 |
||
|
|
データ シート
CISCO ASA 5500シリーズ適応型セキュリティ アプライアンス ソリューションの概要
Cisco® ASA 5500シリーズ適応型セキュリティ アプライアンスは、革新的なAdaptive Identification and Mitigation（AIM）アーキテクチャに基づいて設計された、セキュリティおよびVPNの専用ソリューションです（図1）。シスコの自己防衛型ネットワーク構想の重要なコンポーネントとして位置づけられるCisco ASA 5500シリーズは、攻撃に対するプロアクティブな防御を提供して被害がネットワークに拡大するのを阻止するとともに、ネットワーク アクティビティとアプリケーション トラフィックを制御して、柔軟なVPN接続を実現します。幅広く強力なセキュリティ機能を搭載したCisco ASA 5500シリーズは、新たなセキュリティ機能を展開する際に必要な運用コストや煩雑な手順を軽減しながら、中小・中堅企業およびエンタープライズ ネットワークを保護します。
Cisco ASA 5500シリーズは、単一のプラットフォーム内に実環境で実証された複数のセキュリティ テクノロジーを組み合わせており、包括的なセキュリティ サービスの分散展開を経済的に実現することができます。また、多機能のセキュリティ プロファイルにより、セキュリティ レベルの確保を優先させるか、管理対象のデバイスを減らすことによる運用コストの削減を優先させるかという、複雑でリスクのある決定を行う必要がなくなります。
図1 Cisco ASA 5500シリーズ適応型セキュリティ アプライアンス
Cisco ASA 5500シリーズにより、企業はネットワークを効果的かつ効率的に保護できると同時に、次のような優れた投資保護を実現することができます。
- 豊富な導入実績を持つセキュリティおよびVPN機能 - ハイ パフォーマンスかつ多機能なファイアウォール、Intrusion Prevention System（IPS;侵入防御システム）、ネットワーク ウィルス対策ソフトウェア、およびIPSec/SSL VPNテクノロジーにより、安定したアプリケーション セキュリティ、ユーザおよびアプリケーション ベースのアクセス制御、ワームやウィルス被害の軽減、破壊工作ソフトウェアからの防御、ユーザ/サイトの安全なリモート接続などが実現されます。
- 優れた拡張性を提供するAIMサービス アーキテクチャ - AIMは、モジュラ サービス処理とポリシー フレームワークを利用することで、セキュリティ ポリシーやネットワーク サービスをトラフィック フロー単位で適用します。これにより、きめ細かなポリシー制御、Anti-X防御による合理的なトラフィック処理が可能となります。また、Cisco ASA 5500シリーズAIMアーキテクチャによる効率性の向上に加え、ユーザ インストールが可能なSecurity Services Module（SSM）によってソフトウェアとハードウェアの高い拡張性を提供し、プラットフォームの交換やパフォーマンスの低下を伴わずに新しいサービスの展開を可能にします。AIMは、Cisco ASA 5500シリーズのアーキテクチャの基盤として、高度にカスタマイズが可能なセキュリティ ポリシーと優れたサービス拡張性を提供し、急速に拡大する脅威からネットワークを保護します。
- 導入および運用コストの削減 - 多機能のアプライアンスにより、プラットフォーム、設定、および管理が標準化されるため、導入に必要なコストおよび継続的な運用コストが削減されます。
豊富な導入実績を持つセキュリティおよびVPN機能
Cisco ASA 5500シリーズは、業界をリードし、高い評価を受けている、シスコのセキュリティおよびVPNソリューション開発の経験をもとに設計され、Cisco PIX® 500シリーズ セキュリティ アプライアンス、Cisco IPS 4200シリーズ侵入防御システム、Cisco VPN 3000シリーズ コンセントレータからの最新テクノロジーを統合しています。これらのテクノロジーを集約することで、Cisco ASA 5500シリーズは、幅広い種類の攻撃を阻止し、柔軟性のある安全な接続オプションを企業に提供します。