La licence Essentielle vous permet de :

• Configurer vos périphériques pour qu’ils effectuent la commutation et le routage (y compris le relais DHCP et la NAT)

• Configurer les périphériques en tant que paire à haute disponibilité

• Configurer la mise en grappe

• Mettre en œuvre le contrôle des utilisateurs et des applications en ajoutant des conditions d’utilisateurs et d’applications aux règles de contrôle d’accès.

• Mettre à jour la base de données sur les vulnérabilités (VDB) et la base de données de géolocalisation (GeoDB).

• Télécharger des règles de prévention des intrusions telles que SRU/LSP. Cependant, vous ne pouvez pas déployer une politique de contrôle d’accès ou des règles qui ont une politique de prévention des intrusions sur le périphérique à moins que la licence IPS soit activée.

Cisco Secure Firewall 3100

Vous obtenez une licence Essentielle en achetant Cisco Secure Firewall.

Autres modèles

Sauf dans les déploiements qui utilisent la réservation de licence spécifique, une licence Essentielle est automatiquement ajoutée à votre compte lorsque vous enregistrez un périphérique dans centre de gestion. Pour la réservation de licence spécifique, vous devez ajouter la licence Essentielle à votre compte.

Une licence de protection contre les programmes malveillants vous permet d’utiliser les défense contre les programmes malveillants et Cisco Secure Malware Analytics. Cette fonctionnalité vous permet d’utiliser des périphériques pour détecter et bloquer les programmes malveillants dans les fichiers transmis sur votre réseau. Pour prendre en charge cette licence de fonctionnalité, vous pouvez acheter l’abonnement au service Malware Defense (AMP) comme abonnement autonome ou en combinaison avec les abonnements IPS (TM) ou IPS et Filtrage d'URL (TMC). La possession d'une licence IPS est une condition préalable à une licence de protection contre les programmes malveillants.

Remarque

Les appareils gérés pour lesquels des licences de protection contre les programmes malveillants sont activées tentent régulièrement de se connecter au nuage Cisco Secure Malware Analytics, même si vous n’avez pas configuré l’analyse dynamique. Pour cette raison, le gadget du tableau de bord du trafic d’interface du périphérique affiche le trafic transmis. c’est un comportement attendu.

Vous configurez défense contre les programmes malveillants dans le cadre d’une politique de fichiers, que vous associez ensuite à une ou plusieurs règles de contrôle d’accès. Les politiques de fichiers peuvent détecter des utilisateurs qui téléversent ou qui téléchargent des fichiers de types spécifiques sur des protocoles d’application spécifiques. Défense contre les programmes malveillants vous permet d’utiliser l’analyse locale des programmes malveillants et la préclassification de fichiers pour inspecter un ensemble restreint de ces types de fichiers à la recherche de programmes malveillants. Vous pouvez également télécharger et soumettre des types de fichiers précis au nuage Cisco Secure Malware Analytics pour une analyse dynamique et à Spéro afin de déterminer s’ils contiennent des programmes malveillants. Pour ces fichiers, vous pouvez afficher la trajectoire du fichier réseau, qui détaille le chemin qu’a suivi le fichier dans votre réseau. La licence Défense contre les programmes malveillants vous permet également d’ajouter des fichiers spécifiques à une liste de fichiers et d’activer la liste de fichiers dans une politique de fichiers, afin que ces fichiers soient automatiquement autorisés ou bloqués lors de leur détection.

Notez qu’une licence de protection contre les programmes malveillants n’est requise que si vous déployez défense contre les programmes malveillants et Cisco Secure Malware Analytics. Sans licence de protection contre les programmes malveillants, centre de gestion peut recevoir des événements de programmes malveillants de Cisco Secure Endpoint et des indications de compromission (IOC) du nuage Cisco Secure Malware Analytics.

Vous pouvez également consulter les informations importantes sur les exigences de licence pour les politiques relatives aux fichiers et aux programmes malveillants dans le Guide de configuration Cisco Secure Firewall Management Center Device.

