Cisco Talos インテリジェンスは、包括的な脅威検出ネットワークです。Talos インテリジェンスは、脅威検出アナリストと、Web リクエスト、電子メール、マルウェアサンプル、オープンソースデータセット、エンドポイント インテリジェンス、ネットワーク侵入に及ぶリアルタイムの自動検出システムで構成されています。Talos IP レピュテーション機能を使用して Cisco AI エンドポイント分析 と Talos を統合することにより、信頼できない IP アドレスに到達するネットワーク接続にフラグを立て、それらを隔離し、最も一般的なサイバー脅威からネットワークを保護できます。

Catalyst Center - Cloud は Talos インテリジェンス クラウド サービスと通信し、更新された IP レピュテーションデータを 30 分ごとに取得します。これらの更新は、登録されているすべての Catalyst Center デバイスにプッシュされます。

Catalyst Center での Cisco Talos インテリジェンスの設定は、2 つの手順で行うことができます。

[Trust Analytics] ウィンドウでは、さまざまな信頼スコアソースが表示されます。また、一定期間非アクティブになった後にこれらのソースで発生したアラートを手動または自動でリセットしたり、エンドポイントの全体的な信頼スコアを正確に測定するために各信頼スコアソースの影響度を設定したりすることもできます。

信頼スコアは、Zero Trust の成果を達成できるように、ネットワーク上の特定のエンドポイントの信頼性を評価します。値は、1（低信頼度）から 10（高信頼度）の範囲で、複数のソースを使用して計算されます。

• [Endpoint Context]：このカテゴリのソースは、エンドポイントで使用される認証方法とエンドポイントのポスチャステータスに基づいて、エンドポイントの信頼性に関する情報を提供します。

• [Threat and vulnerability Context]：このカテゴリのソースは、エンドポイントに関連する各種の脅威に基づいて、エンドポイントがどの程度脆弱であるかに関する情報を提供します。

• [Network Context]：このカテゴリのソースは、エンドポイントからネットワークへのアクセス方法に関する情報を提供します。

信頼スコアの影響度により、異常が発生した場合のエンドポイントの信頼スコアを制御できます。次の影響度を使用できます。

• [Low]：ネットワークでの異常の重要度が低いとわかっている場合は、その影響度を [Low] に設定して、信頼スコアへの影響を小さくすることができます。影響度をこのように設定した後で同様の異常が再度検出されると、異常が検出されたエンドポイントの信頼スコアはゆっくりと 1 に低下します（システム生成の影響度が合計信頼スコアの 50% 上がります）。

• [Critical]：ネットワークでの異常の重要度が高いとわかっている場合は、その影響レベルを [Critical] に設定して、信頼スコアに非常に大きな影響を与えるようにすることができます。影響度をこのように設定した後で同様の異常が再度検出されると、異常が検出されたエンドポイントの信頼スコアはすぐに 1 に低下します（システム生成の影響度が合計信頼スコアの 50% 下がります）。

• [No Impact]：異常が検出されますが、全体的な信頼スコアには影響しません。このオプションを使用すると、全体的な信頼スコアを変更せずに異常をテストして表示できます。

• [System Default]：デフォルトのシステム生成の信頼スコア。

ソースの影響度をカスタマイズする方法については、「影響度のカスタマイズ」を参照してください。

異常や脆弱性が原因で逸脱が発生した場合、またはエンドポイント接続やインターフェイスに弱点が見つかった場合にアラートが表示されます。アラートは、対処後に手動でリセットできます。対処する必要がないアラートを手動でリセットすることもできます。または、リセットタイマーを設定して、アラートを自動的にリセットすることもできます。一定期間非アクティブになった後、このアラートはエンドポイントで検出されません。

ソースのアラートをリセットする方法については、「アラートのリセット」を参照してください。

定義された時間にわたって非アクティブだったエンドポイントをネットワークから削除するには、エンドポイント パージ ポリシーを定義します。エンドポイントを削除する必要があるまでの非アクティブ期間を定義できます。また、プロファイリング属性に基づいて特定のエンドポイントのセットに作用するようにパージポリシーをカスタマイズすることもできます。パージポリシーは毎日午前 2 時（サーバー時間）に実行され、定義されたパージ要件を満たすエンドポイントがネットワークから削除されます。

