シスコシステムズ合同会社

セキュリティ事業

コンサルティングシステムズエンジニア

豊島 かおり

東京： 2015 年 5月 29 日 (金) 14 : 00 - 16 : 45

ASA 5506-X/5508-X/5516-X 機能解説

アジェンダ

1. はじめに

2. ASA5506-X/5508-X/5516-X 製品概要

3. FirePOWER Services概要

4. マネジメント概要

5. まとめ

あらゆる組織がサイバー攻撃の被害に直面している

2012年には中小企業の87%が

セキュリティ侵害を受けた *

2013年のサイバー攻撃の対象は41%が従業員500人以下の組織 **

中小企業における

セキュリティ対策強化への

期待が強まっている ***

組織の規模に関わらず、その組織が保持するデータ、IPアドレス、機密情報に対して、法的 および信用上の強い責任がある

41%

87%

* 2013 英国政府 ビジネスイノベーション職業技能省 委託機関

** 2014年7月 ナショナルサイバーセキュリティアライアンス (NCSA)

*** 2015年3月 ニューヨークタイムス紙 : http://nyti.ms/1xymaNN

強力な脅威対策

従来のUTM / 次世代ファイアウォールでは実現が難しかった

脅威に特化した対策

常に最新の情報を取り入れる、業界水準のセキュリティ技術

優れた費用対効果

少ないデバイスで、効果的に マルチレイヤのセキュリティ

対策を実装

柔軟な管理方式

単体での利用に適したシンプルかつ統合された管理

複数拠点に配置した端末の統合設定管理から、セキュリティを向上させるイベント分析まで

中小規模ネットワークで求められる 新たなセキュリティ対策

ASA5506-X/5508-X/5516-X 製品概要

Cisco ASA 5500-X シリーズ P

erf

orm

an

ce

an

d S

ca

lab

ility

Data Center Campus Branch Office Internet Edge

ASA 5585-X SSP-20 (10 Gbps, 125K cps)

ASA 5585-X SSP-60 (40 Gbps, 350K cps)

ASA 5585-X SSP-40 (20 Gbps, 200K cps)

ASA 5585-X SSP-10 (4 Gbps, 50K cps) ASA 5555-X

(4 Gbps,50K cps)

ASA 5545-X (3 Gbps,30K cps)

ASA 5525-X (2 Gbps,20K cps)

ASA 5512-X (1 Gbps, 10K cps)

ASA 5515-X (1.2 Gbps,15K cps)

SOHO

ASAv10 (500M-1Gbps, 20K conn/s)

ASAv30 (1-2Gbps, 60K conn/s)

ASAv5 (50M-100Mbps, 8K conn/s)

New! ASASM

for Catalyst6500,Cisco7600 (16-20 Gbps,300K conn/s)

New!

ASA 5506-X (750Mbps, 5K cps)

ASA 5508-X (1Gbps)

ASA 5516-X (1.8 Gbps)

Cisco ASA5500-X シリーズ 新プラットフォーム

デスクトップモデル 無線アクセスポイント

統合モデル

高パフォーマンス モデル

高耐久性モデル

次世代ファイアウォール 無線機能はローカル及びWLC で管理可能

1RU

新たな性能価格帯製品 産業用次世代ファイア

ウォール

5506-X 5506W-X 5508-X 5506H-X

ASA 5505

の後継として最適

ASA

5512/5515

の後継として最適

アップセルや新しいマーケットへ

5516-X

デスクトップ型 Cisco ASA 5506-X

約20cm x 22.6cm x 4.4cm

CPU マルチコア

RAM 4 GB

アクセラレータ Yes

ポート 8x GE データポート,

1 管理ポート

(10/100/1000 BASE-T)

コンソールポート RJ-45, Mini USB

USB ポート Type ‘A’ supports 2.0

記憶容量 64-GB mSata

冷却 ファンレス

電源 外部AC、 DCなし

ワイヤレス内蔵型 Cisco ASA 5506W-X

Cisco® ASA 5506-X と同サイズ （約20cm x 22.6cm x 4.4cm）

Wireless AP Cisco ASA 5506_AP702

(AP702i 相当), IEEE

802.11n, 2 x 2 MIMO

ポート 8 x データポート, 1 アクセスポイント (内部データポート

g1/9)

管理ポート g1/1 - g1/9 の任意のポート,

Mgmt 1/1 はファイアウォールのマネジメント専用

マネージメント ワイヤレスは別に管理

高耐久性モデル Cisco ASA 5506H-X

約23cm x 23.4cm x 6.4cm

データポート 4 x データポート

管理ポート 1 Port, 10/100/1000BASE-

T, 100BASE-FX,

1000BASE-X, SFP

電圧 5V (5506 ： 12V)

