Firepower システムの従来のデバイスのスループットと機能は、モデルおよびライセンスによって異なります。次の表で、システムのネットワーク管理機能と 7000 および 8000 シリーズ デバイス、および有効にする必要があるライセンスが一致します。従来のデバイスのすべてのモデルは、アクセス制御を実行できます。

このバージョンを実行している場合、すべての Firepower Management Center には同様の機能がありますが、容量と速度が主な違いとなります。Firepower Management Center のモデルによって、管理できるデバイス数、保存できるイベント数、およびモニタできるホスト数とユーザ数が異なります。

MC4000 では、シスコのユニファイド コンピューティング システム（UCS）プラットフォームが Firepower システムに導入されます。MC4000 は、ベースボード管理コントローラ（BMC）上で UCS Manager や Cisco Integrated Management Controller（CIMC）などのツールを使用するシスコの機能をサポートしないことに注意してください。

デバイス スタッキング

デバイスのスタッキングでは、1 つのスタック構成内で 2 ～ 4 個のデバイスを接続することにより、ネットワーク セグメントで検査されるトラフィックの量を増やすことができます。スタック構成を確立するときに、各スタック構成デバイスのリソースを 1 つの共有構成に統合します。

7000 および 8000 シリーズ デバイスのハイ アベイラビリティ

7000 および 8000 シリーズ デバイス ハイ アベイラビリティを使用すれば、複数の 7000 または 8000 シリーズ デバイスまたはスタック間のネットワーキング機能と設定データの冗長性を構築することができます。2 つ以上のピア デバイスまたはスタックをハイ アベイラビリティ ペアとして構成すると、ポリシーの適用、システムの更新、および登録について 1 つの論理システムが生成されます。デバイスのハイ アベイラビリティにより、システムは手動または自動でフェールオーバーを実現することが可能です。

ほとんどの場合、SFRP を使用することによって、ハイ アベイラビリティ ペアを構成することなくレイヤ 3 の冗長性を実現できます。SFRP では、指定した IP アドレスに対する冗長なゲートウェイとしてデバイスを機能させることができます。ネットワークの冗長性では、2 つ以上のデバイスまたはスタックが同じネットワーク接続を提供し、ネットワーク上の他のホストに対する接続性を保証するよう設定することができます。

スイッチング（Switching）

複数のネットワーク セグメントの間でパケットのスイッチングが可能になるように、レイヤ 2 の展開で Firepower システムを設定することができます。レイヤ 2 の展開では、スタンドアロンのブロードキャスト ドメインとして動作するよう、7000 および 8000 シリーズ デバイス上でスイッチド インターフェイスおよび仮想スイッチを設定します。仮想スイッチは、ホストの MAC アドレスを使用してパケットの送信先を決定します。複数の物理インターフェイスを単一の論理リンクにグループ化することで、ネットワークの 2 つのエンドポイント間でパケット スイッチングが可能になります。エンドポイントは、2 台の 7000 および 8000 シリーズ デバイス、またはサードパーティ アクセス スイッチに接続している 1 台の管理対象デバイスである場合があります。

ルーティング

複数のインターフェイス間でトラフィックをルーティングするように、レイヤ 3 の展開で、Firepower システムを設定できます。レイヤ 3 配置では、トラフィックを受信および転送するため、7000 および 8000 シリーズ デバイスでルーテッド インターフェイスと仮想ルータを設定します。システムは宛先 IP アドレスに従ってパケット転送を決定し、パケットをルーティングします。ルータは転送基準に基づいて発信インターフェイスから宛先を取得し、アクセス コントロール ルールは、適用するセキュリティ ポリシーを指定します。

仮想ルータを設定するときに、スタティック（静的）ルートを定義できます。また、Routing Information Protocol（RIP）および Open Shortest Path First（OSPF）のダイナミック ルーティング プロトコルを設定できます。さらに、スタティック ルートと RIP、またはスタティック ルートと OSPF の組み合わせを設定することもできます。ユーザは、設定するそれぞれの仮想ルータに対して DHCP リレーを設定できます。

展開で仮想スイッチと仮想ルータの両方を使用する場合は、それらの 2 つの間でトラフィックをブリッジするように関連付けられているハイブリッド インターフェイスを設定できます。これらのユーティリティはトラフィックを分析し、そのタイプと適切な応答（ルート、スイッチ、またはそれ以外）を判断します。複数の物理インターフェイスを単一の論理リンクにグループ化することで、ネットワークの 2 つのエンドポイント間でトラフィックがルーティングされます。エンドポイントは、2 台の 7000 および 8000 シリーズ デバイス、またはサードパーティ ルータに接続している 1 台の管理対象デバイスである場合があります。

