部署：Firepower 1000 系列

升级自：版本 6.4.0.x

直接至：版本 6.5.0+

版本 6.5.0 引入了适用于 Firepower 1000/2100 和 Firepower 4100/9300 系列设备的 FXOS CLI‘安全擦除’功能。

对于 Firepower 1000 系列设备，您必须在升级到版本 6.5.0+ 后重新启动设备，此功能才能正常工作。自动重启不足。其他支持的设备不需要重启电源。

部署：FMC

升级自：版本 6.2.3 至 6.4.x

直接至：仅版本 6.5.0

相关漏洞： CSCvr47499

如果您的部署使用域(多租户)，则 FMC 升级到版本 6.5.0-115（发布于 2019 年 9 月 26 日）将失败，如果在子域中，访问控制策略使用也在子域中创建的自定义网络分析策略作为默认 NAP。

如果出现以下情况，升级不会失败：

• 在子域中，访问控制策略使用在全局域中创建的自定义网络分析策略作为默认 NAP。

• 在子域中，访问控制策略在 NAP 规则中使用自定义 NAP。

在多域部署中，请使用版本 6.5.0-120（发布于 2019 年 10 月 8 日）升级软件包。

注	如果您错误地使用了版本 6.5.0-115，并且升级失败 ，请联系思科 TAC以了解解决问题的步骤并恢复升级。

部署：任意

升级自：版本 6.2.3 至 6.4.x

直接至：仅版本 6.5.0

在升级到版本 6.5.0 之前，必须确保 Firepower 设备与您用于提供时间的任何 NTP 服务器同步。不同步可能会导致升级失败。

在 FMC 部署中，如果时钟不同步超过 10 秒，时间同步状态运行状况模块会发出警报，但您仍应手动进行检查。

要检查时间，请执行以下操作：

• FMC：选择系统 > 配置 > 时间。

• 设备：使用show time CLI 命令。

部署：任意

升级自：版本 6.2.3 至 6.4.x

直接至：版本 6.5.0+

我们现在推出了思科云服务区域。您的部署的区域云用于以下功能：思科防御协调器、思科威胁响应、思科成功网络网络和思科支持诊断功能。

对于 FMC 部署，默认情况下，升级会将您分配给美国（北美）区域。您可以在系统 > 集成 > 云服务页面上更改您的区域。

对于带 FDM 的 FTD，您可以在使用智能许可注册时选择您所在的区域。如果升级已注册的设备，升级会将您分配给美国（北美）区域。要更改区域，必须取消注册并向 思科智能软件管理器(CSSM) 注册。

部署：FMC

升级自：版本 6.2.3 至 6.4.0.x

直接至：版本 6.5.0+

在版本 6.5.0+ 中，TID 阻止/监控可观察对象操作的优先级现在高于使用安全情报黑名单的阻止/监控。

如果配置了阻止TID 可观察对象操作，即使流量也与设置为阻止的安全情报黑名单匹配：

• 连接事件中的安全情报类别是 TID 阻止的变体。

• 系统会生成一个 TID 事件，其中包含被阻止的操作。

如果您配置监控TID 可观察对象操作，即使流量与设置为监控的安全情报黑名单匹配也是如此：

• 连接事件中的安全情报类别是TID 监控器的一种变体

• 系统会生成一个 TID 事件，其中包含被监控的操作。

以前，在上述每种情况下，系统通过分析报告类别，但未生成 TID 事件。

注	系统仍会像以前一样有效地处理流量。之前被阻止的流量仍被阻止，并且受监控的流量仍受到监控。这只会更改哪个组件获得‘积分’。您可能还会看到生成了更多 TID 事件。

有关同时启用安全情报和 TID 时系统行为的完整信息，请参阅《Firepower 管理中心配置指南》中的 TID-Firepower 管理中心操作优先级信息。

部署：Firepower 设备管理器

升级自：版本 6.2.3 至 6.4.x

直接至：6.5.0+

由于数据库架构更改，升级期间将删除所有历史报告数据。升级后，无法查询历史数据，也无法在仪表板中查看历史数据。

部署：任意

升级自：版本 6.2.3 至 6.4.0.x

直接至：版本 6.5.0+

思科 Talos 情报小组 (Talos) 引入了新的类别，并对信誉进行了重命名，以对 URL 进行分类和过滤。有关新 URL 类别的说明，请参阅 Talos 情报类别站点。