Cisco AI エンドポイント分析にインポートされた登録済みエンドポイントおよび静的エンドポイントは、エンドポイント パージ ポリシーの影響を受けません。

Catalyst Center のバックアップ/復元操作、およびエンドポイント パージ アクティビティを同時に実行することはできません。バックアップ/復元操作が午前 2 時に進行中の場合、パージアクティビティは開始されません。エンドポイント アクティビティの進行中にバックアップ/復元操作が開始されると、エンドポイントパージの実行は停止され、パージアクティビティは未完了のままになります。残りのエンドポイントは、次のパージが翌日の午前 2 時（サーバー時間）に実行されるまで処理されません。

エンドポイント パージ ポリシーを表示、編集、または追加するには、メニューアイコンをクリックして選択 [Policy] > [AI Endpoint Analytics] > [Configurations] > [Endpoint Purge Policy]の順に選択します。デフォルトでは、次のポリシーを使用できます。

• Default

• Random MAC Default

これらのデフォルトポリシーは編集できません。有効または無効にすることだけが可能です。

[Purge Now] オプションを使用すると、午前 2 時まで待つのではなく、すぐにパージポリシーを実行できます。[Purge Now] オプションを使用するには、次の 2 つの方法があります。

• すぐに実行する必要があるパージポリシーを選択し、[More Actions] ドロップダウンリストから [Purge Now] を選択します。

• すぐに実行する必要があるパージポリシーの [Actions] 列の下にあるアイコンをクリックし、[Purge Now] を選択します。

Cisco AI エンドポイント分析 は、エンドポイントに信頼スコアを割り当てます。これにより、ネットワーク内の潜在的に危険なエンドポイントを簡単にモニターして対処することができます。異常な動作がモニタおよび追跡され、追跡された異常の数と頻度に基づいて信頼スコアが割り当てられます。

信頼スコアの計算に含める必要があるソースを選択するには、Cisco AI エンドポイント分析の [Overview] ウィンドウで、[Configuration] > [Trust Analytics] を選択します。ソースをクリックすると、スライドイン構成ウィンドウが右側に表示されます。トグルボタンをクリックしてソースを有効にします。

Cisco AI エンドポイント分析 は、次の要因に基づいて履歴信頼スコアを生成します。

• エンドポイントに関連付けられた異常の履歴（このエンドポイントに関して検出された異常の数）。

• エンドポイントで検出された各異常の重大度。

エンドポイントの全体的な信頼スコア計算に次の異常が考慮され、検出された異常ごとにスコアが表示されます（対応するソースが有効になっている場合）。

• AI スプーフィング検出

  Cisco AI エンドポイント分析 は、NetFlow テレメトリデータ、および Cisco ISE デバイスと SD-AVC デバイスからのネットワークプローブデータを分析して、スプーフィングされたエンドポイントを検出します。NetFlow コレクタサーバーの構成方法の詳細については、テレメトリを使用した Syslog、SNMP トラップ、NetFlow コレクタサーバー、および有線クライアントデータ収集の設定を参照してください。Catalyst Center トラフィック テレメトリ アプライアンスからのプローブおよび NetFlow データ（DN-APL-TTA-M）も分析されます。Catalyst Center トラフィック テレメトリ アプライアンスへのトラフィックの受信スパンを構成して、Cisco AI エンドポイント分析でエンドポイント トラフィック データを スプーフィング検出に使用できるようにします。

  各エンドポイントタイプには、機械学習アルゴリズムを使用して開発された動作モデルがあります。エンドポイントに対して受信されたデータに基づき、エンドポイントの動作がエンドポイント タイプ プロファイルで予期されていない動作の場合、エンドポイントには [AI Spoofing Detection] 領域で低い信頼スコアが割り当てられます。エンドポイントで使用されるアプリケーションおよびサーバーポートは、このスプーフィング検出プロセスで分析されます。たとえば、プリンタとしてプロファイリングされたエンドポイントがビデオ通話アプリケーションを使用する場合、スプーフィングされたエンドポイントとして識別され、信頼スコアが割り当てられます。

  エンドポイントは、Catalyst Center の管理対象スイッチの MAC アドレスによって識別されます。NAT の使用、仮想マシンまたはコンテナの実行など、単一の MAC アドレスを使用する複数のエンドポイントは、Cisco AI エンドポイント分析でサポートされている構成ではありません。