Lorsque vous désactivez cette licence :

• Le système arrête d’interroger le nuage Cisco Secure Malware Analytics et arrête également de reconnaître les événements rétrospectifs envoyés à partir du nuage Cisco Secure Malware Analytics.

• Vous ne pouvez pas redéployer des politiques de contrôle d’accès existantes si elles comprennent des configurations défense contre les programmes malveillants.

• Pendant une très courte période après la désactivation d'une licence de protection contre les programmes malveillants, le système peut utiliser les dispositions existantes des fichiers mis en cache. À l'expiration de ce délai, le système attribue à ces fichiers la mention unavailable (Indisponible).

Si la licence expire, votre droit d'utilisation des fonctionnalités ci-dessus prend fin et le centre de gestion passe à l’état de non-conformité.

Une licence IPS vous permet d'effectuer la détection et la prévention des intrusions, le contrôle des fichiers et le filtrage Security Intelligence :

• La détection et la prévention des intrusions vous permettent d’analyser le trafic réseau à la recherche d'intrusions et d’exploits et, éventuellement, d’abandonner les paquets fautifs.

• Le contrôle de fichiers vous permet de détecter et, éventuellement, d’empêcher les utilisateurs de téléverser (envoyer) ou de télécharger (recevoir) des fichiers de types spécifiques sur des protocoles d’application spécifiques. Défense contre les programmes malveillants, qui nécessite une licence de protection contre les programmes malveillants, vous permet d’inspecter et de bloquer un ensemble restreint de ces types de fichiers en fonction de leur disposition.

• Le filtrage Security Intelligence vous permet de bloquer, mais aussi de bloquer le trafic à destination et en provenance d’adresses IP, d’URL et de noms de domaine DNS spécifiques avant que le trafic ne soit soumis à une analyse par les règles de contrôle d’accès. Les flux dynamiques vous permettent de bloquer immédiatement les connexions en fonction des dernières informations. Vous pouvez également utiliser un paramètre « surveiller uniquement » pour le filtrage Security Intelligence.

Vous pouvez acheter une licence IPS comme abonnement autonome (T) ou en combinaison avec Filtrage d'URL (TC), Malware Defense (TM) ou les deux (TMC).

Lorsque vous désactivez cette licence :

• Le centre de gestion arrête de reconnaître les incidents d'intrusion et de fichier des périphériques concernés. Par conséquent, les règles de corrélation qui utilisent ces événements comme critères de déclenchement cessent de se déclencher.

• centre de gestion ne communique pas avec Internet pour obtenir des renseignements sur la sécurité fournis par Cisco ou par des tiers.

• Vous ne pouvez pas redéployer les politiques de prévention des intrusions existantes avant d’avoir réactivé IPS .

Si la licence expire, votre droit d'utilisation des fonctionnalités ci-dessus prend fin et le centre de gestion passe à l’état de non-conformité.

La licence Carrier (d'opérateur) permet l’inspection des protocoles suivants :

• Diamètre : Diamètre est un protocole d’authentification, d’autorisation et de comptabilité (AAA) utilisé dans les réseaux de télécommunications fixes et mobiles de nouvelle génération tels que SPE (Evolved Packet System) pour LTE (Long Term Évolution) et IMS (IP Multimédia Subsystem). Il remplace RADIUS et TACACS dans ces réseaux.

• GTP/GPRS : le protocole de tunnellisation GPRS (GTP) est utilisé dans les réseaux SMS, UMTS et LTE pour le trafic du service radio général par paquets (GPRS). GTP fournit un protocole de gestion et de contrôle de tunnel pour fournir un accès réseau GPRS à une station mobile par la création, la modification et la suppression de tunnels. GTP utilise également un mécanisme de tunnellisation pour acheminer les paquets de données des utilisateurs.

