2019-01-22 03:44 PM 2019-03-22 07:30 AM 更新
複数(8台程度)のASA5525withFirePowerにIPS(Protection)ライセンスを追加し、運用しようと考えています。
FMC(FirePower Management Center)で一元管理するのが「推奨」とか「一般的」などの記述を見かけましたが、FMCがなくても複数のASAの運用に支障があるわけではないという認識でいいのでしょうか?
ライセンスの適用や管理は、ASDMでも行えるとの記載もあり、IPSなどの機能利用時にFMCの導入が必須なのか疑問に思っております。必須かどうか?もし必須でなければ、FMCを導入しなかった場合のデメリットのようなものはありますでしょうか。
2019-01-22 07:49 PM 2019-01-22 07:59 PM 更新
furuさん、こんばんは。
Firepower Systemは、元々FMCの利用を前提にしたシステムなので、FMC利用時が機能フルサポートになります。また、FMCは専用サーバなので潤沢なリソースがあり、多数のイベントの保存が可能です。逆に、ASDM管理といったローカルマネージメント方式の場合、FMC利用時に比べ、機能が削られていたり、運用上の各種デメリットがあります。
例えば以下は、バージョン 6.3の FMC利用時とASDM利用時の設定ガイドのため、ガイドの項目を比較することで機能差は確認できるかと思います。
例えば、個人的に重要だと思う、FMC・ASDM利用時の差として以下があります。どれも、中規模以上の会社の侵入検知/防御の適切な運用では非常に重要な機能だと思います。
①FMC利用時は複数デバイスを一元管理でき、また設定やパッチファイルなどもFMCで保存/管理されるため、複数デバイスの同時設定やバージョンアップが容易。設定バックアップもFMC1台でいいため簡単。 逆にASDM管理の場合は、同じ設定を適用するにしても、1台ずつ手作業で設定が必要で面倒。また設定バックアップも1台ずつ必要。。。たぶん途中で運用が嫌になります
②FMC利用時は複数デバイスの通信ログや侵入検知/防御情報を FMC 1台で管理/確認ができるので、FMCだけでシステム全体の脅威監視が可能、及び、複数拠点で問題発生時はその比較が容易。ASDM管理の場合、1台ずつログインして比較が必要、及び ばらばらに通信ログや侵入検知ログが保存されるため運用上も漏れが発生しやすくなる
③FMC利用時はFirepower Systemのプロセス障害の自動検知と通知機能であるHealth Monitor機能が利用可能。ASDMでは当機能が利用できないため、モジュールの細かな障害管理が難しい
https://www.cisco.com/c/en/us/td/docs/security/firepower/630/configuration/guide/fpmc-config-guide-v63/health_monitoring.html#ID-2227-0000001f
④FMC利用時はCorrelation Policyという、複数のコネクションや侵入イベントを分析して管理者に通知機能が使えるが、ASDMでは当機能は使えない
⑤FMC利用時はImpactFlagという、その侵入や攻撃が実際にホストに影響があるイベントかどうかの分析機能を使えるが、ASDMでは当機能は使えない (※この機能は非常に便利!)
などなど
ASDMなどのローカル管理の利用が向く環境は、どちらかというと「外部からの侵入などの不審な攻撃を止めてくればOK。 細かいログ出力や リスク分析、運用などは不要。とりあえず試しで1台だけ導入」みたいな環境向けかなぁ、と思います
逆にしっかり、侵入検知と防御のイベントを取得/監視し、問題発生時の素早い分析・対応や、複数デバイスの一元した保守管理を行うには、FMCが必要です。
2019-01-22 07:59 PM 2019-01-22 09:31 PM 更新
あと、仮にFMC利用時は、FMCは物理アプライアンス版、もしくは仮想アプライアンス版(VM)から選ぶことができます。
どちらを選ぶかは、デバイス管理数や性能、予算などにも左右されるのですが、まずはお試しFMC導入、という場合は、ESXiやvCenterの仮想環境がある場合、かつ管理デバイスが10台以下のスモーススタートの場合は、個人的には、まずはVM版の利用がおすすめです。
VM版だとスナップショットやクローン(※)、vMotionを利用でき、世代管理や 障害時の管理や復旧が楽なので。(※スナップショット/クローンはVM側機能なので、その実行時の動作保証はFMCではサポートされてないので利用は自己責任で)
また、VM版はvCenterやESXiにOVAファイルをデプロイしライセンス有効化すれば、簡単に仮想版FMCを導入可能です。
また、物理アプライアンス版に比べてハードウェア費用が発生しない分、VM版のほうが安価に利用開始できます。
FMCの比較は以下データシートなどが役に立ちます。
FMC仮想版の制限事項とかは以下。
参考になれば幸いです。
2019-01-24 03:01 PM
Akira Muranakaさん
情報ありがとうございます!参考にさせていただきます。
エキスパートの回答、ステップバイステップガイド、最新のトピックなどお気に入りのアイデアを見つけたら、あとで参照できるように保存しましょう。
コミュニティは初めてですか?これらのヒントを活用してスタートしましょう。 コミュニティの活用方法 新メンバーガイド