FTD: Dynamic Attribute Feeds を利用した、動的なクラウドアクセス管理

Taisuke Nakamura · ‎2024-04-17

はじめに
構成概要
FMC・FTDの設定
FMC・FTDの動作確認
参考情報

はじめに

Firewall Management Center (FMC) 7.4から、FMC単体で Offcie 365 や AWS、Azure、Google Cloudなどから動的IPアドレスを自動学習し、 Access Control Policy (ACP)で制御が可能になりました。

本ドキュメントでは、Office 365 クラウドの動的IPアドレスの自動学習と、学習した情報(Dynamic Object)を利用したルール設定と動作確認方法について紹介します。本ドキュメントでは、FPR1010 の Firewall Threat Defense (FTD) バージョン 7.4.1と、FMCv バージョン 7.4.1 を利用し確認、作成しております。

AWSや Azure、Google Cloud などへの接続方法は、FMC7.4: Cisco Secure Dynamic Attributes Connector を参照してください。

構成概要

1. Office 365から動的IPアドレス情報をFMCが学習。学習は30秒間隔
2. 学習したIP情報(Dynamic Object)をFTDに自動でプッシュ（注：手動デプロイは不要）
3. 内部からOffice 365通信が発生時に、学習したIP情報を利用し自動許可もしくは拒否

FMC・FTDの設定

Integration > Dynamic Attributes Connector にアクセス

以下は Dashboardのデフォルト設定画面

Dashboard画面で Webexの上の「Connector」ボタンをクリックし、＋ボタンから「Office 365」を選択

Office 365 Connector 設定がポップアップするため、任意名称をつけたあと「Test」を実施

※Microsoft 365 IP/URL配布サーバーのURLはコチラから確認。通常は上記デフォルト値で問題なし

接続・学習できる場合は「Test connection succeeded」と表示を確認してから「Saveをクリック」。逆に接続できない場合は、FMCからインターネットへのアクセス設定や通信経路でブロックされていないか確認

Dashboardに Office 365 Feed が追加され Active となることを確認。なお、Feedは30秒ごとに自動更新

学習したIP情報は Dynamic Objectに保存される。 Objects > Object Management > External Attributes > Dynamic Object から学習状況を確認

"Show mapped IPs"アイコンをクリックすると学習したIP一覧を確認可能。例えば以下は、学習したSkypeのグローバルIP一覧。Download ボタンをクリックで学習したIP一覧のテキストダウンロードも可能

Skype宛のIPを自動許可するルールを設定したい場合、Policies > Access Control に移動し任意ルールを選択

Add Ruleから、 Dynamic Attributes から「o365_Worldwide_Skype」を選択し、Destination（宛先）に設定し、許可ルールをアプライ

設定したルールを確認し、「Save」と任意FTDデバイスへの「Deploy（展開）」を実施

FMC・FTDの動作確認

試験端末でSkypeを起動し、「Echo/Sound Test Service」にコール試験など実施。その後、Analysis > Unified Eventから、「Skype Allow」ルールで許可されていることを確認

参考情報

Cisco Secure Firewall (FTD) - How To

FMC7.4: Cisco Secure Dynamic Attributes Connector

atsukane · ‎2024-10-18

現在CSDACのテストを行っておりますが、Generic Textのコネクターを追加する場合、JSONフォーマットのフィードはサポートされていないという理解で間違いないでしょうか？
例としてはZscalerが公開しているhub IP rangeでのDynamic Objectが作成できれば便利だと思い、以下URLでコネクターを作成した場合、Testはうまく完了するのですが、オブジェクトの作成がされません（https://config.zscaler.com/api/zscloud.net/hubs/cidr/json/recommended）
コネクターの名前Generic Textの通り、フィードはテキスト形式のみのサポートで間違いないかご確認いただけますか？
また、今後JSONのサポートなどされる予定があるか、併せてご確認いただければ幸いです。

Taisuke Nakamura · ‎2024-10-21

atsukane さん、こんにちは！

FMCに内蔵されている Cisco Secure Dynamic Attributes (CSDAC) ですが、現時点ですと JSON や、Zscaler HUB IP Range のサポートは確認できませんでした。また、直近でこれらがサポートされる計画もございません。

そのため、現時点では、Dynamic Object に手動で Zscaler HUB IP を登録し運用が現実的かと思います。

また、新機能の確認や実装依頼は弊社アカウントチーム経由で開発チームに実施も可能ですので、直接、もしくはシスコパートナー様経由で実装依頼をして頂ければ、今後サポートされるようになるかもしれません。 CSDAQは現在もアップデートが盛んで、接続可能先もどんどん増えているため、今後、追加実装される可能性が十分ございます。

FMC 最新バージョンのサポートされるExternal Connectorsは以下ドキュメントもご参考ください。
https://secure.cisco.com/secure-firewall/docs/cisco-secure-dynamic-attribute-connector

atsukane · ‎2024-10-22

ご確認ありがとうございます！