セキュリティ アプライアンスの概要

Firepower セキュリティ アプライアンスについて

Cisco Firepower 4100/9300 シャーシ は、ネットワークおよびコンテンツ セキュリティ ソリューションの次世代プラットフォームです。Firepower 4100/9300 シャーシ はシスコ アプリケーション セントリック インフラストラクチャ(ACI)セキュリティ ソリューションの一部であり、拡張性、一貫性のある制御、シンプルな管理を実現するために構築された、俊敏でオープン、かつセキュアなプラットフォームを提供します。

Firepower 4100/9300 シャーシ は次の機能を提供します。

  • モジュラ シャーシベースのセキュリティ システム:高いパフォーマンス、柔軟な入出力設定、および拡張性を提供します。

  • Firepower Chassis Manager:グラフィカル ユーザ インターフェイスによって、現在のシャーシ ステータスが効率良く視覚的に表示され、シャーシの機能は簡単に設定できます。

  • Firepower eXtensible オペレーティングシステム(FXOS)CLI:機能の設定、シャーシステータスのモニタリング、および高度なトラブルシューティング機能へのアクセスを行うコマンドベースのインターフェイスを提供します。

  • FXOS REST API:ユーザがシャーシをプログラムを使用して設定し、管理できます。

論理デバイスの動作方法:Firepower 4100/9300

Firepower 4100/9300 は、Firepower eXtensible Operating System(FXOS)という独自のオペレーティング システムをスーパバイザ上で実行します。オンボックスの Firepower Chassis Manager では、シンプルな GUI ベースの管理機能を利用できます。Firepower Chassis Manager を使用して、ハードウェア インターフェイスの設定、スマートライセンシング(ASA 用)、およびその他の基本的な操作パラメータをスーパバイザ上で設定します。

論理デバイスでは、1 つのアプリケーション インスタンスおよび 1 つのオプション デコレータ アプリケーションを実行し、サービス チェーンを形成できます。論理デバイスを導入すると、スーパバイザは選択されたアプリケーション イメージをダウンロードし、デフォルト設定を確立します。その後、アプリケーションのオペレーティング システム内でセキュリティ ポリシーを設定できます。

論理デバイスは互いにサービスチェーンを形成できず、バックプレーンを介して相互に通信することはできません。別の論理デバイスに到達するために、すべてのトラフィックが 1 つのインターフェイス上のシャーシから出て、別のインターフェイスに戻る必要があります。コンテナインスタンスの場合、データインターフェイスを共有できます。この場合にのみ、複数の論理デバイスがバックプレーンを介して通信できます。

サポートされるアプリケーション

次のアプリケーション タイプを使用して、シャーシに論理デバイスを展開できます。

FTD

Firepower Threat Defense は、ステートフル ファイアウォール、ルーティング、VPN、Next-Generation Intrusion Prevention System(NGIPS)、Application Visibility and Control(AVC)、URL フィルタリング、マルウェア防御などの次世代ファイアウォールサービスを提供します。

Firepower Threat Defenseは、次のいずれかのマネージャを使用して管理できます。

  • FMC:別のサーバ上で実行されるフル機能のマルチデバイス マネージャ。

  • FDM:デバイスに含まれるシンプルな単独のデバイスマネージャ。

  • CDO:クラウドベースのマルチデバイスマネージャ。

ASA

ASA は、高度なステートフル ファイアウォールと VPN コンセントレータの機能を 1 つの装置に組み合わせたものです。次のいずれかのマネージャを使用して ASA を管理できます。

  • ASDM:デバイスに含まれるシンプルな単独のデバイス マネージャ。

  • CLI

  • CDO:クラウドベースのマルチデバイスマネージャ。

  • CSM:別のサーバー上のマルチデバイスマネージャ。

Radware DefensePro (デコレータ)

Radware DefenseProvDP)をインストールし、デコレータアプリケーションとして ASA または Firepower Threat Defense の目の前で実行することができます。vDP は、Firepower 4100/9300 に分散型サービス妨害(DDoS)の検出と緩和機能を提供する KVM ベースの仮想プラットフォームです。ネットワークからのトラフィックは、ASA または Firepower Threat Defense に到達する前に、まず vDP を通過する必要があります。

