はじめ

Juniper ATP Appliance Web UIは、以下の画面解像度の使用をサポートしています。

設定ウィザードを起動するには、CLI コマンド ウィザードを入力します。

• CLI プロンプトで、ユーザ名とパスワードを入力します。デフォルトでは、admin ユーザー名は admin で、パスワードは 1JATP234 です。

  初期設定後、管理者アカウントのデフォルトのパスワードを必ず変更してください。パスワードは 8 文字以上でなければなりません。

• プロンプトが表示されたら yes と入力して構成ウィザードを使用し、以下のように応答します。

• すべての質問に回答すると、ウィザードによって回答が要約されます。回答を変更するには、ステップ番号を入力します。変更を保存して終了するには、<Enter>を押します。

• 設定ウィザードに戻って設定を変更するには、次のCLIコマンドを使用します。

• コマンドの構文と使用方法については、『Juniper ATP Appliance CLI Command Reference』を参照してください。

このセクションでは、アプライアンスの Web UI のナビゲーション方法とそのタブについて説明します。

• CM Web UIのナビゲーション

• タブの概要

アプライアンスの Web UI をナビゲートするには、次の手順を実行します。

• タブを使用して、Web UI のメイン ページにアクセスします。

• タブの下のパスリンクや「設定」タブの左パネルのリンクなどのリンクを使用して、リンクされている他のページに移動します。

図 2:Juniper ATP Appliance Central Manager Web UI のナビゲーション

• 初期ビューを設定するには、Juniper ATP Applianceのダッシュボードまたはインシデントタブに検出結果とマルウェア分析の詳細を表示する期間をドロップダウンから選択します。すべてのグラフと表形式表示は、期間選択コントロールによって同期されます。使用可能な期間オプションは次のとおりです。

  • 24時間(時間単位)

  • 1週間(毎週)

  • 1ヶ月(毎月)

  • 3か月(四半期ごと)

  • 1年間(毎年)

• [インシデント] テーブルに表示する結果の種類を選択します: 脅威の表示 |不審なものを表示 |良性を示します。

• 「サーチ」(Search) フィールドに検索条件を入力して、「インシデント」(Incidents) テーブルのサーチを実行します。SHA1、MD5 サム、コレクター名、脅威名、脅威ソースなどを検索できます。

• たとえば、[インシデント] タブのテーブル列の上部にあるヘッダーをクリックすると、その列でテーブルが並べ替えられます。もう一度クリックすると、並べ替え順序が降順から昇順に変更されます。

  

• [インシデント] テーブルの行をクリックすると、左側のパネルの [概要] テーブルに脅威に関する一般化された情報が表示されます。[Summary] タブの下にあるタブのサブセットを順番にクリックすると、イベントの詳細が表示されます。そして、矢印をクリックして行を展開して詳細を表示します。

• [Config] ページの左側のパネル メニュー オプションを使用して、[Notifications]、[System Settings]、および [Environmental Settings] の構成ウィンドウを開きます。

• 設定ページで、表示されたフィールドに情報を入力します。

The Juniper ATP Appliance Central Manager Web UI

各 Web UI タブの目的は次のとおりです。

• Dashboard—アプライアンスのステータス情報と、検出された脅威およびインシデントの傾向を表示します。コンテキスト固有の 運用ダッシュボードと調査ダッシュボードの脅威ビューは、構成に応じて、企業に最も影響を与える脅威に優先順位を付けます。システムダッシュボードとコレクターダッシュボード(Webおよび電子メール)は、システムとコレクターのヘルスステータスとトレンドに関する情報を提供します。イベントタイムラインダッシュボードには、特定のベンダーとエンドポイントのIP、ホスト名、ユーザー名、または電子メールのイベントごとのAdvanced Threat Analytics(ATA)データが表示されます。

• Incidents—ネットワーク内のさまざまなキルチェーン段階における、悪意のある、または疑わしいダウンロードまたは感染に関する詳細情報のレベルを表示します。詳細は 、「インシデントページのナビゲーション 」も参照してください。

• File Uploads- 悪意のあるものか無害なものかにかかわらず、すべてのファイル アップロード マルウェア分析結果に関する詳細情報が 1 つの Web UI ロケーションに表示されます。Central Manager Web UI のファイル アップロード処理機能には、新しい [ファイルのアップロード(File Uploads)] タブからのアップロードが含まれます。拡張ファイル アップロード API は、インシデントとのシームレスな統合を提供するために、Carbon Black Response などのサードパーティ統合の追加メタデータを受け入れます。詳細については、 分析のためのマルウェア ファイルの送信を参照してください。

