デバイス上のすべての IKE ポリシーは、選択されたポリシー セクションの内容に関係なく、リモート ピアに送信されます。リモート ピアによって一致した最初の IKE ポリシーが VPN 接続用に選択されます。優先度フィールドを使用して、最初に送信されるポリシーを選択します。優先度 1 が最初に送信されます。参照: https://www.cisco.com/c/en/us/support/docs/security-vpn/ipsec-negotiation-ike-protocols/215470- site-to-site-vpn-configuration-on-ftd-ma.html リモート ピアによって一致した最初の IKE ポリシーが VPN 接続用に選択されます。優先度フィールドを使用して、最初に送信されるポリシーを選択します。優先度 1 が最初に送信されます。
デバイス上のすべてのIKEポリシーは、選択されたポリシーセクションの内容に関わらず、リモートピアに送信されます。リモートピアによって最初に一致したIKEポリシーがVPN接続に選択されます。優先度フィールドを使用して、最初に送信するポリシーを選択してください。優先度1が最初に送信されます。参照：https://www.cisco.com/c/en/us/support/docs/security-vpn/ipsec-negotiation-ike-protocols/215470- site-to-site-vpn-configuration-on-ftd-ma.html

多要素認証（MFA）は、ユーザーが知っているもの（パスワードなど）、ユーザーが持っているもの（トークンなど）、またはユーザー自身に備わっているもの（生体認証など）といった2つ以上の要素を要求することで、ユーザーの身元を確認する方法です。MFAは、フィッシングやブルートフォース攻撃など、ユーザーの認証情報を盗んだり推測したりすることに依存する一般的なサイバー攻撃の一部を防止または軽減することができます。12
フィッシングとは、攻撃者が銀行や政府機関などの正規の送信元を装った不正な電子メールやメッセージを送信し、ユーザーを騙して悪意のあるリンクや添付ファイルをクリックさせたり、認証情報や個人情報を提供させようとする攻撃です。34 MFAは、攻撃者がフィッシングメールやメッセージから入手できない追加の認証要素（ユーザーの電話や電子メールに送信されるワンタイムパスワード（OTP）や、指紋や顔認証などの生体認証など）を要求することで、フィッシング攻撃を防ぐことができます。56
* ブルートフォース攻撃とは、攻撃者が文字、単語、フレーズのさまざまな組み合わせを体系的に試して、正しいパスワードを見つけるまで試行錯誤する攻撃です。MFA（多要素認証）は、物理的なトークンやユーザーが承認する必要のあるプッシュ通知など、攻撃者が推測できない追加の認証要素を要求することで、ブルートフォース攻撃を防ぐことができます。
1: Cisco Security Core Technologies (SCOR) v1.0 の実装と運用コースの概要 2: MFA はどのような攻撃を防ぐのか？ | OneLogin 3: 多要素認証の 5 つの脆弱性とその解決方法 4: FBI が多要素認証 (MFA) を回避する攻撃について警告 5: MFA 疲労攻撃からユーザーを守る - Microsoft Community Hub 6: 多要素認証はどのような攻撃を防ぐのか？ : ブルートフォース攻撃を防ぐ方法 | Cloudflare : ブルートフォース攻撃 - 概要
| ScienceDirect トピック：多要素認証 - Wikipedia：多要素認証疲労攻撃が増加中：それらから身を守る方法 | CSO Online

参照：
https://www.cisco.com/c/en/us/support/docs/security/asa-5500-x-firepowerservices/200451-Configure-Intrusion-Policy-and-Signature.html