  AI スプーフィング検出は、次のデバイスタイプをカバーしています。

  • IP 電話

  • プリンタ

  • カメラ

  • 次のハードウェアモデル属性を持つビルディングオートメーションデバイス：

    • Automated-Logic-Device

    • Honeywell-Device

    • Johnson-Controls-Device

    • Rockwell-Automation-Device

    • Schneider-Electric-Device

    • Siemens-Automation-Device

    • Siemens-Building-Device

    • Trane-Device

  • TelePresence：

    • 次のいずれかのハードウェアモデルを持つエンドポイント：

      • Cisco-Tandberg-Device

      • Cisco-TelePresence

      • Cisco TelePresence SX80

      • Cisco Telepresence SX20

      • Cisco-Collaboration-Room-Endpoint

      • Poly-Device

    • デバイスタイプがビデオ会議のエンドポイント

• エンドポイント属性の競合

  デバイスがネットワークに参加し、デバイスがアクティブであるときに定期的にプローブを実行すると、エンドポイントのプロファイリングデータが継続的にモニタされ、更新されます。エンドポイントから受信したプロファイリングデータにおける特定の変化は、Cisco AI エンドポイント分析 で異常としてフラグが付けられます。たとえば、エンドポイントが最初に Linux デバイスとしてプロファイルされ、その後で macOS デバイスとしてプロファイルされた場合、これは重大度の高い異常としてフラグが付けられます。エンドポイントの [Endpoint Attribute Conflict] 列にスコアが割り当てられ、エンドポイントの全体的な信頼スコアもこの変化を反映して更新されます。

  ただし、macOS のバージョンに変化があり、エンドポイントが新しいリリースから古いリリースにダウングレードされたように見える場合、そのような変化は優先順位の低い異常としてフラグが付けられ、対応するスコアがそれに応じて更新されます。

• NAT モード検出

  ネットワーク内に NAT 対応ルータがある場合、NAT ルータに接続されたエンドポイントは、特定のエンドポイントの IP アドレスまたは MAC アドレスではなくルータの IP アドレスまたは MAC アドレスによって認識されます。NAT 対応ルータに関する情報は、接続先の Cisco Catalyst 9000 シリーズ デバイスから収集されます。

• 同時 MAC アドレス

  同じ MAC アドレスを共有し、Cisco Catalyst 9000シリーズ デバイスに接続されているエンドポイントを特定してください。共有 MAC アドレスを持つエンドポイントには、同時 MAC アドレススコアが割り当てられます。これにより、容易に、それらのエンドポイントを識別して詳細情報を調べることができます。

• セキュリティセンサー

  セキュリティ センサー スキャン機能を使用すると、特定の Cisco Catalyst 9000 シリーズ スイッチにアクティブプローブをインストールし、開いていると想定されていないのに開いているポート、クレデンシャルの脆弱性、またはその両方についてエンドポイントをスキャンするように Cisco AI エンドポイント分析 を設定できます。

エンドポイントの信頼スコアは、Cisco ISE から収集される次のイベントによっても通知されます。Cisco ISE を介して認証するすべてのエンドポイントは、次のイベントに基づいて初期信頼スコアを受け取ります。

• 認証方式

• ポスチャ

（注）	Cisco Catalyst 9000 シリーズ デバイスからデータを受信する信頼スコアソースの場合、デバイスで CBAR を有効にし、デバイスを Cisco IOS-XE リリース 17.6 以降にアップグレードする必要があります。

[Endpoint Inventory] ウィンドウに表示される信頼スコアは、エンドポイントの異常の履歴と重大度を考慮した全体的な信頼スコアです。[MAC Address] をクリックすると、エンドポイントに割り当てられた信頼スコアの原因の詳細情報が表示されます。たとえば、エンドポイントに関して低レベルの異常が検出され、これが異常の唯一のインスタンスである場合、エンドポイントの全体的な信頼スコアは 9 になります。

複数の低レベルの異常が検出された場合は、異常の数を考慮して全体的な信頼スコアがさらに低下します。

割り当てられる信頼スコアの範囲は 1 〜 10 で、次のように分類されます。

その後、Cisco ISE から適応型ネットワーク制御（ANC）ポリシーを適用して、エンドポイントで適切な修復アクションを実施することができます。Cisco ISE の管理者ガイドで「Maintain and Monitor」の章にある「Adaptive Network Control」を参照してください。

