分散防御の設定

1. [ Config > Notifications ] ページに移動し、左側のパネル メニューから [Alert Settings ] を選択します。

2. [新しい atp レルムの作成通知] をクリックして、新しい [イベント] または [システム監査] または [システム正常性] アラートを設定します。

3. 使用可能なオプション(詳細は以下の説明を参照)から選択し、「追加」をクリックして構成を完了し、新しいアラート構成を「現在の通知」リストに追加します。

1. 既存のアラート通知設定を表示、削除、または編集するには、選択したアラートの [現在の通知(Current Notification)] テーブルで [表示(Display)]、[削除(Delete)]、または [編集(Edit)] をクリックします。

2. 必要に応じて現在の設定とフィールドを編集、変更、または削除し、[ 保存]をクリックします。

• アラートレポート表示のサンプルを以下に示します。

イベント、システム監査、およびシステム正常性アラートの設定の説明を次の表に示します。

• 電子メール通知設定をテストするには、を参照してください。

イベントまたはシステム監査通知をCEF、LEEF、またはSyslog形式のログとして指定されたホストに送信するために、SIEM設定を構成します。

図 2: SIEM 通知の設定

システム健全性アラートの構成時にSIEM設定としてSyslogを選択した場合は、Juniper ATP Applianceから送信されるSyslogメッセージにホスト名またはプロセス名を含めることができます。

1. [ Config>Notifications ]ページに移動し、左側のパネルメニューから[ SIEM設定 ]を選択します。

2. [ 新しい SIEM コネクタの追加(Add New SIEM Connector )] をクリックして、CEF または Syslog 形式で新しいイベント、システム監査、またはシステム正常性ログ通知を設定します。

3. 使用可能なオプション (以下の説明を参照) から選択し、[追加] をクリックして構成を完了し、新しい SIEM コネクタ構成を [アクティブな SIEMS] リストに追加します。

incident_idまたはevent_idを指定すると、以下のURLを使用して、Juniper ATP Appliance Web UIに相対的な詳細を表示できます。

「JUNIPERATPAPPLIANCE_HOSTNAME_HERE」をJuniper ATP Applianceのホスト名に、「0000000」をevent_idまたはincident_idに置き換えてください。

• https://JATPAPPLIANCE_HOSTNAME_HERE/admin/index.html?incident_id=0000000

• https://JATPAPPLIANCE_HOSTNAME_HERE/admin/index.html?event_id=0000000

1. 最近のレポートを表示したり、既存の SIEM 設定を削除または編集したりするには、選択した設定行の [Active SIEM] テーブルで [表示]、[削除]、または [編集] をそれぞれクリックします。

2. 必要に応じて現在の設定とフィールドを編集、変更、または削除し、[ 保存]をクリックします。

SIEM イベントまたはシステム監査のアラート通知は、[Config>System Settings] メニューから [Outgoing Mail Settings] が設定されている場合にのみ使用できます。

イベントアラート設定の説明を次の表に示します。

[パスワードのリセット] 設定ウィンドウを使用して、Juniper ATP Appliance Central Manager Web UI へのアクセスに使用する管理者パスワードをリセットします。

図 3: パスワード リセット構成

Central Manager のパスワードをリセットするには、次の手順を実行します。

1. [Config>System Profiles>Password Reset]ページに移動します。

2. 「古いパスワード」フィールドに現在のパスワードを入力します。

3. 「新しいパスワード」フィールドに新しいパスワードを入力し、「パスワードの再入力」フィールドにそのパスワードを再入力します。

4. 「送信」をクリックします

管理者パスワードをリカバリーするには、アプライアンスに物理的にアクセスできる必要があります。パスワードリカバリーコマンドをリモートで実行することはできません。「recovery」という名前のユーザーは、パスワードなしでログインでき、限られた量のコマンドを入力できます。

管理者パスワードを回復するには、次の操作を行います。

1. ログインを求められたら、アプライアンスで直接ユーザー名 recovery を入力します。

2. パスワードをリセットする reset-admin-password を入力します。

   回復ユーザーが使用できるその他のコマンドは、 exit、 help、および history のみです。

Web UI の [レポート(Reports )] で、監査ログに UI ユーザを表示するだけでなく、監査ログに Admin および Recovery-admin CLI ユーザも表示できるようになりました。

Juniper ATP Applianceでは、企業がJuniper ATP Appliance製品のユーザーを、業務遂行に必要なデータに固有のロールと権限に制限するオプションを提供しています。さらに、リモート認証とRADIUS/SAML構成は、Juniper ATP Applianceのロールベースのアクセス制御(RBAC)オプションをサポートします。

役割の設定では、システム内のすべての新規ユーザーを役割に関連付ける必要があり、Juniper ATP Appliance製品のさまざまな機能へのアクセスは、定義されたユーザー権限によって制御されます。いくつかのデフォルトロールを使用できますが、必要に応じてさらに多くのロールを作成できます。既存のユーザーは、新しい RBAC システムに自動的に移行されます。

役割の設定後、ユーザーがJuniper ATP Appliance製品に正常にログインすると、機能へのユーザーアクセスは、(ユーザー設定時にユーザーに関連付けられたロールを介して)そのユーザーに割り当てられたマッピングされた権限に従って制御されます。

確立されたユーザーの新しいロールを設定するには、次の手順を実行します。

1. [Config>System Profiles>Roles] ページに移動します。

   手記：

   [Config>System Profiles>Users] ページに移動して、新しいユーザーを作成してから、そのユーザーのアクセス ロールを定義します。

   図 4: ユーザー ロールベースのアクセス制御を構成するための [ロール(Roles)] ページ

2. 「新規ロールの追加」をクリックして、新しいロールを定義します。

3. [Add New Roles] ウィンドウで、「Role」名を入力します。

   手記：

   デフォルトロールには、「デフォルト管理者ロール」と「デフォルト非管理者ロール」の 2 つがあります

4. リモート グループ名を入力します(オプション)。

   手記：

   リモートグループ名は、SAMLまたはRADIUS設定によるリモート認証用に定義された名前に固有です。

5. 「はい」または「いいえ」をクリックして、新しいロールに管理者ステータスを割り当てます。

   手記：

   管理者ステータスが「いいえ」の場合、「権限」オプションが表示されます。管理者にはデフォルトですべての権限が割り当てられているため、管理者ステータスが「はい」に設定されている場合、このリストは表示されません。

6. 管理者ステータスが「いいえ」の場合は、新しいロールに割り当てる権限のセットをクリックして選択します。

7. [追加] をクリックして、ロールの構成を完了します。新しいロールが [Current Roles Configured] テーブルに追加されます。

   手記：

   に移動して、設定されたロールをユーザーアカウントに追加します。

8. 「削除」(Delete) ボタンをクリックして、「現在のロール設定」(Current Roles Configured) テーブルからロール設定を削除します。

   手記：

   ユーザーがアクティブにマップされているロールは削除できません。

9. 「編集」ボタンをクリックして、設定を変更します。

ローカルおよびリモートで認証されたJuniper ATP Applianceユーザーは、以下のデフォルトロールを利用できます。

Juniper ATP Applianceのリモート認証機能は、ロールベースのアクセス制御(RBAC)をサポートします。

• リモート認証のSAML 構成を有効にするには、 を参照してください。リモートグループ名は、Juniper ATP Applianceシステム用に設定した有効なロールにマッピングする必要があります。

• リモート認証とRBAC用にRADIUSを設定するには、 を参照してください。

  手記：

  Juniper ATP Applianceでは、一度に1種類のリモート認証(SAMLまたはRADIUS)のみ使用できます。リモートグループ名は、Juniper ATP Applianceに設定した有効なロールにマッピングする必要があることも覚えておいてください。リモートグループ名は、SAMLまたはRADIUS設定によるリモート認証用に定義された名前に固有です。

• 「Active Directory の構成」も参照してください。

Juniper ATP Applianceアクセス用のユーザーアカウントを作成するには、Config>Usersページを開きます。各アカウントに割り当てられたロールによって、ユーザーがアプライアンスを管理できるか、単にデバッグタスクを実行できるかが決まります。

次のデフォルトロールが定義されています。

• Default Administrator—すべての監視機能と管理機能へのフル アクセスを許可します。定義済みの管理者アカウントには、このロールがあります。

• Debugging- デバッグ機能へのアクセスのみを許可します。デバッグ ロールを持つユーザーは、CLI または [設定(Config)] オプションを表示またはアクセスできません。デバッグ ロールを持つユーザーはシステムに含まれますが、既定では無効になっています。

• Default Non-Administrator:[Config>System Profiles>Roles] 設定ページで定義された選択可能な権限のセットを使用して、次のすべてまたは一部へのユーザ アクセスを許可します。

  • Juniper ATP ApplianceのWeb UIダッシュボードへのアクセスとインシデント

  • マルウェア分析へのアクセス ファイルのアップロード

  • 緩和オプションへのアクセス

Juniper ATP Appliance Users 設定ウィンドウを使用して、Juniper ATP Appliance とソフトウェア管理者およびユーザーの設定とステータスを追加、識別、編集、再構成、および/または表示します。

ユーザー アカウントを追加するには、次の手順に従います。

1. [Config>System Profiles me nu] の下の [Users] をクリックして、[Users] ページを開きます。

   図 6:新しいユーザー アカウントの設定と、設定済みまたはデフォルトのロールの割り当て

2. [Add New User] ボタンをクリックして、新しいユーザーを設定します。

新しいJuniper ATP Applianceユーザーを設定するには、[下記参照]フィールドに設定を入力し、適用するには[新規ユーザーの追加]、または設定を終了するにはキャンセルをクリックします。

「削除」ボタンをクリックして、ユーザー構成を削除します。

ユーザ アカウントを変更するには、[Config>System Profiles>Users] ページ リストで既存のアカウントをクリックします。[ユーザー] ページャー テーブルの各ユーザー名は、そのユーザー アカウントの詳細へのリンクです。ユーザー名のリンクをクリックすると、[ユーザーの更新] ウィンドウが表示されます。

「ユーザーの更新」ページでは、ユーザーの名前、パスワード、ロールを編集したり、そのユーザーのAPIキー(API認証キー)を作成または再作成したりできます。

新しいAPIキーを生成して、Juniper ATP Appliance REST APIへの承認されたプログラムによるアクセスを提供します。そのユーザー用に構成された認証キーは、そのユーザーによってAPIリクエストが行われるたびに適用されます。

ユーザー設定を編集し、特定のユーザーの API キーを生成するには、この 2 段階の手順を使用します。

1. [Config>System Profiles>Users] ページで、既存のユーザ アカウントをクリックします。

2. このユーザーにSAMLまたはRADIUS認証を使用する場合、[[SAML ID] [RADIUS]を使用して認証する」が設定されていれば、クリックしてオンにします。

   このオプションをオンにすると、このダイアログでパスワードを定義する必要がなくなります。ユーザー認証は、ログイン画面の「<IdP名>を使用して認証する」オプションを介して行われます。リモート認証とRBACの設定については、『 SAMLの設定 』または『 RADIUSサーバーの設定 』を参照してください。

3. [ユーザーの更新]ウィンドウで、ユーザーの役割またはパスワードに必要な変更を加え、[新しいAPIキーの生成]オプションをクリックしてオンにします。新しいAPIキーは、次にこの[ユーザーの更新]ウィンドウを開いたときに表示されます。

   [ユーザーのAPIキーを無効にするには、[APIキーを無効にする]オプションをクリックします。

4. 「ユーザーの更新」ボタンをクリックします。

5. [User Update] ウィンドウをもう一度開き、新しい API キーを表示してコピーします。

6. Juniper ATP Appliance APIにアクセスし、以下の例に示すように、各API呼び出しの一部として認証キーを入力します。

例

詳細については、Juniper ATP Appliance HTTP API ガイドを必ず確認してください。

Juniper ATP Applianceは、ユーザーがユーザー名とパスワードでログインできる環境で、Webブラウザーのシングルサインオン(SSO)操作のためのSecurity Assertion Markup Language(SAML)認証をサポートします。

SAMLの詳細については、 https://en.wikipedia.org/wiki/SAML_2.0 を参照してください。

SAML 認証の一環として、ID アサーションをサービス プロバイダ(SP)に配信する前に、SSO ID プロバイダ(IdP)は、そのプリンシパルを認証するためにユーザ(プリンシパル)にユーザ(プリンシパル)にユーザ名やパスワードなどの情報を要求します。SAML 構成は、やり取りする当事者間のアサーションを指定します。

SAML では、1 つの ID プロバイダーのが複数のサービス プロバイダに SAML アサーションを提供できます。同様に、1 つの SP は、多数の独立した SSO ID プロバイダー (IdP) からのアサーションに依存し、信頼する場合があります。LDAP、RADIUS、または Active Directory を使用すると、ユーザーはユーザー名とパスワードを使用してログインできます。これらは、ID プロバイダーの認証トークンの一般的なソースとして機能します。

Juniper ATP Appliance Central Manager Web UIでSAML設定を構成するには、SPとIdPの設定情報を入力します。

1. [Config>System Profiles>SAML Settings] ページに移動します。

   

2. [SP 設定] で、フィールドごとの定義を入力するか、リンクをクリックして [SP メタデータをダウンロード] をクリックします。

   SP エンティティ ID	エンティティIDは、SAMLエンティティのグローバルに一意の名前です。IdP に登録されているアプライアンス エンティティ ID の名前。通常、SP エンティティ ID は絶対 URL ですが、場所ではなく名前です (実際の Web 場所に解決する必要はありません)。 手記： URL のホスト部分は、組織のプライマリ DNS ドメインをルートとする名前である必要があり、URL にポート番号、クエリ文字列、またはフラグメント識別子を含めることはできません。 例: https://sp_name。JATPappliance.net/sp>
   メタデータファイルのダウンロード	IdP にアップロードされる SP の XML(Juniper ATP Appliance)のダウンロード元のリンク。
   ユーザー名属性	Juniper ATP Applianceのユーザー名を含むSAMLアサーション内の属性。デフォルトでは、Juniper ATP Applianceは、SAML 応答のNameIDフィールドが未定義のままの場合、このフィールドを使用します。
   グループ属性	グループ名を含むSAMLアサーション内の属性。
   管理者ユーザー グループ	管理者権限を受け取るグループ(属性で指定)。 例: jatp_admin
   認証要求に署名する	Juniper ATP ApplianceがSAML認証リクエストに署名するかどうかを確認します。
   IdP にメッセージに署名させたい	IdP がメッセージに署名するかどうかを確認します。

3. 次に、IdP 設定を定義します。

   IdP エンティティ ID	IdP のグローバルに一意の名前 (SP エンティティ ID と同じ一般的な命名基準) 例: https://webauthentication.JATP.net/idp
   ログイン URL	SSO URL (このフィールドは、SP が SSO を開始できるようにするために必要です)。
   IdP証明書	IdP証明書の詳細。 上のスクリーンショットの例を参照してください。

   手記：

   SAML 認証されたユーザーが [ログアウト] リンクを使用して Juniper ATP アプライアンスからログアウトすると、Juniper ATP アプライアンスからサインアウトされますが、IdP からはサインアウトされません。

Juniper ATP Applianceユーザーと認証方法には、3つのタイプがあります。

SAML SPとIdPの詳細をConfig>System Profiles>SAML Settingsページで設定した後、SAML認証にチェックマークが付いているユーザ(Config>System Profiles>Usersページから)がJuniper ATP Applianceにアクセスしようとすると、IdPのログインページに自動的にリダイレクトされます。ローカルログインを実行するには、パラメータ「local_login」がIdP URLに存在することを確認します。次に例を示します。 https://10.2.20.100/admin/?local_login

一部の企業では、AD 認証に PingFederate(PF)サーバーを使用して SML を構成します。管理者は、Juniper ATP Applianceデバイスへの決定論的なアクセスを許可するJuniper ATP Applianceの拡張RBACに加えて、アクセス動作を制御するための優先順位ベースの認証を設定することができます。初期展開では、前のセクションで説明した SAML 構成に加えて、いくつかの追加設定を構成する必要があります。

1. 管理者は、Juniper ATP Appliance Central Manager の [Config>System Profiles>Users>Add New User] ウィンドウで、管理者以外のロール ユーザーの認証制御を追加する必要があります。この制御では、SAML アサーションにグループ名を使用します (これにより、優先順位固有の問題が取り除かれます)。

   [次を使用して承認] が有効な場合、Juniper ATP Appliance は設定されたロールのリモート グループを使用します。RadiusまたはSAML 応答にロールが設定されていない場合、認証は失敗します。

   [次を使用して承認する] が無効 (オフ) の場合、選択したロールが適用されます。

2. Central Manager の [Config>System Profiles>SAML Settings>SP Settings] ウィンドウに移動して、ローカルに設定されたユーザだけに許可を許可します。「ローカルで設定されたユーザーのみを承認する」にチェックを入れます。

   「ローカルで設定されたユーザーのみを承認する」を選択すると、ローカルユーザーが存在する場合にのみ承認が許可されます。

   「ローカルに設定されたユーザーのみを承認する」が選択され、ユーザーが存在する場合、ユーザーアカウントウィンドウの認証チェックボックスが権限の承認に使用されます。

   手記：

   SP設定の「ローカルで設定されたユーザーのみを承認する」のデフォルト値がオフ(または無効)になっています。「Authorize using SAML/Radius」のデフォルト値はTrue(オン)です。

「ローカルで設定されたユーザーのみを承認する」のオプション

• Simple Local User(RadiusおよびSAMLが設定されていない)の場合、「Authorize only locally configured users」は関係ありません。Juniper ATP Applianceデバイスへのアクセスは、一致する役割名ごとに付与されます。ロールに「リモートグループ」が設定されていても、無視されます。

• SAMLまたはRadiusへの認証をオンにして設定されたJuniper ATP Applianceに存在するユーザーに対しては、SAML SP設定の[Authorize only locally configured users]オプションを設定する必要があります。

• リモート認証と承認では、「ローカルで設定されたユーザーのみを承認する」が選択されていない場合、タイプ 3 のユーザーが許可されます。SAMLグループアサーションが設定されたロールの1つのリモートグループ設定と一致する場合、タイプ3ユーザーの認証の成功に基づいて一時ユーザーが作成されます。

• [Config>System Profiles>SAML Settings>RADIUS Server Settings] ウィンドウに移動し、これらの設定済みユーザーに対して [Authorize only locally configured users] を選択します。

RADIUS構成では、認証と許可が結合されています。Active Directoryのユーザー名が見つかり、パスワードが正しい場合、RADIUSサーバーは、セッションに使用するパラメーターを記述した属性と値のペアのリストを含むAccess-Accept応答を返します。ADで指定されたグループ名はAccess-Accept応答属性の一部として含まれていないため、Juniper ATP ApplianceはデフォルトでFilter-Id属性を使用しますが、属性の選択は設定可能です。この属性は、RADIUSサーバー上で、Active Directoryで構成されたユーザーのグループ名として文字列値を設定する必要があります。たとえば、複数のユーザーに同じFilter-Id値文字列(できればADのグループ名と一致する)を送信するようにRADIUSを設定できます。

RADIUSを介して認証されたローカルユーザーの場合、認証されたユーザーのADグループ名がユーザーロールと照合され、権限が適用されます。このようなユーザーは、許可された一連のJuniper ATP Appliance機能を使用できます(Juniper ATP Appliance Central Manager Web UI Config>System Profiles>Rolesページで設定)。

Juniper ATP Applianceで設定されていないが、RADIUSで認証されたユーザーの場合、Juniper ATP ApplianceはSAML設定(タイプ3ユーザー)と同様の非表示ユーザー仕様に対応します。このユーザーは、Juniper ATP Appliance製品の管理者レベルの機能にはアクセスできません。ユーザーロールは、Filter-Id値で受け取ったグループ名に基づいて決定されます。

