（注）	Cisco AI エンドポイント分析が使用するデータソースが、Cisco DNA Center にすでに接続されている可能性があります。データソースが接続されている場合は、次の手順を参照して、Cisco AI エンドポイント分析でデータソースを使用できることを確認します。 Cisco AI エンドポイント分析が結果を提供できるようにするには、Cisco ISE または Catalyst 9000 シリーズ アクセス デバイスを Cisco DNA Center に追加する必要があります。

1. Cisco DNA Center に Cisco ISE を接続します。

   ご使用のリリースに対応する 『Cisco DNA Center Appliance Installation Guide』の「Complete First-Time Setup」の章の「Integrate Cisco ISE with Cisco DNA Center」セクションを参照してください。

   次の Cisco ISE リリースが Cisco AI エンドポイント分析をサポートしています。

   • 2.4 パッチ 11 以降

   • 2.6 パッチ 5 以降

   • 2.7 パッチ 1 以降

   • 3.0

   Cisco ISE 管理ポータルで、次の手順を実行します。

   1. [Work Centers] > [Profiler] > [Settings] の順に選択します。

   2. [Enable Probe Data Publisher] チェックボックスをオンにします。

   Cisco ISE が 802.1X または MAB 認証方式でエンドポイントを認証すると、収集されたエンドポイント属性が Cisco AI エンドポイント分析で使用可能になります。この情報は、プローブデータパブリッシャを介して伝達されます。

2. 有線エンドポイントが表示されるように、Cisco 9000 シリーズ アクセス デバイスを Cisco DNA Center に接続します。

   ご使用のリリースに関連する 『Cisco DNA Center User Guide』の「Discover Your Network」の章を参照してください。

   Cisco 9000 シリーズ アクセス デバイスを Cisco IOS-XE リリース 17.3.1 以降にアップグレードして、Cisco AI エンドポイント分析を有効にします。

   必要なアクセスデバイスの CBAR を有効にするには、Cisco DNA Center で [Menu] アイコン（）をクリックします。

   1. [Provision] > [Services] > [All Services] > [Application Visibility] の順に選択します。

   2. データが必要な Cisco Catalyst 9000 アクセスデバイスを選択します。[Site Devices] セクションのデバイス名の横にあるチェックボックスをオンにします。

   3. [Enable CBAR] をクリックします。

3. （オプション）ワイヤレスエンドポイントを可視化するには、Cisco Catalyst 9800 シリーズ ワイヤレス コントローラを Cisco DNA Center に接続します。

   次の Cisco Catalyst 9800 シリーズ ワイヤレス コントローラ モデルが、Cisco AI Endpoint Analytics の非ファブリックモードでサポートされています。

   • 9800-CL

   • 9800-40

   • 9800-80

   • 9800-L

   Cisco DNA Center で Cisco Catalyst 9800 シリーズ ワイヤレス コントローラを設定およびプロビジョニングするには、Cisco Catalyst 9800 シリーズ ワイヤレス コントローラの概要を参照してください。

4. （オプション）有線およびワイヤレスエンドポイントを可視化し、サードパーティのネットワークデバイスを可視化するには、Cisco DNA トラフィック テレメトリ アプライアンスを Cisco DNA Center に接続します。

   Cisco DNA トラフィック テレメトリ アプライアンス（DN-APL-TTA-M）は、ミラーリングされたネットワークトラフィックからテレメトリを生成してエンドポイントを分析できるようにします。このアプライアンスでは、Network-Based Application Recognition（NBAR）ベースでプロトコルを検査し、エンドポイント属性を抽出できます。

   テレメトリアプライアンスで収集されたエンドポイント属性を Cisco AI エンドポイント分析で受信するには、Cisco ISE と Cisco DNA Center を統合する必要があります。

   Cisco DNA Center でのアプライアンスのインストール、接続の構成、およびアプライアンスの管理については、『Cisco DNA Traffic Telemetry Appliances』を参照してください。

