バージョン 7.0.9 の FMC 機能
このリリースに新機能はありません。 バージョン 7.0.9 で解決済みのバグを参照してください。
機能
以前のリリースの機能については、Cisco Secure Firewall Management Center の新機能（リリース別） および Cisco Secure Firewall デバイスマネージャの新機能（リリース別） を参照してください。
アップグレードの影響
アップグレードと展開により、システムでトラフィックが処理されるか、他の操作をしなくても異なる動作が発生する場合、機能がアップグレードに影響を与えます。これは特に、新しい脅威検出およびアプリケーション識別機能で一般的です。望ましくない結果を避けるために、アップグレードの前または後にアクションを実行する必要がある場合、機能がアップグレードに影響を与える可能性もあります。たとえば、設定を変更する必要がある場合などです。
ここでの機能の説明には、必要に応じてアップグレードの影響が含まれています。
メンテナンスリリースの機能
メンテナンスリリース（3 桁）およびパッチ（4 桁）に含まれる機能、拡張機能、および重要な修正は、リリース日、リリースタイプ（短期または長期）、およびその他の要因によっては、今後のリリースをスキップする可能性があります。選択したバージョンの最新のメンテナンスリリースに直接移動することで、アップグレードなどの影響を最小限に抑えます。を参照してください。
英語以外の言語で Web インターフェイスを使用している場合は、メンテナンスリリースやパッチで導入される機能が、次のメジャーリリースまで翻訳されない可能性があります。
Snort の機能
Snort 3 は、Firewall Threat Defense をためのデフォルトの検査エンジンです。 展開用の Snort 3 機能は、新しい Firewall Device Manager 機能としてリストされていない場合でも、Firewall Device Manager にも適用されます。ただし、 は Firewall Device Manager よりも多くの設定可能なオプションを提供する場合があることに注意してください。
 重要 |
Snort 2 はバージョン 7.7 以降で廃止されるため、Firewall Threat Defense のアップグレードの妨げとなります。古いデバイスでまだ Snort 2 を使用している場合は、検出とパフォーマンスを向上させるために Snort 3 に切り替えてください。 |
侵入ルールとキーワード
アップグレードにより、新規および更新された侵入ルールおよびプリプロセッサルール、既存のルールの変更後のステータス、デフォルト侵入ポリシーの変更後の設定をインポートして自動的に有効化が可能です。現在のバージョンでサポートされていないキーワードが新しい侵入ルールで使用されている場合、SRU/LSP を更新しても、そのルールはインポートされません。アップグレードし、これらのキーワードがサポートされると、新しい侵入ルールがインポートされ、IPS の設定に応じて自動的に有効化できるため、イベントの生成とトラフィックフローへの影響を開始できます。
新しいキーワードの詳細については、Snort リリースノート：https://www.snort.org/downloads を参照してください。
FlexConfig
アップグレードにより、以前は FlexConfig が必要だった機能について、Web インターフェイスまたはスマート CLI のサポートが追加されることがあります。廃止されたコマンドを使用して新しく FlexConfig オブジェクトを割り当てたり作成したりすることはできませんが、ほとんどの場合、既存の FlexConfigs は引き続き動作し、展開も可能です。ただし、廃止されたコマンドを使用すると、展開の問題が発生する場合があります。アップグレードでは FlexConfig は変換されません。アップグレード後、Web インターフェイスまたは Smart CLI で新しくサポートされた機能を設定します。新しい設定を確認したら、廃止された FlexConfig を削除できます。
ここでの機能の説明には、必要に応じて、廃止された FlexConfig に関する情報が含まれています。廃止された FlexConfig の完全なリストについては、コンフィギュレーション ガイドを参照してください。
統合とロギング
これらの統合およびロギング機能には、Threat Defense および Management Center のリリースに関連する新機能が含まれている可能性があります。
バージョン 7.0.8 の FMC 機能
|
機能 |
最小の FMC |
最小の FTD |
詳細 |
|---|---|---|---|
|
ライセンシング |
|||
|
スマートライセンスのインターネットアクセス要件を更新しました。 |
7.0.8 7.2.10 7.3.0 |
任意 |
アップグレードの影響。システムは新しいリソースに接続します。 Cisco Smart Software Manager と通信する場合、 は tools.cisco.com ではなく smartreceiver.cisco.com に接続するようになりました。 |
バージョン 7.0.7 の FMC 機能
|
機能 |
最小の FMC |
最小の FTD |
詳細 |
||
|---|---|---|---|---|---|
|
[アクセス制御（Access Control）]：[ファイルとマルウェア（File and Malware）] |
|||||
|
新しい Cisco AMP クラウド接続方式。 Cisco AMP クラウド接続のバックアップの廃止。 |
7.0.7 7.2.10 7.6.1 7.7.0 |
いずれか |
アップグレードの影響。 システムは新しいリソースに接続します。AMP プライベートクラウド接続が米国のパブリッククラウド接続に置き換えられます。 AMP クラウド接続方式を、より安全で、保守と拡張が容易な方式に置き換えました。これらの変更の結果は、次のとおりです。
その他の制限：バージョン 7.0.7 の は Cisco Secure Endpoint コンソールの に表示されません。Cisco Secure Endpoint と統合することは引き続きできますが、コンソールを使用した診断の実行、リスクスコアの表示、イベントおよびトラジェクトリへのクイックリンク、ポリシーの適用などはできません。 |
||
|
管理 |
|||||
|
Cisco Security Cloud 地域：インドおよびオーストラリア。 |
7.0.7 7.2.9 7.6.0 |
7.0.7 7.2.9 7.6.0 |
Cisco Security Cloud 統合では、インドおよびオーストラリア地域のクラウドがサポートされるようになりました。 新規/変更された画面：
|
||
|
セキュリティと強化 |
|||||
|
すべての RADIUS 応答に Message-Authenticator 属性が必要です。 |
7.0.7 7.2.10 7.4.3 7.6.1 7.7.0 |
7.0.7 7.2.10 7.4.3 7.6.1 7.7.0 |
アップグレードの影響。 Firepower 4100/9300 の場合、Firewall Threat Defense をアップグレードする前に、FXOS の互換性を確認してください。Firewall Threat Defense のアップグレード後に、既存のサーバーに対してこのオプションを有効にします。 すべての RADIUS 応答で Message-Authenticator 属性を要求できるようになりました。これにより、Firewall Threat Defense VPN ゲートウェイで、RA VPN 用でもデバイス自体へのアクセス用でも、RADIUS サーバーからのすべての応答を安全に検証できるようになります。 新しい RADIUS サーバーでは、[RADIUSサーバー対応メッセージオーセンティケータ（RADIUS Server-Enabled Message Authenticator）] オプションがデフォルトで有効になっています。既存のサーバーでも有効にすることを推奨します。無効にすると、ファイアウォールが攻撃にさらされる可能性があります。 新規/変更された画面：
新しい CLI コマンド：message-authenticator-required バージョンの制限：Firepower 4100/9300 の場合は、この機能を使用するために FXOS のアップグレードが必要になる場合があります。最小限のビルドについては、『Cisco Secure Firewall Threat Defense 互換性ガイド』を参照してください。 その他の制限：この機能に伴い、 が RADIUS クラス属性（25）を文字列ではなくオクテットとして扱うログインバグが入りました。これにより、ロールマッピングが破損し、ログインエラーが発生する可能性があります。修正済みリリースのリスト、またはアップグレードできない場合の回避策については、「CSCwq03404」を参照してください。 |
