以下のセキュリティ製品を利用した設計や設定、機能確認、トラブルシューティングでお困りのことはありませんか？ 当 Ask Me Anything (AMA) イベントでは、現役のセキュリティ エキスパートが、皆様の質問にお答えします！
- Adaptive Security Appliances (ASA)
- Firepower Threat Defense (FTD)
- Identity Services Engine (ISE)
なお、当イベントの対象は以下とさせて頂きます。
- ASA/FTDは、FPR1000/2100/4100/9300シリーズ利用時を前提
- ISEは、バージョン 2.2以降の利用時を前提
- ハードウェア関連は対象外
当イベントは、ASAやFTD、ISE製品を利用し実現可能なファイアウォールやリモートアクセスVPN、侵入検知防御 (IPS)、AAAなどについて、エキスパートの知見を得られる良いチャンスです！ 皆様のご質問をお待ちしております。
なお、当イベントは ネットワンシステムズ株式会社 ビジネス開発本部 応用技術部様との共催となります。
このイベントに 参加するには、 
2020年の 6月1日（月）から 6月26日（金）まで質問を投稿できます。(ご好評につき期間延長しております！)
共催会社紹介
 |
ネットワンシステムズ株式会社についてネットワンシステムズ株式会社は、お客様が利用するビジネスアプリケーションを、プライベートクラウド/パブリッククラウドを包括してセキュアに支える「クラウドシステム」を提供する企業です。そのために、常に世界の最先端技術動向を見極め、その組み合わせを検証して具現化するとともに、実際に自社内で実践することで利活用ノウハウも併せてお届けしています。詳細は https://www.netone.co.jp をご覧ください。 |
エキスパート紹介
ネットワンシステムズ株式会社 ビジネス開発本部 第３応用技術部 第２チーム
セキュリティ製品担当として、Cisco Security製品の評価・検証・技術サポート業務に従事。CISSP#502642、CCIE Security#64214。第3回 シスコテクノロジー論文コンテスト 最優秀賞。
ネットワンシステムズ株式会社 ビジネス開発本部 第３応用技術部 第２チーム
セキュリティ製品担当として、主にCisco Security製品の評価・検証・技術サポート業務に従事。検証では、オンプレ環境やパブリッククラウド(AWSやAzure)環境などお客様のニーズに沿うよう考慮した形での検証を心がけています。
田中 政満 (Tanaka Masamitsu)
ネットワンシステムズ株式会社 ビジネス開発本部 第３応用技術部 第３チーム
入社以来無線LANの製品担当SEとして製品や技術の調査、検証評価、及び、提案や導入を支援する業務に従事。現在はキャンパスセキュリティや自動化に力を入れるなど、エンタープライズSDNのエンジニアとして邁進中。
**役に立ったら 「いいね！」ボタンをクリックして参加者を増やしましょう **
質問に対する回答には、是非 評価をお願いいたします。
ご返信ありがとうございます。
ADの登録方法については前回の返信に記載したURLが参考になると思いますが(登録方法はAD2012/AD2016とも同じオペレーションとなります)、
頂いた内容ですと以下3つのどれかがやりたいことなのかなと思われますので、それぞれのパターンについて解説します。
●ADのユーザアカウントを用いて認証を行いたい(ISE内部にはユーザアカウントを作らない)
認証に用いる際のAuthentication Policy(Policy Sets→Authentication Policy)の「Use」の個所を
・ALL_User_ID_Store
・登録したAD名(Enternal Identity Store→Active Directoryで設定する「Join point name」)
・ALL_AD_Join_Points
のいずれかを選択することでActiveDirectoryのユーザアカウントを利用できます。
指定したADのみからユーザ検索させたい場合、個別のADを設定するとよいかと思います。
●ADのユーザアカウントを用いてのPEAP(ADユーザ利用)と証明書でのEAP-TLS認証の2つの認証方式をISEで収容したい
上記の設定のうち、
・ALL_User_ID_Store
は証明書およびADの両方を確認する設定(正確にはISEのInternal Userも含めた、ISEが確認可能なすべてのユーザ格納場所を検索する設定)ですので、
こちらを選択するか、
Administration→Identity Management→Identity Source Sequenceにて、Sequenceを新規作成し、
a)Certificate Based Authenticationにチェックを付ける(設定は「Preloaded_certificate_profile」を選択)
b)Authentication Search Listの「Selected」に、ユーザ検索を行いたいADのみを選択する
と設定することで、指定したADのユーザアカウントと証明書のみを検索するリストを作ることができます。
作成したこのリストをAuthentication Policyの「Use」に設定することで使用できます。
●認証はEAP-TLSを利用するが、証明書のCNがADに存在するかをチェックしたい
ISEはデフォルトの設定では証明書認証は証明書の正当性(証明書の検証が成功するか)しかチェックしない仕様です。
そしてADの証明書サービスから発行されたユーザ証明書は、証明書のCommon Name(CN)はADのユーザアカウントになるのが一般的です。
この特性を利用して、証明書のCNがADに存在するかを追加でチェックするように設定することで、
ADに存在するアカウント名をCNに持った証明書のみが認証を通過できるようになります。
External Identity Source→Certificate Authentication ProfileからProfileを新規作成し、
「Identity Store」の個所にユーザ検索を行わせたいADを指定することにより、認証時にチェックが行われるようになります。
作成したこのProfileをAuthentication Policyの「Use」に設定することで使用できます。
また、解説中に登場する「ALL_User_ID_Store」「ALL_AD_Join_Points」「Preloaded_certificate_profile」のそれぞれの設定は
すべてExternal Identity Settings/Identity Source Sequence内に設定がありますので、プリセット設定の実体を確認したい場合にそれぞれ参照してみてください。
以上、よろしくお願いいたします。
はじめまして。ご相談させて頂けますと幸いです。
サイバーセキュリティ対策の一環で、不正侵入検知システム（IPS）の導入を
