IOS XEデバイスの復元力のあるインフラストラクチャについて

ダウンロードオプション

PDF (473.7 KB)
Adobe Reader を使ってさまざまなデバイスで表示
ePub (88.0 KB)
iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
Mobi (Kindle) (96.1 KB)
Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示

Updated: 2026 年 5 月 27 日

Document ID:225978

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

内容

はじめに

前提条件

要件

使用するコンポーネント

目標

段階的アプローチ

フェーズ1：警告

フェーズ2：制限事項

フェーズ3：削除

主なコマンド

注意事項と考慮事項

タイマーと安全でない設定スキャン

安全でない設定の警告

設定直後のSyslogの例

ブートアップ時のsyslogの例

非セキュアモード

現在のセキュリティモードの確認

セキュリティモードの変更

非セキュアモードの有効化

セキュアモードの有効化

セキュアモードを有効にするための要件

安全でない設定の適用

非セキュアモードへの自動移行

デバイスの強化

適用する安全でない設定の特定

一般的な安全でない設定の修復例

安全でないファイル転送方法

安全でないレガシーSNMPプロトコル

よく寄せられる質問（FAQ）

はじめに

このドキュメントでは、Secure-by-defaultとSecure-by-designに基づく復元力のあるインフラストラクチャに対するシスコのアプローチについて説明します。

前提条件

要件

このドキュメントに固有の要件はありませんが、Cisco IOS ® XEソフトウェアの基本的な知識は非常に役立ちます。

使用するコンポーネント

このドキュメントの情報は、Cisco IOS XE 17.18.2以降のソフトウェアを実行できるすべてのデバイスに適用されます。これには、Cisco IOS XEルータ、スイッチ、およびWLCが含まれます。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

目標

シスコの目標は、シスコのネットワーキング製品に対する攻撃を受ける危険性を大幅に減らし、安全なデフォルト設定、安全でないレガシーテクノロジーと機能の削除、および製品セキュリティの強化によって、セキュリティの脆弱性を最小限に抑えることです。

ネットワークセキュリティポスチャを改善するためのシスコのプッシュに関する詳細については、『Resilient Infrastructure』ドキュメントと『Cisco IOS XE Software Hardening Guide』を参照してください。ただし、このドキュメントでは、これらの重要なセキュリティ変更を段階的に実装した結果として生じる技術的な側面と考慮事項に主に焦点を当てています。

段階的アプローチ

攻撃を受ける可能性を減らし、重要なセキュリティベストプラクティスを採用すると同時に、お客様の混乱と作業を最小限に抑えるため、シスコは段階的なアプローチを採用して、安全でない機能とプロトコルを削除しています。安全でない設定のフェーズは、機能またはプロトコルに固有であることに注意してください。ある機能は警告フェーズに残り、別の機能は制限フェーズに入ります。

フェーズ1：警告

安全でない主要機能を設定すると、ユーザはCLIで警告を受け取ります。シスコの目標は、お客様がより安全なオプションへの移行を計画できるように、こうした安全でない設定に対する認識を高めることです。シスコでは、安全でない警告メッセージにはただちに対処することを強く推奨します。警告フェーズで安全でない設定がトリガーされることはなく、安全でないモードが必要になることもありません。

Cisco IOS XEバージョン17.18.2は、安全でない機能に対して警告フェーズを導入した最初のソフトウェアリリースです。

フェーズ2：制限事項

安全でない主要な機能はデフォルトで無効になっており、有効にするには明示的なユーザアクションが必要です（安全でないモードの導入により）。既存の展開は引き続き機能しますが、新規インストールでは、これらの安全でない設定を意図的に有効にする必要があります。 Cisco IOS XEプラットフォームの一部の機能には、制限フェーズを設定できないことに注意してください。制限フェーズでは、

その後の削除の前に、いくつかのリリースに関する警告を表示するだけです。

Cisco IOS XEバージョン26.1.1は、安全でない機能に制限フェーズを導入した最初のソフトウェアリリースです。

フェーズ3：削除

古い安全でない機能は完全に削除されます。機能を削除するタイミングは、ユーザへの影響と導入によって異なります。たとえば、SNMPv2などの広く採用されている機能は、あまり一般的に使用されていない機能よりも段階的に廃止されます。