Firepower Chassis Manager の概要

FXOS は、プラットフォーム設定やインターフェイスの構成、デバイスのプロビジョニング、およびシステム ステータスのモニタリングを簡単にする Web インターフェイスを提供します。ユーザ インターフェイスの上部にあるナビゲーション バーを使用すると次の項目にアクセスできます。

  • 概要:[概要(Overview)] ページでは、シャーシのステータスを簡単にモニターできます。詳細については、シャーシ ステータスのモニタリングを参照してください。

  • インターフェイス:[インターフェイス(Interfaces)] ページでは、シャーシにインストールされたインターフェイスのステータスを表示したり、インターフェイス プロパティを編集したり、インターフェイスを有効または無効にしたり、ポート チャネルを作成したりできます。詳細については、インターフェイス管理を参照してください。

  • Logical Devices:[Logical Devices] ページから、論理デバイスを作成、編集、削除できます。既存の論理デバイスの現在のステータスを表示することもできます。詳細については、論理デバイスを参照してください。

  • セキュリティ モジュール/セキュリティ エンジン:[セキュリティ モジュール/セキュリティ エンジン(Security Modules/Security Engine)] ページから、セキュリティ モジュール/エンジンのステータスを表示し、電源の再投入、再初期化、確認応答、解放などのさまざまな機能を実行できます。詳細については、セキュリティ モジュール/エンジン管理を参照してください。

  • プラットフォーム設定:[プラットフォーム設定(Platform Settings)] ページでは、日付と時刻、SSH、SNMP、HTTPS、AAA、syslog、DNS のシャーシ設定を行うことができます。詳細については、プラットフォーム設定を参照してください。

  • システム設定:[システム(System)] メニューでは、次の設定を管理できます。

    • ライセンス:[ライセンス(Licensing)] ページでは、Smart Call Home 設定を行ったり、シャーシをライセンス認証局に登録したりできます。詳細については、ASA のライセンス管理を参照してください。

    • 更新:[更新(Updates)] ページでは、プラットフォームバンドルやアプリケーションのイメージをシャーシにアップロードできます。詳細については、イメージ管理を参照してください。

    • ユーザ管理:[ユーザ管理(User Management)] ページでは、ユーザ設定を行ったり、Firepower 4100/9300 シャーシ のユーザ アカウントを定義したりできます。詳細については、User Managementを参照してください。

シャーシ ステータスのモニタリング

[Overview] ページから、Firepower 4100/9300 シャーシのステータスを簡単にモニタできます。[概要(Overview)] ページには、次の要素が表示されます。

  • [デバイス情報(Device Information)]:[概要(Overview)] ページの上部には、Firepower 4100/9300 シャーシについての次の情報が表示されます。

    • [シャーシ名(Chassis name)]:初期設定時にシャーシに割り当てられた名前を表示します。

    • [IP アドレス(IP address)]:初期設定時にシャーシに割り当てられた IP アドレスを表示します。

    • [Model]:Firepower 4100/9300 シャーシ のモデルを表示します。

    • [Version]:シャーシ上で実行されている FXOS のバージョンを示します。

    • [動作状態(Operational State)]:シャーシの動作可能ステータスを示します。

    • [シャーシの稼働時間(Chassis uptime)]:システムが最後に再起動されてからの経過時間を表示します。

    • [Shutdown] ボタン:Firepower 4100/9300 シャーシをグレースフル シャットダウンします(Firepower 4100/9300 シャーシの電源オフを参照)。


      (注)  


      [セキュリティモジュール/セキュリティエンジン(Security Modules/Security Engine)] ページから セキュリティ モジュール/エンジンの電源をオン/オフできます(セキュリティモジュール/エンジンの電源オン/オフを参照)。


    • [再起動(Reboot)] ボタン:Firepower 4100/9300 シャーシをグレースフル シャットダウンします(Firepower 4100/9300 シャーシ の再起動を参照)。