||
バージョン 7.0.6 の FMC 機能
|
機能 |
最小の FMC |
最小の FTD |
詳細 |
||
|---|---|---|---|---|---|
|
アクセス制御：脅威の検出とアプリケーションの識別 |
|||||
|
メモリが少ない Snort 2 デバイス用の小規模 VDB。 |
6.4.0.17 7.0.6 7.2.4 7.3.1.1 7.4.0 |
すべて（Snort 2） |
アップグレードの影響。 メモリが少ないデバイスのアプリケーション ID が影響を受けます。 VDB 363 以降では、Snort 2 搭載のメモリが少ないデバイスに小規模 VDB（別称：VDB lite）がインストールされるようになりました。この小規模 VDB には同じアプリケーションが搭載されていますが、検出パターンは少なくなっています。小規模 VDB を使用しているデバイスでは、フルサイズの VDB を使用しているデバイスと比較して、一部のアプリケーションが識別されない場合があります。 メモリが少ないデバイス：ASA 5506-X シリーズ、ASA-5508-X、5512-X、5515-X、5516-X、5525-X、5545-X バージョンの制限：小規模 VDB をインストールできるかどうかは、管理対象デバイスではなく のバージョンによって決まります。サポート対象のバージョンからサポート対象外のバージョンに をアップグレードする場合、導入環境内にメモリの少ないデバイスが 1 つでも含まれていると、VDB 363 以降をインストールできません。影響を受けるリリースのリストについては、CSCwd88641 を参照してください。 |
||
|
管理 |
|||||
|
Web 分析プロバイダーを更新済み。 |
7.0.6 7.2.6 7.4.1 |
任意 |
アップグレードの影響。ブラウザは新しいリソースに接続します。 を使用している間、ブラウザは Web 分析のために Google（google.com）ではなく Amplitude（amplitude.com）に接続します。 |
||
|
廃止された機能 |
|||||
|
廃止：管理対象外のディスク使用率が高いアラート。 |
7.0.6 7.2.4 7.4.0 |
7.0.6 7.2.4 7.4.0 |
ディスク使用状況モジュールは、管理対象外のディスク使用率が高い場合にアラートを出さなくなりました。FMC をアップグレード後も、正常性ポリシーを管理対象デバイスに展開する（アラートの表示を停止する）か、デバイスをアップグレードする（アラートの送信を停止する）まで、これらのアラートが表示され続ける場合があります。
残りのディスク使用量アラートについては、「Disk Usage and Drain of Events Health Monitor Alerts」を参照してください。 |
||
バージョン 7.0.5 の FMC 機能
|
機能 |
最小の FMC |
最小の FTD |
詳細 |
|---|---|---|---|
|
ISA 3000 システム LED によるシャットダウンのサポート。 |
任意 |
7.0.5 7.3.0 |
ISA 3000 をシャットダウンすると、システム LED が消灯します。その後、少なくとも 10 秒間待ってからデバイスの電源を切ってください。 |
|
CA バンドルの自動更新。 |
7.0.5 7.1.0.3 7.2.4 7.3.0 |
7.0.5 7.1.0.3 7.2.4 7.3.0 |
アップグレードの影響。システムは新しいリソースに接続します。 ローカル CA バンドルには、いくつかのシスコのサービスにアクセスするための証明書が含まれています。システムは、毎日のシステム定義の時刻に、新しい CA 証明書についてシスコに自動的にクエリを実行するようになりました。以前は、CA 証明書を更新するにはソフトウェアをアップグレードする必要がありました。CLI を使用して、この機能を無効にすることができます。 新しいリソース：https://cisco.com/security/pki/ 新規/変更された CLI コマンド：configure cert-update auto-update 、configure cert-update run-now 、configure cert-update test 、show cert-update 参照：『Firepower Management Center Command Line Reference』および Cisco Secure Firewall Threat Defense コマンドリファレンス |
バージョン 7.0.4 の FMC 機能
このリリースに新機能はありません。
バージョン 7.0.3 の FMC 機能
|
機能 |
最小の FMC |
最小の FTD |
詳細 |
||
|---|---|---|---|---|---|
|
クラウド提供型 Firewall Management Center の Threat Defense のサポート。 |
7.2.0（分析のみサポート） |
7.0.3 7.2.0 |
バージョン 7.0.3 ～ 7.0.x および 7.2.0 以降の Threat Defense デバイスは Security Cloud Control で クラウド提供型 Firewall Management Center による管理をサポートします。 クラウド提供型 Firewall Management Center は、バージョン 7.1 を実行している Firewall Threat Defense デバイス、または任意のバージョンを実行しているクラシックデバイスを管理できません。クラウド管理の登録を解除するか、または無効にしない限り、クラウド管理対象デバイスはバージョン 7.0.x からバージョン 7.1 にアップグレードできません。以降のバージョンに直接アップグレードすることをお勧めします。
新規/変更された CLI コマンド：configure manager add 、configure manager delete 、configure manager edit 、show managers 詳細については、Cisco Security Cloud Control： Cloud-Delivered Firewall Management Center for Firewall Threat Defenseを参照してください。 |
バージョン 7.0.2 の FMC 機能
|
機能 |
最小の FMC |
最小の FTD |
詳細 |
|||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
ISA 3000 によるシャットダウンのサポート。 |
任意 |
7.0.2 7.2.0 |
ISA 3000 をシャットダウンできるようになりました。以前は、デバイスを再起動することしかできませんでした。 |
|||||||||||||||||||||||||||
|
ダイナミックオブジェクト名でダッシュ文字を使用できるようになりました。 |
7.0.2 7.1.0 |
7.0.2 7.1.0 |
ダイナミックオブジェクト名でダッシュ文字を使用できるようになりました。これは、ACI エンドポイント更新アプリ（ダッシュ文字が許可されている）を使用して、テナントのエンドポイントグループを表すダイナミックオブジェクトを FMC で作成する場合に特に便利です。 |
|||||||||||||||||||||||||||
|
SecureX との統合、SecureX とのオーケストレーションの改善。 |
7.0.2 7.2.0 |
任意 |