• Mitigation—自動緩和、ゲートウェイや IPS/次世代ファイアウォールからのコールバックのブロック、Juniper ATP Appliance Infection Verification Package(IVP)や Carbon Black Response 統合の導入など、検知された特定の脅威に対する緩和オプションを提供し、ターゲットエンドポイントでの感染を確認します。詳細については、「 ファイアウォールの自動緩和の設定」を参照してください。

• Reports- 統合および詳細なエグゼクティブ サマリー レポート、またはシステム監査レポートを生成またはスケジュールできます。詳細は、レポートの生成を参照してください。

• Custom Rules—Juniper ATP Appliance Central Manager の Web UI の [Custom Rules] タブに、一致するカスタムの Snort ルールを表示します。相関 Snort ルールの一致は [インシデント(Incidents)] タブで確認できます。 システムへのルールの追加については、『 カスタム SNORT ルールの設定 』を参照してください。

• Config—アプライアンスとソフトウェアのシステム設定、および分析、通知、緩和設定を行うことができます。

• [更新(Refresh)]:CM ブラウザの表示の更新を実行します。更新は、ソフトウェアまたはセキュリティ コンテンツの更新後に必ず実行してください。

• System Health—Juniper ATP Applianceの静的および動的デトネーションエンジンと分析システムのヘルスインジケータチェックを表示します。すべてのインジケータに、システムが良好な状態であることを示す緑色のチェックマークが表示されます。赤色のインジケータが表示された場合は、トラブルシューティングのアクションが必要です。

ビヘイビアエンジン		コア・デトネーション・エンジン
静的エンジン		静解析
相関		イベント相関エンジン
Web コレクター		有効な Web コレクタの接続ステータス
二次コア		設定済みセカンダリコアの接続状態(Mac OSX)

• Log Out- 現在の Central Manager Web UI ユーザのログアウトを実行します。

このセクションでは、Juniper ATP ApplianceのAdvanced Threat Protectionの3つの導入シナリオについて説明します。

• 企業の本社におけるJuniper ATP Applianceの導入

• 分散型および/またはクラスター化されたエンタープライズ環境におけるJuniper ATP Appliance Defense

• Juniper ATP Appliance分散型SaaS/OVAまたは仮想導入

このシナリオ (下の図 5 を参照) では、コア|CMシステムは、企業の本社に設置され、幅広いトラフィックカバレッジとサービス統合のために3台の物理トラフィックコレクターが展開されます。

• データセンターカバレッジ用に配置されたコレクター1

• Webトラフィックカバレッジ用に配置されたコレクター2

• カバレッジと緩和/ブロックのためにファイアウォールに配置されたコレクター3

この導入シナリオでは、トラフィックコレクターがネットワークカバレッジを提供し、既存のインフラストラクチャと統合します。CMは、Webおよび電子メールのインシデント検出を提供すると同時に、ファイアウォールでリスク認識の軽減とブロックを実行します。

図3:企業の本社導入におけるJuniper ATP Applianceの防御

分散型企業には、分散型脅威防御シナリオが必要です(下記の図を参照)。このシナリオでは、継続的な検査とネットワークの可視性の拡大のために、さまざまな物理および仮想コレクターがブランチオフィスにリモートで展開されます。

図4:分散型エンタープライズ環境におけるJuniper ATP Applianceの防御

トラフィック分析は分散されたコレクターで行われ、オブジェクトはコア|CMは企業の本社に配備され、最終的な脅威評価と緩和のために、ネットワークオブジェクトがマルチOSデトネーションチャンバーの実行を受けます。

あるいは、コア|この分散展開の CM は、OVA VM または SaaS 展開として構成することもできます。さらに、補足的なJuniper ATP Appliance Coreをパブリックまたはプライベートエンタープライズクラウドに展開することもできます。

分散型SaaS/OVA導入環境では、トラフィックコレクターは、Core|本社のCMとクラウドのVM OVAとしてインストールされたコレクターで、すべてのコンテンツを検査および分析し、PANやSRXファイアウォールなど、設定済みの適用サーバーで緩和アクションをトリガーします。

図5:Juniper ATP Applianceの分散型SaaS/OVA導入

タップとは、トラフィックの流れを妨げないようにすると同時に、全二重リンクからすべてのトラフィックをコピーし、その情報を Juniper ATP Appliance Collector に送信してオブジェクトを分析するデバイスのことです。タップモードでは、外部ファイバータップ(GBICポートの場合)または内蔵の内部タップ(10/100/1000モニタリングポートの場合)を使用します。タップモードでは、Juniper ATP Appliance Collectorは、パケットが全二重ネットワークセグメントを通過する際にパケット情報を監視します。SPAN モードと同様に、タップ モードはパッシブです。

