Firepower Management Center を構成するか従来の管理対象デバイスを構成するかに応じて、次の操作を実行します。

• Management Center：[システム（System）] > [設定（Configuration）] を選択します。
• 管理対象デバイス：[デバイス（Devices）] > [プラットフォーム設定（Platform Settings）] を選択し、Firepower ポリシーを作成または編集します。

[アクセス リスト（Access List）] をクリックします。

現在の設定の 1 つを削除するために、削除アイコン（）をクリックすることもできます。

1 つ以上の IP アドレスへのアクセスを追加するには、[ルールの追加（Add Rules）] をクリックします。

[IP アドレス（IP Address）] フィールドに、IP アドレスまたはアドレスの範囲を入力するか、any を入力します。

[SSH]、[HTTPS]、[SNMP]、またはこれらのオプションの組み合わせを選択して、これらの IP アドレスで有効にするポートを指定します。

[追加（Add）] をクリックします。

[保存（Save）] をクリックします。

[デバイス（Devices）] > [プラットフォーム設定（Platform Settings）]を選択します。

Firepower ポリシーを作成または編集します。

[監査ログ（Audit Log）] をクリックします。

[監査ログを Syslog に送信（Send Audit Log to Syslog）] ドロップダウン メニューから、[有効（Enabled）] を選択します。

[ホスト（Host）] フィールドにある syslog サーバの IP アドレスまたは完全修飾名を使用して、監査情報の宛先ホストを指定します。デフォルト ポート（6514）が使用されます。

Syslog アラート ファシリティで説明されているとおりに、[ファシリティ（Facility）] リストからファシリティを選択します。

syslog 重大度レベルで説明されているとおりに、[重大度（Severity）] リストから重大度を選択します。

オプションで、[タグ（Tag）] フィールドに、syslog メッセージとともに表示するタグ名を入力します。たとえば、syslog に送信されるすべての監査ログ レコードの先頭に「FROMMC」を付加したい場合に、このフィールドに「FROMMC」と入力します。

[保存（Save）] をクリックします。

[デバイス（Devices）] > [プラットフォーム設定（Platform Settings）]を選択します。

Firepower ポリシーを作成または編集します。

[監査ログ（Audit Log）] をクリックします。

必要に応じて、[タグ（Tag）] フィールドに、メッセージとともに表示するタグ名を入力します。たとえば、すべての監査ログ レコードの前に FROMMC を付けるには、このフィールドに FROMMC を入力します。

[HTTP サーバへの監査ログの送信（Send Audit Log to HTTP Server）] ドロップダウン リストから、[有効（Enabled）] を選択します。

[監査情報を送信する URL（URL to Post Audit）] フィールドに、監査情報の送信先 URL を指定します。次にリストした HTTP POST 変数を要求するリスナー プログラムに対応する URL を入力します。

[保存（Save）] をクリックします。

次の手順を実行して、署名付きクライアント証明書を入手し、デバイスにインストールします。

1. 従来型デバイスの署名付き監査ログ クライアント証明書の取得：

   システム情報と指定した ID 情報に基づいて、デバイスで証明書署名要求（CSR）を生成します。

   CSR を認識済みの信頼できる認証局（CA）に送信して、署名付きクライアント証明書を要求します。

   デバイスと監査ログ サーバ間の相互認証が必要な場合、接続に使用するサーバ証明書に署名したのと同じ CA がクライアント証明書に署名する必要があります。

2. 認証局から署名付き証明書を受信した後は、その証明書をデバイスにインポートします。従来型デバイスへの監査ログ クライアント証明書のインポートを参照してください。

Transport Layer Security（TLS）を使用するサーバとの通信チャネルを設定し、相互認証を有効にします。

まだ行っていない場合は、監査ログ ストリーミングを設定します。次を参照してください。

デバイスの Web ベースのユーザ インターフェイスにアクセスします。7000 または 8000 シリーズ デバイスの Web インターフェイスへのログインを参照してください。