アップグレードの影響。 機能が有効な状態でバージョン 7.0.x を 7.1 にアップグレードすることはできません。 SecureX との統合プロセスが合理化されました。すでに SecureX アカウントを持っている場合は、新しい [統合（Integration）] > [SecureX] ページで該当するクラウドリージョンを選択し、[SecureXの有効化（Enable SecureX）] をクリックして、SecureX に対して認証するだけです。イベントをクラウドに送信するオプション、および Cisco Success Network と Cisco Support Diagnostics を有効にするオプションも、この新しいページに移動されました。 この新しいページで SecureX との統合を有効にすると、システムのクラウド接続のライセンス管理が Cisco Smart Licensing から SecureX に切り替わります。SecureX を「従来の」方法ですでに有効にしている場合、このクラウド接続管理による利点を得るには、無効にしてから再度有効にする必要があります。 Web インターフェースで示されていない場合でも、このページでは対象のクラウドリージョンや、シスコのセキュリティ分析とロギング（SaaS） を使用して Secure Network Analytics（Stealthwatch）クラウドに送信するイベントタイプも管理することを覚えておいてください。以前のバージョンでは、このオプションは、[システム（System）]（ は SecureX オーケストレーションもサポートするようになりました。これは、セキュリティツール全体のワークフローを自動化するために使用できる強力なドラッグアンドドロップ インターフェイスです。SecureX を有効にすると、オーケストレーションを有効にできます。 この機能の一部として、REST API を使用して SecureX との統合を設定できなくなりました。FMC の Web インターフェイスを使用する必要があります。 バージョンの制限：バージョン 7.0.0 ～ 7.0.1、7.1.x ではサポートされていません。バージョン 7.0.x で、新しい方法で SecureX との統合を有効にした場合は、この機能を無効にしない限り、バージョン 7.1 にアップグレードすることはできません。バージョン 7.2 以降にアップグレードすることをお勧めします。 |
|||||||||||||||||||||||||||
|
Web インターフェイスの変更：SecureX、脅威インテリジェンス、およびその他の統合。 |
7.0.2 7.2.0 |
任意（Any） |
以下の FMC メニューオプションが変更されました。
|
バージョン 7.0.1 の FMC 機能
|
機能 |
最小の FMC |
最小の FTD |
詳細 |
|---|---|---|---|
|
デバイス管理 |
|||
|
ASA FirePOWER サービスを使用する ISA 3000 の新しいデフォルトパスワード。 |
7.0.1 7.1.0 |
7.0.1 7.1.0 |
新しいデバイスの場合、admin アカウントのデフォルトパスワードは Adm!n123 になりました。以前は、デフォルトの admin パスワードは Admin123 でした。 バージョン 7.0.1 以降にアップグレードまたは再イメージ化しても、パスワードは変更されません。ただし、すべてのユーザアカウント（特に管理者アクセス権を持つユーザアカウント）に強力なパスワードを設定することを推奨します。 |
|
アクセス制御：脅威の検出とアプリケーションの識別 |
|||
|
Snort 3 の rate_filter インスペクタ。 |
7.0.1 7.1.0 |
7.0.1 7.1.0 |
Snort 3 rate_filter インスペクタが導入されました。 これにより、ルールに対する過剰な一致に対応して侵入ルールのアクションを変更できます。レートベースの攻撃を特定の期間ブロックし、イベントの生成中でも一致するトラフィックを許可するように戻すことができます。詳細については、『Snort 3 Inspector Reference』を参照してください。 新規/変更されたページ：カスタムネットワーク分析ポリシーの Snort 3 バージョンを編集して、インスペクタを設定します。 バージョンの制限：lsp-rel-20210816-1910 以降が必要です。 |
バージョン 7.0.0 の FMC 機能
|
機能 |
最小の FMC |
最小の FTD |
詳細 |
||||
|---|---|---|---|---|---|---|---|
|
プラットフォーム |
|||||||
|
VMware vSphere/VMware ESXi 7.0 のサポート。 |
7.0 |
7.0 |
VMware vSphere/VMware ESXi 7.0 に FMCv、FTDv、および NGIPSv 仮想アプライアンスを展開できるようになりました。 バージョン 7.0 でも VMware 6.0 のサポートは終了します。Firepower ソフトウェアをアップグレードする前に、ホスティング環境をサポートされているバージョンにアップグレードします。 |
||||
|
HyperFlex、Nutanix、OpenStack 向けの FMCv。 |
7.0 |
任意（Any） |
Cisco HyperFlex、Nutanix Enterprise Cloud、OpenStack で FMCv2、v10、v25 がサポートされるようになりました。 HyperFlex 用 FMCv は、FMCv10 および v25 による高可用性をサポートしています。FTD デバイスを管理する場合、2 つの同一ライセンスの FMC と、各管理対象デバイスに 1 つの FTD 権限が必要です。たとえば、FMCv10 高可用性ペアで 10 台のデバイスを管理するには、2 個の FMCv10 権限と 10 個の FTD 権限が必要です。バージョン 7.0.x のクラシックデバイス（NGIPSv または ASA FirePOWER）のみを管理している場合は、FMCv 権限は必要ありません。 |
||||
|
HyperFlex、Nutanix、OpenStack 向けの FTDv。 |
7.0 |
7.0 |
Cisco HyperFlex、Nutanix Enterprise Cloud、OpenStack で FTDv がサポートされるようになりました。 |
||||
|
FTDv パフォーマンス階層型のスマートライセンス。 |
7.0 |
7.0 |
アップグレードの影響。アップグレードすると、デバイスが自動的に FTDv 変数階層に割り当てられます。 FTDv は、スループット要件と RA VPN セッションの制限に基づいて、パフォーマンス階層型のスマート ソフトウェア ライセンスをサポートするようになりました。オプションは、FTDv5（100 Mbps/50 セッション）から FTDv100（16 Gbps/10,000 セッション）までです。 新しいデバイスを追加する前に、お使いのアカウントに必要なライセンスが含まれていることを確認してください。追加のライセンスを購入するには、シスコの担当者またはパートナーの担当者にお問い合わせください。FTDv をバージョン 7.0 にアップグレードすると、デバイスは FTDv 変数階層に自動的に割り当てられますが、これは後で変更できます。 パフォーマンス階層の変更、サポートされているインスタンス、スループット、およびその他のホスティング要件の詳細については、該当するスタートアップガイドを参照してください。新規/変更されたページ：
|
||||
|
FTD クラスタリング |
|||||||
|
クラスタリング用の PAT ポートブロック割り当ての改善 |
7.0 |
7.0 |
PAT ポートブロック割り当ての改善により、制御ユニットはノードに参加するためにポートを確保し、未使用のポートを積極的に再利用できるようになります。割り当てを最適化するには、FlexConfig を使用して cluster-member-limit コマンドを実行して、予定しているクラスタ内の最大ノード数を設定します。これにより、制御ユニットは計画されたノード数にポートブロックを割り当てることができ、使用する予定のない追加のノード用にポートを予約する必要がなくなります。デフォルトは 16 ノードです。また、syslog 747046 を監視して、新しいノードに使用できるポートが十分にあることを確認することもできます。 新規/変更されたコマンド：cluster-member-limit （FlexConfig）、show nat pool cluster [summary] 、show nat pool ip detail サポートされるプラットフォーム：Firepower 4100/9300 |
||||
|
FTD CLI show cluster history の改善。 |
7.0 |
7.0 |
新しいキーワードを指定すると、show cluster history コマンドの出力をカスタマイズできます。 新規/変更されたコマンド：show cluster history [brief ] [latest ] [reverse ] [time ] サポートされるプラットフォーム：Firepower 4100/9300 |
||||
|
クラスタから永久に削除するための FTD CLI コマンド。 |
7.0 |
7.0 |
FTD CLI を使用して、ユニットをクラスタから完全に削除し、その設定をスタンドアロンデバイスに変換できるようになりました。 新規/変更されたコマンド： cluster reset-interface-mode サポートされるプラットフォーム：Firepower 4100/9300 |
||||
|
FTD NAT |
|||||||
|
FTD の優先順位付けされたシステム定義の NAT ルール。 |
7.0 |
7.0 |