WannaCryランサムウェアは、感染したデバイス上のファイルを暗号化し、復号化のために身代金を要求するマルウェアの一種です。Windows SMBプロトコルの脆弱性を悪用し、リモートコード実行を可能にします。WannaCryランサムウェアがすべてのクライアントに拡散するのを防ぐため、IT部門は以下の対策を講じる必要があります。
* 潜在的な被害を封じ込めるため、準拠していないエンドポイントは必ず隔離してください。つまり、パッチが適用されていない、管理されていない、またはセキュリティポリシーに準拠していないデバイスは、ネットワークの他の部分から隔離し、リソースへのアクセスを制限する必要があります。これは、デバイスのID、状態、およびコンテキストに基づいて動的なセグメンテーションを強制できるCisco Identity Services Engine（ISE）とCisco TrustSecを使用して実現できます。このようにして、IT部門はランサムウェアが他のデバイスに感染するのを防ぎ、攻撃の影響を軽減できます。12
* 既にパッチが適用されている Windows デバイスのみがネットワークにアクセスできるように、ポスチャチェックを実行します。つまり、IT 部門は、デバイスに SMB の脆弱性を修正する Microsoft の最新のセキュリティ更新プログラムがインストールされていることを確認する必要があります。これは、VPN ポスチャ/ホストスキャン モジュールと ISE ポスチャ モジュールを提供する Cisco AnyConnect Secure Mobility Client を使用して実行できます。どちらのモジュールも、オペレーティングシステム、パッチ、ウイルス対策、スパイウェア対策、ファイアウォール ソフトウェアなどについてエンドポイントのコンプライアンスを評価できます。デバイスにパッチが適用されていない場合は、ネットワークへのアクセスを拒否するか、修復ポータルにリダイレクトすることができます。13 参照: 1: Cisco AnyConnect Secure Mobility Client 管理者ガイド、リリース 4.0 - ポスチャの設定 2: デバイスを信頼できますか? セキュリティ ポスチャの確認 - Cisco 3: Cisco AnyConnect Secure Mobility Client 管理者ガイド、リリース 4.10 - ポスチャの設定

Cisco ISEは、「プロファイリング」を実行することで、ネットワークに接続しているデバイスまたはエンドポイントの種類を特定できます。プロファイリングは、DHCP、SNMP、Span、NetFlow、HTTP、RADIUS、DNS、またはNMAPスキャンを使用して、可能な限り多くのメタデータを収集し、デバイスのフィンガープリントを学習することによって行われます。
NMAP（Network Mapper）は、多くの機能を提供する人気のネットワークスキャナです。その機能の一つに、OUI（Organizationally Unique Identifier）情報があります。OUIは、MACアドレスの最初の24ビット、つまり16進数で表した6桁の値です。
注：DHCPプローブはエンドポイントのOUIを収集できません。NMAPスキャンプローブは、以下のエンドポイント属性を収集できます。
+ エンドポイントポリシー
+ 最終マップスキャン回数
+ NmapScanCount
+ はい
+ オペレーティングシステム
Cisco ISEは、「プロファイリング」を実行することで、ネットワークに接続しているデバイスまたはエンドポイントの種類を特定できます。プロファイリングは、DHCP、SNMP、Span、NetFlow、HTTP、RADIUS、DNS、またはNMAPスキャンを使用して、可能な限り多くのメタデータを収集し、デバイスのフィンガープリントを学習することによって行われます。
NMAP（Network Mapper）は、多くの機能を提供する人気のネットワークスキャナです。その機能の一つに、OUI（Organizationally Unique Identifier）情報があります。OUIは、MACアドレスの最初の24ビット、つまり16進数で表した6桁の値です。
注：DHCPプローブはエンドポイントのOUIを収集できません。NMAPスキャンプローブは、以下のエンドポイント属性を収集できます。
+ エンドポイントポリシー
+ 最終マップスキャン回数
+ NmapScanCount
+ はい
+ オペレーティングシステム
参照：
Cisco ISEは、「プロファイリング」を実行することで、ネットワークに接続しているデバイスまたはエンドポイントの種類を特定できます。プロファイリングは、DHCP、SNMP、Span、NetFlow、HTTP、RADIUS、DNS、またはNMAPスキャンを使用して、可能な限り多くのメタデータを収集し、デバイスのフィンガープリントを学習することによって行われます。
NMAP（Network Mapper）は、多くの機能を提供する人気のネットワークスキャナです。その機能の一つに、OUI（Organizationally Unique Identifier）情報があります。OUIは、MACアドレスの最初の24ビット、つまり16進数で表した6桁の値です。
注：DHCPプローブはエンドポイントのOUIを収集できません。NMAPスキャンプローブは、以下のエンドポイント属性を収集できます。
+ エンドポイントポリシー
+ 最終マップスキャン回数
+ NmapScanCount
+ はい
+ オペレーティングシステム