ネットワークタップを使用して、ネットワークセグメントからJuniper ATP Appliance Collectorのeth1ネットワーク監視ポートにネットワークトラフィックのコピーを送信します。蛇口はトラフィックに干渉せず、シャットダウンしてもトラフィックは妨げられることなく通過できます。

スイッチの SPAN(スイッチ ポート アナライザ)ポートは、セキュリティ監視用に設計されています。これにより、接続されたJuniper ATP Applianceは、スイッチを通過するすべての着信および発信トラフィックからすべてのパケットのコピーを受信できます。これはポートフォワーディングまたはポートミラーリングです。パッシブで非侵入型の入力します方法。

ポートミラーリング機能を持つスイッチを設定して、選択したポート間を通過する着信トラフィックと発信トラフィックのコピーをスイッチのSPANポートに転送します。次に、SPAN ポートを Juniper ATP Appliance(eth1 とラベル付け)に接続します。

Juniper ATP Appliance を SPAN モードで設定するには、ポートミラーリング機能を持つスイッチを設定し、選択したポート間を通過する着信トラフィックと発信トラフィックのコピーをスイッチの SPAN ポートに転送します。次に、SPAN ポートを Collector(ポート eth1)に接続します。

Juniper ATP Applianceトラフィックコレクターは、すべてのネットワークトラフィックにマルウェアオブジェクトがないか継続的に監視および検査します。オブジェクトを抽出してコアに送信し、WindowsまたはMac検出エンジンに配布します。

Windows トラフィックの場合、Microsoft Exchange Server ジャーナリングは、エンタープライズ電子メール メッセージのコピー (ジャーナル) を記録し、Exchange Server のジャーナル メールボックスに定期的に送信するように構成できます。

Exchange Server 2010 は、エンベロープ ジャーナリングのみをサポートするように構成できます。これは、各電子メール メッセージ本文とそのトランスポート情報のコピーが作成されることを意味します。トランスポート情報は、基本的に、電子メールの送信者とすべての受信者を含むエンベロープです。

Juniper ATP Appliance 電子メール コレクターは、Exchange Server にジャーナル エントリがないかポーリングし、スケジュールどおりに、ジャーナル アカウント内のすべての電子メールを Exchange サーバーからコレクターにプルします。E メールコレクターは、初期トラフィック分析と電子メールの添付ファイルの監視/検査にジャーナリングを使用します。すべての電子メールトラフィック(および電子メールの添付ファイル)は、WindowsまたはMac OS X検出エンジンでデトネーションするために、EメールコレクターからJuniper ATP Appliance Coreに送信されます。

電子メールベースのマルウェアまたは悪意のある電子メールの添付ファイルが検出されると、ジャーナルエントリはJuniper ATP Appliance Central Managerによって分析結果に組み込まれ、Juniper ATP Appliance管理者に通知として送信され、Central Manager Web UIで詳細が説明される対応する緩和および/または感染検証アクションとともに送信されます。

E メール・コレクター・ジャーナリングを設定するには、以下の手順に従います。

• Exchange Server でのジャーナリング メールボックスの作成 については、次のセクションで説明します。

• Microsoft Exchange Server 2013 ジャーナリングの構成

• Web UI からの Exchange Server ジャーナル ポーリングの設定

• Office 365 ジャーナリングの構成

• Gmail ジャーナリングの設定

• Gmail の脅威の緩和を設定する

1. Microsoft Exchange 管理コンソールを起動します。

2. [受信者の構成] ノードを展開し、[メールボックス] ノードをクリックします。[新しいメールボックス] を選択します。[操作] ウィンドウから。

3. [新しいメールボックス] を選択します。[操作] ウィンドウから。

4. 「ユーザーメールボックス」オプションを選択し、「次へ」をクリックします。

5. 「新規ユーザー」オプションを選択し、「次へ」をクリックします。

6. 新しいユーザー メールボックスの詳細

7. 新しいジャーナリング メールボックスを割り当てるコレクターの [ユーザー情報] の詳細を入力し、[次へ] をクリックします。

8. ジャーナリング メールボックスの [エイリアス] を入力し、[次へ] をクリックします。

9. もう一度 [次へ] をクリックし、作成する新しいメールボックスの新しいメールボックスの概要を確認して、[新規] をクリックします。

10. ジャーナリング メールボックスが作成されたので、メールボックス データベースを構成して標準ジャーナリングを構成します。

• Microsoft Exchange 管理コンソール>サーバーの構成で、[メールボックス データベース] をクリックします。

• [選択したメールボックス データベースのツールボックス アクション] で、[プロパティ] をクリックします。

• [メールボックス データベースのプロパティ] ページで、[全般] タブに移動し、[ジャーナル受信者] チェック ボックスをオンにしますが、チェック ボックスをオンにする前に、まず [参照] をクリックし、メールボックス データベースからすべてのメッセージを取得するメールボックスを選択します。[ジャーナル受信者]をオンにしたら、[OK]をクリックして終了します。

