IOS XEデバイスの復元力のあるインフラストラクチャについて

ダウンロードオプション

PDF (469.9 KB)
Adobe Reader を使ってさまざまなデバイスで表示
ePub (87.9 KB)
iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
Mobi (Kindle) (96.4 KB)
Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示

Updated: 2026 年 8 月 7 日

Document ID:225978

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

内容

はじめに

前提条件

要件

使用するコンポーネント

目標

段階的アプローチ

フェーズ1：警告

フェーズ2：制限事項

フェーズ3：削除

主なコマンド

注意事項と考慮事項

タイマーと安全でない設定スキャン

安全でない設定の警告

設定直後のSyslogの例

ブートアップ時のsyslogの例

非セキュアモード

現在のセキュリティモードの確認

セキュリティモードの変更

非セキュアモードの有効化

セキュアモードの有効化

セキュアモードを有効にするための要件

安全でない設定の適用

非セキュアモードへの自動移行

デバイスの強化

適用する安全でない設定の特定

一般的な安全でない設定に対する修復例

安全でないファイル転送方法

安全でないレガシーSNMPプロトコル

よく寄せられる質問（FAQ）

はじめに

このドキュメントでは、Secure-by-defaultとSecure-by-designに基づく復元力のあるインフラストラクチャに対するシスコのアプローチについて説明します。

前提条件

要件

このドキュメントに固有の要件はありませんが、Cisco IOS® XEソフトウェアの基本的な知識が役立ちます。

使用するコンポーネント

このドキュメントの情報は、Cisco IOS XE 17.18.2以降のソフトウェアを実行できるすべてのデバイスに適用されます。これには、Cisco IOS XEルータ、スイッチ、およびWLCが含まれます。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

目標

このドキュメントでは、シスコがシスコネットワーキング製品に対する攻撃を軽減し、安全なデフォルト設定、安全でないレガシーテクノロジーと機能の削除、および製品セキュリティの強化によってセキュリティの脆弱性を最小限に抑える方法について説明します。

詳細については、『耐障害性インフラストラクチャ』ドキュメントおよび『Cisco IOS XEソフトウェア強化ガイド』を参照してください。現在のドキュメントでは、これらのセキュリティ変更を段階的に実装した結果として生じる技術的な側面と考慮事項に焦点を当てています。

段階的アプローチ

シスコは、段階的アプローチを使用して安全性の低い機能とプロトコルを削除し、攻撃対象領域を縮小して重要なセキュリティベストプラクティスの採用をサポートします。これらの設定のフェーズは、機能またはプロトコルによって異なります。ある機能は警告フェーズに残り、別の機能は制限フェーズに入ります。

フェーズ1：警告

CLIでは、安全でない主要な機能が設定されると警告が表示されます。このドキュメントでは、より安全なオプションへの移行を開始できるように、これらの安全でない設定について説明します。セキュリティで保護されていない警告メッセージに即座に対処する。警告フェーズでの安全でない設定は、安全でないモードをトリガーしたり、必要としません。

フェーズ2：制限事項

安全でない主要な機能はデフォルトで無効になっており、安全でないモードで有効にするには明示的なアクションが必要です。既存の展開は引き続き機能しますが、新規インストールでは、これらの安全でない設定を意図的に有効にする必要があります。Cisco IOS XEプラットフォームの一部の機能は、制限フェーズを持つことができません。これらのコマンドは、その後の削除の前に、いくつかのリリースに関する警告を表示するだけです。

フェーズ3：削除

古い安全でない機能は完全に削除されます。機能の削除のタイミングは、影響と採用によって異なります。たとえば、SNMPv2などの広く採用されている機能は、あまり一般的に使用されていない機能よりも徐々に廃止されています。

