このリリースでは、継続的なセキュリティ機能拡張の一部として、さまざまなセキュリティ関連の機能向上が適用されています。この大部分はバックグラウンドで動作しますが、次のように、ユーザインターフェイスまたは構成に影響を与える変更もあります。

• 管理者は、CLI コマンドを使用して Expressway SSH 設定を更新することなく、Web インターフェイスから設定可能な TCP ポート 22 で SSH 暗号を設定できる柔軟性を備えています。

• シスコの製品セキュリティベースラインを満たすために、次のサービスの暗号フィルタが更新されました。

  • リバースプロキシで使用される SSL 暗号

  • Apache で使用される SSL 暗号

  • UC サービスの発見で使用される SSL 暗号

  • XMPP で使用される SSL 暗号

  • LDAP の SSL 暗号

• シスコ製品セキュリティベースラインを満たすために、SSH キー設定の暗号化アルゴリズムが更新されました。許可されていないキー交換アルゴリズムが削除されました。

  • ecdh-sha2-nistp521

  • ecdh-sha2-nistp384

  次のキー交換アルゴリズムが追加されました。

  • ecdh-sha2-nistp256

  • diffie-hellman-group14-sha256

  • diffie-hellman-group14-sh1

• Expressway-E は、サイレント SIP スキャン（SIP OPTIONS を使用）およびスパムコール（SIP INVITE を使用）にさらされます。これは、DoS 攻撃に非常によく似ています。この SIP ベースの DOS 攻撃から保護するために、Fail2Ban での SIP 認証の失敗は次の場合に有効になります。

  • X14.0 以降のバージョンの Expressway 新規インストール

  • X14.0 以降のバージョンの初期設定へのリセット

• X14.0 リリースから、SIP トランザクションのレート制限を設定できます。Web UI から、1 秒あたりの接続数とバースト制限値を有効化や無効化または変更できます。デフォルトでは、1 秒あたりの接続数の値は 100 で、バースト制限は 20 です。

• X14.0リリースから、自動保護または SIP 登録障害検出システムが拡張され、次の条件に対応できるようになりました。

  • ライセンスの制限の超過

  • メンテナンス モード

  • ポリシーで不許可

  • リソース使用不能

  • 登録の再試行が不許可

• X14.0 リリース以降、Expressway VM が低速 CPU と低メモリのサブ仕様ハードウェアで実行されている場合、サポートされていない/非準拠のハードウェア警告アラームが表示されます。

• X14.0 リリースから、MRAを介したCUCM/電話セキュリティ機能サポートの拡張の一部として、ポート 6971 が OAuth 対応 MRA クライアントの HTTPS 許可リストに追加され、設定ファイルがダウンロードされます。

• X14.0.1 以降のリリースでは、複数の管理者アカウントとグループに CLI でアクセスできます。詳細については、「管理者アカウントとフィールド参照について」を参照してください。

• X14.0.1 リリースから、信頼ストアと導入準備信頼ストアに 2 つの新しいアラームが導入され、管理者に通知されます。

  • 証明書が 21 日以内に期限切れになることを示すアラーム

  • 証明書の期限が切れたことを示すアラーム

X12.6 リリース以降、Expressway は、プレビュー ベースでのみ、X12.6 から HSM をサポートしています。HSM は、強力な認証のためにデジタル キーを保護および管理し、アプリケーション、ID、およびデータベースで使用する暗号化、暗号解読、および認証などの重要な機能に対して crypto プロセスを提供します。HSM デバイスは、コンピュータまたはネットワークサーバに直接接続するプラグイン カードまたは外部デバイスとして提供されます。これにより、アラームを出したり HSM を動作不能にしたりすることによって、ハードウェアおよびソフトウェアの改ざんを防ぐことができます。

新しい[保守（Maintenance）] > [セキュリティ（Security）] > [HSM 構成（HSM configuration）]ページが、Expressway の Web ユーザインターフェイスに追加されました。

Expressway は、現在、(プレビュー ベースで)、HSM プロバイダーとして、Entrust nShield Connect XC のみをサポートしています。

重要	Gemalto の"「SafeNet Luna」"ネットワークデバイスは、ユーザインターフェイスでも参照されていますが、このデバイスは、現在 Expressway ではサポートされていません 。

