FireSIGHT System バージョン 5.4.1 ユーザガイド

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ

このマニュアル内で検索

ご利用いただける言語

Download Options

Book Title

FireSIGHT System バージョン 5.4.1 ユーザガイド

Chapter Title

セキュリティ、インターネットアクセス、および通信ポート

PDF - Complete Book (19.76 MB) PDF - This Chapter (584.0 KB)
View with Adobe Reader on a variety of devices

検索結果

Updated:: 2018年8月6日

セキュリティ、インターネットアクセス、および通信ポート

Defense Center を保護するには、保護された内部ネットワークにそれをインストールしてください。Defense Center は必要なサービスとポートだけを使用するよう設定されますが、ファイアウォール外部からの攻撃がそこまで（または管理対象デバイスまで）決して到達できないようにする必要があります。

Defense Center とその管理対象デバイスが同じネットワーク上に存在する場合は、デバイス上の管理インターフェイスを、Defense Center と同じ保護された内部ネットワークに接続できます。これにより、Defense Center からデバイスを安全に制御することができます。また、他のネットワーク上のデバイスからのトラフィックを Defense Center で管理および分離できるように、複数の管理インターフェイスを設定することもできます。

アプライアンスの展開方法とは無関係に、アプライアンス間通信は暗号化されます。それでも、分散型サービス拒否（DDoS）や中間者攻撃などの手段で FireSIGHT システムアプライアンス間の通信が中断、ブロック、または改ざんされないよう何らかの対策を講じる必要があります。

また、FireSIGHT システムの機能によってはインターネット接続が必要となることにも注意してください。デフォルトで、すべての FireSIGHT システムアプライアンスはインターネットに直接接続するよう設定されます。加えて、システムで特定のポートを開いたままにしておく必要があります。その目的は基本的なアプライアンス間通信、セキュアなアプライアンスアクセス、および特定のシステム機能を正しく動作させるために必要なローカル/インターネットリソースへのアクセスを可能にすることです。

ヒント Blue Coat X-Series 向け Cisco NGIPS を除いて、FireSIGHT システムアプライアンスではプロキシサーバを使用できます。詳細については、管理インターフェイスの構成および http-proxyを参照してください。

詳細については、以下を参照してください。

インターネットアクセス要件

デフォルトで、FireSIGHT システムアプライアンスはポート 443/tcp（HTTPS）および 80/tcp（HTTP）でインターネットに直接接続するよう設定されます。これらのポートは、すべての FireSIGHT システムアプライアンス上でデフォルトでオープンになっています（通信ポートの要件を参照）。ほとんどの FireSIGHT システムアプライアンスではプロキシサーバを使用できることに注意してください（管理インターフェイスの構成を参照）。プロキシサーバは whois アクセスに使用できない点にも注意が必要です。

運用継続性を確保するために、高可用性ペアの両方の Defense Center がインターネットにアクセスできる必要があります。特定の機能については、プライマリ Defense Center がインターネットにアクセスし、同期プロセスでセカンダリと情報を共有します。したがって、プライマリに障害が発生した場合は、ハイアベイラビリティステータスのモニタリングおよび変更の説明に従ってセカンダリをアクティブステータスにプロモートする必要があります。

