[G-Tech2015]次世代ファイアウォール -Cisco ASA with FirePOWER Services-...

グローバルナレッジネットワーク株式会社

鈴木新

次世代ファイアウォール-Cisco ASA with FirePOWER Services-

によるセキュリティ対策

アジェンダ

1. 次世代ファイアウォールとは

2. ASAの基礎

3. ASA with FirePOWERの機能

4. FireSIGHT Management Center

5. Demo

1. 次世代ファイアウォールとは

次世代ファイアウォールとは

– パケットフィルタリング

– ステートフルインスペクション

– NAT

– VPN

– HA構成（High Availability）

従来のファイアウォール

– NAT

– VPN

次世代ファイアウォール

– アプリケーションコントロール

– ユーザーコントロール

– IPS/IDS

– L2/L3 構成での配置

下記の機能を追加

– NAT

– VPN

次世代ファイアウォール

– アプリケーションコントロール

– ユーザーコントロール

– IPS/IDS

– L2/L3 構成での配置

下記の機能を追加

ASA with FirePOWER

2. ASAの概要

ASA 5500

スイッチやルータと同様の

モードからコマンドを入力

ASDMを使用

設定方法ASA 5500シリーズ

（第一世代）

ASA 5500

ファイアウォール

HA構成

ASA = Cisco Adaptive Security Appliance

複数のセキュリティ機能を兼ね備えた製品

ASA 5500

ネットワークインターフェース層

インターネット層

トランスポート層

アプリケーション層

ＩＰＴＣＰ Data

通過を拒否通過を許可

ネットワークの出入り口で動作

ASA 5500

ステートフルインスペクション

FWは通信状態を把握し、次に来るパケットを予測

ステートテーブルクライアント

Webサーバ

ヘッダデータ

想定する戻りパケット

ＯＫ！

ＮＧ！

ヘッダデータ

データヘッダ

ASA 5500

インターネット

ファイアウォールシステムの構成

ファイアウォールを利用した典型的なネットワーク構成

社内クライアント

サーバルーム部門セグメント

L3機器

ファイアウォール公開用サーバ

社内サーバ

ASA 5500

セキュリティレベルの概念

各I/Fには、セキュリティレベル（0～100）を設定する（必須）

セキュリティレベルの高⇒低 OK

セキュリティレベルの低⇒高 NG

セキュリティレベルの高⇒低の戻り OK

※戻りパケットが許可されるのは、

デフォルトでTCPおよびUDPのみです。

inside

outside

ASA 5500

インスペクションの設定

(config)# access-list ICMP permit icmp 10.0.1.0 255.255.255.0 any

(config)# class-map Inspect-C

(config-cmap)# match access-list ICMP

(config)# policy-map Inspect-P

(config-pmap)# class Inspect-C

(config-pmap-c)# inspect icmp

(config)# service-policy Inspect-P interface inside

クラスマップの作成

ポリシーマップの作成

I/Fに適用

ASA 5500

NAT（PAT）

複数のプライベートアドレスを1つのグローバルアドレスに変換

(config)# object network PAT-Address(config-network-object)# host 200.1.1.5

(config)# object network PAT-Config(config-network-object)# subnet 10.0.1.0 255.255.255.0(config-network-object)# nat (inside,outside) dynamic PAT-Address

10.0.1.0/24

inside

Internet

outside

hostコマンドを使って、PAT変換後のアドレスを指定

PAT用IP

200.1.1.5

NAT変換前のアドレスをオブジェクト指定

NAT変換の紐づけ

ASA 5500

IPsecVPNおよびSSL VPNをサポート

SSL VPN Tunnel

社内Webサーバ

WebVPN用ポータルページ

SSL VPNの例

ASA 5500

HA構成（High Availablity）

ASAを使った冗長構成

Active / Standby Failover

Active / Active FailoverFailed Active

Active/Standby Failoverの例

Internet

ASA 5500-X

ASA 5500-Xシリーズ

（第二世代）

ASA 5500-X

Cisco ASA 5500-Xのパフォーマンス

ASA 5512-X

200 Mbps NGFW

60 Mbps NGFW

plus IPS

100,000 Connections

10,000 CPS

ASA 5515-X

350 Mbps NGFW

90 Mbps NGFW

plus IPS

250,000 Connections

15,000 CPS

ASA 5525-X

650 Mbps NGFW

300 Mbps NGFW

plus IPS

500,000 Connections

20,000 CPS

ASA 5545-X

1 Gbps NGFW

450 Mbps NGFW

plus IPS

750,000 Connections

30,000 CPS

1.4 Gbps NGFW

600 Mbps NGFW

plus IPS1 Million Connections

50,000 CPS

ASA 5555-X

小規模向け中規模向け

ASA 5500-X

2 Gbps NGFW

1 Gbps NGFW plus IPS500,000 Connections

40,000 CPS

ASA 5585-SSP10

9 Gbps NGFW

2.5 Gbps NGFWplus IPS

1.8 Million Connections120,000 CPS

ASA 5585-SSP40

13 Gbps NGFW4 Gbps NGFW

plus IPS 4 Million Connections

160,000 CPS

ASA 5585-SSP60

5 Gbps NGFW1.5 Gbps NGFW plus IPS1 Million Connections

75,000 CPS

ASA 5585-SSP20

大規模向け

Cisco ASA 5500-Xのパフォーマンス

ASA 5500-X

ASA with FirePOWERの通信の流れ

ASA 5500-X

の主要機能

• IPS（Intrusion Prevention System）

• AVC（Application Visibility Control）

• URLフィルタリング

• AMP（Advanced Malware Protection)