Cisco ASA 5500シリーズが提供する幅広く強力なセキュリティおよびネットワーク サービスにより、モバイル ユーザ、リモート サイト、管理されていないデスクトップやサーバなど、セキュリティが脆弱になりやすい分野を含むネットワークのすべてのエリアを保護できます。Cisco ASA 5500シリーズは、シスコのAdaptive Threat DefenseおよびUnified Secure Access戦略の主要なコンポーネントとして、幅広いセキュリティおよびVPNテクノロジーを統合し、高度なアプリケーション セキュリティ、Anti-X防御、ネットワークの抑制と制御、および安全な接続を提供します。
アプリケーション セキュリティCisco ASA 5500シリーズは、レイヤ2～7のネットワーク フローを調べる30個のインテリジェントなアプリケーション対応検査エンジンによって、強力なアプリケーション レイヤ セキュリティを提供します。これらの検査エンジンは、アプリケーション/プロトコル コマンド フィルタリング、プロトコル異常検出、およびアプリケーション/プロトコル状態の追跡を含むセキュリティ実行テクノロジーを使用して、アプリケーションとプロトコルに関する幅広い対応能力を組み込み、アプリケーション レイヤに対する攻撃からネットワークを防御するとともに、企業環境におけるアプリケーションやプロトコルの使用方法を制御します。また、アプリケーションの検査および制御を行うもう一つのレイヤとして、バッファ オーバーフロー防御、コンテンツ フィルタリングと検証、URL解読サービスなど、攻撃を検出して被害を軽減するための機能もこれらの検査エンジンに組み込まれています。検査エンジンは、Webサービス、ファイル転送サービス、電子メール サービス、音声とマルチメディア サービス、データベース サービス、オペレーティング システム サービス、3Gモバイル ワイヤレス サービスなど、幅広いアプリケーションおよびプロトコルにも対応しています。これらの検査エンジンを使用することで、企業はインスタント メッセージング、ピアツーピア ファイル共有、その他のトンネリング アプリケーションなどの使用を制御した上で、ビジネス アプリケーションが適切に動作するためのセキュリティ ポリシーを規定し、ネットワーク帯域幅を有効に利用できるようになります。
Anti-X防御
Cisco ASA 5500シリーズは、ワーム、ネットワーク ウィルス、トロイの木馬、スパイウェア、アドウェアなどを含むネットワークおよびアプリケーション レイヤに対する攻撃、DoS攻撃、破壊工作ソフトウェアに対して、ハイ パフォーマンスな保護機能を提供します。効果的なAnti-X防御のためには、幅広い攻撃検出と高度な分析手法を組み合わせる必要があります。これにより、攻撃が正確に識別され、正常なネットワーク トラフィックに影響を与えることなく、適切な防御処理が行われるようになります。
高度な検出方法 - Cisco ASA 5500シリーズは、脅威の正確な認識をおこなうために、ポリシー違反、異常なアクティビティ、および脆弱性の利用を検出するためのさまざまな方法をサポートしています。この検出方法には、データ ストリーム内に隠れている攻撃を阻止するためのステートフル パターン認識、ネットワーク トラフィックを検出するプロトコル分析、複数のセッションと接続におよぶ攻撃を識別するトラフィック異常検出、プロトコルまたはサービスをRFC等の標準から逸脱して使用する攻撃を識別するプロトコル異常検出、man-in-the-middle攻撃を検出するレイヤ2分析などがあります。検出の回避を狙った攻撃に対しては、ネットワーク トラフィックを詳細に分析することで対応します。こういった防御機能には、IPフラグメンテーションの再構築と正常化、TCPストリームの再構築と正常化、TCP不正利用の制御、IPアンチスプーフィングなどがあります。
これらの幅広い検出方法に、シスコシステムズが提供する2つの画期的な分析および関連付けテクノロジーであるRisk Rating（リスク評価）とMeta Event Generator（メタ イベント ジェネレータ）を組み合わせることで、検出された脅威に効果的に対処することができます。