たとえば、RADIUS サーバー上のフィルター ID を Juniper ATP アプライアンス管理者ロールの TestGroup1 として設定し、Juniper ATP アプライアンスの非管理者ロールの TestGroup2 としてフィルター ID を設定した場合、Juniper ATP アプライアンス側の管理者ロールのリモート グループ名は AccessGroup1 になり、Juniper ATP アプライアンス側の非管理者ロールのグループ名は AccessGroup2 になります。RBAC の詳細については、『 、 、および も参照してください。

Windows Server 2012 ネットワーク ポリシー サーバー統合の構成例の例を以下に示します。

次に、フィルター ID を構成し、PAP と MS-CHAP の認証方法を有効にします。

必要に応じて、セカンダリRADIUSサーバーを設定します。フェイルオーバーを目的としたセカンダリサーバー構成はオプションです。

Juniper ATP Appliance 構成では、次のように設定します。

• ホスト名/IP:ポート

• RADIUSシークレット

• ユーザーグループ属性

• タイムアウト値

  手記：

  「set_radius_config」APIを使用したJuniper ATP Appliance側のRADIUS設定の設定については、『Juniper ATP Appliance HTTP API Guide』を参照してください。

Juniper ATP Appliance Central Manager Web UIからRADIUSサーバー設定を構成するには、以下の手順を使用します。

1. Central Manager の [Config>System Profiles> RADIUS Settings] ページに移動します。

   図7:Juniper ATP Appliance Central Managerの[RADIUS Server Settings]ページ

2. RADIUS認証を有効にするには、[RADIUS認証を有効にする]チェックボックスをクリックします。チェックボックスをオフにして、RADIUS設定を無効にします。

3. ドロップダウンから、サーバに設定されているRADIUS認証方法(PAPまたはMS-CHAP)を選択します。デフォルトの方式は PAP です。

4. ユーザー グループ属性を入力します。Filter-Idは、サーバー側で別の属性が設定されていない限り、デフォルトです。(フィルター ID をグループ名にマッピングする方法については、 を参照してください)。

   手記：

   ユーザー グループ属性は、Juniper ATP ApplianceのConfig>System Profiles>Rolesページを使用して、RBAC用にJuniper ATPアプライアンス側で設定されたリモートグループ名にマッピングされます。リモートグループ名では、大文字と小文字が区別されます。

5. 待機タイムアウトを入力します。デフォルトは3秒です。タイムアウトは 1 秒から 30 秒まで設定できます。

   手記：

   AD/RADIUS ユーザーによるログイン試行はデフォルトで 3 回許可されています。試行の間隔は、上記の手順で示したように構成できます。タイムアウト値が30秒という高い値に設定されていて、RADIUSサーバーに到達できないと、Juniper ATP Applianceからの応答を待っている間に、ユーザーのブラウザーにタイムアウトメッセージが表示されることがあります。

6. プライマリサーバー設定を入力します。

   • [RADIUS Server Host] フィールドに、プライマリ RADIUS サーバーのホスト名または IP アドレスを入力します。

   • RADIUSポートを入力します。既定値は 1812 です。これは、RADIUSアクセス要求の送信に使用されるUDPポートです。

   • サーバー側で設定されたRADIUSシークレットを入力します。

7. (オプション)構成済みのセカンダリサーバー設定を入力します。

   • [RADIUS Server Host] フィールドにセカンダリ RADIUS サーバーのホスト名または IP アドレスを入力します。

   • RADIUSポートを入力します。既定値は 1812 です。繰り返しになりますが、これはRADIUSアクセス要求の送信に使用されるUDPポートです。

   • サーバー側で設定されたRADIUSシークレットを入力します。

   • RADIUSログインが設定されている場合、ローカルログインの動作は変更されませんが、ローカルログインの実行には別のURLが使用されます。

     https://<JATPDeviceIP>/admin/?local_login

システム設定を構成するには、次の手順を実行します。

1. [Config>System Profiles] > [System Settings] ページに移動します。

2. ページ上部の [システム設定(System Settings)] 領域で、表示されたフィールドに設定を入力し(各オプションについては以下で説明します)、[送信(Submit)] をクリックして設定を保存します。

Juniper ATP ApplianceのInfection Verification Pack(IVP)は、企業内の任意のエンドポイントにダウンロードされたマルウェアが、そのエンドポイントで実行されたかどうかを検証します。Juniper ATP Applianceが検出するダウンロードごとに、エンドポイントデバイス上の侵害の痕跡(IOC)を検索するIVPを作成できます。エンドポイントで感染を確認することで、修復チームは侵害されたマシンとして特定および検証された特定のマシンに作業を集中させることができ、デスクトップの軽減策にかかる時間とコストを節約できます。

管理者は、このガイドの前のページで説明したように、Juniper ATP Appliance Central Manager Web UI の [Config] > [System Settings] > [System Settings] ページから IVP 設定を行います。設定オプションには、次のものがあります。

• 自己解凍型Zipファイル

  IVP 自己解凍 zip ファイルは、IVP プログラム自体と、検出された侵害の痕跡を含む入力ファイルの 2 つのファイルを含む実行可能.exe形式です。

• 三井住友海上

  IVP MSI は、Windows インストーラー パッケージ ファイル形式です。

IVP 自己解凍型 Zip .exe ファイルが実行されると、コマンド ウィンドウにマルウェアがインストールされたかどうかに関する情報が表示され、ログ ファイルをローカルに保存するかどうか、およびどこに保存するかを確認するメッセージが表示されます。IVP の結果は、Juniper ATP Appliance Central Manager にも送信されます。

MSI ファイル IVP プロセス

IVP を MSI モードで使用するには、管理者はまず Juniper ATP Appliance-ivp-setup.msiをエンドポイントにダウンロードしてインストールする必要があります。Juniper ATP Appliance-ivp-setup.msi ファイルは、管理者が Juniper ATP Appliance Central Manager から [Config>System Setting] > [System Settings] の IVP 形式選択ボタンの横にある [Download MSI] ハイパーリンクを使用してダウンロードします。Juniper ATP Appliance-ivp-setup.msiをインストールすると、IVPプログラムはターゲットエンドシステムの「C:\Program Files\JATP\IVP\JATP-ivp.exe」にインストールされます。Juniper ATP Appliance Central Manager で IVP モードが MSI に設定されている場合、IVP の生成時に IOC を含むテキストファイルがダウンロードされます。

ファイルの形式は *.ivp です。 JATP-ivp-setup.msi が正しくインストールされている場合、.ivp ファイルを実行するとjuniprtatp-ivp.exeが起動し、マルウェア分析中に検出され、ダウンロードした .ivp ファイルがエンド システムで実行されている IOC の検索が開始されます。デフォルトでは、コマンドプロンプトに結果が表示され、エンドポイントで感染が発生したかどうかが確認されます。ユーザーは、コマンド プロンプト ウィンドウを終了するには、いずれかのキーを押す必要があります。MSIモードのログファイルは「C:\Program Files\JATP\IVP」に保存され、Juniper ATP Appliance Central Managerに感染結果が通知されます。

...ここで、<ivp-input.ivp>は、Juniper ATP Appliance Central Managerからダウンロードされた.ivpです。IVP の引数を以下に示します。

お客様の多くは、いまだにプロキシとゲートウェイを利用して、エンドポイントに初歩的なセキュリティを提供しています。このような環境では、CM/コア管理ネットワークは、プロキシされていない環境と同様に機能し、外部サービスと通信できる必要があります。この通信には、GSS のアップロードとダウンロード、ソフトウェア、セキュリティー・コンテンツ、シグニチャーの更新、およびその他すべての必要な通信が含まれます。HTTPおよび/またはHTTPSプロキシ環境に導入されたJuniper ATP Applianceコアが、Juniper ATP Appliance GSSやその他のインターネットサービスと機能および通信するように設定します。

[システム設定]設定ウィンドウの[プロキシ設定]領域を使用して、Juniper ATP Appliance導入のプロキシ統合と詳細設定を定義および構成します。

詳細については、Juniper ATP Appliance CLIコマンドリファレンスを参照してください。

1. プロキシの種類として [プロキシなし] または [手動プロキシ] を選択します。

   プロキシ構成により、Juniper ATP Applianceと統合して、悪用、ダウンロード、感染など、キルチェーン内のすべてのリンクを検知できます。

2. プロキシの種類として [手動プロキシ] を選択すると、[プロキシ設定] ページの表示領域フィールドが、次に示すように構成に合わせて変更されます。

   

3. [プロキシ FQDN/IP アドレス(Proxy FQDN / )] フィールドにプロキシ FQDN/IP アドレスを入力します。

   管理ネットワークのプロキシ設定では、組み込みホスト名と URL を使用する必要があります。IP アドレスは常にプロキシ サーバーを参照します

4. [プロキシ ポート(Proxy Port)] フィールドにプロキシ ポート番号を入力します。

5. [プロキシなし]フィールドに、プロキシが不要なすべてのIPアドレスを入力します。各アドレスはコンマで区切ります。

6. [Authentication Required] チェックボックスをクリックして、このプロキシに認証が必要かどうかを指定します。

7. 認証が必要な場合は、[ユーザー名] と [ユーザー名] を入力します。

8. 「送信」をクリックします。

   手記：

   Juniper ATP Appliance CLIサーバーモードからプロキシを設定する方法については、『Juniper ATP Appliance CLIコマンドリファレンス』を参照してください。プロキシー IP アドレスの設定を参照してください。

プロキシ内にあるローカルサーバーは、プロキシなしルールに追加する必要があります。プロキシなしルールは、プロキシなしルールに含まれる指定されたネットワーク アドレスを対象とする発信接続がプロキシを経由しないことを保証します。

構成には、CM/コアアプライアンスまたはオールインワンアプライアンスのみのプロキシ設定が含まれます。接続されたコレクターとセカンダリ コアのプロキシ設定は、Web コレクターとセカンダリ コア向けの Juniper ATP Appliance Central Manager Web UI 設定ページに表示されます。

自動ミティゲーションにより、ユーザーは、Juniper ATP Applianceのミティゲーションインテリジェンスを、ユーザーの操作なしで企業の統合セキュリティインフラストラクチャに自動的にプッシュするか、または指定したアミティゲーションルールを統合デバイスに手動でプッシュするかを設定できます。

自動緩和が有効になっている場合、Juniper ATP Applianceの管理者は、新たに発見された脅威を軽減するためのアクションを実行する必要はありません。

図 9: [自動ミティゲーション設定] ページ

自動ミティゲーションを設定するには:

1. Central Manager Web UIの[Config>System Profiles> System Settings]ページに移動し、上に示すように[Auto Mitigation Settings]領域まで下にスクロールします。

2. クリックして [自動緩和を有効にする(Enable Auto-Mitigation)] を選択すると、設定済みのセキュリティ デバイスに対する自動緩和ブロックが有効になります。 ファイアウォールの自動緩和の設定も参照してください。

   手記：

   自動緩和が有効な場合、Juniper ATP ApplianceのAdvanced Threat Analytics(ATA)も有効になり、ATAの結果は、緩和策テーブルの脅威ソース列で(ローカルセキュリティコンテンツではなく)として緩和策タブに表示されます(つまり、脅威がJuniper ATP Appliance GSSではなくローカルで検出されたことを意味します)。

   有効にされていない場合、自動ブロックは無効になり、Juniper ATP Appliance管理者が[緩和]タブから脅威を手動でプッシュしない限り、緩和ルールは統合ファイアウォールに送信されません。

3. [Mitigation Aggressiveness Level] を [Moderate] または [Aggressive] から選択します。

   [アグレッシブ] は、[軽減策] タブで報告されたすべての脅威が自動的にプッシュされることを意味します。[中] は、[軽減策] タブに一覧表示されている重大度が [最大] と [高] の脅威のみが自動的にプッシュされることを意味します。

4. [最大IP アドレス脅威] に、ファイアウォールに送信する IP アドレスの最大数を入力します。指定しない場合、Juniper ATP Applianceはデバイスにプッシュされる脅威の数を制限しません。

   この数値は脅威の信頼度に基づくものであり、リスクに基づくものではありません。信頼状態は、ルールの複合状態によって決定されます。

5. [最大 IP URL 脅威] に、ファイアウォールに送信する URL の最大数を入力します。指定しない場合は、無限の数が許可されます。

6. [緩和策] タブから脅威と自動ブロックの結果を表示します。

[システム設定(System Settings)] 設定ウィンドウの [表示設定(Display Settings)] 領域を使用して、Central Manager Web UI のログインおよび表示設定を設定または変更します。

図10:[表示設定]

表示設定を構成するには:

1. [Config>System Profiles] ページに移動し、左側のパネル メニューから [System Settings] を選択し、下にスクロールして [System Settings] ページの [Display Settings] 設定領域を見つけます。

2. オプションの表示設定を入力または選択します [オプションについては以下で説明します]。

3. [送信(Submit)] をクリックして設定を適用します。

[送信メール設定]設定ウィンドウを使用して、Juniper ATP Applianceまたはソフトウェア導入の送信メール通知設定を構成または修正します。

送信メールの設定を行うには:

1. [Config>System Profiles] ページに移動し、左側のパネル メニューから [System Settings] を選択し、下にスクロールして [System Settings] ページの [Outgoing Mail Settings] 設定領域を見つけます。

2. 電子メール設定を入力または選択し[オプションについては後述]、[送信]をクリックして設定を適用します。

   表 11: 送信メールの設定オプション

   SMTP ホスト	エンタープライズメールホストのIPを入力します
   SMTP ポート	SMTPポート番号を入力します(デフォルトは587)。
   SSLを使用	既定で有効になっています。チェックを外すと、SSL の使用が無効になります。
   SMTPログイン	アプライアンスまたはサービスの SMTP 電子メール ログインを入力します。
   SMTPパスワード	SMTPパスワード、ログインアカウントを入力します。
   差出人アドレス	「差出人」フィールドのメールアドレスを入力します。デフォルトは mailto:noreply@JATP.net です。

[設定>システム プロファイル(ConfigSystem Profiles)] > [システム設定(System Settings)] ページの下部にある [送信メール設定のテスト(Test Outgoing Mail Settings)] 領域で、現在の送信メール設定のテストを実行できます。

送信メールの設定をテストするには:

1. [Config>System Profiles>System Settings] ページに移動し、下にスクロールして [Test Outgoing Mail Settings] 領域を見つけます。

2. Juniper ATP Appliance からテスト E メールが送信されるメールアドレス(または一連の E メールアドレスをカンマで区切って)を入力します。

3. [テスト] ボタンをクリックして、メール通知の設定をテストします。構成設定に基づき、Juniper ATP Applianceから入力したメールアドレスにメールが送信されます。

   手記：

   このテストでは、電子メール アドレスが有効かどうかではなく、電子メールの送信機能を確認します。

ユーザーは、次の 2 つのオプションを使用して証明書を作成できます。

• 新しい自己署名証明書を作成する

• 証明書署名要求(CRS)の作成

最初のオプション(新しい秘密鍵と自己署名証明書の作成)は、新しい秘密鍵を作成し、アプライアンスのホスト名が変更されるたびに現在行われているように、新しい自己署名証明書を生成します。

2番目のオプション(既存の秘密鍵を使用して証明書署名要求を作成する)では、ユーザーに証明書の詳細の入力を求め、その詳細と現在の秘密鍵を使用してCSRを生成し、ユーザーはそれをダウンロードして信頼できる認証局(CA)によって署名されるようにすることができます。

または、新しい秘密鍵を使用して証明書署名要求を作成することもできます - このオプションは、新しい秘密鍵が作成されるため、未処理の CSR を無効にします。これにより、以前の秘密キーが侵害された場合に、ユーザーは秘密キーを変更できます。ユーザが続行することを選択した場合、システムはユーザに証明書の詳細の入力を求め、その詳細と新しい秘密キーを使用して CSR を生成し、ユーザはそれをダウンロードして信頼できる CA によって署名されるようにすることができます。

自己署名証明書を作成するには、次の手順を実行します。

1. Juniper ATP Appliance Central Manager Web UI Config>System Profiles>証明書管理ページに移動します。

2. 「自己署名証明書の作成」をクリックします。

   

3. [自己署名証明書の作成(Create Self Signed Certificate)] ウィンドウで、各フィールド プロンプトの詳細を入力します

   手記：

   一部のフィールドはオプションですが、証明書署名要求の作成時に指定されている場合は使用されます。

   共通名(サーバーFQDN)	サーバーの完全修飾ドメイン名。
   組織 (オプション)	証明書を作成する組織。
   組織部門(省略可)	組織単位または部門、ネットワークなど
   メールアドレス(任意)	証明書を作成する管理者の電子メール アドレス。
   地域 (オプション)	企業の地域。
   都道府県 (オプション)	証明書を使用するサーバーが配置されている都道府県。
   国コード(オプション)	証明書を使用するサーバーが所在する国。
   キーの長さ	2048 ビット鍵または 4096 ビット鍵のいずれかを選択します。通常、2048 ビットは、認証機関が使用するルート鍵ペアなどの非常に価値の高い鍵に使用されます。キーの長さが長いほどブルートフォースが難しくなりますが、キーの長さが長いほど、サーバーとクライアントにより多くの計算リソースが必要になることに注意してください。

4. 自己署名証明書の詳細を入力したら、[Create]をクリックすると、証明書が作成され、実行コンフィギュレーションに適用されます。

証明書署名要求CSRを作成するには、次の手順を実行します。

1. Juniper ATP Appliance Central Manager Web UI Config>System Profiles>証明書管理ページに移動します。

2. [Create CSR] をクリックします。

3. [Create CSR] ウィンドウで、各フィールド プロンプトの詳細を入力します。

   手記：

   [新しい atp レルムの作成] オプションをクリックすると、以前に作成した CSR が無効になります。

   共通名(サーバーFQDN)	サーバーの完全修飾ドメイン名。
   組織 (オプション)	証明書を作成する組織。
   組織部門(省略可)	組織単位または部門、ネットワークなど
   メールアドレス(任意)	証明書を作成する管理者の電子メール アドレス。
   地域 (オプション)	企業の地域。
   都道府県 (オプション)	証明書を使用するサーバーが配置されている都道府県。
   国コード(オプション)	証明書を使用するサーバーが所在する国。
   新しい atp レルムの作成 秘密キー	クリックすると、証明書署名要求の一部として新しい秘密キーが作成されます。このオプションをクリックすると、以前に作成されたCSRが無効になることに注意してください。既存の秘密キーを使用する場合は、このオプションを選択しないでください。

4. CSR ファイルをダウンロードし、信頼できる CA に送信します。信頼できる CA は、証明書ファイルと CA バンドルをユーザーに送信します。[Config> System Profiles > 証明書管理に移動し、[Upload and Install Certificate] をクリックして、証明書と CA バンドル PEM ファイルをアップロードします。

   アプライアンスは、提供された証明書を検証してインストールします。

信頼できる認証局 (CA) からユーザー提供の証明書をインストールするには、管理者が次のものを提供する必要があります。

• 秘密キー (オプション) - アップロード済み

• クライアント証明書 - アップロード済み

• CA バンドル (オプション) - アップロード済み

この情報は、次の 2 つの方法のいずれかで提供されます。

• 秘密鍵、クライアント証明書、およびCAバンドルを個別のPEMファイルとしてインポートします。PEM エンコーディングは、SSL などの暗号化システムで使用するために RSA 秘密キーを格納する秘密キー形式です。

• コンテンツを復号化するためのオプションのパスフレーズを使用して、PKCS#12バンドルとしてデータをインポートします。PKCS#12 は、複数の暗号化オブジェクトを 1 つのファイルとして格納するためのアーカイブ ファイル形式です。これは、秘密鍵をその X.509 証明書にバンドルしたり、信頼チェーンのすべてのメンバーをバンドルしたりするために使用されます。

