シスコ PIX

Cisco PIX ( Private Internet X change) は、人気の高い IP ファイアウォールおよびネットワーク アドレス変換 (NAT) アプライアンスです。この市場セグメントにおける最初の製品の1 つでした。

2005 年に、シスコはPIX の多くの機能を継承した新しい Cisco Adaptive Security Appliance ( Cisco ASA ) を導入し、2008 年に PIX の販売終了を発表しました。

PIXテクノロジーは、Cisco Catalyst 6500スイッチシリーズおよび7600ルータシリーズ用のブレード、ファイアウォールサービスモジュール（FWSM）で販売されていましたが、2007年9月26日をもってサポート終了となりました。^[1]

PIX は、もともと 1994 年初頭にカリフォルニア州レッドウッドシティの John Mayes 氏によって考案され、ジョージア州アセンズのBrantley Coile 氏によって設計およびコード化されました。PIX という名前は、当時発生していた登録済みIP アドレスの不足を解決するために、 IP PBXと同等の機能を持つものを作成するという開発者の目的に由来しています。NAT が実行可能なアプローチとして調査されていた当時、開発者は、PBX が内線電話の内線電話に行っているように、1 つまたは複数の登録済み IP アドレスの背後に IP アドレスのブロックを隠すことを望んでいました。開発者が作業を開始したとき、RFC 1597 および RFC 1631 が議論されていましたが、現在ではおなじみのRFC 1918 はまだ提出されていませんでした。

設計とテストは 1994 年に Network Translation, Inc. の John Mayes、Brantley Coile、Johnson Wu によって実施され、Brantley Coile が唯一のソフトウェア開発者でした。PIX シリアル番号 000000 のベータ テストが完了し、最初の顧客受け入れは 1994 年 12 月 21 日にカリフォルニア州サンノゼの KLA Instruments で行われました。PIX はすぐに主要なエンタープライズ ファイアウォール製品の 1 つとなり、1995 年 1 月に Data Communications Magazine の「Hot Product of the Year」賞を受賞しました。^[2]

Cisco が 1995 年 11 月に Network Translation を買収する直前に、Mayes と Coile は 2 人の長年の同僚、Richard (Chip) Howes と Pete Tenereillo を雇用し、買収後すぐに、さらに 2 人の長年の同僚、Jim Jordan と Tom Bohannon を雇用しました。2 人は協力して、Finesse OS と、現在 PIX "Classic" として知られる Cisco PIX Firewall のオリジナル バージョンの開発を続けました。この間、PIX はほとんどのコードを別の Cisco 製品であるLocalDirectorと共有していました。

2008 年 1 月 28 日、シスコはすべての Cisco PIX セキュリティ アプライアンス、ソフトウェア、アクセサリ、ライセンスの販売終了とサポート終了を発表しました。Cisco PIX セキュリティ アプライアンス プラットフォームとバンドルの購入期限は 2008 年 7 月 28 日でした。アクセサリとライセンスの購入期限は 2009 年 1 月 27 日でした。シスコは 2013 年 7 月 29 日に Cisco PIX セキュリティ アプライアンスの顧客に対するサポートを終了しました。^{[3] [4]}

2005 年 5 月、シスコは PIX、VPN 3000 シリーズ、およびIPS製品ラインの機能を組み合わせた ASA を発表しました。ASA シリーズのデバイスは PIX コード 7.0 以降を実行します。PIX OS リリース 7.x までは、PIX と ASA は同じソフトウェア イメージを使用します。PIX OS バージョン 8.x 以降では、オペレーティング システム コードが分岐し、ASA は Linux カーネルを使用し、PIX は従来の Finesse/PIX OS の組み合わせを引き続き使用します。^[5]

PIX は、もともと Finese ( Fast Internet Service Executive ) と呼ばれていたカスタム作成された独自のオペレーティング システムを実行しますが、2014 年現在、このソフトウェアは単に PIX OS として知られています。ステートフル インスペクションを備えたネットワーク層ファイアウォールとして分類されていますが、技術的には PIX はより正確にはレイヤー 4、つまりトランスポート層ファイアウォールと呼ばれます。これは、そのアクセスがネットワーク層ルーティングに制限されず、ソケットベースの接続 (ポートと IP アドレス: ポート通信はレイヤー 4 で行われる) に制限されるためです。デフォルトでは、内部接続 (送信トラフィック) を許可し、有効な要求への応答であるか、アクセス制御リスト(ACL) またはコンジットによって許可された受信トラフィックのみを許可します。管理者は、ネットワーク アドレス変換(NAT) やポート アドレス変換(PAT)などの多くの機能を実行できるように PIX を設定できるほか、仮想プライベート ネットワーク(VPN) エンドポイント アプライアンスとして機能するようにもできます。 ^[update]

PIX は、「fixup」コマンドの導入により、プロトコル固有のフィルタリングを導入した最初の市販ファイアウォール製品となりました。PIX の「fixup」機能により、ファイアウォールは、特定のプロトコルを使用していると識別された接続に追加のセキュリティ ポリシーを適用できます。特定の fixup 動作が開発されたプロトコルには、DNS と SMTP があります。DNS fixup は、当初は非常に単純ですが効果的なセキュリティ ポリシーを実装していました。保護された (内部と呼ばれる) インターフェイス上のクライアントからの DNS 要求ごとに、インターネット上の DNS サーバー (外部インターフェイスと呼ばれる) からの DNS 応答を 1 つだけ許可していました。PIX OS の以降のバージョンでは、「fixup」は「Inspect」に置き換えられました。

