Cisco Firepower Threat Defense バージョン 6.2 コンフィギュレーション ガイド（Firepower Device Manager 用）
偏向のない言語
この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。
翻訳について
このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。
- Updated:
- 2017年12月8日
章のタイトル： システム設定
システム設定
ここでは、[システム設定（System Settings）] ページでグループ化されているさまざまなシステム設定を指定する方法について説明します。この設定は、システム機能全体が対象となります。
- 管理アクセス リストの設定
- 診断ロギングの設定
- DHCP サーバの設定
- DNS の設定
- 管理インターフェイスの設定
- デバイスのホスト名の設定
- Network Time Protocol（NTP）の設定
- Cisco Collective Security Intelligence（CSI）のURL フィルタリングの設定の設定
- クラウド管理の設定
管理アクセス リストの設定
デフォルトでは、任意の IP アドレスから、管理アドレス上のデバイスの Firepower デバイス マネージャ Web インターフェイスまたは CLI インターフェイスに到達できます。システム アクセスは、ユーザ名とパスワードのみによって保護されています。ただし、別のレベルの保護を提供するために、特定の IP アドレスまたはサブネットからの接続のみを許可するアクセス リストを設定できます。
また、データ インターフェイスを開いて、Firepower デバイス マネージャまたは CLI への SSH 接続を許可することもできます。その後、管理アドレスを使用せずにデバイスを管理できます。たとえば、デバイスをリモートで設定できるように、外部インターフェイスへの管理アクセスを許可できます。ユーザ名とパスワードは、望ましくない接続を阻止します。デフォルトでは、データ インターフェイスへの HTTPS 管理アクセスは内部インターフェイスで有効になっていますが、外部インターフェイスでは無効になっています。これは、デフォルトの "inside" ブリッジ グループを持つデバイス モデルの場合には、ブリッジ グループ内の任意のデータ インターフェイスを介してブリッジ グループの IP アドレス（デフォルトは 192.168.1.1）に達する Firepower デバイス マネージャ接続を確立できることを意味しています。デバイスに入力する際に経由するインターフェイスでのみ管理接続を開くことができます。
 注意 | 特定のアドレスへのアクセスを制約すると、自分自身をシステムから簡単にロックアウトできます。現在使用している IP アドレスへのアクセスを削除し、さらに "any" アドレスのエントリが存在しない場合は、ポリシーを展開した時点でシステムへのアクセスは失われます。アクセス リストを設定することに決めた場合は十分に注意してください。 |
診断ロギングの設定
診断ロギングは、接続に関係していないイベントの syslog メッセージを提供します。接続ロギングは、個々のアクセス コントロール ルール内に設定します。次の手順では、診断メッセージのロギングの設定方法について説明します。
| ステップ 1 | デバイス、 リンクをクリックします。 すでに [システム設定（System Settings）] ページが表示されている場合は、目次の [ロギング設定（Logging Settings）]をクリックします。 |
| ステップ 2 | をクリックします。 このページの残りのフィールドを設定しても、この設定を有効にしなければ診断ログ メッセージは生成されません。 |
| ステップ 3 | 診断ログ メッセージを確認したい各場所のスライダを [オン（On）]に切り替えて、最低の重大度レベルを選択します。
メッセージは次の場所に記録できます。
|
| ステップ 4 | [保存（Save）]をクリックします。 |
重大度
次の表に、syslog メッセージの重大度の一覧を示します。
 （注） | Firepower Threat Defenseは、重大度 0（emergencies）の syslog メッセージを生成しません。 |
DHCP サーバの設定
DHCP サーバは、IP アドレスなどのネットワーク コンフィギュレーション パラメータを DHCP クライアントに提供します。接続されたネットワーク上の DHCP クライアントに設定パラメータを提供するために、インターフェイス上に DHCP サーバを設定できます。
IPv4 DHCP クライアントは、サーバに到達するために、マルチキャスト アドレスではなくブロードキャストを使用します。DHCP クライアントは UDP ポート 68 でメッセージを待ちます。DHCP サーバは UDP ポート 67 でメッセージを待ちます。DHCP サーバは、BOOTP 要求をサポートしていません。
DHCP クライアントは、サーバが有効になっているインターフェイスと同じネットワーク上に存在する必要があります。つまり、サーバとクライアント間に仲介ルータを置くことはできません。スイッチは置くことができます。
（注） | すでに DHCP サーバが稼働しているネットワーク上に DHCP サーバを設定しないでください。2 台のサーバが競合し、結果が予測不能になります。 |
| ステップ 1 | [デバイス（Device）]をクリックし、 リンクをクリックします。
すでに [システム設定（System Settings）] ページが表示されている場合は、目次の [DHCP サーバ（DHCP Server）]をクリックします。 ページには 2 つのタブがあります。最初は、[構成（Configuration）]タブにグローバル パラメータが表示されます。 [DHCP サーバ（DHCP Servers）]タブには、DHCP サーバを設定したインターフェイス、サーバが有効になっているかどうか、およびサーバのアドレス プールが表示されます。 |
