Cisco ASA with FirePOWER Services ローカル管理設定ガイド

シスコASA FirePOWER モジュールの概要

---

シスコASA FirePOWER モジュール® は、Cisco ASA5506-X、ASA5506H-X、ASA5506W-X、ASA5508-X、ASA5512-X、ASA5515-X、ASA5516-X、ASA5525-X、ASA5545-X、ASA5555-X、ASA5585-X-SSP-10、ASA5585-X-SSP-20、ASA5585-X-SSP-40、ASA5585-X-SSP-60 の各デバイスに展開できるモジュールです。モジュールは、組織のセキュリティ ポリシー（ネットワークを保護するためのガイドライン）に準拠した方法でネットワーク トラフィックを処理するように設計されています。セキュリティ ポリシーにはアクセプタブル ユース ポリシー（AUP）も含まれていることがあります。AUP は、組織のシステムの使用方法に関するガイドラインを従業員に提供します。

このガイドでは、ASDM 経由でアクセス可能な、ASA FirePOWER モジュールの機能の onbox 設定に関する情報を提供します。各章には、説明文、図、および手順を使用して、ユーザ インターフェイスの操作、システム パフォーマンスの最大化、および複雑な問題のトラブルシューティングに役立つ詳細な情報が記載されています。

（注） ASA FirePOWER モジュールをホストしている ASA でコマンドの権限を有効にする場合は、特権レベル 15 を持つユーザ名でログインして、ASA FirePOWER のホーム、設定、およびモニタリングのページを参照できるようにする必要があります。ステータス ページ以外の ASA FirePOWER のページに対する読み取り専用またはモニタ専用のアクセス権限は、サポートされていません。

続く各トピックでは、ASA FirePOWER モジュールの概要、主要なコンポーネント、およびこのマニュアルの使用方法について説明しています。

• ASA FirePOWER モジュールの概要
• ASA FirePOWER モジュール コンポーネント
• ライセンスの規則
• IP アドレスの規則

ASA FirePOWER モジュールの概要

ASA FirePOWER モジュールは、ネットワーク セグメントにインストールされている ASA デバイスで動作し、分析用のトラフィックをモニタします。

インラインで展開されたシステムは、 アクセス コントロール を使用してトラフィックのフローに影響を与えることができ、これによって、ネットワークを出入りしたり通過したりするトラフィックを処理する方法を詳細に指定できます。ネットワーク トラフィックについて収集したデータおよびそのデータから収集したすべての情報は、次に基づいてそのトラフィックのフィルタ処理や制御ができます。

• シンプルで容易に決定されるトランスポート層およびネットワーク層の特性（送信元と宛先、ポート、プロトコルなど）
• レピュテーション、リスク、ビジネスとの関連性、使用されたアプリケーション、または訪問した URL などの特性を含む、トラフィックに関する最新のコンテキスト情報
• 組織内の Microsoft Active Directory LDAP ユーザ

各タイプのトラフィックのインスペクションと制御は、最大限の柔軟性とパフォーマンスを引き出すために最も意味がある局面で実行されます。たとえば、レピュテーション ベースのブラックリスト登録は、単純な送信元と宛先のデータを使用するため、禁止されたトラフィックをプロセスの初期段階でブロックできます。その一方、侵入およびエクスプロイトの検出とブロックは、プロセスの最後の防衛ラインとして実行されます。

ASA FirePOWER モジュール コンポーネント

以下のトピックでは、組織のセキュリティ、適用可能な使用ポリシー、およびトラフィック管理の戦略に対して有用な ASA FirePOWER モジュールの主な機能について説明します。

• アクセス コントロール
• 侵入検知および侵入防御
• 高度なマルウェア防御とファイル制御
• アプリケーション プログラミング インターフェイス

ライセンスの規則

項の先頭に記載されているライセンス文は、その項に記載されている機能を使用するのに必要なライセンスを示しています。具体的なライセンスは次のとおりです。

Protection

Protection ライセンスでは、デバイスで侵入の検出および防御、ファイル制御、セキュリティ インテリジェンス フィルタリングを実行することができます。

Control

Control ライセンスでは、デバイスでユーザおよびアプリケーションの制御を実行することができます。Control ライセンスには Protection ライセンスが必要です。

URL Filtering

URL Filtering ライセンスでは、デバイスは、定期的に更新されるクラウドベースのカテゴリおよびレピュテーション データを使用して、モニタ対象ホストが要求した URL に基づいて、ネットワークを通過できるトラフィックを判別できます。URL Filtering ライセンスには Protection ライセンスが必要です。

Malware

Malware ライセンスでは、デバイスはネットワークベースの高度なマルウェア防御（AMP）を実行できます。これはネットワーク上で転送されるファイルに含まれるマルウェアを検出し、ブロックする機能です。Malware ライセンスには Protection ライセンスが必要です。

ライセンス付きの機能の多くは追加的であるため、このドキュメントでは、各機能で最も必要なライセンスについてのみ記載しています。たとえば、ある機能には Protection ライセンスおよび Control ライセンスが必要である場合は、Control のみを記載しています。ただし、追加的でないライセンスを機能が必要とする場合、マニュアルではそのライセンスをプラス（+）文字で示しています。

ライセンス文の「または」という語は、その項に記載されている機能を使用するには特定のライセンスが必要であるが、追加のライセンスで機能を追加できることを示しています。たとえば、あるファイル ポリシー内で、一部のファイル ルール アクションには Protection ライセンスが必要であり、他のファイル ルール アクションには Malware ライセンスが必要であるとします。この場合、そのファイル ルールの説明のライセンス文には、「Protection または Malware」と示されます。

IP アドレスの規則

IPv4 Classless Inter-Domain Routing（CIDR）の表記、および IPv6 の類似のプレフィックス長の表記を使用して、ASA FirePOWER モジュールの多数の場所でアドレス ブロックを定義することができます。

CIDR 表記は、ネットワーク IP アドレスとビット マスクを組み合わせて使用し、指定されたアドレス ブロック内の IP アドレスを定義します。たとえば次の表に、プライベート IPv4 アドレス空間を CIDR 表記で示します。

同様に、IPv6 はネットワーク IP アドレスとプレフィックス長を組み合わせて使用し、指定されたブロック内の IP アドレスを定義します。たとえば 2001:db8::/32 は、プレフィックス長が 32 ビットの 2001:db8:: ネットワーク内の IPv6 アドレスを表します。つまり、2001:db8:: ～ 2001:db8:ffff:ffff:ffff:ffff:ffff:ffff を表します。

CIDR またはプレフィックス長の表記を使用して IP アドレスのブロックを指定する場合、ASA FirePOWER モジュールは、マスクまたはプレフィックス長で指定されたネットワーク IP アドレスの部分 のみ を使用します。たとえば、10.1.2.3/8 と入力した場合、ASA FirePOWER モジュールでは 10.0.0.0/8 が使用されます。

つまり シスコは、CIDR またはプレフィックス長の表記を使用する場合に、ビット境界上でネットワーク IP アドレスを使用する標準の方法を推奨していますが、ASA FirePOWER モジュール ではこれは必要ありません。