主なコマンド

これらのコマンドは、復元力の高いインフラストラクチャを実装する際に便利です。これらのコマンドは、このドキュメント全体を通じて参照されています。

show system insecure configuration（隠しコマンド）
このコマンドは、現在適用されている、制限フェーズにある安全でない設定を表示するために使用されます。警告フェーズや削除フェーズにある安全でない設定は表示されません。このコマンドでは、次回の安全でない設定スキャンの残り時間も表示されます（「タイマーと安全でない設定スキャン」セクションで詳しく説明）。

show system securityモード
このコマンドは、デバイスがセキュアモードか非セキュアモードかを示す簡単な出力を提供します。

show running-config all | include system mode insecure（システムモードが安全でない場合）

このコマンドは、システムモードの非セキュアキーワードでフィルタリングされた実行コンフィギュレーション（デフォルト設定を含む）を表示します。詳細については、「セキュリティモードの変更」を参照してください。

システムのセキュリティをすべてテスト
このコマンドは、非セキュアな設定のスキャンをただちに実行し、show system insecure configurationの出力を表示します。これは、スキャンタイマーの期限切れを待たずに、変更の後に安全でないフラグの付いた設定を更新するのに役立ちます。

show system insecure profile（隠しファイル）
このコマンドは、そのバージョンのソフトウェアで検出するようにシステムが設計されている、制限フェーズの安全でない設定を表示します。プロファイル内の安全でない設定のリストは、セキュリティのベストプラクティスが進化し続けるにつれて更新されます。これは、デバイスで現在設定されている安全でない機能を反映するものではありません。これは、システムが検索するすべての制限フェーズの安全でない設定の単なるリストです。すべてのベストプラクティスについては、「その他のリソース」セクションの「強化ガイド」を参照してください。

注意事項と考慮事項

タイマーと安全でない設定スキャン

このドキュメントで詳述されている安全でない設定チェックと警告メッセージは、タイマーの実行頻度を制限するタイマーに基づいてスケジュールされます。安全でない設定が修正されても、show system insecure configurationの出力からすぐには消えません。設定スキャナは30分サイクルで動作するため、最大30分の遅延があります。同様に、安全でない設定を適用してから、対応するSYS-4-INSECURE_CONFIG syslogを適用するまでに、最大2分の遅延が発生する可能性があります。

次のスキャンが実行されるまでの残り時間は、show system insecure configurationコマンドで確認できます。タイマーは、出力の最初のセクションに表示されます。

この最初の例は、設定変更が行われ、安全でない設定に対する次のスキャンが8分後に実行される可能性があることを示しています。

Device# show system insecure configuration

=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: Pending in 8 min 0 sec <<<----------
Database State: Update Scheduled
=============================================================

次の例は、前回のスキャン以降は設定変更が検出されていないため、安全でない設定を追加でチェックする必要がないことを示しています。

Device# show system insecure configuration

=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates <<<----------
Database State: Stable
=============================================================

test system secure allコマンドを使用すると、即時の再スキャンを強制できます。このコマンドでは、即時の再スキャンを促すだけでなく、show system insecure configurationの出力も表示されます。これにより、スキャンタイマーの期限切れを待たずに、変更の後に安全でないフラグの付いた設定を更新できます。

安全でない設定の警告

17.18.2以降では、Warningフェーズが導入されているため、デバイスは次の構文を使用してsyslogメッセージを生成できます。

%SYS-4-INSECURE_CONFIG: Module:  - Command:  - Reason:  - Remediation: 
%SYS-4-INSECURE_DYNAMIC_WARNING: Module:  - Command:  - Reason:  - Remediation:

次のメッセージが含まれます。

モジュール：ログ・メッセージを生成したコンポーネント（LOGGING、HTTP、LINEなど）
コマンド：警告メッセージをトリガーした特定の設定
理由：この構成にセキュリティ保護されていないというフラグが設定されている理由
修復：より安全な代替案に移行するために必要な措置

これらの警告メッセージは、デバイスのサービスや機能に影響を与えません。その目的は、これらの安全でない設定に注意を向け、予防的に影響を軽減することです。

注：Cisco IOS XEバージョン26.1.1以降では、INSECURE_DYNAMIC_WARNINGメッセージは警告フェーズで安全でない設定を示し、INSECURE_CONFIGメッセージは制限フェーズで安全でない設定を示します。show system insecure configurationの出力には、制限フェーズの設定だけが表示されます。