Cisco IOS XEバージョン26.2.1は、安全でない機能の削除フェーズを導入した最初のソフトウェアリリースです。

主なコマンド

これらのコマンドは、復元力の高いインフラストラクチャを実装しているお客様に非常に便利です。これらのコマンドは、このドキュメント全体を通じて参照されています。

show system insecure configuration（隠しコマンド）
- このコマンドは、現在適用されている、制限フェーズにある安全でない設定を表示するために使用されます。警告フェーズや削除フェーズにある安全でない設定は表示されません。このコマンドでは、次回の安全でない設定スキャンの残り時間も表示されます（「タイマーと安全でない設定スキャン」セクションで詳しく説明）。
show system securityモード
- このコマンドは、デバイスがセキュアモードか非セキュアモードかを示す簡単な出力を提供します。
show running-config all | include system mode insecure（システムモードが安全でない場合）
- このコマンドは、システムモードの非セキュアキーワードでフィルタリングされた実行コンフィギュレーション（デフォルト設定を含む）を表示します。詳細については、「セキュリティモードの変更」セクションを参照してください。
システムのセキュリティをすべてテスト
- このコマンドは、非セキュアな設定スキャンをただちに実行し、show system insecure configurationの出力を表示します。これは、スキャンタイマーの期限切れを待たずに、変更の後に安全でないフラグの付いた設定を更新するのに役立ちます。
show system insecure profile（隠しファイル）
- このコマンドは、そのバージョンのソフトウェアで検出するようにシステムが設計されている、制限フェーズの安全でない設定を表示します。プロファイル内の安全でない設定のリストは、セキュリティのベストプラクティスが進化し続けるにつれて更新されます。これは、デバイスで現在設定されている安全でない機能を反映するものではありません。これは、システムが検出したすべての制限フェーズの安全でない設定の単なるリストです。すべてのベストプラクティスについては、「その他のリソース」セクションの「強化ガイド」を参照してください。

注意事項と考慮事項

タイマーと安全でない設定スキャン

このドキュメントで詳述されている安全でない設定チェックと警告メッセージは、タイマーの実行頻度を制限するタイマーに基づいてスケジュールされます。安全でない設定が修正されても、show system insecure configurationの出力からすぐには消えません。設定スキャナは30分サイクルで動作するため、最大30分の遅延があります。同様に、安全でない設定を適用してから、対応する%SYS-4-INSECURE_CONFIG syslogを適用するまでに、最大2分の遅延が発生する可能性があります。

ユーザは、show system insecure configurationコマンドを使用して、次のスキャンが実行されるまでの残り時間を表示できます。タイマーは、出力の最初のセクションに表示されます。この最初の例は、設定変更が行われ、安全でない設定に対する次のスキャンが8分後に行われることを示しています。

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: Pending in 8 min 0 sec <<<----------
Database State: Update Scheduled
=============================================================
<snip>

次の例は、前回のスキャン以降は設定変更が検出されていないため、安全でない設定を追加でチェックする必要がないことを示しています。

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates <<<----------
Database State: Stable
=============================================================
<snip>

test system secure allコマンドを使用すると、即時に再スキャンを強制できます。このコマンドでは、即時の再スキャンを促すだけでなく、show system insecure configurationの出力も表示されます。これは、スキャンタイマーの期限切れを待たずに、変更の後に安全でないフラグの付いた設定を更新するのに役立ちます。

安全でない設定の警告

17.18.2以降では警告フェーズが導入されており、ユーザは次のsyslog構文を確認できます。

%SYS-4-INSECURE_CONFIG: Module: <MODULE> - Command: <COMMAND> - Reason: <REASON> - Remediation: <REMEDIATION>
%SYS-4-INSECURE_DYNAMIC_WARNING: Module: <MODULE> - Command: <COMMAND> - Reason: <REASON> - Remediation: <REMEDIATION>

次のようなメッセージが表示されます。

モジュール：ログメッセージを生成したコンポーネント（LOGGING、HTTP、LINEなど）
コマンド：警告メッセージをトリガーした特定の設定
Reason：この設定が非セキュアとしてフラグが付けられている理由。
修復：より安全な方法に移行するために必要な措置

