10.0 の新機能

言語: English | 日本語

脅威とマルウェア

バージョン 10.0 では、主力の検出機能である EVE と SnortML がさらに向上しています。よりわかりやすく容易な設定、新たな検出機能、検査遅延の改善などが含まれます。復号ポリシーは、7.6 での改善をさらに進め、管理者が設定して復号を開始するまでの作業を容易にします。AppID の改善により、パフォーマンスが向上し、管理者によるアプリケーションとポートの対応付けも簡単になります。また、新たな Tenable 連携により、修復と仮想パッチの新しい機能が提供されます。

復号の簡素化: Secure Firewall 10.0 では、インバウンドとアウトバウンドの TLS 検査を大幅に導入しやすくする、意図に基づく新しい復号ワークフローを導入しています。デフォルトポリシーの作成、証明書の処理の改善、選択的な復号オプションにより、設定と運用の負担を軽減します。管理者は、要件に合わせたルールセットの組み立て方よりも、何を復号するかに集中できるようになります。
SnortML の更新： SnortML は引き続き進化しており、コマンドインジェクションとクロスサイトスクリプティングの検出が追加され、検査遅延も大幅に短縮されています。SnortML は、脆弱性の種類全体を対象とするゼロデイ保護を提供し、ルールの更新なしで、新たに発見された脆弱性からもネットワークを保護します。
Tenable コネクタ: Security Cloud Control では、Tenable の脆弱性コンテキストをポリシーの判断に直接取り込み、実際に脆弱性の影響を受けるホストに応じて、ファイアウォールがアクセス制御と侵入防御を自動的に調整できるようになりました。脆弱なホストをリアルタイムで追跡し、Tenable の CVE データを使用してネットワークベースの仮想パッチを適用することで、汎用的なルールセットに頼るのではなく、環境内の実際のリスクを対象に対処できます。
高度なロギング: 新しい高度なロギングでは、Snort エンジンから完全なプロトコルレベルのテレメトリを直接出力し、別のセンサーを導入することなく、SOC チームに Zeek のような可視性を提供します。DNS ルックアップ、HTTP のやり取り、異常など、ネットワーク上の生の通信情報を提供することで、ファイアウォール自体が高度な脅威ハンティングのための調査情報源になります。
アプリケーションのデフォルトポート: 新しいアクセスコントロールルールにアプリケーションを追加すると、想定されるデフォルトポートが自動的に適用され、管理者はアプリケーションとポートの両方のコンテキストを一度に適用できます。既存のルールは管理者が更新しない限り変更されず、カスタムポートでデフォルトを上書きできます。推測に頼る必要がなくなり、カスタマイズの容易さを維持しながら、アプリケーションを「任意のポート」で許可してしまう傾向を大幅に減らします。1 つのルールに複数のアプリケーションを配置すると、適切なポートが自動的に対応付けられ、追加の設定作業なしに適用を厳格化できます。
EVE 設定の簡素化： Encrypted Visibility Engine がアクセスコントロールポリシー内の専用タブに表示され、見つけやすくなりました。新しいシンプルな monitor モードと protect モードにより、C2 の検出またはブロックをすばやく設定でき、シンプルなグローバル例外リストを使用して誤検知を容易に調整できます。

ソフトウェア定義 WAN（SD-WAN）

10.0 では、7.6 での SD-WAN の改善を拡張し、SD-WAN 環境全体での Security Group Tags（SGT、セキュリティグループタグ）の伝搬など、さらに多くのユースケースに対応します。ロードバランシングの改善により、対応するハブアンドスポークのシナリオも広がります。

SGT 伝搬の改善： Dynamic Virtual Tunnel Interfaces（DVTI）と Static Virtual Tunnel Interfaces（SVTI）で、SGT を受信して伝搬できるようになりました。これにより、SD-WAN 環境全体への SGT による制御の拡張が容易になります。
ロードバランシングの改善： 以前のバージョンでは、スポークからハブへのトラフィックのみを負荷分散できました。バージョン 10.0 では、等コストマルチパス（ECMP）ルーティングと Bidirectional Forwarding Detection（BFD）により、ハブから特定のスポークへの複数パスを使用した負荷分散に対応しました。

