを追加する必要がある場合は、次の手順を実行します。DHCP サーバーからデフォルトルートを受信した場合は、ページの [IPv4ルート（IPv4 Routes）] または [IPv6ルート（IPv6 Routes）] テーブルに表示されます。
|
ステップ 1 |
を選択し、デバイスをクリックします。 |
|
ステップ 2 |
を選択し、[ルートを追加（Add route）] をクリックして、次のように設定します。 
|
|
ステップ 3 |
[OK] をクリックします。 ルートがスタティックルートテーブルに追加されます。  |
|
ステップ 4 |
[保存（Save）] をクリックします。 |
一般的な NAT ルールでは、内部アドレスを外部インターフェイスの IP アドレスのポートに変換します。このタイプの NAT ルールのことをインターフェイス ポート アドレス変換（PAT）と呼びます。
|
ステップ 1 |
をクリックし、 をクリックします。 |
||
|
ステップ 2 |
ポリシーに名前を付け、ポリシーを使用するデバイスを選択し、[保存（Save）] をクリックします。  ポリシーが Management Center に追加されます。引き続き、ポリシーにルールを追加する必要があります。 |
||
|
ステップ 3 |
[ルールの追加（Add Rule）] をクリックします。 [NATルールの追加（Add NAT Rule）] ダイアログボックスが表示されます。 |
||
|
ステップ 4 |
基本ルールのオプションを設定します。 
|
||
|
ステップ 5 |
[インターフェイスオブジェクト（Interface objects）] ページで、[使用可能なインターフェイスオブジェクト（Available Interface Objects）] 領域から [宛先インターフェイスオブジェクト（Destination Interface Objects）] 領域に外部ゾーンを追加します。  |
||
|
ステップ 6 |
[変換（Translation）] ページで、次のオプションを設定します。 
|
||
|
ステップ 7 |
[保存（Save）] をクリックしてルールを追加します。 ルールが [ルール（Rules）] テーブルに保存されます。  |
||
|
ステップ 8 |
NAT ページで [保存（Save）] をクリックして変更を保存します。 |
脅威に対する防御 を登録したときに、基本の [すべてのトラフィックをブロック（Block all traffic）] アクセス コントロール ポリシーを作成した場合は、デバイスを通過するトラフィックを許可するためにポリシーにルールを追加する必要があります。次の手順では、内部ゾーンから外部ゾーンへのトラフィックを許可するルールを追加します。他にゾーンがある場合は、適切なネットワークへのトラフィックを許可するルールを追加してください。
|
ステップ 1 |
を選択し、脅威に対する防御 に割り当てられているアクセス コントロール ポリシーの をクリックします。 |
|
ステップ 2 |
[ルールを追加（Add Rule）] をクリックし、次のパラメータを設定します。 
他の設定はそのままにしておきます。 |
|
ステップ 3 |
[追加（Add）] をクリックします。 ルールが [ルール（Rules）] テーブルに追加されます。  |
|
ステップ 4 |
[保存（Save）] をクリックします。 |
設定の変更を 脅威に対する防御 に展開します。変更を展開するまでは、デバイス上でどの変更もアクティブになりません。
|
ステップ 1 |
右上の [展開（Deploy）] をクリックします。 
|
|
ステップ 2 |
[すべて展開（Deploy All）] をクリックしてすべてのデバイスに展開するか、[高度な展開（Advanced Deploy）] をクリックして選択したデバイスに展開します。 
|
|
ステップ 3 |
展開が成功したことを確認します。展開のステータスを表示するには、メニューバーの [展開（Deploy）] ボタンの右側にあるアイコンをクリックします。 
|
脅威に対する防御 CLI を使用して、管理インターフェイスパラメータを変更したり、トラブルシューティングを行ったりできます。CLI にアクセスするには、管理インターフェイスへの SSH を使用するか、FXOS CLI から接続します。
|
ステップ 1 |
（オプション 1）脅威に対する防御 管理インターフェイスの IP アドレスに直接 SSH 接続します。 管理 IP アドレスは、論理デバイスを展開したときに設定したものです。初期展開時に設定した「admin」アカウントとパスワードを使用して 脅威に対する防御 にログインします。 パスワードを忘れた場合は、シャーシマネージャ で論理デバイスを編集して変更できます。 |
|
ステップ 2 |
（オプション 2）コンソール接続または Telnet 接続を使用して、モジュール CLI に接続します。 |
次に、脅威に対する防御 に接続してから、FXOS CLI のスーパバイザレベルに戻る例を示します。
）をクリックしてデバイスを [オンボード（Onboard）]
。特定のインターフェイスモジュールでは、インライン セット インターフェイスに対してのみハードウェアバイパス機能を有効にできます。ハードウェア バイパスは、停電時にトラフィックがインライン インターフェイス ペア間で流れ続けることを確認します。この機能は、ソフトウェアまたはハードウェア障害の発生時にネットワーク接続を維持するために使用できます。
Firepower# connect module 1 console
Telnet escape character is '~'.
Trying 127.5.1.1...
Connected to 127.5.1.1.
Escape character is '~'.
CISCO Serial Over LAN:
Close Network Connection to Exit
Firepower-module1>connect ftd FTD_Instance1
============================= ATTENTION ==============================
You are connecting to ftd from a serial console. Please avoid
executing any commands which may produce large amount of output.
Otherwise, data cached along the pipe may take up to 12 minutes to be
drained by a serial console at 9600 baud rate after pressing Ctrl-C.
To avoid the serial console, please login to FXOS with ssh and use
'connect module <slot> telnet' to connect to the security module.
======================================================================
Connecting to container ftd(FTD_Instance1) console... enter "exit" to return to bootCLI
> ~
telnet> quit
Connection closed.
Firepower#
CDO を使用した Threat Defense の設定を続行するには、Cisco Defense Orchestrator ホームページを参照してください。
フィードバック