機能

説明

SecureX から XDR への移行

SecureX は、機能強化され、より堅牢になったプラットフォームである XDR（Extended Detection and Response）に移行しています。この移行の一環として、XDR を Cisco Secure Web Appliance と統合することが不可欠です。Cisco Secure Web Appliance と Cisco XDR を統合させることで、測定可能な分析情報を提供し、目標とする結果とこれまでにないチーム間コラボレーションを実現します。Cisco XDR は、セキュリティ インフラストラクチャの可視性を統一し、自動化を実現します。また、インシデント対応ワークフローの加速化と脅威検出の強化を図ります。 Cisco Secure Web Appliance を XDR と統合する方法の詳細については、ユーザーガイドの「Integration」の章にある「Integrating with Cisco XDR」のトピックを参照してください。

機能	説明
Cisco Secure Web Appliance 向けの M6 ハードウェアの導入	AsyncOS 15.2 リリースでは、Cisco Secure Web Appliance 向けの M6 ハードウェアが導入されています。次のハードウェアモデルがサポートされています。 S196 S396 S696 S696F 詳細については、『Cisco Web セキュリティアプライアンス S196、S396、S696、および S696F スタートアップガイド』および『Cisco Web セキュリティアプライアンス S196、S396、S696、および S696F ハードウェア設置ガイド』を参照してください。
Cisco Secure Web Appliance の必須スマートライセンス	AsyncOS 15.2 以降のリリースでは、スマート ソフトウェア ライセンスは必須です。スマートライセンスの導入には、次の機能が含まれます。 Cisco Secure Web Appliance イメージを Cisco.com からインストールした場合、スマートライセンスはデフォルトで有効になります。 システム管理者がデバイスのスマート ソフトウェア ライセンスを有効にしていない場合、AsyncOS 15.2 ビルドにアップグレードできません。 AsyncOS 15.2 以降のリリースでは、従来のライセンスコマンドと UI オプションはサポートされていません。これらのコマンドと UI オプションは、Cisco スマートライセンスポリシーでは無効です。 詳細については、『Smart Software Licensing』を参照してください。
Cisco Umbrella との Cisco Secure Web Appliance の統合	Cisco Umbrella と Cisco Secure Web Appliance の統合により、Cisco Umbrella から Cisco Secure Web Appliance への共通 Web ポリシーの展開が容易になります。また、Cisco Umbrella ダッシュボードを使用してポリシーを設定したり、ログを表示したりできます。 Cisco Umbrella ダッシュボードで共通 Web ポリシーを設定すると、ポリシーは Cisco Secure Web Appliance にプッシュされます。設定したこれらの Web ポリシーのレポートデータは Cisco Umbrella に送り返され、Cisco Umbrella ダッシュボードで使用できます。レポートデータには、参照された URL、その IP アドレス、URL が許可されたかブロックされたかなどの情報が含まれます。 統合が成功すると、次の Web ポリシーが変換され、Cisco Umbrella から Cisco Secure Web Appliance にプッシュされます。
	Cisco Umbrella から	Cisco Secure Web Appliance へ
	ルールセット アイデンティティ	グローバル識別プロファイル
	接続先リスト	カスタムおよび外部 URL カテゴリ
	Web ポリシー（ルール）	アクセス ポリシー（Access Policies）
	HTTPS 検査	復号ポリシー
	Microsoft 365 の互換性	カスタムおよび外部 URL カテゴリ
	ルールセットのブロックされているページの設定	ユーザ通知（End-User Notification）
	アプリケーション設定（CASI）	アプリケーション アクセス ポリシー
	詳細については、「Integrate Cisco Secure Web Appliance with Cisco Umbrella」を参照してください。

（注）	AsyncOS 15.2 は連邦情報処理標準（FIPS）モードをサポートしていないため、FIPS モードを有効にした状態で AsyncOS 15.2 にアップグレードすることは推奨しません。

• Cisco Secure Web Appliance は、継続的なアップデートでデータサブスクリプションをサポートするために ISE pxGrid ノードと通信します。セカンダリ ISE pxGrid ノード（サーバー）の指定はオプションです。CLI で iseconfig->removeisenodedetails コマンドを使用すると、セカンダリ ISE pxGrid ノードを削除できるようになりました。

• AsyncOS 15.2.0-164 へのアップグレード時：

  • SWA S396 モデルでは高パフォーマンスモードを有効にできます。

  • SWA S696 モデルのプロキシインスタンスが 3 から 5 に増加します。

  アプライアンスが高パフォーマンスモードになっている場合、次のスキャンエンジンは S396 モデルでは 2 インスタンス、S696 モデルでは 5 インスタンスとして複製されます。

