CI/CDパイプラインは、ソフトウェアアプリケーションの開発、テスト、デプロイメントを自動化するプロセスです。CI/CDパイプラインには通常、ソースコード管理、ビルド自動化、テスト、セキュリティスキャン、デプロイメントなど、複数のツールとステージが含まれます。CI/CDパイプラインを安全に運用するためのベストプラクティスの一つは、設定ファイルやCI/CDビルドツールに秘密情報をハードコーディングすることを避け、パイプラインリソースへのアクセスを認証・承認できるセキュアアクセスソリューションを使用することです。
Duo Network Gatewayは、VPNやファイアウォールルールの変更を必要とせず、社内Webアプリケーションへの安全なアクセスを提供するクラウドベースのソリューションです。Duo Network GatewayはDuoの2要素認証（2FA）サービスと統合されており、Webアプリケーションへのアクセスを許可する前にユーザーとデバイスのIDを検証します。また、Duo Network Gatewayは、Active Directory、Azure AD、Google、OktaなどのさまざまなIDプロバイダーとのシングルサインオン（SSO）およびIDフェデレーションもサポートしています。
Duo Network Gateway を使用すると、社内の Web アプリケーションをインターネットに公開したり、セキュリティを損なったりすることなく、CI/CD パイプラインを活用できます。Duo Network Gateway は、ソースコードリポジトリ、ビルドサーバー、テストツール、デプロイメントプラットフォームへのアクセスを保護します。また、ユーザーの役割、デバイスの健全性、場所、時間に基づいて、きめ細かなアクセスポリシーを適用することもできます。Duo Network Gateway は、PCI DSS、HIPAA、GDPR などの業界標準や規制へのコンプライアンス達成を支援します。
他の選択肢は、CI/CDパイプラインへのアクセスを保護する上で、Duo Network Gatewayほど適していません。リモートアクセスクライアントとは、VPNクライアントのように、ユーザーがリモートネットワークまたはサーバーに接続できるようにするソフトウェアです。しかし、VPNクライアントは、ネットワーク全体を潜在的な攻撃にさらしたり、複雑なファイアウォール設定やネットワークセグメンテーションを必要としたりする可能性があるため、CI/CDパイプラインに十分なセキュリティを提供できない可能性があります。また、VPNクライアントはネットワーク接続の品質と可用性に依存するため、パフォーマンスと信頼性の問題を引き起こす可能性もあります。
SSL WebVPNは、Cisco Adaptive Security Appliance（ASA）の機能であり、ユーザーがSSL/TLS経由でWebベースのリソースに安全にアクセスできるようにします。SSL WebVPNは、Webアプリケーション、メール、ファイル共有、その他のネットワークサービスへの安全なアクセスを提供します。ただし、SSL WebVPNはCI/CDパイプラインのすべてのツールとステージをサポートできない場合があります。これは、一部のツールとステージではSSH、RDP、VNCなどのWeb以外のプロトコルが必要になる場合があるためです。また、多数の同時ユーザーと接続をサポートするには、追加のライセンスとハードウェアリソースが必要になる場合もあります。
Cisco FTD ネットワーク ゲートウェイは、Cisco ASA と Cisco Firepower の機能を組み合わせた統合プラットフォームです。Cisco FTD ネットワーク ゲートウェイは、ファイアウォール、侵入防御、マルウェア対策、VPN サービスを提供できます。また、Cisco Identity Services Engine（ISE）と統合することで、アイデンティティベースのアクセス制御と可視性を実現できます。ただし、Cisco FTD ネットワーク ゲートウェイは、複雑なネットワーク設計と導入が必要になる場合があり、すべての CI/CD ツールとプロトコルをサポートしていない可能性があるため、CI/CD パイプラインへのアクセスを保護するための最適なソリューションではない可能性があります。また、Cisco FTD ネットワーク ゲートウェイには、追加のコストとメンテナンス作業が発生する可能性もあります。