此外，新增的是未分类和无信誉 URL 的概念，但规则配置选项保持不变：

• 未分类的 URL 可能具有可疑的、中立的、有利的或可信的信誉。

  您可以过滤未分类的 URL，但不能通过信誉进一步限制。这些规则将匹配所有未分类的 URL，而不考虑信誉。

  请注意，没有任何类别的不受信任规则。否则，系统会将具有不可信信誉的未分类 URL 自动分配给新的恶意站点威胁类别。

• 无信誉 URL 可以属于任何类别。

  不能过滤无信誉 URL。规则编辑器中没有“无信誉”选项。但是，您可以使用任何信誉过滤 URL，包括无信誉 URL。这些 URL 也必须按类别进行约束。没有实用程序遵循任意/任意规则。

下表总结了升级的变化。尽管它们是为最小影响而设计的，但不会阻止对大多数客户进行升级后部署，但我们强烈建议您查看这些版本说明和当前的 URL 过滤配置。仔细的规划和准备可以帮助您避免失误，并减少升级后的故障排除时间。

部署：使用 FTD 的 Firepower 4100/9300

升级自：版本 6.3.0 至 6.4.0.x

直接到：版本 6.3.0.1 到版本 6.5.0

最常见的情况是在主要升级期间，但在修补过程中，配置了容器实例的 FTD 设备可能会在预检查阶段失败，并出现错误磁盘空间不足的警告。

如果发生这种情况，您可以尝试释放更多的磁盘空间。如果不起作用，请联系思科 TAC。

部署：Firepower 2100 系列、Firepower 4100/9300 机箱

升级自：版本 6.1.0 至 6.3.x

直接至：版本 6.4.0+

部署：任意

升级自：版本 6.2.3.x

直接至：版本 6.3.0+

版本 6.3.0 新功能 - 您可以通过 GUI 为 URL 过滤缓存配置超时值。要尽量减少与过时数据匹配的 URL 实例，可以将缓存中的 URL 设置为过期。如果您与思科 TAC 合作为 URL 过滤缓存指定超时值，则升级可能会更改该值。

升级完成后：

• FMC：选择 System > Integration，单击 Cisco CSI 选项卡，评估 Cached URLs Expire 设置。

• FDM：选择 System Settings > Traffic Settings > URL Filtering Preferences，评估 URL Time to Live 设置。

部署：FMC、NGIPSv

升级自：版本 6.1.0 至 6.1.0.6、版本 6.2.0 至 6.2.0.6、版本 6.2.1、版本 6.2.2 至 6.2.2.4，以及版本 6.2.3 至 6.2.3.4

直接至：版本 6.3.0+

如果是从上方列出的任一 Firepower 版本升级，无法对列出的型号运行准备情况检查。发生这种情况的原因是，准备情况检查过程与较新的升级包不兼容。

部署： Firepower 威胁防御为远程访问 VPN 配置

升级自：版本 6.2.x

直接至：版本 6.3+

版本 6.3 更改了隐藏选项的默认设置，sysopt connection permit-vpn 。升级可能导致远程访问 VPN 停止传送流量。如果发生这种情况，请采用以下任一方法：

• 创建配置 sysopt connection permit-vpn 命令的 FlexConfig 对象。此命令的新默认值是 no sysopt connection permit-vpn 。

  外部用户无法在远程接入 VPN 地址池中伪造 IP 地址，因此这种允许 VPN 流量的方法较为安全。但它的缺点是，VPN 流量得不到检测，也就是说不会对流量应用入侵和文件保护、URL 过滤或其他高级功能。

• 创建访问控制规则以允许来自远程接入 VPN 地址池的连接。

  此方法可确保对 VPN 流量进行检测，并将高级服务应用于连接。但它的缺点是，有可能造成外部用户伪造 IP 地址，进而获得访问内部网络的权限。

部署： Firepower 管理中心型号 FMC 1000、2500 和 4500

升级自：版本 6.2.0 至 6.2.3.7

直接至：版本 6.3.0+

在将 FMC1000、MC2500 或 MC4500 从版本 6.2.0 到 6.2.3.7 升级到版本 6.3.0+ 之前，必须应用预安装修复程序。或者，您也可以升级到版本 6.2.3.8 +。请勿将此修复程序应用于其他 FMC 型号或版本。