| ステップ 2 | [構成（Configuration）]タブで、自動設定とグローバル設定を設定します。
DHCP 自動設定では、指定したインターフェイスで動作している DHCP クライアントから取得した DNS サーバ、ドメイン名、および WINS サーバの情報が、DHCP サーバから DHCP クライアントに提供されます。通常、外部インターフェイスの DHCP を使用してアドレスを取得している場合は自動設定を使用しますが、DHCP を介してアドレスを取得するインターフェイスを選択することもできます。自動設定を使用できない場合は、必要なオプションを手動で定義できます。 |
| ステップ 3 | [DHCP サーバ（DHCP Servers）]タブをクリックして、サーバを設定します。 |
DNS の設定
ドメイン ネーム システム（DNS）サーバは、ホスト名を IP アドレスに解決するために使用されます。DNS サーバは管理インターフェイスによって使用されます。DNS サーバはシステムの初期設定時に設定しますが、次の手順を使用して変更できます。
configure network dns servers および configure network dns searchdomains コマンドを使用して、CLI で DNS 設定を変更することもできます。
| ステップ 1 | デバイス、 リンクをクリックします。 すでに [システム設定（System Settings）] ページが表示されている場合は、目次の [DNS サーバ（DNS Server）]をクリックします。 |
| ステップ 2 | [プライマリ、セカンダリ、ターシャリ DNS IP アドレス（Primary, Secondary, Tertiary DNS IP address）]に、設定順に最大 3 台の DNS サーバの IP アドレスを入力します。
プライマリ DNS サーバが使用されますが、接続できない場合はセカンダリが試され、最後にターシャリが試されます。 OpenDNS パブリック DNS サーバを設定する場合は、[OpenDNS を使用（Use OpenDNS）]をクリックします。ボタンをクリックすると、フィールドに適切な IP アドレスがロードされます。 |
| ステップ 3 | [ドメイン検索名（Domain Search Name）]に、ネットワークのドメイン名（example.com など）を入力します。
このドメインは、完全修飾されていないホスト名（たとえば、serverA.example.com ではなく serverA）に追加されます。 |
| ステップ 4 | [保存（Save）]をクリックします。 |
管理インターフェイスの設定
管理インターフェイスは物理的な管理ポートに接続されている仮想インターフェイスです。物理ポートは診断インターフェイスと呼ばれ、他の物理ポートとともにインターフェイス ページで設定できます。
管理インターフェイスには 2 つの使い方があります。
-
IP アドレスへの Web および SSH 接続を開き、インターフェイスからデバイスを設定できます。
-
システムはこの IP アドレスを使用してスマート ライセンスおよびデータベースの更新情報を取得します。
CLI セットアップ ウィザードを使用すると、システムの初期設定時にデバイスの管理アドレスとゲートウェイを設定します。Firepower Device Manager のセットアップ ウィザードを使用すると、管理アドレスとゲートウェイ アドレスはデフォルトのまま変更されません。
必要に応じて、Firepower Device Manager を通じてこれらのアドレスを変更できます。また、CLI で configure network ipv4 manual および configure network ipv6 manual コマンドを使用することで、管理アドレスととゲートウェイを変更することもできます。
管理ネットワーク上の他のデバイスが DHCP サーバとして機能している場合、スタティック アドレスを定義するか、または DHCP を介してアドレスを取得できます。デフォルトでは管理アドレスは静的であり、DHCP サーバはポートで動作します（DHCP サーバを持たない Firepower Threat Defense Virtual は除く）。そのため、デバイスを管理ポートに直接接続し、ワークステーションの DHCP アドレスを取得できます。これにより、デバイスの接続と設定が容易になります。
注意 | 現在接続されているアドレスを変更した場合は、その変更がすぐに適用されるため、変更の保存と同時に、Firepower Device Manager（または CLI）にアクセスできなくなります。デバイスに接続し直す必要があります。新しいアドレスが管理ネットワークで使用できることを確認します。 |
| ステップ 1 | [デバイス（Device）]をクリックし、次に リンクをクリックします。
すでにシステム設定ページを開いている場合、目次の [管理インターフェイス（Management Interface）]をクリックします。 |
| ステップ 2 | 管理ゲートウェイの定義方法を選択します。
ゲートウェイは、システムがインターネット経由でスマートライセンスとデータベース更新（VDB、ルール、位置情報、URLなど）を取得し、管理DNSサーバとNTPサーバに到達する方法を決定します。次のオプションから選択します。
|
| ステップ 3 | 管理アドレス、サブネット マスクまたは IPv6 プレフィックス、および IPv4、IPv6、またはその両方のゲートウェイ（必要に応じて）を設定します。