これらの警告メッセージは、デバイスのサービスや機能に影響を与えません。この目的は、このような安全でない設定に注意を向け、ユーザが予防的に設定を緩和できるようにすることです。

注：Cisco IOS XEバージョン26.1.1以降では、INSECURE_DYNAMIC_WARNINGメッセージは警告フェーズの安全でない設定を示し、INSECURE_CONFIGメッセージは制限フェーズの安全でない設定を示します。 show system insecure configurationの出力には、制限フェーズの設定だけが表示されます。

これらのログは、ブート時、または安全でない設定を適用した後に表示されることに注意してください。また、定期的にデバイスに表示することもできます。これらのメッセージとその構文の詳細については、『耐障害性インフラストラクチャCisco IOS XEセキュリティ警告リファレンス』を参照してください。

設定直後のSyslogの例

これらは、非セキュアな設定を適用した直後に表示されるsyslogメッセージの例です。「タイマーと安全でない設定スキャン」セクションで説明したように、安全でない設定を適用した後、これらのメッセージが表示されるまでに最大2分かかることがあります。

! Feature in the Warning phase:
    *Jan 1 01:23:45.678: %SYS-4-INSECURE_DYNAMIC_WARNING: Module: HTTP - Command: ip http server - Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication - Remediation: Use http secure server to ensure secure web access - Submode: configure - Parent CLI: Not Applicable

! Feature in the Restriction phase:
    *Jan 1 01:23:45.678: %SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

ブートアップ時のsyslogの例

ブートアップ時に表示されるメッセージ例を次に示します。システムが検出した安全でない設定ごとに、次のメッセージが表示されます。

! Feature in the Warning phase:
    INSECURE DYNAMIC WARNING - Module: HTTP, Command: ip http server , Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication, Remediation: Use http secure server to ensure secure web access, Submode: configure, Parent CLI: Not Applicable

! Feature in the Restriction phase:
    SECURITY WARNING - Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

非セキュアモード

非セキュアモードは、Cisco IOS XEバージョン26.1.1以降で導入されました。非セキュアモードは、既存の安全でない導入と将来の強化されたネットワークとの間のギャップを埋めるために存在します。非セキュアモード設定を追加すると、お客様は既存の非セキュアな機能を引き続き使用しながら、セキュリティリスクを引き起こして軽減する必要のある設定をフラグ付けできます。また、工場出荷時のデフォルトのデバイスに適用する前に、安全でない機能の確認応答としても機能します。安全でないモードでは、フェーズ3より前に廃止された機能を完全に削除するサポート終了計画も可能です。セキュアでないモードの目標は、機能の中断を最小限に抑えながら、お客様をセキュアな設計に基づくネットワークに移行することです。

工場出荷時のデフォルトである新規の導入と新規インストールでは、デフォルトでセキュアモードが設定されています(非セキュアシステムモードなし)。つまり、デバイスで制限フェーズの非セキュアな設定をユーザが適用できなくなります。ユーザは、制限フェーズで安全でない機能とプロトコルを適用するために、system mode insecureグローバルコンフィギュレーションで安全でないモードを明示的に有効にする必要があります。警告フェーズで安全でない機能とプロトコルは、セキュアモードでも適用できますが、警告メッセージが生成されます。

現在のセキュリティモードの確認

ユーザはshow system security modeコマンドを使用して、デバイスがセキュアモードか非セキュアモードかを確認できます。show running-config all | include system modeコマンドは、デバイスがセキュアモードか非セキュアモードかについても反映します。 allキーワードは、デフォルト設定を出力に含めるようにデバイスに指示します。これは、新規導入ではセキュアモードがデフォルト設定であるためです。