新しいセクション 0 が NAT ルールテーブルに追加されました。このセクションは、システムの使用に限定されます。システムが正常に機能するために必要なすべての NAT ルールがこのセクションに追加され、これらのルールは作成したルールよりも優先されます。以前は、システム定義のルールがセクション 1 に追加され、ユーザー定義のルールがシステムの適切な機能を妨げる可能性がありました。 セクション 0 のルールを追加、編集、または削除することはできませんが、show nat detail コマンド出力に表示されます。 |
||||
|
FTD ルーティング |
|||||||
|
ISA 3000 の仮想ルータサポート。 |
7.0 |
7.0 |
ISA 3000 デバイスには最大 10 台の仮想ルータを設定できるようになりました。 |
||||
|
FTD VPN：サイト間 |
|||||||
|
ルートベースのサイト間 VPN 向けバックアップ用仮想トンネルインターフェイス（VTI）。 |
7.0 |
6.7 |
仮想トンネルインターフェイスを使用するサイト間 VPN を設定する場合、トンネルのバックアップ VTI を選択できます。 バックアップ VTI を指定すると復元力が得られるため、プライマリ接続がダウンした場合でもバックアップ接続は継続して機能します。たとえば、プライマリ VTI をあるサービスプロバイダーのエンドポイントに接続し、バックアップ VTI を別のサービスプロバイダーのエンドポイントに接続できます。 新規/変更されたページ：ポイントツーポイント接続の VPN タイプとして [ルートベース（Route-Based）] を選択した場合に、サイト間 VPN ウィザードにバックアップ VTI を追加する機能が追加されました。 |
||||
|
FTD VPN：リモートアクセス |
|||||||
|
ロード バランシング。 |
7.0 |
7.0 |
RA VPN ロードバランシングがサポートされるようになりました。システムは、セッション数によってグループ化されたデバイス間でセッションを分散します。トラフィック量やその他の要因は考慮されません。 新規/変更された画面：RA VPN ポリシーの [詳細設定（Advanced Settings）] にロード バランシング オプションが追加されました。 |
||||
|
ローカル認証。 |
7.0 |
7.0 |
RA VPN ユーザーのローカル認証がサポートされるようになりました。これは、プライマリまたはセカンダリ認証方式として、または設定されたリモートサーバーに到達できない場合のフォールバックとして使用できます。
|
||||
|
ダイナミック アクセス ポリシー。 |
7.0 |
任意（Any） |
新しいダイナミック アクセス ポリシーを使用すると、変化する環境に自動的に適応するリモートアクセス VPN 認証を設定できます。
|
||||
|
マルチ証明書認証。 |
7.0 |
7.0 |
リモートアクセス VPN ユーザのマルチ証明書認証をサポートするようになりました。SSL または IKEv2 EAP フェーズで AnyConnect クライアントを使用して VPN アクセスを許可するためにユーザの ID 証明書を認証することに加えて、マシンまたはデバイス証明書を検証して、デバイスが会社支給のデバイスであることを確認できます。 |
||||
|
AnyConnect カスタム属性。 |
7.0 |
7.0 |
AnyConnect カスタム属性をサポートし、AnyConnect クライアント機能を設定するためのインフラストラクチャを、これらの機能の明示的なサポートをシステムに追加することなく、提供するようになりました。 |
||||
|
アクセス制御：脅威の検出とアプリケーションの識別 |
|||||||
|
FTD 用 Snort 3。 |
7.0 |
7.0 |
新規に FTD を展開する場合、Snort 3 がデフォルトの検査エンジンになります。アップグレードされた展開では引き続き Snort 2 が使用されますが、いつでも切り替えることができます。 Snort 3 を使用する利点は次のとおりですが、これに限定されません。
Snort 3 侵入ルールの更新は、SRU ではなく LSP（Lightweight Security Package）と呼ばれます。Snort 2 には引き続き SRU が使用されます。シスコからのダウンロードには、最新の LSP と SRU の両方が含まれており、設定に適したルールセットが自動的に使用されます。 FMC は、Snort 2 と Snort 3 の両方のデバイスでの展開を管理でき、各デバイスに正しいポリシーを適用します。ただし、Snort 2 とは異なり、FMC のみをアップグレードしてから展開することで、デバイス上の Snort 3 を更新することはできません。Snort 3 では、新しい機能と解決済みのバグにより、FMC 上のソフトウェアとその管理対象デバイスをアップグレードする必要があります。各ソフトウェアバージョンに含まれている Snort の詳細については、Cisco Firepower Compatibility Guideのバンドルされたコンポーネントのセクションを参照してください。
Snort 3 の Webサイト（https://snort.org/snort3）にもアクセスできます。https://snort.org/snort3 |
||||
|
アクセス制御：アイデンティティ |
|||||||
|
Active Directory ドメインのクロスドメイン信頼。 |
7.0 |
任意（Any） |
Microsoft Active Directory フォレスト（相互に信頼する AD ドメインのグループ）のユーザーを使用してユーザー アイデンティティ ルールを設定できるようになりました。 新規/変更されたページ：
|
||||
|
イベントロギングおよび分析 |
|||||||
|
Secure Network Analytics オンプレミス展開でのイベント保存プロセスの改善。 |
7.0 |
7.0 |
新しい シスコのセキュリティ分析とロギング（オンプレミス） アプリと新しい FMC ウィザードにより、オンプレミス Secure Network Analytics ソリューションのリモートデータストレージをより簡単に設定できます。
syslog を使用して Firepower イベントを Stealthwatch に送信するアップグレードされた展開では、ウィザードを使用する前にこれらの設定を無効にします。そうしないと、二重にイベントが発生します。Stealthwatch への syslog 接続を削除するには、FTDプラットフォーム設定を使用します（[デバイス（Devices）] > [プラットフォーム設定（Platform Settings）]）。 syslog へのイベント送信を無効にするには、アクセス制御ルールを編集します。 Stealthwatch のハードウェア要件およびソフトウェア要件を含む詳細については、Cisco Security Analytics and Logging（オンプレミス）：ファイアウォールイベント統合ガイド を参照してください。 |
||||
|
Secure Network Analytics オンプレミス展開でリモートに保存されたイベントを操作する。 |
7.0 |
任意（Any） |
FMC を使用して、Secure Network Analytics オンプレミス展開でリモートに保存された接続イベントを操作できるようになりました。 接続イベントページ（[分析（Analysis）] > [接続（Connections）] > [イベント（Events）]）と統合イベントビューア（[分析（Analysis）] > [統合イベント（Unified Events）]）の新しいデータソースオプションを使用して、処理する接続イベントを選択できます。デフォルトでは、時間範囲に何も存在しない場合、ローカルに保存された接続イベントが表示されます。その場合、システムはリモートに保存されたイベントを表示します。 また、リモートで保存された接続イベントに基づいてレポートを生成できるように、レポートテンプレートにデータソースオプションが追加されました（[概要（Overview）] > [レポート（Reporting）] > [レポートテンプレート（Report Templates）]）。
|
||||
|
すべての接続イベントを Secure Network Analytics クラウドに保存する。 |
7.0 |
任意（Any） |
Cisco Security Analytics and Logging（SaaS）を使用して、すべての接続イベントを Stealthwatch クラウドに保存できるようになりました。以前は、セキュリティ インテリジェンス、侵入、ファイル、およびマルウェアのイベント、およびそれらに関連する接続イベントに限定されていました。 クラウドに送信するイベントを変更するには、[システム（System）]（