動作温度 –20 ～ 60°C

マウント方法 壁掛け, 平置き, ラックマウント、 DIN レールマウント

ラックマウント型 Cisco ASA 5508-X 、 ASA 5516-X

CPU マルチコア

RAM 8 GB

アクセラレータ Yes

ポート 8x GE データポート, 1x 管理ポート （10/100/1000

BASE-T）

コンソールポート RJ-45, Mini USB

USB ポート Type ‘A’ supports 2.0

記憶容量 120-GB SSD

冷却 ファン

電源 内部AC 、 DCなし

約43.7cm x 28.2cm x 4.4cm

製品特徴比較 ASA 5506-X ASA 5506W-X ASA 5506H-X ASA 5508-X ASA 5516-X

ハードウェア

CPU 4Cx1.25GHz 4Cx1.25GHz

4Cx1.25GHz

7Cx2GHz 8Cx2.4GHz

RAM 4GB 4GB 4GB 8GB 8GB

SSD 50GB 50GB 50GB 80GB 100GB

Fan No No No Yes Yes

I/O 8xGE 8xGE; WiFi 4xGE 8 x GE 8 x GE

ソフトウェア

ユーザ数 無制限 無制限 無制限 無制限 無制限

High-Availability Yes -

Active/Standby

only1

Yes -

Active/Standby

only1

Yes -

Active/Standby

only1

Yes

(Active/Active)

Yes

(Active/Active)

コンテキスト No No No Yes2 Yes2

クラスタリング No No No No 将来サポート予定

1. SecPlus ライセンスが必要; 2. セキュリティコンテキストライセンスが必要

パフォーマンス比較

ASA 5506-X ASA 5506W-X ASA 5508-X ASA 5516-X

ステートフルファイアウォール

最大スループット 750 Mbps 750 Mbps 1 Gbps 1.8 Gbps

VPN スループット 100 Mbps 100 Mbps 175 Mbps 250 Mbps

AVC 最大スループット 250 Mbps 250 Mbps 450 Mbps 850 Mbps

AVC + NGIPS 最大スループット 125 Mbps 125 Mbps 250 Mbps 450 Mbps

AVC or IPS サイジングスループット[440B] 90 Mbps 90 Mbps 180 Mbps 300 Mbps

最大同時接続数 50,0001 50,0001 100,000 250,000

最大接続数 / 秒 5000 5000 10000 20000

1. セキュリティプラスライセンスが必要

~1.5x to 2x ~1.5x to 2x

ASA5506, ASA5505 の主な相違点 Category ASA 5505 ASA 5506-X

Hardware

CPU 1 Core @ 500MHz 4 Core @ 1.7GHz

RAM/Flash 512M/128M 4G/8GB

SSD none 64GB

スイッチポート Yes No

ユーザーライセンス Yes No (無制限)

Software ハードウェア EzVPN クライアント Yes

No

(VPN 機能は他のASA プラットフォームと同様)

トラフィックシェーピング Yes No

NGFW (FirePOWER) Services

IPS No Yes

アプリケーションコントロール No Yes

URL フィルター No Yes

AMP (Advanced Malware Protection) No Yes

デフォルトコンフィグを使用した簡単な初回セットアップ

デフォルトコンフィグにより簡単にインターネットに接続できます（9.4(1)-）

• WAN ポート、インサイドポート、管理ポートはすでに設定済み

• WAN ポートはDHCP クライアントとなるアウトサイドポート(G1/1) インサイドポート(G1/2)はASDM による管理が可能な設定 管理ポートはFirePOWER の管理のためだけに使用

Internet

/WAN

1. FirePOWER の管理には 管理ポートを使用

2. ASA の管理には データポートを使用

3. WAN 接続 DHCP想定

L2 スイッチ 管理端末

FirePOWER Services概要

ASA with FirePOWERモジュールの構造

次世代FW

アプリケーション識別 ユーザ識別 URL フィルター ジオロケーション

次世代IPS

ネットワーク可視化 （ネットワーク/ホスト/脆弱性等） 自動チューニング インパクト解析 侵入痕跡 /IOC（C&C通信、マルウェア感染等）

AMP

マルウェア防御 クラウドサンドボックス 侵入/拡散経路解析 （ファイルトラジェクトリ） 過去の攻撃解析 （レトロスペクティブセキュリティ）

Classic FW処理

必要なトラフィックのみを内部のFirePOWER サービスに転送 ASA FW と FirePOWERサービスを組み合わせてあらゆる場面に対応可能

ライセンス概要 上位のASA with Cisco ASA with FirePOWER Services と同様

TAMC TAC TA URL TAM

IPS

URL

URL

IPS URL

AMP

IPS

AMP

IPS

Cisco FirePOWER™

サービスライセンシング

1, 3-年, 5年 サブスクリプション, Cisco AVC は含まれる、 AVC アップデートはCisco SMARTnet™ サポートで利用可能

• ユーザ数ライセンスは廃止

• セキュリティプラス (デスクトップ型専用のオプション)