これらのログは、ブート時、または安全でない設定が適用された後に表示されます。また、定期的にデバイスに表示することもできます。これらのメッセージとその構文の詳細については、『復元力のあるインフラストラクチャCisco IOS XEセキュリティ警告リファレンス』を参照してください。

設定直後のSyslogの例

これらは、非セキュアな設定を適用した直後に表示されるsyslogメッセージの例です。「タイマーと安全でない設定スキャン」セクションで説明したように、安全でない設定を適用した後、これらのメッセージが表示されるまでに最大2分かかることがあります。

! Feature in the Warning phase:
    *Jan 1 01:23:45.678: %SYS-4-INSECURE_DYNAMIC_WARNING: Module: HTTP - Command: ip http server - Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication - Remediation: Use http secure server to ensure secure web access - Submode: configure - Parent CLI: Not Applicable

! Feature in the Restriction phase:
    *Jan 1 01:23:45.678: %SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

ブートアップ時のsyslogの例

ブートアップ時に表示されるメッセージ例を次に示します。システムが検出した安全でない設定ごとに、次のメッセージが表示されます。

! Feature in the Warning phase:
    INSECURE DYNAMIC WARNING - Module: HTTP, Command: ip http server , Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication, Remediation: Use http secure server to ensure secure web access, Submode: configure, Parent CLI: Not Applicable

! Feature in the Restriction phase:
    SECURITY WARNING - Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

非セキュアモード

非セキュアモードは、Cisco IOS XEバージョン26.1.1で導入されました。安全でないモードは、既存の安全性の低い導入と将来の強化されたネットワークとの間のギャップを埋めるのに役立ちます。非セキュアモード設定では、既存の非セキュアな機能を使用した操作を継続しながら、どの設定がセキュリティリスクを引き起こすかをフラグ付けして実行できます。この設定を軽減する必要があります。また、工場出荷時のデフォルトのデバイスに適用される前に、安全でない機能の確認応答としても機能します。安全でないモードでは、フェーズ3より前に廃止された機能のサポート終了計画を立てることができ、完全に削除されます。セキュアでないモードの目的は、機能の中断を最小限に抑えながら、Secure-by-Designネットワークへの移行をサポートすることです。

新規導入と工場出荷時のデフォルトのインストールでは、セキュアモードはデフォルトで設定されています(no system mode insecure)。つまり、デバイスでは制限フェーズで安全でない設定の適用が許可されていません。制限フェーズで非セキュアな機能とプロトコルを適用するには、system mode insecureグローバルコンフィギュレーションを使用して、非セキュアモードを明示的にイネーブルにする必要があります。警告フェーズで安全でない機能とプロトコルは、セキュアモードでも適用できますが、警告メッセージが生成されます。

現在のセキュリティモードの確認

デバイスモードは、show system security modeコマンドで確認できます。show running-config all | include system modeコマンドは、デバイスがセキュアモードか非セキュアモードかについても反映します。allキーワードは、デフォルト設定を出力に含めるようにデバイスに指示します。これは、新規導入ではセキュアモードがデフォルト設定であるためです。

次の出力には、セキュアモードのデバイスが反映されています。

Device# show system security mode

System Security Mode : Secure

Device# show running-config all | include system mode

no system mode insecure

デバイスが非セキュアモードになっているかどうかを確認するには、同じコマンドを使用できます。

Device# show system security mode

System Security Mode : Insecure

Device# show running-config all | include system mode

system mode insecure

セキュリティモードの変更

非セキュアモードの有効化

非セキュアモードを有効にするには、次のコマンドを実行します。

グローバルコンフィギュレーションモードに入ります。
system mode insecureを実行します。

Device# configure terminal

Device(config)# system mode insecure

セキュアモードの有効化

セキュアモードを有効にするには、次の手順を実行します。

グローバルコンフィギュレーションモードに入ります。
no system mode insecureを実行します。

Device# configure terminal

Device(config)# no system mode insecure

セキュアモードを有効にするための要件

セキュアモードに移行するには、次の要件を満たす必要があります。

安全でない設定のスキャンは完了する必要があります。
安全でない設定はすべてデバイスから削除する必要があります。

セキュリティで保護されていない設定のスキャンが完了していない場合、システムはスキャンタイマーの期限が切れた後で再試行するよう求めるプロンプトを表示します。

Device# configure terminal

Device(config)# no system mode insecure

System secure mode cannot be changed to secure as insecure configuration scanning is in progress. Try after 4 min 0 sec.