  証明書の形式を選択します。PEMから始めましょう。[PEM] をクリックします。

1. 「ファイルを選択」をクリックして、秘密鍵をアップロードします(この手順はオプションです)。

2. [ファイルの選択(Choose File)] をクリックして、証明書ファイルをアップロードします。

3. [ファイルの選択(Choose File)] をクリックして、CA バンドル ファイルをアップロードします(この手順は任意です)。

4. [Upload and Install Certificate] をクリックします。

または、PKCS#12 形式を選択することもできます。

1. 希望する証明書形式として [PKCS#12] をクリックして選択します。

   PKCS#12パスフレーズを入力します(これはオプションの手順です)。

   手記：

   PKCS#12 パスフレーズは、ユーザーが PKCS#12 ファイルを作成したときに定義されたパスフレーズと一致する必要があります。そうしないと、ファイルを復号化できません。

2. または、「ファイルの選択」をクリックして、PKCS#12バンドル・ファイルをアップロードします。

3. [Upload and Install Certificate] をクリックします。このアクションにより、既存のSSL証明書が置き換えられます。

PKCS#12バンドルをダウンロードして、現在の証明書をバックアップします。

1. [Config>System Profiles >証明書管理に移動し、ページの [Download Certificate] 領域まで下にスクロールします。

2. 証明書の PKCS#12 パスフレーズ(オプション)を入力し、[証明書のダウンロード(Download Certificate)] をクリックして PKCS#12 バンドルをダウンロードして保存します。ダウンロードには、サーバーの秘密鍵が含まれます。PKCS#12パスフレーズは、ユーザーがファイルをダウンロードする際のオプションですが、ファイルが失われた場合に秘密キーが公開されないようにパスフレーズを設定することをお勧めします。

   手記：

   バックアップから証明書をロードするには、[Config>System Profiles>証明書管理] ページの [Upload and Install Certificate] 領域から [Upload & Install Certificate] ボタンをクリックします。Certificate」を選択し、PKCS#12 バンドルをアップロードします。

   先端：

   SSL 証明をアップロードし、ページの自動更新を適用した後、SSL 証明ブラウザメッセージが表示される場合があります。ブラウザの証明書情報には、「暗号化されていない要素(画像など)が含まれているため、Webサイトへの接続は完全に保護されていません.....これはJuniper ATP ApplianceのWeb UIの問題ではなく、このメッセージは標準的なブラウザーの注意動作を表しています。

[Web Collector] ページには、Collector のステータスと、Collector が動作していてオンラインかどうかが表示されます。このページを使用して、Web Collector のステータスとプロキシのステータスを確認します。

新しい Email Collector サーバを分散防御システムに追加するには、次の手順を実行します。

1. [Config>System Profiles>Email Collectors] ページに移動します。

2. [Add New Email Collector] ボタンをクリックします。

   手記：

   高度なJuniper ATPアプライアンス-MTA電子メールコレクター機能には、有効なJuniper ATP Applianceアドバンスドライセンスが必要です。詳細は、「 Juniper ATPアプライアンスライセンスキーの設定 」を参照してください。

3. 必要な情報を入力し、構成の選択を行い(詳細は後述)、[保存]をクリックして新しい構成設定を適用します。

   表 14: 電子メール サーバー設定

   キャプチャ方法	BCC、Juniper ATP Appliance MTA Receiver、または Juniper ATP Appliance Cloud から収集します。
   メールサーバー	Juniper ATP Appliance Core Email CollectorがジャーナルまたはBCCの電子メールトラフィックを受信する電子メールサーバーのIP アドレスまたはホスト名を入力します。
   議定書	メールプロトコルを選択します。 自動車 |IMAP |POP3の |POP2の
   SSL	「有効」または「無効」を選択します。
   MTA レシーバー IP	メッセージ転送エージェント (MTA) 受信者の IP アドレス オプション:「メールサーバーからのみ受信する」[はい |いいえ] 回答が 『はい』の場合は、使用しているメールゲートウェイを入力してください: Gmail |Office365 |ローカル電子メールゲートウェイ いずれの場合も、追加のオンプレミス電子メールゲートウェイサブネット(カンマ区切り)を入力します。サブネットの提供は、Gmail または Office 36 では省略可能です。 手記： ハイブリッドメール展開でクラウド(Office 365またはGmailなど)とオンプレミスのメールサーバーの両方を使用している場合は、オンプレミスのメールサーバーのサブネットを入力してください。
   コレクター IP	Juniper ATP Appliance Cloudから収集しているJuniper ATP Appliance CollectorのIPアドレス。この IP アドレスは、Core-CM の IP アドレス、または個別のスタンドアロン MTA レシーバーサーバーの IP アドレスにすることができます。
   受信者のメールアドレス	受信者のメールアドレスを入力します。
   パスワード	電子メール サーバーのメールボックス パスワードを入力します。
   ポーリング間隔	ポーリング間隔(分単位)を入力します。これは、E メール・コレクターが E メール・トラフィックをポーリングする頻度です。既定値は 5 分です。
   メールをサーバーに残す	メールの保持設定を選択します。 キープ |削除
   有効	電子メールサーバーを有効または無効にする設定を選択します。

メールサーバーの設定を編集または削除するには:

• [Config>System Profiles>Email Collectors] ページに移動します。

• [Current Email Collectors] リストの [Edit] または [Delete] ボタンをクリックします。

• 編集するには、設定と構成の選択(説明は上記を参照)を変更し、[保存]をクリックして新しい構成設定を適用します。

セカンダリ コア設定を表示、編集、無効化/有効化、または削除するには、次の手順に従います。

1. [Config>System Profiles>SecondaryCores] ページに移動します。

2. 変更する Mac OSX または Windows(Core+CM)セカンダリ コアの矢印アイコンをクリックして、行を展開し、設定の詳細を表示します。

   構成情報を編集するには、行を展開する必要があります。

3. [削除(Delete)] ボタンをクリックして、分散型防御システムからセカンダリ コア設定を削除します。

4. 「編集」ボタンをクリックして、設定を変更します。

5. 編集ウィンドウで、設定を変更します(説明は以下を参照)、[保存]をクリックして、変更した構成設定を適用します。

編集可能なセカンダリ コア フィールドは、次のように定義されます。

[セカンダリ コア(Secondary Core)] ページには、コレクタのステータスと、コレクタが動作していてオンラインかどうかが表示されます。このページを使用して、Mac OS X または Core+CM (Windows) のセカンダリ コアの状態を確認します。

図14:Mac OS Xセカンダリコアのステータス表示

構成するには、Windows 7 カスタム イメージを作成し、構成中に VNC を使用してその "ゴールデン イメージ" を操作します。設定が完了すると、Juniper ATP Applianceは、マルウェアの分析と検出のために、カスタムイメージを自動的にインストゥルメント化して導入します。

カスタム ゴールデン イメージ VM の構成プロセス手順は次のとおりです。

1. ステップ1:カスタムOS ISOの場所をマウントし、VMを起動します。

2. ステップ2:VNC経由でカスタムゴールデンイメージVMに接続し、Windows OSをインストールします。

   手記：

   Windows 7のインストールプロセス中に、Windowsは必要な再起動を実行し、VNC接続が切断されます。これは正常な動作です。Windowsのインストール中にVNCを失った直後に、VMを手動で再起動し、VNCに再接続します。

3. ステップ 3: VM* を再起動する

4. 手順 4: カスタム ゴールデン イメージ VM をファイナライズして有効にします。

5. ステップ5:必要に応じて、VNCに再接続し、Adobe Acrobatをインストールします。

6. ステップ6:優先AVソフトウェアをゴールデンイメージにインストールする

1. Central Manager Web UI で [Config>System Profiles>Golden Image VM] ページに移動します。

2. [New VM Image] ボタンをクリックします。

3. 新しい Windows 7 カスタム ゴールデン イメージ仮想マシンの設定を入力します。

   入力フィールドについては、以下で説明します。

   カスタム VM イメージの構成フィールド	形容
   イメージ名	作成するカスタム VM イメージの名前を入力します。
   説明	新しいゴールド イメージの説明を入力します。
   VNC ID	VNC IDを入力します。ID は一意の整数でなければなりません。
   建築	32ビットまたは64ビットのディスクサイズ(GB)を選択します ディスクのサイズを入力します
   ディスク サイズ (GB)	カスタム・イメージに使用するディスクのサイズを入力します。既定値は 20 GB です。
   リスクの低減	リスク低減設定を yes または no から選択し、"yes" はそれぞれ 0.3 の値を表し、「no」はリスク低減値 0 を示します。デフォルトは [いいえ] (0) です。 リスクの低減は、脅威の関連性メトリックに組み込まれます。ゴールデン イメージで、潜在的なマルウェア オブジェクトが無害であると判断された場合、リスクの低減は関連度の低下値として適用されます
   ネットワークセグメント	このカスタム仮想マシンイメージを作成するOSを実行しているネットワークセグメントを入力します。 分析されたマルウェアがここで設定されたネットワークセグメントと一致しない場合、関連性は計算されません。

4. カスタム ゴールデン イメージ VM 設定を入力したら、[追加] をクリックしてイメージを作成します。

5. イメージが「現在のゴールデン・イメージVM」表に表示されたら、「コントロール」リンクをクリックして、新しいカスタム・イメージのインストールとマウントの準備をします。

6. [オプション: この新しい VM イメージの元の設定を編集するには、[編集] をクリックし、カスタム イメージ設定情報を再入力します。

7. マウンティング

   ファイル共有から OS のインストール メディアをマウントする場合:

   • [コントロール] ウィンドウの [ISO NFS/SMB マウント パス] フィールドにマウント パスを入力します (開いているファイル共有からマウントしていることを確認してください)。

     SMB 構文: //<IP アドレス>/<dir>/<file>

     NFS 構文: i<IP アドレス>:<dir>/<file>

     手記：

     アクセス許可の設定で、開いているファイル共有へのアクセスが許可されていることを確認します。

   • [Mount CD ISO at Boot](起動時にCD ISOをマウントする)をクリックしてチェックマークを付けます。

[Boot VM: boot] ボタンをクリックします。

1. VNCクライアントを使用して、ゴールデンイメージVMに接続し、Juniper ATP Applianceがマルウェア分析に使用するエンタープライズのWindows OSの通常のインストールを実行します。

   手記：

   Windowsのインストールプロセス中に、Windowsは必要な再起動を実行し、VNC接続が切断されます。これは正常な動作です。Windowsのインストール中にVNCを失った直後に、VMを手動で再起動し、VNCに再接続します。

1. Central Manager Web UI の [Config>System Profiles>Golden Image VM] ページに戻り、[Current VM Images] テーブルから関連する VM の [Controls] リンクを選択し、もう一度 [Boot VM: boot] ボタンをクリックします。

次のステップでは、Juniper ATP Applianceは、構成されたカスタムイメージをJuniper ATP Applianceの分析および検出アーキテクチャに適合させ、新しいOSを確立されたファイアウォール設定に合わせて自動的に調整し、必要なドライバーをインストールする、といった具合です。このプロセスの一環として、Juniper ATP Appliance は VM をシャットダウンするため、VM イメージの設定を完了するには、手順 12 で VM を有効にする必要があります。

1. [コントロール] ウィンドウから [Finalize Image: finalize] をクリックします。[Finalize]をクリックすると、VNC経由でカスタムイメージVMにログインし、Juniper ATP ApplianceファイナライズスクリプトがゴールデンVMイメージで実行される際のプロンプトに注意深く従うように求められます。スクリプトの最後の手順では、ゴールデン イメージ VM をシャットダウンします。

2. カスタム VM イメージの構成を完了するには、 [イメージの有効化: 有効] をクリックします。

1. 必要に応じて、もう一度VNCポートに接続し、Adobe AcrobatをカスタムOS環境にインストールします。

   手記：

   PDF ReaderとAdobe Acrobat exeがマウント可能である必要があります。

[インシデント] タブの [概要] テーブルの新しい行に、カスタム VM イメージの結果が "ゴールデン イメージ" として表示されます。

3 つのゴールデン イメージ VM が構成されている場合は、次に示すように、3 つのゴールデン イメージの結果が [操作ダッシュボード] と [インシデント] ページに表示されます。

仮想 HV を有効にするための ESXi サーバの設定は、VMWare ESXi バージョン 5.1 以降でのみ推奨されます。

仮想 HV を有効にするように ESXi Server を構成するには、次の手順を実行します。

1. ESXi ホストに SSH 接続します。

2. /etc/vmware で、「config」ファイルを編集し、次の設定を追加します

3. vSphere Web Client を使用して、仮想マシン設定> [オプション] > [CPU/MMU 仮想化] で仮想マシン設定を編集して、ゲスト仮想マシンを構成します。

4. [Intel EPT] オプションを選択して、構成を完了します。

現在のシステム設定をバックアップするには、次の手順に従います。

1. [Config>System Profiles>Backup/Restore]ページに移動します。

2. [バックアップ(Backup)] ボタンをクリックして、アプライアンスまたはソフトウェア サービス データベースをバックアップします。

保存した構成ファイルを現在実行中の設定として復元するには:

1. [Config>System Profiles>Backup/Restore]ページに移動します。

2. [ファイルの選択(Choose File)] ボタンをクリックして、以前に保存した構成ファイルを選択してアップロードし、[復元(Restore)] をクリックして設定をアプライアンスまたはサービスに適用します。

   手記：

   バックアップおよびリストア機能は、異なるメジャーリリースのCM/Coreインストールでは実行できません。たとえば、以前のバックアップ ファイル(リリース 3.2.0 アプライアンスから生成された)をリリース 3.2.0 を実行しているアプライアンスに復元しないでください。

1. Central Manager Web UIの設定>環境設定>電子メール緩和設定ページに移動し、電子メールタイプとしてGmailを選択します。

2. 確立した隔離ラベル名を入力します。

3. 電子メール アドレスを入力します (設定をテストするため)。

4. Gmail の完全な JSON キーを入力します。

5. [追加] をクリックして構成を完了します。

6. 隔離設定を編集するには、[現在設定されている電子メールの緩和策(Current Email Mitigations Configured)] テーブルで [編集(Edit)] をクリックします。

7. 検疫設定を削除するには、[現在の電子メール緩和策設定済み(Current Email Mitigations Configured)] テーブルの目的の行で [削除(Delete)] をクリックします。

図 17: Gmail の検疫設定ページ

1. Central Manager Web UI の設定>環境設定>電子メール緩和設定ページに移動し、電子メール タイプとして [Exchange Online] を選択します。

2. 確立した認証局ホストURLを入力します。

3. Office リソース URI を入力します。

4. テナント ID を入力します。

5. [クライアント ID] を入力します。

6. 隔離フォルダの名前を入力します。

7. 新しい Azure キー資格情報を生成するには、[チェック ボックス] をクリックします。

8. キービットを入力してください。既定値は 4096 です。

9. 証明書の有効期間の日数を入力します。

10. Azure マニフェスト キーの資格情報を入力します。

11. [追加] をクリックして構成を完了します。

12. 隔離設定を編集するには、[現在設定されている電子メールの緩和策(Current Email Mitigations Configured)] テーブルで [編集(Edit)] をクリックします。

13. 検疫設定を削除するには、[現在の電子メール緩和策設定済み(Current Email Mitigations Configured)] テーブルの目的の行で [削除(Delete)] をクリックします。

Juniper ATP Applianceは、統合されたエンタープライズブロッキングデバイスで、包括的な自動緩和を提供します。以前のリリースでは、脅威のブロックを実行するために、緩和インテリジェンスは統合されたパートナーデバイスに手動でプッシュされていました(Bluecoatなど、Juniper ATP Applianceをポーリングするパートナーデバイスを除く)。このリリースでは、ユーザーは、ユーザーの操作なしで軽減インテリジェンスをブロック デバイスに自動的にプッシュするか、ブロック インフラストラクチャに配布される各軽減ルールに対して手動プッシュ オプションを使用するかどうかを構成します。

自動ミティゲーションの設定と有効化については、 自動ミティゲーションの設定 を参照してください。自動ミティゲーションを有効にすると、Juniper ATP Appliance ATA も同時に有効になります。

自動緩和のためのJuniper ATP Appliance-PANファイアウォール統合の設定は、2段階のプロセスです。

1. PAN ファイアウォール Web UI を使用して、動的アドレス グループと Juniper ATP Appliance-Tag を設定します。

2. この [Config>Environmental Settings] > [Firewall Mitigation Settings] ページで設定を完了します。

1. PAN OS 6.0 Web UI から [オブジェクト] タブに移動し、左側のパネル メニューから [タグ] ページを選択します。Juniper ATP Appliance タグを入力し、[OK] をクリックします。例:JATPタグ

2. [オブジェクト(Objects)] タブで、左側のパネル メニューから [アドレス グループ(Address Group)] を選択し、[追加(Add)] をクリックして新しいダイナミック アドレス グループを作成します。表示されたフィールドに、以下に示す条件を入力し、「OK」をクリックします。

   • 名前(例:JATP-dag)

   • 説明(例:Juniper ATP Applianceの動的アドレスグループ)

   • タイプ(例:動的)

   • 一致(例:「JATP-tag」)

3. 「ポリシー」タブに移動し、左側のパネル・メニュー・オプションから「セキュリティ」を選択し、「追加」をクリックしてセキュリティポリシー・ルールを追加します。

4. [Source] サブタブの [Source Address] で、以前に作成したダイナミック アドレス グループを追加します(この例では JATP-dag にチェックマークを付けます)。「OK」をクリックし、ウィンドウの右上隅にある「コミット」をクリックします。

1. [ Config>Environmental Settings] > [Firewall Mitigation Settings ] ページに移動します。

2. [ Add New Auto-Mitigation Rule] をクリックします。

   手記：

   各FW緩和設定フィールドの定義については、以下で詳しく説明します。

3. PAN FWデバイス統合のホスト名/IP、ホストプロトコル、およびポート番号を入力します。

4. [Mitigation Type] カテゴリから [ PAN ] を選択し、[Device Type] オプションから [PAN-OS Firewall] を選択します。

5. ユーザー名とパスワードを入力します。

6. [Mitigation URL Category] と [TAG] を入力します。

   先端：

   ユーザーが URL と DAG カテゴリを変更する場合、変更されたルールは自動ルールプッシュにトリガーされません。新しいカテゴリにプッシュするには、既存の設定を削除し、新しい設定を追加します。

7. 「有効期限の日数」を入力し、「追加」をクリックします。

   表 17: 定義済みの自動緩和設定

   軽減タイプ	[PAN-OS] を選択して、個々の PAN FW を設定します。
   ホスト ip/URL	PAN ファイアウォールの IP アドレスまたは FQDN/ホスト名。
   ホストプロトコル	[HTTPS] または [HTTP] を選択します。
   ポート番号	PAN OS 管理コンソールのポート番号を入力します。
   ユーザー名	管理者アカウントのユーザー名を入力します。
   パスワード	管理者アカウントのパスワード。
   タグ	構成された DAG に関連付けられているタグ (上記の例では "JATP-tag")。
   ミティゲーション URL カテゴリ	URLを入力してください。このオプションは、Palo Alto Networks ファイアウォールへの URL に基づくブロックを提供します。URLベースのブロックにより、より正確なブロック制御が可能になります。

Juniper ATP Appliance Central Manager の緩和策ページから、構成された自動緩和ルールを適用します。

1. [Mitigation] テーブルで脅威の行 (または複数の行) を選択し、[Apply] をクリックします。

2. [適用] をクリックすると、すべてのルールが PAN ファイアウォールにプッシュされ、10 秒から 20 秒以内に PAN ファイアウォール CLI に表示されます。複数のルールを同時にプッシュでき、すべてが同時に PAN CLI に反映されます。

   これは非同期操作であるため、必要に応じて他のルールをプッシュし、他のCM Web UIページを引き続き使用できます。

   60 秒後にページを更新すると、選択した行のプッシュ SUCCESSFUL メッセージが表示されます。

3. [削除] ボタンは、自動軽減ルールを削除する必要がある場合に、自動軽減のためにプッシュされた行ごとに使用できます。

自動ミティゲーションブロックルールを有効または無効にするには:

