ネットワーク グループとネットワーク オブジェクト（総称してネットワーク オブジェクトと呼ぶ）を使用して、ホストまたはネットワークのアドレスを定義します。その後、オブジェクトは、トラフィックの一致基準を定義するためにセキュリティ ポリシーで使用したり、サーバやその他のリソースのアドレスを定義するための設定で使用したりできます。

ネットワーク オブジェクトでは単一のホストまたはネットワーク アドレスを定義しますが、ネットワーク グループ オブジェクトでは複数のアドレスを定義できます。

次の手順では、[オブジェクト（Objects）] ページから直接オブジェクトを作成および編集する方法について説明します。アドレス プロパティを編集している間に、オブジェクト リストに表示される [新規ネットワークの作成（Create New Network）]リンクをクリックして、ネットワーク オブジェクトを作成することもできます。

ポート グループとポート オブジェクト（総称してポート オブジェクトと呼ぶ）を使用して、トラフィックのプロトコル、ポート、または ICMP サービスを定義します。その後、オブジェクトは、トラフィックの一致基準を定義するためのセキュリティ ポリシーで使用したり、特定の TCP ポートへのトラフィックを許可するアクセス ルールを使用するために使用したりできます。

ポート オブジェクトでは、単一のプロトコル、TCP/UDP ポートまたはポート範囲、ICMP サービスを定義しますが、ポート グループ オブジェクトでは複数のサービスを定義できます。

システムには共通サービスのための複数の定義済みオブジェクトが含まれています。それらのオブジェクトはユーザのポリシーで使用できます。ただし、システム定義オブジェクトの編集や削除はできません。

（注）	ポート グループ オブジェクトを作成する場合は、意味のあるオブジェクトの組み合わせにしてください。たとえば、アクセス ルールで送信元ポートと宛先ポートの両方を指定するために使用する場合、1 つのオブジェクトにプロトコルを混在させることはできません。すでに使用されているオブジェクトを編集する場合は注意してください。そのオブジェクトを使用するポリシーを無効にしてしまう可能性があります。

次の手順では、[オブジェクト（Objects）] ページから直接オブジェクトを作成および編集する方法について説明します。サービス プロパティを編集している間に、オブジェクト リストに表示される [ポートの新規作成（Create New Port）]リンクをクリックして、ポート オブジェクトを作成することもできます。

セキュリティ ゾーンは、インターフェイスのグループです。ゾーンでネットワークを複数のセグメントに分割することで、トラフィックの管理と分類が容易になります。複数のゾーンを定義できますが、特定のインターフェイスは 1 つのゾーンにのみ定義できます。

初期設定時に次のゾーンが作成されます。それらのゾーンを編集して、インターフェイスの追加や削除ができます。また、不要になったゾーンは削除できます。

• [inside_zone]：内部インターフェイスが含まれています。内部インターフェイスがブリッジ グループの場合、このゾーンには、内部のブリッジ仮想インターフェイス（BVI）ではなく、すべてのブリッジ グループ メンバー インターフェイスが含まれます。これは、内部ネットワークを表すためのゾーンです。

• [outside_zone]：外部インターフェイスが含まれています。これは、ユーザの制御が及ばないネットワーク（インターネットなど）を表すためのゾーンです。

通常は、ネットワーク内での役割に応じてインターフェイスをグループ化します。たとえば、インターネットに接続するインターフェイスは [outside_zone]セキュリティ ゾーンに設定し、内部ネットワークのインターフェイスはすべて [inside_zone]セキュリティ ゾーンに設定します。次に、外部ゾーンから内部ゾーンに移動するトラフィックに対してアクセス コントロール ルールを適用できます。

ゾーンを作成する前に、ネットワークに適用するアクセス ルールとその他のポリシーを検討してください。たとえば、すべての内部インターフェイスを同じゾーンに設定する必要はありません。4 つの内部ネットワークがあり、1 つのネットワークの扱いを他の 3 つのネットワークとは変えたい場合は、1 つではなく 2 つのゾーンを作成できます。パブリック Web サーバへの外部アクセスを許可する必要があるインターフェイスがある場合、そのインターフェイスには別のゾーンを使用することができます。

次の手順では、[オブジェクト（Objects）] ページから直接オブジェクトを作成および編集する方法について説明します。セキュリティ ゾーン プロパティを編集している間に、オブジェクト リストに表示される [セキュリティ ゾーンの新規作成（Create New Security Zone）]リンクをクリックして、セキュリティ ゾーンを作成することもできます。