  • Sophos

  • Mcafee

  • Merlin

  • AVC

  • アーカイブスキャン

  • AMP

  （注）	S396 アプライアンスでは [高パフォーマンス（High Performance）] を有効にすることを推奨します。高パフォーマンスを有効にするには、CLI コマンド advancedproxyconfig > highperformance を使用します。

• Cisco SecureX、Cisco Cognitive Threat Analysis（CTA）、および Cisco Cloudlock は、AsyncOS 15.2 で廃止されています。AsyncOS 15.2 にアップグレードすると、これらの機能が無効になり、Cisco Secure Web Appliance GUI から有効にすることはできなくなります。

• Cisco Secure Web Appliance のデータセンター アーキテクチャ（DCA）機能は、AsyncOS 15.0 GD のリリースに伴い無効になりました。今後のリリースではサポートされなくなります。したがって、有効にすることは推奨しません。

• Data 1 および Data 2 インターフェイスはサポートされていません。代わりに、P1 インターフェイス、P2 インターフェイス、またはその両方を使用できます。M2、Data 1、Data 2 インターフェイスのオプションは、etherconfig CLI では使用できません。

次に、このリリースの既知の動作を示します。

Cisco Secure Web Appliance AVC または ADC エンジンの既知の制限事項：アプリケーションが ADC/AVC でブロックされるように設定されている場合、アプリケーションのすべてのサブカテゴリもブロックされます。特定のサブカテゴリは詳細なゲイン制御機能を使用してブロックできますが、この機能は smugmug、Facebook、LinkedIn などの特定のアプリに限定されます。

Secure Web Appliance と Umbrella の統合 - ハイブリッドポリシーの既知の動作

• デフォルトでは、Secure Web Appliance の Umbrella 設定のソースインターフェイスは [管理（Management）] に設定されています。ソースインターフェイスを [データ（Data）] に変更するには、ハイブリッドポリシーを有効にする前に、変更を送信してコミットする必要があります。

• ハイブリッドポリシーは、ルールアクションの [許可（Allow）]、[ブロック（Block）]、および [警告（Warn）] でサポートされています。

• 変換は、コンテンツカテゴリ、接続先リスト、アプリケーションでサポートされています。

• AD ユーザー、AD グループ、およびパブリックネットワークに関連付けられた内部ネットワークの変換がサポートされています。

• Secure Web Appliance では、1 つのグローバルな Umbrella がプッシュした識別プロファイルが常に使用可能です。

• Secure Web Appliance の管理者によって設定されたポリシーは、Umbrella からのポリシープッシュに従って優先されます。

• 登録済みアプライアンスページでポリシープッシュが有効になっている場合、Umbrella で設定されたポリシーは、Umbrella に登録されているすべての Secure Web Appliance にプッシュされます。

• Cisco Umbrella によってプッシュされた復号ポリシーでは、Web ベースのレピュテーションスコア（WBRS）は無効になります。

• Umbrella によってプッシュされた復号ポリシーは、デフォルトでは [複合（Decrypt）] アクションに設定されています。

• [エンドユーザー通知（End-User Notification）] ページは、グローバル設定として Secure Web Appliance で常に有効になります。

• Secure Web Appliance では、[エンドユーザー通知（End-User Notification）] ページは、Umbrella の最初のルールセットで最初に選択されたブロックページにのみ設定されます。

• 最初のルールセットの選択されたブロックページの外観の変更は、3 時間ごとに変換されます。

• Umbrella によってプッシュされた識別プロファイルと顧客カテゴリでは、これらのプロファイルまたはカテゴリが Umbrella から削除されると、管理者が設定したポリシーは Secure Web Appliance 側から無効になります。

• Cisco Umbrella 組織への Cisco Secure Web Appliance 登録は、特定の組織に割り当てられたシート数に制限されています。これは、Cisco Umbrella ユーザーインターフェイスの次のパスに表示されます。[管理者（Admin）] > [ライセンス（Licensing）] > [シート数（Number of seats）]。

• Umbrella ORG に登録されている場合は、SMA ポリシーを Secure Web Appliance にプッシュできません。

• Umbrella に統合された内部ネットワークと AD がない場合、Umbrella はプロファイル、ポリシー、およびカスタム URL カテゴリを Secure Web Appliance にプッシュできません。