• M3UA : MTP3 User Adaptation (M3UA) est un protocole client/serveur qui fournit une passerelle vers le réseau du Système de signalisation 7 (SS7) pour les applications IP qui interfacent avec la couche MTP3 (Message Transfer Part 3) de SS7. M3UA permet d’exécuter les composants SS7 (comme ISUP) sur un réseau IP.

• SCTP : le protocole SCTP (Stream Control Transmission Protocol) est un protocole de couche de transport qui prend en charge le protocole SS7 sur les réseaux IP. Il prend en charge l’architecture de réseau mobile 4G LTE. SCTP peut gérer plusieurs flux simultanés et des flux multiplexés, et offre davantage de fonctionnalités de sécurité.

Remarque

Après avoir activé cette licence sur un périphérique, utilisez une politique FlexConfig pour activer l’inspection de protocole.

Les identifiants de licences d’opérateur sont disponibles par gamme et non par modèle d’appareil. Vous pouvez activer cette licence pour chaque périphérique en mode d’évaluation ou avec une licence Smart.

La licence Carrier (d'opérateur) pour Firepower 4100/9300, Secure Firewallet Défense contre les menaces virtuelles est à durée déterminée. Cette licence prend également en charge la réservation de licence spécifique.

Périphériques pris en charge

Les périphériques qui prennent en charge la licence d’opérateur sont les suivants :

• Secure Firewall 3110

• Secure Firewall 3120

• Secure Firewall 3130

• Secure Firewall 3140

• Firepower 4112

• Firepower 4115

• Firepower 4125

• Firepower 4145

• Firepower 9300

• Défense contre les menaces virtuelles

La licence Filtrage d'URL vous permet d’écrire des règles de contrôle d’accès qui déterminent le trafic qui peut traverser votre réseau en fonction des URL demandées par les hôtes surveillés, en corrélation avec les informations sur ces URL. Pour prendre en charge cette licence de fonctionnalité, vous pouvez acheter l’abonnement de service Filtrage d'URL comme abonnement autonome ou en combinaison avec les abonnements IPS (TC) ou Threat and Malware Defense (TMC). IPS est une condition préalable pour cette licence.

Astuces

Sans licence Filtrage d'URL, vous pouvez spécifier les URL individuelles ou les groupes d’URL à autoriser ou à bloquer. Cette option vous donne un contrôle fin et personnalisé sur le trafic Web, mais ne vous permet pas d’utiliser les données de catégorie d’URL et de réputation pour filtrer le trafic réseau.

Bien que vous puissiez ajouter des conditions d’URL basées sur la catégorie et la réputation aux règles de contrôle d’accès sans une licence Filtrage d'URL, centre de gestion ne télécharger pas les informations d’URL. Vous ne pouvez pas déployer la politique de contrôle d’accès avant d’avoir ajouté une licence de Filtrage d'URL à centre de gestion, puis de l’avoir activée sur les périphériques ciblés par la politique.

Lorsque vous désactivez cette licence :

• Vous pourriez ne plus avoir accès au filtrage d’URL.

• Les règles de contrôle d’accès avec conditions d’URL arrêtent immédiatement de filtrer les URL.

• Votre centre de gestion ne peut plus télécharger les mises à jour des données d’URL.

• Vous ne pouvez pas redéployer des politiques de contrôle d’accès existantes si elles comprennent des règles avec des conditions d’URL basées sur la catégorie et la réputation.

Si la licence expire, votre droit d'utilisation des fonctionnalités ci-dessus prend fin et le centre de gestion passe à l’état de non-conformité.

Vous pouvez configurer le VPN d’accès à distance à l’aide de Secure Client (services client sécurisés) et d’IPSec/IKEv2 basé sur les normes.

Pour activer le VPN d’accès à distance, vous devez acheter et activer l’une des licences suivantes : Secure Client Advantage , Secure Client Premier ou VPN client sécurisé uniquement . Vous pouvez sélectionner Secure Client Advantage et Secure Client Premier si vous avez les deux licences et que vous souhaitez les utiliser. La licence VPN client sécurisé uniquement ne peut pas être utilisée avec Apex ou Plus. La licence Secure Client (services client sécurisés) doit être partagée avec le compte Smart. Pour plus d'informations sur les instructions, consultez http://www.cisco.com/c/dam/en/us/products/collateral/security/anyconnect-og.pdf.