次の出力には、セキュアモードのデバイスが反映されています。

Device# show system security mode 
System Security Mode : Secure

Device# show running-config all | include system mode
no system mode insecure

デバイスが非セキュアモードになっているかどうかを確認するには、同じコマンドを使用できます。

Device# show system security mode
System Security Mode : Insecure

Device# show running-config all | include system mode
system mode insecure

セキュリティモードの変更

非セキュアモードの有効化

ユーザは、system mode insecureグローバルコンフィギュレーションで、非セキュアモードをイネーブルにできます。

Device# configure terminal
Device(config)# system mode insecure

セキュアモードの有効化

ユーザは、no system mode insecureグローバルコンフィギュレーションでセキュアモードをイネーブルにできます。

Device# configure terminal
Device(config)# no system mode insecure

セキュアモードを有効にするための要件

セキュアモードに移行するには、次の手順を実行します。

安全でない設定のスキャンを完了する必要があります。
すべての安全でない設定をデバイスから削除する必要があります

セキュリティで保護されていない設定のスキャンが完了しない場合、スキャンタイマーの期限が切れた後に再試行するよう求めるメッセージが表示されます。

Device# configure terminal
Device(config)# no system mode insecure
System secure mode cannot be changed to secure as insecure configuration scanning is in progress. Try after 4 min 0 sec.

test system secure allコマンドを使用すると、即時に再スキャンを強制できます。

タイマーが切れて設定スキャンが完了した後も、システムが安全でない設定を検出すると、システムはセキュアモードに移行しません。システムがセキュアモードに入る前に、これらの安全でない設定を削除する必要があります。

Device(config)# no system mode insecure
System secure mode cannot be changed to secure as insecure cli(s) are present in system.

これらの要件が両方とも満たされると、ユーザはセキュアモードを有効にすることができます。

Device# configure terminal
Device(config)# no system mode insecure
%SYS-4-SYSTEM_SECURITY_MODE_CHANGE: System Security Mode Changed from INSECURE to SECURE

安全でない設定の適用

セキュアモードでは、ユーザが制限フェーズの安全でない設定を適用しようとすると、エラーメッセージが表示され、設定は適用されません。例：

Device# configure terminal 
Device(config)# ip ftp source-interface Gi0/0/0
 %Error:Insecure configurations are not permitted in secure mode. To proceed, set the system mode to insecure using the command system mode insecure, and then try again.
Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%ERROR: Security policy check failed, configuration can't be applied
Device(config)#end

設定試行の直後に表示されるメッセージには、デバイスがセキュアモードであることが示されます。したがって、提供されている安全でない設定は適用できません。安全でない設定が適用されなかったことを確認できます。

Device# show running-config | include ip ftp source-interface
Device#

制限フェーズの安全でない設定を適用するには、ユーザは最初に、システムモードの安全でないグローバルコンフィギュレーションで、安全でないモードを明示的に有効にする必要があります。

Device# configure terminal
Device(config)# system mode insecure 
Device(config)# end

Device#show running-config all | include system mode
system mode insecure

デバイスが非セキュアモードになると、制限フェーズの非セキュア設定を適用できます。同様のセキュリティ警告メッセージが設定時に表示されますが、安全でない設定が適用されます。

Device# configure terminal
Device(config)# ip ftp source-interface Gi0/0/0
 SECURITY WARNING - Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
Device(config)# end
Device# show running-config | include ip ftp source-interface
ip ftp source-interface GigabitEthernet0/0/0
Device#

ユーザには、安全でない設定に注意を促す警告メッセージも表示されます。これらのメッセージをレート制限するためにキューに入れるタイマーのため、このsyslogが設定されてから表示されるまでに最大2分かかることがあります。

%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

制限フェーズの機能とプロトコルのみが、非セキュアモードを要求またはトリガーすることに注意してください。警告フェーズにある機能とプロトコルは、引き続きセキュアモードで適用できます

非セキュアモードへの自動移行

Cisco IOS XEデバイスを26.1.1以降にアップグレードすると、システムはブートプロセス中に制限フェーズの安全でない設定を検出し、デバイスを安全でないモードに自動的に移行します。ユーザがsystem mode insecureグローバル設定を自分で手動で追加する手間は不要で、制限フェーズに移行する際に安全でない機能への影響はありません。

この例では、17.18.2（非セキュアモードコンテキストがない）から26.1.1（明示的な非セキュアモードコンテキストがある）へのアップグレード中の非セキュアモードへの自動移行について説明します。デバイスは、非セキュアなip ftp source-interface GigabitEthernet0/0/0設定が適用された状態で起動します。

最初は、このデバイスはCisco IOS XEバージョン17.18.2で起動します。

Device# show version | include Cisco IOS XE Software
Cisco IOS XE Software, Version 17.18.02

安全でない設定が1つ検出されました。

Device# show system insecure configuration          
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1 <<<----------
<snip>