Risk Rating（リスク評価） - 正常なトラフィックに影響を与えることなく悪意のある攻撃を阻止できるように、Cisco ASA 5500シリーズでは、シスコの画期的なRisk Rating（リスク評価）テクノロジーをサポートしています。脅威のリスクを判断する際の要素を多角化し、リスク評価では4つの構成要素を組み合わせて、イベントのリスクを判断します。- イベントの重大度 - 脅威の相対的な影響を示す評価
- シグニチャの信頼性 - シグニチャの精度を示す評価
- 資産価値 - 攻撃対象の重要性を示すカスタマイズ可能な値（ワイヤリング クローゼット内のプリント サーバの場合は低い価値、データ センターのeコマース サーバの場合は高い価値など）
- 攻撃の関連性 - 攻撃の種類に対する対象の影響度に基づく値
Meta Event Generator（メタ イベント ジェネレータ） - 急速に広がって多大な被害を引き起こす可能性のあるワームを迅速かつ正確に識別して阻止するために、Cisco ASA 5500シリーズは、シスコのMeta Event Generator（メタ イベント ジェネレータ）テクノロジーに対応しており、独自の関連付け機能を提供します。これは、複数のイベント タイプの関連付けや、個別のイベント間の間隔など、ワームの動作をリアルタイムでモデル化することで実行されます。通常、ワームがネットワーク内で感染を広げようとする際には、複数のパケットの伝送が行われます。多くの場合、これらのパケットは正常なトラフィックのように見えます。Meta Event Generator（メタ イベント ジェネレータ）はリアルタイムの関連付けサービスを使用して、ワームの伝播に関連する初期パケットを識別し、ワームの侵入の完了に必要な後続のパケットを阻止します。これにより、ワームが攻撃対象に到達できないようにして、ワームを「廃棄」することができます。
ネットワークの隔離と制御
Cisco ASA 5500シリーズは、ネットワークの隔離と制御に関わる幅広いサービスを提供して、企業がアプリケーション アクセスとネットワーク トラフィック フローを効果的に制御できるようにします。Cisco ASA 5500シリーズ アプライアンスは、豊富な機能を備えたステートフル インスペクション ファイアウォール サービスを提供するセキュアなプラットフォームとして、すべてのネットワーク通信の状態を追跡し、無許可のネットワーク アクセスを防止します。企業は、Cisco ASA 5500シリーズが提供する柔軟性の高いアクセス制御サービスを使用して、企業独自のセキュリティ ポリシーと、アプリケーションおよびリソースの使用ポリシーを実行できます。使用ポリシーの作成には、ユーザ アイデンティティ、グループ メンバーシップ、ネットワーク リソース アドレス、事前定義またはカスタムのアプリケーション タイプ、関連するVPNトンネル、曜日、週など、さまざまなパラメータを使用できます。これらのポリシーの継続的な管理は、Cisco ASA 5500シリーズが提供するネットワークおよびアプリケーション オブジェクトのグループ化機能を使用して簡素化できます。これにより、企業は既存のオブジェクト グループに新しいネットワーク デバイスまたはアプリケーションを簡単に追加でき、オブジェクト グループのその他のメンバーと同じポリシーが新しいデバイスまたはアプリケーションにも適用されます。
安全な接続サービス
Cisco ASA 5500シリーズは、安定したサイト間VPNおよびリモート アクセスVPNサービスを提供することで、パブリック ネットワークを介して、モバイル ユーザ、リモート サイト、およびビジネス パートナーが安全に接続できるようにします。統合されたセキュリティへのアプローチにより、企業は独自のセキュリティ ポリシーの整合性を損なうことなく、インターネットへの接続を利用してコストを節約できます。
