はじめに

Security Cloud Control Firewall Management(旧称 Cisco Defense Orchestrator)は、クラウドベースのプラットフォームで、Cisco のファイアウォールおよびデバイス全体でセキュリティポリシー管理を統合し、簡素化します。ポリシーの一貫性が合理化され、直感的で高度なインターフェイスが提供され、複数のデバイスマネージャ間での設定の変更が調整されます。

Security Cloud Control Firewall Management の概要

Security Cloud Control Firewall Management (旧Cisco Defense OrchestratorまたはCDO)は、Cisco IOS や SSH などの Cisco ファイアウォールやその他のデバイス間でセキュリティポリシーを簡素化し、統合するのに役立つクラウドベースのセキュリティポリシーマネージャです。ファイアウォールとデバイスは、Security Cloud Control ダッシュボードの[Products] の下にリストされている [Firewall] から管理できます。

Security Cloud Control Firewall Management は、セキュリティポリシー内の不整合を特定し、修正するためのツールを提供することにより、セキュリティポリシーを最適化するのに役立ちます。オブジェクトとポリシーを共有できるだけでなく、設定テンプレートを作成することで、デバイス間でのポリシーの一貫性を維持できます。

Security Cloud Control Firewall Management は Cisco Adaptive Security Device Manager(ASDM)と共存するため、ASDM によって行われた設定の変更が追跡され、違いが調整されます。

さまざまなデバイスを一元的に管理できます。上級ユーザーは、従来の CLI インターフェイスに新しい機能拡張を追加して、管理の効率をさらに向上させます。

Security Cloud Control Firewall Management では、ガイド付きの「Day 0」エクスペリエンスも提供され、Threat Defense デバイスをオンプレミスまたは クラウド提供型 Firewall Management Center にすばやくオンボーディングできます。また、有効化および設定するのに役立つその他の主要な機能も紹介されています。

デバイスのオンボーディング要件

デバイスをオンボーディングする前に、次の前提条件を満たす必要があります。

  • インストールウィザードを完了します。

  • デバイスのライセンスを取得します。

これらの前提条件を満たした後、Security Cloud Control Firewall Management オンボーディングウィザードを使用してデバイスをオンボーディングします。

デバイスとサービスのオンボーディング」を参照してください。

次の制約事項に注意してください。

  • 組織に関連付けられている Security Cloud Control Firewall Management にデバイスをオンボーディングした後は、それらのデバイスを別の組織に移行できません。

  • デバイスを新しい組織に移行するには、新しい組織にデバイスを再度オンボーディングする必要があります。

Security Cloud Control のサポート対象デバイスの完全なリストについては、Security Cloud Control Firewall Management でサポートされるデバイス、ソフトウェア、ハードウェア を参照してください。

シスコ オンライン プライバシー ポリシー

Cisco Systems, Inc. およびその子会社(以下総称して「シスコ」といいます)は、皆様のプライバシーを保護し、シスコの Web サイト、ならびに製品およびサービス(以下「ソリューション」)を快適にお使いいただけるよう全力を尽くします。『シスコ オンライン プライバシー ポリシー』をよく読み、シスコがユーザーの個人情報を収集、使用、共有、保護する方法を明確に理解してください。

Security Cloud Control による AWS VPC の管理

Security Cloud Control を使用した AWS VPC の管理

Security Cloud Control は、Amazon Web Services(AWS)仮想プライベートクラウド(VPC)向けの簡素化された管理インターフェイスを提供します。他のデバイスを管理するのと同じインターフェースで AWS VPC とそのコンポーネントを管理できます。