[システム（System）] > [設定（Configuration）]を選択します。

[監査ログ証明書（Audit Log Certificate）] をクリックします。

[新規 CSR の生成（Generate New CSR）] をクリックします。

[国名（2 文字のコード）（Country Name (two-letter code)）] フィールドに国番号を入力します。

[都道府県（State or Province）] フィールドに、都道府県名を入力します。

[市区町村（Locality or City）] を入力します。

[組織（Organization）] の名前を入力します。

[組織単位（部署名）（Organizational Unit (Department)）] の名前を入力します。

[共通名（Common Name）] フィールドに、証明書を要求するサーバの完全修飾ドメイン名を入力します。

[生成（Generate）] をクリックします。

テキスト エディタで、新しい空のファイルを開きます。

証明書要求のテキスト ブロック全体（BEGIN CERTIFICATE REQUEST 行と END CERTIFICATE REQUEST 行を含む）をコピーして、空のテキスト ファイルに貼り付けます。

このファイルを clientname.csr として保存します。clientname は、証明書を使用する予定のアプライアンスの名前にします。

[閉じる（Close）] をクリックします。

ASA FirePOWER デバイスに監査ログ クライアント証明書をインポートするには、次を実行します。

7000 または 8000 シリーズ デバイスに監査ログ クライアント証明書をインポートするには、次の手順を実行します

1. デバイスの Web ベースのユーザ インターフェイスにアクセスします。7000 または 8000 シリーズ デバイスの Web インターフェイスへのログインを参照してください。

2. [システム（System）] > [設定（Configuration）]を選択します。

3. [監査ログ証明書（Audit Log Certificate）] をクリックします。

4. [監査クライアント証明書のインポート（Import Audit Client Certificate）] をクリックします。

5. テキスト エディタでクライアント証明書を開いて、BEGIN CERTIFICATE の行と END CERTIFICATE の行を含むテキストのブロック全体をコピーします。このテキストを [クライアント証明書（Client Certificate）] フィールドに貼り付けます。

6. 秘密キーをアップロードするには、秘密キー ファイルを開いて、BEGIN RSA PRIVATE KEY の行と END RSA PRIVATE KEY の行を含むテキストのブロック全体をコピーします。このテキストを [秘密キー（Private Key）] フィールドに貼り付けます。

7. 必要な中間証明書をすべて開いて、それぞれのテキストのブロック全体をコピーして、[証明書チェーン（Certificate Chain）] フィールドに貼り付けます。

8. [保存（Save）] をクリックします。

デバイスの Web ベースのユーザ インターフェイスにアクセスします。7000 または 8000 シリーズ デバイスの Web インターフェイスへのログインを参照してください。

[システム（System）] > [設定（Configuration）]を選択します。

[監査ログ証明書（Audit Log Certificate）] をクリックします。

Transport Layer Security を使用して監査ログを安全に外部サーバへストリーミングするには、[TLSの有効化（Enable TLS）] 選択します。

検証せずにサーバ証明書を受け入れる場合（非推奨）、次を実行します。

1. [相互認証の有効化（Enable Mutual Authentication）] をオフにします。

2. [保存（Save）] をクリックして、残りの手順をスキップします。

監査ログ サーバの証明書を検証するには、[相互認証の有効化（Enable Mutual Authentication）] をオンにします。

（相互認証を有効にした場合）無効な証明書を自動的に認識するには、次を実行します。

1. [CRLの取得の有効化（Enable Fetching of CRL）] をオンにします。

   （注）	CRL のフェッチを有効にすると、定期的に CRL を更新するスケジュール タスクが作成されます。

2. 既存の CRL ファイルへの有効な URL を入力して、[CRL の追加（Add CRL）] をクリックします。

   最大 25 個まで CRL の追加を繰り返します。

3. [CRL の更新（Refresh CRL）] をクリックして現在の CRL をロードするか、指定した URL から CRL をロードします。

クライアント証明書を作成したものと同じ認証局によって生成された有効なクライアント証明書があることを確認します。

[保存（Save）] をクリックします。

ASA FirePOWER デバイスの現在の監査ログ クライアント証明書を表示するには、次を実行します。

7000 または 8000 シリーズ ハードウェア デバイスの現在の監査ログ証明書を表示するには、次を実行します。

1. デバイスの Web ベースのユーザ インターフェイスにアクセスします。7000 または 8000 シリーズ デバイスの Web インターフェイスへのログインを参照してください。