アプリケーション フィルタ オブジェクトは、IP 接続で使用されるアプリケーション、または、タイプ、カテゴリ、タグ、リスク、またはビジネスとの関連性によってアプリケーションを定義するフィルタを定義します。ポート仕様を使用する代わりに、ポリシーでこれらのオブジェクトを使用して、トラフィックを制御できます。

個々のアプリケーションを指定することもできますが、アプリケーション フィルタを使用するとポリシーの作成と管理が簡素化されます。たとえば、リスクが高く、ビジネスとの関連性が低いアプリケーションをすべて認識してブロックするアクセス コントロール ルールを作成できます。ユーザがそれらのアプリケーションの 1 つを使用しようとすると、セッションがブロックされます。

アプリケーション フィルタ オブジェクトを使用することなく、ポリシーでアプリケーションとアプリケーション フィルタを直接選択できます。ただし、アプリケーション フィルタの同じグループに対して複数のポリシーを作成する場合は、オブジェクトを使用した方が便利です。システムには、編集または削除できない複数の事前定義されたアプリケーション フィルタが含まれています。

（注）	シスコでは、システムおよび脆弱性データベース（VDB）の更新を通じて頻繁にアプリケーション ディテクタを更新し追加しています。そのため、高リスクのアプリケーションをブロックするルールは、ルールを手動で更新する必要なく、新しいアプリケーションに自動的に適用できます。

次の手順では、[オブジェクト（Objects）] ページを通じて、オブジェクトを直接作成および編集する方法について説明します。[アプリケーション（Applications）] タブにアプリケーション基準を追加した後、[フィルタとして保存（Save As Filter）]をクリックすることで、アクセス コントロール ルールを編集しながら、アプリケーション フィルタ オブジェクトを作成できます。

URL オブジェクトとグループ（URL オブジェクトと総称する）を使用して、Web リクエストの URL または IP アドレスを定義します。これらのオブジェクトを使用して、アクセス コントロール ポリシーで手動フィルタリングを実装することができます。

URL オブジェクトは単一の URL または IP アドレスを定義するのに対して、URL グループ オブジェクトは複数の URL またはアドレスを定義できます。

URL オブジェクトを作成する場合は、次の点に注意してください。

（注）	特定のサイトをターゲットとする URL オブジェクトを設定する前に、アクセス コントロールの章に記載されている URL のフィルタリングに関する情報をよく確認してください。URL のマッチングは想定されるようには行われないため、意図せずにサイトをブロックしてしまう可能性があります。たとえば、ゲーム サイト ign.com を明示的にブロックしようとすると、verisign.com、およびその他の「ign」で終わる任意のサイトもブロックしてしまいます。

次に、オブジェクト ページからオブジェクトを直接作成および編集する方法について説明します。オブジェクト リストに表示される [新規 URL の作成（Create New URL）]リンクをクリックすることで、URL のプロパティを編集しながら URL オブジェクトを作成することもできます。

地理位置情報オブジェクトでは、トラフィックの送信元または宛先であるデバイスをホストする国や大陸を定義します。IP アドレスを使用する代わりに、ポリシーでこれらのオブジェクトを使用してトラフィックを制御できます。たとえば、地理的な場所を使用して、その国で使用される可能性があるすべての IP アドレスを知らなくても、特定の国へのアクセスを簡単に制限できます。

通常は、地理位置情報オブジェクトを使用しなくても、ポリシーで地理的な場所を直接選択できます。ただし、同じグループの国や大陸に対して複数のポリシーを作成する場合はオブジェクトの使用が便利です。

（注）	最新の地理的な場所のデータを使用してトラフィックをフィルタ処理するためには、地理位置情報データベース（GeoDB）を定期的に更新することを強くお勧めします。

次の手順では、[オブジェクト（Objects）] ページから直接オブジェクトを作成および編集する方法について説明します。ネットワーク プロパティを編集している間に、オブジェクト リストに表示される [地理位置情報の新規作成（Create New Geolocation）]リンクをクリックして、地理位置情報オブジェクトを作成することもできます。

syslog サーバ オブジェクトは、コネクション型メッセージまたは診断システム ログ（syslog）メッセージを受信できるサーバを特定します。ログ収集と分析用の syslog サーバをセットアップしている場合は、ログ収集と分析を定義するためのオブジェクトを作成し、アクセス ルールまたは診断ロギング システムの設定でそれらのオブジェクトを使用します。システム ロギングの設定の詳細については、次のトピックを参照してください。

• ロギングの設定

• 診断ロギングの設定

次の手順では、[オブジェクト（Objects）] ページから直接オブジェクトを作成および編集する方法について説明します。syslog サーバ プロパティを編集している間に、オブジェクト リストに表示される [syslog サーバの追加（Add Syslog Server）]リンクをクリックして、syslog サーバ オブジェクトを作成することもできます。