Firepower Management Center バージョン 6.1 コンフィギュレーションガイド

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ

このマニュアル内で検索

検索結果

Updated:: 2026年6月30日火曜日

章のタイトル：セキュリティ、インターネットアクセス、および通信ポート

セキュリティ、インターネットアクセス、および通信ポート
セキュリティ、インターネットアクセス、および通信ポートについて
インターネットアクセス要件
- Firepower システム機能のインターネットアクセス要件
通信ポートの要件
- Firepower システムの機能と運用のためのデフォルト通信ポート

セキュリティ、インターネットアクセス、および通信ポート

以下のトピックでは、システムセキュリティ、インターネットアクセス、および通信ポートに関する情報を提供します。

セキュリティ、インターネットアクセス、および通信ポートについて

Firepower Management Center を保護するには、保護された内部ネットワークにインストールしてください。Firepower Management Center は必要なサービスとポートだけを使用するよう設定されますが、ファイアウォール外部からの攻撃がそこまで（または管理対象デバイスまで）決して到達できないようにする必要があります。

Firepower Management Center とその管理対象デバイスが同じネットワーク上に存在する場合は、デバイス上の管理インターフェイスを、Firepower Management Center と同じ保護された内部ネットワークに接続できます。これにより、Firepower Management Center からデバイスを安全に制御することができます。また、他のネットワーク上のデバイスからのトラフィックを Firepower Management Center で管理および分離できるように、複数の管理インターフェイスを設定することもできます。

アプライアンスの展開方法とは無関係に、アプライアンス間通信は暗号化されます。それでも、分散型サービス拒否（DDoS）や中間者攻撃などの手段でシステムアプライアンス間の通信が中断、ブロック、改ざんされないよう何らかの対策を講じる必要があります。

また、Firepower システムの機能によってはインターネット接続が必要となることにも注意してください。デフォルトでは、システムアプライアンスがインターネットに直接接続するように設定されます。加えて、システムで特定のポートを開いたままにしておく必要があります。その目的は基本的なアプライアンス間通信、セキュアなアプライアンスアクセス、および特定のシステム機能を正しく動作させるために必要なローカル/インターネットリソースへのアクセスを可能にすることです。

インターネットアクセス要件

デフォルトでは、システムアプライアンスはポート 443/tcp（HTTPS）および 80/tcp（HTTP）でインターネットに直接接続するよう設定されます。これらのポートは Firepower システムのすべてのアプライアンスでデフォルトで開かれています。ほとんどのシステムアプライアンスではプロキシサーバの利用がサポートされている点に注意してください。プロキシサーバは whois アクセスに使用できない点にも注意が必要です。

Firepower システム機能のインターネットアクセス要件

次の表に、Firepower システムの特定の機能におけるインターネットアクセス要件を示します。

表 1. Firepower システム機能のインターネットアクセス要件
機能	インターネットアクセスの用途	アプライアンス
AMP for Firepower	マルウェアクラウド検索を実行します。	Management Center
Cisco Advanced Malware Protection（Cisco AMP）統合	エンドポイントベース（AMP for Endpoints）のマルウェアイベントを Cisco AMP クラウドから受信します。	Management Center
動的分析：照会	動的分析のために、送信済みファイルの脅威スコアを AMP Threat Grid クラウドに照会します。	Management Center
動的分析：送信	動的分析用にファイルを AMP Threat Grid クラウドに送信します。	あらゆるデバイス
侵入ルール、VDB、および GeoDB の更新	侵入ルール、GeoDB、または VDB の更新をアプライアンスに直接ダウンロードするか、ダウンロードをスケジュールします。	Management Center
ローカルマルウェア分析およびファイル事前分類の署名アップデート	ローカルマルウェア分析および事前分類エンジンに署名アップデートをダウンロードします。	Management Center
RSS フィードダッシュボードウィジェット	シスコを含む外部ソースから RSS フィードデータをダウンロードします。	Management Center 7000 & 8000 シリーズ
セキュリティインテリジェンスフィルタリング	シスコが提供するインテリジェンスフィードを含む、外部ソースからのセキュリティインテリジェンスフィードデータをダウンロードします。	Management Center
システムソフトウェアの更新	システム更新をアプライアンスに直接ダウンロードするか、ダウンロードをスケジュールします。	すべて（NGIPSv を除く）
URL フィルタリング	URL カテゴリおよびレピュテーションデータをアクセスコントロール用にダウンロードし、分類されていない URL に対してクエリを実行します。	Management Center
whois	外部ホストの whois 情報を要求します。	Management Center

通信ポートの要件

Firepower Management Center およびその管理対象デバイスは、（デフォルトでポート 8305/tcp を使用する）双方向 SSL 暗号化通信チャネルを使って通信します。基本的なプラットフォーム間通信用にこのポートを開いたままにする必要があります。他のオープンポートの役割は次のとおりです。

Web インターフェイスへのアクセス
デバイスまたは Firepower Management Center へのセキュアなリモート接続
特定のシステム機能を正しく動作させるために必要なローカル/インターネットリソースへのアクセスを可能にする

一般に、機能関連のポートは、該当する機能を有効化または設定する時点まで、閉じたままになります。たとえば、Firepower Management Centerをユーザエージェントに接続するまでは、エージェント通信ポート（3306/tcp）は閉じたままになります。別の例として、LOM を有効にするまでは、7000 および 8000 シリーズデバイス上のポート 623/udp が閉じたままになります。