ASA 5500-X

サブスクリプションライセンス

• AVCは標準実装

• 1、３年間の中から選択

IPS IPS IPS IPS

AMPURL AMP

３. ASA with FirePOWERの機能

IPS（Intrusion Prevention System）

IPSの構成

社内クライアント

サーバルーム部門セグメント

L3機器

社内サーバ

業界最高水準のIPSエンジン

オープンソースのIDS

シグニチャベースで動作

FirePOWERはSNORTベースのIPS

業界最高水準のIPSエンジン

自動チューニング

ネットワーク環境の変化に伴いチューニングが必要

Network Awarenessの機能による推奨ルールの自動生成

チューニングを容易に行うことができる

AVC（Application Visibility Control）

2500 を超えるアプリケーションを認識する

iTunes Google Drive

対応アプリ一覧http://tools.cisco.com/security/center/avc.x

シグニチャマッチングで識別するため、ポート番号が通信によって変わるアプリも識別可能

ユーザー（グループ）、ネットワーク、ゾーン、

VLANなどが対象

リスク、関連性、タイプ、カテゴリーなどでアプリ

ケーションを分類

2500を超えるアプリケーションと

サブアプリケーション

Facebookは閲覧のみ許可した例

URLフィルタリング

81カテゴリ60言語

200ヵ国対応

レピュテーションスコア

5 ～ 10：信頼できる動作の長い歴史があり、トラフィック量が多く、広くアクセスされている。

0 ～ 5：信頼できる動作の歴史がある、または第三者の検証を受けたサイト。

-3 ～ 3：管理された信頼できるコンテンツやリンクの提携ネットワークサイトおよびユーザが生成したコンテンツサイトの可能性がある。

-6 ～ -3：悪意がある疑いがあるが、確実ではない。攻撃的な広告シンジケートおよびユーザトラッキングネットワークの可能性がある。

-10 ～ -6：ほぼ確実に悪意のあるサイト。継続的にキーロガー、ルートキット、およびその他のマルウェアを配布する専用サイト、またはハイジャックされたサイト。フィッシングサイト、ボット、ドライブバイインストーラも含まれる。

カテゴリに分けられたURLを使用したフィルタリング機能

SIOの分析によるWebレピュテーションスコアを使用

AMP（Advanced Malware Protection）

• ファイルがネットワークに侵入した際に、フィンガープリントを作成

• フィンガープリントはSHA-254によるハッシュ値• フィンガープリントをCiscoのクラウドに送り分析する

ファイルレピュテーション

ファイルサンドボックス

• マルウェアを検出した時に詳細な動作をチェック• サンドボックスと呼ばれるチェック用の環境で検査する• ファイルの脅威レベルを判断

過去にさかのぼって解析し、感染経路を特定する

ファイルトラジェクトリ

AMPの仕組み

FirePOWER FireSIGHT

• ファイルポリシーの設定は、ファイルとプロトコルを選択し、マルウェア検出のために検査

• 以下の項目を設定可能：• 検出するファイルの種類• 検出するプロトコル• 転送の方向• 取る行動（ブロック、検出など）

File Policy

4. FireSIGHTManagement Center

FireSIGHT

GUIによる設定Adaptive Security Device Manager

ASDM＝＞ASAを設定する

FireSIGHT＝＞FirePOWERの機能をフル活用して管理/設定するための製品

FireSIGHT

FireSIGHT設定手順Adaptive Security Device Manager

FireSIGHT 初期設定

FirePOWER 設定・登録、基本設定

システム設定

パッチ・シグニチャのアップデート

セキュリティポリシーの作成

アクセスポリシーの適用

FireSIGHTでIPS、AMPなどを設定

セキュリティポリシーをFirePOWERに適用

FireSIGHT

オブジェクトの作成Adaptive Security Device Manager

NetworkPortVLAN tagURLSecurity ZoneGeolocation

FireSIGHT

ポリシーの作成

IntrusionFileNetwork DiscoverySSLUsers

FireSIGHT

ルールの作成

IntrusionFileNetwork DiscoverySSLUsers

NetworkPortVLAN tagURLSecurity ZoneGeolocation

オブジェクトポリシーAdaptive

Security Device Manager

FireSIGHT

Access Control Policy

ルール①

ルール②

ルール③

ルール④

複数のルールを1つのAccessControlPolicyにまとめる

ACPをFirePOWERに適用

FireSIGHT

Indication of Compromise (IoC:侵入の痕跡)

FireSIGHT

参考

5. Demo

[G-Tech2015]次世代ファイアウォール -Cisco ASA with FirePOWER Services-...

