概要
お客様にとっての意味
シスコでは、シスコ製品のセキュリティベースラインを継続的に向上させています。今後のソフトウェアリリースでは、デフォルトの保護機能が強化され、安全性の低いレガシー機能が廃止されるとともに、新しいセキュリティ機能が追加される予定です。ほとんどの変更は新規インストールに適用されますが、現在稼働中のシステムでの対応が必要となる変更もあります。シスコは、この移行を可能な限りシームレスかつ中断なく実施するよう取り組んでいます。今後も本ページを更新し、最新のガイダンスとリソースを追加していきます。
こうした変更は継続中ですが、今すぐできることをご紹介します。
ライフサイクルのチェック
脆弱性サポート終了日（EoVSS）およびサポート終了日（LDOS）の日付に照らして製品のインベントリを作成し、最新リリースへのアップグレードを計画します。
現在の環境の強化
関連するシスコの最新の強化ガイドを適用して、攻撃対象領域を今すぐ減らし、将来の強化されたリリースへの移行を円滑化します。
安全でない機能の段階的廃止
機能の廃止
レジリエントなインフラストラクチャの基本的な考え方の一つは、使用されていない機能をデフォルトで無効化するとともに、必要な機能の明示的な有効化をお客様に求めることです。攻撃対象領域を減らし、機密データを保護するため、安全でない機能とプロトコルは特定されたシスコ製品から段階的に廃止され、最終的に削除されます。中断を最小限に抑えるため、段階的な削除戦略は以下の通り 3 段階の機能リリースで実施される予定です。
警告
安全でない主要機能を設定する際に警告が表示されます。これらの機能の使用を直ちに中止することが強く推奨されます。
制限
以降のリリースでは、安全でない主要機能はデフォルトで無効化されるか、これを有効にするには管理者による明示的なアクションが必要となります。既存の展開環境は引き続き機能しますが、新しくインストールした場合は意図的に有効化する必要があります。プラットフォームの一部の機能には制限フェーズが設けられず、数リリースにわたり警告のみが表示されてから削除される場合があります。
削除
廃止予定の機能は、将来のソフトウェアリリースから完全に削除される予定です。削除されるタイミングは、ユーザーへの影響や導入状況によって異なります（たとえば、SNMPv2 といった広く採用されている機能は、使用頻度の低い機能よりも段階的に廃止されます）。
技術情報
リスクの軽減、セキュリティ態勢の強化
安全なデフォルト設定
シスコは、攻撃対象領域を大幅に縮小し、セキュリティ態勢を強化するため、より安全なデフォルト設定を適用します。これには、Web サーバー、SNMP、ゲストシェルなどのサービスをデフォルトで無効化することが含まれます。
本ページは、製品ポートフォリオ全体でこれらの変更がリリースされると随時更新されるため、これらの変更に向けて準備する十分な時間を確保できます。
変更内容とお客様の役割について：
- 必要なサービスのみを有効化：シスコの強化ガイドで詳述されているように、本当に必要なサービスのみを有効にし、定義済みネットワークへの管理トラフィックを制限するなど、適切な保護策を適用します。直ちにセキュリティを確保するためにも、これらの対策を今すぐ実装することが不可欠です。また、将来のリリースでこれらの安全なデフォルト設定が適用された際に、アップグレードを合理化こともできます。
- ベストプラクティスの適用：強力な暗号化キーを生成すること、ログイン情報に堅牢な暗号化を使用すること、エクスプロイトされる可能性のある機能（プロキシ ARP など）を無効にすることが不可欠です。今後のリリースでは、これらやその他の重要なベストプラクティスがデフォルトで適用され、セキュリティレベルの低いオプション（脆弱な暗号化方式など）は段階的に削除されます。
- 中断の最小化：デフォルト設定の変更は主に新規インストールに適用されます。アップグレードおよびダウングレードに関する考慮事項は詳細に文書化され、コミュニケーション計画を通じて影響範囲が通知されます。
- 今すぐ準備：最も効果的な準備方法は、シスコの強化ガイドに記載されたガイダンスを今すぐ積極的に実践することです。
可視性の向上による迅速な対応
ロギングとモニタリング
お客様が攻撃者を検出し、それらに対応できるよう、このイニシアチブの取り組みでは各種製品のロギング機能とモニタリング機能が大幅に強化されます。これにより、豊富なテレメトリが生成されるため、脅威検出、フォレンジック分析、コンプライアンス監査が強化されます。
主な機能拡張は次のとおりです。
- デフォルトのロギングの変更：セキュリティ上重要なイベント（例：AAA やロギング設定などの重要な設定変更）のデフォルト設定と新しいメッセージの調整。
- ベストプラクティスに関する警告：セキュリティ上のベストプラクティスが遵守されていない場合（例：安全でない RADIUS/TACACS+ や認証されていない NTP）の新規アラートログ。
- 可視性の向上：ゲストシェル環境および低レベルの OS イベントに関するインサイトの強化。
- 安全な時刻同期：NTP を保護するための機能強化（例：Network Time Security（NTS）のサポート）による、効果的なロギングに欠かせない正確なタイムスタンプの実現。
アクセス管理の強化
デバイス認証のセキュリティ確保
TACACS+ や RADIUS などの認証プロトコルを標的とした攻撃が増加しています。MD5 や事前共有キーに依存する従来の実装は脆弱です。
これに対抗するため、シスコはデバイス認証セキュリティを大幅に強化しています
- 認証プロトコルの最新化：シスコのポートフォリオ全体に TLS 1.3 を介した TACACS+ のサポートを追加し、RADIUS トラフィックを保護するため TLS または DTLS （RadSec）の使用を推進します。これらの推進により脆弱性が解消され、運用セキュリティが強化されます。
- デバイスアクセスの強化：新機能として、SSH 経由の FIDO2 サポートと、TACACS+ での SSH 公開キー認証機能を追加。これにより、大規模環境で SSH 公開キーを利用できます。