1. [Config>Environmental Settings] > [Firewall Mitigation Settings] ページから。

2. [現在の自動緩和ルール(Current Auto Mitigation Rules)] テーブルで [有効(Enable)] または [無効(Disable)] をクリックして、自動ブロックの転送を有効または停止(無効)にします。

PAN FWルールや設定を削除するには:

1. [Config>Environmental Settings] > [Firewall Mitigation Settings] ページから。

2. 現在 Pan FW にプッシュされているルールがない場合は、[Delete] オプションをクリックします。

3. ルールが現在プッシュされている場合、「削除」オプションは無効になります。[Remove all IP Addresses] をクリックします。

• PAN-OS CLI から、次のように入力します。

Juniper ATP Applianceプラットフォームは、悪意のあるIPアドレスとマルウェアにリンクするURLを監視および検出します。以前のリリースでは、Juniper ATP ApplianceとPalo Alto Networks(PAN)ファイアウォールとの統合により、Juniper ATP Applianceは、悪意のあるURLやIPアドレスやURLを個々のPAN FWデバイスにプッシュすることで、これらのIPアドレスやIPをブロックすることができました。しかし、企業によっては、さまざまな場所に分散した一連のPANファイアウォールを利用しているところもあります。このため、Juniper ATP Applianceは、PANファイアウォールの分散型ネットワークを中央から制御するネットワークセキュリティ管理デバイスであるPalo Alto NetworkのPanoramaとの統合を提供します。Juniper ATP Applianceは、個々のPAN-OS FWとの統合を通常どおり構成するか、Juniper ATP ApplianceのファイアウォールおよびSecure Gatewayの自動緩和オプションの一部として一元化されたパノラマデバイスとの統合を構成するかの柔軟性を提供します。個々のFW統合については、 を参照してください。

Juniper ATP Appliance/Panoramaの統合は、IPアドレスをファイアウォールアドレスグループにプッシュし、設定されたファイアウォールデバイスグループごとにカスタムURLカテゴリにURLをプッシュします。複数のデバイスグループを設定することもできます。

1. [Config>Environmental Settings] > [Firewall Mitigation Settings] ページに移動します。

2. [Add New Auto-Mitigation Rule] をクリックします。

   手記：

   各FW緩和設定フィールドの定義については、以下で詳しく説明します。

3. [Mitigation Type] カテゴリから [PAN] を選択し、[Device Type] オプションから [Panorama] を選択します。

4. ホスト名/IPを入力します。

5. 設定済みのデバイス グループを入力します。デバイスグループが複数ある場合は、各デバイスグループ名をスペースで区切って入力します。

6. 集中型PANORAMA FWデバイスのホストプロトコルとポート番号を入力します。

7. ユーザー名とパスワードを入力します。

8. [Mitigation URL Category] を入力します。

9. アドレスグループを入力します。

10. 「有効期限の日数」を入力し、「追加」をクリックします。

    表 18: PANORAMA 自動緩和設定の定義

    軽減タイプ	Panorama を選択して、一元化された Panorama 管理サーバーデバイスを設定します。
    ホスト ip/URL	Panorama デバイスの IP アドレスまたは FQDN/ホスト名。Device Group(デバイスグループ):デバイスグループ名を入力します。複数のデバイスグループを
    デバイスグループ	デバイスグループ名を入力します。複数のデバイスグループを(文字スペースで区切って)指定できます。[Manage Devive Groups] ページから Panorama Console でデバイスグループを設定します。これは、パノラマファイアウォールネットワーク内のすべてのファイアウォールがグループ化される場所です。
    ホストプロトコル	[HTTPS] または [HTTP] を選択します。
    ポート番号	PAN OS 管理コンソールのポート番号を入力します。
    ユーザー名	管理者アカウントのユーザー名を入力します。
    パスワード	管理者アカウントのパスワード。
    ミティゲーション URL カテゴリ	URL を入力します。このオプションは、Palo Alto Networks ファイアウォールへの URL に基づくブロックを提供します。URLベースのブロックにより、より正確なブロック制御が可能になります。Juniper ATP Appliance/Panoramaは、設定されたファイアウォールデバイスグループごとに、カスタムURLカテゴリにURLをプッシュします。プッシュは、緩和セキュアWebゲートウェイを介して、Juniper ATP Applianceから分散PAN FWに行われます。
    アドレスグループ	Juniper ATP Appliance が PAN ブロッキングのために IP アドレスをプッシュするグループの場所。パノラマコンソールで作成した、Juniper ATP Appliance に固有の既存のアドレスグループを入力します。アドレスグループが指定されていない場合、PANはプッシュ実行時に新しいアドレスグループを作成します。
    有効期限の日	ルールの有効期限が切れるまでの日数を入力します。有効期限の既定値は 0 で、ルールは期限切れになりません。

Juniper ATP Appliance Central Manager の緩和策ページから、構成された自動緩和ルールを適用します。

1. [Mitigation] テーブルで脅威の行 (または複数の行) を選択し、[Apply] をクリックします。

   手記：

   [適用] アクションは、特定のデバイス グループ内の分散 PAN-OS ファイアウォールでポリシーが実行されるパノラマ デバイスに自動緩和ルールをプッシュします。

2. [適用] をクリックすると、すべてのルールがパノラマ経由で PAN ファイアウォールにプッシュされ、10 秒から 20 秒以内に PAN ファイアウォール CLI に表示されます。複数のルールを同時にプッシュでき、すべてが同時に PAN CLI に反映されます。

   これは非同期操作であるため、必要に応じて他のルールをプッシュし、他のCM Web UIページを引き続き使用できます。

   60 秒後にページを更新すると、選択した行のプッシュ SUCCESSFUL メッセージが表示されます。

3. [削除] ボタンは、自動軽減ルールを削除する必要がある場合に、自動軽減のためにプッシュされた行ごとに使用できます。

パノラマルールや設定を削除するには:

1. [Config>Environmental Settings] > [Firewall Mitigation Settings] ページから。

2. 現在 Panorama デバイスにプッシュされているルールがない場合は、[削除] オプションをクリックします。

3. ルールが現在プッシュされている場合、「削除」オプションは無効になります。[Remove all IP/URL Addresses] をクリックします。

1. Panorama デバイスグループ内の個々の PAN-OS ファイアウォールの CLI から、次のコマンドを入力して動作を確認します。

統合された Cisco ASA ファイアウォール サポートにより、ASA ファイアウォールを導入している企業は、マルウェア ブロックのために Juniper ATP アプライアンス製品から Cisco ASA ファイアウォール プラットフォームに IP アドレスをプッシュできます。Juniper ATP Appliance は、REST インターフェイスを使用して ASA ファイアウォールと通信します。

Cisco ASA 管理者は、ASA で「ネットワーク オブジェクト グループ」を設定する必要があります。複数のネットワーク オブジェクト グループは、ASA ファイアウォールの「非表示」機能であることに注意してください。

次に、ASA の設定例を示します。

[Config>Environmental Settings] > [Firewall mitigation Settings] ページに移動して、Cisco ASA ファイアウォールで Juniper ATP Appliance によって検出されたマルウェアの自動緩和を設定します。

ASA ファイアウォールを設定するには、次の手順に従います。

1. [Mitigation Type] 列から [ASA] を選択します。

2. ファイアウォールのホスト名または IP アドレスを [ホスト名/IP] フィールドに入力します。

3. デフォルトの 443 と異なる場合は、ファイアウォールのポート番号を入力します。

4. 管理者のユーザー名とパスワードを入力します。

5. ASA ファイアウォールで設定されているネットワーク オブジェクト グループを入力します。

6. 接続の有効期限の日数を入力します。既定値は 60 日です。

まず、Juniper ATP Applianceデバイスを設定する前に、この必要な設定をFortiManagerに適用します。

FortiManagerコンソールで、以下を作成します。

• ADOM (管理ドメイン) も有効にする必要があります。ADOM が作成されると、JSON RPC 要求に ADOM 名が必要になります

• アドレスグループは、Juniper ATP ApplianceがIPアドレスを追加する前であっても、少なくとも1つのIPアドレス(ダミー)で作成する必要があります。

• Webfilter プロファイル(オプション)を作成し、すぐ下のセクションに示すように URL フィルタリングを有効にする必要があります。

  手記：

  アドレスグループ名(指定されている場合)は、IPアドレスのブロッキング情報をプッシュするために使用されます。Webfilter プロファイル名(指定されている場合)は、URL のブロッキング情報をプッシュするために使用されます。これら 2 つのパラメータはオプションですが、少なくとも 1 つの ---アドレス グループ名または Webfilter 名--を指定する必要があります。どちらも指定されていない場合は、エラーメッセージが表示されます。

• ポリシーパッケージを作成します(オプション)。指定した場合、ポリシーは、ポリシーパッケージにインストールターゲットとしてリストされているすべてのFortiGateにインストール(プッシュ)されます。Juniper ATP Applianceでポリシーパッケージ名が設定されていない場合、これらのポリシーはFortiGatesにプッシュまたはインストールされないため、手動またはその他の手段(スケジュールに従ってカスタムスクリプトを実行するなど)でインストールする必要があります。

FortiManagerでは、IPアドレスを「アドレス」の共通プールに追加する必要があり、これらのアドレスをアドレスグループに追加できます。FortiManagerコンソールでアドレスグループを作成する場合は、そのグループに少なくとも1つのIPアドレスを指定してください。以下のメニューを参照してください。

図22:FortiManagerアドレスグループの設定

また、FortiManagerコンソールでWeb/フィルタープロファイルを作成する必要があり、その下にブロック用のURLを追加できます。

図23: FortiManager Webフィルタの設定

FortiManager Webfilterプロファイルで、URLフィルターを有効にする必要があります。ブロックされるすべてのURLは、Juniper ATP ApplianceからこのURLフィルターにプッシュされます。

図24:FortiManagerでのURLフィルターの有効化

また、Fortinet FWとFortiManagerの統合には、統合用に作成されたアドレスグループとWebフィルター名を参照するポリシーを含むポリシーパッケージも必要です。このポリシーパッケージのインストール先となるインストール先(fortigateデバイス)を指定します。

図25:FortiManagerポリシーパッケージの設定

Fortinet ファイアウォールと管理プラットフォームを設定するには、次の手順を使用します。

1. [軽減策の種類] 列から [Fortinet] を選択します。

2. ファイアウォールのホスト名または IP アドレスを [ホスト名/IP] フィールドに入力します。

3. 管理者のユーザー名とパスワードを入力します。

4. Fortinetファイアウォールで設定されたアドレスグループを入力します。

5. Fortinet ファイアウォールで設定されている Web/フィルター プロファイル名を入力します。

   手記：

   アドレスグループ名(指定されている場合)は、IPアドレスのブロッキング情報をプッシュするために使用されます。Webfilter プロファイル名(指定されている場合)は、URL のブロッキング情報をプッシュするために使用されます。これら 2 つのパラメータはオプションですが、少なくとも 1 つの ---アドレス グループ名または Webfilter 名--を指定する必要があります。どちらも指定されていない場合は、エラーメッセージが表示されます。

6. FortiManagerプラットフォームを設定する場合は、[FortiManager]をクリックすると、追加のフィールドが表示されます。

   手記：

   Juniper ATP Appliance Fortinetの統合は、FortiManagerバージョン5.4以降をサポートしています。

7. FortiManagerに設定されている管理ドメイン名(ADOM)を入力します。

8. FortiManagerでも設定されているポリシーパッケージ名を入力します。

9. 「追加」をクリックして、構成を確定します。

FortiManagerは、FortiGateデバイスのマネージャーであり、構成用のJSON-RPC APIベースのアクセスを提供します。Juniper ATP Applianceは、これらのAPIを使用します。

設定されたチェック・ポイント・ファイアウォールとの統合により、Juniper ATP Appliance製品は、チェック・ポイント・ファイアウォールと連携して通信し、脅威の軽減を実行することができます。Juniper ATP Applianceの管理者は、Check Point Firewallの統合により、特定の脅威をブロックするか、以前に伝播された緩和策を削除するかを選択できます。

通信は SSH インターフェイスを介して行われ、Check Point ユーザーは Check Point デバイスの CLI にアクセスすることもできます。

ブロック情報は、Check Point API を使用して送信されます。Juniper ATP Applianceで確立されたPANとジュニパーの統合サポートと同様に、悪意のあるIPアドレスを統合されたCheck Pointアプライアンスにプッシュすることで、管理者はファイアウォールまたはセキュアWebゲートウェイで脅威を特定し、選択したオブジェクトをCentral Manager Web UIから構成済みのCheck Pointファイアウォールに送信します。

Juniper ATP アプライアンス製品は、チェック・ポイントの不審なアクティビティ監視 (SAM) 機能を使用して、悪意のある IP アドレスをチェック・ポイントのアプライアンスに伝搬します。SAMステータスとコマンドは、Check Pointの「Smart Console」ファミリーのWeb UIアプリケーションの「SmartView Monitor」アプリで利用できます。

Check Point GAiAアプライアンスの導入には、セキュリティ管理サーバーとセキュリティ・ゲートウェイの構成が含まれます。スタンドアロン構成では、Security Management ServerとSecurity Gatewayは同じマシンにインストールされます。分散構成では、1 つの Security Management Server で多数の下位セキュリティ ゲートウェイを管理できます。

Juniper ATP Applianceは、スタンドアロンと分散型の両方のCheck Pointの導入をサポートします。いずれの場合も、Juniper ATP Appliance は Check Point Security Management Server の IP アドレスで設定する必要があります。

他の統合とは異なり、アドレスグループや類似のオブジェクトを設定する必要はありません。Check Point を使用すると、管理者は軽減された IP への接続をドロップまたは拒否し、既存の接続を閉じるか維持するかを選択できます。これらの選択肢は、Check Point 統合の Juniper ATP Appliance の設定時に選択します。

Juniper ATP Appliance ファイアウォールのブロックは、以下のように Check Point CLI SAM コマンドに対応します。

チェック・ポイントの『FW SAM CLI Reference』ガイドは、オンラインで入手できます。

Check Point Firewall の統合を構成するには、次の手順を実行します。

Check Point ファイアウォールでジュニパー ATP アプライアンスが検出したマルウェアの自動緩和を構成するには、[環境設定>>ファイアウォール緩和設定] ページに移動します。

1. [Mitigation Type] 列から [Check Point] を選択します。

2. ファイアウォールのホスト名または IP アドレスを [ホスト名/IP] フィールドに入力します。

3. 管理者のユーザー名とパスワードを入力します。

   手記：

   Juniper ATP Appliance で構成された Check Point のログイン資格情報は、シェルが /bin/bash の Check Point アカウントに対応している必要があります。これは Check Point CLI の「エキスパート」モードに相当します。これはデフォルトのシェルではないことに注意してください。デフォルトは clish です。

4. 接続の有効期限の日数を入力します。既定値は 60 日です。

5. 「禁止モード」オプションを選択します。

   • ドロップして閉じる - ファイアウォールでブロッキング要求を受信すると、パケットをドロップし、接続を閉じます

   • 拒否して閉じる - パケットを拒否し、接続を閉じます

   • ドロップ - パケットをドロップします。ドロップ (ブロック) を指定すると、パケットは破棄され、送信側プログラム/システムには何も返されません。そのため、攻撃者は、宛先やファイアウォールに到達したかどうかを知ることができません。攻撃者には、IPアドレスに何もないように見えます。

   • 拒否 - パケットを拒否します。reject の場合、UDP で到達できない TCP RST または ICMP ポートが送信者に返されます。

6. Check Point ファイアウォールのセキュリティ管理サーバーのセキュアな内部通信 SIC 名を入力します。

7. 「適用ホスト」オプションを選択します。

   • すべて - すべての適用ホストとグループまたはオブジェクト

   • ゲートウェイ - 優先適用ホストとしてのセキュアゲートウェイ

   • グループまたはオブジェクト:設定済みのセキュリティポリシーグループまたはオブジェクト

オブジェクトは、Check Point ファイアウォールによって管理されるホスト、ゲートウェイ、ネットワーク、およびホストを表します。グループには、各ネットワーク オブジェクト グループがブランチとして表示される場合があります。セキュリティゲートウェイは、企業のセキュリティポリシーを適用し、セキュリティ強化ポイントとして機能します。

Forcepoint NGFWセキュリティ管理センター(SMC)は、分散ネットワーク企業全体でForcepoint次世代ファイアウォールの一元管理を提供します。Forcepoint SMCは、監視、ログ、アラート、およびレポートを使用して、ネットワークセキュリティイベントの全体像を管理者に提供します。

Juniper ATP Applianceプラットフォームは、悪意のあるIPアドレスとマルウェアにリンクするURLを監視および検出します。Forcepoint SMCとの統合により、Forcepointファイアウォールの内側のユーザーがこれらのIPまたはURLにアクセスできなくなります。

この統合には、次のようなForcepoint SMCの設定タスクが含まれます。

Forcepoint SMC API を有効にして、他のアプリケーションが SMC API を使用して接続できるようにします。

1. Forcepoint SMCで、[ ホーム]を選択します。

2. [ その他 ] > Management Server に移動します。

3. [Management Server] を右クリックし、[プロパティ] を選択します。

4. 「SMC API」タブをクリックし、「有効」を選択します。

5. オプションで、「ホスト名」フィールドに、SMC API サービスが使用する名前を入力します。名前を入力しない場合、任意のホスト名に対する API 要求が許可されます。

6. 管理サーバーでリスニング ポートが既定の 8082 に設定されていることを確認します。

7. Management Server に複数の IP アドレスがあり、アクセスを 1 つに制限する場合は、[ アドレスでのみリッスン する] フィールドに IP アドレスを入力します。

8. 暗号化された接続を使用する場合は、「 選択」をクリックしてから、「 TLS認証情報 」要素を選択します。TLS認証情報の作成手順については、以下の手順をご参照ください。

9. [ OK] をクリックします。

SMC APIクライアント用のTLS資格証明を作成します。(使用可能な場合は、既存の秘密キーと証明書をインポートできます。

1. Management Clientで、 構成を選択します。

2. [ Administration > Certificates > TLS Credentials] に移動します。

3. 「 TLS資格証明 」を右クリックし 、「新規TLS資格証明」を選択します。

4. 証明書要求の詳細を入力します。

   • [ 名前 ]フィールドに、SMCのIPアドレスまたはドメイン名を入力します。

   • 必要に応じて、残りのフィールドに入力します。詳細については、Forcepointのドキュメントを参照してください。

   • 「 次へ」をクリックします。

5. 「 自己署名」を選択します。

6. 「 終了」をクリックします。

   [TLS 資格情報] 要素が [TLS 資格情報] > [Administration > 証明書] に追加されます。 [状態] 列には、証明書が署名されていることが示されます。

API Client 要素を作成します。(外部アプリケーションはAPIクライアントを使用してForcepoint SMCに接続します。開始する前に、管理サーバーで SMC API を有効にする必要があります。これらの手順は上記で提供されました。

1. [ 構成 ] を選択し 、[管理] に移動します。

2. [アクセス権] に移動します。

3. 「 アクセス権 」を右クリックし、「 新規 > API クライアント」を選択します。

4. 「 名前 」フィールドに、APIクライアントの一意の名前を入力します。

5. 初期認証キーを使用するか、「 認証キーの生成 」をクリックして新しい認証キーを生成します。ランダムな認証キーが自動的に生成されます。(このキーは一度しか表示されず、ATP Applianceの自動緩和ルールにより、後の手順で入力する必要があるため、メモしておく必要があります。API クライアントは、認証キーを使用して SMC API にログオンします。

6. [ アクセス許可 ] タブをクリックします。

7. SMC APIのアクションの権限を選択します。詳細については、Forcepointのドキュメントを参照してください。

8. [ OK] をクリックします。

IPアドレスとURLのリストをForcepoint SMCに送信するには、ATP Applianceで緩和ルールを作成する必要があります。

1. [ Config > Environmental Settings ] > [ Firewall Mitigation Settings ] ページに移動します。