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0 <<<----------
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
<snip>

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1
<snip>

また、このバージョンにはセキュアモードと非セキュアモードの概念はありません。

Device# show running-config all | include system mode
Device#

その後、デバイスを26.1.1にアップグレードすると、セキュアモードと非セキュアモードが導入されます。

Device# show version | include Cisco IOS XE Software
Cisco IOS XE Software, Version 26.01.01

同じ安全でない設定が適用されます。

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1 <<<----------
<snip>

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0 <<<----------
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
<snip>

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1
<snip>

この（または任意の）制限フェーズの安全でない設定が存在するため、システムは安全でないモードを検出し、自動的に移行します。

Device# show system security mode 
System Security Mode : Insecure

system mode insecure設定が自動的に適用されます。

Device# show running-config all | include system mode
system mode insecure <<<----------
system mode warning periodicity 24
Device#

注意：警告フェーズの安全でない設定が存在しても、安全でないモードに移行することはありません。制限フェーズの安全でない設定が存在する場合にのみ、自動移行がトリガーされます。

デバイスの強化

削除フェーズ（フェーズ3）に入る前に、安全でない機能やプロトコルから、より安全な方法に移行するよう、あらゆる努力を払うことを強く推奨します。シスコは、安全でない設定を特定し、簡単に修正できるようにするため、いくつかのサービサビリティ拡張機能を統合しました。

適用する安全でない設定の特定

ユーザは、show system insecure configuration EXECコマンドを使用して、現在適用されている制限フェーズの安全でない設定を表示できます。このコマンドは、バージョン26.1.1以降ではshow tech-supportの出力に自動的に含まれます。次に、3つの制限フェーズの安全でない設定が適用されたデバイスからの出力例を示します。

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 3 <<<---------- Number of insecure configurations identified
Database Type: Active (Current State)
Scan Status: Complete
Next Update: Pending in 10 min 0 sec <<<------- Time remaining until this output refreshes to reflect 
Database State: Update Scheduled                any configuration changes applied.
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 3 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: ip ftp source-interface GigabitEthernet0/0/0


=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 3
<snip>

この出力には、非セキュアな機能を含むモジュールに関する重要な情報、ネストされた設定の場合の親コマンドまたは設定、フラグが付けられた特定のCLIコマンド、非セキュアとマークされた理由、および修正するために必要な修復操作が含まれます。

また、ユーザはshow system insecure profileコマンドを使用して、すべての非セキュアCLIパターンの包括的なリストを表示することもできます。 show system insecure configurationは、現在適用されている制限フェーズの安全でない設定を示しますが、show system insecure profileは、システムが検出するように設計されているすべての制限フェーズの安全でない設定を表示します。プロファイル内の安全でない設定のリストは、セキュリティのベストプラクティスが進化し続けるにつれて更新されます。

一般的な安全でない設定の修復例

次の例は、一般的に発生する安全でない設定を検出、特定、および修復する方法を示しています。シスコでは、ユーザがINSECURE_CONFIG syslogメッセージやshow system insecure configurationの出力を利用しているかどうかにかかわらず、識別と緩和を可能な限り簡単に行えるようにソフトウェアを実装しています。

安全でないファイル転送方法

デバイスに表示される警告メッセージは次のとおりです。

%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp username cisco - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp password * - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

show system insecure configurationを実行すると、これらの非セキュアな設定に関する追加情報を表示できます。

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 3
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates
Database State: Stable
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 3 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: ip ftp source-interface GigabitEthernet0/0/0

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [2/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp username 
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 2: ip ftp username cisco

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [3/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp password 
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 3: ip ftp password cisco

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 3
<snip>
Device#

これらのログは、次の設定に直接マッピングされます。

Device# show running-config | include ip ftp
ip ftp source-interface GigabitEthernet0/0/0
ip ftp username cisco
ip ftp password cisco

ユーザは、次の変更によって安全でない設定を緩和できます。

Device# configure terminal 
Enter configuration commands, one per line. End with CNTL/Z.
Device# (config)# no ip ftp source-interface GigabitEthernet0/0/0
Device# (config)# no ip ftp username 
Device# (config)# no ip ftp password