    • [Uptime Information] アイコン:アイコンにカーソルを合わせると、シャーシおよびインストールされているセキュリティ モジュール/エンジンの稼働時間を表示します。

  • [Visual Status Display]:[Device Information] セクションの下にはシャーシが視覚的に表示されて、搭載されているコンポーネントとそれらの全般ステータスを示します。[Visual Status Display] に表示されるポートにカーソルを合わせると、インターフェイス名、速度、タイプ、管理状態、動作状態などの追加情報が表示されます。複数のセキュリティ モジュール搭載モデルでは、[Visual Status Display] に表示されるポートにカーソルを合わせると、デバイス名、テンプレート タイプ、管理状態、動作状態などの追加情報が表示されます。当該セキュリティ モジュールに論理デバイスがインストールされている場合は、管理 IP アドレス、ソフトウェア バージョン、論理デバイス モードも表示されます。

  • Detailed Status Information:[Visual Status Display] の下に表示されるテーブルで、シャーシの詳細なステータス情報を含みます。ステータス情報は、[障害(Faults)]、[インターフェイス(Interfaces)]、[デバイス(Device)]、[ライセンス(License)]、および [インベントリ(Inventory)] の 5 つのセクションに分かれています。これらの各セクションの概要をテーブルの上に表示できます。さらに確認する情報の概要エリアをクリックするとそれぞれの詳細を表示できます。

    システムは、シャーシについての次の詳細ステータス情報を提供します。

    • [障害(Faults)]:システム内で生成された障害を一覧表示します。これらの障害は、[Critical]、[Major]、[Minor]、[Warning]、[Info] の重大度によってソートされます。一覧表示された障害ごとに重大度、障害の説明、原因、発生回数、最近発生した時刻を表示できます。また、障害が確認されているかどうかも確認できます。

      障害についての追加情報を表示したり、障害を確認するには、該当する障害をクリックします。複数の障害を確認するには、確認する各障害の横にあるチェックボックスを選択して、[Acknowledge] をクリックします。複数の障害の選択と選択解除をすばやく切り替えるには、[Select All Faults] ボタンと [Cancel Selected Faults] ボタンを使用できます。


      (注)  


      障害の根本原因に対処すると、その障害は次のポーリング間隔中にリストから自動的にクリアされます。特定の障害に対処する場合、現在処理中であることが他のユーザにわかるように、その障害を確認済みにすることができます。


    • [Interfaces]:システムにインストールされているインターフェイスが表示されます。[All Interfaces] タブにインターフェイス名、動作状態、管理状態、受信したバイト数、送信したバイト数が表示されます。[ハードウェア バイパス] タブには、 Firepower Threat Defenseアプリケーションのハードウェア バイパス機能でサポートされるインターフェイス ペアだけが表示されます。各ペアについて、動作状態が表示されます(disabled:このペアで ハードウェア バイパスは構成されていない、standby:ハードウェア バイパスは構成されているが、現在アクティブではない、bypass:ハードウェア バイパスでアクティブ)。

    • [デバイスおよびネットワークインスタンス(Devices & Network Instances)]:システムに設定されている論理デバイスを表示し、各論理デバイス(バー上でカーソルを合わせる)に次の詳細情報を提供します。デバイス名、ステータス、イメージバージョン、管理 IP アドレス、およびコア数ページの下部では入力 VLAN グループエントリ使用率とスイッチ転送パスエントリ使用率も確認できます。

    • [ライセンス(License)]:(ASA 論理デバイスの場合)スマート ライセンスが有効化になっているかどうかを表示し、Firepower ライセンスの現在の登録ステータスおよびシャーシのライセンス認可情報を示します。

    • [Inventory]:シャーシに搭載されているコンポーネントをリスト表示し、それらのコンポーネントの関連情報(コンポーネント名、コアの数、設置場所、動作ステータス、運用性、キャパシティ、電源、温度、シリアル番号、モデル番号、製品番号、ベンダー)を示します。


(注)  


電源の冗長化が実装されている場合は、FXOS の電源の冗長化に関連する設定を変更しないでください。