NAT

レイヤ 3 の展開で、7000 および 8000 シリーズ デバイスを使用してネットワーク アドレス変換（NAT）を設定できます。内部サーバを外部ネットワークに公開することも、内部ホストまたはサーバを外部アプリケーションに接続できるようにすることも可能です。また、IP アドレスのブロックを使用するか、IP アドレスおよびポート変換の制限付きのブロックを使用することにより、外部ネットワークからプライベート ネットワーク アドレスを隠すよう、NAT を設定することもできます。

VPN

バーチャル プライベート ネットワーク（VPN）は、インターネットや他のネットワークなどのパブリック ソースを介したエンドポイント間でセキュアなトンネルを確立するネットワーク接続です。7000 および 8000 シリーズ デバイスの仮想ルータ間で安全な VPN トンネルを構築するよう、Firepower システムを設定することができます。

ファイル制御

ファイル制御により、管理対象デバイスは、ユーザが特定のアプリケーション プロトコルを介して特定のタイプのファイルをアップロード（送信）またはダウンロード（受信）するのを検出およびブロックすることができます。ファイル制御は、全体的なアクセス コントロール設定の一部として設定します。アクセス コントロール ルールに関連付けられたファイル ポリシーによって、ルールの条件を満たすネットワーク トラフィックが検査されます。

AMP for Firepower

AMP for Firepower は、ネットワーク トラフィックにいくつかのファイル タイプのマルウェアが出現するかどうかをシステムが検査できるようにするためのネットワーク ベース AMP ソリューションです。アプライアンスでは、検出されたファイルをさらに分析するためにハード ドライブまたは（一部のモデルで）マルウェア ストレージ パックに保存できます。

ローカル マルウェア分析を使用してデバイス上でローカルにファイルを分析し、マルウェアを事前に分類できます。検出されたファイルを手元に保存するかどうかに関わらず、ファイルの SHA-256 ハッシュ値を使用して単純な既知ディスポジション ルックアップ用に AMP クラウドにそれを送信することができます。また、脅威のスコアを生成する動的分析を行うためにファイルを AMP Threat Grid クラウドに送信することもできます。このコンテキスト情報を使用して、特定のファイルをブロックまたは許可するようにシステムを設定できます。

AMP for Firepower は、総合的なアクセス コントロール設定の一部として設定することができます。アクセス コントロール ルールに関連付けられているファイル ポリシーは、ルール条件に一致するネットワーク トラフィックを検査します。

AMP for Endpoint の統合

AMP for Endpoints は、エンタープライズ クラスのエンドポイント ベース AMP ソリューションです。ユーザはそれぞれ、AMP クラウドと通信するコンピュータやモバイル デバイスに軽量コネクタをインストールします。次に Firepower Management Center により、スキャン、マルウェア検出、隔離、および侵害の兆候（IOC）のレコードをインポートし、検出された脅威のトラジェクトリを表示することが可能です。

AMP for Endpoints の展開を構成するには、AMP for Endpoints 管理コンソールを使用します。このコンソールは、マルウェアをすばやく識別し、検疫するのに役立ちます。ユーザはマルウェアを発生時に特定し、それらのトラジェクトリを追跡して影響を把握し、正常にリカバリする方法を学習することができます。AMP for Endpoints を使用すると、カスタム保護の作成、グループ ポリシーに基づく特定のアプリケーションの実行のブロック、カスタム ホワイトリストの作成も可能です。

ネットワーク ファイル トラジェクトリ

ネットワーク ファイル トラジェクトリ機能を使用すれば、ネットワーク全体のファイルの伝送パスを追跡することができます。システムは SHA-256 ハッシュ値を使用してファイルを追跡するため、ファイルを追跡するには、システムで以下のいずれかの処理を行う必要があります。

• ファイルの SHA-256 ハッシュ値を計算し、その値を使用して AMP クラウドに対するクエリを実行する

• Firepower Management Center と組織の AMP for Endpoints 展開との統合を使用して、ファイルについてエンドポイントベースの脅威および検疫データを受け取る

各ファイルにはトラジェクトリ マップが関連付けられています。このマップには、経時的なファイルの転送を視覚化した情報と、ファイルに関する追加情報が含まれています。

Cisco AMP プライベート クラウド仮想アプライアンス

AMP for Firepower と AMP for Endpoints のどちらについても、AMP クラウドにシステムから直接接続することが組織のセキュリティ ポリシーで許可されていない場合は、Cisco AMP プライベート クラウド仮想アプライアンス（AMPv）を構成できます。

AMPv は、AMP クラウドの圧縮されたオンプレミス バージョン、または匿名プロキシとして機能する仮想マシンです。通常は AMP クラウドとの直接接続が必要になるデータやアクション（AMP for Endpoints からのイベント、ファイル性質ルックアップ、レトロスペクティブ イベントなど）が、AMPv とのローカル接続によって処理されるようになります。AMPv では、エンドポイント イベント データは外部接続で共有されません。