2. [ Add New Auto-Mitigation Rule] をクリックします。

3. [Mitigation Type]カテゴリから [Forcepoint SMC ]を選択します。

4. デバイス統合のホスト名/IP、ホストプロトコル、ポート番号を入力します。詳細は以下の表に記載されています。

5. Forcepoint SMCのAPIキーを入力します。

6. IP リスト名を入力します。このIPリスト名は、既存または新規のIPリストを参照できます。指定したIPリストが存在しない場合は、Forcepoint SMCに送信する悪意のあるIPアドレスがある場合に作成されます。

7. URL リストのアプリケーション名を入力します。IPリストと同様に、既存または新規のURLリストを参照できます。指定したURLリストが存在しない場合は、Forcepoint SMCに送信される悪意のあるURLがある場合に作成されます。

   手記：

   Forcepoint SMCは、URLリストでワイルドカードをサポートしていません。したがって、ワイルドカードURLエントリをForcepoint SMCに送信できません。ATP Appliance の URL 軽減策にワイルドカードを含む URL が含まれている場合、ルールを適用すると、ATP Appliance の UI ステータスは "未サポート" と表示されます。

8. 「保存」をクリックします。

   図26:ファイアウォールの緩和設定 - Forcepoint SMC
   手記：

   ATP Applianceで設定を追加または削除しても、ルールのステータス(成功/失敗)は、ATP Applianceの IPフィルタリング>緩和策 および URLフィルタリング>ATP Applianceの緩和策 ページにすぐには反映されません。ステータスを表示するには、[ データの更新(Refresh Data )] をクリックする必要があります。

Juniper ATP Applianceの緩和策ページから、設定済みの緩和ルールを適用します。

1. [Mitigation] テーブルで脅威の行 (または複数の行) を選択し、[ Apply] をクリックします。

2. [適用]をクリックすると、すべてのルールがForcepoint SMCにプッシュされます。

3. ルールを追加または削除した後、ページを更新してステータスを表示します。

4. 軽減ルールが設定されると、デフォルトで有効になります。使用可能なボタンを使用して、必要に応じてルールを [無効] から [有効] にすることができます。自動軽減ルールの [テスト] ボタンを使用して、構成の精度をテストできます。自動軽減ルールを削除する必要がある場合には、行ごとに [ 削除 ] ボタンを使用することもできます。

   手記：

   ForcePoint SMC ページの [ファイアウォール軽減設定] の [テスト] リンクを使用して>Forcepoint SMC 構成をテストします。このリンクは、ForcePoint SMCサーバが到達可能であり、APIキーが機能しているかどうかをテストします。

   テストが失敗した場合は、次のことを試してください。

   • Forcepoint SMCサーバに到達できることを確認します。Forcepoint SMC のデフォルトの API ポートは 8082 です。

   • SMCとATP Applianceで構成されているAPIキーが同じであることを確認してください。

   • HTTPS構成の場合は、このセクションの手順に従ってForcePoint SMCでTLS資格情報が構成されていることを確認します。

ATP ApplianceからForcepoint SMCにプッシュされたIPアドレスとURLのリストを表示および編集するには、Forcepoint SMCで次の操作を行います。

• [IP List]で、[ Configuration > Network Elements > IP アドレス List ]に移動します。ATP Applianceで作成した名前付きリストが表示されます。

  

• [URL List] の [Other Elements] で、[ Network Applications (by type)] > [URL List] に移動します。ATP Applianceで作成した名前付きリストが表示されます。

  

Carbon Black Response は、マルウェアのリスク スコアを計算する際の 1 つの情報源を提供します - マルウェアはエンドポイントで実行されますか?質問は、マルウェア md5、エンドポイント IP アドレス、マルウェアのダウンロード タイムスタンプの 3 つの条件に基づいて Carbon Black Response サーバーに尋ねられます。

エンドポイントの監視と軽減のための Carbon Black Response の構成は、次の 2 段階のプロセスです。

1. Carbon Black Response Web UI から Carbon Black Response Account API キーを取得します。参照: Carbon Black Response API キーの取得。

2. キーとその他のデバイス設定情報を、以下に示す Juniper ATP Appliance Web UI Carbon Black ページに入力します。

図 29:Central Manager の [Carbon Black Response Configuration] ページ

1. Carbon Black Response Web UI で、右上の管理者ユーザー ドロップダウンをクリックし、[プロファイル情報] を選択します。

2. 左側のパネルの [プロファイル情報] メニューから [API トークン] を選択します。

3. [API トークン] ボックスから [API トークン] をコピーします。

4. Carbon Black Response サーバのホスト名を取得します(例: https://JATP.cloud.carbonblack.com)

1. [Config>Environmental Settings] > [Endpoint Integration Settings] ページに移動します。

2. [エンドポイント タイプ] として [CarbonBlack] を選択します。

3. デバイスのホスト名またはIPアドレスを入力します。

4. [Host Protocol] に [HTTPS] または [HTTP] を入力します。

5. デバイスのポート番号を入力します。

6. Carbon Black Response API キーを入力し、[送信 (Submit)] をクリックします。

CrowdStrike Endpoint Integrationを設定する前に、次のデータを取得します。

• CrowdStrike Falcon APIサーバーのホスト名

• CrowdStrike Falcon API ユーザー

• CrowdStrike Falcon APIキー

1. [Config>Environmental Settings] > [Endpoint Integration Settings] ページに移動します。

2. [エンドポイント タイプ] として [Crowdstrike] を選択します。

3. デバイスのホスト名またはIPアドレスを入力します。

4. 「Crowdstrike API User」と入力します。

5. Crowdstrike APIキーを入力します。

6. [追加] をクリックします。

7. [Current Endpoint Integration] テーブル行の [Test] をクリックして、Crowdstrike 統合を確認します。このリンクは、CrowdStrike サーバーが到達可能であり、API ユーザーとキーが機能しているかどうかをテストします。

Central Manager の Web UI インシデントでは、エンドポイントがマルウェアを実行した場合、EX フラグが表示されます。

[インシデント] タブで、次に示すように、インシデントに [ ホワイトリストに追加] オプションが含まれている場合は、インシデント許可リスト プロセスの一部として、これらの同じ条件を再度編集して適用できます。

1. インシデントを許可リストに追加する際に許可リストフィルター条件を編集するには、[ ホワイトリストに追加 ]リンクをクリックします。

2. [ ホワイトリストルールの更新 ]ウィンドウでは、許可リストルール条件を追加したり、現在設定されている条件を選択解除(オフ)したり、ルールセットをそのまま更新したりできます。

3. [送信(Submit)] をクリックすると、インシデントが [ ホワイトリスト ルールの更新(Update Whitelist Rule)] ウィンドウで定義およびオンにされた基準に従って許可リストに追加されます。

図 32: [Update Whitelist Rule] ウィンドウ

一致させるパターン、条件、または文字列を指定する1つ以上のYARAルールを含むテキストファイルを作成します。以下にいくつかの例を挙げます。

Config>Environmental Settings>YARA Rule Uploadに移動します。

1. ファイル タイプの選択: exe |dllの |PDFファイル |ドキュメント |XLSの |PPTの|ジャワ |APKの

2. [ファイルを選択] をクリックして、YARA ファイルを参照してアップロードします。

3. [説明] を入力します。

4. [Enable] または [Disable] のオプションボタンをクリックします。

5. 有効にすると、[追加] ボタンが表示されます。「追加」をクリックして、YARAルールのコンパイルと構文検証を開始します。構文エラーがない場合、YARAルールが検出システムに追加されます。

YARAルールがコンパイルされ、システムに追加されると、ネットワークオブジェクトがスキャンされ、ルールが一致するかどうかが確認されます。ルールの一致は脅威の検出に寄与し、Web UI の [インシデント(Web UI Incidents)] ページでマルウェアとして認識されます。

[インシデント] ページには、YARA ルールの一致がマルウェアとして表示される場所がいくつかあります。

図33:Yaraルール一致レポートは、インシデントダウンロードの詳細にも表示されます

ATP Appliance Splunk Ingestion を設定するには、以下の手順を実行します。

1. Juniper ATP Appliance Central Manager Web UI Config>Environmental Settings>Splunk Configurationページに移動します。[Add New Identity Source] をクリックします。

   図 34: [Identity Configuration] ページ

2. [ソースの種類] として [Splunk] を選択します。

3. [Identity Source] で [Audit Logs] または [LDAP Add-on] を選択します。

4. イベント ログの収集方法として [WMI] または [ユニバーサル フォワーダー] を選択します。

5. オプションのSplunkインデックスを入力します。

6. [逆引き DNS を使用する] 設定で [有効] または [無効] を選択します。

7. 「Exclude Hostnames」と入力し、カンマで区切ります。これらのホストの ID マッピングは無視され、イベント処理および表示には含まれません。

8. 「送信」をクリックして、設定を完了します。

1. Juniper ATP Appliance Central Manager Web UI Config>Environmental Settings>Splunk Configurationページに移動します。[Add New Identity Source] をクリックします。

2. [ソースの種類] として [Active Directory] を選択します。

3. ホスト名/IP アドレスを入力します。

4. ユーザー名とパスワードを入力します。

5. 検索タイプとして「グローバル・カタログ検索」または「ローカル検索」を入力します。

6. [逆引き DNS を使用する] 設定で [有効] または [無効] を選択します。

7. ドメイン コンポーネント名を入力します。

8. SSL 設定を [有効] または [無効] から選択します。

9. LDAP ポート番号を入力します。

   手記：

   通常使用されるポート番号: グローバル カタログ検索 [SSL 有効 - 3289;SSL無効 - 3268];ローカル検索 [SSL 有効 - 636;SSL 無効 - 389]

10. [逆引き DNS を使用する] 設定を有効または無効にすることを選択します。

11. 「Exclude Hostnames」と入力し、カンマで区切ります。これらのホストの ID マッピングは無視され、イベント処理および表示には含まれません。

12. 「送信」をクリックして、設定を完了します。

Juniper ATP Applianceは、Universal Forwarder on DCまたはVMI方式を使用して、Splunk経由でADログの取り込みをサポートします。

• Active DirectoryログのSplunkユニバーサルフォワーダー

• Splunk WMIによるActive Directoryログの転送

重要: 始める前に、いくつかの注意事項があります。

• Active Directory、Splunk、Juniper ATP ApplianceはすべてNTPと同期する必要があります。

• AD ログの取り込みは、一度に Direct または Splunk 経由でのみ行うことができます。

• Splunk経由のADログでは、UIの「ホスト名を除外する」構成を実際にホスト名を除外するように設定する必要があります。

• これまでエンタープライズ環境でAD-Splunkの統合を採用したことがなく、今回初めての導入の場合、Juniper ATP ApplianceはWMI方式とユニバーサルフォワーダー方式の両方をサポートしており、どちらか一方を推奨しません。ただし、Splunkのドキュメントでは、WMIメソッドでパフォーマンスの問題が報告されているため、ドメインコントローラー用のユニバーサルフォワーダーを推奨しています。

DCでSplunkアプリを使用してSplunk for ADを設定するには、次の手順に従います。

1. セキュリティ監査ログを受信するためのアドオンをインストールします。

   このリンクを確認して、インストールするインフラストラクチャアドオンを決定します。

   http://docs.splunk.com/Documentation/MSApp/1.4.1/MSInfra/ Windowsインフラストラクチャ用にSplunkAppを導入する方法

   Splunkのデプロイオプションの詳細については、こちらのリンクをご覧ください。

   http://docs.splunk.com/Documentation/MSApp/1.4.1/MSInfra/ WhataSplunkAppforWindowsInfrastructuredeploymentsは

   導入オプション:

   • Search Head上のWindowsインフラストラクチャ用Splunkアプリ(セキュリティ監査ログの受信用)

   • Search HeadのActive Directory用Splunkアドオン(LDAP検索用)

   • Splunk Add On for Windows on サーチヘッド、インデクサー、ユニバーサルフォワーダー

2. 以下に示すように、Splunk WebコンソールからActive Directoryアドオンを設定します。

   図35:ADセキュリティ監査ログを受信および転送するためのSplunkアドオン構成

3. [Settings] > [Forward And Receiving (Data)]->[Configure Receiving->New] に移動して、Windows データを受信するように Splunk Indexer を構成します。

   図 36: Splunkの[Add New Forwarding & Receiving Data Configuration]ウィンドウ

4. Windowsインフラストラクチャ用のSplunkアプリを導入します。次のリンク先の手順を使用します。

   http://docs.splunk.com/Documentation/MSApp/1.4.1/MSInfra/ WhataSplunkAppforWindowsInfrastructuredeploymentsは

   http://docs.splunk.com/Documentation/MSApp/1.4.1/MSInfra/InstallaSplunkIndexer

   手記：

   次のリンクからの情報を使用して、ドメイン コントローラーにユニバーサル フォワーダーをダウンロードしてインストールします。

   Universal Forwarder は、イベントログを Splunk Indexer に送信する方法の 1 つです。もう 1 つの方法は、次のセクション ) に示す WMI メソッドを使用したエージェントレス転送です。

   • Universal Forwarder のダウンロード: https://www.splunk.com/en_us/download/universal-forwarder.html

   • MSIをダウンロードして、インストールを開始します。ユニバーサルフォワーダーを、このリンクの指示に従って構成します。

     http://docs.splunk.com/Documentation/Forwarder/6.5.3/Forwarder/ InstallaWindowsユニバーサルフォワーダーフロムaninstaller#Install_the_universal_forwarder_for_use_with_onpremises_ Splunk_instances

   • 下の画像に示すように、適切なチェックボックスを選択した後、[カスタマイズ]オプションをクリックします。

     

   • [次へ] をクリックし、WMI を使用して他のドメイン コントローラーをポーリングする場合を除き、[ローカル アカウント] を選択します。もう一度 [次へ] をクリックします。

     

   • 以下に示す次の設定ウィンドウで、[セキュリティログ転送]オプションを選択します。「次へ」をクリックします。

     

   • 展開サーバーのホスト名とポート(デフォルトは8089)を入力し、[次へ]をクリックします。

     

   • 次の例のように、[Receiver Index] と [Port] (既定値は 9997) を入力し、[Next] をクリックします。

     

5. 指示に従って、次のリンクから Active Directory データを取得します: http://docs.splunk.com/Documentation/MSApp/1.4.1/MSInfra/DownloadandconfiguretheSplunkAddonsforActiveDirectory

   • AD と Powershell の GPO を構成します。

   • Splunk Add On For Microsoft Active Directory をダウンロードしてください。

   • Splunk Add On for Microsoft Powershellをダウンロードしてください。

   • Un-TARは、7zipまたは別のアーカイブユーティリティを使用してTARファイルをダウンロードしました。

   • 結果の SA-ModularInput-PowerShell と Splunk_TA_microsoft_ad をユニバーサル フォワーダーのインストール パスにコピーします。

   • Universal Forwarder コンポーネントを再起動します。

     • services.msc

     • SplunkForwarderサービスを見つけて再起動します。

   • Splunk Search Headがデータを受信していることを確認するには、次のいずれかの手順を実行します。

     • [App & Reporting > Data Summary] で UI を検索して、ドメイン コントローラー ホストが構成されていることを確認します。

     • または、"source="wineventlog:security" AND EventCode=4769 AND Service_Name != krbtgt |テーブル _time Account_Name Client_Address Service_Name |_timeの名前をUserName Logon_Time Account_Name IPAddressとしてClient_Addressホスト名としてService_Name名前を変更します」

6. Splunk Web IndexerでSplunk App for Windowsインフラストラクチャを設定する。前提条件に注意してください。

   

   • 以下に示すように、管理者ユーザーのロールを変更して、管理者ユーザーに winfra-admin ロールを付与します。

     

WMIメソッドを使用してSplunkとのAD統合を設定するには、次の手順を使用します。

1. Splunk EnterpriseとWindowsネットワークの両方が、WMIデータアクセス用に正しく設定されている必要があります。Splunk Enterprise を使用して WMI データを取得する前に、以下の前提条件を確認してください。

   Splunk EnterpriseがWMIベースのデータを取得する前に、次のことを行います。

   • Splunk Enterprise は、リモートネットワーク接続を実行する権限を持つユーザーとともにインストールする必要があります。Splunkのインストール中に、ローカルアカウントまたはドメインアカウントの入力を求められます。ドメイン アカウントを選択します。

   • Splunk Enterprise を実行するユーザーは、Active Directory (AD) ドメインまたはフォレストのメンバーであり、WMI プロバイダーを照会するための適切な権限を持っている必要があります。

   • Splunkユーザーは、Splunk Enterpriseを実行するコンピューターのローカル管理者グループのメンバーでもある必要があります。

   • Splunk Enterpriseを実行するコンピューターは、リモートマシン(AD)に接続でき、接続後にリモートマシンから目的のデータを取得する権限を持っている必要があります。

2. Splunkをインストールしたら、Splunkにログオンし、[Settings]-[> Data Inputs]に移動します。

3. 2番目のオプションである[リモートイベントログ収集]をクリックし、[新規]をクリックします。

   

4. ログ収集の名前を選択し、AD サーバーの IP アドレスを入力します。

5. SplunkがADサーバーへのWMIクエリを実行できる場合は、次に示すように[Select イベントログ]オプションが表示されます。「セキュリティ」を選択し、「次へ」をクリックします。

   

6. 次のページでホストの詳細を入力します。インデクサーを選択する場合は、それを選択するか、既定値のままにします。

   設定を確認して送信します。

7. Splunkサーバーから、C:\Program Files\Splunk\etc\system\localに移動し、次の設定を追加します。

Splunkを再起動し、SplunkですべてのActive Directoryセキュリティログが利用できることを確認します。

AD 統合を構成する前に、次の要件に従ってください。

• Windows Management Instrumentation(WMI)検索とLDAP検索の両方に管理者資格情報が必要なため、AD用に構成されたユーザーには管理者権限が必要です。ADユーザーは「読み取り専用」の管理者ユーザーにすることができますが、次の権限が必要です。

  • ユーザー アカウントは、"分散 COM ユーザー" Active Directory グループに属している必要があります。

  • ユーザー アカウントには、ドメイン コントローラー コンピューター上の WMI 名前空間 (CIMV2 名前空間) にアクセスするためのアクセス許可が必要です。

  • ユーザー アカウントには、ドメイン コントローラー コンピューター上のセキュリティ イベント ログを読み取るためのアクセス許可が必要です。

• Juniper ATP Applianceは、指定された時間内(現在の時刻から5分の範囲)に基づいてADにクエリを実行するため、Active DirectoryドメインコントローラとJuniper ATP Appliance Core/CMをNTPサーバーに同期する必要があります。

• ADドメインコントローラがファイアウォールの内側にある場合は、ファイアウォールを開いて、Juniper ATP Appliance Core/CMデバイスがADに到達できるようにしてください。

  • LDAP 検索と WMI クエリに必要なポート番号のファイアウォールを開きます。

  • LDAP 検索のデフォルト ポート番号

    • ローカル検索の場合:ポート389(非SSL)、ポート636(SSL)。

    • グローバル カタログ検索の場合:ポート 3268 (SSL 以外)、ポート 3269 (SSL)。

      手記：

      SSL モードの場合、お客様は Active Directory 証明書サービスをインストールし、証明書をインストールする必要があります。LDAPS は再起動しないと機能しないため、この後、ドメイン コントローラー サーバーを再起動する必要があります。

  • WMI は、初期接続に TCPポート 135 を使用します。コアがファイアウォールの内側にある場合、お客様はポート135のファイアウォールを開く必要があり、さらに次のことを行う必要があります。

    • WMI を固定ポートに結び付け、固定ポートのファイアウォールも開きます。この固定ポートは、WMI データ交換に使用されます。

      手記：

      WMI を固定ポートに結び付ける手順については、https://msdn.microsoft.com/en-us/library/bb219447(VS.85) を参照してください.aspx