test system secure allコマンドを使用すると、即時の再スキャンを強制できます。

タイマーの期限が切れて設定スキャンが完了しても、システムが安全でない設定を検出する場合、システムはセキュアモードに入りません。システムがセキュアモードに入る前に、これらの安全でない設定を削除する必要があります。

Device(config)# no system mode insecure

System secure mode cannot be changed to secure as insecure cli(s) are present in system.

両方の要件が満たされると、セキュアモードを有効にすることができます。

Device# configure terminal

Device(config)# no system mode insecure

%SYS-4-SYSTEM_SECURITY_MODE_CHANGE: System Security Mode Changed from INSECURE to SECURE

安全でない設定の適用

セキュアモードでは、制限フェーズの安全でない設定が適用されると、エラーメッセージが表示され、設定は適用されません。例：

Device# configure terminal

Device(config)# ip ftp source-interface Gi0/0/0

%Error:Insecure configurations are not permitted in secure mode. To proceed, set the system mode to insecure using the command system mode insecure, and then try again.
Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%ERROR: Security policy check failed, configuration cannot be applied
Device(config)#end

設定試行直後に表示されるメッセージは、デバイスがセキュアモードであり、セキュアではない設定は適用できないことを示します。その結果、次の情報で検証できます。

Device# show running-config | include ip ftp source-interface
Device#

制限フェーズの安全でない設定を適用するには、最初にシステムモードの安全でないグローバルコンフィギュレーションで安全でないモードを有効にします。

Device# configure terminal

Device(config)# system mode insecure

Device(config)# end

Device#show running-config all | include system mode

system mode insecure

デバイスが非セキュアモードになると、制限フェーズの非セキュアな設定を適用できます。同様のセキュリティ警告メッセージが設定中に表示されますが、安全でない設定が適用されます。

Device# configure terminal

Device(config)# ip ftp source-interface Gi0/0/0

SECURITY WARNING - Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

Device(config)# end

Device# show running-config | include ip ftp source-interface
ip ftp source-interface GigabitEthernet0/0/0
Device#

警告メッセージは、安全でない設定への注意も呼び出します。タイマーはレート制限のためにこれらのメッセージをキューに入れるため、このsyslogは設定後に表示されるまでに最大2分かかることがあります。

%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

制限フェーズの機能とプロトコルのみが非セキュアモードを要求するか、非セキュアモードをトリガーします。警告フェーズの機能とプロトコルは、引き続きセキュアモードで適用できます。

非セキュアモードへの自動移行

Cisco IOS XEデバイスを26.1.1以降にアップグレードすると、システムはブート時に制限フェーズの安全でない設定を検出し、デバイスを安全でないモードに自動的に移行します。system mode insecureグローバル設定を手動で追加する必要はなく、制限フェーズに移行する際に安全ではない機能への影響もありません。

この例では、17.18.2（非セキュアモードコンテキストがない）から26.1.1（明示的な非セキュアモードコンテキストがある）へのアップグレード中の非セキュアモードへの自動移行について説明します。デバイスは、適用された安全性の低いip ftp source-interface GigabitEthernet0/0/0設定から始まります。

最初は、このデバイスはCisco IOS XEバージョン17.18.2で起動します。

Device# show version | include Cisco IOS XE Software
Cisco IOS XE Software, Version 17.18.02

安全でない設定が1つ検出されました。

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1 <<<----------


+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0 <<<----------
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------


=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1

また、このバージョンにはセキュアモードと非セキュアモードの概念はありません。

Device# show running-config all | include system mode
Device#

その後、デバイスを26.1.1にアップグレードすると、セキュアモードと非セキュアモードが導入されます。

Device# show version | include Cisco IOS XE Software
Cisco IOS XE Software, Version 26.01.01