次の表に、FireSIGHT システムの特定の機能におけるインターネットアクセス要件を示します。

表 E-1 FireSIGHT システム機能のインターネットアクセス要件
機能	インターネットアクセスの用途	アプライアンス	ハイアベイラビリティの考慮事項
動的分析：照会	動的分析のために、送信済みファイルの脅威スコアをクラウドに照会します。	Defense Center	ペア化された Defense Center は、個別に脅威スコアをクラウドに照会します。
動的分析：送信	動的分析用にファイルをクラウドに送信します。	シリーズ 2 と X-シリーズを除く任意のデバイス	適用対象外
FireAMP 統合	Cisco クラウドからエンドポイントベースの（FireAMP）マルウェアイベントを受信します。	Defense Center	クラウド接続は同期されません。両方の Defense Center でクラウド接続を設定します。
侵入ルール、VDB、および GeoDB の更新	侵入ルール、GeoDB、または VDB の更新をアプライアンスに直接ダウンロードするか、ダウンロードをスケジュールします。	Defense Center	侵入ルール、GeoDB、および VDB の更新は同期されます。
ネットワークベースの AMP	マルウェアクラウド検索を実行します。	Defense Center	ペア化された Defense Center は、個別にクラウド検索を実行します。
RSS フィードダッシュボードウィジェット	Cisco を含む外部ソースから RSS フィードデータをダウンロードします。	すべて（仮想デバイスと X-シリーズを除く）	フィードデータは同期されません。
セキュリティインテリジェンスフィルタリング	インテリジェンスフィードを含む、外部ソースからのセキュリティインテリジェンスフィードデータをダウンロードします。	Defense Center	プライマリ Defense Center がフィードデータをダウンロードして、セカンダリと共有します。プライマリに障害が発生した場合は、セカンダリをアクティブに昇格させてください。
システムソフトウェアの更新	システム更新をアプライアンスに直接ダウンロードするか、ダウンロードをスケジュールします。	すべて（仮想デバイスと X-シリーズを除く）	システム更新は同期されません。
URL フィルタリング	クラウドベースの URL カテゴリおよびレピュテーションデータをアクセスコントロール用にダウンロードし、カテゴライズされていない URL に対してルックアップを実行します。	Defense Center	プライマリ Defense Center は URL フィルタリングデータをダウンロードして、セカンダリと共有する。プライマリに障害が発生した場合は、セカンダリをアクティブに昇格させてください。
whois	外部ホストの whois 情報を要求します。	すべて（仮想デバイスと X-シリーズを除く）	whois 情報を要求するすべてのアプライアンスがインターネットにアクセスできる必要があります。

通信ポートの要件

FireSIGHT システムアプライアンスは、（デフォルトでポート 8305/tcp を使用する）双方向 SSL 暗号化通信チャネルを使って通信します。基本的なアプライアンス間通信用にこのポートを開いたままにする 必要があります 。他のオープンポートの役割は次のとおりです。

アプライアンスの Web インターフェイスにアクセスする
アプライアンスへのリモート接続を保護する
特定のシステム機能を正しく動作させるために必要なローカル/インターネットリソースへのアクセスを可能にする

一般に、機能関連のポートは、該当する機能を有効化または設定する時点まで、閉じたままになります。たとえば、Defense Center をユーザエージェントに接続するまでは、エージェント通信ポート（3306/tcp）は閉じたままになります。別の例として、LOM を有効にするまでは、シリーズ 3 アプライアンス上のポート 623/udp が閉じたままになります。

注意

開いたポートを閉じると展開にどのような影響が及ぶか理解するまでは、開いたポートを 閉じないでください。

たとえば、管理デバイス上のポート 25/tcp（SMTP）アウトバウンドを閉じた場合、個別の侵入イベントに関する電子メール通知をデバイスから送信できなくなります（侵入ルールの外部アラートの設定を参照）。別の例として、ポート 443/tcp（HTTPS）を閉じることにより物理管理対象デバイスの Web インターフェイスへのアクセスを無効にできますが、それと同時に、動的分析のためにデバイスから疑わしいマルウェアファイルをクラウドに送信できなくなります。

次のように、システムのいくつかの通信ポートを変更できることに注意してください。

システムと認証サーバの間の接続を設定するときに、LDAP および RADIUS 認証用のカスタムポートを指定できます（LDAP 認証サーバの指定および RADIUS 接続の設定を参照）。
管理ポート（8305/tcp）を変更できます（管理インターフェイスの構成を参照）。ただし、 Cisco では、デフォルト設定を維持することを強く推奨しています。管理ポートを変更する場合は、導入内の相互に通信する必要があるすべてのアプライアンスの管理ポートを変更する必要があります。
ポート 32137/tcp を使用して、アップグレード対象の Defense Center と Cisco の通信を可能にすることができます。ただし、Cisco では、バージョン 5.3 以降の新規インストールのデフォルトであるポート 443 に切り替えることを推奨しています。詳細については、クラウド通信の有効化を参照してください。