      また、Windowsファイアウォールが固定ポート用に開かれているかどうかも確認してください。

    • または ファイアウォールでは、DCOM がこの範囲内のポートのいずれかを使用する可能性があるため、ポート範囲 49152 から 65535 を開きます。

• AD の監査ポリシーで、ログオンが成功したときに必要なイベント (特にイベント コード 4769 の Kerberos イベントの種類) が生成されることを確認します。

• Juniper ATP Applianceは、これらのログをID用にスクレイピングするため(Juniper ATP ApplianceがID情報を取得するためには、セキュリティログがログを実行している必要があります)、最大ログファイルサイズになるように、Windowsセキュリティログプロパティの[必要に応じてイベントを上書きする(最も古いイベントが最初に)]オプションを必ず設定してください。

また、Windows 2008 および Windows 2012 のドメイン コントローラー イベント ログを照会するために、管理者以外のユーザーを設定します。

Juniper ATP Appliance Coreは、ドメインコントローラのイベントログを照会して、ホストツーIPマッピングを取得します。必ず、Juniper ATP Appliance Core/CM を設定して、ドメイン管理者グループの一部であるユーザーを含むドメインコントローラーにクエリーを実行してください。これは制限的であり、管理者にとって潜在的に危険です。

Juniper ATP Appliance Coreで実行されているADエージェントは、WMIを使用してActive Directoryドメインコントローラにセキュリティイベントログを照会するため、管理者ユーザーは必要ありません。また、Juniper ATP Applianceは、DCOM(Distributed COM)技術を使用して、ドメインコントローラへのリモートコールを処理します。管理者以外のユーザーの場合は、DC のクエリを許可するために、次のアクセス許可を必ず設定してください。

• DCOM アクセス許可 (これは、分散 COM ユーザー AD グループに属している必要があります)。

• ドメイン コントローラー デバイス上の WMI 名前空間 (CIMV2 名前空間) にアクセスするための WMI アクセス許可。

• ドメイン コントローラー デバイスのセキュリティ イベント ログを読み取るためのアクセス許可。

ドメイン ユーザーまたはグループを作成するには、次に示すように、[Active Directory ユーザーとコンピューター] ウィンドウ オプションを使用して、新しいユーザー/グループをドメインの組み込みグループ ("分散 COM ユーザー" と "イベント ログ リーダー" ) に追加します。

図 37: [Active Directory Users and Computers] ウィンドウの [Member Of] 設定

次に、ユーザー/グループ WMI アクセス許可を設定します。

1. Windows Management Instrumentation (WMI) コンソールを実行します。

2. [スタート] を選択し、[ファイル名を指定して実行] をクリックして、次のように入力します。 wmimgmt.msc

3. [OK] をクリックし、Enter キーを押します。

4. 「WMIコントロール」を右クリックし、「プロパティ」を選択します。

5. [セキュリティ]タブを選択し、[ルート]を展開します。

6. 「CIMV2」を選択し、「セキュリティ」をクリックします。

   図 38: Windows Management Instrumentation (WMI) コンソール設定

7. AD ドメイン コントローラーを操作するために作成したドメイン ユーザーを追加します。ユーザーに「アカウントの有効化」と「リモート有効化」の権限を設定します。

   図 39: ROOT\CIMV2 のセキュリティに関する WMI コンソール設定

8. 「詳細」をクリックします。ドメインユーザーを選択し、「適用先」が「この名前空間とサブ名前空間」に設定されていることを確認します。

   図 40: CIMV2 の WMI コンソールの高度なセキュリティ設定

9. [OK] を選択して変更を保存します。

   図 41: WMI コンソールの [セキュリティの詳細設定] のファイナライズ

次に、ドメイン コントローラーのドメイン コンポーネント名を取得します。

1. ADサーバーに移動します。

2. 「管理ツール」を実行します。

3. 「Active Directoryユーザーとコンピュータ」を実行します

4. 「Active Directoryユーザーとコンピューター」をクリックし、右側で名前を見つけます(例:pod001.eng.JATP.com は、下のサンプルスクリーンショットのドメインコンポーネント名として表示されています)。

5. 手順 4 とまったく同じドメイン コンポーネント名を使用します。Juniper ATP Applianceの[Active Directory Configuration](アクティブディレクトリ設定)ページの[Domain Component](ドメインコンポーネント)フィールドに追加できるようにメモしておいてください(パート 2 - Web UIからActive Directoryドメインコントローラを設定するで説明)。

図 42: [AD Users and Computers] ウィンドウ の [Name] 列のドメイン コンポーネント名

次に、ローカル WMI サービスをテストします。

1. [スタート] ボタン、[ファイル名を指定して実行] の順にクリックし、「 wmimgmt.msc」と入力して、[OK] をクリックします。

2. [WMI コントロール (ローカル)] を右クリックし、[プロパティ] をクリックします。

3. WMI サービスが正しく構成されている場合、WMI コントロールは WMI に接続し、[プロパティ] ダイアログ ボックスを表示します。[全般] タブに、オペレーティング システムと WMI のバージョンに関する情報が表示されます。

図 43: [WMI コントロール (ローカル)] のプロパティ ページ

次に、WMI アクセス許可を確認します。

1. AD コンピューターで、[スタート] ボタン、[ファイル名を指定して実行] の順にクリックし、「 wmimgmt.msc」と入力して、[OK] をクリックします。

2. [WMI コントロール] を右クリックし、[プロパティ] をクリックします。

3. [セキュリティ] タブで、[ルート] を展開し、[WMI] をクリックします。

4. 結果ウィンドウの [セキュリティ] をクリックして、アクセス許可を表示します。ユーザーに権限がない場合は、権限を設定します。

図 44: WMI コンソールのセキュリティ設定

次に、LDAP SSL 接続を確認します。証明書をインストールしたら、次の手順に従って LDAP が有効になっていることを確認します。

1. Active Directory 管理ツール (Ldp.exe) を起動します。

   手記：

   Active Directory 管理ツール プログラムは、Windows 2000 サポート ツール領域にインストールされます。

2. [接続] メニューの [接続] をクリックします。

3. 接続するドメイン コントローラーの名前を入力します。

4. ポート番号として「636」と入力します。

5. [OK] をクリックします。

6. 「 パート 2 - Web UI からの Active Directory ドメイン コントローラーの構成」に進みます。

Juniper ATP Applianceは、5分ごとにADドメインコントローラをポーリングして、ADからIDデータを取得します。IDデータは、LDAP検索を使用してイベントコード4769とADデータストアのログをクエリすることにより、WMIを使用してADのセキュリティイベントログから取得されます。ID データには、各認証イベントのマッピング、エンドポイントのホスト名、エンドポイントの IP アドレス、エンドポイントへのログインに使用されたユーザー名、およびユーザーのメールアドレスが含まれます。複数の AD ドメイン コントローラーを 5 分間隔で構成してポーリングできます。

AD ドメイン コントローラーの要件と推奨される構成設定の次の一覧を確認します。

• 設定された AD ユーザーには、管理者権限が必要です。AD アカウント管理者は、(1) 分散 COM ユーザー AD グループに属している必要があり、(2) アカウントには、ドメイン コントローラー デバイス上の WMI 名前空間 (CIMV2 名前空間) にアクセスするアクセス許可が必要であり、(3) アカウントには、ドメイン コントローラー デバイスのセキュリティ イベント ログを読み取るためのアクセス許可が必要です。

• ADポーリングを5分間隔で最適化するには、Active DirectoryドメインコントローラーとJuniper ATP Appliance Core+CMの両方をNTPサーバーに同期する必要があります。

• Active Directoryドメインコントローラがファイアウォールの内側にある場合、管理者はファイアウォールを開いて、Juniper ATP Appliance Core+CMがADコントローラに到達できるようにする必要があります。LDAP 検索と WMI クエリに必要なポート番号のファイアウォールを開きます。

  LDAP 検索のデフォルト ポート番号:

  • (指定されたドメインコンポーネントの)ローカル検索では、非SSLの場合はポート番号389、SSLの場合は636を使用します。

  • (指定されたドメインコンポーネントの)グローバル検索では、非SSLの場合はポート番号3268、SSLの場合は3269を使用します。

    手記：

    SSLモードの場合は、必ず「Active Directory証明書サービス」をインストールし、証明書をインストールしてください。LDAP は再起動しないと機能しないため、証明書のインストール後に AD ドメイン コントローラー サーバーを再起動する必要があります。

• WMI では、初期接続に TCPポート 135 が使用されます。Core+CM がファイアウォールの内側にある場合、管理者はポート 135 のファイアウォールを開いてから、次の操作を行う必要があります。

  • また、WMIを固定ポートに結び付け、ファイアウォールも固定ポートに開きます。ポート 135 は、初期接続ハンドシェイクに使用されます。固定ポートは WMI データ交換に使用されます。

    • WMI を固定ポートに接続する手順については、 https://msdn.microsoft.com/en-us/library/bb219447(VS.85) を参照してください.aspx

    • また、Windowsファイアウォールが固定ポート用に開かれていることを確認してください。

  • または、ファイアウォールで、ポート範囲 49152 から 65535 を開きます (DCOM はこの範囲のポートのいずれかを使用する可能性があるため)。

• AD ドメイン コントローラーの監査ポリシーで、ログオンの成功 (特にイベント コード 4769 の Kerberos イベントの種類) が許可されていることを確認します。

• Windows セキュリティ ログ プロパティの設定を構成します: "必要に応じてイベントを上書きする (最も古いイベントから順に)"。[最大ファイル サイズ] を選択して、ID ポーリング カバレッジをフルにします。

Windows 2008 および Windows 2012 のドメイン コントローラー イベント ログを照会するための管理者以外のユーザーの設定については、「 Active Directory 統合の前提条件 」も参照してください。

このセクションでは、Active Directory ドメイン コントローラーの統合が機能しているかどうかを判断する方法について説明します。

• Juniper ATP Appliance CLI から「setupcheck all」コマンドを実行するか、[Config>Environmental Settings] > [Active Directory Configuration] ページにある [Current AD Domain Controller] ウィンドウで [Test] ボタン オプションをクリックして、Active Directory 統合が機能しているかどうかを確認します。

• Active Directoryドメインコントローラーの統合が機能していない場合:

  • AD エージェントは、引き続き 1 時間ごとに正常性アラートを送信します。

  • また、AD エージェントは、何らかの理由で AD に到達できない場合にも GSS にアラートを送信します。

AD エージェントは、次の理由で ID 情報を取得できない場合があります。

• Active Directory ドメイン コントローラーに到達できません (接続の問題またはダウンしています)

• アクティブ ドメイン コントローラーのクエリは、完了するまでに時間がかかります (メモリまたは CPU の問題により、コントローラーが遅くなる可能性があります)。

• ネットワーク遅延が長すぎる可能性があります。

SNORTルールファイルをアップロードするには:

1. Juniper ATP Appliance Central Manager Web UI の [Config] > [Environmental Settings] > [Snort Rule Upload] ページに移動します。

   図 45: Juniper ATP Appliance Central Manager の SNORT ルールのアップロード ページ

2. [Add SNORT Rules](SNORTルールの追加)ボタンをクリックします。

3. [ファイルの選択]をクリックし、Juniper ATP ApplianceシステムにアップロードするカスタムSNORTファイルを参照して選択します。

4. SNORT ルールの説明を [説明] フィールドに入力し、[追加] をクリックします。

5. カスタム SNORT ルールを編集または削除するには、[現在の SNORT ルール(Current SNORT Rules)] テーブルの [アクション(Actions)] 列で [削除(Delete)] または [編集(Edit)] リンクをクリックします。

ATP Appliance Splunk Ingestion を設定するには、以下の手順を実行します。

1. Juniper ATP Appliance Central Manager Web UI Config>Environmental Settings>Splunk Configurationページに移動します。[Add New Identity Source] をクリックします。

2. [ソースの種類] として [Splunk] を選択します。

3. [Identity Source] で [Audit Logs] または [LDAP Add-on] を選択します。

4. イベント ログの収集方法として [WMI] または [ユニバーサル フォワーダー] を選択します。

5. オプションのSplunkインデックスを入力します。

6. [逆引き DNS を使用する] 設定で [有効] または [無効] を選択します。

7. 「Exclude Hostnames」と入力し、カンマで区切ります。これらのホストの ID マッピングは無視され、イベント処理および表示には含まれません。

8. 「送信」をクリックして、設定を完了します。

1. Juniper ATP Appliance Central Manager Web UI Config>Environmental Settings>Splunk Configurationページに移動します。[Add New Identity Source] をクリックします。

2. [ソースの種類] として [Active Directory] を選択します。

3. ホスト名/IP アドレスを入力します。

4. ユーザー名とパスワードを入力します。

5. 検索タイプとして「グローバル・カタログ検索」または「ローカル検索」を入力します。

6. [逆引き DNS を使用する] 設定で [有効] または [無効] を選択します。

7. ドメイン コンポーネント名を入力します。

8. SSL 設定を [有効] または [無効] から選択します。

9. LDAP ポート番号を入力します。

   手記：

   通常使用されるポート番号: グローバル カタログ検索 [SSL 有効 - 3289;SSL無効 - 3268];ローカル検索 [SSL 有効 - 636;SSL 無効 - 389]

10. [逆引き DNS を使用する] 設定を有効または無効にすることを選択します。

11. 「Exclude Hostnames」と入力し、カンマで区切ります。これらのホストの ID マッピングは無視され、イベント処理および表示には含まれません。

12. 「送信」をクリックして、設定を完了します。

Juniper ATP ApplianceにおけるActive Directory(AD)ログの直接取り込みのサポートは、新しい機能ではなく、Juniper ATP Appliance製品の多くのリリースバージョンで利用可能です。Juniper ATP Applianceは、DC上のユニバーサルフォワーダーまたはWMIメソッドを使用して、Splunk経由のADログの取り込みもサポートします。

• Active DirectoryログのSplunkユニバーサルフォワーダー

• Splunk WMIによるActive Directoryログの転送

重要: 始める前に、いくつかの注意事項があります。

• Active Directory、Splunk、Juniper ATP ApplianceはすべてNTPと同期する必要があります。

• AD ログの取り込みは、一度に Direct または Splunk 経由でのみ行うことができます。

• Splunk経由のADログでは、UIの「ホスト名を除外する」構成でADのホスト名を除外するように設定する必要があります。

• これまでエンタープライズ環境でAD-Splunkの統合を採用したことがなく、今回初めての導入の場合、Juniper ATP ApplianceはWMI方式とユニバーサルフォワーダー方式の両方をサポートしており、どちらか一方を推奨しません。ただし、Splunkのドキュメントでは、WMIメソッドでパフォーマンスの問題が報告されているため、ドメインコントローラー用のユニバーサルフォワーダーを推奨しています。

DCでSplunkアプリを使用してSplunk for ADを設定するには、次の手順に従います。

1. セキュリティ監査ログを受信するためのアドオンをインストールします。

   このリンクを確認して、インストールするインフラストラクチャアドオンを決定します。

   http://docs.splunk.com/Documentation/MSApp/1.4.1/MSInfra/ Windowsインフラストラクチャ用にSplunkAppを導入する方法

   Splunkのデプロイオプションの詳細については、こちらのリンクをご覧ください。

   http://docs.splunk.com/Documentation/MSApp/1.4.1/MSInfra/ WhataSplunkAppforWindowsInfrastructuredeploymentsは

   導入オプション:

   • Search Head上のWindowsインフラストラクチャ用Splunkアプリ(セキュリティ監査ログの受信用)

   • Search HeadのActive Directory用Splunkアドオン(LDAP検索用)

   • Splunk Add On for Windows on サーチヘッド、インデクサー、ユニバーサルフォワーダー

2. 以下に示すように、Splunk WebコンソールからActive Directoryアドオンを設定します。

   図46:ADセキュリティ監査ログを受信および転送するためのSplunkアドオン構成

3. [Settings] > [Forward And Receiving (Data)]->[Configure Receiving->New] に移動して、Windows データを受信するように Splunk Indexer を構成します。

   図 47: Splunk の [Add New Forwarding & Receiving Data Configuration] ウィンドウ

4. Windowsインフラストラクチャ用のSplunkアプリを導入します。次のリンク先の手順を使用します。

   http://docs.splunk.com/Documentation/MSApp/1.4.1/MSInfra/ WhataSplunkAppforWindowsInfrastructuredeploymentsは

   http://docs.splunk.com/Documentation/MSApp/1.4.1/MSInfra/InstallaSplunkIndexer

   手記：

   次のリンクからの情報を使用して、ドメイン コントローラーにユニバーサル フォワーダーをダウンロードしてインストールします。

   Universal Forwarder は、イベントログを Splunk Indexer に送信する方法の 1 つです。もう1つの方法は、WMI方式を使用したエージェントレス転送で、次のセクション「 Splunk WMIによるActive Directoryログの転送」で説明します)。

   • Universal Forwarder のダウンロード: https://www.splunk.com/en_us/download/universal-forwarder.html

   • MSIをダウンロードして、インストールを開始します。ユニバーサルフォワーダーを、このリンクの指示に従って構成します。

     http://docs.splunk.com/Documentation/Forwarder/6.5.3/Forwarder/ InstallaWindowsユニバーサルフォワーダーフロムaninstaller#Install_the_universal_forwarder_for_use_with_onpremises_ Splunk_instances

   • 下の画像に示すように、適切なチェックボックスを選択した後、[カスタマイズ]オプションをクリックします。

     

   • [次へ] をクリックし、WMI を使用して他のドメイン コントローラーをポーリングする場合を除き、[ローカル アカウント] を選択します。もう一度 [次へ] をクリックします。

     

   • 以下に示す次の設定ウィンドウで、[セキュリティログ転送]オプションを選択します。「次へ」をクリックします。

     

   • 展開サーバーのホスト名とポート(デフォルトは8089)を入力し、[次へ]をクリックします。

     

   • 次の例のように [Receiver Index] と [Port] (デフォルトは 9997) を入力し、[Next] をクリックします。

     

5. 指示に従って、次のリンクから Active Directory データを取得します。

   https://docs.splunk.com/Documentation/MSApp/2.0.4/MSInfra/DownloadandconfiguretheSplunkAdd-onsforActiveDirectory

   • AD と Powershell の GPO を構成します。

   • Splunk Add On For Microsoft Active Directory をダウンロードしてください。

   • Splunk Add On for Microsoft Powershellをダウンロードしてください。

   • Un-TARは、7zipまたは別のアーカイブユーティリティを使用してTARファイルをダウンロードしました。

   • 結果の SA-ModularInput-PowerShell と Splunk_TA_microsoft_ad をユニバーサル フォワーダーのインストール パスにコピーします。

   • Universal Forwarder コンポーネントを再起動します。

     • services.msc

     • SplunkForwarderサービスを見つけて再起動します。

   • Splunk Search Headがデータを受信していることを確認するには、次のいずれかの手順を実行します。

     • [App & Reporting > Data Summary] で UI を検索して、ドメイン コントローラー ホストが構成されていることを確認します。

     • または、"source="wineventlog:security" AND EventCode=4769 AND Service_Name != krbtgt |テーブル _time Account_Name Client_Address Service_Name |_timeの名前をUserName Logon_Time Account_Name IPAddressとしてClient_Addressホスト名としてService_Name名前を変更します」

6. Splunk Web IndexerでSplunk App for Windowsインフラストラクチャを設定する。前提条件に注意してください。

   • 以下に示すように、管理者ユーザーのロールを変更して、管理者ユーザーに winfra-admin ロールを付与します。

WMIメソッドを使用してSplunkとのAD統合を設定するには、次の手順を使用します。

1. Splunk EnterpriseとWindowsネットワークの両方が、WMIデータアクセス用に正しく設定されている必要があります。Splunk Enterprise を使用して WMI データを取得する前に、以下の前提条件を確認してください。