Cisco AMP Threat Grid オンプレミス アプライアンス

組織にパブリックの AMP Threat Grid クラウドへのファイルの送信に関してプライバシーまたはセキュリティ上の懸念がある場合、オンプレミスの AMP Threat Grid アプライアンスを展開することができます。このオンプレミス アプライアンスは、パブリック クラウドと同様に適格なファイルをサンドボックス環境で実行し、脅威スコアと動的分析レポートを Firepower システムに返します。ただし、このオンプレミス アプライアンスは、ご使用のネットワークの外部にあるパブリック クラウドや他のすべてのシステムとは通信しません。

eStreamer

Event Streamer（eStreamer）を使用すると、Firepower Management Center からの数種類のイベント データを、カスタム開発されたクライアント アプリケーションにストリーム配信できます。クライアント アプリケーションを作成したら、ユーザはそれを Firepower Management Center 上の eStreamer サーバに接続し、eStreamer サービスを開始して、データのやりとりを始めることができます。

eStreamer の統合ではカスタム プログラミングが必要ですが、これによりユーザはアプライアンスの特定のデータを要求することができます。たとえば、ネットワーク管理アプリケーションの 1 つにネットワーク ホスト データを表示する場合、Firepower Management Center からホストの重要度または脆弱性のデータを取得し、その情報を表示に追加するためのプログラムを記述することができます。

外部データベース アクセス

データベース アクセス機能を使用すれば、JDBC SSL 接続をサポートするサードパーティ製クライアントを使用して、Firepower Management Center 上の複数のデータベース テーブルに対してクエリを実行することができます。

Crystal Reports、Actuate BIRT、JasperSoft iReport などの業界標準のレポート作成ツールを使用してクエリを作成し、送信することができます。また、独自のカスタム アプリケーションを設定して Cisco データをクエリすることもできます。たとえば、侵入およびディスカバリ イベント データについて定期的にレポートしたり、アラート ダッシュボードをリフレッシュしたりするサーブレットを構築することが可能です。

ホスト入力

ホスト入力機能では、スクリプトまたはコマンドラインのインポート ファイルを使用してサードパーティのソースからデータをインポートすることにより、ディスカバリ データを増やすことができます。

Web インターフェイスにもいくつかのホスト入力機能があります。これらの機能では、オペレーティング システムまたはアプリケーション プロトコルの識別情報を変更し、脆弱性を有効化または無効化し、ネットワーク マップからさまざまな項目（クライアントやサーバ ポートなど）を削除することができます。

修復

システムには API が含まれており、ユーザはこれを使用して修復（修正）を作成することができます。ネットワークの条件が、関連付けられている相関ポリシーまたはコンプライアンス ホワイトリストに違反したときに Firepower Management Center が自動的に修復を起動できます。ユーザが攻撃に即時に対処できない場合でも、修正により攻撃の影響を自動的に緩和でき、またシステムが組織のセキュリティ ポリシーに準拠し続けるようにすることができます。ユーザが作成する修復のほかに、Firepower Management Center にはいくつかの事前定義された修復モジュールが付属しています。

項の先頭に記載されているライセンス ステートメントは、項で説明される機能を有効にするために Firepower システムの管理対象デバイスに割り当てる必要があるのは従来のライセンスかスマート ライセンスかを示します。

ライセンス付きの機能の多くは追加的であるため、ライセンス ステートメントでは、各機能で最も必要なライセンスについてのみ記載しています。

ライセンス文の「または」という語は、その項に記載されている機能を有効にするには特定のライセンスを管理対象デバイスに指定する必要があることを示していますが、追加のライセンスで機能を追加できます。たとえば、ファイル ポリシー内では、一部のファイル ルール アクションではデバイスに保護ライセンスを指定する必要がありますが、他方ではマルウェア ライセンスを指定する必要があります。

ライセンスの詳細については、Firepower の機能ライセンスについてを参照してください。

章または項目の先頭に記載されているサポート対象デバイスに関する記述は、ある機能が特定のデバイス シリーズ、ファミリ、またはモデルでのみサポートされていることを示しています。たとえば、スタッキングは 8000 シリーズ のデバイスでのみサポートされています。

このリリースでサポートされているプラットフォームの詳細については、リリース ノートを参照してください。

このドキュメントの各手順の先頭に記載されているアクセス ステートメントは、手順の実行に必要な事前定義のユーザ ロールを示しています。記載されている任意のロールを使用して手順を実行することができます。

カスタム ロールを持っているユーザは、事前定義されたロールとは異なる権限セットを持つことができます。事前定義されたロールを使用して手順のアクセス要件が示されている場合は、同様の権限を持つカスタム ロールにもアクセス権があります。カスタム ロールを持っているユーザは、設定ページにアクセスするために使用するメニュー パスが若干異なる場合があります。たとえば、侵入ポリシー権限のみが付与されているカスタム ロールを持つユーザは、アクセス コントロール ポリシーを使用する標準パスではなく侵入ポリシーを経由してネットワーク分析ポリシーにアクセスします。

ユーザ ロールの詳細については、定義済みのユーザ ロールおよびカスタム ユーザ ロールを参照してください。