Security Cloud Control を使用して、以下のタスクを実行します。

以下は、Security Cloud Control で今後サポートされる予定の一般的な AWS の機能です。

  • セキュリティグループに対するロードバランサ(エラスティック、ネットワーク、アプリケーション ロード バランサ)の関係の表示。

  • セキュリティグループに対する自動スケーリンググループの関係の表示。

セキュリティグループの以下の側面は Security Cloud Control で管理できません。

  • セキュリティグループを作成する

  • セキュリティグループをインスタンスにリンクする

  • セキュリティグループをロードバランサーに割り当てる

  • VPC ピアリング

AWS VPC のオンボーディング

Security Cloud Control のオンボーディングウィザードを使用して、AWS VPC のオンボードを開始します。AWS VPC のオンボーディングの詳細については、「AWS VPC のオンボーディング」を参照してください。

AWS VPC にタグが含まれている場合、それらのタグは、デバイスのオンボード時に Security Cloud Control にインポートされます。Security Cloud Control では、タグはラベルとして表現されます。セキュリティ クラウド オブジェクトやルールとは異なり、ラベルは AWS VPC に自動的に同期されません。ラベルとフィルタリングの詳細については、「ラベルとフィルタリング」を参照してください。

Security Cloud Control コンソールを介して AWS VPC のログイン情報とアクセス許可を処理します。正確なログイン情報またはアクセス許可がない場合、Security Cloud Control は AWS VPC と通信できません。詳細については、「AWS VPC 接続ログイン情報の更新」と『IAM ユーザーのアクセス許可を変更する』を参照してください。

AWS VPC の詳細を表示する

AWS VPC がオンボーディングされると、その ID、リージョン、セキュリティグループ、セキュリティグループに割り当てられたルールとオブジェクトを表示できます。

セキュリティグループを操作する

セキュリティグループは、セキュリティグループに関連付けられているすべての AWS インスタンスおよびその他のエンティティへのインバウンドおよびアウトバウンドのネットワークトラフィックを管理するルールのコレクションです。AWS VPC を Security Cloud Control にオンボードすると、セキュリティグループはセキュリティ グループ オブジェクトとして Security Cloud Control に保存されます。

Security Cloud Control を使用して、次のタスクを実行できます。

現時点では、VPC に新しいセキュリティグループを作成することはできません。

詳細については、次のトピックを参照してください。

AWS と他の管理対象デバイス間でオブジェクトを共有する

Security Cloud Control は、ルールでのオブジェクトの使用をサポートしています。オブジェクトは値のコンテナです。たとえば、リソースの IP アドレスを含むネットワークオブジェクトを作成し、意味のある名前を付けることができます。その後、アクセスルールで、ルールの送信元または宛先の一部として、リソースのリテラル IP アドレスを使用するのではなく、そのオブジェクトを使用できます。また、そのオブジェクトを異なるルールで再使用することもできます。オブジェクトの値を 1 回変更すると、そのオブジェクトを使用するすべてのルールが新しい値の使用を開始します。

AWS VPC のオンボーディング後、Security Cloud Control は AWS の概念を既存のセキュリティグループルールにあるセキュリティ グループ オブジェクト、ネットワークオブジェクト、サービスオブジェクトに変換します。

ネットワークオブジェクトとサービスオブジェクト(ポートオブジェクトとも呼ばれる)は、AWS VPC と、Security Cloud Control を使用して管理される他のデバイスとの間で共有できます。セキュリティ グループ オブジェクトは AWS に固有です。

AWS と他の管理対象デバイス間でのオブジェクトの共有の詳細については、「AWS と他の管理対象デバイス間でオブジェクトを共有する」を参照してください。

AWS VPC および AWS セキュリティグループへの変更を監視する

変更ログ

変更ログは、Security Cloud Control で行われた設定変更を継続的にキャプチャします。このビューには、サポートされているすべてのデバイスとサービスでの変更が含まれます。変更ログには次の機能があります。