|
||||
|
統合イベントビューア。 |
7.0 |
任意（Any） |
統合イベントビューア（）では、1 つのテーブルで接続、セキュリティ インテリジェンス、侵入、ファイル、およびマルウェアの各イベントが表示されます。これは、異なるタイプのイベント間の関係を調べるのに役立ちます。 単一の検索フィールドを使用すると、複数の条件に基づいてビューを動的にフィルタリングできます。また、[本番稼働（Go Live）] オプションでは、管理対象デバイスから受信したイベントがリアルタイムで表示されます。 |
||||
|
SecureX のリボン。 |
7.0 |
任意（Any） |
FMC 上の SecureX のリボンは SecureX にピボットされ、シスコのセキュリティ製品全体の脅威の状況を即座に確認できます。 SecureX に接続してリボンを有効にするには、[システム（System）]（ 詳細については、Cisco Secure Firewall Threat Defense および SecureX 統合ガイドを参照してください。 |
||||
|
ローカルストレージをオフにすると、すべての接続イベントのレート制限が免除されます。 |
7.0 |
任意（Any） |
イベントレート制限は、FMC に送信されるすべてのイベントに適用されます。ただし、セキュリティイベント（セキュリティ インテリジェンス、侵入、ファイル、マルウェアのイベント、およびそれらに関連する接続イベント）は例外です。 ローカル接続イベントストレージを無効にすると、セキュリティイベントだけでなく、すべての接続イベントがレート制限から除外されるようになりました。これを行うには、[システム（System）]（
ローカルイベントストレージを無効にしても、リモートイベントストレージには影響せず、接続の概要や相関にも影響しないことに注意してください。システムは、引き続き、トラフィックプロファイル、相関ポリシー、ダッシュボード表示などの機能に接続イベント情報を使用します。 |
||||
|
ファイルおよびマルウェアイベントテーブルに一緒に表示されるポートとプロトコル。 |
7.0 |
任意（Any） |
ファイルおよびマルウェアイベントテーブルでは、[ポート（Port）] フィールドにプロトコルが表示されるようになり、[ポート（Port）] フィールドでプロトコルを検索できます。アップグレード前に存在したイベントの場合、プロトコルが不明な場合は「TCP」が使用されます。 新規/変更されたページ：
|
||||
|
ヘルス モニタリング |
|||||||
|
新しいヘルス モジュール。 |
7.0 |
モジュールに依存 |
次の正常性モジュールが追加されました。
さらに、バージョン 6.6.3 で [アプライアンス設定のリソース使用率（Appliance Configuration Resource Utilization）] モジュールとして導入された [構成メモリ割り当て（Configuration Memory Allocation）] モジュールは、バージョン 6.7 では完全にはサポートされていませんでしたが、完全にサポートされます。 |
||||
|
展開とポリシー管理 |
|||||||
|
ダイナミックオブジェクト。 |
7.0 |
7.0 |
ダイナミックオブジェクトは、アクセスコントロールルールで使用できます。 ダイナミックオブジェクトは、単に IP アドレスまたはサブネットのリストです（範囲なし、FQDN なし）。ただし、ネットワークオブジェクトとは異なり、ダイナミックオブジェクトへの変更はすぐに有効になり、再展開する必要はありません。これは、IP アドレスがワークロードリソースに動的にマッピングされる仮想環境やクラウド環境で役立ちます。 ダイナミックオブジェクトを作成および管理するには、Cisco Secure 動的属性コネクタを使用することをお勧めします。コネクタは、ワークロードの変更に基づいてファイアウォールポリシーを迅速かつシームレスに更新する別個の軽量アプリケーションです。そのためには、環境内のタグ付きリソースからワークロード属性を取得し、指定した基準に基づいて IP リストをコンパイルします（「動的属性フィルタ」）。次に、FMC でダイナミックオブジェクトを作成し、IP リストを入力します。ワークロードが変更されると、コネクタによってダイナミックオブジェクトが更新され、新しいマッピングに基づいてすぐにトラフィックの処理が開始されます。詳細については、を参照してくださいCisco Secure 動的属性コネクタ コンフィギュレーション ガイド。 作成したダイナミックオブジェクトは、アクセス コントロール ルール エディタの新しい [動的属性（Dynamic Attributes）] タブでアクセスコントロールルールに追加できます。このタブは、フォーカスの狭い [SGT/ISE 属性（SGT/ISE Attributes）] タブに代わるものです。ここで、SGT 属性を使用したルールの設定を続行します。
Cisco Secure Dynamic Attributes Connector の統合でサポートされる仮想/クラウドワークロード：Microsoft Azure、AWS、VMware |
||||
|
ポリシーとオブジェクトのグローバル検索。 |
7.0 |
任意（Any） |
特定のポリシーを名前で検索し、特定のオブジェクトを名前と設定値で検索できるようになりました。この機能は、クラシックテーマでは使用できません。 新規/変更されたページ：[展開（Deploy）] メニューの左側にある [FMC] メニューバーに [検索（Search）] アイコンとフィールドの機能が追加されました。 |
||||
|
RA およびサイト間 VPN ポリシーを選択的に展開する。 |
7.0 |
任意（Any） |
バージョン 6.6 で導入された選択的ポリシーの展開では、FTD のリモートアクセスとサイト間 VPN ポリシーがサポートされるようになりました。 新規/変更されたページ：[展開（Deploy）] > [展開（Deployment）] ページに VPN ポリシーオプションが追加されました。 |
||||
|
FTD のアップグレード |
|||||||
|
FTD のアップグレード パフォーマンスとステータスレポートの改善。 |
7.0 |
7.0 |
FTD のアップグレードがより簡単かつ確実に、より少ないディスク容量で実行できるようになりました。メッセージセンターの新しい [アップグレード（Upgrades）] タブでは、アップグレードステータスとエラーレポートがさらに強化されています。 |
||||
|
FTD の [アップグレード（Upgrade）] ウィザード。 |
7.0 |
任意（Any） |
FMC の新しいデバイス アップグレード ページ（）には、バージョン 6.4 以降の FTD デバイスをアップグレードするためのわかりやすいウィザードがあります。アップグレードするデバイスの選択、アップグレードパッケージのデバイスへのコピー、互換性と準備状況の確認など、アップグレード前の重要な段階を順を追って説明します。 開始するには、[デバイス管理（Device Management）] ページ（）で新しい [Firepowerソフトウェアのアップグレード（Upgrade Firepower Software）] アクションを使用します。 続行すると、選択したデバイスに関する基本情報と、現在のアップグレード関連のステータスが表示されます。表示内容には、アップグレードできない理由が含まれます。あるデバイスがウィザードの 1 つの段階に「合格」しない場合、そのデバイスは次の段階には表示されません。 ウィザードから移動しても、進行状況は保持されます。ただし、管理者アクセス権を持つ他のユーザーはウィザードをリセット、変更、または続行できます。
|
||||
|
多くの FTD デバイスを一度にアップグレードします。 |
7.0 |
6.7 以降へのアップグレード |
一度にアップグレードできるデバイスの数は、同時アップグレードを管理するシステムの機能ではなく、管理ネットワークの帯域幅によって制限されます。以前は、一度に 5 台を上回るデバイスをアップグレードしないことを推奨していました。
|
||||
|
異なるデバイスモデルをまとめてアップグレードします。 |
7.0 |
任意（Any） |
システムが適切なアップグレードパッケージにアクセスできる限り、FTD アップグレードウィザードを使用してすべての FTD モデルのアップグレードを同時にキューに入れて呼び出せるようになりました。 以前は、アップグレードパッケージを選択し、そのパッケージを使用してアップグレードするデバイスを選択していました。つまり、アップグレードパッケージを共有している場合にのみ、複数のデバイスを同時にアップグレードできました。たとえば、2 台の Firepower 2100 シリーズ デバイスは同時にアップグレードできますが、Firepower 2100 シリーズと Firepower 1000 シリーズはアップグレードできません。 |