検討しております。まずは1台のみインラインで試験導入し、IPSに障害発生時
やメンテナンス時はもう片系に寄せることを想定しております。できればアン
チウィルス機能も併用したいと考えております。
以下のような構成（スイッチとファイアウォール間、もしくはスイッチ間）に
導入を検討しているのですが、既存の2GのLACP(イーサネット)間にFirepower
を挟み、IPSやアンチウィルス機能を利用することは問題ないでしょうか。
LACPの既存リンクにインライン構成で導入できる場合の、導入手順や設定例
で参考になるドキュメントがあれば、合わせご教示頂けますと幸いです。
また、IPS機能とAntiVirus機能を併用した場合、どの程度のパフォーマンスを見込
むのが妥当でしょうか。データシートには、FWとAVCとIPSのパフォーマンスしか
記載がないようです。。
https://www.cisco.com/c/ja_jp/products/collateral/security/firepower-2100-series/datasheet-c78-742473.html
https://www.cisco.com/c/en/us/products/collateral/security/firepower-4100-series/datasheet-c78-742474.html
お忙しいところ恐縮ですが、よろしくお願いいたします。
こんにちは。
Cisco Ask Me Anythingに、ご投稿頂き有難うございます。下記に回答させていただきます。
[質問1への回答について]
Secure Loggingを利用するには、Syslogサーバー側が SSL/TLSサーバとして動作し、ASAはSSL/TLSクライアントして動作し、共通のCAサーバーから証明書の発行を受けることが必要です。
そのため、自己証明書では実現は難しいのでは思われます。
FTD側の証明書の設定とEnrollmentの方法は以下ドキュメントが参考になるかと思います。
Syslogサーバー側のセットアップについては、恐縮ですが今回のイベントの対象外となるためお控えさせて頂ければと存じます。
https://www.cisco.com/c/en/us/td/docs/security/firepower/640/configuration/guide/fpmc-config-guide-v64/firepower_threat_defense_certificate_based_authentication.html#task_dr3_rpw_vy
また、Secure Loggingは TCP Syslog機能の一種となり、以下ドキュメントに記載のある通りパフォーマンスの大きな低下が発生するためご注意ください。
https://community.cisco.com/t5/-/-/ta-p/3161741
--------------------------------------------------------
抜粋：
FTDの Lina Syslogの TCP Logging を利用時も当制限を受けますか
はい、Firepower System の FTD の デバイスのシスログ設定は、Devices > Platform Settings > Syslog から可能ですが、FTD内部の LINA(ASA)エンジンのシスログは、当ページで紹介するシスログ設定と同機能のため 同様に制限を受けます。 TCP Syslog は非常に負荷の高い機能のため、「TCP Syslogサーバーと通信ができない場合に通信を止めたい」といった要件がある場合を除き、基本TCP Syslogの利用は控えてください。TCP Syslogを利用した場合、Sysloggingのパフォーマンスが大きく低下します。
--------------------------------------------------------
[質問2への回答について]
オンボックス管理であるFDMを利用されている場合等は、HTTPSアクセスにアクセスさせるネットワーク範囲を制御することは可能です。
その方法は、下記となります。
configure https-access-list
https://www.cisco.com/c/en/us/td/docs/security/firepower/command_ref/b_Command_Reference_for_Firepower_Threat_Defense/c_3.html#wp3607347800
しかしながら、今回は、前提でFMCをご利用のようでしたので、FTDに対してhttpsを許可する
用途は私が認識している限り無いのではないかと思っております。
[質問3への回答について]
management-access設定はデフォルトでは対応してません。
なお、ASAのCLIはFlexconfig機能を使う事でFTDに強制的に設定することも可能ですので、参考に以下手順を案内させて頂きます。
ただ、デフォルト無効なコマンドのため、当コマンドを強制で有効化した場合のトラブルのサポートは受けれなくなる可能性があると思います。
そのため、常時利用は避けたほうが良いのではないかと思います。
【手順】
① Devices --> FlexConfig にアクセスし、New Policy を作成。この際、適用先のFTDデバイスも設定
② FlexConfig Object ボタンを押す
③ Add FlexConfig Object に 任意名前と、ASAと同じコマンドを設定 (サンプル画像の場合は、management-access inside 設定)
④ User Definedフォルダに作成したObjectが表示されるため、「Selected Append Flexconfig」に追加する
⑤ 設定のSaveと対象FTDにデプロイ
デプロイ後に対象FTDの Linaにアクセスし、show run | in management コマンドで「management-access inside」設定がLINAに追加されている事を確認できます。
> system support diagnostic-cli
Attaching to Diagnostic CLI ... Press 'Ctrl+a then d' to detach.
Type help or '?' for a list of available commands.
firepower> en
Password:
firepower# show run | in management
management-only
management-access inside
Flexconfigについて詳しくは以下ドキュメントを参考ください。
https://www.cisco.com/c/ja_jp/td/docs/security/firepower/640/configuration/guide/fpmc-config-guide-v64/fpmc-config-guide-v64_chapter_0101111.html
以上、宜しくお願い致します。