  • デバイス構成に加えられた変更の対照比較。

  • すべての変更ログエントリの平易な英語のラベル。

  • デバイスのオンボーディングと削除を記録します。

  • Security Cloud Control の外部で発生するポリシー変更の競合の検出。

  • インシデントの調査またはトラブルシューティング中に、誰が、何を、いつを回答。

変更要求管理

変更要求管理により、サードパーティのチケットシステムで開かれた変更要求とそのビジネス上の正当性を、変更ログのイベントに関連付けることができます。変更要求管理を使用して、Security Cloud Control で変更要求を作成し、作成した変更要求を一意の名前で識別し、変更の説明を入力して、変更要求を変更ログイベントに関連付けます。後で変更要求名を変更ログで検索できます。

一般的な管理タスクのサポート

Security Cloud Control は、以下の AWS セキュリティグループの一般的な管理タスクをサポートしています。

Security Cloud Control Firewall Management ダッシュボード

Security Cloud Control Firewall Management ダッシュボードは、さまざまなカテゴリにわたって組織レベルの詳細をモニタリングおよび管理するための中央ハブです。ログインすると、セキュリティと運用の効率を最適化するための重要なインサイトとアクションを提供するカスタマイズ可能なダッシュボードにアクセスできます。

ダッシュボードをカスタマイズする

表示されるウィジェットをカスタマイズして、特定のニーズに合わせてダッシュボードをカスタマイズします。

  1. [Home] ページで、[Customize] をクリックします。

  2. ダッシュボードウィジェットを選択または選択解除し、ドラッグアンドドロップして希望の順序に配置します。

上位情報

このセクションでは、さまざまなテナントレベルのメトリックに関する詳細なインサイトが提供されます。有効にすると、次のウィジェットが表示できます。

  • 設定状態:デバイス上の設定と、Security Cloud Control によって維持されているデバイス上の設定との不一致を示します。この比較は、存在する可能性のある不整合や競合を特定するのに役立ちます。

    詳細については、「デバイス管理」を参照してください。

  • 変更ログ管理: 変更ログを管理して、正確な運用管理を実現できます。ウィジェットには、完了済みの変更ログと保留中の変更ログが表示されます。

    詳細については、「ログの変更」を参照してください。

  • RA VPN セッション:リモートアクセス VPN セッションをモニターするのに役立ちます。

    詳細については、「RA VPN セッション」を参照してください。

  • 全体のインベントリ: すべてのデバイスの正常性とステータスをモニターするのに役立ちます。ウィジェットには、[Issues][Pending Actions][Other][Online] に分類されたデバイス、およびハードウェアサポートの最終日に近づいているデバイス、またはすでにハードウェアサポートの最終日に達しているデバイスが表示されます。

    詳細については、「すべてのデバイス」を参照してください。

  • サイト間 VPN: サイト間 VPN 接続を管理および評価するのに役立ちます。ウィジェットには、VPN トンネルの総数と、アクティブおよびアイドルの割合が表示されます。

    詳細については、「サイト間 VPN」を参照してください。

  • アカウントとアセット

    • マルチクラウドアカウントとリソースを効果的に追跡および管理できます。ここから Multicloud Defense Controller を起動できます。

    • [+Add Account] をクリックして、新しいアカウントを追加します。

    詳細については、「Multicloud Defense コントローラ」を参照してください。

  • トップリスク接続先:アクセスが許可されている最も高リスクの接続先を特定してモニターするのに役立ちます。ウィジェットには、アプリケーションおよび URL カテゴリが一覧表示され、過去 90、60、または 30 日間のデータをフィルタ処理できます。許可されたトラフィック(デフォルト)とブロックされたトラフィックの間でフィルタ処理できます。

  • 上位の侵入およびマルウェアイベント: 上位の侵入およびマルウェアイベントをモニターして対処するのに役立ちます。ウィジェットには、侵入イベントとマルウェアイベントが表示され、過去 90 日間、60 日間、および 30 日間のデータをフィルタ処理できます。許可されたイベント(デフォルト)とブロックされたイベントの間でフィルタ処理できます。

アナウンスメント

[Announcements] アイコンをクリックすると、最新の Security Cloud Control 機能と更新を確認できます。リストされている項目のいずれかについて詳細が必要な場合は、関連ドキュメントへのリンクが提供されます。