   Cisco DNA トラフィック テレメトリ アプライアンスに接続されたアクセススイッチのスイッチドポートアナライザ（SPAN）受信ポートで CBAR を有効にするには、次のコマンドを使用します。

   ip nbar protocol-discovery

   テレメトリアプライアンスに接続されているすべてのエンドポイントが Cisco AI エンドポイント分析に表示されるわけではありません。Cisco DNA Center Assurance で管理されるネットワーク アクセス デバイス（NAD）にも接続されているエンドポイントのみが、Cisco AI エンドポイント分析に表示されます。

5. （オプション）Cisco DNA Center で ServiceNow を有効にします。

   ServiceNow を Cisco DNA Center に接続する方法については、ご使用のリリースの 『Cisco DNA Center User Guide』の「Configuration」の章を参照してください。

   ServiceNow を Cisco DNA Center に接続した後、Cisco DNA Center の [Menu] アイコン（）をクリックします。

   [Platform] > [Manage] > [Bundles] の順に選択します。バンドル [Endpoint Attribute Retrieval with ITSM (ServiceNow)] の [Status] が [New] の場合は、バンドルの [Enable] をクリックします。

6. （オプション）Cisco DNA Center で AI エンドポイント分析を有効にします。

   AI ベースのエンドポイントグループ化、カスタム プロファイリング ルール自動化、およびエンドポイントラベルに関する提案を受け取るには、[Cisco AI Analytics] を有効にする必要があります。

   これらの AI ベースの提案を受け取るには、AI Network Analytics というソフトウェアをインストールする必要があります。

   1. Cisco DNA Center のメインメニューから、[System] > [System Administration] > [Settings] > [External Services] > [Cisco AI Analytics] の順に選択します。

   2. [AI Endpoint Analytics] トグルボタンをクリックして緑色に設定します。

Cisco ISE リリース 3.1 以降では、pxGrid を介して Cisco AI エンドポイント分析の属性ディクショナリを導入します。その後、Cisco ISE 管理者は、Cisco ISE で許可ポリシーを作成するために、Cisco AI エンドポイント分析によって共有される属性情報に容易にアクセスできます。次の属性タイプが Cisco ISE と共有されます。

1. 信頼スコア

2. CMDB 属性

3. 多要素プロファイリング属性

Cisco DNA Center が Cisco ISE リリース 3.1 以降とアクティブに統合されており、認証属性を Cisco ISE に公開する必要がある場合は、次のタスクを実行します。

定義された時間にわたって非アクティブだったエンドポイントをネットワークから削除するには、エンドポイント パージ ポリシーを定義します。エンドポイントを削除する必要があるまでの非アクティブ期間を定義できます。また、プロファイリング属性に基づいて特定のエンドポイントのセットに作用するようにパージポリシーをカスタマイズすることもできます。パージポリシーは毎日午前 2 時（サーバー時間）に実行され、定義されたパージ要件を満たすエンドポイントがネットワークから削除されます。その後、影響を受けるエンドポイントの MAC アドレスのリストが、接続された SD-AVC デバイスでも共有されます。

DCS にインポートされた登録済みエンドポイントおよび静的エンドポイントは、エンドポイント パージ ポリシーの影響を受けません。

Cisco DNA Center のバックアップ/復元操作とエンドポイント パージ アクティビティを同時に実行することはできません。バックアップ/復元操作が午前 2 時に進行中の場合、パージアクティビティは開始されません。エンドポイント アクティビティの進行中にバックアップ/復元操作が開始されると、エンドポイントパージの実行は停止され、パージアクティビティは未完了のままになります。残りのエンドポイントは、次のパージが翌日の午前 2 時（サーバー時間）に実行されるまで処理されません。

エンドポイント パージ ポリシーを表示、編集、または追加するには、Cisco DNA Center の GUI で [Menu] アイコン（）をクリックし、[Policy] > [AI Endpoint Analytics] > [Configurations] > [Endpoint Purge Policy] を選択します。デフォルトでは、次のポリシーを使用できます。