ANC ポリシーは、Cisco ISE で定義され、選択したエンドポイントに修復アクションを適用することを可能にします。ANC ポリシーを適用して、エンドポイントを隔離またはシャットダウンしたり、エンドポイントのポートをバウンスしたり、エンドポイントの再認証を強制的に実行することができます。Cisco AI エンドポイント分析で望ましくない信頼スコアを持つエンドポイントに ANC ポリシーを適用すると、認可変更（CoA）が Cisco ISE からそのエンドポイントに送信されます。

エンドポイントは、MAC アドレスによって識別されます。Cisco ISE は、ANC 適用時点で識別された MAC アドレスに関してアクティブセッションを保持しているエンドポイントに CoA を送信します。その時点で Cisco ISE においてアクティブセッションを持たない、同じ MAC アドレスのエンドポイントは、新しいセッションが開始されたときに、または設定された再認証タイマーの終了時に再認証する必要がある場合に、ANC ポリシーと照合されます。

ANC ポリシーが適用されているエンドポイントを確認するには、Cisco ISE 管理ポータルにログインします。メインメニューから、[Operations] > [RADIUS] > [Live Sessions] の順に選択します。[Endpoint ID] 列に、スプーフィングされたエンドポイントの MAC アドレスを入力します。これにより、同じ MAC アドレスを共有し、現在 Cisco ISE でライブセッションを持つエンドポイントがフィルタ処理されます。これらが、ANC ポリシーの影響を受けるエンドポイントです。

Cisco ISE で RADIUS セッションの履歴ログを表示するには、メインメニューから、[Operations] > [Reports] > [Reports] > [Endpoints and Users] > [RADIUS Authentications] の順に選択します。

Cisco ISE でエンドポイントへの ANC ポリシーの適用を表示または変更するには、メインメニューから、[Context Visibility] > [Endpoints] の順に選択します。必要に応じて、エンドポイントの MAC アドレスの横にあるチェックボックスをオンにして、リストの上部に表示されるオプションをクリックしてください。

Catalyst Center をアップグレードし、必要な信頼スコアのソースを有効にすると、Cisco AI エンドポイント分析の [Overview] タブ（メインメニュー > [Policy] > [AI Endpoint Analytics]）に [Trust Scores] ダッシュレットが表示されます。このダッシュレットには、次の情報が含まれます。

• 信頼スコアが割り当てられているエンドポイントの総数。

• 信頼スコアが低、中、および高のエンドポイントの数に関するドーナツグラフおよびリスト。

信頼スコアカテゴリのエンドポイントの詳細を表示するには、[Trust Scores] ダッシュレットでエンドポイント数をクリックします。[Endpoint Inventory] タブの [Trust Score] ビューが、適切なフィルタが適用されて表示されます。

次の 2 つの方法で信頼スコアを持つエンドポイントを表示できます。

• [Trust Score] タブで、[Endpoints] タブを選択して、信頼スコアが割り当てられているすべてのエンドポイントを表示します。

• [Endpoint Inventory] タブで、表示される警告メッセージの [View endpoints in Trust Score View] をクリックすると、低スコアと中スコアのエンドポイントが表示されます。

信頼スコアのあるエンドポイントでは、次のアクションを実行できます。

• ANC ポリシーの適用

  

  [Apply ANC Policy] ボタンをクリックして、エンドポイントに適用する ANC ポリシーを選択します。ネットワークへのエンドポイントのアクセスは、ポリシーに応じて変更されます。ANC ポリシーは Cisco ISE からインポートされ、表示されるポップアップウィンドウのドロップダウンリストに表示されます。

• ANC ポリシーの置換

  

  [Change ANC Policy] ボタンをクリックして、エンドポイントの既存の ANC ポリシーを別の ANC ポリシーに置き換えます。表示されるポップアップウィンドウで、[Change ANC Policy] ドロップダウンリストから適用する新しいポリシーを選択します。

• ANC ポリシーの削除

  

  適用された ANC ポリシーをエンドポイントから削除するには、[Remove ANC Policy] ボタンをクリックします。表示されるポップアップウィンドウで、[Remove] をクリックします。これにより、エンドポイントに適用された修復ポリシーが削除され、エンドポイントがネットワークに正常に接続できるようになります。

• 信頼スコアのリセット

  

  

