대역외 변경 사항 자동 수락

이제 매니지드 디바이스에서 직접 구성을 변경하고 Defense Orchestrator에서 이를 탐지하면 자동으로 수락하도록 설정할 수 있습니다. Defense Orchestrator를 모니터링하고 대역 외 변경 사항을 수동으로 수락할 필요가 없습니다.

자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "디바이스에서 대역외 변경 사항을 자동으로 수락"을 참조하십시오.

시스템 개체 필터

시스템 개체 필터를 사용하면 개체 테이블에서 가장 중요한 개체를 볼 수 있습니다.

일부 디바이스는 공통 서비스에 대해 사전 정의된 개체와 함께 제공됩니다. 이러한 시스템 개체는 이미 생성되어 규칙 및 정책에서 사용할 수 있으므로 편리합니다. 개체 테이블에는 여러 시스템 개체가 있을 수 있습니다. 시스템 개체는 편집하거나 삭제할 수 없습니다.

Show System Objects(시스템 개체 표시)는 기본적으로 "꺼짐"입니다. 개체 테이블에 시스템 개체를 표시하려면 필터 표시줄에서 Show System Objects(시스템 개체 표시)를 선택합니다. 개체 테이블에서 시스템 개체를 숨기려면 필터 표시줄에서 Show System Objects(시스템 개체 표시)를 선택하지 않은 상태로 둡니다.

자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "개체 필터"를 참조하십시오.

정책 내보내기 개선 사항

지정된 시간 범위로 ASA 정책을 내보내면 이제 시간 범위 개체 이름이 .CSV 파일에 포함됩니다. 이렇게 하면 정책의 규칙이 활성화되는 시점을 더 잘 파악할 수 있습니다.

CLI 처리 개선 사항

Defense Orchestrator는 실행하는 ASA CLI 명령에서 더 이상 후행 공백을 잘라내지 않습니다.

문서 업데이트

변경 로그 항목 및 "Diff(차이)" 페이지의 내용을 명확하게 이해할 수 있도록 ASA 변경 로그 및 "Diff(차이)" 설명서가 추가되었습니다. 구성 변경의 전후 비교를 참조하십시오. 자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "변경 로그"를 참조하십시오.

관심 있는 변경 로그 항목만 내보내기

이전에는 전체 Defense Orchestrator의 변경 로그만 내보낼 수 있었습니다. 이제 변경 로그에 필터 및 검색 기준을 적용하고 원하는 항목만 내보낼 수 있습니다.

자세한 내용은 Cisco Defense Orchestrator를 사용하여 FTD 관리의 "CSV 파일로 변경 로그 내보내기"를 참조하십시오.

새 슈퍼 관리자 역할이 새 사용자 레코드를 생성하고 사용자 역할을 변경할 수 있음

Defense Orchestrator에서 슈퍼 관리자 역할에 대한 지원을 추가했습니다. 이 새 역할에는 관리자 역할의 모든 권한이 있으며 사용자 레코드를 관리할 수 있는 추가 권한이 있습니다. Defense Orchestrator 지원 팀은 기존 관리자 계정을 슈퍼 관리자로 업그레이드할 수 있습니다. 사용자에게 슈퍼 관리자 역할이 있으면 지원 티켓을 열지 않고도 추가 사용자 레코드를 생성하고 관리할 수 있습니다.

회사에서 SAML IdP(Identity Provider)를 Defense Orchestrator와 통합한 경우 이제 Defense Orchestrator 계정에 대한 사용자 액세스를 완전히 관리할 수 있습니다.

여러 Defense Orchestrator 계정을 보유한 매니지드 서비스 제공자는 이제 Defense Orchestrator를 사용하여 지원 티켓을 열지 않고도 기존 사용자에 대한 계정 액세스 권한을 부여하고 취소할 수 있습니다.

회사에서 Defense Orchestrator의 기본 ID 제공자(OneLogin)를 사용하는 경우 계속해서 지원 티켓을 열어 새 사용자 어카운트를 생성해야 하지만 지원 티켓을 열지 않고도 Defense Orchestrator 어카운트에 대한 액세스를 취소할 수 있습니다.