1. 次の MS Exchange Server 管理センターにログインします。 https://exchnageserverip/ecp/

2. [送信コネクタ] タブを選択します。

   図 6: Exchange 管理センターの

3. メール フロー>>送信コネクタに移動し、送信コネクタの設定を入力します。

   図 7: 送信コネクタの設定

4. コネクタの設定を保存します。

5. [コンプライアンス管理>>ジャーナル ルール] に移動して、ジャーナル ルールを構成します。

6. メールボックス名と IP アドレスを [ジャーナル レポートの送信先] フィールドに入力します。

   手記：

   これは、Juniper ATP Appliance の [Email Collector Config>System Profiles] > Email Collector Web UI ページで設定されたメールボックス名と一致する必要があります。

   図 8: ジャーナル ルールの設定

E メールコレクタの設定については、「 E メールコレクタの設定 」を参照してください。

1. Juniper ATP Appliance Central Manager の設定>電子メールコンプライアンス管理>>ジャーナル ルール コレクタ ページに移動し、[新しい E メール コレクタの追加(Add New E E Collector)] ボタンをクリックするか、[現在のメール コレクタ(Current Email Collectors)] テーブルにリストされている既存のコレクタの [編集(Edit)] をクリックします。

2. 表示された構成フィールドに電子メールジャーナリング設定を入力して選択します:電子メールサーバー[IP]、プロトコル、SSL、メールボックス名、パスワード、ポーリング間隔(分)、[サーバーにメールを保持する]、および[有効]。[次の図を参照してください]。

Juniper ATP Appliance の電子メールの軽減のために Office 365 ジャーナリングを設定するには:

1. Microsoft Office 365 管理センターにログインします。

2. Office 365 管理センターで、[管理センター> Exchange] を選択します。

   図 9: Microsoft Office 365 管理センター への移動
   図 10: Microsoft Office 365 管理センターの

3. [コンプライアンス管理] > [ジャーナル ルール] を選択します。

   • [+] 記号をクリックして、新しいジャーナル ルールを追加します。

   • 新しいジャーナル ルール フォームのフィールドに入力します。

Gmail のメール ジャーナリングを設定する手順は次のとおりです。

1. https://admin.google.com/AdminHome の Google 管理コンソール ホーム サイトに移動します。

2. Google 管理コンソールのダッシュボードから、[アプリ]-[>G Suite]-[>Gmail->詳細設定] に移動します。

   手記：

   [詳細設定] を表示するには、Gmail ページの一番下までスクロールします。

3. [コンプライアンス]セクションに移動し、[別のコンプライアンスルールを追加]をクリックして、Juniper ATP Appliance MTAへの配信を設定します。

   図11:Google Gmail管理画面のホームジャーナリング設定

4. 以下のサンプルスクリーンショットに表示されているオプションを選択します(設定1と2)。

   図12:Juniper ATP ApplianceのMTAに必要なジャーナリング基準

5. 受信者情報を必ず追加してください(これはJuniper ATP Appliance MTです)。たとえば、JATP_mta@FQDN や JATP_mta@ip などです。

   図13:Juniper ATP Appliance MTAをGmail受信者として設定する:JATP_mta@FQDN

Google Apps ドメインを使用するエンタープライズ環境では、Google Apps ドメインの管理者は、Google Apps ドメイン内のユーザーに代わって、アプリケーションがユーザー データにアクセスすることを承認できます。ドメイン内のユーザーに代わってサービスアカウントにデータへのアクセスを許可することは、サービスアカウントへの「ドメイン全体の権限の委任」と呼ばれることもあります。

ドメイン全体の権限を Gmail API サービス アカウントに委任するには、まず Google API の [サービス アカウント] ページで既存のサービス アカウントのドメイン全体の委任を有効にするか、ドメイン全体の委任を有効にして新しいサービス アカウントを作成します。

新しい Gmail サービス アカウントを作成するには:

1. [Google API サービス アカウント] ページに移動します。

2. 既存のプロジェクトを選択するか、左上隅の [プロジェクト] ドロップダウン メニューから新しいプロジェクトを作成します。

   図 14: [Google API] サービス アカウント ページに移動します
   図 15: 新しい Google API サービス アカウント の作成

3. 次に、Google Apps ドメインの管理コンソールに移動します。

4. コントロールの一覧から [セキュリティ] を選択します。[セキュリティ] が表示されない場合は、ページ下部の灰色のバーから [その他のコントロール] を選択し、そのコントロールの一覧から [セキュリティ] を選択します。コントロールを使用できない場合は、ドメインの管理者としてサインインしていることを確認してください。