VPNサービスに、Cisco ASA 5500シリーズが提供するさまざまなセキュリティ サービスを組み合わせることで、企業はより強力で安全性の高いVPN接続を利用できます。シスコが提供する統合型Adaptive Threat Defenseは、VPNがワーム、ウィルス、破壊工作ソフトウェア、ハッキングなどのネットワーク攻撃のルートにならないようにすることで、安全なVPNを実現します。アプリケーションおよびアクセス制御ポリシーはVPNトラフィックにも適用され、個人やユーザのグループは、許可されたサービスおよびリソースにのみアクセスできます。また、カスタマイズされたQuality of Service（QoS;サービス品質）ポリシーをユーザごと、グループごと、トンネルごと、またはフローごとに適用することで、特定のネットワーク トラフィック フローに適切なプライオリティと帯域幅制限が適用されるようになります。
リモート アクセスVPN - Cisco ASA 5500シリーズは、接続要件に合わせたソリューション選択が可能な、柔軟なテクノロジーを提供します。たとえば、企業が管理する従業員のデスクトップに対しては、堅牢でカスタマイズが可能なIPSec VPN接続が提供されます。エクストラネット、インターネット キオスク、従業員が所有するデスクトップなど、企業が管理していないエンドポイントの場合、Cisco ASA 5500シリーズは、SSLベースのリモート アクセスに対応したWebVPNを提供します。シスコのリモート アクセスに関する優れたソリューションを活用することで、企業はコア エンタープライズ アプリケーションの幅広いサポートを備えた単一統合型プラットフォームを展開できます。- 柔軟性のあるプラットフォーム - 単一のプラットフォームでIPSecとSSLベースの両方のVPNサービスを提供しているため、類似したソリューションの導入が不要です。Cisco ASA 5500シリーズにより、SSL VPNとIPSec VPNの両方に対応し、個別のプラットフォームを展開するための追加コストが不要になり、非効率性が解消されます。
- 耐障害性を向上させるクラスタリング - Cisco ASA 5500シリーズおよびVPN 3000シリーズ プラットフォーム間では、自動的にVPNセッションを均一に分散するクラスタリングが利用可能で、リモート アクセスを費用効率よく展開できます。また、高い耐障害性を実現し、単一障害点がなくなり、企業は必要に応じてVPNヘッドエンドを拡大して、優れた投資保護を実現できます。
- Cisco Easy VPN - 独自のスケーラビリティを備え、費用効率がよく、管理が簡単なリモート アクセスVPNアーキテクチャを提供します。Cisco ASA 5500シリーズ アプライアンスでは、リモートのVPNデバイスおよびクライアントに最新のVPNセキュリティ ポリシーを動的に配信することが可能です。接続が確立される前にこれらのリモート エンドポイントに最新のポリシーが設定されるようにすることで、柔軟性、スケーラビリティ、および使いやすさの向上を実現します。さらに、Cisco ASA 5500シリーズは、VPNクライアント ソフトウェアの自動更新機能を提供し、リモート デスクトップで稼働するCisco VPNクライアント ソフトウェアのアップグレードを自動化できるようにします。
- 最新のアプリケーションに対応したVPNインフラストラクチャ - Cisco ASA 5500シリーズは、安定したサイト間VPNのサポートに加え、豊富な検査機能、QoS、ダイナミック ルーティング、およびステートフル フェールオーバー機能を組み合わせることで、音声、映像、およびデータの統合に対応したVPNインフラストラクチャを提供します。これにより、企業は統合型ネットワークのさまざまな利点を利用できます。
- 安定したセキュリティとパフォーマンス - ブランチ オフィスおよびリモート オフィスの展開は、企業活動の拡張に貢献します。Cisco ASA 5500シリーズ ベースのVPNソリューションにより、複数の場所で安全な高速通信が可能になるため、企業が必要とする通信パフォーマンス、耐障害性、信頼性が実現されます。
Cisco ASA 5500シリーズは、20年以上にわたるシスコのネットワーク分野におけるリーダーシップと技術革新を基に、幅広いインテリジェント ネットワーク サービスを提供しており、多様化するネットワーク環境にシームレスに統合できるようになっています。主なネットワーク統合機能は、次のとおりです。