자세한 내용은 Cisco Defense Orchestrator를 사용하여 FTD 관리의 "사용자 관리"를 참조하십시오.

새 CDO UI

탐색 및 필터링을 재설계하여 환경을 보다 직관적으로 관리할 수 있도록 지원합니다.

디바이스 업그레이드 예약

이제 디바이스에 대한 소프트웨어 업그레이드를 예약할 수 있습니다. Device Upgrade(디바이스 업그레이드) 페이지에서 Schedule Upgrade(업그레이드 예약) 확인란을 선택하고 이후 날짜 및 시간을 구성합니다. 자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "디바이스 및 서비스 업그레이드"를 참조하십시오.

대량 자격 증명 업데이트

이제 CDO가 여러 ASA 디바이스의 ASA에 한 번에 연결하는 데 사용하는 자격 증명을 업데이트할 수 있습니다. Devices & Services(디바이스 및 서비스) 페이지에서 여러 ASA 디바이스를 선택하고 Update Credentials(자격 증명 업데이트)를 클릭합니다. 자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "ASA 연결 자격 증명 업데이트"를 참조하십시오.

디바이스 위치 업데이트

이제 IP 주소 옆에 있는 edit(편집) 버튼을 클릭하여 온보딩된 ASA의 디바이스 위치를 업데이트할 수 있습니다.

자격 증명 업데이트

이제 CDO가 ASA에 연결하는 데 사용하는 자격 증명을 업데이트할 수 있습니다. ASA를 온보딩하는 과정에서 CDO가 ASA에 연결하는 데 사용해야 하는 사용자 이름 및 비밀번호를 입력했습니다. 이전에는 이러한 자격 증명을 변경하거나 비밀번호를 변경하려면 CDO에서 ASA를 제거하고 새 자격 증명을 사용하여 다시 온보딩해야 했습니다. 이제 ASA를 다시 온보딩하지 않고도 자격 증명을 변경할 수 있습니다.

자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "ASA 연결 자격 증명 업데이트"를 참조하십시오.

새 ASA 기본 규칙 동작

새 규칙이 ASA 네트워크 정책에 추가되면 기본적으로 "Permit(허용)" 작업이 할당됩니다.

내보낸 디바이스 목록에 테넌트 이름이 포함됨

특정 테넌트의 디바이스 목록을 내보내면 이제 테넌트의 이름이 내보낸 파일 이름에 통합됩니다.

자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "디바이스 및 서비스 목록 내보내기"를 참조하십시오.

네트워크 그룹 대량 입력

이제 ASA 네트워크 개체 그룹을 생성하거나 수정할 때 IP 주소를 한 번에 하나씩 추가하는 대신 대량으로 추가할 수 있습니다.

자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "ASA 네트워크 개체 및 네트워크 그룹 생성 또는 수정"을 참조하십시오.

시간 기반 ASA 네트워크 정책 지원

시간 기반 ASA 네트워크 정책은 시간을 기준으로 네트워크 및 리소스에 대한 액세스를 허용합니다. 시간은 시간 범위 개체로 정의됩니다. 시간 범위 개체에는 시작 시간과 종료 시간이 있으며 반복 이벤트로 정의할 수도 있습니다. 자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "정책에 대한 시간 범위 정의"를 참조하십시오.

새 디바이스 세부사항 패널 레이아웃

디바이스 정보 및 일반적으로 사용되는 명령 버튼을 더 쉽게 찾을 수 있도록 디바이스 세부 정보 패널을 재구성했습니다.

ASA 전역 액세스 정책 지원

이제 CDO를 사용하여 ASA에 대한 전역 액세스 정책을 생성할 수 있습니다. 전역 액세스 정책은 ASA의 모든 인터페이스에 적용되는 네트워크 정책입니다. 이는 인바운드 네트워크 트래픽에 적용됩니다. CDO를 사용하면 전역 액세스 정책을 한 ASA에서 다른 ASA로 복사하여 디바이스 간에 일관성을 유지할 수 있습니다. 자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "ASA 전역 액세스 정책 구성"을 참조하십시오.