• 登録およびハイブリッドサービスの有効化に使用された API キーが期限切れの場合、Umbrella でハイブリッドポリシーまたは登録された Secure Web Appliance を再度有効にするまで、接続が閉じられません。

• 次の Umbrella ルール設定は、ハイブリッド ポリシー プッシュではサポートされていません：[ルールスケジューリング（Rules Scheduling）] および [保護バイパス（Protected Bypass）]

• Secure Web Appliance が Umbrella によって管理されている場合、Secure Web Appliance にプッシュされた SMA ポリシーは受け入れられません。

• 設定の保存と読み込みの機能が、Umbrella の設定では機能しません。

• 次のルールセット設定では、変換はサポートされていません。

  • ルールセット アイデンティティ - Chromebook、G Suite OU、G Suite ユーザー、トンネル、ローミングコンピュータ、内部ネットワークのすべてのトンネル

  • テナント制御

  • ファイル分析

  • ファイルタイプ制御

  • HTTPS インスペクション - 選択的復号リストのアプリケーションのみ

  • PAC ファイル

  • SafeSearch

  • ルールセットロギング

  • SAML

  • セキュリティ設定

• Secure Web Appliance の HTTPS プロキシまたは AD レルムに加えられた変更は、Umbrella ポリシーには影響しません。

• アプリケーション設定（CASI）変換

  • ルールで選択したアプリケーション設定は、Secure Web Appliance の [セキュリティサービス（Security Services）] > [使用許可コントロール（Acceptable Use Control）] で ADC が有効になっている場合にのみ変換され、Secure Web Appliance のアクセスポリシーにプッシュされます。

  • ルールでアプリケーションを選択すると、選択したアプリケーションのドメインを含むカスタム URL カテゴリがそのルールにプッシュされます。これと同じカテゴリのカスタム URL が、アクセスポリシーの [URL フィルタリング（URL Filtering）] セクションで選択され、アクションとして [モニター（Monitor）] が選択されます。

  • Secure Web Appliance で使用可能で、Umbrella では使用できないアプリケーションは、グローバル設定アクションを継承します。Umbrella で使用可能で、Secure Web Appliance で使用できないアプリケーションは無視されます。

  • Secure Web Appliance では、ルール内で選択されていないアプリケーションはグローバル設定を継承します。

• 選択的ポリシープッシュ

  • Umbrella Web ポリシーは、ハイブリッドポリシーの状態が [アクティブ（Active）] で、ポリシープッシュが有効になっている場合にのみ、登録済みの Secure Web Appliance にプッシュされます。

• Umbrella UI エラーメッセージ

  • 最後のポリシープッシュの失敗に関するエラーメッセージは、[登録済みアプライアンス（Registered Appliance）] ページに表示されます。最大文字数は 1024 文字です。

• Umbrella プッシュポリシーのクリーンアップ

  • Umbrella によってプッシュされたポリシーがクリーンアップされると、管理者が設定したすべてのポリシーが無効になります。

Secure Web Appliance と Umbrella の統合 - ハイブリッドレポートの既知の動作

• Secure Web Appliance のハイブリッドレポート機能は、ハイブリッドポリシーが有効になっている場合にのみ有効にできます。

• Secure Web Appliance は、Umbrella が設定したポリシーレポートデータを Umbrella ダッシュボードに送信します。

• ローカルレポートディスク容量の約 25 % がハイブリッドレポートデータの保存に使用され、Umbrella にプッシュされます。

• Secure Web Appliance がレポートデータを Umbrella にプッシュしない場合、後でデバッグするためにそれらのレポートデータのみをディスクに保存します。

• Secure Web Appliance は、その SWA に対する選択的ポリシープッシュが無効になった後でも、Umbrella ポリシーによって評価されたレポートデータを送信し続けます。ルールが Umbrella ポリシーから削除されている場合、Umbrella ポリシー レポート ダッシュボードには、それらのレコードの削除されたルールが表示されることがあります。

このリリースでは、次の既知の制限事項があります。

Cisco Secure Web Appliance と Cisco Umbrella の統合 - ハイブリッドポリシーの既知の制限事項

• 次のシナリオでは、ポリシー変換がトリガーされません。

  • ルールセットの名前の変更。

  • ルールで選択された接続先リストの名前の変更。

  • ルールで選択されたアプリケーションリストの名前の変更。

  • HTTP インスペクション中に選択された選択的復号リストの名前の変更。

  • HTTPS インスペクションに使用される選択的復号リストのカテゴリの追加または削除。

  • HTTPs インスペクションでの、カテゴリのみを含む選択的復号リストの選択。

  • ルールセットまたはルールの AD ユーザーまたはグループの追加または削除。

  • Umbrella ダッシュボードの AD の統合または削除。

• ルールセット アイデンティティが複数のルールセットで同じである場合、同じアイデンティティの最初のルールセットのみが、一貫して HTTPS インスペクション設定を変換します。