参考資料 := : セキュア CI/CD パイプライン：CI/CD シークレットの管理に関するベストプラクティス : Duo Network Gateway | Duo Security : VPN と Duo Network Gateway の比較 | Duo Security : Cisco ASA 向け SSL VPN 導入ガイド - Cisco : Cisco Firepower Threat Defense コンフィギュレーション ガイド（Firepower Device Manager バージョン 6.7 向け） - VPN の概要 [Cisco Firepower NGFW]

Cisco ISE は、「プロファイリング」を実行することで、ネットワークに接続しているデバイスまたはエンドポイントの種類を判別できます。プロファイリングは、DHCP、SNMP、Span、NetFlow、HTTP、RADIUS、DNS、または NMAP スキャンを使用して、可能な限り多くのメタデータを収集し、デバイスのフィンガープリントを学習することで実行されます。
NMAP（Network Mapper）は、多くの機能を備えた人気のネットワークスキャナーです。その一つがOUI（Organizationally Unique Identifier）情報です。OUIは、MACアドレスの最初の24ビット、つまり6桁の16進数値です。
注: DHCPプローブはエンドポイントのOUIを収集できません。NMAPスキャンプローブは以下のエンドポイント属性を収集できます。
+ エンドポイントポリシー
+ 最終Nmapスキャン回数
+ Nmapスキャンカウント
+ はい
+ オペレーティングシステム
Cisco ISE は、「プロファイリング」を実行することで、ネットワークに接続しているデバイスまたはエンドポイントの種類を判別できます。プロファイリングは、DHCP、SNMP、Span、NetFlow、HTTP、RADIUS、DNS、または NMAP スキャンを使用して、可能な限り多くのメタデータを収集し、デバイスのフィンガープリントを学習することで実行されます。
NMAP（Network Mapper）は、多くの機能を備えた人気のネットワークスキャナーです。その一つがOUI（Organizationally Unique Identifier）情報です。OUIは、MACアドレスの最初の24ビット、つまり6桁の16進数値です。
注: DHCPプローブはエンドポイントのOUIを収集できません。NMAPスキャンプローブは以下のエンドポイント属性を収集できます。
+ エンドポイントポリシー
+ 最終Nmapスキャン回数
+ Nmapスキャンカウント
+ はい
+ オペレーティングシステム
参照：
Cisco ISE は、「プロファイリング」を実行することで、ネットワークに接続しているデバイスまたはエンドポイントの種類を判別できます。プロファイリングは、DHCP、SNMP、Span、NetFlow、HTTP、RADIUS、DNS、または NMAP スキャンを使用して、可能な限り多くのメタデータを収集し、デバイスのフィンガープリントを学習することで実行されます。
NMAP（Network Mapper）は、多くの機能を備えた人気のネットワークスキャナーです。その一つがOUI（Organizationally Unique Identifier）情報です。OUIは、MACアドレスの最初の24ビット、つまり6桁の16進数値です。
注: DHCPプローブはエンドポイントのOUIを収集できません。NMAPスキャンプローブは以下のエンドポイント属性を収集できます。
+ エンドポイントポリシー
+ 最終Nmapスキャン回数
+ Nmapスキャンカウント
+ はい
+ オペレーティングシステム

説明
クロスサイトスクリプティング（XSS）は、Webアプリケーションがユーザーから悪意のあるデータを収集する際に発生します。収集されるデータは通常、悪意のあるコンテンツを含むハイパーリンクの形で提供されます。ユーザーは、他のWebサイト、インスタントメッセージ、あるいは単にWeb掲示板やメールを読んでいるときに、このリンクをクリックする可能性が高くなります。
通常、攻撃者はサイトへのリンクの悪意のある部分を HEX (またはその他のエンコード方式) でエンコードするため、ユーザーがクリックしたときにそのリクエストがそれほど疑わしく見えなくなります。
例えば、以下のコードは16進数で書かれています: <a
href=javascript:alert
x28'XSS')>ここをクリック</a>
は次と同等です:
<a href=javascript:alert('XSS')>ここをクリック</a>
注: 「&#xhhhh」の形式では、hhhh は 16 進形式のコード ポイントです。