ASA 디바이스를 위한 NAT(Network Address Translation) 규칙 마법사

다음과 같은 활용 사례를 위해 ASA 디바이스에서 NAT 규칙을 생성하는 데 도움이 되는 새로운 NAT(Network Address Translation) 규칙 마법사가 있습니다.

• 내부 사용자에 대한 인터넷 액세스 활성화

• 인터넷에 내부 서버 노출

자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "네트워크 주소 변환 규칙 마법사"를 참조하십시오.

새 트러블슈팅 설명서

ASA를 재부팅한 후 CDO(Cisco Defense Orchestrator)와 ASA가 연결되지 않으면 ASA가 CDO의 Secure Device Connector에서 지원하지 않는 OpenSSL 암호 그룹을 사용하도록 대체되었기 때문일 수 있습니다. "ASA Fails to Reconnect to CDO After Reboot(재부팅 후 ASA가 CDO에 다시 연결하지 못함)" 트러블슈팅 항목 테스트에서는 지원되는 암호 그룹 목록 및 치료 단계를 제공합니다.

ACE(Access Control Entry) 제한 계산

CDO는 개별 규칙의 ACE(Access Control Entry) 수, 네트워크 정책 및 ASA에서 실행 중인 총 수를 표시합니다. ASA가 처리할 수 있는 ACE의 수에는 하드 코딩된 제한이 없지만, 액세스 제어 항목의 수가 너무 많아지면 ASA의 성능이 저하됩니다. 자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "액세스 제어 항목(ACE)"을 참조하십시오.

지원되지 않는 디바이스

CDO는 현재 ASASM(ASA Service Module)을 지원합니다.

읽기 전용 사용자

읽기 전용 사용자 역할을 생성했습니다. 읽기 전용 사용자는 CDO의 모든 항목을 볼 수 있지만 어떤 페이지에서도 생성, 업데이트, 구성 또는 삭제할 수는 없습니다. 디바이스를 온보딩할 수도 없습니다.

읽기 전용 사용자에게는 모든 페이지에서 "Read Only User(읽기 전용 사용자). You cannot make configuration pages(구성 페이지를 만들 수 없습니다)."라는 파란색 배너가 표시되며

사용자 관리 테이블에서 역할에 따라 식별됩니다. 자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "사용자 역할"을 참조하십시오.

연결 자격 증명 업데이트

디바이스를 온보딩할 때 해당 디바이스의 사용자 이름과 비밀번호를 지정합니다. Cisco Defense Orchestrator는 이러한 자격 증명을 사용하여 디바이스에 연결하고 디바이스에 명령을 전송할 때 해당 사용자 역할을 합니다. 디바이스에서 사용자 또는 비밀번호가 변경되면 해당 변경 사항을 반영하도록 디바이스 자격 증명을 업데이트할 수 있습니다.

자세한 내용은 다음 주제를 참고하십시오.

• ASA 연결 자격 증명 업데이트 - Cisco Defense Orchestrator를 사용하여 ASA 관리

• AWS 연결 자격 증명 업데이트 - Cisco Defense Orchestrator를 사용하여 AWS 관리

• Meraki MX 연결 자격 증명 업데이트 - Cisco Defense Orchestrator를 사용하여 Meraki 관리

향상된 네트워크 정책 필터링

이제 정책이 실행되는 ASA를 먼저 파악하지 않고도 적중 횟수를 기준으로 네트워크 정책을 필터링할 수 있습니다. 이를 통해 구축의 어디에서나 적중 횟수가 0인 네트워크 정책을 찾을 수 있습니다. 자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "사용 사례 필터링"을 참조하십시오.

네트워크 정책 규칙 내보내기

각 Access-Group 또는 Crypto-Map의 콘텐츠를 .csv 파일로 내보낼 수 있습니다. 이 .csv는 각 ACL(Access Control List) 및 CDO가 각 ACL에 대해 보유한 데이터를 표시합니다. 자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "네트워크 정책 규칙 내보내기"를 참조하십시오.