   Splunk EnterpriseがWMIベースのデータを取得する前に、次のことを行います。

   • Splunk Enterprise は、リモートネットワーク接続を実行する権限を持つユーザーとともにインストールする必要があります。Splunkのインストール中に、ローカルアカウントまたはドメインアカウントの入力を求められます。ドメイン アカウントを選択します。

   • Splunk Enterprise を実行するユーザーは、Active Directory (AD) ドメインまたはフォレストのメンバーであり、WMI プロバイダーを照会するための適切な権限を持っている必要があります。

   • Splunkユーザーは、Splunk Enterpriseを実行するコンピューターのローカル管理者グループのメンバーでもある必要があります。

   • Splunk Enterpriseを実行するコンピューターは、リモートマシン(AD)に接続でき、接続後にリモートマシンから目的のデータを取得する権限を持っている必要があります。

2. Splunkをインストールしたら、Splunkにログオンし、[Settings]-[> Data Inputs]に移動します。

3. 2番目のオプションである[リモートイベントログ収集]をクリックし、[新規]をクリックします。

4. ログ収集の名前を選択し、AD サーバーの IP アドレスを入力します。

5. SplunkがADサーバーへのWMIクエリを実行できる場合は、次に示すように[Select イベントログ]オプションが表示されます。「セキュリティ」を選択し、「次へ」をクリックします。

6. 次のページでホストの詳細を入力します。インデクサーを選択する場合は、それを選択するか、既定値のままにします。

   設定を確認して送信します。

7. Splunkサーバーから、C:\Program Files\Splunk\etc\system\localに移動し、次の設定を追加します。

8. Splunkを再起動し、SplunkですべてのActive Directoryセキュリティログが利用できることを確認します。

• Carbon Black Response イベント フォワーダ のインストール: https://developer.carbonblack.com/reference/enterprise-response/event-forwarder/

• Carbon Black Response イベント ログを TCP または UDP 経由で任意のサーバーに送信するには、次の例のように Event Forwarder CONF ファイルを編集します。

  で /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf

/etc/cb/cb.conf から上記のユーザ名とパスワードを取得し、RabbitMQUser と RabbitMQPassword を検索し、上記のファイルから値をコピーします。

で /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf

以下に示す値を検索して入力します。

[TCP] オプションを選択した場合は、タップ サーバーとリスニング ポートを構成します。現在、リッスンする任意のランダムポートを選択できます。

上記でudpオプションが選択されている場合は、タップサーバーとリスニングポートを設定します。現在、リッスンする任意のランダムポートを選択できます。

次に、次のコマンドを実行して、イベントフォワーダーが接続したサーバーを示す出力を受信します。

イベントフォワーダーを起動します。

1. Carbon Black Response Server から、Carbon Black Response Event Forwarder をインストールします。

   https://developer.carbonblack.com/reference/enterprise-response/event-forwarder/

2. このリンクから関連するバイナリをダウンロードします。

   https://www.splunk.com/en_us/download/universal-forwarder.html

3. Bit9 Carbon Black の Splunk アドオンを Splunk インスタンスにインストールします。Splunk Common Information Model を設定します。

   https://splunkbase.splunk.com/app/2790/

4. Carbon Black Response イベント フォワーダを設定します。これは、Carbon Black Response イベント ログをファイルに保存し、そのコンテンツを使用して Splunk にデータを転送するために必要です。

   で /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf

   上記のユーザー名とパスワードを /etc/cb/cb.conf から適用し、RabbitMQUser と RabbitMQPassword を検索して、上記の CONF ファイルに値をコピーします。

   で /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf

   以下の値を検索 & 入力してください。

   上記の出力ファイルは何でもかまいません。この例では、リンクにイベントログが保存されています。

   以下のコマンドを実行して、以下に示す出力を取得します。

   イベントフォワーダーを起動します。

5. ビット 9 カーボンブラックの応答に Splunk アドオンを設定します。

6. Splunk Common Information Model を次のように設定します。

   

7. Splunkインスタンスのレシーバーを設定して、Splunkフォワーダーがデータを転送するように設定します。[Splunk > Settings] > [Forwarding & Receiving] に移動します。

   

8. [Configure Receiving] をクリックします。

   

9. リッスンするポートを設定します。この例では、ポート 6666 です。

   

10. Carbon Black Response サーバーに Universal Forwarder RPM をダウンロードしてインストールし、Carbon Black Response データを Splunk に転送するように Splunk Universal Forwarder を設定します。

    https://www.splunk.com/en_us/download/universal-forwarder.html

    上記のコマンドでは、10.2.14.219はSplunkサーバーであり、6666はSplunkが受信しているステップ3で設定したポートです。

11. 入力ホストファイルを追加します。この例では、Splunkで検索できるcbtestが使用されています。

    モニターは、ステップ1で設定したdata.jsonのディレクトリです。

    sourcetype は、送信する必要があるデータ(Carbon Black Response からのデータ)を示します。

12. Splunkを起動します。

13. 転送サーバーを確認します。

Carbon Black Response のログ取り込みは、Juniper ATP Appliance Central Manager の Web UI インシデント ページとイベント タイムライン ダッシュボードから確認できます。

ATP Appliance Splunk Ingestion を設定するには、以下の手順を実行します。

1. Juniper ATP Appliance Central Manager Web UI Config>Environmental Settings>Splunk Configurationページに移動します。

   図 48: [Splunk Ingestion Configuration] ページ

2. Splunkホスト ipアドレスとSplunk管理ポート番号を入力します。

   手記：

   Splunkのポート番号は、8080ではなく8089を必ず入力してください。

3. Splunkのログインとパスワードを入力します。

4. [Enable] をクリックして、設定をアクティブにします。選択を解除すると、設定が無効になります。

5. [Submit]をクリックして、有効なSplunk設定をアクティブ化します。

6. [Test] ボタンをクリックして、Splunk Configuration Ingestion Settings をテストします。

   手記：

   Splunk環境では、すべてユーザーが設定可能な複数のポートを実装できます。Splunkへの接続に問題がある場合は、必ずこのページでSplunk管理ポートを設定してください。管理者がデフォルトを使用していない場合は、Splunkサイトで設定を確認してください。

Splunkコンソールで、Juniper ATP Applianceとの統合に関する以下の設定を行います。この例では、PAN アドオンが設定されています。

図49:Splunk 用のPalo Alto Networksアドオン

図 50: Splunk Common Information Model の設定

PAN 次世代ファイアウォールの ATP アプライアンス外部イベントコレクター設定を構成するには、直接ログ収集または Splunk 取り込みオプションについて、次の構成を実行します。

以下の手順を使用して、PAN からのイベントデータの直接取り込みを設定します。ここで、Juniper ATP Appliance は基本的に syslog サーバーとして機能しますが、関連するマルウェアイベントのみを識別するサーバーです。

1. Juniper ATP Appliance Central Manager Web UI の [Config] > [Environmental Settings] > External Event Collectors 設定ページに移動します。

2. ソースの種類として [ファイアウォール] を選択し、ベンダー名として [PAN 次世代ファイアウォール] を選択します。

3. [トランスポート] で、 [ログ コレクター] オプションを選択します。

4. ログソース識別子を入力します。たとえば、PA-200 です。これは、Juniper ATP Appliance が受信するベンダーを識別し、Juniper ATP Appliance がログに記録されたイベントを解析する方法を識別するために使用する、syslog メッセージのホスト名部分です。[次のスクリーンショットのPAN UIでは、設定されているデバイス名がJuniper ATP Applianceのログソース識別子と同じであることに注意してください]

5. [SSL 有効] を選択します |無効。

6. [Default Severity] 設定として [Max |高い |医学 |低 |良性

7. [有効] または [無効] オプションを選択して、[インシデントの作成] を構成します。PAN の直接取り込みから Juniper ATP Appliance によって作成されたすべてのインシデントは、手順 6 で選択した重大度設定に従って作成されます。[インシデントの作成]設定を有効にすると、Juniper ATP Applianceが検知したイベントとの相関関係がない場合でも、サードパーティイベントのインシデントを直接作成し、電子メールアラート通知を送信します。

8. [追加] をクリックして、ログ コレクターの構成を実行します。

PAN UI で、Juniper ATP Appliance Core を syslog サーバーとして設定します。PANデバイスは独自のsyslogサーバーにエクスポートする場合、PANは複数のsyslog宛先に同時にエクスポートできるため、Juniper ATP Applianceを別のsyslogサーバーとして追加するだけで済みます。

1. PAN コンソールの [Device>Syslog>+Add configuration] ページに移動します。

   図 51: ファイアウォール [PAN: Direct Ingestion Configuration]

2. syslog ドロップダウンの [Objects>Log Forwarding>+Add] ページで、ログ転送用に同じ syslog サーバを選択します。

   図 52:PAN サイド からの直接取り込み設定の例

   PAN からの syslog 転送中に、イベントがサポートされている 1500 個を超える場合、Juniper ATP Appliance は、PAN コンソールの [ログ転送プロファイル] ページの設定を調整することによってのみ、PAN からのエクスポートを重要なイベントに制限することを推奨します。

   図 53:PAN サイド からの直接取り込み設定の例

   必ず [Syslog Log forwarding Profile] に移動し、ログの送信先 (直接取り込みによる Juniper ATP Appliance Core、Splunk、またはその両方) を選択してから、[Commit] を選択します。

   図 54:ログ転送プロファイルをコミットして、PAN側の直接インジェスト構成を完了します

直接取り込み中に生成される syslog/秒の数は 1500 です。1 日あたりの syslog 数(平均 10 時間)は 5,400 万です。このため、Juniper ATP Applianceでは、イベントの取り込み、処理、レポート作成を効率的に行うためにイベントフィルタリングを使用し、情報や無害なイベントは保存しません。

Juniper ATP アプライアンスイベントタイムラインダッシュボードに表示するために、直接取り込みによって作成されたPANイベントは、次のフィルターを使用します。

• 情報イベントを無視する

• アクションが「wildfire-upload-success」、「wildfire-upload-skip」、および「forward」のイベントは、マルウェアイベントを示すものではないため無視してください。

図 55: 直接インジェスト ログ のサンプル

Juniper ATP Appliance側でPAN次世代ファイアウォールのSplunk統合を設定するには、次の手順を使用します。Splunk側からの統合の設定については、を参照してください。

1. Juniper ATP Appliance Central Manager Web UI 設定>環境設定>外部イベントコレクター設定ページに移動します。

   図 56: ファイアウォール [PAN: Splunk 取り込み設定]

2. ソースの種類として [ファイアウォール] を選択し、ベンダー名として [PAN 次世代ファイアウォール] を選択します。

3. [トランスポート] で [Splunk] オプションを選択します。

4. オプションのSplunkインデックスを入力します。SplunkへのPANログに使用するインデックスを入力します。

   例:パン

5. [Default Severity] 設定として [Max |高い |医学 |低 |良性

6. [有効] または [無効] オプションを選択して、[インシデントの作成] を構成します。Splunkの取り込みからJuniper ATP Applianceによって作成されたすべてのインシデントは、ステップ5で選択した重大度設定に従って作成されます。[インシデントの作成]設定を有効にすると、Juniper ATP Applianceが検知したイベントとの相関関係がない場合でも、サードパーティイベントのインシデントを直接作成し、電子メールアラート通知を送信します。

7. [Add] をクリックして、Splunk統合を実行します。

このセクションでは、Splunkの設定については説明しません。ただし、Juniper ATP Applianceと統合するためにSplunkコンソールからSplunkを設定する場合、PAN用に設定されていることを確認する必要がある項目がいくつかあります。

1. [Splunk>Apps>Manage Apps] に移動し、[Palo Alto Add-on for Splunk] の設定が確立され、[ステータス] が [有効] と表示されていることを確認します。

   

2. Splunk>Apps>Manage Appsで、セットアップが完了し、Common Information Modelで有効になっていることを確認します。

   

3. [設定>データ>データ入力>UDP/TCP] で、リンクをクリックしてインデックスを確認します。このリンクをクリックすると、PAN に設定されたインデックスを確認できます。ATP アプライアンス ファイアウォールの [Juniper ATP Appliance Configuration] ページでも同じ操作を行ってください [PAN: Log Collector |Splunk Ingestion] を選択します。

   

4. Splunk>Settings>Data Inputs>Port>PortNumberページの[More Settings](チェックボックスをオンにすると展開します)で、[Source type]が[pan:log]であることを確認し、現在設定されているインデックスを確認して、ATP Appliance FirewallのJuniper ATP Appliance設定[ PAN: Log Collector |Splunk Ingestion] を選択します。

   
   手記：

   Juniper ATP Applianceと統合するには、ソースタイプを「pan:log」、インデックスを「pan」に設定する必要があります。

   図 57: PAN側からのSplunk設定の例

   必ず [Syslog Log forwarding Profile] に移動し、ログの送信先を選択してください (直接取り込みによる Juniper ATP Appliance Core への送信、Splunk、またはその両方にしてから [Commit])。

図 58: ログ転送プロファイルをコミットして PAN 側の Splunk 設定を完了する

Splunk統合を介して作成されたPANイベントは、Splunk PANアドオンを介して、次のSplunk「共通情報モデル」(CIM)に従ってイベントを分類します。

• ウェブ

• 侵入検知

• マルウェア攻撃

図 59: Splunk取り込みログ

図60:PANによるSplunkログのサンプル

PAN syslog 取り込みの Juniper ATP Appliance の検出とレポートを表示するには、次のサンプル インシデント表示を参照してください。

この例では、PANがダウンロードの通過を許可し、Juniper ATP Applianceがイベントを検出しました。

Juniper ATP Applianceがダウンロードと外部ソースログ収集を検出し、悪意のあるイベントとしてマークしたことに注意してください。

これと同じインシデントが、Juniper ATP Appliance Events Timelineのホストビューで次のように報告されます。PANダウンロードイベントとJuniper ATP Applianceマルウェア検出イベントの両方が報告されることに注意してください。

別の別の例では、Juniper ATP Applianceが悪意のあるイベントを検出し、PANがDENYを実行したことをイベントタイムラインダッシュボードで確認できます。

Juniper ATP Applianceは、Bluecoat Proxy Secure Gatewayと統合することで、緩和を容易にします。Bluecoat は、Juniper ATP Appliance から不正な Web URL を定期的に取得し、ブロックします。(不正なURLのリストは、Juniper ATP Applianceの[Mitigation]タブ>Secure Web Gatewaysに示されているものと同じで、緩和すべきURLがリストされています。基本的に、Bluecoatには、HTTP/HTTPSを介してJuniper ATP Applianceから悪意のあるURLリストを取得する機能があります。そのため、Juniper ATP Applianceは、Bluecoatがポーリングする悪意のあるURLリストを提供します。

Juniper ATP Applianceは、Bluecoatなどの既存のサードパーティセキュリティデバイスを活用して、悪意のあるWeb URLを自動的にブロックします。他のベンダーは悪意のあるWebダウンロードをブロックしないため、これは非常に重要です。感染をブロックするだけです。

次の手順を使用して、Bluecoat Secure Web Gateway Log Collector Ingestion または Splunk Ingestion を構成します。

• Bluecoat Secure Web Gateway ログコレクターの構成

• SplunkとBluecoatの統合の設定

• Bluecoat と Juniper ATP Appliance の統合の設定

• Bluecoat Secure Web Gateway Splunk 取り込みの設定

1. Juniper ATP Appliance Central Manager Web UI 設定>環境設定>外部イベントコレクター設定ページに移動します。

   図 61:Web ゲートウェイ [Bluecoat: Log Collector Configuration]

2. [ソースの種類] として [Web ゲートウェイ] を選択します。

3. ベンダー名として [Bluecoat Secure Web Gateway] を選択します。

4. [トランスポート] で、 [ログ コレクター] オプションを選択します。

5. 入力ポートを入力します。

6. [Default Severity] 設定として [Max |高い |医学 |低 |良性

7. [有効] または [無効] オプションを選択して、[インシデントの作成] を構成します。Splunkの取り込みからJuniper ATP Applianceによって作成されたすべてのインシデントは、ステップ6で選択した重大度設定に従って作成されます。[インシデントの作成]設定を有効にすると、Juniper ATP Applianceが検知したイベントとの相関関係がない場合でも、サードパーティイベントのインシデントを直接作成し、電子メールアラート通知を送信します。

8. [追加] をクリックして、Bluecoat Secure Web Gateway Log Collector の構成を実行します。

Splunk for BluecoatとJuniper ATP Applianceの統合を検討する前に、以下の前提条件を考慮してください。

• Splunkエンタープライズ版をインストールして実行している

• Splunk for Bluecoat アプリをインストールして実行している

• Blue Coat ProxySG用のSplunkアドオンを実行している

• Bluecoat CLI へのアクセス権を持ち、有効モードと設定モードにアクセスできる

• Juniper ATP Applianceは現在、bcreportermain_v1ログタイプのみをサポートしているため、他のログタイプは動作しません

• SplunkサーバーでNTPサービスを使用して、SplunkとBluecoatの時刻が同期するようにしてください

• 統合後、「bcoat_logs」の下にあるSplunkログを観察し、時刻がSplunkの時刻と一致することを確認します。たとえば、SplunkがPSTの場合、「bcoat_logs」インデックスの下にあるBluecoatからのデータもPSTに設定する必要があります。時刻が一致しない場合、統合が正しく機能しない可能性があります

1. Juniper ATP Appliance Central Manager コンソールで、[Config > Environmental Settings] > [Splunk Configuration] に移動します。

2. Splunk設定のユーザー名、パスワード、ポートを追加し、[有効]に設定し、[テスト設定]をクリックして確認します。接続が正常に確立されると、成功メッセージが表示されます。

3. Bluecoat を外部イベントコレクターとして追加します。 ATP Appliance Web Gateway [Bluecoat: Log Collector |Splunkの取り込み]をクリックします。

   必ず transport "log collector / Splunk を選択してください。ログ コレクターを選択する場合はポート番号を指定し、splunk オプションを選択する場合はオプションのインデックスを指定し、設定を追加します。

1. Bluecoat CLI にログインし、有効モードに入ってから、設定モードに入ります。

2. アクセスログ設定の入力:「edit log main」コマンドを入力します。

3. クライアントの種類として [カスタム クライアント] を選択します。

4. [アクセスログの有効化]を選択します。

5. アップロードタイプのテキストを選択します。

6. 統合>に使用するカスタムクライアントプライマリ<Juniper ATP Appliance Core IPまたはSplunkサーバーIP> <任意のポート番号を選択し、[Enter]をクリックします。

7. 継続的なアップロードを有効にすると、統合はJuniper ATP Appliance側で行われます

1. Splunkコンソールで、[Settings]-[> Data Inputs]に移動します。

2. [Local Input] メニューの [TCP Port] メニューの [Add New] をクリックします。新しいページが開き、4つのフィールドが表示されます。

3. 「ポート」フィールドにポート番号(Bluecoatカスタム・クライアントで構成されたポート番号)を入力し、「次へ」をクリックします。タイプが TCP のままであることを確認します。

4. 次のウィンドウで、ソースタイプとして「bluecoat:proxysg:access:syslog」を選択します。

5. 同じページで、インデックスの種類として [bcoat_logs] を選択し、[確認] をクリックします。

6. データを確認し、「次へ」をクリックします。これでブルーコートの設定は完了です。

数分以内に、BluecoatのログがSplunk側に表示され始めます。ログのフィルタリングには、必ず index="bcoat_logs" を使用してください。

BluecoatがHTTPSでJuniper ATP Applianceの自己署名SSL apacheサーバーに接続できるようにするには、Juniper ATP ApplianceサーバーのPEMファイルにアクセスする必要があります。次に、PEM ファイルを Bluecoat SSL 証明リストにインポートします。

1. [Config] > [System Settings] > [System Settings] に移動します。

2. 「サーバーの完全修飾ドメイン名」を適切に変更します。これは PEM の共通名であり、Bluecoat が要求を送信するホスト名でもあります。したがって、Bluecoat が指定された名前を使用してこのホストにアクセスできることを確認する必要があります。