次の表は、FireSIGHT システムの機能を最大限に活用できるように、各アプライアンスタイプで必要なオープンポートを示しています。

表 E-2 FireSIGHT システムの機能と運用のためのデフォルト通信ポート
[ポート（Port）]	説明	方向（Direction）	開いているアプライアンス	目的
22/tcp	SSH/SSL	双方向	Any	アプライアンスへのセキュアなリモート接続を許可します。
25/tcp	SMTP	発信	Any	アプライアンスから電子メール通知とアラートを送信します。
53/tcp	DNS	発信	Any	DNS を使用します。
67/udp 68/udp	DHCP	発信	すべて（X-シリーズを除く）	DHCP を使用します。（注）これらのポートはデフォルトで閉じられています。
80/tcp	HTTP	発信	すべて（仮想デバイスと X-シリーズを除く）	RSS フィードダッシュボードウィジェットからリモート Web サーバに接続できるようにします。
		双方向	Defense Center	HTTP 経由でカスタムおよびサードパーティのセキュリティインテリジェンスフィードを更新します。 URL カテゴリおよびレピュテーションデータをダウンロードします（さらにポート 443 も必要）。
161/udp	SNMP	双方向	すべて（X-シリーズを除く）	SNMP ポーリング経由でアプライアンスの MIB にアクセスできるようにします。
162/udp	SNMP	発信	Any	リモートトラップサーバに SNMP アラートを送信します。
389/tcp 636/tcp	LDAP	発信	すべて（仮想デバイスと X-シリーズを除く）	外部認証用に LDAP サーバと通信します。
389/tcp 636/tcp	LDAP	発信	Defense Center	検出された LDAP ユーザに関するメタデータを取得します。
443/tcp	HTTPS	着信	すべて（仮想デバイスと X-シリーズを除く）	アプライアンスの Web インターフェイスにアクセスします。
443/tcp	HTTPS AMQP クラウド通信	双方向	Defense Center	次のものを取得します。ソフトウェア、侵入ルール、VDB、および GeoDB の更新 URL カテゴリおよびレピュテーションデータ（さらにポート 80 も必要）インテリジェンスフィードおよび他のセキュアなセキュリティインテリジェンスフィードエンドポイントベースの（FireAMP）マルウェアイベントファイルに関してネットワークトラフィックで検出されたマルウェアの性質送信されたファイルに関する動的分析情報
			シリーズ 2 デバイスとシリーズ 3 デバイス	デバイスのローカル Web インターフェイスを使用してソフトウェア更新をダウンロードします。
			シリーズ 3 および仮想デバイス	動的分析のためにファイルを送信します。
514/udp	syslog	発信	Any	リモート syslog サーバにアラートを送信します。
623/udp	SOL/LOM	双方向	シリーズ 3	Serial Over LAN（SOL）接続を使用して Lights-Out Management を実行できるようにします。
1500/tcp 2000/tcp	データベースアクセス	着信	Defense Center	サードパーティクライアントによるデータベースへの読み取り専用アクセスを可能にします。
1812/udp 1813/udp	RADIUS	双方向	すべて（仮想デバイスと X-シリーズを除く）	外部認証とアカウンティングのために RADIUS サーバと通信します。
3306/tcp	ユーザエージェント	着信	Defense Center	ユーザエージェントと通信します。
8302/tcp	eStreamer	双方向	すべて（仮想デバイスと X-シリーズを除く）	eStreamer クライアントと通信します。
8305/tcp	アプライアンス通信	双方向	Any	展開におけるアプライアンス間で安全に通信します。必須作業です。
8307/tcp	ホスト入力クライアント	双方向	Defense Center	ホスト入力クライアントと通信します。
32137/tcp	クラウド通信	双方向	Defense Center	アップグレード対象の Defense Center と Collective Security Intelligence クラウドクラウドの通信を可能にします。