安全でないレガシーSNMPプロトコル

デバイスに次の警告メッセージが表示されます。

%SYS-4-INSECURE_CONFIG: Module: SNMP - Command: snmp-server community * ro - Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication - Remediation: Configure SNMP v3 User

show system insecure configurationを実行して、非セキュアな設定に関する追加情報を確認できます。

Device# show system insecure configuration 
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates
Database State: Stable
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 1 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: SNMP
|       Parent Command: NA
|          CLI Command: snmp-server community  RO
|          Description: SNMP Community string configured - uses insecure SNMPv1/v2c protocol vulnerable to eavesdropping
|               Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication
|          Remediation: Configure SNMP v3 User
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: snmp-server community cisco RO

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1
<snip>

Device#

次のログは、この設定に直接マッピングされます。

Device# show running-config | include snmp-server
snmp-server community  RO

この問題は、SNMPv3 with authentication and encryption(authPriv)を使用して修正できます。

よく寄せられる質問（FAQ）

Q：シスコはなぜ今回の変更を行うのですか。

A：シスコは、ネットワークインフラストラクチャのセキュリティと復元力を強化するためにこれらの変更を行っています。具体的には、安全性の低いレガシー機能を無効にし、強力な保護とモニタリングを導入し、安全な運用を簡素化します。これらの取り組みは、進化するサイバー脅威からお客様を保護し、ダウンタイムを短縮し、量子コンピューティングのような将来の課題にネットワークを準備するのに役立ちます。全体として、このイニシアチブは現在および将来のテクノロジーのための現代的で安全かつ信頼性の高い基盤の構築を目指しています

Q：安全でない設定のデバイスが、その機能の制限フェーズでリリースにアップグレードされるとどうなりますか。

A：デバイスが特定の機能の制限（フェーズ2）リリースにアップグレードされると、システムはブートプロセス中に安全でない設定を検出し、自動的にデバイスを安全でないモードに移行します。

Q：安全でない設定のデバイスが、その機能の削除フェーズでリリースにアップグレードされるとどうなりますか。

A：特定の機能に関して、デバイスを削除（フェーズ3）リリースにアップグレードすると、削除された設定は使用できなくなります。古いコマンドを管理するには、標準の移行手順に従う必要があります。

Q：同じリリースで、セキュリティで保護されていないすべての機能が削除されるのですか。

A：同じリリースでは、セキュリティで保護されていない機能がすべて削除されるわけではありません。シスコでは、セキュリティで保護されていない機能を3段階で廃止する段階的アプローチを採用しています。まず、セキュリティで保護されていない機能が設定または検出されたときに警告を発行し、次にデフォルトで無効にするか明示的な管理者アクションを要求して使用を制限し（セキュリティで保護されていないモードの導入により）、最後に将来のリリースで完全に機能を削除します。一部の機能では、制限フェーズをスキップして、警告から削除に直接移行できます。削除のタイミングは機能とプラットフォームによって異なり、警告、制限、および削除のリリース番号はCisco IOS XE、Cisco IOS XR、Cisco NXOS、Cisco ISE、およびCisco ASA/FTDなどのオペレーティングシステムによって異なります。この段階的なプロセスにより、中断が最小限に抑えられ、お客様は安全な代替案に移行する時間を確保できます。

Q：セキュリティで保護されていない機能が制限または削除フェーズに移行するのはいつですか。

A：保護されていない機能が制限または削除フェーズに移行するタイミングは、機能やオペレーティングシステムによって異なります。詳細については、『機能の廃止と削除の詳細』を参照してください。

Q：安全でない特定の機能に対して、どのような代替手段がありますか。

A：お客様は『機能の削除と代替案』のドキュメントを参照して、さまざまな安全でない機能とプロトコルに対する推奨案を確認できます。

Q：現在適用されている安全でない設定を確認するには、どうすればよいのですか。

A：現在適用されている制限フェーズの安全でない設定を確認するには、Cisco IOS XE 26.1.1以降のリリースでコマンドshow system insecure configurationを使用します。このコマンドは、デバイスで設定されている制限フェーズの安全でない機能の包括的なリストを提供します。また、Cisco SD-WAN Managerでは、Monitor > Advisoriesに移動し、Insecure Configurationsタブを選択して、デバイス、設定グループ、およびテンプレートにわたる安全でない設定を表示できます。また、修復手順へのリンクも表示されます。このビューは約30分ごとに更新され、最新情報が確認されます。