5. [さらに表示]を選択し、オプションのリストから[詳細設定]を選択します。

6. [認証] セクションで [API クライアント アクセスの管理] を選択します。

7. 「クライアント名」フィールドに、サービスアカウントのクライアントIDを入力します。サービスアカウントのクライアントIDは、「サービスアカウント」ページで確認できます。

8. [1 つ以上の API スコープ] フィールドに、アプリケーションにアクセス権を付与するスコープのリストを入力します。たとえば、アプリケーションで GMAIL API へのドメイン全体のアクセスが必要な場合は、「 https:// mail.google.com/」と入力します。

   図 16: Google API ダッシュボード へのアクセス
   

9. [承認] をクリックします。

   手記：

   GMAIL API を有効にするには、Admin Console に移動し、関連するプロジェクトの [API Manager] の下にあるダッシュボードで [ENABLE API] をクリックします。[GMAIL API] を選択し、[有効にする] をクリックします。

このセクションでは、[Dashboard] タブの [Dashboard] コンポーネントである [Operations]、[Research]、[System]、および [Collectors] ダッシュボード タブについて説明し、さまざまなビューと調整可能な統計情報と表示を操作する方法について説明します。

表6:Juniper ATP Applianceダッシュボードのグラフィカルコンポーネント

Operations Filter	ドロップダウンメニューから使用可能なフィルターの1つを選択して、脅威ビューの結果をフィルタリングします:すべて|新規のみ |Ack'd & In Progress |完成	ドロップダウンメニューから選択します。
Time Period (運用ダッシュボード、調査ダッシュボード、システムダッシュボードコレクターズダッシュボード、イベントタイムライン)	すべてのダッシュボードグラフは、テーブル上部のドロップダウンメニューから選択した期間ごとに同期されます。期間オプションには、次のものが含まれます。 過去 24 時間 先週 先月の 過去 3 か月間 去年	ドロップダウンメニューから選択します。
Reset Charts (マルウェアダッシュボードとシステムダッシュボードの両方)	ダッシュボード上のすべてのグラフを、選択した期間の元の状態にリセットします。	マウスクリック
Infected Hosts (運用ダッシュボード)	このバブルチャートは脅威ビューの中心であり、特定の期間に感染したすべてのホストを表します。1 つのバブルは 1 つの感染したホストを表します。 グラフの x 軸は期間を表します。 y軸は、決定された感染の重症度を表します。 バブルの色は、次のスペクトルに沿って、ホストで検出されたマルウェアの段階的な重大度を表します。 高(赤)、中(オレンジ)、低(黄) バブルのサイズは、ホストで検出されたマルウェアの総数を表します。	バブル「ホスト」の上にマウスを置きます 感染したホストのIPアドレスと名前、およびそのホストで検出されたマルウェアの総数が次の形式で表示されます。 「IP/名前(X 脅威)」 バブル「ホスト」をマウスでクリック バブルが強調表示され、マルウェアのターゲット、キルチェーン、インシデントの概要、およびトリガーのデータを含むホストの詳細データが表示されます。 また、[マルウェアの傾向] グラフが調整され、選択したホストが侵害された日時が表示されます。 また、[Top Compromised Endpoints Malware data] が表示されます。 バブルをダブルクリックして [インシデント] タブを開くと、詳細と軽減策オプションが表示されます。
Host Details (運用ダッシュボード)	脅威ビューのバブル グラフで個々のバブルを選択すると、マルウェアのターゲット、キル チェーン ステージの進行状況、インシデントの概要、トリガーのデータなど、そのホストのホストの詳細データが表示されます。 キルチェーンの進行には、よりインタラクティブなデータが含まれています。	マウスクリック: [Kill Chain Stage Progression] で強調表示された青色の結果をクリックすると、詳細情報が表示されます。 キルチェーンの進行状況バブルをクリックすると、[インシデント]ページが開き、特定のエクスプロイト、ダウンロード、実行、感染、フィッシングのデータが表示されます。
Malware Trend (運用ダッシュボード)	特定の時間枠で特定のマルウェアのマルウェアの傾向を示します。	[脅威ビュー(Threat View)] バブル グラフでバブルを選択して、マルウェアのトレンド タイムラインを調整します。
Total Malware Found (調査ダッシュボード)	マルウェアの重大度の割合を高 (赤)、中 (オレンジ)、低 (黄) で示す円グラフ	インタラクティビティなし
Top Malware Countries (調査ダッシュボード)	世界中で現在検出されているマルウェアの発生率を表示する地理的グラフ。	インシデントの詳細ページを開きます
Top Compromised Endpoints (運用ダッシュボード)	侵害されたエンドポイントごとのステータス、リスク、ホスト、脅威を表示します。	インタラクティビティなし