||||
|
管理とトラブルシューティング |
|||||||
|
SD カードを使用した ISA 3000 でのゼロタッチ復元。 |
7.0 |
7.0 |
ローカルバックアップを実行すると、バックアップファイルが SD カードにコピーされます（カードがある場合）。交換用デバイスの設定を復元するには、新しいデバイスに SD カードを取り付け、デバイスの起動中に [リセット（Reset）] ボタンを 3 〜 15 秒間押します。 |
||||
|
セキュリティと強化 |
|||||||
|
AWS 導入用の新しいデフォルトパスワード。 |
7.0 |
7.0 |
AWS 向け FMCv/FTDv の場合、初期展開時にユーザーデータ（ [高度な詳細（Advanced Details）] > [ユーザーデータ（User Data）] ）を使用してデフォルトパスワードを定義していなければ、admin アカウントのデフォルトパスワードは AWS のインスタンス ID です。 以前は、デフォルトの admin パスワードは Admin123 でした。 |
||||
|
証明書の登録用の EST。 |
7.0 |
7.0 |
証明書の登録用の Enrollment over Secure Transport のサポートが提供されました。 新規/変更されたページ：[オブジェクト（Objects）] > [PKI] > [証明書の登録（Cert Enrollment）] > [CA情報（CA Information）] タブ設定時の新しい登録オプション。 |
||||
|
EdDSA 証明書タイプのサポート。 |
7.0 |
7.0 |
新しい証明書キータイプ：EdDSA（キーサイズ 256）が追加されました。 新規/変更されたページ：[オブジェクト（Objects）] > [PKI] > [証明書の登録（Cert Enrollment）] > [キー（Key）] タブの設定時の新しい証明書キーオプション。 |
||||
|
NTP サーバーの AES-128 CMAC 認証。 |
7.0 |
任意（Any） |
AES-128 CMAC キーを使用して、FMC と NTP サーバー間の接続を保護できるようになりました。 新規/変更されたページ：[システム（System）]（ |
||||
|
SNMPv3 ユーザーは、SHA-224 または SHA-384 認証アルゴリズムを使用して認証できます。 |
7.0 |
7.0 |
SNMPv3 ユーザーは、SHA-224 または SHA-384 アルゴリズムを使用して認証できるようになりました。 新規/変更されたページ：[デバイス（Devices）] > [プラットフォーム設定（Platform Settings）] > [SNMP] > [ユーザー（Users）] > [認証アルゴリズムタイプ（Auth Algorithm Type）] |
||||
|
ユーザビリティ |
|||||||
|
レポートの外観が変更されました。 |
7.0 |
任意（Any） |
レポートをより明確で読みやすくするために、赤色のアクセントをグレーと青に変更し、テーブルとチャートのタイトルの背景の網掛けを削除し、テーブルの 1 行おきの色を削除しました。 新規/変更されたページ： |
||||
|
使用方法の場所が変更されました。 |
7.0 |
任意（Any） |
でウォークスルーが呼び出されるようになりました。以前は、ブラウザウィンドウの下部にある [使用方法（How-Tos）] をクリックしていました。 |
||||
|
パフォーマンス |
|||||||
|
Intel QuickAssist Technology（QAT）を使用した FTDv でのハードウェア暗号化アクセラレーション。 |
7.0 |
7.0 |
VMware の FTDv および KVM の FTDv でハードウェア暗号化アクセラレーション（CBC 暗号のみ）がサポートされるようになりました。この機能を使用するには、ホスティング プラットフォームに Intel QAT 8970 PCI アダプタ/バージョン 1.7 以降のドライバが必要です。リブートすると、ハードウェア暗号化アクセラレーションが自動的に有効になります。 |
||||
|
多対 1 および 1 対多接続の CPU 使用率とパフォーマンスが向上しました。 |
7.0 |
7.0 |
ダイナミック NAT / PAT およびスキャン脅威検出とホスト統計情報を含む接続を除き、システムは接続の作成時に、ローカルホストオブジェクトを作成せず、ロックすることもなくなりました。これにより、多数の接続を同じサーバー（ロードバランサや Web サーバーなど）に対して確立する場合や、1 つのエンドポイントが多数のリモートホストに接続する場合に、FTD のパフォーマンスと CPU 使用率が向上します。 次のコマンドが変更されました：clear local-host （廃止）、 show local-host |
||||
|
廃止された機能 |
|||||||
|
サポートの終了：VMware vSphere/VMware ESXi 6.0。 |
7.0 |
7.0 |
VMware vSphere/VMware ESXi 6.0 での仮想展開のサポートは廃止されました。Firepower ソフトウェアをアップグレードする前に、ホスティング環境をサポートされているバージョンにアップグレードします。 |
||||
|
廃止：キーが 2048 ビット未満の RSA 証明書、または署名アルゴリズムで SHA-1 を使用する RSA 証明書。 |
7.0 |
7.0 |
FTD デバイスを介したアップグレード後の VPN 接続を防止します。 キーが 2048 ビット未満の RSA 証明書、または署名アルゴリズムで SHA-1 を使用する RSA 証明書のサポートは削除されました。 アップグレードする前に、オブジェクトマネージャを使用し、より強力なオプションを使用して PKI 証明書の登録を更新します（[オブジェクト（Objects）] > [PKI] > [証明書の登録（Cert Enrollment）]）。更新しない場合、アップグレードしても現在の設定は保持されますが、デバイスを介した VPN 接続は失敗します。 弱いオプションを使用して古い FTD デバイス（バージョン 6.4 〜 6.7.x）のみを管理し続けるには、[デバイス（Devices）] > [証明書（Certificates）] ページで各デバイスの新しい [弱暗号化の有効化（Enable Weak-Crypto）] オプションを選択します。 |
||||
|
廃止：SNMPv3 ユーザー向けの MD5 認証アルゴリズムと DES 暗号化。 |
7.0 |
7.0 |
ユーザーを削除します。アップグレード後に展開ができないようにします。 FTD デバイスにおける SNMPv3 ユーザー向けの MD5 認証アルゴリズムと DES 暗号化のサポートが削除されました。 FTD をバージョン 7.0 以上にアップグレードすると、FMC の設定に関係なく、該当ユーザーがデバイスから削除されます。プラットフォーム設定ポリシーでこれらのオプションを使用している場合は、FTD をアップグレードする前に構成を変更して確認してください。 これらのオプションは、Threat Defense プラットフォーム設定ポリシー（[デバイス（Devices）] > [プラットフォーム設定（Platform Settings）]）で SNMPv3 ユーザーを作成または編集する際の [認証アルゴリズムタイプ（Auth Algorithm Type）] および [暗号化タイプ（Encryption Type）] ドロップダウンにあります。 |
||||
|
廃止：AMP クラウドとのポート 32137 通信。 |
7.0 |
任意（Any） |
FMC がアップグレードされないようにします。 パブリックおよびプライベート AMP クラウドからファイル配置データを取得するためにポート 32137 を使用する FMC オプションは廃止されました。プロキシを設定しない限り、FMC はポート 443/HTTPS を使用するようになりました。 アップグレードする前に、[システム（System）]（ |
||||
|
廃止：HA ステータス正常性モジュール。 |
7.0 |
任意（Any） |
HA ステータス正常性モジュールの名前を FMC HA ステータス正常性モジュールに変更しました。これは、新しい [FTD HA ステータス（FTD HA Status）] モジュールと区別するためです。 |
||||
|
廃止：レガシー API エクスプローラ。 |
7.0 |
任意（Any） |
FMC REST API レガシー API エクスプローラのサポートが削除されました。 |
||||
|
廃止：地理位置情報の詳細。 |
任意（Any） |
