重要
|
Secure Firewall Device Manager （FDM）のサポートと機能は、要求があった場合にのみ利用できます。テナントで Firewall Device Manager サポートがまだ有効になっていない場合は、FDM-managed デバイスを管理したり、デバイスに展開したりすることはできません。サポートチームにリクエストを送信して、このプラットフォームを有効にします。
|
Security Cloud Control（旧称 Cisco Defense Orchestrator）では、シンプルな管理インターフェイスと Secure Firewall Device Manager デバイスへのクラウドアクセスが提供されます。FDM-managed の管理者にとって、デバイスインターフェイスと Security Cloud Control インターフェイスの間には多くの類似点があります。私たちは、マネージャ間で可能な限り一貫性を保つという考えで Security Cloud Control を構築しました。
Security Cloud Control を使用して、物理または仮想 FDM-managed デバイスの次の側面を管理します。
ソフトウェアおよびハードウェアのサポート
Security Cloud Control はバージョン 6.4 以降をサポートしており、さまざまなデバイスまたは仮想マシンにインストールできます。詳細については、「FDM-Managed サポートの詳細」を参照してください。
スマート ライセンスの管理
Cisco スマートライセンスを使用して、デバイスを Security Cloud Control にオンボーディング中、またはオンボーディングした後に FDM-managed デバイスにライセンスを付与できます。スマートライセンスはワークフローに組み込まれており、Security Cloud Control インターフェイスから簡単にアクセスできます。詳細については、「スマートライセンスの適用または更新」を参照してください。
（注）
|
オンボードするデバイスがソフトウェアバージョン 6.4 または 6.5 を実行しており、すでにスマートライセンスが付与されている場合、デバイスは Cisco Smart Software Manager に登録されている可能性があります。登録キーを使用してデバイスを Security Cloud Control にオンボードする前に、Cisco Smart Software Manager からデバイスの登録を解除する必要があります。登録を解除すると、仮想アカウントでデバイスに関連付けられている ライセンスとすべてのオプションライセンスが解放されます。
オンボードするデバイスがソフトウェアバージョン 6.6 以降を実行しており、すでに Cisco Cloud に登録されている場合は、登録キーを使用してデバイスを Security Cloud Control にオンボードする前に、Cisco Cloud サービスからデバイスを登録解除する必要があります。
|
Security Cloud Control ユーザーインターフェイス
Security Cloud Control GUI および CLI インターフェイス
Security Cloud Control は、グラフィック ユーザー インターフェイス（GUI）とコマンド ライン インターフェイス（CLI）の両方を提供する Web ベースの管理製品で、デバイスを 1 つずつまたは一括で管理できます。
CLI インターフェイスを使用すると、Security Cloud Control から直接 FDM-managed デバイスにコマンドを送信できます。CLI マクロを使用して、よく使用されるコマンドを保存して実行します。詳細については、Security Cloud Control コマンドライン インターフェイス ツールの使用を参照してください。
API サポート
Security Cloud Control は、デバイスの REST API を使用して FDM-managed デバイスで高度なアクションを実行できる API ツールのインターフェイスを提供します。さらに、このインターフェイスは次の機能を提供します。
API ツールの詳細については、API ツールを使用するを参照してください。
デバイス管理
Security Cloud Control を使用してソフトウェアをアップグレードし、ハイアベイラビリティを設定し、FDM-managed デバイスのデバイス設定とネットワークリソースの設定を行います。
デバイスのアップグレード
次のいずれかの方法を使用して、FDM-managed デバイスへの即時アップグレードを実行するか、スケジュールを設定します。
ルーティング
ルーティングは、送信元から宛先にネットワーク経由で情報を移動する行為のことです。ルーティングには、最適なルーティング パスの決定と、ネットワーク経由のパケットの転送という 2 つの基本的なアクティビティが含まれます。Security Cloud Control を使用して、ルーティングの次の側面を構成します。
-
スタティックルートおよびデフォルトルートの設定。Security Cloud Control を使用すると、FDM-managed デバイスのデフォルトルートおよびその他のスタティックルートを定義できます。
-
ブリッジグループのサポート。ブリッジ グループは 1 つ以上のインターフェイスをグループ化する仮想インターフェイスです。インターフェイスをグループ化する主な理由は、スイッチド インターフェイスのグループを作成することにあります。Security Cloud Control を使用すると、デバイスのブリッジグループを設定および編集できます。
-
NAT（ネットワーク アドレス変換）。NAT ルールは、内部（プライベート）ネットワークからインターネットへのトラフィックのルーティングに役立ちます。NAT ルールは、内部 IP アドレスをネットワークの外部から隠蔽することにより、セキュリティの役割も果たします。Security Cloud Control を使用して、デバイスの NAT ルールを作成および編集できます。詳細については、ネットワーク アドレス変換を参照してください。
セキュリティ ポリシー