少なくとも 1 組のプロパティを設定する必要があります。1 組は空白にし、そのアドレッシング方式を無効にします。 を選択し、DHCP または IPv6 自動設定によってアドレスおよびゲートウェイを取得します。ただし、ゲートウェイとしてデータ インターフェイスを使用している場合、DHCP を使用することはできません。この場合はスタティック アドレスを使用する必要があります。 |
| ステップ 4 | （オプション）スタティック IPv4 アドレスを設定する場合、ポート上で DHCP サーバを設定します。
管理ポート上で DHCP サーバを設定する場合、直接接続されているクライアント、または管理ネットワーク上のクライアントは、DHCP プールからそれぞれのアドレスを取得できます。 |
| ステップ 5 | [保存（Save）]をクリックして警告を読み、[OK] をクリックします。 |
デバイスのホスト名の設定
デバイスのホスト名を変更できます。
configure network hostname コマンドを使用して、CLI のホスト名を変更することもできます。
注意 | ホスト名を使用してシステムに接続しているときにそのホスト名を変更し、その変更を保存すると、変更はすぐに適用されるため、Firepower Device Manager へのアクセスは失われます。デバイスに接続し直す必要があります。 |
Network Time Protocol（NTP）の設定
システムの時刻を定義するには、Network Time Protocol（NTP）サーバを設定する必要があります。NTP サーバはシステムの初期設定時に設定しますが、次の手順を使用して変更できます。NTP 通信に関する問題が発生した場合は、NTP のトラブルシューティングを参照してください。
| ステップ 1 | デバイス、 リンクをクリックします。 すでに [システム設定（System Settings）] ページが表示されている場合は、目次の [NTP]をクリックします。 |
| ステップ 2 | [NTP タイム サーバ（NTP Time Server）]で、独自のタイム サーバ（手動）を使用するか、シスコのタイム サーバを使用するかを選択します。
|
| ステップ 3 | [保存（Save）]をクリックします。 |
Cisco Collective Security Intelligence（CSI）のURL フィルタリングの設定の設定
システムでは、レピュテーション、リスク、脅威インテリジェンスのために Cisco Collective Security Intelligence（CSI）が使用されます。
（マルウェア ファイルのポリシーに使用する）FirePOWER の URL フィルタリングおよび AMP に必要なライセンスを保有している場合、それらの機能は自動的に有効になり、Cisco CSI から必要な情報を取得するための通信が可能になります。また、通信を制御するいくつかのオプションを設定できます。
| ステップ 1 | デバイス、 リンクをクリックします。 すでに [システム設定（System Settings）] ページが表示されている場合は、目次の [クラウド設定（Cloud Preferences）][URL フィルタリング設定（URL Filtering Preferences）] をクリックします。 |
| ステップ 2 | 次のオプションを設定します。
|
| ステップ 3 | [保存（Save）]をクリックします。 |
クラウド管理の設定
Cisco Defense Orchestrator のクラウドベースのポータルを使用してデバイスを管理できます。Cisco Defense Orchestrator を使用し、次の技術を使用してデバイス管理にアプローチできます。
-
初期設定のダウンロード：このアプローチでは、Cisco Defense Orchestrator からデバイスの初期設定をダウンロードしますが、その後、Firepower Device Manager を使用してローカルでデバイスを設定します。
（注）
Firepower Device Manager を使用してデバイスを設定後、クラウド経由でデバイスを管理することに決めた場合は、クラウドベースの設定でローカルでの変更を繰り返していることを確認してください。
-
クラウド経由のリモート構成管理：このアプローチでは、Cisco Defense Orchestrator を使用して、デバイス設定を作成して更新します。このアプローチを使用する場合、ローカルで設定に変更を加えないでください。これは、各クラウドの導入において、クラウドに定義されている設定でデバイスのローカル設定が置き換えられためです。ローカルで変更を加える場合、その変更を維持するには、クラウドベースの設定でもその設定を繰り返してください。
クラウド管理の仕組みの詳細については、Cisco Defense Orchestrator ポータル（http://www.cisco.com/go/cdo）を参照するか、担当の再販業者またはパートナーに確認してください。
Cisco Defense Orchestrator の登録キーを取得します。
また、デバイスにインターネットへのルートが設定されていることを確認します。
| ステップ 1 | [デバイス（Device）]をクリックし、 リンクをクリックします。
すでに [システム設定（System Settings）] ページが表示されている場合は、目次の [クラウド管理（Cloud Management）]をクリックします。 |
| ステップ 2 | [開始（Get Started）]をクリックします。 |
| ステップ 3 | [登録キー（Registration Key）]にキーを貼り付けて、[接続（Connect）] をクリックします。
登録要求がクラウド ポータルに送信されます。キーが有効で、インターネットへのルートがある場合、デバイスはポータルに正常に登録されます。その後、ポータルを使用してデバイスの管理を開始できます。 クラウド管理の使用をやめることにした場合は、[ギア（gear）] ドロップダウン リストから [登録解除（Unregister）]を選択できます。 |
フィードバック