注意	開いたポートを閉じると展開にどのような影響が及ぶか理解するまでは、開いたポートを閉じないでください。

たとえば、管理対象デバイスでポート 25/tcp（SMTP）アウトバウンドを閉じると、このデバイスが個々の侵入イベントに関する電子メール通知を送信できなくなります。別の例として、ポート 443/tcp（HTTPS）を閉じることにより物理管理対象デバイスの Web インターフェイスへのアクセスを無効にできますが、それと同時に、動的分析のためにデバイスから疑わしいマルウェアファイルを AMP Threat Grid クラウドに送信できなくなります。

次のように、システムのいくつかの通信ポートを変更できることに注意してください。

システムと認証サーバ間の接続を設定するときに、LDAP および RADIUS 認証用のカスタムポートを指定できます。
管理ポート（8305/tcp）を変更できます。ただし、シスコではデフォルト設定を維持することを強く推奨しています。管理ポートを変更する場合は、相互に通信する必要がある展開内のすべての Firepower Management Center およびその管理対象デバイスの管理ポートを変更する必要があります。
ポート 32137/tcp を使用して、アップグレード対象の Management Center とシスコ AMP クラウドの通信を可能にすることができます。ただし、シスコではバージョン 5.3 以降の新規インストールのデフォルトであるポート 443 に切り替えることを推奨しています。

Firepower システムの機能と運用のためのデフォルト通信ポート

次の表は、Firepower システムの機能を最大限に活用できるように、各アプライアンスタイプで必要なオープンポートを示しています。

表 2. Firepower システムの機能と運用のためのデフォルト通信ポート
[ポート（Port）]	説明	方向（Direction）	開いているアプライアンス	目的
22/tcp	SSH/SSL	双方向	任意（Any）	アプライアンスへのセキュアなリモート接続を許可します。
25/tcp	SMTP	発信	任意（Any）	アプライアンスから電子メール通知とアラートを送信します。
53/tcp	DNS	発信	任意（Any）	DNS を使用します。
67/udp 68/udp	DHCP	発信	任意（Any）	DHCP を使用します。これらのポートはデフォルトで閉じられていることに注意してください。
80/tcp	HTTP	発信	Management Center 7000 & 8000 シリーズ	RSS フィードダッシュボードウィジェットからリモート Web サーバに接続できるようにします。
		双方向	Management Center	HTTP 経由でカスタムおよびサードパーティのセキュリティインテリジェンスフィードを更新します。 URL カテゴリおよびレピュテーションデータをダウンロードします（さらにポート 443 も必要）。
161/udp	SNMP	双方向	任意（Any）	SNMP ポーリング経由でアプライアンスの MIB にアクセスできるようにします。
162/udp	SNMP	発信	任意（Any）	リモートトラップサーバに SNMP アラートを送信します。
389/tcp 636/tcp	LDAP	発信	すべて（NGIPSv を除く）	外部認証用に LDAP サーバと通信します。
389/tcp 636/tcp	LDAP	発信	Management Center	検出された LDAP ユーザに関するメタデータを取得します。
443/tcp	HTTPS	着信	すべて（NGIPSv を除く）	アプライアンスの Web インターフェイスにアクセスします。
443/tcp	HTTPS AMQP AMP クラウド、AMP Threat Grid クラウド、および脅威インテリジェンスの通信設定	双方向	Management Center	次のものを取得します。ソフトウェア、侵入ルール、VDB、および GeoDB の更新 URL カテゴリおよびレピュテーションデータ（さらにポート 80 も必要）インテリジェンスフィードおよび他のセキュアなセキュリティインテリジェンスフィードエンドポイントベース（AMP for Endpoints）のマルウェアイベントファイルに関してネットワークトラフィックで検出されたマルウェアの性質送信されたファイルに関する動的分析情報
		双方向	Management Center、7000 & 8000 シリーズ	デバイスのローカル Web インターフェイスを使用してソフトウェア更新をダウンロードします。
		双方向	すべての管理対象デバイス	動的分析のためにファイルを送信します。
514/udp	syslog	発信	任意（Any）	リモート syslog サーバにアラートを送信します。
623/udp	SOL/LOM	双方向	7000 & 8000 シリーズ	Serial Over LAN（SOL）接続を使用して Lights-Out Management を実行できるようにします。
1500/tcp 2000/tcp	データベースアクセス	着信	Management Center	サードパーティクライアントによるデータベースへの読み取り専用アクセスを可能にします。
1812/udp 1813/udp	RADIUS	双方向	すべて（NGIPSv を除く）	外部認証とアカウンティングのために RADIUS サーバと通信します。
3306/tcp	ユーザエージェント	着信	Management Center	ユーザエージェントと通信します。
6514/tcp	syslog への監査ログのストリーミング	発信	Management Center、従来のデバイス	リモート syslog サーバに監査ログレコードを送信します。
8302/tcp	eStreamer	双方向	Management Center 、 7000 & 8000 シリーズ	eStreamer クライアントと通信します。
8305/tcp	アプライアンス通信	双方向	任意（Any）	展開におけるアプライアンス間で安全に通信します。必須作業です。
8307/tcp	ホスト入力クライアント	双方向	Management Center	ホスト入力クライアントと通信します。
32137/tcp	AMP クラウドおよび脅威インテリジェンスの通信設定	双方向	Management Center	アップグレード対象の Management Center と Cisco AMP クラウドの通信を可能にします。

このドキュメントは役に立ちましたか?

フィードバック

シスコに問い合わせ

サポートケースをオープン
(シスコサービス契約が必要です。)

Firepower Management Center バージョン 6.1 コンフィギュレーション ガイド