同じ安全でない設定が適用されます。

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1 <<<----------


+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0 <<<----------
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------


=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1

次の（または任意の）制限フェーズの安全でない設定が存在するため、システムはそれを検出し、自動的に安全でないモードに移行します。

Device# show system security mode 
System Security Mode : Insecure

system mode insecure設定が自動的に適用されます。

Device# show running-config all | include system mode
system mode insecure <<<----------
system mode warning periodicity 24
Device#

注：警告フェーズの安全でない設定が存在しても、安全でないモードへの移行はトリガーされません。制限フェーズの安全でない設定が存在する場合にのみ、自動移行がトリガーされます。

デバイスの強化

削除フェーズ（フェーズ3）の前に、安全でない機能やプロトコルから、より安全な方法に移行します。シスコは、安全性の低い設定の特定と修正を容易にするサービスアビリティ拡張機能を統合しています。

適用する安全でない設定の特定

現在適用されている制限フェーズの安全でない設定は、show system insecure configuration EXECコマンドで表示できます。このコマンドは、バージョン26.1.1以降ではshow tech-supportの出力に自動的に含まれます。この例は、3つの制限フェーズの安全でない設定が適用されたデバイスからの出力です。

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 3 <<<---------- Number of insecure configurations identified
Database Type: Active (Current State)
Scan Status: Complete
Next Update: Pending in 10 min 0 sec <<<------- Time remaining until this output refreshes to reflect
Database State: Update Scheduled                any configuration changes applied.
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 3 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: ip ftp source-interface GigabitEthernet0/0/0


=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 3

この出力には、非セキュアな機能を含むモジュールに関する重要な情報、ネストされた設定の場合の親コマンドまたは設定、フラグが付けられた特定のCLIコマンド、非セキュアとマークされた理由、および修正するために必要な修復操作が含まれます。

すべての非セキュアCLIパターンの包括的なリストは、show system insecure profileコマンドでも表示できます。show system insecure configurationは、現在適用されている制限フェーズの安全でない設定を示しますが、show system insecure profileは、システムが検出するように設計されているすべての制限フェーズの安全でない設定を表示します。プロファイル内の安全でない設定のリストは、セキュリティのベストプラクティスが進化し続けるにつれて更新されます。

一般的な安全でない設定の修復例

次の例は、一般的に発生する安全でない設定を検出、特定、および修復する方法を示しています。Ciscoでは、INSECURE_CONFIG syslogメッセージやshow system insecure configurationの出力が使用されるかどうかにかかわらず、識別と緩和を可能な限り簡単にするためにソフトウェアを実装しています。

安全でないファイル転送方法

デバイスに表示される警告メッセージは次のとおりです。

%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp username  - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp password  - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

show system insecure configurationを実行すると、これらの非セキュアな設定に関する追加情報を表示できます。

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 3
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates
Database State: Stable
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 3 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: ip ftp source-interface GigabitEthernet0/0/0

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [2/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp username 
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 2: ip ftp username 

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [3/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp password 
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 3: ip ftp password 

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 3

Device#

これらのログは、次の設定に直接マッピングされます。

Device# show running-config | include ip ftp
ip ftp source-interface GigabitEthernet0/0/0
ip ftp username 
ip ftp password

これらの安全でない設定を緩和するには、次の手順を実行します。

グローバルコンフィギュレーションモードに入ります。
安全でないFTP設定を削除します。

Device# configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Device(config)# no ip ftp source-interface GigabitEthernet0/0/0
Device(config)# no ip ftp username 
Device(config)# no ip ftp password

安全でないレガシーSNMPプロトコル

デバイスに次の警告メッセージが表示されます。

%SYS-4-INSECURE_CONFIG: Module: SNMP - Command: snmp-server community * ro - Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication - Remediation: Configure SNMP v3 User

show system insecure configurationを実行し、非セキュアな設定に関する追加情報を確認します。

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates
Database State: Stable
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 1 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: SNMP
|       Parent Command: NA
|          CLI Command: snmp-server community  RO
|          Description: SNMP Community string configured - uses insecure SNMPv1/v2c protocol vulnerable to eavesdropping
|               Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication
|          Remediation: Configure SNMP v3 User
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: snmp-server community cisco RO