• エンドユーザー通知の [カスタム URL へのリダイレクト（Redirect to Custom URL）] テキストボックスの形式で、整形式のホスト名または IPV4 アドレスのみがサポートされます。Umbrella のブロックページで構成された他の URL 形式を Secure Web Appliance にプッシュすると、ポリシープッシュが失敗し、次のエラーメッセージが表示されます。「http/https の URL は適切なホスト名または IPv4 アドレスで構成されていなければなりません。任意でポート番号を含めることはできますが、クエリ文字列（'?...'）は含めないでください。'コード'：'400'、'説明'：'400 = 不正なリクエスト構文またはサポートされていないメソッド'。（An http/https URL must consist of a well-formed hostname or IPv4 address, may optionally include a port, but may not contain a querystring ('?...').'.", 'code': '400', 'explanation': '400 = Bad request syntax or unsupported method.'）」

• ルールセットで AD グループが選択されていて、ルールが一致しない場合、そのルールに対してアクセスポリシーが作成されません。

• Umbrella から Secure Web Appliance にプッシュされる復号ポリシーについて、選択的復号リストで選択されたカテゴリとドメインがパススルーに設定されます。定義済みおよびカスタムの URL カテゴリの場合、Secure Web Appliance でアクセスポリシーは適用されませんが、ルールは Umbrella の同じ設定に適用されます。

• Umbrella で Microsoft 365 互換性が有効になっている場合、Umbrella から Secure Web Appliance にプッシュされる復号ポリシーがパススルーに設定されます。その結果、Microsoft 365 エンドポイントのすべてのカテゴリでパススルーが有効になります。

• 信頼できる AD が Secure Web Appliance で設定されておらず、この AD に対して Umbrella レベルでグループが選択されている場合、Secure Web Appliance レベルで設定する必要があることを示すエラーメッセージが表示されます。

• ルールセットとルールで異なるマスクを持つネットワークが選択されている場合、変換はサポートされません。

• ルール全体で多数のアプリケーションが選択されている場合、Secure Web Appliance のパフォーマンスが影響を受けます。

• 冗長な設定を避けるために、ルールで個々のアプリケーションを選択するのではなく、アプリケーションリストを使用することをお勧めします。

Cisco Secure Web Appliance と Cisco Umbrella の統合 - ハイブリッドレポートの既知の制限事項

• 次のイベントが発生した場合、AD ユーザーを Cisco Umbrella 発信元 ID にマッピングできないことがあります。

  • 新しい AD ユーザーが最後のポリシープッシュ後に Cisco Umbrella ポリシーで明示的に設定されていない場合。

  • UPN DB の作成がまだ進行中の場合。UPN DB の作成は、Cisco Umbrella 組織で使用可能なユーザーの数によって異なります。たとえば、10000 ユーザーには 30 秒必要です。

  • AD ユーザー名に括弧が含まれている場合、実際の AD ユーザーがダッシュボードに表示されないことがあります。

  （注）	このタイプのイベントは、Secure Web Appliance の発信元 ID によって識別されます。

• フィルタリングのサポート

  • Secure Web Appliance ベースのフィルタリングでは、外部 IP アドレスのみがサポートされます。

  • 同じ管理 IP アドレスを持つ同じ組織（異なる場所）の Secure Web Appliance は、結合されたレポートデータになります。

  • LDAP/ISE/ゲストベースのアイデンティティの場合、Secure Web Appliance AD のユーザーベースのアイデンティティはサポートされていません。

• 場合によっては、レポートエントリが重複または失われることがあります。

• ハイブリッドレポートを有効または無効にすると、レポートされたヘルパーでアプリケーション障害が発生します。

（注）	アップグレード中は、デバイス（キーボード、マウス、管理デバイス（Raritan）など）をアプライアンスの USB ポートに接続しないでください。

次のバージョンから AsyncOS 15.2.1-011 バージョンにアップグレードできます。

12.5.1-011 12.5.1-043 12.5.2-011 12.5.3-006 12.5.4-005 12.5.4-011 12.5.5-004 12.5.5-008 12.5.6-008 12.7.0-033