Vous ne pouvez pas déployer la configuration VPN d'accès à distance sur le périphérique si celui-ci ne dispose pas des droits pour au moins l'un des types de licence Secure Client (services client sécurisés) spécifiés. Si la licence enregistrée n’est plus conforme ou si les droits expirent, le système affiche des alertes de licence et des événements d’intégrité.

Lorsque vous utilisez le VPN d’accès à distance, les fonctionnalités de contrôle d’exportation (chiffrement renforcé) doivent être activées sur votre compte Smart. Le défense contre les menaces nécessite un chiffrement fort (qui est supérieur à DES) pour établir avec succès des connexions VPN d’accès à distance avec les Secure Client (services client sécurisés).

Vous ne pouvez pas déployer le VPN d’accès à distance si les conditions suivantes sont remplies :

• La licence Smart sur centre de gestion fonctionne en mode d’évaluation.

• Votre compte Smart n’est pas configuré pour utiliser les fonctionnalités d’exportation contrôlée (chiffrement renforcé).

Caractéristiques nécessitant une fonctionnalité contrôlée à l'exportation

Certaines fonctionnalités logicielles sont assujetties aux lois et aux règlements relatifs à la sécurité nationale, à la politique étrangère et à la prévention du terrorisme. Ces fonctionnalités soumises à un contrôle d'exportation sont notamment les suivantes :

• Conformité des certifications de sécurité

• VPN d’accès à distance

• VPN de site à site avec chiffrement fort

• Politiques de plateforme SSH avec chiffrement renforcé

• Politique SSL avec chiffrement renforcé

• Fonctionnalités comme SNMPv3 avec chiffrement renforcé

Comment déterminer si une fonctionnalité contrôlée à l'exportation est actuellement activée pour votre système ?

Pour déterminer si la fonctionnalité dont l’exportation est contrôlée est actuellement activée pour votre système : Accédez à System > Licenses > Smart Licenses et voyez si Export-Controlled Functions (fonctionnalités contrôlées à l’exportation ) affiche Enabled(activé) .

A propos de l'activation des fonctionnalités contrôlées à l'exportation

Si l'option Fonctionnalités contrôlées à l'exportation indique Désactivé et que vous souhaitez utiliser des fonctionnalités nécessitant un cryptage fort, il existe deux façons d'activer les fonctionnalités de cryptage fort. Votre organisation peut être admissible à l’un ou à l’autre (ou à aucun), mais pas aux deux.

• S’il n’y a aucune option pour activer la fonctionnalité contrôlée à l'exportation lorsque vous générez un nouveau jeton d’enregistrement d’instance de produit dans Smart Software Manager, communiquez avec votre représentant de compte.

• Si l’option « autoriser la fonctionnalité contrôlée à l’exportation sur les produits enregistrés avec ce jeton » s’affiche lorsque vous générez un nouveau jeton d’enregistrement d’instance de produit dans Smart Software Manager, assurez-vous de la cocher avant de générer le jeton.

  Si vous n’avez pas activé la fonctionnalité contrôlée à l'exportation pour le jeton d’enregistrement d’instance de produit que vous avez utilisé pour enregistrer le centre de gestion, vous devez annuler l’enregistrement, puis réenregistrer le centre de gestion à l’aide d’un nouveau jeton d’enregistrement d’instance de produit dont la fonctionnalité contrôlée à l'exportation est activée.

Si vous avez enregistré des périphériques sur le centre de gestion en mode d’évaluation ou avant d’activer le chiffrement renforcé sur centre de gestion, redémarrez chaque périphérique géré pour rendre disponible un chiffrement renforcé. Dans un déploiement à haute disponibilité, les périphériques actif et de secours doivent être redémarrés ensemble pour éviter une condition actif-actif.