• Default

• Random MAC Default

これらのデフォルトポリシーは編集できません。有効または無効にすることだけが可能です。

フィルタオプションを使用すると、一連のエンドポイントを表示してアクションを実行できます。これらのエンドポイントは、プロファイリングデータ、プライマリ プロファイリング ラベル、既知のプロファイル、および正常性ステータスに基づいてフィルタ処理できます。

エンドポイントをフィルタ処理するには、次の手順を実行します。

1. [Endpoint Inventory] ウィンドウで、[Filter] をクリックします。

2. 次の各ドロップダウンリストから、値を選択します。

   • Mac Address

   • エンドポイント タイプ

   • ハードウェア モデル

   • ハードウェア製造元

   • OS Type

   • 登録ステータス（Registration status）

3. [Apply] をクリックします。

また、4 つのプライマリ プロファイリング ラベルで表示されるプロファイリング済みのエンドポイントをフィルタ処理することもできます。[View Known Profiles] セクションで 1 つ以上のラベルをクリックします。

エンドポイントの正常性ステータスは 5 分ごとに更新されます。次の [In Network] オプションのいずれかをクリックして、正常性ステータスに基づいてエンドポイントをフィルタ処理できます。

• [All]：正常性ステータスに関係なく、ネットワーク内のすべてのエンドポイントが表示されます。

• [Active]：ネットワークでアクティブなエンドポイントのみが表示されます。

• [Inactive]：ネットワークでアクティブでなくなったエンドポイントのみが表示されます。

属性用語集は、Cisco ISE プローブデータから使用可能なすべてのプロファイリング属性のリストです。

すべてのプロファイリング属性を表示するには、次の手順を実行します。

1. [Endpoint Inventory] ウィンドウで、エンドポイントの MAC アドレスをクリックします。

2. 右側に表示される新しい領域で、[View Attribute Glossary] をクリックします。

[Attribute Glossary] ウィンドウに、属性ごとに次の情報が表示されます。

• キープロファイリング属性

• 説明

• 関連付けられたプロファイルラベル

• [Source]

• Dictionary

• ディスカバリの方法

用語集では、すべてのプロファイリング属性の詳細ビューが表示されます。プロファイリング属性がプロファイルラベルの作成に頻繁に使用される場合は、そのラベルが [Associated Profile Labels] 列に一覧表示されます。

また、ルールの論理条件の作成中に、[Choose Attribute Condition] ウィンドウに属性用語集を表示することもできます。詳細については、「カスタムルールの作成」を参照してください。

Cisco AI エンドポイント分析では、エンドポイントの正確なプロファイルラベルを取得するために、さまざまなソースから複数のプローブのデータが継続的に収集されます。Cisco AI エンドポイント分析では、次のソースから、次のデータが収集されます。

Cisco ISE から：

• RADIUS プローブ

• ディレクトリからのユーザーの詳細情報

• VPN の詳細情報（AnyConnect の可用性などの）

• オプションで、ポートフォワーディングが設定されている場合のその他のデータ（DHCP の詳細情報など）

スイッチから：

• デバイス接続メッセージ（DHCP メッセージや NetBIOS メッセージなど）

• ディープ パケット インスペクション

• スイッチテレメトリ

Cisco AI エンドポイント分析では、これらのソースから受信した情報に基づいてシステムルールが作成されます。デバイスがネットワークに参加し、デバイスがアクティブであるときに定期的にプローブを実行すると、エンドポイントのプロファイリングデータが継続的にモニタされ、更新されます。

エンドポイントから受信したプロファイリングデータにおける特定の変化は、Cisco AI エンドポイント分析で異常としてフラグが付けられます。たとえば、エンドポイントが最初に Linux デバイスとしてプロファイルされ、その後で macOS デバイスとしてプロファイルされた場合、これは重大度の高い異常としてフラグが付けられます。エンドポイントの [Changed Profile Label] 列にスコアが割り当てられ、エンドポイントの全体的な信頼スコアもこの変化を反映して更新されます。