14.0.1-053 14.0.2-012 14.0.3-014 14.0.4-005 14.0.5-007 14.1.0-041 14.1.0-047 14.5.0-498 14.5.0-537 14.5.0-673 14.5.1-016 14.5.2-011 14.5.3-033 14.6.0-108

15.0.0-302 15.0.0-322 15.0.0-355 15.0.0-608 15.0.0-612 15.0.1-004 15.1.0-287 15.2.0-116 15.2.0-164

（注）	アップグレード中は、デバイス（キーボード、マウス、管理デバイス（Raritan）など）をアプライアンスの USB ポートに接続しないでください。

次のバージョンから AsyncOS 15.2.0-164 バージョンにアップグレードできます。

11.8.4-004

12.0.1-334 12.0.2-004 12.0.2-012 12.0.3-005 12.0.3-007 12.0.3-503 12.0.4-002 12.0.5-011 12.5.1-011 12.5.1-043 12.5.2-011 12.5.3-006 12.5.4-005 12.5.4-011 12.5.5-004 12.5.5-008 12.5.6-008 12.7.0-033

14.0.1-053 14.0.2-012 14.0.3-014 14.0.4-005 14.0.5-007 14.1.0-041 14.1.0-047 14.5.0-498 14.5.0-537 14.5.0-673 14.5.1-016 14.5.2-011 14.6.0-108

15.0.0-302 15.0.0-322 15.0.0-355 15.1.0-287 15.2.0-116

このセクションの要件は AsyncOS 8.8 で導入されました。

次のセキュリティ脆弱性は、アプライアンスに存在する場合、アップグレード中に修正されます。

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20150625-ironport

（注）	このパッチは、2015 年 6 月 25 日より前にダウンロードまたはアップグレードされた仮想アプライアンス リリースにのみ必要です。

アップグレード前にこの問題を修正しなかった場合は、修正されたことを示すメッセージがアップグレード中に表示されます。このメッセージが表示された場合、アップグレード後にアプライアンスを完全な動作順序に戻すには次のアクションを実行する必要があります。

• SSH ユーティリティの既知のホスト リストから、アプライアンスの既存のエントリを削除します。新しいキーが作成されたら、ssh 経由でアプライアンスに接続し、接続を承認します。

• SCP プッシュを使用して、リモートサーバ（Splunk を含む）にログを転送する場合は、リモートサーバからアプライアンスの古い SSH ホストキーをクリアします。

• 展開に Cisco コンテンツ セキュリティ管理アプライアンスが含まれている場合は、そのアプライアンスのリリース ノートに記載されている重要な手順を参照してください。

複数のコンテンツ セキュリティ アプライアンス（Web、電子メール、または管理）を展開しており、組織内の任意のアプライアンスからアップロードされたすべてのファイルについてクラウド内の詳細なファイル分析結果を表示する場合は、アップグレード後に各アプライアンスでアプライアンス グループを設定する必要があります。アプライアンスグループを設定するには、「File Reputation Filtering and File Analysis」を参照してください。

複数のコンテンツ セキュリティ アプライアンス（Web、電子メール、または管理）を展開しており、組織内の任意のアプライアンスからアップロードされたすべてのファイルについてクラウド内の詳細なファイル分析結果を表示する場合は、アップグレード後に各アプライアンスでアプライアンス グループを設定する必要があります。アプライアンスグループを設定するには、「File Reputation Filtering and File Analysis」を参照してください。

AsyncOS 8.8 でファイル分析クラウドサ ーバの URL が変更されました。その結果、分析可能なファイルタイプがアップグレード後に変更された可能性があります。変更がある場合は、アラートが表示されます。分析用に選択したファイルタイプを確認するには、[セキュリティサービス（Security Services）] > [マルウェア対策およびレピュテーション（Anti-Malware and Reputation）] を選択し、Advanced Malware Protection の設定を確認します。

正規表現のパターンマッチング エンジンにアップグレードすると、システムの更新後に既存のパターン定義でエスケープされていないドットに関するアラートが表示されることがあります。ドットの後に 64 文字以上を返すパターン内のエスケープされていないドットは、Velocity パターンマッチングエンジンによって無効化され、その影響についてのアラートがユーザーに送信されます。パターンを修正または置換するまで、更新のたびにアラートは送信され続けます。一般に、長い正規表現内のエスケープされていないドットは問題を引き起こす可能性があるため、避ける必要があります。

シスコ アカウントを持っていない場合は、登録します。https://identity.cisco.com/ui/tenants/global/v1.0/enrollment-ui に移動します。