セキュリティポリシーは、ネットワークトラフィックが目的の宛先に到達できるようにする、または到達できないようにすることを最終的な目標として、ネットワークトラフィックを検査します。Security Cloud Control を使用して、デバイスのセキュリティポリシーのすべてのコンポーネントを管理します。
-
ルールをコピーして貼り付けます。ポリシー間でルールをコピーして貼り付けることで、ポリシー同士でルールを簡単に共有できます。詳細については、「FDM アクセスコントロールルールのコピー」を参照してください。
-
SSL 復号ポリシー。HTTPS など一部のプロトコルは、セキュア ソケット レイヤ（SSL）またはその後継バージョンである Transport Layer Security（TLS）を使用して、セキュアな転送のためにトラフィックを暗号化します。システムでは暗号化された接続を検査できないため、アクセス判断のために上位層のトラフィック特性を考慮したアクセスルールを適用する場合は、SSL
復号ポリシーを適用して暗号化された接続を復号する必要があります。詳細については、「FDM-Managedデバイスの SSL 復号ポリシー」を参照してください。
-
ID ポリシー。ID ポリシーを使用して、接続からユーザーアイデンティティ情報を収集できます。その後で、ダッシュボードにユーザー アイデンティティに基づく使用状況を表示し、ユーザーまたはユーザー グループに基づくアクセス コントロールを設定できます。
-
セキュリティ インテリジェンス ポリシー。セキュリティ インテリジェンス ポリシーにより、送信元/宛先の IP アドレスまたは宛先 URL に基づいて、望ましくないトラフィックを早い段階でドロップできます。システムは、トラフィックをアクセス コントロール ポリシーで評価する前にドロップすることにより、使用されるシステムリソースの量を減らします。
-
アクセス コントロール ポリシー。アクセス コントロール ポリシーでは、アクセスコントロールルールを基準にネットワークトラフィックを評価することで、ネットワークリソースへのアクセスを制御します。Secure Firewall Device Manager は、アクセスコントロールルールの基準を、アクセス コントロール ポリシーに表示される順番でネットワークトラフィックと比較します。アクセスコントロールルールのすべてのトラフィック条件が一致すると、Secure Firewall Device Manager はルールで定義されたアクションを実行します。Security Cloud Control を使用して、アクセス コントロール ポリシーのすべての側面を設定できます。
-
TLS 1.3 セキュリティアイデンティティ検出。バージョン 6.7 以降に導入されているこの機能を使用すると、TLS 1.3 で暗号化されたトラフィックで URL フィルタリングとアプリケーション制御を実行できます。詳細については、「TLS Server Identity Discovery in Firepower Threat Defense」を参照してください。
-
侵入ポリシー。Firepower システムには複数の侵入ポリシーが付属しています。これらのポリシーは、侵入ルールとプリプロセッサ ルールの状態を設定し、詳細設定を構成する Cisco Talos Security Intelligence and Research
Group によって設計されています。侵入ポリシーはアクセスコントロールルールの一部の要素です。詳細については、「FDM アクセスコントロールルールの侵入ポリシーの設定」を参照してください。
（注）
|
Snort 3 は、バージョン 6.7 以降を実行している FDM-managed デバイスで使用できます。Snort 2 と Snort 3 は自由に切り替えることができますが、互換性がない設定のリスクがあることに注意してください。Snort 3、サポートされているデバイスとソフトウェア、および制限の詳細については、「Snort 3.0 へのアップグレード」を参照してください。
|
-
脅威イベント。脅威イベントは、Cisco Talos の侵入ポリシーの 1 つに一致した後にドロップされた、またはアラートを生成したトラフィックのレポートです。ほとんどの場合、IPS ルールを調整する必要はありません。必要な場合、一致するルールのアクションを Security Cloud Control で変更することで、イベントの処理方法を上書きするオプションがあります。Security Cloud Control は、バージョン 6.4 および 6.6.1 のすべてのバージョンで IPS ルール調整をサポートしています。Security Cloud Control は、バージョン 6.5、6.6.1 以外の 6.6 バージョン、または 6.7 バージョンでの IPS ルール調整をサポートしていません。
-
NAT（ネットワーク アドレス変換）。NAT ルールは、内部（プライベート）ネットワークからインターネットへのトラフィックのルーティングに役立ちます。NAT ルールは、内部 IP アドレスをネットワークの外部から隠蔽することにより、セキュリティの役割も果たします。Security Cloud Control を使用して、Firepower Threat Defense 用の NAT ルールを作成および編集できます。
オブジェクト管理（Object Management）
オブジェクトは、1 つ以上のセキュリティポリシーで使用できる情報のコンテナです。オブジェクトを使用するとポリシーの一貫性を簡単に維持できます。これは、オブジェクトを変更すると、そのオブジェクトを使用する他のすべてのポリシーに影響を与えるためです。オブジェクトを使用しない場合は、同じ変更が必要なすべてのポリシーを個別に変更する必要があります。
Security Cloud Control を使用して、次のオブジェクトタイプを作成および管理します。
オブジェクトの問題を解決する
Security Cloud Control は、複数のデバイスで使用されるオブジェクトを「共有オブジェクト」と呼び、オブジェクトページでこのバッジ 