ただし、macOS のサブバージョンに変化があり、エンドポイントが新しいリリースから古いリリースにダウングレードされたように見える場合、そのような変化は優先順位の低い異常としてフラグが付けられ、対応するスコアがそれに応じて更新されます。

[Endpoint Inventory] ウィンドウで、[Changed Profile Label] スコアを持つエンドポイントの MAC アドレスをクリックすると、記録されたプロファイリングデータの変化を確認できます。ここにはエンドポイントの新旧のプロファイルが表示されます。プロファイリングの変化が何らかの理由で問題ないと判断できる場合、または検出されたプロファイリングの変化に誤りがあると思われる場合は、エンドポイントの詳細情報の [Changed Profile Label] エリアで対応するボタンをクリックして、スコアをリセットします。

エンドポイントの詳細情報の [Changed Profile Label] エリアにあるトグルボタンをクリックすることにより、特定のエンドポイントに関して「変化したプロファイルラベル」の検出を無効にすることもできます。

影響を受けるエンドポイントが Cisco ISE に接続されている場合は、この異常に関するデータが Cisco ISE に送信されます。このデータは、Cisco ISE 管理者がポリシーを定義するために簡単に使用できるエンドポイント分析ディクショナリ属性として使用できます。

変化したプロファイルラベルの検出は、カスタムルールが適用されているエンドポイントには使用できません。

ネットワークアドレス変換（NAT）は、登録されていない IP アドレスを使用してインターネットへ接続するプライベート IP インターネットワークを可能にします。NAT は、ネットワーク全体で 1 つだけのアドレスを外部にアドバタイズするように設定できます。ネットワーク内に NAT 対応ルータがある場合、NAT ルータに接続されたエンドポイントは、特定のエンドポイントの IP アドレスまたは MAC アドレスではなくルータの IP アドレスまたは MAC アドレスによって認識されます。NAT 対応ルータに関する情報は、接続先の Cisco Catalyst 9000 シリーズ デバイスから収集されます。

NAC 対応ルータとして機能するデバイスは、不正なエンドポイントをネットワークに接続させる可能性があるため、NAT 検出が信頼スコアの計算に含まれます。NAT モード検出スコアが割り当てられているエンドポイントの場合は、[Endpoint Inventory] タブで MAC アドレスをクリックすると、スライドインウィンドウにエンドポイントの詳細情報が表示されます。エンドポイントのアイデンティティがネットワーク内の NAT 対応ルータに対応していることが確実な場合は、次の手順を実行します。

1. 詳細情報のスライドインウィンドウの [Trust Score] タブで、[NAT Mode Detection] をクリックします。

2. トグルボタンをクリックして、この特定エンドポイントの NAT 検出を無効にします。

同じ MAC アドレスを共有し、Cisco Catalyst 9000 シリーズ デバイスに接続されているエンドポイントを特定してください。同時 MAC アドレスを持つエンドポイントの問題は、有線環境と、有線展開およびワイヤレス展開を含むハイブリッド環境で発生します。ワイヤレス環境では、常時、特定の MAC アドレスを持つエンドポイントは 1 つしかネットワークにアクセスできないため、同時 MAC アドレスは発生しません。

Cisco AI エンドポイント分析では、同時 MAC アドレススコアをエンドポイントに割り当てることにより、同時 MAC アドレスを持つエンドポイントを特定することができます。ネットワーク内で共有 MAC アドレスを持つエンドポイントを検出するには、接続されている Cisco Catalyst 9000 シリーズ デバイスで CBAR を有効にする必要があります。

同じ MAC アドレスを持つデバイスが Cisco Catalyst 9000 シリーズ デバイスに接続すると、それらのエンドポイントは同時エンドポイントとして認識され、その MAC アドレスに低いスコアが割り当てられます。同時 MAC アドレスを持つエンドポイントは、次のデバイスに接続できます。