任意（Any） |
ルーティング可能な IP アドレスに関連付けられたコンテキストデータを含む地理位置情報 IP パッケージは提供されなくなりました。この措置によりディスク容量が節約されますが、地理位置情報ルールやトラフィック処理には影響しません。コンテキストデータはすべて古くなっており、最新のバージョンにアップグレードすると IP パッケージが削除されます。 コンテキストデータを表示したりするオプションは効果がなく、以降のバージョンでは削除されます。 |
||||
FDM バージョン 7.0.x の機能
|
機能 |
説明 |
|---|---|
|
プラットフォーム機能 |
|
|
HyperFlex および Nutanix 向け FTDv。 |
Cisco HyperFlex および Nutanix Enterprise Cloud に FTDv が導入されました。 |
|
VMware vSphere/VMware ESXi 7.0 向け FTDv。 |
VMware vSphere/VMware ESXi 7.0 に FTDv を展開できるようになりました。 バージョン 7.0 でも VMware 6.0 のサポートは終了します。FTD をアップグレードする前に、ホスティング環境をサポートされているバージョンにアップグレードします。 |
|
AWS における Firewall Threat Defense Virtual の新しいデフォルトパスワード |
AWS では、初期展開時にユーザーデータを使用してデフォルトのパスワードを定義（）していなければ、Firewall Threat Defense Virtual のデフォルトの管理者パスワードは AWS のインスタンス ID です。 |
|
ISA 3000 によるシャットダウンのサポート。 |
バージョン 7.0.2 以降では、ISA 3000 をシャットダウンできるようになりました。以前は、デバイスを再起動することしかできませんでした。 バージョン 7.0.5 以降では、ISA 3000 をシャットダウンすると、システム LED が消灯します。その後、少なくとも 10 秒間待ってからデバイスの電源を切ってください。 バージョンの制限：バージョン 7.1 では、この機能のサポートが一時的に廃止されます。サポートは、バージョン 7.2 で再開されています。 |
|
ファイアウォールと IPS の機能 |
|
|
システム定義の NAT ルールの新しいセクション 0。 |
新しいセクション 0 が NAT ルールテーブルに追加されました。このセクションは、システムの使用に限定されます。システムが正常に機能するために必要なすべての NAT ルールがこのセクションに追加され、これらのルールは作成したルールよりも優先されます。以前は、システム定義のルールがセクション 1 に追加され、ユーザー定義のルールがシステムの適切な機能を妨げる可能性がありました。セクション 0 のルールを追加、編集、または削除することはできませんが、show nat detail コマンド出力に表示されます。 |
|
Snort 3 のカスタム侵入ルール。 |
オフラインツールを使用して、Snort 3 で使用するカスタム侵入ルールを作成し、侵入ポリシーにアップロードできます。独自のカスタムルールグループにカスタムルールを編成して、必要に応じて簡単に更新できます。Firewall Device Manager で直接ルールを作成することもできますが、ルールの形式はアップロードされたルールと同じです。Firewall Device Manager には、ルール作成のガイダンスはありません。新しい侵入ルールの基礎として、システム定義のルールを含む既存のルールを複製できます。 侵入ポリシーの編集時に、ページにカスタムグループとルールのサポートが追加されました。 |
|
Firewall Device Manager 管理対象システムの Snort 3 の新機能 |
Firewall Device Manager 管理対象システムで Snort 3 を検査エンジンとして使用する場合、次の追加機能を設定できるようになりました。
|
|
URL カテゴリとレピュテーションに基づく DNS 要求のフィルタリング。 |
URL フィルタリングカテゴリとレピュテーションルールを DNS ルックアップ要求に適用できます。ルックアップ要求の完全修飾ドメイン名（FQDN）にブロックしているカテゴリやレピュテーションがある場合、システムは DNS 応答をブロックします。ユーザーは DNS 解決を受信しないため、ユーザーは接続を完了できません。非 Web トラフィックに URL カテゴリおよびレピュテーション フィルタリングを適用するには、このオプションを使用します。この機能を使用するには、URL フィルタリングライセンスが必要です。 アクセス コントロール ポリシーの設定に [Reputation Enforcement on DNS Traffic] オプションが追加されました。 |
|
Snort 2 を搭載したメモリが少ないデバイス用の小規模 VDB。 |
アップグレードの影響。 メモリが少ないデバイスのアプリケーション ID が影響を受けます。 Snort 2 を搭載したバージョン 7.0.6 以降のデバイスの場合、VDB 363 以降では、Snort 2 搭載のメモリが少ないデバイスに小規模 VDB（別称：VDB lite）がインストールされるようになりました。この小規模 VDB には同じアプリケーションが搭載されていますが、検出パターンは少なくなっています。小規模 VDB を使用しているデバイスでは、フルサイズの VDB を使用しているデバイスと比較して、一部のアプリケーションが識別されない場合があります。 メモリが少ないデバイス：ASA-5508-X、ASA-5516-X バージョンの制限：小規模 VDB は、すべてのバージョンでサポートされているわけではありません。サポート対象のバージョンからサポート対象外のバージョンにアップグレードする場合、Snort 2 を実行しているメモリの少ないデバイスに VDB 363 以降をインストールできません。影響を受けるリリースのリストについては、CSCwd88641 を参照してください。 |
|
VPN 機能 |
|
|
リモートアクセス VPN の Firewall Device Manager SSL 暗号設定 |
Firewall Device Manager でリモートアクセス VPN 接続に使用する TLS バージョンと暗号化の暗号を定義できます。以前は、Firewall Threat Defense API を使用して SSL を設定する必要がありました。 次のページが追加されました：、。 |
|
Diffie-Hellman グループ 31 のサポート。 |
IKEv2 プロポーザルおよびポリシーで Diffie-Hellman（DH）グループ 31 を使用できるようになりました。 |
|
デバイス上の仮想トンネルインターフェイスの最大数は 1024 です。 |
作成できる仮想トンネルインターフェイス（VTI）の最大数は 1024 です。以前のバージョンでは、送信元インターフェイスあたりの最大数は 100 でした。 |
|
サイト間 VPN セキュリティ アソシエーションの IPsec ライフタイム設定。 |
セキュリティ アソシエーションが再ネゴシエートされるまでに維持する期間のデフォルト設定を変更できます。 サイト間 VPN ウィザードに [Lifetime Duration] オプションと [Lifetime Size] オプションが追加されました。 |
|
ルーティング機能 |
|
|
ISA 3000 の仮想ルータサポート。 |
ISA 3000 デバイスには最大 10 の仮想ルータを設定できます。 |
|
等コストマルチパス（ECMP）ルーティング。 |
複数のインターフェイスを含むように ECMP トラフィックゾーンを設定できます。これにより、ゾーン内の任意のインターフェイスで、既存の接続のトラフィックが Firewall Threat Defense デバイスに出入りできるようになります。この機能により、Firewall Threat Defense デバイス上での等コストマルチパス（ECMP）のルーティングや、Firewall Threat Defense デバイスへのトラフィックの複数のインターフェイスにわたる外部ロードバランシングが可能になります。 ECMP トラフィックゾーンはルーティングにのみ使用されます。これらはセキュリティゾーンとは異なります。 [ルーティング（Routing）] ページに [ECMP トラフィックゾーン（ECMP Traffic Zones）] タブが追加されました。Firewall Threat Defense API に ECMPZones リソースが追加されました。 |
|
インターフェイス機能 |
|
|
新しいデフォルトの内部 IP アドレス。 |