Top Malware (調査ダッシュボード)	選択した期間のマルウェアインシデントの上位セットをマルウェア名別に一覧表示します。 x軸は感染数を表します。Y軸はマルウェア名です。	マウスクリック: [上位のマルウェア(Top Malware)] グラフでマルウェア名を強調表示すると、エンドポイント ホストごとのそのマルウェアの [脅威の進行(Threat Progression)] が表示されます。脅威の進行には以下が含まれます。 感染 症 ダウンロード
Threat Progression (調査ダッシュボード)	選択したマルウェアごとの感染数とダウンロード数のインタラクティブ マップを表示します。 企業全体の連続したホストへのダウンロードを以下の例に示します。	マウスクリック: [感染] をクリックして、感染したエンドポイントの進行状況を表示します。 [ダウンロード(Downloads)] をクリックすると、選択したマルウェアのダウンロードが発生したエンドポイント(IP アドレスで表示)が表示されます。 エンドポイントの IP アドレスをクリックすると、そのエンドポイントの [ホストの詳細(Host Details)] が表示されます。クリックすると、選択した端点の丸い箇条書きがオレンジ色に変わります。
Threat Details (調査ダッシュボード)	現在選択されているマルウェアの脅威の詳細を一般化して表示します。ただし、[脅威の進行(Threat Progression)] マップからエンドポイントを選択すると、表示が調整されて [ホストの詳細(Host Details)] が表示されます。	マウスクリック: エンドポイントの IP アドレスをクリックすると、そのエンドポイントの [ホストの詳細(Host Details)] が表示されます。クリックすると、選択した端点の丸い箇条書きがオレンジ色に変わります。
Traffic (システムダッシュボード)	選択した期間内に処理された分析済みプロトコル トラフィックに対するネットワーク トラフィックの合計を Kbps 単位で表示します。 x 軸は期間を月単位で表します。y 軸は Kbps を示します。	マウスホバー: チャートの任意の部分にマウスカーソルを合わせます。マウスポインタが十字線に変わります:チャート内でマウスをドラッグして、3つのコンポーネントのそれぞれの間隔(X軸)を変更します。
Core Utilization (%) (システムダッシュボード)		マウスホバー: チャートの任意の部分にマウスカーソルを合わせます。マウスポインタが十字線に変わります:チャート内でマウスをドラッグして、3つのコンポーネントのそれぞれの間隔(X軸)を変更します。
Average Analysis Time (分)(システムダッシュボード)		マウスホバー: チャートの任意の部分にマウスカーソルを合わせます。マウスポインタが十字線に変わります:チャート内でマウスをドラッグして、3つのコンポーネントのそれぞれの間隔(X軸)を変更します。
Objects Processed (システムダッシュボード)	選択した期間内に処理されたネットワーク オブジェクトを表示します。 x 軸は期間を月単位で表します。Y 軸はオブジェクトの数を示します。	マウスホバー: チャートの任意の部分にマウスカーソルを合わせます。マウスポインタが十字線に変わります:チャート内でマウスをドラッグして、3つのコンポーネントのそれぞれの間隔(X軸)を変更します。
Malware Objects (システムダッシュボード)	選択した期間内に処理されたマルウェア オブジェクトを表示します。 x 軸は期間を月単位で表します。Y 軸はオブジェクトの数を示します。	マウスホバー: チャートの任意の部分にマウスカーソルを合わせます。マウスポインタが十字線に変わります:チャート内でマウスをドラッグして、3つのコンポーネントのそれぞれの間隔(X軸)を変更します。
Trend (コレクターズダッシュボード)	コレクターのアクティビティとトレンドの統計を表示します。 表示オプションは [トレンド(Trend)] ドロップダウン メニューから選択され、合計トラフィック(Total Traffic)、[CPU 使用量(CPU Usage)]、[メモリ使用量(Memory Usage)]、[検出されたオブジェクト(Found Objects)]、および [マルウェア オブジェクト(Malware Objects)] が含まれます	プロットの下の[Summary]テーブルから追跡するコレクターを選択します。 値は、コレクターごとに 10 分ごとに更新されます。 Plot column(s)チェックボックスをクリックして、選択したコレクターのグラフィック情報をプロットします。
Vendor (イベントタイムラインダッシュボード)	セキュリティインフラストラクチャからベンダーを選択し、指定されたエンドポイントIP、ホスト名、ユーザー名、または電子メールのすべての相関イベントを表示します。

[Reset Charts] をクリックして、ダッシュボードを元の all-hosts, all-threats 状態にリセットします。

• 「ファイルのアップロード」タブをクリックし、「分析のためにファイルを送信」ウィンドウで、分析のためにアップロードするファイルを選択し、「ファイルの送信」ボタンをクリックします。