- レイヤ2トランスペアレント ファイアウォール - アドレス体系を変更せずに、Cisco ASA 5500シリーズ アプライアンスを既存のネットワークに迅速に展開できます。ハイ パフォーマンスのステルス レイヤ2～7セキュリティ サービスにより、複雑なルーティング、ハイ アベイラビリティ、およびマルチキャストが統合された環境においても、ネットワーク レイヤに対する攻撃の防御機能を提供できます。
- サービスの仮想化- 単一のCisco ASA 5500シリーズ アプライアンスを複数の仮想ファイアウォールに論理的に分割できるようにして、それぞれに独自のポリシーと管理を適用します。この機能は、複数のファイアウォールを単一のCisco ASA 5500シリーズ アプライアンスに統合する企業やマネージド ファイアウォールまたはホスティング サービスを提供するサービス プロバイダーに適しています。
- 802.1qベースのVLANサポート - スイッチド ネットワーク環境への導入を可能にします。
- OSPFダイナミック ルーティング サービス - ネットワークの停止を数秒以内に検出してルーティングすることで、ネットワークの耐障害性を向上させることができます。
- PIM SM v2および双方向PIMルーティングのサポート - ミッションクリティカルなリアルタイムのエンタープライズ アプリケーション、コラボレーティブ コンピューティング アプリケーション、およびストリーミング マルチメディア サービスを安全に展開できるようにします。
- IPv6のサポート - 次世代のIPv6ネットワークを安全に展開できるようにします。
- QoS - Low-Latency Queuing（LLQ）およびトラフィック ポリシング機能は、音声や映像などのQoS要件を持つアプリケーションをサポートして、エンドツーエンドのネットワークQoSポリシーを実現できるようにします。遅延の影響を受けやすいトラフィックは、ファイル転送やその他の遅延を許容することが可能なトラフィックよりも優先して処理することができます。
- IP電話の「ゼロタッチ プロビジョニング」サービス - 電話を適切なCisco CallManagerシステムに登録して、追加の設定情報およびソフトウェアイメージをダウンロードすることで、IP電話の展開を簡素化します。
- 耐障害性の高いアーキテクチャ - ステートフルなアクティブ/アクティブおよびアクティブ/スタンバイ ハイ アベイラビリティ サービスと、VPNデバイス クラスタリングを提供して、スループットとネットワークの稼働時間を最大化できるようにします。Cisco ASA 5500シリーズは、「ダウンタイムなしのソフトウェア アップグレード」もサポートしています。これにより、企業は接続やネットワークの稼働時間に影響を与えることなく、フェールオーバー ペアのソフトウェア アップグレードが可能となります。また、統合されたダイナミック ロードバランシング機能により、リモート アクセスVPNの展開に対応した高いセッション スケーラビリティと耐障害性が実現されます。
独自のAIMサービス アーキテクチャ
Cisco ASA 5500シリーズは、独自のAIMサービス アーキテクチャによって、ネットワークに対する新たなレベルのセキュリティおよびポリシー制御を行います（図2）。AIMアーキテクチャは、個別のアプリケーションごとに異なる要件に合わせた、フロー固有のセキュリティ ポリシーの作成をサポートします。これらのセキュリティ ポリシーがCisco ASA 5500シリーズのセキュリティ サービス プロファイルの適応力と拡張性を実現しています。また、ユーザによるインストールが可能なSSMによって、パフォーマンスおよびセキュリティ サービスを拡張することができます。この適応力に優れたアーキテクチャにより、企業は特定のアプリケーションやユーザのニーズに合わせて検査方法を調整したり、Adaptive Inspection and Prevention Security Services Module（AIP SSM）で提供されるその他の侵入防御およびAnti-Xサービスを追加するなど、必要に応じたセキュリティ サービスを展開できるようになります。さらに、AIMアーキテクチャは、将来的に提供される新たなセキュリティ サービスの統合を可能にします。これにより、Cisco ASA 5500シリーズによる大幅な投資保護が実現され、企業は最新の攻撃に対するネットワーク保護に対処できます。