此修复程序（或补丁）将 RAID 控制器的固件更新为 24.12.1-0411 版本。如果没有更新固件，则运行版本 6.3.0+ 的受影响的升级版 FMC 可能会遇到性能问题。

注	在某些情况下，即使您运行的是受影响的版本，您的固件也可能已是最新的。在这种情况下，修复程序失败，显示错误：映像文件的版本比控制器上的版本低。控制器未刷新。如果您看到此消息，则无需此修复程序即可安全地进行升级。 要在应用修复程序之前仔细检查固件版本，请访问 FMC 上的 Linux shell （也称为专家模式）并运行以下命令： sudo storcli/c0 show | Grep "FW version"。

此修复程序可从思科支持和下载站点获取，与您主要版本的升级和安装包在同一位置。通过常规升级页面（系统 > 更新）应用热补丁。

部署：任意

升级自：版本 6.1 至 6.2.3.x

直接至：版本 6.3+

为提高安全性，在版本 6.3 中，我们更新了支持的密码和加密算法列表，以实现安全的 SSH 访问。如果由于密码错误导致 SSH 客户端无法与 Firepower 设备连接，请将客户端更新到最新版本。

部署：Firepower 管理中心

升级自：版本 6.1 至 6.2.3.x

直接至：版本 6.3+

在版本 6.3 中，安全情报配置支持应用程序检测和识别。如果在当前部署中禁用了发现，升级进程可能会再次启用它。在不需要的情况下禁用发现（例如，在仅限 IPS 的部署中）可以提高性能。

要禁用发现，您必须：

• 从网络发现策略中删除所有规则。

• 仅使用简单的、基于网络的条件执行访问控制：区域、IP 地址、VLAN 标记和端口。不要执行任何类型的应用程序、用户、URL 或地理位置控制。

• （全新）通过从访问控制策略的安全情报配置中删除所有白名单和黑名单（包括默认全局名单）来禁用基于网络和 URL 的安全情报。

• （全新）通过删除或禁用关联的 DNS 策略中的所有规则（包括 DNS 的默认全局白名单和 DNS 规则的全局黑名单）来禁用基于 DNS 的安全情报。

部署：任意

升级自：版本 6.1.0 至 6.2.3.x，使用 VDB 299+

直接至：版本 6.3.0+

如果在使用漏洞数据库 (VDB) 299 或更高版本时升级，则升级过程会出现问题，使得您在升级后无法使用 CIP 检测。这包括从 2018 年 6 月到现在发布的每个 VDB，甚至是最新的 VDB。

尽管我们一直建议您在升级后将漏洞数据库 (VDB) 更新到最新版本，但这一做法在这种情况下尤为重要。

要检查您是否受到此问题的影响，请尝试使用基于 CIP 的应用程序条件配置访问控制规则。如果在规则编辑器中找不到任何 CIP 应用程序，请手动更新 VDB。

部署：任意

升级自：版本 6.1 至 6.2.3.x

直接至：版本 6.3.0+

对于入侵变量集中的网络变量，排除的任何 IP 地址必须为包含的 IP 地址的子集。此表显示了有效和无效配置的示例。

在版本 6.3.0 之前，您可以使用此类无效配置成功保存网络变量。现在，这些配置会阻止部署并显示错误：变量集有无效的排除值。

如果发生这种情况，识别并编辑错误配置的变量集，然后重新部署。请注意，您可能必须编辑变量集引用的网络对象和组。

部署：Firepower 管理中心

升级自：版本 6.1.0 至 6.2.3.x

直接至：版本 6.3.0+

版本 6.3.0 更改并集中了系统通过系统日志记录连接和入侵事件的方式。您可以在访问控制策略中的新 Logging 选项卡上访问这些设置。

升级不会更改连接事件日志记录的现有设置。但是，您可能会突然开始通过系统日志收到预期外的入侵事件。这是因为在升级到版本 6.3.0+ 之后，入侵策略会将系统日志事件发送到新 Logging 选项卡上的目标。（在版本 6.3.0 之前，您可以在入侵策略中配置系统日志警报，以将事件发送到受管设备本身 [而非外部主机] 的系统日志。）

此外，NGIPS 设备（ASA FirePOWER、NGIPSv）发送的消息现在使用 RFC 5425 中指定的 ISO 8601 时间戳格式。