• 異なる VLAN から同じ Cisco Catalyst 9000 シリーズ デバイス

• 異なる Cisco Catalyst 9000 シリーズ デバイス

Cisco DNA Center リリース 2.2.3 以降では、[Endpoint Inventory] タブの [Trust Scores] ビューに [Concurrent MAC Address] 列があります。共有 MAC アドレスは異常として検出され、[Concurrent MAC Address] 列に低いスコアが割り当てられます。[MAC Address] をクリックすると、スライドインウィンドウが表示され、その MAC アドレスの詳細情報が示されます。[Concurrent MAC Address] をクリックすると、フィールドが展開され、MAC アドレスのさまざまな送信元に関する情報が表示されます。

[Concurrent MAC Address] エリアの [Network Device Name] 列には、エンドポイントが接続されている Cisco Catalyst 9000 シリーズ デバイスの名前が表示されます。[Interface] 列と [VLAN] 列には対応する値が表示され、エンドポイントがネットワークにどのように接続されているのかを特定するために役立ちます。

エンドポイントが Cisco ISE を介して認証されると、認証およびポスチャの詳細情報に基づいて、エンドポイントに信頼スコアがただちに割り当てられます。認証方式スコアはデフォルトで割り当てられ、このスコアを無効にすることも、このスコアに対処することもできません。[Configurations] ウィンドウからグローバルレベルで、または [Endpoint Inventory] タブで特定のエンドポイントについて、ポスチャベースのスコアを有効または無効にすることができます。認証方式およびポスチャ値に基づいて割り当てられた信頼スコアが、エンドポイントの初期信頼スコアになります。

その後、このエンドポイントで検出されたその他の異常な動作は、この初期信頼スコアに影響を与え、異常の重大度と数に基づいて信頼スコアを低下させます。

[Endpoint Inventory] タブのエンドポイントの詳細情報に表示される認証方式スコアは、使用される認証方式の認識されたセキュリティレベルに基づいています。たとえば、「HTTPS を介した Web 認証」、「証明書ベースの認証」、「セキュアトンネルを使用した認証」などは、高い信頼スコアを得ます。

ポスチャスコアは、接続エンドポイントがポスチャに準拠しているかどうかに基づきます。

エンドポイントの信頼スコアが認証方式スコアのみで構成されている場合、[Reset Trust Score] ボタンは非アクティブになります。認証方式以外の信頼スコアソースにスコアが表示されている場合は、リセットオプションを使用できます。

プライバシー対策として、モバイルデバイスでは接続先の SSID ごとにランダムおよび変更 MAC アドレスを使用することが増えています。一部のデスクトップ オペレーティング システムは、ユーザーが定期的に MAC アドレスをランダム化する機能も提供しています。つまり、エンドポイントは、異なる SSID に接続するたびに異なる MAC アドレスを提示します。

Cisco AI エンドポイント分析を使用すると、Cisco ISE から「DUID」と呼ばれる（Cisco ISE では「GUID」とも呼ばれます）一意のエンドポイント識別子を受信することにより、ランダムおよび変更 MAC アドレスの問題を処理できます。Cisco AI エンドポイント分析は、MAC アドレスの代わりに、エンドポイントの識別子として DUID を使用します。Cisco ISE での GUID の割り当て方法の詳細については、Cisco ISE の管理者ガイド（リリース 3.1）を参照してください。

Cisco AI エンドポイント分析の [Overview] ウィンドウの [Endpoint MAC Randomization] ダッシュレットには、ネットワーク内のランダムおよび変更 MAC アドレスを使用しているエンドポイントの数がグラフィカルに表示されます。

Cisco ISE に接続され、DUID 情報を使用可能なエンドポイントの場合、この情報は Cisco AI エンドポイント分析にも表示されます。次の列には、Cisco AI エンドポイント分析の [Endpoint Inventory] ウィンドウで必要になる情報が表示されます。