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1


Device#

次のログは、この設定に直接マッピングされます。

Device# show running-config | include snmp-server
snmp-server community  RO

この問題は、SNMPv3 with authentication and encryption(authPriv)を使用して修正できます。

よく寄せられる質問（FAQ）

Q：シスコはなぜ今回の変更を行うのですか。

A：シスコは、ネットワークインフラストラクチャのセキュリティと復元力を強化するためにこれらの変更を行っています。具体的には、安全性の低いレガシー機能を無効にし、強力な保護とモニタリングを導入し、安全な運用を簡素化します。これらの取り組みは、進化するサイバー脅威からお客様を保護し、ダウンタイムを短縮し、量子コンピューティングのような将来の課題にネットワークを準備するのに役立ちます。全体として、このイニシアチブは現在および将来のテクノロジーのための現代的で安全かつ信頼性の高い基盤の構築を目指しています。

Q：安全でない設定のデバイスが、その機能の制限フェーズでリリースにアップグレードされるとどうなりますか。

A：デバイスが特定の機能の制限（フェーズ2）リリースにアップグレードされると、システムはブートプロセス中に安全でない設定を検出し、自動的にデバイスを安全でないモードに移行します。

Q：安全でない設定のデバイスが、その機能の削除フェーズでリリースにアップグレードされるとどうなりますか。

A：特定の機能について、デバイスを削除（フェーズ3）リリースにアップグレードすると、削除された設定は使用できなくなります。古いコマンドを管理するための標準的な移行手順に従います。

Q：同じリリースで、セキュリティで保護されていないすべての機能が削除されるのですか。

A：同じリリースでは、セキュリティで保護されていない機能がすべて削除されるわけではありません。シスコでは、セキュリティで保護されていない機能を3段階で廃止する段階的アプローチを採用しています。まず、セキュリティで保護されていない機能が設定または検出されたときに警告を発行し、次にデフォルトで無効にするか明示的な管理者アクションを要求して使用を制限し（セキュリティで保護されていないモードの導入により）、最後に将来のリリースで完全に機能を削除します。一部の機能では、制限フェーズをスキップして、警告から削除に直接移行できます。削除のタイミングは機能とプラットフォームによって異なり、警告、制限、および削除のリリース番号はCisco IOS XE、Cisco IOS XR、Cisco NXOS、Cisco ISE、およびCisco ASA/FTDなどのオペレーティングシステムによって異なります。この段階的なプロセスにより、中断が最小限に抑えられ、お客様は安全な代替案に移行する時間を確保できます。

Q：セキュリティで保護されていない機能が制限または削除フェーズに移行するのはいつですか。

A：保護されていない機能が制限または削除フェーズに移行するタイミングは、機能およびオペレーティングシステムによって異なります。詳細については、『機能の廃止と削除の詳細』を参照してください。

Q：安全でない特定の機能に対して、どのような代替手段がありますか。

A：さまざまな安全でない機能やプロトコルに対する推奨処置については、『機能の削除と推奨される代替プロトコル』のドキュメントを参照してください。

Q：現在適用されている安全でない設定を確認するには、どうすればよいのですか。

A：現在、どの制限フェーズで非セキュアな設定が適用されているかを確認するには、Cisco IOS XE 26.1.1以降のリリースで、show system insecure configurationコマンドを使用します。このコマンドは、デバイスで設定されている制限フェーズの安全でない機能の包括的なリストを提供します。また、Cisco SD-WAN Managerでは、Monitor > Advisoriesの順に使用して、Insecure Configurationsタブを選択し、複数のデバイス、設定グループ、およびテンプレートにわたる安全でない設定を表示し、修復手順へのリンクを提供します。このビューは約30分ごとに更新され、最新情報が確認されます。