Q：特定のソフトウェアバージョンで発生する可能性があるすべての安全でない設定のリストを表示するには、どうすればよいのですか。

A：コマンドshow system insecure profileを使用すると、システムが検出するように設計されているすべての制限フェーズの安全でないCLIパターンの完全なリストを表示できます。現在適用されている安全でない設定のみを表示するshow system insecure configurationとは異なり、プロファイル出力には制限フェーズでの安全でない既知の設定がすべて含まれ、セキュリティのベストプラクティスが発展するのに合わせて更新されます。

Q：安全でない設定を修正しました。なぜ、show system insecure configurationの出力に、このコマンドが引き続き表示されるのですか。

A：安全でない設定のスキャンは、安全でないモードの間だけ定期的に実行されます。つまり、安全でない設定を修正した後、30分の間隔で次のスケジュールされたスキャンが実行されるまで、システムは変更を即座に反映できません。このスケジューリングにより、スキャンの実行に必要なオーバーヘッドを最小限に抑えながら、最新の安全でない設定の詳細が定期的に更新および表示されるようになります。 test system secure allコマンドを使用すると、即時に再スキャンを強制できるため、スキャンタイマーが切れるまで待つ必要がありません。

Q：アップグレードの前に、適用した安全でない設定を予防的に確認するにはどうすればよいのですか。

A:Cisco IOS XE 17.18.2より前のバージョンでは、アップグレード前に適用した安全でない設定を予防的にチェックするために、Cisco Resilient Infrastructureページで利用可能なCisco AI Assistant for Supportボットを使用できます。このボットを使用すると、設定をアップロードして安全でない機能を特定できます。同様のツールであるCisco Config Resilient Infrastructure Testerも、お客様にとってのもう1つのオプションです。 Cisco IOS XE 17.18.2以降からは、これらのツールを使用できますが、デバイスでshow system insecure configurationコマンドを直接実行して、現在適用されている安全でない設定を表示することもできます。ただし、AI Assistant for SupportボットとResilient Infrastructure Testerを使用すると、直接CLIコマンドを使用する以外にも、AIを活用した強化機能が追加されます。

IOS XEデバイスの復元力のあるインフラストラクチャについて

ダウンロードオプション

偏向のない言語

翻訳について

内容

はじめに

前提条件

要件

使用するコンポーネント

目標

段階的アプローチ

フェーズ1：警告

フェーズ2：制限事項

フェーズ3：削除

主なコマンド

注意事項と考慮事項

タイマーと安全でない設定スキャン

安全でない設定の警告

設定直後のSyslogの例

ブートアップ時のsyslogの例

非セキュアモード

現在のセキュリティモードの確認

セキュリティモードの変更

非セキュアモードの有効化

セキュアモードの有効化

セキュアモードを有効にするための要件

安全でない設定の適用

非セキュアモードへの自動移行

デバイスの強化

適用する安全でない設定の特定

一般的な安全でない設定の修復例

安全でないファイル転送方法

安全でないレガシーSNMPプロトコル

よく寄せられる質問（FAQ）

関連情報

更新履歴

シスコエンジニア提供

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

IOS XEデバイスの復元力のあるインフラストラクチャについて

ダウンロード オプション

偏向のない言語

翻訳について

内容

はじめに

前提条件

要件

使用するコンポーネント

目標

段階的アプローチ

フェーズ1：警告

フェーズ2：制限事項

フェーズ3：削除

主なコマンド

注意事項と考慮事項

タイマーと安全でない設定スキャン

安全でない設定の警告

設定直後のSyslogの例

ブートアップ時のsyslogの例

非セキュアモード

現在のセキュリティモードの確認

セキュリティモードの変更

非セキュアモードの有効化

セキュアモードの有効化

セキュアモードを有効にするための要件

安全でない設定の適用

非セキュアモードへの自動移行

デバイスの強化

適用する安全でない設定の特定

一般的な安全でない設定の修復例

安全でないファイル転送方法

安全でないレガシーSNMPプロトコル

よく寄せられる質問（FAQ）

関連情報

更新履歴

シスコ エンジニア提供

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

ダウンロードオプション

シスコエンジニア提供