• [DUID]：エンドポイントの DUID 値。

• [Previous MAC Addresses]：エンドポイントが以前にネットワークへの接続に使用していたランダムおよび変更 MAC アドレス。

DUID 値を使用することで、Cisco AI エンドポイント分析では、エンドポイントを確実に識別し、エンドポイントが以前に使用していたさまざまな MAC アドレスを追跡することが可能になっています。これは、ランダムおよび変更 MAC アドレスを持つエンドポイントの信頼スコアも高精度であることを意味します。以前の MAC アドレスでのエンドポイントの信頼スコアは、エンドポイントが提示している現在の MAC アドレスに引き継がれ、同じエンドポイントに関して受信されたプローブデータの影響を受け続けます。

デバイスで [Private Address] 設定が有効になっている場合、このデバイスの [Is MAC Random] 列に [Yes] という値が表示されます。つまり、このデバイスは、ランダムおよび変更 MAC アドレスとして認識されます。ただし、このデバイスに関して DUID 値を使用できるかどうかは、エンドポイントが Cisco ISE を介して認証されているかどうかと、Cisco ISE でこのエンドポイントの GUID が生成されているかどうかに依存します。

Cisco AI エンドポイント分析のプロファイリングルールには優先順位があります。プロファイリングルールの実行は、このルールの優先順位に従って、精度の高いエンドポイントをプロファイリングします。

Cisco AI エンドポイント分析ではユーザー入力がプライマリであるため、プロファイリングルールの優先順位は次のようになります。

• 管理者が作成した静的プロファイル（たとえば、[Register Endpoints] オプションを使用して追加したプロファイル）。

• 管理者が作成したカスタムルール。

• デフォルトで使用可能なシスコ提供のシステムルール。

• 機械学習対応のスマートグループ化ワークフローによって自動生成されたルール。

ルールに設定された優先順位を表示するには、[Profiling Rules] ウィンドウで [Rule priorityitization] をクリックします。

登録済みのエンドポイントは、さまざまなプロファイリングラベルの複数の Cisco AI エンドポイント分析ルールによってプロファイリングできます。次の表に、2 つのエンドポイントに対するプロファイリングルールの設計を示します。

エンドポイント 2 のルール優先順位では、カスタムルールが他のルールよりも優先されます。エンドポイント 2 のハードウェアモデルラベルは、カスタムルールによってプロファイリングされます。

エンドポイント 1 の場合、ルールごとに異なるプロファイルラベルが定義され、それに応じて各ラベルがプロファイリングされます。

Cisco AI エンドポイント分析には、エンドポイントをプロファイリングするためのシステムルールと呼ばれる事前定義済みのルールが用意されています。Cisco AI エンドポイント分析を導入すると、特定のルールを設定することなく、エンドポイントのゼロデイ可視性を実現できます。

新しくオンボーディングされたエンドポイントは、デフォルトでシステムルールを使用してプロファイリングされます。

ネットワークデバイスは、Cisco DNA Center の [Provision] > [Network Devices] > [Inventory] ウィンドウで管理されます。

これらのネットワークデバイスは、システムルールによってプロファイリングされ、Cisco AI エンドポイント分析の [Endpoint Inventory] ウィンドウには表示されません。ただし、カスタムルールでプロファイリングされたエンドポイントは、カスタムルールがネットワークデバイスを [Device Type] として作成されるため表示できます。

システムルールのほかに、エンドポイント属性を組み合わせて、エンドポイントをプロファイリングするためのカスタムルールを作成することもできます。カスタムルールは、Cisco AI エンドポイント分析の他のエンドポイント プロファイリング ルールよりも優先されます。

[Endpoint Analytics] ホームページの [AI Proposal] ダッシュレットには、スマートグループ化によって生成されたエンドポイントクラスタに基づいてルール提案が表示されます。AI 提案を表示するには、対応する提案タイプの横にある [Review] をクリックし、次の決定表に従って進みます。