2. [システム（System）] > [設定（Configuration）]を選択します。

3. [監査ログ証明書（Audit Log Certificate）] をクリックします。

[デバイス（Devices）] > [プラットフォーム設定（Platform Settings）] を選択し、Firepower ポリシーを作成または編集します。

[外部認証（External Authentication）] をクリックします。

[ステータス（Status）] ドロップダウン リストから [有効（Enabled）] を選択します。

[デフォルト ユーザ ロール（Default User Role）] ドロップダウン リストから、ユーザ ロールを選択して、外部認証済みユーザに付与するデフォルト権限を定義します。

外部サーバを使用して CLI またはシェル アクセス アカウントを認証する場合、[シェル認証（Shell Authentication）] ドロップダウン リストから [有効（Enabled）] を選択します。

CAC 認証および認可を有効にする場合は、[CAC 認証（CAC Authentication）] ドロップダウン リストから使用可能な CAC 認証オブジェクトを選択します。CAC 認証および認可の設定の詳細については、CAC 認証を参照してください。

使用する外部認証オブジェクトそれぞれの横にあるチェック ボックスをクリックします。複数のオブジェクトを有効にすると、ユーザは指定された順序でサーバと照合されます。サーバの順序を変更する場合は、次の手順を参照してください。

（任意） 上矢印および下矢印を使用して、認証要求が行われたときに認証サーバがアクセスされる順序を変更できます。

[保存（Save）] をクリックします。

Firepower Management Center または従来型の管理対象デバイスのどちらを設定しているかに応じて、次の操作を実行します。

• Management Center：[システム（System）] > [設定（Configuration）] を選択します。
• 管理対象デバイス：[デバイス（Devices）] > [プラットフォーム設定（Platform Settings）] を選択し、Firepower ポリシーを作成または編集します。

[言語（Language）] をクリックします。

使用する言語を選択します。

[保存（Save）] をクリックします。

Firepower Management Center または Classic 管理対象デバイスのいずれを設定しているかに応じて、以下を実行します。

• Management Center：[システム（System）] > [設定（Configuration）] を選択します。
• 管理対象デバイスの場合：[デバイス（Devices）] > [プラットフォーム設定（Platform Settings）]を選択するか、ファイアウォール ポリシーを作成、または編集します。

[ログイン バナー（Login Banner）] を選択します。

[カスタム ログイン バナー（Custom Login Banner）] フィールドに、使用するログイン バナー テキストを入力します。

[保存（Save）] をクリックします。

Firepower Management Center を構成するか従来の管理対象デバイスを構成するかに応じて、次の操作を実行します。

• Management Center：[システム（System）] > [設定（Configuration）] を選択します。
• 管理対象デバイス：[デバイス（Devices）] > [プラットフォーム設定（Platform Settings）] を選択し、Firepower ポリシーを作成または編集します。

[シェル タイムアウト（Shell Timeout）] をクリックします。

次の選択肢があります。

• Web インターフェイスのセッション タイムアウトを設定するには、[ブラウザ セッション タイムアウト（分）（Browser Session Timeout (Minutes)）] フィールドに数値（分数）を入力します。デフォルト値は 60 で、最大値は 1440（24 時間）です。このセッション タイムアウトからユーザを除外する方法については、ユーザ アカウント ログイン オプションを参照してください。
• コマンドライン インターフェイスのセッション タイムアウトを設定するには、[シェル タイムアウト（分）（Shell Timeout (Minutes)）] フィールドに数値（分数）を入力します。デフォルト値は 0 で、最大値は 1440（24 時間）です。
• 補助コマンドライン インターフェイスで expert コマンドを永続的に無効にするには、[expert コマンドを永続的に無効化（Permanently Disable Expert Access）] チェックボックスを選択します。