• VPN ライセンス: Cisco AnyConnect® 4.0

• セキュリティコンテキスト (Cisco® ASA 5508-X 、5516-X のみ)

Cisco ASA ライセンシング

次世代IPS・次世代マルウェア防御・次世代ファイアウォール、ファイアウォール、VPNを1台で！

011101 10001110100111

01 1110011 0110011 1010

0100 1110101001 1101

0011

01000111 0100 111001

00111 0100 1110101001

高度な侵入検知と防御

世界最大の利用実績に裏付けられた高い検知性能

マルウェア検知

クラウド連携

アプリケーション可視化・制御

URLフィルタ ユーザ制御

実績No.1の堅牢なファイアウォール

運用管理ツールを1つに統合

拠点間VPN

リモートアクセスVPN PC,iPhone, Android

どんなデバイスにも AnyConnect VPN

ファイアウォール + VPN

次世代IPS 次世代マルウェア防御 次世代ファイアウォール

CITRIX

Skype

Gmail

IE

Flash

業界標準のIPSエンジン”snort”

• 世界ダウンロード数400万回以上

• 実利用数30万デバイス

• 様々なIPSベンダが使用

• MS Tuesdayの脆弱性同日カバー率No1

• NSS 検知率業界No1

• オープンソースコミュニティによる精度向上と脅威への迅速対応

グローバルリーダーシップ

• IPS専用ベンダーならではの検知性能とパフォーマンス

次世代IPS

信頼の侵入検知性能

2014年12月 Magic Quadrant for Intrusion

Prevention Systems

• ルール構成

• Snort言語

• 誰でも内容を確認できるテキスト表記

• PCRE（正規表現）

• SharedObject（SO）

• Binaryで提供されるマイクロエンジン

• 標準化情報の参照

• CVE, Microsoft Security bulletin, Bugtag, McAfee, SnortID 他各種リファレンスリンク

IPSシグネチャの特徴

全ルールの検知ロジックが開示可能

ルールのカスタマイズも容易

他ベンダーと連携したシグネチャ標準化

IPS設定イメージ

上位機種と同等のIPS機能： Cisco推奨のルールテンプレートから選択

Snortルールの確認とカスタマイズ

オンボックス

統合管理ツール

ASDMを使用

次世代マルウェア防御 クラウド連携の高性能マルウェア検出

Cisco Collective Security Intelligence

世界中160万台のシスコ機器から情報を収集

1日に100 TBのデータ、130億のHTTPを解析

全世界のEメールトラフィックの35 %以上を網羅

600名以上のエンジニアや専門家、研究者が24時間体制で解析

世界中の脅威情報を収集 ファイル情報 問い合わせ

クラウド リコール

ASA with

FirePOWER

Services

シグネチャレス検知

• ハッシュ値を利用してファイルを一意に特定し、既知のマルウェアを高速に検査して即時ブロック

• 世界中の最新脅威情報をリアルタイムで参照

クラウドリコール

• 次々と生成される未知のマルウェアへの対策

• ネットワークに侵入した過去のファイル情報を記憶し、マルウェア判定時にトラッキング機能を提供 ※FireSIGHT Management Center 利用時

クラウド (Cisco CSI)

AMP for Network 動作概要

ファイル

9a9de323dc2b

a4059c3eb10d

20e8b93a4cc4

4c93ac41a5dfc

9572fa1c0d5b1

a8

ハッシュエンジン ハッシュ

データベース

• ハッシュ値を利用したシグネチャレスの高速マルウェア検知・防御

• SHA-256ハッシュ値により通過するファイルを一意に識別（ファイル名変更は影響なし）

• クラウド上のハッシュデータベースおよびローカルポリシーを検査してアクションを判断

• サポートプロトコル

• HTTP、SMTP、POP3、IMAP、FTP、SMB

• サポートファイルタイプ

• 実行ファイル、オフィスドキュメント、アーカイブ、PDF、画像、マルチメディア等の計100種近いファイル形式に対応

検査対象の通信を下記から選択 プロトコル： Any, HTTP,SMTP,IMAP,POP3,FTP,SMB

方向： Any, Upload, Download

Actionを下記から選択 Detect Files, Block Files, Malware Cloud Lookup, Block Malware

AMPクラウド連携： マルウェア検知とブロック

ファイルタイプ別のアクション

AMP for Network 設定イメージ オンボックス

統合管理ツール

ASDMを使用

アプリケーション可視化・制御機能を標準搭載。

またURLフィルタや、IPレピュテーションなどの情報から

既知の不正サイトへのコネクションをモニターもしくはブロック可能。

次世代ファイアウォール

3000以上の

アプリケーション制御が可能

ジオロケーション

機能で攻撃元の国による制御

も可能

CITRIX

Skype

Gmail

IE

Flash

VPNと柔軟なネットワーク構成

中規模拠点

5508-X

本社

5516-X

L2 Switch

5506W-X

小規模

拠点

拠点間VPN 拠点間VPN

Internet

AnyConnect :