192.168.1.0/24 のアドレスが DHCP を使用して外部インターフェイスに割り当てられている場合、IP アドレスの競合を避けるために、内部インターフェイスのデフォルト IP アドレスが 192.168.1.1 から 192.168.95.1 に変更されています。 |
|
デフォルトの外部 IP アドレスで IPv6 自動設定が有効になりました。管理用の新しいデフォルト IPv6 DNS サーバー。 |
外部インターフェイスのデフォルト設定には、IPv4 DHCP クライアントに加えて、IPv6 自動設定が含まれています。デフォルトの管理 DNS サーバーには、IPv6 サーバー：2620:119:35::35 も含まれるようになりました。 |
|
ISA 3000 の EtherChannel サポート。 |
Firewall Device Manager を使用して ISA 3000 で EtherChannel を設定できるようになりました。 新しい/変更された画面： |
|
ライセンシング機能 |
|
|
Firewall Threat Defense Virtual のパフォーマンス階層型ライセンス。 |
Firewall Threat Defense Virtual は、スループット要件と RA VPN セッションの制限に基づいて、パフォーマンス階層型のスマートライセンスをサポートするようになりました。使用可能なパフォーマンスライセンスのいずれかで Firewall Threat Defense Virtual のライセンスを取得すると、2 つのことが発生します。まず、デバイスのスループットを指定されたレベルに制限するレートリミッタがインストールされます。次に、VPN セッションの数は、ライセンスで指定されたレベルに制限されます。 |
|
管理およびトラブルシューティングの機能 |
|
|
Firewall Threat Defense API を使用した DHCP リレー設定。 |
アップグレードの影響。 アップグレード後の展開ができない場合があります。 Firewall Threat Defense API を使用して DHCP リレーを設定できます。インターフェイスで DHCP リレーを使用すると、他のインターフェイスを介してアクセス可能な DHCP サーバーに DHCP 要求を送信できます。物理インターフェイス、サブインターフェイス、EtherChannel、および VLAN インターフェイスで DHCP リレーを設定できます。いずれかのインターフェイス上に DHCP サーバーを設定している場合、DHCP リレーは設定できません。 以前のリリースで FlexConfig を使用して DHCP リレーを設定した場合は（dhcprelay コマンド）、アップグレード後に API を使用して設定を再実行し、FlexConfig オブジェクトを削除する必要があります。 Firewall Threat Defense API に次のモデルを追加しました：dhcprelayservices |
|
ブートストラップ処理の高速化と Firewall Device Manager への早期ログイン |
Firewall Device Manager 管理対象システムを最初にブートストラップするプロセスが改善され、より高速になりました。したがって、デバイスを起動してから Firewall Device Manager にログインするまで待機する必要はありません。また、ブートストラップの進行中にログインできるようになりました。ブートストラップが完了していない場合は、プロセスのステータス情報が表示されるため、デバイスで何が発生しているかがわかります。 |
|
多対 1 および 1 対多接続の CPU 使用率とパフォーマンスが向上しました。 |
ダイナミック NAT / PAT およびスキャン脅威検出とホスト統計情報を含む接続を除き、システムは接続の作成時に、ローカルホストオブジェクトを作成せず、ロックすることもなくなりました。これにより、多数の接続を同じサーバー（ロードバランサや Web サーバーなど）に対して確立する場合や、1 つのエンドポイントが多数のリモートホストに接続する場合に、パフォーマンスと CPU 使用率が向上します。 次のコマンドが変更されました：clear local-host （廃止）、 show local-host |
|
Firewall Device Manager 管理対象デバイスのアップグレード準備状況チェック。 |
アップロードした Firewall Threat Defense アップグレードパッケージをインストールする前に、アップグレード準備状況チェックを実行できます。準備状況チェックでは、システムに対してアップグレードが有効であり、システムがパッケージのインストールに必要な他の要件を満たしていることを確認します。アップグレードの準備状況チェックを実行すると、インストールの失敗を回避できます。 ページの [System Upgrade] セクションに、アップグレードの準備状況チェックを実行するリンクが追加されました。 |
|
CA バンドルの自動更新。 |
アップグレードの影響。システムは、何か新しいことを求めてシスコに接続します。 ローカル CA バンドルには、いくつかのシスコのサービスにアクセスするための証明書が含まれています。システムは、毎日のシステム定義の時刻に、新しい CA 証明書についてシスコに自動的にクエリを実行するようになりました。以前は、CA 証明書を更新するにはソフトウェアをアップグレードする必要がありました。CLI を使用して、この機能を無効にすることができます。 新しいリソース：https://cisco.com/security/pki/ 新規/変更された CLI コマンド：configure cert-update auto-update 、configure cert-update run-now 、configure cert-update test 、show cert-update バージョンの制限：バージョン 7.0.5、7.1.0.3、または 7.2.4 以降が必要です。 |
|
すべての RADIUS 応答に Message-Authenticator 属性が必要です。 |
アップグレードの影響。Firepower 4100/9300 の場合、Firewall Threat Defense をアップグレードする前に、FXOS の互換性を確認してください。Firewall Threat Defense のアップグレード後に、既存のサーバーに対してこのオプションを有効にします。 すべての RADIUS 応答で Message-Authenticator 属性を要求できるようになりました。これにより、Firewall Threat Defense VPN ゲートウェイで、RA VPN 用でもデバイス自体へのアクセス用でも、RADIUS サーバーからのすべての応答を安全に検証できるようになります。 新しい RADIUS サーバーでは、[すべてのRADIUS応答にメッセージオーセンティケータを要求（Require Message-Authenticator for all RADIUS Responses）] オプションがデフォルトで有効になっています。既存のサーバーでも有効にすることを推奨します。無効にすると、ファイアウォールが攻撃にさらされる可能性があります。 新しい CLI コマンド：message-authenticator-required バージョンの制限：バージョン 7.0.7、7.2.10、7.4.3、7.6.1、または 7.7 以降が必要です。Firepower 4100/9300 の場合、FXOS のアップグレードが必要になる場合があります。最小ビルドについては、『Cisco Secure Firewall Threat Defense 互換性ガイド』を参照してください。 |
|
Firewall Threat Defense REST API バージョン 6.1（v6）。 |
ソフトウェアバージョン 7.0 の Firewall Threat Defense REST API はバージョン 6.1 です。API URL の v6 を使用するか、優先的に /latest/ を使用して、デバイスでサポートされている最新の API バージョンを使用していることを示せます。6.1 の URL バージョンパス要素は、6.0：v6 と同じであることに注意してください。 使用しているリソースモデルに変更が加えられている可能性があるため、既存のすべての呼び出しを再評価してください。リソースを表示できる API エクスプローラを開くには、Firewall Device Manager にログインして、[More options] ボタン（ |
![[その他のオプション（More options）] ボタン。](/c/dam/en/us/td/i/400001-500000/430001-440000/436001-437000/436602.jpg)
フィードバック