Devices & Hardware

Transcript of [G-Tech2015]次世代ファイアウォール -Cisco ASA with FirePOWER Services-...

(NE) BEZPEČNOST V TELEKOMUNIKAČNÍCH SÍTÍCH€¦ · • Cisco Firepower NGFW • Meraki MX • Cisco AMP • Cisco ISE • Cisco AnyConnect • Cisco Firepower NGIPS • Cisco

Dissecting Firepower-NGFW(FTD) & Firepower-Services ...clnv.s3.amazonaws.com/2017/eur/pdf/BRKSEC-3455.pdf · Firepower Platform Deep Dive ... •VPN Site-to-Site ... running on VMware,

Centro de administración de FirePOWER de la configuración ...

FortiGate 300E シリーズ · 2019-08-02 · DATA SHEET FortiGate 300E シリーズ FortiGate 300E、301E 次世代ファイアウォール セキュアSD-WAN ファイアウォール

Quarterly Airport Analytical Firepower™ - aviationplanningaviationplanning.com/.../BGI-Superior-Quarterly-Airport-Performance... · Quarterly Airport Analytical Firepower ... not

Firewall de próxima generación Cisco Firepower · Especificaciones de hardware de Cisco Firepower de la serie 4100 Modelo Cisco Firepower Características 4110 4120 4140 4150 Dimensiones

Sistema operativo extensible de FirePOWER (FXO) 2.2 ... · Conocimiento del sistema operativo extensible de FirePOWER (FXO) ... El cuadro de diálogo del proveedor del agregar TACACS

Firepower romania presentation [romanian)

G-Tech2015 Hadoop/Sparkを中核としたビッグデータ基盤_20151006

Cisco Firepower Threat Defense Virtual クイックス …...1 Cisco Systems, Inc. Cisco Firepower Threat Defense Virtual クイックスタートガイド（Microsoft Azure クラウド向け）

FortiGate 100E シリーズ · 2019-08-20 · DATA SHEET FortiGate 100E シリーズ FortiGate 100E、101E 次世代ファイアウォール セキュアSD-WAN ファイアウォール

EQUIPO OXICORTE FIREPOWER 350 - ESAB

Cisco Firepower Threat Defense バージョン 6.2 ......Cisco Firepower Threat Defense バージョン 6.2 コンフィギュレー ションガイド（ Firepower Device Manager

FortiGate 300E シリーズ · DATA SHEET FortiGate 300E シリーズ FortiGate 300E、301E 次世代ファイアウォール セキュアSD-WAN ファイアウォール IPS NGFW

Sistema operativo extensible de FirePOWER (FXO) 2.2 ...Cisco recomienda que tenga conocimiento sobre estos temas: Conocimiento del sistema operativo extensible de FirePOWER (FXO) Conocimiento

FortiGate 600E シリーズ...DATA SHEET FortiGate 600E シリーズ FortiGate 600E、601E 次世代ファイアウォール セキュアSD-WAN ファイアウォール IPS NGFW 脅威保護

Cisco Firepower 4100/9300 FXOS Firepower Chassis Manager ... · 8장 플랫폼설정 85 ntp ... 표준시간대설정 87 ntp를사용하여날짜및시간설정 87 ntp서버삭제

Cisco ASA mit FirePOWER-Services - shop.bechtle.de · In Tabelle 2 werden die NGFW-Funktionen und -Kapazitäten von Cisco ASA mit FirePOWER-Services für Cisco Firewalls der Serie

Cisco ASA с сервисами FirePOWER · 2016-07-06 · Cisco ASA с сервисами FirePOWER представляет собой интегрированное решение,

EQUIPO OXICORTE FIREPOWER 350 - · PDF fileEQUIPO OXICORTE FIREPOWER 350 MANGO SOLDAR ADITAMENTO DE CORTE REGULADORES Mango fabricado en bronce latón resistente y maneral de aleación,

FortiGate 300E シリーズ · 2019-08-02 · DATA SHEET FortiGate 300E シリーズ FortiGate 300E、301E 次世代ファイアウォールセキュアSD-WAN ファイアウォール

FortiGate 100E シリーズ · 2019-08-20 · DATA SHEET FortiGate 100E シリーズ FortiGate 100E、101E 次世代ファイアウォールセキュアSD-WAN ファイアウォール

Cisco Firepower Threat Defense バージョン 6.2 ......Cisco Firepower Threat Defense バージョン 6.2 コンフィギュレーションガイド（ Firepower Device Manager

FortiGate 300E シリーズ · DATA SHEET FortiGate 300E シリーズ FortiGate 300E、301E 次世代ファイアウォールセキュアSD-WAN ファイアウォール IPS NGFW

FortiGate 600E シリーズ...DATA SHEET FortiGate 600E シリーズ FortiGate 600E、601E 次世代ファイアウォールセキュアSD-WAN ファイアウォール IPS NGFW 脅威保護