새로운 CDO 포털

사용자가 알아야 할 사항, 수행해야 하는 작업 및 수행해야 하는 위치를 신속하게 전달할 수 있도록 포털을 재설계했습니다.

맞춤형 URL 업그레이드

이제 자체 이미지 저장소에서 유지 관리하는 ASA 소프트웨어 및 ASDM 이미지를 사용하여 ASA 디바이스를 업그레이드할 수 있습니다. ASA에 인터넷에 대한 아웃바운드 액세스 권한이 없거나 CDO의 이미지 저장소에 없는 이미지를 원하는 경우 ASA를 업그레이드하는 가장 좋은 방법입니다. FTP, TFTP, HTTP, HTTPS, SCP 및 SMB 프로토콜 중 하나를 사용하여 저장소에서 이미지를 검색할 수 있습니다.

자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "맞춤형 URL 업그레이드"를 참조하십시오.

디바이스 참고 사항

이제 CDO에서 나가지 않고도 특정 ASA에 대한 메모를 단일 일반 텍스트 파일에 저장할 수 있습니다. 자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "디바이스 참고 사항"을 참조하십시오.

테넌트와 연결된 모든 계정 보기

이제 User Management(사용자 관리) 화면에서 테넌트와 연결된 모든 사용자를 볼 수 있습니다. 여기에는 지원 티켓을 해결하기 위해 사용자 어카운트와 일시적으로 연결된 모든 Cisco 지원 엔지니어가 포함됩니다.

테넌트와 연결된 사용자를 보려면 다음을 수행합니다.

1. 사용자 메뉴에서 Settings(설정)를 선택합니다.

2. User Management(사용자 관리)를 클릭합니다.

테넌트에 대한 Cisco 액세스 관리

Cisco 지원에서는 지원 티켓을 해결하거나 둘 이상의 고객에게 영향을 미치는 문제를 사전에 해결하기 위해 사용자를 테넌트와 연결합니다. 그러나 원하는 경우 어카운트 설정을 변경하여 Cisco 지원에서 어카운트에 액세스하는 것을 방지할 수 있습니다. 자세한 내용은 Cisco Defense Orchestrator를 사용하여 FTD 관리의 "일반 설정"을 참조하십시오.

CLI 매크로를 사용하여 ASA 관리

CDO는 ASA에서 맞춤 설정하고 실행할 수 있는 완전한 CLI 기반 명령 및 명령 템플릿 목록을 제공합니다. 이러한 CLI 매크로는 단일 ASA 또는 ASA에서 대량으로 실행할 수 있습니다. 정기적으로 수행하는 모니터링 또는 유지 보수 작업이 있습니까? 고유한 CLI 기반 명령을 생성하여 CDO에 저장하고 필요할 때 재사용할 수 있습니다.

ASA 구성 비교

이제 두 개의 ASA 구성을 쉽게 비교할 수 있습니다. Devices & Services(디바이스 및 서비스) 페이지에서 두 개의 ASA를 선택하고 Compare(비교) 버튼을 클릭합니다. CDO는 디바이스의 구성을 나란히 비교합니다. 자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "ASA 구성 비교"를 참조하십시오.

CDO를 사용하여 최근 Cisco ASA 보안 권고의 위험 완화

2018년 1월 29일, Cisco 제품 보안 사고 대응 팀(PSIRT)은 ASA 및 Firepower 보안 취약성에 대해 설명하는 보안 권고 cisco-sa-20180129-asa1을 게시했습니다. Cisco ASA 자문 cisco-sa-20180129-asa1에서 CDO를 사용하여 자문의 영향을 받는 ASA를 찾고 패치가 적용된 ASA 버전으로 업그레이드하는 방법을 알아보려면 문서 cisco-sa-20180129-asa1을 참조하십시오.