図2 シスコのAIMアーキテクチャ
Cisco ASA 5500シリーズが提供する強力なポリシー フレームワークを使用することで、管理者は、個別のトラフィック フローに適用される特定のサービスを定義する詳細なポリシーを設定できます。このようなサービスには、30種類を超えるアプリケーションおよびプロトコル固有の検査エンジン、QoSポリシー、Anti-Xサービス、その他の検査およびネットワーク サービスなどがあります。ポリシーでは、ネットワーク アドレス、トラフィック タイプ、VPNトンネル、アプリケーションまたは宛先ターゲットなど、さまざまなパラメータを参照できます。フローごとに特定のセキュリティまたはネットワーク サービスを選択できるため、きめ細かいセキュリティ サービスの実装が可能になります。
導入および運用コストの削減
Cisco ASA 5500シリーズは、ネットワーク セキュリティを強化する一方で、導入および運用に必要なコストの削減にも貢献します。幅広いVPNおよびセキュリティ サービス プロファイルにより、単一のデバイスを複数の用途に使用して、プラットフォームと管理を標準化することができます。アクセス制御、アプリケーション検査、ワーム、ウィルス、その他の破壊工作ソフトウェアの軽減テクノロジーを使用することで、統合された攻撃防御デバイスとして使用できます。また、スケーラビリティの高いサイト間のIPSecおよびSSLリモート アクセスVPN機能を使用することで、専用のVPN終端デバイスとして使用することも可能です。ネットワーク内においても同様の機能を提供し、部門間のアクセスを制御したり、内部ユーザが無意識にネットワークに取り込む可能性のあるワーム、ウィルス、およびその他の悪意のあるコードから防御することも可能です。Cisco ASA 5500シリーズは、中小・中堅企業やブランチ オフィス環境では「多機能一体型」ソリューションとして機能し、導入のための予算や運用モデルに合わせて、包括的な攻撃防御およびVPNサービスを提供します。単一のプラットフォームで複数機能をサポートすることによって適応力を向上させ、導入および管理対象となるプラットフォームの数を削減します。共通の運用環境は、設定、モニタリング、トラブルシューティング、およびセキュリティ スタッフのトレーニングの簡素化も実現します。Cisco ASA 5500シリーズは、ネットワークへの対応性が高く、運用コストを最小限に抑えます。また、正常なトラフィックやアプリケーションを中断することなく、ネットワークに確実に導入することができます。
図3 Cisco ASA 5500シリーズの導入事例
アプライアンス モデル
Cisco ASA 5500シリーズでは、Cisco ASA 5510、5520、および5540アプライアンスが提供され、中小・中堅企業から大企業まで幅広いソリューションを提供します。表1に、各モデルのパフォーマンスおよび機能を示します。
表1 アプライアンス モデル
|
各プラットフォームの完全な仕様および詳細については、Cisco ASA 5500シリーズのデータ シートを参照してください。
発注情報
表2に、Cisco ASA 5500シリーズ アプライアンスの発注情報を示します。シスコ製品の購入方法の詳細は、「発注方法」を参照してください。
表2 発注情報
|
すべての製品番号のリストについては、Cisco ASA 5500シリーズのデータ シートを参照してください。
サービスおよびサポート
シスコは、お客様のネットワークを支援するためのさまざまなサービス プログラムを提供しております。シスコの画期的なサービス プログラムは、スタッフ、プロセス、ツール、およびパートナーを統合した独自のサポート体制のもとに提供され、お客様から高い支持と信頼を得ています。シスコは、お客様のネットワークへの投資を最大限に活用し、ネットワーク運用を最適化するとともに、最新アプリケーションに対応できるようにネットワークを整備し、よりインテリジェントなネットワークを構築することによって、お客様の事業拡大を支援しています。シスコのサービスの詳細については、サービス プログラムをご覧ください。AIP-SSMが提供するIPS機能に固有のサービスについては、シスコ製品の販売代理店までお問い合わせください。