Q：特定のソフトウェアバージョンで発生する可能性があるすべての安全でない設定のリストを表示するには、どうすればよいのですか。

A：コマンドshow system insecure profileを使用して、システムが検出するように設計されているすべての制限フェーズの安全でないCLIパターンの完全なリストを表示します。現在適用されている安全でない設定のみを表示するshow system insecure configurationとは異なり、プロファイル出力には制限フェーズでの安全でない既知の設定がすべて含まれ、セキュリティのベストプラクティスが発展するのに合わせて更新されます。

Q：安全でない設定を修正しました。 show system insecure configurationの出力にまだ表示されるのはなぜですか。

A：安全でない設定のスキャンは、安全でないモードの間だけ定期的に実行されます。つまり、安全でない設定を修正した後、30分の間隔で次のスケジュールされたスキャンが実行されるまで、システムは変更をすぐに反映しません。このスケジューリングにより、スキャンの実行に必要なオーバーヘッドを最小限に抑えながら、最新の安全でない設定の詳細が定期的に更新および表示されるようになります。 test system secure allコマンドを使用して即時の再スキャンを強制することで、スキャンタイマーが切れるのを待たないようにすることができます。

Q：アップグレードの前に、適用した安全でない設定を予防的に確認するにはどうすればよいのですか。

A:Cisco IOS XE 17.18.2より前のバージョンでは、アップグレード前にどの安全でない設定が適用されているかを事前にチェックするために、Cisco Resilient InfrastructureページにあるCisco AI Assistant for Supportボットを使用します。このボットを使用すると、設定をアップロードして安全でない機能を特定できます。もう1つのオプションは、同様のツールであるCisco Config Resilient Infrastructure Testerです。 Cisco IOS XE 17.18.2以降ではこれらのツールを引き続き使用できますが、デバイスでshow system insecure configurationコマンドを実行し、現在適用されている安全でない設定を表示するオプションもあります。ただし、AI Assistant for SupportボットとResilient Infrastructure Testerを使用すると、直接CLIコマンドを使用する以外にも、AIを活用した強化機能が追加されます。

改定	発行日	コメント
2.0	07-Aug-2026	再認定 – 更新されたフォーマットと利用規約。
1.0	27-May-2026	初版

IOS XEデバイスの復元力のあるインフラストラクチャについて

ダウンロードオプション

偏向のない言語

翻訳について

内容

はじめに

前提条件

要件

使用するコンポーネント

目標

段階的アプローチ

フェーズ1：警告

フェーズ2：制限事項

フェーズ3：削除

主なコマンド

注意事項と考慮事項

タイマーと安全でない設定スキャン

安全でない設定の警告

設定直後のSyslogの例

ブートアップ時のsyslogの例

非セキュアモード

現在のセキュリティモードの確認

セキュリティモードの変更

非セキュアモードの有効化

セキュアモードの有効化

セキュアモードを有効にするための要件

安全でない設定の適用

非セキュアモードへの自動移行

デバイスの強化

適用する安全でない設定の特定

一般的な安全でない設定の修復例

安全でないファイル転送方法

安全でないレガシーSNMPプロトコル

よく寄せられる質問（FAQ）

関連情報

更新履歴

シスコエンジニア提供

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

IOS XEデバイスの復元力のあるインフラストラクチャについて

ダウンロード オプション

偏向のない言語

翻訳について

内容

はじめに

前提条件

要件

使用するコンポーネント

目標

段階的アプローチ

フェーズ1：警告

フェーズ2：制限事項

フェーズ3：削除

主なコマンド

注意事項と考慮事項

タイマーと安全でない設定スキャン

安全でない設定の警告

設定直後のSyslogの例

ブートアップ時のsyslogの例

非セキュアモード

現在のセキュリティモードの確認

セキュリティモードの変更

非セキュアモードの有効化

セキュアモードの有効化

セキュアモードを有効にするための要件

安全でない設定の適用

非セキュアモードへの自動移行

デバイスの強化

適用する安全でない設定の特定

一般的な安全でない設定の修復例

安全でないファイル転送方法

安全でないレガシーSNMPプロトコル

よく寄せられる質問（FAQ）

関連情報

更新履歴

シスコ エンジニア提供

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

ダウンロードオプション

シスコエンジニア提供