モバイル・マルチデバイス

対応のリモートアクセスVPN

拠点間VPNと

安定したネットワークファイアウォール

（ルーティング・ スイッチング）

VPN通信にも

専用の脅威対策を

マネジメント概要

選べるマネジメントオプション

オンボックスマネージャ • ASDM (ASA Device Manager):

ASA購入時に無償提供

• ASA + FirePOWER Services の 基本機能をシンプルに管理・監視

高機能専用サーバによる統合マネジメント • FireSIGHT Management Center : FirePOWER Services

の統合管理・監視と詳細なインシデント解析

• アプライアンスまたは仮想マシンでの提供

次世代IPS

• 自動チューニング

• インパクト分析

• ネットワークコンテキストビルダー

• レトロスペクティブ解析

• マルウェアトラッキング（ファイルトラジェクトリ）

• ダイナミック解析

次世代マルウェア防御

インシデント解析機能が拡張

ASDM (ASA Device Manager) による一元管理 設定管理

アクセスコントロールポリシー： 適用するセキュリティポリシーを一括設定

• 侵入検知 (IPS)

• マルウェア防御(AMP)

• 次世代ファイアウォール

• アプリケーション制御

• URLフィルタ

• ジオロケーション 等

Configuration > ASA FirePOWER Configuration

FirePOWER管理用の

タブ追加

ASDM (ASA Device Manager) による一元管理 レポートとリアルタイムモニタリング

対象項目（アプリケーション、脅威、ファイル等）とタイムレンジを指定してレポート

Monitoring > ASA FirePOWER Reporting

Monitoring > ASA FirePOWER Monitoring > Real Time Eventing

多様なログをリアルタイムに確認

”View Details” からドリルダウンして詳細情報を確認

FireSIGHT Management Center モデル

FSモデル 2000 4000 仮想版

最大管理

デバイス 70 300

仮想FireSIGHT

Management Center

25 管理デバイスまで イベント

ストレージ 1.8 TB

4.8/6.3 TB

(SSD/SAS)

最大ネットワークマップ数

(ホスト / ユーザ)

150K/150K 600K/600K 仮想 FireSIGHT Management

Center

2または 10 管理

デバイスまでに制限 FS-VMW-2-SW-K9

FS-VMW-10-SW-K9 イベント／秒(EPS) 12000 20000

ASA with

FirePOWER

Services用の

廉価版型番

FireSIGHTによるインシデント解析 モニタリング機能の拡張

IOCイベント ※ IOC = Indications of Compromise (侵入の痕跡)

感染危険度の高い端末を分析して表示

ネットワークの詳細可視化 接続端末情報を含む、詳細情報のレポート

FireSIGHTによるインシデント解析 IPSの自動チューニングとインパクト解析

一般的な侵入検知機器（IPS）の

運用者が抱える課題

本当に重要なイベントログを素早く見つけたい

環境に合わせて設定を調整したいが、手間をかけたくない

インパクト解析 攻撃と対象端末情報を解析し本当に危険度の高いログを識別

自動チューニング ネットワーク環境を学習し、 最適な推奨設定を自動生成

攻撃の緊急度 “High”のアラート数: 1433 実インパクト “High(1)”のアラート数: 106

例. 10分の1以下に減少

FireSIGHTによるインシデント解析 マルウェアのトラッキング

解析情報（サンドボックス等）と連携

一度通過した未知のマルウェアも継続解析し、 過去に遡ってインシデントを通知：レトロスペクティブ解析

ファイルのネットワーク拡散状況（時間、端末）をトラッキング

定常的なマルウェアの検出・防御だけでなく、ゼロデイ攻撃への迅速な対応にも有効

• Cisco ASA with FirePOWER Servicesの新しいラインナップ（ASA 5506-X/5508-X/5516-X）は、中小規模ネットワークに、実績のあるネットワーク性能と、高度なセキュリティ対策機能を提供します

• オープンソースの業界標準IPSや、クラウド連携の次世代マルウェア防御機能(AMP)により、最新の脅威に対応することができます

• ご要件に合わせてASDMまたはFireSIGHT Management Centerから管理オプションが選択でき、柔軟な導入形態をサポートします

まとめ