Ce droit est perpétuel et ne nécessite pas d’abonnement.

Autres renseignements

Pour obtenir des renseignements généraux sur les contrôles des exportations, consultez https://www.cisco.com/c/en/us/about/legal/global-export-trade.html.

Cette section décrit les droits de licence par niveau de performance disponibles pour défense contre les menaces virtuelles.

Toute licence défense contre les menaces virtuelles peut être utilisée sur n’importe quelle configuration vCPU/mémoire défense contre les menaces virtuellesprise en charge. Cela permet aux clients défense contre les menaces virtuelles d’exécuter une grande variété d’empreintes de ressources de VM. Cela augmente également le nombre d’instances AWS et Azure prises en charge. Lors de la configuration de la machine virtuelle défense contre les menaces virtuelles, le nombre maximal de cœurs (vCPU) pris en ; et la mémoire maximale prise en charge est de 32 Go .

Niveaux de performance pour Smart Licensing Défense contre les menaces virtuelles

Les limites de session pour les RA VPN sont déterminées par le niveau d’autorisation de la plateforme défense contre les menaces virtuelles installée et appliquées par l’intermédiaire d’un limiteur de débit. Le tableau suivant récapitule les limites de session en fonction du niveau d’admissibilité et du limiteur de débit.

PID Défense contre les menaces virtuelles

Lorsque vous commandez FTDV-SEC-SUB, vous devez choisir une licence Essentielle et des licences de fonctionnalités facultatives (durée de 12 mois) :

• Licence Essentielle

  • FTD-V-5S-BSE-K9

  • FTD-V-10S-BSE-K9

  • FTD-V-20S-BSE-K9

  • FTD-V-10S-BSE-K9

  • FTD-V-5S-BSE-K9

  • FTD-V-100S-BSE-K9

• Combinaison de licences englobant IPS , la défense contre les programmes malveillants et les URL :

  • FTD-V-5S-TMC

  • FTD-V-10S-TMC

  • FTD-V-20S-TMC

  • FTD-V-30S-TMC

  • FTD-V-50S-TMC

  • FTD-V-100S-TMC

• Opérateur : FTDV_CARRIER

• Cisco Secure Client—Consultez le guide de commande Cisco Secure Client.

Numéros d’ID de produits Firepower 1010

• Combinaison de licences englobant IPS , la défense contre les programmes malveillants et les URL :

  • L-FPR1010T-TMC=

  Lorsque vous ajoutez l'un des PID ci-dessus à votre commande, vous pouvez choisir un abonnement à durée déterminée correspondant à l'un des PID suivants :

  • L-FPR1010T-TMC-1Y

  • L-FPR1010T-TMC-3Y

  • L-FPR1010T-TMC-5Y

• Cisco Secure Client—Consultez le guide de commande Cisco Secure Client.

Numéros d’ID de produits pour l’appareil Firepower 1100

• Combinaison de licences englobant IPS , la défense contre les programmes malveillants et les URL :

  • L-FPR1120T-TMC=

  • L-FPR1140T-TMC=

  • L-FPR1150T-TMC=

  Lorsque vous ajoutez l'un des PID ci-dessus à votre commande, vous pouvez choisir un abonnement à durée déterminée correspondant à l'un des PID suivants :

  • L-FPR1120T-TMC-1Y

  • L-FPR1120T-TMC-3Y

  • L-FPR1120T-TMC-5Y

  • L-FPR1140T-TMC-1Y

  • L-FPR1140T-TMC-3Y

  • L-FPR1140T-TMC-5Y

  • L-FPR1150T-TMC-1Y

  • L-FPR1150T-TMC-3Y

  • L-FPR1150T-TMC-5Y

• Cisco Secure Client—Consultez le guide de commande Cisco Secure Client.

