AnyConnect HostScan

AnyConnect ポスチャモジュールにより、AnyConnect セキュアモビリティクライアントはホストにインストールされているオペレーティングシステム、およびアンチウイルス、アンチスパイウェア、ファイアウォールの各ソフトウェアを識別できます。この情報は、HostScan アプリケーションによって収集されます。ポスチャアセスメントでは、ホストに HostScan がインストールされている必要があります。

Adaptive Security Device Manager（ASDM）で Secure Desktop Manager ツールを使用すると、ホストスキャンによって識別されるオペレーティングシステム、およびアンチウイルス、アンチスパイウェア、ファイアウォールの各ソフトウェアを評価するプリログインポリシーを作成できます。プリログインポリシーの評価結果に基づいて、どのホストがセキュリティアプライアンスへのリモートアクセス接続を確立できるかを制御できます。

HostScan サポート表には、プリログインポリシーで使用するアンチウイルス、アンチスパイウェア、およびファイアウォールアプリケーションの製品名とバージョン情報が含まれます。シスコでは、HostScan パッケージに HostScan、HostScan サポート表、および他のコンポーネントを含めて提供しています。

AnyConnect Secure Mobility Client リリース 3.0 以降では、HostScan は CSD とは別に使用できます。これは、CSD をインストールしなくても HostScan の機能を展開できることを意味します。また、最新の HostScan パッケージに更新することで、HostScan サポート表を更新できます。

HostScan の前提条件

AnyConnect Secure Mobility Client をポスチャモジュールととも使用するには、最低でも次のような ASA コンポーネントが必要です。

ASA 8.4
ASDM 6.4

次の AnyConnect 機能は、ポスチャモジュールをインストールする必要があります。

SCEP 認証
AnyConnect テレメトリモジュール

ポスチャモジュールは、次のいずれかのプラットフォームにインストールできます。

Windows 7、8、8.1、10、10 RS1、RS2、RS3 x86（32 ビット）および x64（64 ビット）
macOS 10.11、10.12、10.13
Linux Red Hat 6、7、Ubuntu 14.04（LTS）および 16.04（LTS）（64 ビットのみ）

HostScan のライセンス

次に、HostScan の AnyConnect ライセンス要件を示します。

AnyConnect Apex。

HostScan パッケージ

HostScan パッケージを ASA にスタンドアロンパッケージ hostscan-version.pkg としてロードすることができます。このファイルには、HostScan ソフトウェアとともに、HostScan ライブラリおよびサポート表が含まれています。

HostScan のインストールまたはアップグレード

この手順では、ASA のコマンドラインインターフェイスを使用して HostScan パッケージをインストールまたはアップグレードし、有効にします。

始める前に

（注）

HostScan バージョン 4.3.x 以前から 4.6.x 以降にアップグレードしようとしている場合、以前に確立した既存の AV/AS/FW DAP ポリシーおよび LUA スクリプトがすべて HostScan 4.6.x 以降と非互換であるという事実に起因するエラーメッセージが表示されます。

設定を適応させるために実行する必要があるワンタイム移行手順が存在します。この手順では、このダイアログボックスを閉じて、この設定を保存する前に HostScan 4.4.x と互換になるように設定を移行します。この手順を中止し、『AnyConnect HostScan 4.3.x to 4.6.x Migration Guide』で詳細な手順を参照してください。つまり、移行するには ASDM DAP のポリシーページに移動して、互換性のない AV/AS/FW 属性を確認して手動で削除してから、LUA スクリプトを確認し、書き換える必要があります。

ASA にログオンし、グローバルコンフィギュレーションモードを開始します。グローバルコンフィギュレーションモードでは、ASA は hostname(config)# プロンプトを表示します。
hostscan_version-k9.pkg ファイルを ASA にアップロードします。

手順

ステップ 1	webvpn コンフィギュレーションモードを開始します。例: `hostname(config)# webvpn`
ステップ 2	HostScan イメージとして指定するパッケージのパスを指定します。スタンドアロンの HostScan パッケージ、または AnyConnect セキュアモビリティクライアントパッケージを HostScan パッケージとして指定することができます。 hostscan image path 例: `ASAName(webvpn)#hostscan image disk0:/ hostscan-3.6.0-k9.pkg`
ステップ 3	前の手順で指定した HostScan イメージを有効にします。例: `ASAName(webvpn)#hostscan enable`
ステップ 4	実行コンフィギュレーションをフラッシュメモリに保存します。新しいコンフィギュレーションがフラッシュメモリに正常に保存されると、[OK] メッセージが表示されます。例: `hostname(webvpn)# write memory`
ステップ 5

HostScan の有効化または無効化

これらのコマンドは、ASA のコマンドラインインターフェイスを使用して、インストール済みの HostScan イメージを有効または無効にします。

始める前に

ASA にログオンし、グローバルコンフィギュレーションモードを開始します。グローバルコンフィギュレーションモードでは、ASA は hostname(config)# プロンプトを表示します。