긴 CLI 시퀀스를 허용하는 CDO

CLI의 명령 상자에 긴 명령 목록을 입력하면 CDO는 ASA API에 대해 한 번에 실행할 수 있도록 명령을 여러 명령으로 분할하려고 시도합니다. CDO가 명령에서 적절한 분리를 결정할 수 없는 경우 힌트를 입력하라는 프롬프트가 표시됩니다. 예를 들면 다음과 같습니다.

오류: CDO가 600자를 초과하는 이 명령의 일부를 실행하려고 시도했습니다. 적절한 명령 구분 지점이 어디인지에 대한 힌트를 CDO에 제공할 수 있습니다. 명령 목록 사이에 빈 행을 추가하면 됩니다.

자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "ASA 명령줄 인터페이스"를 참조하십시오.

섀도우 규칙 문제 관리를 위한 개선 사항

• ASA 네트워크 정책 문제 필터는 정책에 섀도잉 규칙이 있는지 여부를 나타냅니다.

  

• ASA 네트워크 정책의 규칙 옆에 새 배지 가 있으면 해당 규칙이 정책의 다른 규칙을 섀도잉하고 있음을 나타냅니다.

• 섀도우 규칙의 경우, 네트워크 정책 세부 정보 창은 정책에서 규칙을 섀도잉하는 규칙을 식별합니다.

  

• 섀도우 규칙 문제 해결에 대한 새 설명서입니다.

CDO에서 ASA 네트워크 정책의 액세스 제어 항목 계산

CDO(Cisco Defense Orchestrator)는 ASA 네트워크 정책의 모든 규칙에서 파생된 ACE(Access Control Entry) 수를 계산하여 네트워크 정책 세부사항 창의 상단에 해당 합계를 표시합니다. 네트워크 정책의 규칙 중 하나라도 섀도 처리된 경우 해당 번호도 나열됩니다.

또한 CDO는 네트워크 정책의 단일 규칙에서 파생된 ACE의 수를 표시하고 네트워크 정책 세부 정보 창에 해당 정보를 표시합니다. 다음은 해당 목록의 예입니다.

ASA에는 디바이스에서 생성되는 ACE 수에 대한 권장 제한이 있습니다. 이러한 권장 사항을 따르면 ASA에서 최적의 속도로 네트워크 트래픽을 처리할 수 있습니다. 사용되지 않는 규칙 또는 숨겨진 규칙을 삭제하면 ACE 카운트를 줄이는 데 도움이 됩니다.

네트워크 정책의 번호가 매겨진 라인

CDO는 네트워크 정책에서 규칙을 쉽게 읽을 수 있도록 번호를 매깁니다. 정책에서 규칙을 추가 및 삭제하거나 순서를 변경하면 라인 번호가 다시 매겨집니다.

향상된 ASA 네트워크 정책 관리

이제 ASA 네트워크 정책을 사용하여 이러한 작업을 수행할 수 있습니다!

• ASA 디바이스 간에 정책을 복사하여 붙여넣습니다. 한 ASA에서 다른 ASA로 정책을 복사하여 특정 인터페이스에 할당합니다.

• 정책 내에서 규칙을 잘라내고 붙여넣습니다. 규칙 테이블에서 규칙을 잘라내고 붙여넣어 정책 내에서 규칙의 우선순위를 변경합니다.

• 정책 간에 규칙을 복사하여 붙여넣습니다. 한 정책에서 다른 정책으로 규칙을 복사하여 정책 일관성을 높입니다. 이러한 정책은 동일한 디바이스에 있을 수도 있고 다른 디바이스에 있을 수도 있습니다.

이러한 개선 사항은 ASA 네트워크 정책 생성, 정책의 규칙 활성화 또는 비활성화, 정책의 규칙에 의해 생성된 활동 로깅 등의 기존 기능을 보완합니다.

자세한 내용은 Cisco Defense Orchestrator를 사용하여 ASA 관리의 "ASA 네트워크 개체 및 네트워크 그룹 생성 또는 수정" 및 "ASA 네트워크 정책"을 참조하고 페이지 하단의 항목 화살표를 사용하여 ASA 네트워크 정책 설명서를 탐색하십시오.