PID Firepower 2100

PID Secure Firewall 3100

• Licence Essentielle

  • L-FPR3110-BSE=

  • L-FPR3120-BSE=

  • L-FPR3130-BSE=

  • L-FPR3140-BSE=

• Combinaison de licences englobant IPS , la défense contre les programmes malveillants et les URL :

  • L-FPR3110T-TMC=

  • L-FPR3120T-TMC=

  • L-FPR3130T-TMC=

  • L-FPR3140T-TMC=

  Lorsque vous ajoutez l'un des PID ci-dessus à votre commande, vous pouvez choisir un abonnement à durée déterminée correspondant à l'un des PID suivants :

  • L-FPR3110T-TMC-1Y

  • L-FPR3110T-TMC-3Y

  • L-FPR3110T-TMC-5Y

  • L-FPR3120T-TMC-1Y

  • L-FPR3120T-TMC-3Y

  • L-FPR3120T-TMC-5Y

  • L-FPR3130T-TMC-1Y

  • L-FPR3130T-TMC-3Y

  • L-FPR3130T-TMC-5Y

  • L-FPR3140T-TMC-1Y

  • L-FPR3140T-TMC-3Y

  • L-FPR3140T-TMC-5Y

• Transporteur : L-FPR3K-FTD-CAR=

• Cisco Secure Client—Consultez le guide de commande Cisco Secure Client.

PID Firepower 4100

• Combinaison de licences englobant IPS , la défense contre les programmes malveillants et les URL :

  • L-FPR4112T-TMC=

  • L-FPR4115T-TMC=

  • L-FPR4125T-TMC=

  • L-FPR4145T-TMC=

  Lorsque vous ajoutez l'un des PID ci-dessus à votre commande, vous pouvez choisir un abonnement à durée déterminée correspondant à l'un des PID suivants :

  • L-FPR4112T-TMC-1Y

  • L-FPR4112T-TMC-3Y

  • L-FPR4112T-TMC-5Y

  • L-FPR4115T-TMC-1Y

  • L-FPR4115T-TMC-3Y

  • L-FPR4115T-TMC-5Y

  • L-FPR4125T-TMC-1Y

  • L-FPR4125T-TMC-3Y

  • L-FPR4125T-TMC-5Y

  • L-FPR4145T-TMC-1Y

  • L-FPR4145T-TMC-3Y

  • L-FPR4145T-TMC-5Y

• Transporteur : L-FPR4K-FTD-CAR=

• Cisco Secure Client—Consultez le guide de commande Cisco Secure Client.

Numéros d’ID de produits pour l’appareil Firepower 9300

• Combinaison de licences englobant IPS , la défense contre les programmes malveillants et les URL :

  • L-FPR9K-40T-TMC=

  • L-FPR9K-48T-TMC=

  • L-FPR9K-56T-TMC=

  Lorsque vous ajoutez l'un des PID ci-dessus à votre commande, vous pouvez choisir un abonnement à durée déterminée correspondant à l'un des PID suivants :

  • L-FPR9K-40T-TMC-1Y

  • L-FPR9K-40T-TMC-3Y

  • L-FPR9K-40T-TMC-5Y

  • L-FPR9K-48T-TMC-1Y

  • L-FPR9K-48T-TMC-3Y

  • L-FPR9K-48T-TMC-5Y

  • L-FPR9K-56T-TMC-1Y

  • L-FPR9K-56T-TMC-3Y

  • L-FPR9K-56T-TMC-5Y

• Transporteur : L-FPR9K-FTD-CAR=

• Cisco Secure Client —See the Cisco AnyConnect Ordering Guide.

PID ISA 3000

• Combinaison de licences englobant IPS , la défense contre les programmes malveillants et les URL :

  • L-ISA3000T-TMC=

  Lorsque vous ajoutez l'un des PID ci-dessus à votre commande, vous pouvez choisir un abonnement à durée déterminée correspondant à l'un des PID suivants :

  • L-ISA3000T-TMC-1Y

  • L-ISA3000T-TMC-3Y

  • L-ISA3000T-TMC-5Y

• Cisco Secure Client —See the Cisco AnyConnect Ordering Guide.