  手記：

  分析用にアップロードできる最大ファイル サイズは 32 MB です。

  図 20: [Incidents] タブからのマルウェア分析用のファイルの送信

ファイルを送信すると、SHA1 が表示されます。

ファイルをアップロードする機能は「file_submit」APIを呼び出し、分析に続いて、APIから返された結果をCentral ManagerのWeb UIファイルアップロードタブに表示します。結果は、インシデントのsha1sumとファイル名とともに、Kill Chain Progressionの指定であるUPとともに、[インシデント]ページテーブルにも表示されます。

マルウェア分析のためにファイルが HTTP API から送信されるか、Central Manager の [ファイルのアップロード(File Uploads)] ページを介して送信されるかに関係なく、分析結果は常に [ファイルのアップロード(File Uploads)] ページに表示されます。

ネットワークスイッチSPAN/TAPでは、次の2種類のvCollector導入がサポートされています。

1. 物理スイッチから vCollector にスパンされるトラフィック。この場合、トラフィックはportAからportBにスパンされます。Juniper ATP Appliance vCollector OVA を含む ESXi が portB に接続されています。この展開シナリオを上の図に示します。

2. vCollector と同じ vSwitch 上にある仮想マシンからのトラフィック。この導入シナリオでは、vCollectorを含むvSwitchが無作為検出モードであるため、デフォルトでは、作成されるすべてのポートグループも無作為検出モードになります。したがって、無差別モードのポートグループA(vCollector)がvCollectorに関連付けられ、ポートグループB(vTraffic)が無差別モードではないトラフィックを表す2つのポートグループを推奨します。

   手記：

   vCollector と同じ vSwitch 上にない仮想マシンからのトラフィックはサポートされていません。また、vCollectorの導入には dedicated NIC adapter が必要です。(すべてのトラフィックを収集するため)無作為検出モードでNICを仮想スイッチに接続します。vSwitch が無作為検出モードの場合、デフォルトではすべてのポートグループが無作為検出モードになるため、他の通常の仮想マシンも不要なトラフィックを受信します。これを回避するには、他のVM用に異なるポートグループを作成し、無作為検出モードを使用せずに設定します。

   先端：

   仮想コレクタ(通常のコレクタとスモールフォームファクタコレクタ)の展開には2つのオプションがあります:(1)vCenterを使用してOVAインストール方法を使用します。(2) ESXiに直接インストールして、vCenterなしでOVF + VMDKを使用します。2 番目の方法を使用して vCollector を展開するためのウィザードはありません。CLIからコレクターを設定します。仮想コア インストールでは、OVA/vCenter 方式のみを使用できます。

次の表に、OVA vCollector の展開に必要なリソースとハードウェアのプロビジョニングの詳細を示します。

vCollector の導入で使用できるサイジング オプションを以下に示します。

OVA vCollector をインストールした後、クイック スタート ガイドの指示に従って、Juniper ATP Appliance CLI および設定ウィザードを使用して Web または Email vCollector を設定します。

1. Juniper ATP Appliance OVAファイルを、ジュニパーサポート担当者が指定した場所から、VMware vCenterにアクセスできるデスクトップシステムにダウンロードします。必要に応じて vCenter の使用を回避するには、このセクションの最後にある TIP を参照してください。

2. vCenter に接続し、[File]>[Deploy OVF Template] をクリックします。

3. [Downloads] ディレクトリを参照して OVA ファイルを選択し、[Next] をクリックして [OVF Template Details] ページを表示します。

4. [次へ(Next)] をクリックして、[エンド ユーザ ライセンス契約(End User License Agreement)] ページを表示して確認します。

5. EULA に同意し、[次へ] をクリックして [名前と場所] ページを表示します。

6. 仮想コアのデフォルト名は「Juniper ATP Appliance Virtual Core Appliance」です。必要に応じて、仮想コアの新しい名前を入力します。

7. 仮想コアを導入するデータセンターを選択し、[次へ] をクリックして [ホスト/クラスタ] ページを表示します。

8. 仮想コアを配置するホスト/クラスターを選択し、 [次へ] をクリックして [ストレージ] ページを表示します。

9. 仮想コア仮想マシン ファイルの宛先ファイル ストレージを選択し、 [次へ] をクリックして [ディスク フォーマット] ページを表示します。デフォルトは THIN PROVISION LAZY ZEROED で、ストレージデバイスに 512 GB の空き領域が必要です。シン ディスク プロビジョニングを使用して、ディスク領域を最初に節約することもサポートされています。

   「次へ」をクリックして、「ネットワーク・マッピング」ページを表示します。

10. 仮想コア インターフェイスを設定します。

    • 管理(管理):このインターフェイスは、管理用であり、Juniper ATP Applianceトラフィックコレクターとの通信に使用されます。CM 管理ネットワークIPアドレスに接続できるポート グループに宛先ネットワークを割り当てます。