この機能は、Mobile & Remote Access を使用して Expressway を導入する場合に該当します。これは現在プレビュー ステータスで提供されています。

新しいデモンストレーション ソフトウェアにより、互換性のあるシスコ ヘッドセットに一部の Cisco Contact Center 機能が提供されるようになりました。X12.6 からは、関連するエンドポイント、ヘッドセット、または Unified CM で必要なソフトウェア バージョンが実行されている場合は、Expressway が自動でこれらのヘッドセットの新機能をサポートします。この機能は Unified CM インターフェイスから有効になっており、Expressway でのユーザによる設定は必要ありません。

詳細については、https://www.cisco.com/c/dam/en/us/td/docs/voice_ip_comm/cucm/whitePaper/CUCM_Headsets_for_ContactCenter_WP.pdfのホワイトペーパー 『Cisco Headset and Finesse Integration for Contact Center』を参照してください。

この機能は、Mobile & Remote Access を使用して Expressway を導入する場合に該当します。これは現在プレビュー ステータスで提供されています。

この機能により、 Mobile and Remote Access を介したプッシュ構成サポートには、Jabberintune や Jabberblackberry のようなモバイルアプリケーション管理（MAM）クライアントのサポートが含まれるようになりました。そのため、プッシュ構成サービスは、JabberintuneおよびJabberblackberryクライアントを実行しているすべてのデバイスで使用できます。

この機能は、MRA を使用する Expressway を導入する場合に適用されます。X12.6 では、外部の製品バージョンの依存関係によって、プレビューステータスのみで導入されました。

X12.6.2 では、この機能は既知の問題（バグID CSCvv12541 を参照）が原因でデフォルトでオフになっています。

X12.7 で、バグ ID CSCvv12541 は修正されました。ただし、この機能はソフトウェアの依存関係が保留中のため、プレビューステータスのままです。

Android デバイスのプッシュ構成を有効にする方法

この機能は、 Expressway コマンド ライン インターフェイスを介して有効化されます。これは、Android ユーザにサービスを提供するすべての IM および Presence サービスノードがサポートされているリリースを実行している場合にのみ実行します。

CLI コマンドは、xConfiguration XCP Config FcmService: On です。

（注）	このコマンドを使用すると、現在 MRA 経由でサインインしているユーザの IM および Presence サービスが中断されます。そのため、これらのユーザは再度サインインする必要があります。

Cisco IP 電話 8800 シリーズのデバイス用のキー拡張モジュール（KEM）アクセサリ向けに、MRA を正式にはテストおよび検証していません。ただし、私たちは実験条件の下で、複数の DN を持つ KEM が MRA で満足できる程度に動作していることを確認しています。これらは 公式なテストではありませんが、COVID-19 危機管理の観点では、この情報は、サポートされていないプレビュー機能を使用することを希望するお客様にとって有用となっています。

SIP パスヘッダーは、Expressway で有効にする必要があります。また、パスヘッダーをサポートする Unified CM ソフトウェアバージョンが必要です（リリース 11.5（1）SU4 またはそれ以降を推奨）。

• X14.0.1 リリースで、スプリット VPN の状況下で SSO ログインを使用する MRA が、ログインに使用される UCM ノードを追跡するように Expressway C で修正され、ログインフローのメッセージに同じ UCM ノードが使用されていることを確認します。これにより、送信元 IP が変更された場合でも、ログインを成功させるには一意の CUCM が必要になります。

• X14.0.1リリースでは、誤ったトラバーサルゾーンを使用したMRA登録に関する次の問題が修正されています。

  1. PRRH「登録」が有効な場合の適応型ルーティングのサポート。

  2. PRRA「登録」が有効になっている同じ Expressway で MRA と B2B の両方に 2 つのゾーンが設定されている場合の適切なゾーンルックアップおよび選択。

リモート設定を容易にするために、Expressway 用の REST API を利用できます。たとえば、Cisco Prime Collaboration Provisioning などのサードパーティのシステムがあります。新機能の追加にあたって、REST API から構成、コマンド、およびステータス情報にアクセスする手段を追加していますが、同時に、以前の Expressway のバージョンで導入された一部の機能に REST API を選択的に改良しています。

この API は、RAML を使用して自己記述されており、https://<ipaddress>/api/raml で RAML の定義にアクセスできます。