管理とアップグレードの改善

10.0 より前のバージョンでは、syslog の設定手順が複雑で、対応するイベントタイプも eStreamer と同等ではありませんでした。10.0 では、syslog 設定を大幅に集約して簡素化し、新しいイベントタイプを追加しています。高度なロギングによりログのエクスポートも改善され、プロトコルごとの詳細なログを SIEM に送信できます。FMC の GUI は、操作性とカスタマイズ性が向上し、SCC にさらに近い構成になりました。アップグレードプロセスも改善され、リバートとロールバックのオプションを制御でき、アップグレード中のデバイスの状態も把握しやすくなっています。また、モデル間の移行オプションが拡張され、新しいハードウェアプラットフォームへの移行がさらに容易になります。

syslog 連携の効率化： 新しいウィザードにより、syslog 連携が大幅に簡素化されます。このウィザードは提供開始時から Splunk に対応しています。他の SIEM を使用している場合は、データの取り込みについて各ベンダーに確認してください。
新しい syslog イベントタイプ： 侵入イベントのパケットデータや AMP/Retrospective など、新しいイベントタイプが syslog に追加されます。
FMC GUI の簡素化： 最上位のメニューが整理され、Security Cloud Control との共通性が高まりました。管理者はメニュー項目をカスタマイズすることもできるようになりました。
アップグレードの改善： 詳細設定により、管理者はリバートとロールバックのシナリオでの動作を指定できます。すべての管理対象デバイスのアップグレードを、1 つの画面から監視できるようになりました。
モデル間の移行サポートの追加： 1010、1100、2100、4100、9300 モデルから、1210、1220、および 3100、4200 シリーズへ設定を移行するための選択肢が拡張されました。

ハードウェアの革新

Cisco は、データシートに記載された性能を発揮する強力なハードウェア製品群を引き続き拡充し、ローエンドと最上位の両方に新モデルを投入しています。200 シリーズは、拠点やサイトへの導入に最も手頃な選択肢を提供します。6100 シリーズは、4200 と同じクラスタリング機能を維持しながら、4200 よりも大幅に高いスループットを提供します。新しい FMC モデルも、ローエンド、ミッドレンジ、ハイエンドの各領域でパフォーマンスを向上させます。

Secure Firewall 200 シリーズ: 200 シリーズは、220 の 1 モデルで提供を開始します。220 モデルは、最大 1.5 Gbps の NGFW トラフィックに対応し、暗号化とトラフィック処理に SoC 内蔵アクセラレータを使用します。
Secure Firewall 6100 シリーズ： デバイスあたり最大 400 Gbps を提供し、4200 シリーズと同じ最大 16 台のクラスタリングに対応します。これらの最上位モデルは、3100 および 4200 製品群で採用されている Cisco の優れた価格性能比のアーキテクチャを基盤としており、データセンター、サービスプロバイダーなどのハイエンド環境に、さらに大きな処理能力を提供します。
新しい FMC モデル： 1800、2800、4800 モデルは、ローエンド、ミッドレンジ、ハイエンドの管理シナリオで機能を強化しています。4800 は 1,500 台の FTD を管理でき、4700 の 2 倍のイベント処理レートとイベント保持能力を備えています。

アイデンティティ

ネットワークレベルで Zero Trust を強化したい管理者に向けて、Cisco Identity Intelligence および ISE との新たな連携により、個々のユーザとデバイスへの動的な信頼レベルの割り当てが容易になります。10.0 では、複数の ISE クラスタを使用する場合の拡張性も向上し、ファイアウォール内のユーザデータの追跡性も改善されます。

Dynamic Firewall： 新しいウィザードにより、アイデンティティソース（ISE または pxGrid Cloud）と Cisco Identity Intelligence（CII）を連携させ、個々のユーザとデバイスに信頼レベルを割り当てる設定を行えます。CSDAC の動的オブジェクトにより、信頼レベルが低下したユーザとデバイスのネットワーク権限を制限しやすくなります。
拡張性の向上： pxGrid cloud またはオンプレミスで連携した複数の ISE クラスタを、アイデンティティポリシーで利用できるようになりました。
追跡ツール： この CLI ベースのツールは、ユーザセッション情報を取得し、構造化された表にまとめます。さまざまなトラブルシューティングのシナリオに対応する複数の検索モードを備え、デバッグと分析のワークフローを効率化します。

パブリッククラウドとプライベートクラウド

10.0 では、クラウド環境と仮想化環境に新たな導入オプションを提供します。クラウドでは、GCP 環境に動的スケーリング機能を備えたクラスタリングを追加し、OCI に ARM サポートを追加しています。仮想化環境では、VMWare と KVM のスケーリングのユースケースに対応する、新しい Unlimited ライセンスを利用できます。

自動スケールに対応した GCP クラスタリング： GCP 環境で、動的スケーリングを備えたクラスタリングを利用できるようになりました。ASAv と FTDv の両方に対応します。
OCI ARM インスタンスのサポート： OCI で、ARM ベースの FTDv および ASAv 仮想インスタンスに対応しました。インスタンスあたり 4、8、12、または 16 OCPU に対応します。
新しい FTDv Unlimited ライセンス： 仮想 FTD（FTDv）を VMWare と KVM に導入する場合に使用できる、Unlimited ライセンスが追加されました。この新しいライセンスは、既存のライセンスにおける CPU コア数とレートの制限を超えて拡張したい FTDv デバイスを対象としています。