Cisco PIX は、 IPSec VPN ゲートウェイ機能 を組み込んだ最初の市販セキュリティ アプライアンスの 1 つでもありました。

管理者は、コマンドラインインターフェイス(CLI) またはグラフィカルユーザーインターフェイス(GUI) を介して PIX を管理できます。CLI には、シリアルコンソール、Telnet、SSHからアクセスできます。GUI 管理はバージョン 4.1 から始まり、いくつかのバージョンを経てきました。^{[6] [7] [8]}

• PIX OS バージョン 4.x および 5.x 用の PIX Firewall Manager (PFM)。Windows NT クライアント上でローカルに実行されます。
• PIX OS バージョン 6.x 用の PIX デバイス マネージャ (PDM)。https 経由で実行され、 Java が必要です。
• PIX OS バージョン 7 以降用の Adaptive Security Device Manager (ASDM)。クライアント上でローカルに実行することも、HTTPS 経由で機能制限モードで実行することもできます。

Cisco は Network Translation から PIX を取得したため、CLI は当初Cisco IOS構文と一致していませんでした。バージョン 7.0 以降、設定は IOS にかなり類似したものになりました。

オリジナルのNTI PIXとPIX ClassicのケースはOEMプロバイダーのApproから供給されていました。すべてのフラッシュカードと初期の暗号化アクセラレーションカードであるPIX-PLとPIX-PL2は、生産性向上製品（PEP）から供給されていました。^[9]後期モデルのケースはCisco OEMメーカーから供給されました。

PIX は、 Intelベース/Intel 互換のマザーボードを使用して構築されました。PIX 501 はAm5x86プロセッサを使用し、他のすべてのスタンドアロン モデルは Intel 80486から Pentium III までのプロセッサを使用しました。

PIX は、NTI PIX、PIX Classic、10000、510、520、および 535 の場合、独自のISAフラッシュ メモリドーターカードから起動し、PIX 501、506/506e、515/515e、525、および WS-SVC-FWM-1-K9 の場合、統合フラッシュ メモリから起動します。後者は、Catalyst 6500 および 7600 ルータのファイアウォール サービス モジュールに実装されている PIX テクノロジの部品コードです。

アダプティブ セキュリティ アプライアンスは、シスコ製のネットワークファイアウォールです。2005 年に Cisco PIX ラインの代替として導入されました。^[10]ステートフル ファイアウォール機能とともに、ASA のもう 1 つの焦点は仮想プライベート ネットワーク (VPN) 機能です。また、侵入防止機能とVoice over IP 機能も備えています。ASA 5500 シリーズの後継として 5500-X シリーズが登場しました。5500-X シリーズは、ハードウェア アクセラレーション セキュリティ モジュールよりも仮想化に重点を置いています。

2005年にシスコは5510、5520、5540モデルをリリースしました。^[11]

ASAは引き続きPIXコードベースを使用していますが、ASA OSソフトウェアがメジャーバージョン7.Xから8.Xに移行したときに、Finesse/Pix OSオペレーティングシステムプラットフォームからLinuxオペレーティングシステムプラットフォームに移行しました。また、Cisco IPS 4200侵入防御システムとCisco VPN 3000コンセントレータの機能も統合されています。^[12]

ASA は、Intel 80x86 ハードウェアの PIX 系譜を継承しています。

Cisco PIX VPN製品は、2016年より前にNSAと関係のある^[13]グループEquation Groupによってハッキングされた。Equation Groupは、攻撃者に事前共有パスワードを明らかにするBENIGNCERTAINというコード名のツールを開発した（ CVE - 2016-6415 ^{[14] ）。Equation Groupはその後、} The Shadow Brokersと呼ばれる別のグループによってハッキングされ、同グループは他のグループとともにエクスプロイトを公開した。^{[15] [16] [17] [18]} Ars Technicaによると、NSAはスノーデンの漏洩を引用して、10年以上にわたってこの脆弱性を利用してVPN接続を盗聴していた可能性がある。^[19]

Cisco ASAブランドも Equation Group によってハッキングされました。この脆弱性を利用するには、攻撃者がSSHとSNMP の両方にアクセスできる必要があります。NSA がこのエクスプロイトに付けたコード名は EXTRABACON でした。このバグとエクスプロイト ( CVE - 2016-6366 ^[20] ) も、同じエクスプロイトとバックドアのバッチで ShadowBrokers によって漏洩されました。Ars Technica によると、漏洩したエクスプロイトが処理できるものよりも新しいバージョンの Cisco ASA に対して、このエクスプロイトを簡単に実行できるとのことです。^[21]

2018年1月29日、NCCグループのセドリック・ハルブロン氏によって、Cisco ASAブランドのセキュリティ問題が公表されました。Cisco Adaptive Security Appliance (ASA)ソフトウェアのSecure Sockets Layer (SSL) VPN機能におけるuse-after-freeバグにより、認証されていないリモート攻撃者が影響を受けるシステムをリロードしたり、リモートでコードを実行したりする可能性があります。このバグはCVE - 2018-0101としてリストされています。^{[22] [23] [24]}

• Cisco ローカルディレクター

Wikimedia Commons には、Cisco PIXに関連するメディアがあります。