  信頼スコアインベントリからエンドポイントを削除するには、[Reset Trust Score] ボタンをクリックします。表示されるポップアップウィンドウで、[Reset] をクリックします。

  ANC ポリシーの適用後にエンドポイントに対してこのオプションを選択した場合、このエンドポイントは信頼スコアインベントリに再度表示されません。この場合、このようなエンドポイントの ANC ポリシーを変更するには、Cisco ISE からポリシーを削除する必要があります。

  ANC ポリシーを適用せずにエンドポイントのスコアをリセットした場合、信頼スコアデータの次回の自動更新時に、エンドポイントが信頼スコアインベントリに再度表示されることがあります。

各アクションのボタンは、[Endpoint Inventory] タブの 2 つの場所に表示されます。アクションは、単一のエンドポイントまたは複数のエンドポイントで実行できます。

• 単一エンドポイントの信頼スコアの管理

  

  

  信頼スコアのあるエンドポイントのリストから、管理するエンドポイントの MAC アドレスをクリックします。表示されるエンドポイントの詳細ペインで、[Trust Score] タブをクリックします。

  ここには、[Expected Endpoint Type] の値が表示されます。[Applications Used] フィールドには、エンドポイントで使用されるアプリケーションが一覧表示されます。

  このペインには、ANC ポリシーの受け入れと削除のワークフローを開始し、信頼スコアをリセットするためのボタンがあります。目的のタスクのボタンをクリックします。

  または、[Endpoint Inventory] ウィンドウで個々のエンドポイントのチェックボックスをオンにし、[Actions] をクリックして、ドロップダウンリストから必要なオプションを選択します。

• 複数のエンドポイントの信頼スコアの管理

  

  [Endpoint Inventory] タブで、特定のアクションを実行する必要があるすべてのエンドポイントのチェックボックスをオンにします。[Actions] をクリックし、ドロップダウンリストから必要なアクションを選択します。

Cisco AI エンドポイント分析のプロファイリングルールには優先順位があります。プロファイリングルールの実行は、このルールの優先順位に従って、精度の高いエンドポイントをプロファイリングします。

Cisco AI エンドポイント分析ではユーザー入力がプライマリであるため、プロファイリングルールの優先順位は次のようになります。

• 管理者が作成した静的プロファイル（たとえば、[Register Endpoints] オプションを使用して追加したプロファイル）。

• 管理者が作成したカスタムルール。

• デフォルトで使用可能なシスコ提供のシステムルール。

• 機械学習対応のスマートグループ化ワークフローによって自動生成されたルール。

ルールに設定された優先順位を表示するには、[Profiling Rules] ウィンドウで [Rule priorityitization] をクリックします。

登録済みのエンドポイントは、さまざまなプロファイリングラベルの複数の Cisco AI エンドポイント分析ルールによってプロファイリングできます。次の表に、2 つのエンドポイントに対するプロファイリングルールの設計を示します。

エンドポイント 2 のルール優先順位では、カスタムルールが他のルールよりも優先されます。エンドポイント 2 のハードウェアモデルラベルは、カスタムルールによってプロファイリングされます。

エンドポイント 1 の場合、ルールごとに異なるプロファイルラベルが定義され、それに応じて各ラベルがプロファイリングされます。

Cisco AI エンドポイント分析には、エンドポイントをプロファイリングするためのシステムルールと呼ばれる事前定義済みのルールが用意されています。Cisco AI エンドポイント分析を導入すると、特定のルールを設定することなく、エンドポイントのゼロデイ可視性を実現できます。

新しくオンボーディングされたエンドポイントは、デフォルトでシステムルールを使用してプロファイリングされます。

ネットワークデバイスは、[Provision] > [Network Devices] > [Inventory] ウィンドウの Catalyst Center で管理されます。

これらのネットワークデバイスは、システムルールによってプロファイリングされ、Cisco AI エンドポイント分析の [Endpoint Inventory] ウィンドウには表示されません。ただし、カスタムルールでプロファイリングされたエンドポイントは、カスタムルールがネットワークデバイスを [Device Type] として作成されるため表示できます。

システムルールのほかに、エンドポイント属性を組み合わせて、エンドポイントをプロファイリングするためのカスタムルールを作成することもできます。カスタムルールは、Cisco AI エンドポイント分析の他のエンドポイント プロファイリング ルールよりも優先されます。