手順

ステップ 1

webvpn コンフィギュレーションモードを開始します。

例:

webvpn

ステップ 2

ASA からスタンドアロンの HostScan イメージがアンインストールされていない場合、このイメージを有効にします。

hostscan enable

ステップ 3

インストールされているすべての HostScan パッケージの HostScan を無効にします。

（注）

有効になっている HostScan イメージをアンインストールする前に、このコマンドを使用して、HostScan を無効にする必要があります。

no hostscan enable

ASA で有効になっている HostScan バージョンの表示

この手順では、ASA のコマンドラインインターフェイスを使用して、有効になっている HostScan のバージョンを特定します。

始める前に

ASA にログインし、特権 EXEC モードを開始します。ASA の特権 EXEC モードでは、表示されるプロンプトは hostname# となります。

手順

ASA 上で有効になっている HostScan のバージョンを表示します。

show webvpn hostscan

HostScan のアンインストール

HostScan パッケージをアンインストールすると、ASDM インターフェイス上のビューから削除されます。これにより、HostScan が有効になっている場合でも ASA による HostScan パッケージの展開が回避されます。HostScan をアンインストールしても、HostScan パッケージはフラッシュドライブから削除されません。

始める前に

手順

ステップ 1	webvpn コンフィギュレーションモードを開始します。 webvpn
ステップ 2	アンインストールする HostScan イメージを無効にします。 no hostscanenable
ステップ 3	アンインストールする HostScan イメージへのパスを指定します。スタンドアロンの HostScan パッケージが HostScan パッケージとして指定されている場合があります。 no hostscan image path 例: `hostname(webvpn)#no hostscan image disk0:/hostscan-3.6.0-k9.pkg`
ステップ 4	実行コンフィギュレーションをフラッシュメモリに保存します。新しいコンフィギュレーションがフラッシュメモリに正常に保存されると、[OK] メッセージが表示されます。 write memory

グループポリシーへの AnyConnect フィーチャモジュールの割り当て

次の手順で、AnyConnect フィーチャモジュールとグループポリシーを関連付けます。VPN ユーザが ASA に接続するときに、ASA はこれらの AnyConnect フィーチャモジュールをエンドポイントコンピュータにダウンロードしてインストールします。

始める前に

手順

ステップ 1

ネットワーククライアントアクセス用の内部グループポリシーを追加します。

group-policy name internal

例:


hostname(config)# group-policy PostureModuleGroup internal

ステップ 2

新しいグループポリシーを編集します。このコマンドを入力した後は、グループポリシーコンフィギュレーションモードのプロンプト hostname(config-group-policy)# が表示されます。

group-policy name attributes

例:

hostname(config)# group-policy PostureModuleGroup attributes

ステップ 3

グループポリシー webvpn コンフィギュレーションモードを開始します。このコマンドを入力した後は、次に示す ASA のプロンプトが表示されます。hostname(config-group-webvpn)#

webvpn

ステップ 4

グループ内のすべてのユーザに AnyConnect フィーチャモジュールがダウンロードされるように、グループポリシーを設定します。

anyconnect modules value AnyConnect Module Name

anyconnect module コマンドの value には、次の値の 1 つ以上を指定することができます。複数のモジュールを指定する場合は、値をカンマで区切ります。


値	AnyConnect モジュール/機能名
dart	AnyConnect DART（診断およびレポートツール）
vpngina	AnyConnect SBL（Start Before Logon）
websecurity	AnyConnect Web セキュリティモジュール
telemetry	AnyConnect テレメトリモジュール
posture	AnyConnect ポスチャモジュール
nam	AnyConnect ネットワークアクセスマネージャ
none	グループポリシーからすべての AnyConnect モジュールを削除する場合に使用します。

例:


hostname(config-group-webvpn)# anyconnect modules value websecurity,telemetry,posture

モジュールの 1 つを削除するには、保持したいモジュールの値だけを指定したコマンドを再送信します。たとえば、このコマンドは Web セキュリティモジュールを削除します。


hostname(config-group-webvpn)# anyconnect modules value telemetry,posture

ステップ 5

実行コンフィギュレーションをフラッシュメモリに保存します。

新しいコンフィギュレーションが正常にフラッシュメモリに保存されると、[OK] というメッセージが表示され、次に示す ASA のプロンプトが表示されます。hostname(config-group-webvpn)#

write memory

HostScan の関連マニュアル

HostScan がエンドポイントコンピュータからポスチャクレデンシャルを収集した後は、情報を活用するために、ダイナミックアクセスポリシーの設定、Lua の式の使用などのサブジェクトを理解する必要があります。

これらの内容については、次のマニュアルで詳しく説明します。

また、AnyConnect クライアントでの HostScan の動作の詳細については、『Cisco AnyConnect Secure Mobility Client Administrator Guide』を参照してください。

CLI ブック 3：Cisco ASA シリーズ VPN CLI 9.6 コンフィギュレーションガイド

偏向のない言語

翻訳について

Book Title

CLI ブック 3：Cisco ASA シリーズ VPN CLI 9.6 コンフィギュレーションガイド

Chapter Title