3. 「送信」ボタンをクリックします。新しいPEMファイルがサーバー上に生成され、変更を適用するにはApacheを再起動する必要があります。"サイトのセキュリティ証明書は信頼されていません" という新しい警告が表示されるまで F5 キーを押して UI を更新します。(たとえば、Chrome経由)。この警告は、PEM が変更されたことを示します。

4. Bluecoat 構成コンソールに移動します。

1. 以下の説明に従って、必要な情報を入力します。

   図 62: Bluecoat の構成設定

   • 可用性: この設定は、Juniper ATP アプライアンスの URL を Bluecoat でポーリングできるかどうかを制御します。

   • 例外ページ: これは URL リストに含まれる文字列で、悪意のある URL が要求された場合に Bluecoat が事前定義された例外ページを表示できるようにします。

   • キャッシュの経過時間:この値は、悪意のあるURLリストをキャッシュする期間を決定するために使用され、繰り返し攻撃を回避し、Juniper ATP Applianceサーバーの負荷を軽減します。

   • 許可された IP: 空白のままにすると、Juniper ATP Applianceは誰がリストをポーリングしたかを確認しません。それ以外の場合は、指定された IP のみがポーリングを許可されます。

2. [Get PEM File]ボタン。このボタンをクリックすると、サーバーPEMキーの内容が表示されます。このキーを Bluecoat にコピー&ペーストすると、Bluecoat は Juniper ATP Appliance の自己署名証明書を受け入れることができます。

   図 63: PEM キー コンテンツの表示

3. URLの更新ボタン: このボタンをクリックすると、ポーリングURLが(再)生成されます。

4. Bluecoat 側から CA 証明書をインポートするには、[設定] タブの [SSL > CA 証明書] セクションに移動し、[インポート] ボタンをクリックします。

5. 一意の名前を入力し、PEMキーをシステム設定からここにコピーして貼り付けます。

   図64:BluecoatにコピーされたPEM

6. [適用] をクリックします。

7. [SSL > CA 証明書(SSL CA Certificates)] で、タブを [CA 証明書リスト(CA Certificate Lists)] に切り替えます。

8. 「browser-trusted」を強調表示し、[編集]をクリックします。

9. 新しく作成した CA 証明書エントリを左から右に追加し、[適用] をクリックします。

   図 65: Bluecoat 設定への CA 証明書の追加

10. ポーリングを設定するには、[Policy > Policy Files] に移動します。

11. 「中央ファイルのインストール元」セクションの「インストール」をクリックします。

12. Juniper ATP ApplianceサーバーからのURLを以下の場所に貼り付けます:

    図 66: Bluecoat 設定への Juniper ATP Appliance URL の追加

13. 「ファイルは正常にダウンロードされ、インストールされました」というメッセージが表示されます。「中央ファイルの変更時に新しいポリシーを自動的にインストールする」にチェックを入れます。

14. 最後のステップは、Bluecoatがポーリングする頻度を設定することです。

    これにより、ポーリングの間隔が 5 分に設定されます。

1. Juniper ATP Appliance Central Manager Web UI 設定>環境設定>外部イベントコレクター設定ページに移動します。

2. [ソースの種類] として [Web ゲートウェイ] を選択します。

3. ベンダー名として [Bluecoat Secure Web Gateway] を選択します。

4. [トランスポート] で [Splunk] オプションを選択します。

5. オプションのSplunkインデックスを入力します。例: パン

6. [Default Severity] 設定として [Max |高い |医学 |低 |良性

7. [有効] または [無効] オプションを選択して、[インシデントの作成] を構成します。Splunkの取り込みからJuniper ATP Applianceによって作成されたすべてのインシデントは、ステップ6で選択した重大度設定に従って作成されます。[インシデントの作成]設定を有効にすると、Juniper ATP Applianceが検知したイベントとの相関関係がない場合でも、サードパーティイベントのインシデントを直接作成し、電子メールアラート通知を送信します。

8. [追加]をクリックして、Splunk統合を実行します

Endpoint AV ベンダーの ESET、McAfee ePO、Symantec AV のログ収集または Splunk 取り込みを設定するには、次の手順に従います。

• ESET Endpoint AVログ収集の設定

• Symantec EP Endpoint AV ログ収集の設定

• McAfee ePO Endpoint AV Splunk 取り込みの設定

• Symantec EP Endpoint AV ログ収集の設定

1. Juniper ATP Appliance Central Manager Web UI 設定>環境設定>外部イベントコレクター設定ページに移動します。

2. [Source Type] として [Endpoint AV] を選択します。

3. ベンダー名としてESETを選択します。

4. [トランスポート] で、 [ログ コレクター] オプションを選択します。

5. ログソース識別子を入力します。

6. SSL 設定を選択します: [有効] または [無効] 。「有効」をお勧めします。

7. [Default Severity] 設定として [Max |高い |医学 |低 |良性

8. [有効] または [無効] オプションを選択して、[インシデントの作成] を構成します。Splunkの取り込みからJuniper ATP Applianceによって作成されたすべてのインシデントは、ステップ5で選択した重大度設定に従って作成されます。[インシデントの作成]設定を有効にすると、Juniper ATP Applianceが検知したイベントとの相関関係がない場合でも、サードパーティイベントのインシデントを直接作成し、電子メールアラート通知を送信します。

追加をクリックして、ESET Log Collector設定を実行します。

1. Juniper ATP Appliance Central Manager Web UI 設定>環境設定>外部イベントコレクター設定ページに移動します。

2. [Source Type] として [Endpoint AV] を選択します。

3. ベンダー名として McAfee ePO を選択します。

4. [トランスポート] で、 [ログ コレクター] オプションを選択します。

5. ログソース識別子を入力します。たとえば、MCAFEE-EPO です。

6. SSL 設定を選択します: [有効] または [無効] 。「有効」をお勧めします。

7. [Default Severity] 設定として [Max |高い |医学 |低 |良性

8. [有効] または [無効] オプションを選択して、[インシデントの作成] を構成します。Splunkの取り込みからJuniper ATP Applianceによって作成されたすべてのインシデントは、ステップ5で選択した重大度設定に従って作成されます。[インシデントの作成]設定を有効にすると、Juniper ATP Applianceが検知したイベントとの相関関係がない場合でも、サードパーティイベントのインシデントを直接作成し、電子メールアラート通知を送信します。

9. 追加 をクリックして、McAfee ePO Log Collector 設定を実行します。

1. Juniper ATP Appliance Central Manager Web UI 設定>環境設定>外部イベントコレクター設定ページに移動します。

   図67:エンドポイントAV [ESET:Log Collector設定]

2. [Source Type] として [Endpoint AV] を選択します。

3. [ベンダー名] として [Symantec EP] を選択します。

4. [トランスポート] で、 [ログ コレクター] オプションを選択します。

5. ログソース識別子を入力します。

6. SSL 設定を [有効] または [無効] から選択します。

7. [Default Severity] 設定として [Max |高い |医学 |低 |良性

8. [有効] または [無効] オプションを選択して、[インシデントの作成] を構成します。Splunkの取り込みからJuniper ATP Applianceによって作成されたすべてのインシデントは、ステップ5で選択した重大度設定に従って作成されます。[インシデントの作成]設定を有効にすると、Juniper ATP Applianceが検知したイベントとの相関関係がない場合でも、サードパーティイベントのインシデントを直接作成し、電子メールアラート通知を送信します。

9. [追加] をクリックして、Symantec EP Log Collector の設定を実行します。

1. Juniper ATP Appliance Central Manager Web UI 設定>環境設定>外部イベントコレクター設定ページに移動します。

2. [Source Type] として [Endpoint AV] を選択します。

3. ベンダー名として McAfee ePO を選択します。

4. [トランスポート] で [Splunk] オプションを選択します。

5. オプションのSplunkインデックスを入力します。例: パン

6. [Default Severity] 設定として [Max |高い |医学 |低 |良性

7. [有効] または [無効] オプションを選択して、[インシデントの作成] を構成します。Splunkの取り込みからJuniper ATP Applianceによって作成されたすべてのインシデントは、ステップ5で選択した重大度設定に従って作成されます。[インシデントの作成]設定を有効にすると、Juniper ATP Applianceが検知したイベントとの相関関係がない場合でも、サードパーティイベントのインシデントを直接作成し、電子メールアラート通知を送信します。

8. [Add] をクリックして、Splunk統合を実行します。

1. 最新のパッチを適用した McAfee ePO バージョン 5.2 をインストールします。

2. 最新バージョンのSplunkエンタープライズをインストールする

3. Splunk Add-on for McAfeeをインストールします。 https://splunkbase.splunk.com/app/1819/

4. DB Connect for Splunkをインストールして構成します。

   • DB Connect Version2.4.0 Add-onをダウンロードしてインストールします。これは、McAfee ePO データベースに接続して McAfeen ePO サーバー データベースから ePO イベントを取得するために必要です。 https://splunkbase.splunk.com/ アプリ/2686/

     手記：

     このアプリはJAVA 1.8バージョンで動作します。ubuntu/windowsのバージョンを更新して、JAVA 1.8でSplunkを実行してください

     ステップス：

   • データベース用のJDBCドライバをインストールします。「Microsoft SQL Server」セクションを参照してください。 http:// docs.splunk.com/Documentation/DBX/2.4.0/DeployDBX/Installdatabasedrivers

     手記：

     jdbc driver(sqljdbc4.jar)をパス/opt/splunk/etc/apps/splunk_app_db_connect/bin/libにコピーします。

   • DB Connectをインストールし、Splunk Enterpriseを再起動した後、DB Connectを起動し、Singleserverdeployment#http://docs.splunk.com/Documentation/DBX/2.4.0/DeployDBX/ 初期設定を完了しますSet_up_Splunk_DB_Connect

   • データベース ID を作成し、データベース接続を設定して、Splunk Add-on for McAfee 用の新しいデータベース入力を作成します。

     手記：db_connections.confファイルを変更して接続を作成する代わりに、Splunk DB Connect GUIメソッドを使用してデータベース接続を作成します。[実行頻度] 設定で、3600 秒から 1 秒に変更して、1 秒ごとに epo db からデータを取得するようにします。 http://docs.splunk.com/Documentation/AddOns/released/McAfeeEPO/ ConfigureDBConnectv2inputs

5. ePO サーバーで脅威イベントを生成し、そのイベント ログを検索して、攻撃されたエンドポイント IP アドレスまたはマルウェア名を見つけます。次の例に示すように:

   

6. Juniper ATP Appliance Web UIにログインし、[Config>Environmental Settings>External Event Collectors]に移動し、Splunkオプションを使用して新しい外部コレクタを追加します。詳細については、Juniper ATP Appliance-Side Configuring McAfee ePO Endpoint AV Splunk Ingestion を参照してください。

7. エンドポイントの「IP アドレス」でタイムラインをフィルタリングして、Juniper ATP アプライアンス イベント タイムライン ダッシュボードで McAfee ePO 脅威イベントを表示します。

1. 最新のパッチ (ホットパッチ ePolicy Orchestrator (EPO) 5.3.2 HF1185471) が適用された McAfee ePO バージョン 5.2 がインストールされていることを確認します。

2. ePO 5.2 UI にログインし、設定>登録済みサーバー タブから syslog 登録済みサーバーを作成します。

   

3. 上の図に示すように、必要な詳細をすべて入力して、新しいサーバーを作成します。サーバー名としてJuniper ATP Appliance Coreのホスト名/IPを入力し、TCPポート番号として10514を入力します。

4. 接続テスト ボタンをクリックして、設定が正しく、ePO が syslog イベントを Juniper ATP Appliance に送信する準備ができていることを確認します。「Syslog 接続に成功しました」というメッセージは、ePO が脅威イベントを Juniper ATP Appliance Core にプッシュする準備ができており、Juniper ATP Appliance Core がイベントを受け入れる準備ができていることを示します。

5. 以下のスクリーンショットに示すように、エンドポイントの IP アドレスでタイムラインをフィルタリングして、Juniper ATP アプライアンス イベント タイムライン ダッシュボードで McAfee ePO 脅威イベントを表示します。

直接ログ取り込みまたは Splunk 取り込みによるエンドポイント アラート イベント処理用に Carbon Black Response を構成するには、次の手順を使用します。

• Splunkを使用したCarbon Black Responseログイベントの構成

• Carbon Black ResponseのためのSplunk側の構成

• 直接ログ取り込みによる Carbon Black Response の構成

• Carbon Black Response - Splunkとの統合

• Juniper ATP ApplianceでのCarbon Blackレスポンス取り込みレポート

1. Juniper ATP Appliance Central Manager Web UI 設定>環境設定>外部イベントコレクター設定ページに移動します。

2. ベンダー名として [Carbon Black Response] を選択します。

3. [トランスポート] で [Splunk] オプションを選択します。

4. オプションのSplunkインデックスを入力します。例: パン

5. [Default Severity] 設定として [Max |高い |医学 |低 |良性

6. [有効] または [無効] オプションを選択して、[インシデントの作成] を構成します。Splunkの取り込みからJuniper ATP Applianceによって作成されたすべてのインシデントは、ステップ5で選択した重大度設定に従って作成されます。[インシデントの作成]設定を有効にすると、Juniper ATP Applianceが検知したイベントとの相関関係がない場合でも、サードパーティイベントのインシデントを直接作成し、電子メールアラート通知を送信します。

7. [Add] をクリックして、Splunk統合を実行します。

このセクションでは、Splunkの設定については説明しません。ただし、Juniper ATP Applianceと統合するためにSplunkコンソールからSplunkを設定する場合、PAN用に設定されていることを確認する必要がある項目がいくつかあります。

Splunkに移動します。

1. Juniper ATP Appliance Central Manager Web UI 設定>環境設定>外部イベントコレクター設定ページに移動します。

   図 68: エンドポイントの応答 [Carbon Black 応答:ログ コレクタの設定]

2. ベンダー名として [Carbon Black Response] を選択します。

3. [トランスポート] で、 [ログ コレクター] オプションを選択します。

4. 入力ポートを入力します。

5. [Default Severity] 設定として [Max |高い |医学 |低 |良性

6. [有効] または [無効] オプションを選択して、[インシデントの作成] を構成します。ログの取り込みからJuniper ATP Applianceによって作成されたすべてのインシデントは、ステップ5で選択した重大度設定に従って作成されます。[インシデントの作成]設定を有効にすると、Juniper ATP Applianceが検知したイベントとの相関関係がない場合でも、サードパーティイベントのインシデントを直接作成し、電子メールアラート通知を送信します。

7. [追加] をクリックして、ログ コレクターの構成を保存します。

次の情報を使用して、次のいずれかを使用して Carbon Black Response と Splunk の統合を実行します。

• Carbon Black Response Direct Log Ingestion: JSON ログのイベント フォワーダー

• SplunkフォワーダによるCarbon Black Responseの統合

• Juniper ATP ApplianceでのCarbon Blackレスポンス取り込みレポート

重要: Carbon Black Response と Splunk の統合に関する注意事項:

• Juniper ATP Appliance では、Carbon Black ログとの関連付けのために Active Directory(AD)データが必要です。

• AD、Splunk、Juniper ATP ApplianceはNTP同期である必要があります。

• 現在、Carbon Black からは、ウォッチリスト アラート イベントのみが Juniper ATP Appliance によって消費されます。

  • alert.watchlist.hit.ingress.host

  • alert.watchlist.hit.ingress.binary

  • alert.watchlist.hit.ingress.process

  • alert.watchlist.hit.query.binary

  • alert.watchlist.hit.query.process

• Juniper ATP ApplianceとCarbon Black Responseの相関関係は5分以内です。

• エンドポイント ホスト名は、Carbon Black Response イベントと Juniper ATP Appliance イベントの関連付けに一致する唯一の一致です。

• Carbon Black Response Event Forwarder には、ログを JSON または LEEF 形式で転送するオプションがあります。Juniper ATP Applianceは、現時点ではSplunkとDirect Logの両方の取り込みでJSON形式のみをサポートしています。

• ダイレクトログ取り込みの場合、ログは任意のランダムなJuniper ATP Applianceポートに送信できます。

• Carbon Black Response 統合と Carbon Black Direct Log Ingestion の違い:

  • Carbon Black Response の統合中、Juniper ATP Appliance は Juniper ATP Appliance によって検出されたイベントのみを照会して、エンドポイントの実行に関する確認を取得します。

  • CBログの取り込みでは、Juniper ATP Applianceが認識したかどうかに関係なく、すべてのイベントがプルされます。

  • CB イベントが CB ログの取り込みで関連付けられている場合、EX の進行状況はマークされません。

1. Carbon Black Response イベント フォワーダをインストールします。

   https://developer.carbonblack.com/reference/enterprise-response/event-forwarder/

2. Carbon Black Response イベント ログを TCP または UDP 経由で任意のサーバーに送信するには、次の例のように Event Forwarder CONF ファイルを編集します。

   で /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf

   /etc/cb/cb.conf から上記のユーザ名とパスワードを取得し、RabbitMQUser と RabbitMQPassword を検索し、上記のファイルから値をコピーします。

   で /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf

   以下に示す値を検索して入力します。

   [TCP] オプションを選択した場合は、タップ サーバーとリスニング ポートを構成します。現在、リッスンする任意のランダムポートを選択できます。

   上記でudpオプションが選択されている場合は、タップサーバーとリスニングポートを設定します。現在、リッスンする任意のランダムポートを選択できます。

   次に、次のコマンドを実行して、イベントフォワーダーが接続したサーバーを示す出力を受信します。

   イベントフォワーダーを起動します。

1. Carbon Black Response Server から、Carbon Black Response Event Forwarder をインストールします。

   https://developer.carbonblack.com/reference/enterprise-response/event-forwarder/

2. このリンクから関連するバイナリをダウンロードします。

   https://www.splunk.com/en_us/download/universal-forwarder.html

3. Bit9 Carbon Black の Splunk アドオンを Splunk インスタンスにインストールします。Splunk Common Information Model を設定します。

   https://splunkbase.splunk.com/app/2790/

4. Carbon Black Response イベント フォワーダを設定します。これは、Carbon Black Response イベント ログをファイルに保存し、そのコンテンツを使用して Splunk にデータを転送するために必要です。

   で /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf

   上記のユーザー名とパスワードを /etc/cb/cb.conf から適用し、RabbitMQUser と RabbitMQPassword を検索して、上記の CONF ファイルに値をコピーします。

   で /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf

   以下の値を検索 & 入力してください。

   上記の出力ファイルは何でもかまいません。この例では、リンクにイベントログが保存されています。

   以下のコマンドを実行して、以下に示す出力を取得します。

   イベントフォワーダーを起動します。

5. ビット 9 カーボンブラックの応答に Splunk アドオンを設定します。

6. Splunk Common Information Model を次のように設定します。

   

7. Splunkインスタンスのレシーバーを設定して、Splunkフォワーダーがデータを転送するように設定します。[Splunk > Settings] > [Forwarding & Receiving] に移動します。

   

8. [Configure Receiving] をクリックします。

   

9. リッスンするポートを設定します。この例では、ポート 6666 です。

   

10. Carbon Black Response サーバーに Universal Forwarder RPM をダウンロードしてインストールすることで、Carbon Black Response データを Splunk に転送するように Splunk Universal Forwarder を設定します。

    https://www.splunk.com/en_us/download/universal-forwarder.html

    上記のコマンドでは、10.2.14.219はSplunkサーバーであり、6666はSplunkが受信しているステップ3で設定したポートです。

11. 入力ホストファイルを追加します。この例では、Splunkで検索できるcbtestが使用されています。

    モニターは、ステップ1で設定したdata.jsonのディレクトリです。

    sourcetype は、送信する必要があるデータ(Carbon Black Response からのデータ)を示します。

12. Splunkを起動します。

13. 転送サーバーを確認します。

Carbon Black Response のログ取り込みは、Juniper ATP Appliance Central Manager の Web UI インシデント ページとイベント タイムライン ダッシュボードから確認できます。