でそれらを識別します。共有オブジェクトは、ある「問題」を発生させて、複数のポリシーやデバイス間で完全には共有できなくなる場合があります。Security Cloud Control を使用すると、重複オブジェクトの問題の解決、未使用オブジェクトの問題の解決、および不整合オブジェクトの問題の解決が容易になり、デバイスとオブジェクトのリポジトリを管理できます。
テンプレート
Secure Firewall Device Manager テンプレートは、オンボードされた FDM-managed デバイスの設定の完全なコピーです。その後、そのテンプレートを変更し、それを使用して管理対象の他の FDM-managed デバイスを設定できます。Secure Firewall Device Manager テンプレートを使用すると、デバイス間でポリシーの一貫性が高まります。詳細については、「FDM テンプレート」を参照してください。
高可用性
Security Cloud Control を使用すると、FDM 管理対象デバイスの高可用性ペアを簡単に設定および管理できます。既存の HA ペアをオンボードするか、Security Cloud Control で HA ペアを作成できます。HA 構成により、アップグレード期間中や予期しないデバイス障害など、デバイスが使用できないシナリオでも安全なネットワークを維持することができます。フェールオーバーモードでは、スタンバイデバイスはすでにアクティブになるように構成されています。つまり、HA
デバイスの 1 つが使用できなくなっても、もう一方のデバイスはトラフィックの処理を続行します。
Security Cloud Control で FDM-managed HA ペアをアップグレードできます。詳細については、「FDM-Managed ハイアベイラビリティペアのアップグレード」を参照してください。
リモート アクセス VPN
リモートアクセス（RA）VPN を使用すると、サポートされているラップトップ、デスクトップ、およびモバイルデバイスを使用して、個人がネットワークへの安全な接続を確立できます。Security Cloud Control は FDM-managed デバイスで RA VPN を直感的に設定できるユーザーインターフェイスを提供します。AnyConnect はエンドポイントデバイスでサポートされている唯一のクライアントで、FDM-managed デバイスへの RA VPN 接続が可能です。
Security Cloud Control は、FDM-managed デバイスでの RA VPN 機能の次の側面をサポートします。
詳細については、「RA VPN」を参照してください。仮想プライベートネットワークの詳細は、『Firepower Device Manager 向け Cisco Firepower Threat Defense 構成ガイド』を参照してください。
ネットワークのモニタリング
Security Cloud Control は、セキュリティポリシーの影響をまとめたレポートと、そのセキュリティポリシーによってトリガーされる重要なイベントを表示する方法を提供します。Security Cloud Control は、デバイスへの変更をログに記録し、その変更にラベルを付ける方法も提供します。これにより、Security Cloud Control での作業をヘルプチケットなどの操作要求に関連付けできます。
[エグゼクティブサマリー（Executive Summary）] レポート
エグゼクティブ サマリー レポートには、暗号化されたトラフィック、傍受された脅威、検出された Web カテゴリなどの運用統計のコレクションが表示されます。レポートのデータは、ネットワークトラフィックが FDM-managed デバイスでアクセスルールまたはポリシーをトリガーしたときに生成されます。デバイスがレポートに反映されるイベントを生成できるように、マルウェア、ライセンスと、アクセスルールのファイルロギングを有効にすることをお勧めします。
レポートに記載される内容と、それを使用してネットワーク インフラストラクチャを改善する方法の詳細については、「FDM-Managedデバイスのエグゼクティブ サマリー レポート」を参照してください。レポートを作成および管理するには、「レポートの管理」を参照してください。
Cisco Security Analytics and Logging
Cisco Security Analytics and Logging を使用すると、すべての FDM-managed デバイスからの接続、侵入、ファイル、マルウェア、セキュリティ インテリジェンスのイベントをキャプチャし、Security Cloud Control の 1 ヵ所で表示できます。
イベントは Cisco Cloud に保存され、Security Cloud Control の [イベントロギング（Event Logging）] ページから表示できます。イベントをフィルタリングして確認し、ネットワークでトリガーされているセキュリティルールを明確に理解できます。それらの機能は、Logging and Troubleshooting パッケージで提供されます。
ログの変更
Security Cloud Control での変更ログの管理 は、Security Cloud Control で行われた設定変更を継続的にキャプチャします。
この単一のビューには、サポートされているすべてのデバイスとサービスにわたる変更が含まれます。変更ログの機能の一部を次に示します。
-
デバイス構成に加えられた変更の対照比較
-
すべての変更ログエントリの平易な英語のラベル。
-
デバイスのオンボーディングと削除を記録します。
-
Security Cloud Control の外部で発生するポリシー変更の競合の検出。
-
インシデントの調査またはトラブルシューティング中に、誰が、何を、いつを回答。
-
完全な変更ログまたは一部のみを CSV ファイルとしてダウンロード可能。
変更要求管理
変更要求管理により、サードパーティのチケットシステムで開かれた変更要求とそのビジネス上の正当性を、変更ログのイベントに関連付けることができます。変更要求管理を使用して、Security Cloud Control で変更要求を作成し、作成した変更要求を一意の名前で識別し、変更の説明を入力して、変更要求を変更ログイベントに関連付けます。後で変更要求名を変更ログで検索できます。
をクリックすると、次の製品が起動します：
フィードバック