[保存（Save）] をクリックします。

Firepower Management Center を構成するか従来の管理対象デバイスを構成するかに応じて、次の操作を実行します。

• Management Center：[システム（System）] > [設定（Configuration）] を選択します。
• 管理対象デバイス：[デバイス（Devices）] > [プラットフォーム設定（Platform Settings）] を選択し、Firepower ポリシーを作成または編集します。

[SNMP] をクリックします。

[SNMP バージョン（SNMP Version）] ドロップダウン リストから、使用する SNMP バージョンを選択します。

次の選択肢があります。

• [バージョン 1（Version 1）] または [バージョン 2（Version 2）] を選択した場合は、[コミュニティ ストリング（Community String）] フィールドに SNMP コミュニティ名を入力します。手順 13 に進みます。

  （注）	SNMPv2 は、読み取り専用コミュニティのみをサポートしています。

• [バージョン 3（Version 3）] を選択した場合、[ユーザを追加（Add User）] をクリックするとユーザ定義ページが表示されます。

  （注）	SNMPv3 は、読み取り専用ユーザと AES128 による暗号化のみをサポートしています。

ユーザ名を入力します。

[認証プロトコル（Authentication Protocol）] ドロップダウン リストから、認証に使用するプロトコルを選択します。

[認証パスワード（Authentication Password）] フィールドに SNMP サーバの認証に必要なパスワードを入力します。

[パスワードの確認（Verify Password）] フィールドに、認証パスワードを再度入力します。

使用するプライバシー プロトコルを [プライバシー プロトコル（Privacy Protocol）] リストから選択するか、プライバシー プロトコルを使用しない場合は [なし（None）] を選択します。

[プライバシー パスワード（Privacy Password）] フィールドに SNMP サーバで必要な SNMP プライバシー キーを入力します。

[パスワードの確認（Verify Password）] フィールドに、プライバシー パスワードを再度入力します。

[追加（Add）] をクリックします。

[保存（Save）] をクリックします。

設定するアプライアンスの種類に応じて、次のようにします。

• Management Center：[システム（System）] > [設定（Configuration）] を選択します。
• 従来型管理対象デバイス：[デバイス（Devices）] > [プラットフォーム設定（Platform Settings）] を選択し、Firepower ポリシーを作成または編集します。

[UCAPL/CC コンプライアンス（UCAPL/CC Compliance）] をクリックします。

アプライアンスのセキュリティ認定コンプライアンスを永続的に有効にするには、2 つの選択肢があります。

• [コモン クライテリア（Common Criteria）] モードでセキュリティ認定コンプライアンスを有効にするには、ドロップダウン リストから [CC] を選択します。
• [Unified 機能承認製品リスト（Unified Capabilities Approved Products List）] モードでセキュリティ認定コンプライアンスを有効にするには、ドロップダウン リストから [UCAPL] を選択します。

[保存（Save）] をクリックします。

[デバイス（Devices）] > [プラットフォーム設定（Platform Settings）]を選択します。

Firepower ポリシーを作成または編集します。

[時刻の同期（Time Synchronization）] をクリックします。

従来型管理対象デバイスでの時刻同期の方法を指定するには、次を実行します。

• Firepower Management Center が NTP サーバとして機能するように設定されている場合は、[Management CenterのNTPを使用（Via NTP from Management Center）] を選択します。
• ネットワーク上の NTP サーバから時刻を受信する場合は、[NTPの接続元（Via NTP from）] を選択します。テキスト ボックスに、[システム（System）] > [時刻同期（Time Synchronization）] で入力したのと同じ IP アドレスまたはホスト名を入力します。

[保存（Save）] をクリックします。

NGIPS ハードウェア デバイスのローカル Web インターフェイスにログインします。

[システム（System）] > [設定（Configuration）]を選択します。

[時間（Time）] をクリックします。