    • 次へ をクリックして、Juniper ATP アプライアンスのプロパティ ページを表示します。

11. IP割り当てポリシーは、DHCPまたは静的アドレス指定用に設定できます。-ジュニパーでは、静的アドレス指定の使用を推奨しています。DHCPの手順については、ステップ12に進みます。[IP Allocation Policy as Static] で、次の割り当てを実行します。

    • IP アドレス: 仮想コアの管理ネットワーク ネットワークIP アドレスを割り当てます。

    • ネットマスク: 仮想コアのネットマスクを割り当てます。

    • ゲートウェイ: 仮想コアのゲートウェイを割り当てます。

    • DNS アドレス 1: 仮想コアのプライマリ DNS アドレスを割り当てます。

    • DNS アドレス 2: 仮想コアのセカンダリ DNS アドレスを割り当てます。

12. 仮想コアの検索ドメインとホスト名を入力します。

13. Juniper ATP Applianceの仮想コア設定を完了します。

    新しい Juniper ATP アプライアンス CLI 管理者パスワード:これは、CLI から仮想コアにアクセスするためのパスワードです。

14. Juniper ATP Applianceの仮想コア設定を完了します。

    • 新しい Juniper ATP アプライアンス CLI 管理者パスワード:これは、CLI から仮想コアにアクセスするためのパスワードです。

    • Juniper ATP Appliance Central Manager IP アドレス: 仮想コアがスタンドアロン (クラスタリングが有効になっていない) またはプライマリ (クラスタリングが有効) の場合、IP アドレスは 127.0.0.1 です。仮想コアがセカンダリの場合、Central Manager の IP アドレスはプライマリの IP アドレスになります。

    • Juniper ATP Appliance Device Name: 仮想コアの一意のデバイス名を入力します。

    • Juniper ATP Appliance Device Description: 仮想コアの説明を入力します。

    • Juniper ATP Appliance デバイス キー パスフレーズ: 仮想コアのパスフレーズを入力します。これは、コア/CM の Central Manager で設定されたパスフレーズと同じである必要があります。 [Next] をクリックして [Ready to Complete] ページを表示します。

15. 最初に(次に)CPUおよびメモリ要件(仮想コアモデルによって500Mbpsまたは1Gbps)を変更する必要があるため、[Power-On After Deployment]オプションはオンにしないでください。サイジング情報については、『 OVA vCollector Sizing Options 』を参照してください。

16. vCPU とメモリの数を設定するには、次の手順を実行します。

    1. 仮想コアの電源をオフにします。

    2. vCore を右クリックします -> [Edit Settings](設定の編集)

    3. [ハードウェア] タブで [メモリ] を選択します。右側の [メモリ サイズ] コンビネーション ボックスに、必要なメモリを入力します。

    4. [ハードウェア] タブで [CPU] を選択します。右側の [必要な数の仮想 CPU の組み合わせ] ボックスを入力します。[OK] をクリックして設定します。

17. CPU とメモリの予約を設定するには、次の手順を実行します。

    1. CPU 予約の場合: [vCore-> Edit settings] を右クリックします。

    2. [リソース] タブを選択し、 [CPU] を選択します。

    3. [予約] で、VM の保証された CPU 割り当てを指定します。これは、vCPUの数*プロセッサ速度に基づいて計算できます。

    4. メモリ予約の場合: [仮想コア] を右クリックして、 [設定の編集] >。

    5. 「リソース」タブで、「メモリー」を選択します。

    6. [予約] で、VM 用に予約するメモリの量を指定します。これは、サイジングガイドで指定されているメモリと同じである必要があります。

18. ハイパースレッディングが有効になっている場合は、次の選択を行います。

    1. [vCore -> Edit settings] を右クリックします。

    2. [リソース] タブで、[高度な CPU] に [HT 共有: なし] を選択します。

19. 仮想コア (仮想コア) の電源をオンにします。注: 今後の参考のために、許可リストルールは、通常のサービスシャットダウンのバックアップに依存しています。仮想マシンまたは仮想コアを直接パワーオフすると、ルールを保存できないため、現在の許可リストの状態が失われます。

CLIにログインし、サーバーモードの「show uuid」コマンドを使用してUUIDを取得します。ライセンスを受け取るには、Juniper ATP Applianceに送付してください。

OVA が複製されて別の仮想セカンダリ コアが作成されると、Central Manager アプライアンス テーブルの列「id」の値はデフォルトで同じになります。管理者は、UUID を一意にするためにリセットする必要があります。新しい仮想コア CLI コマンド「set id」を使用して、CLI のコア モードからクローンされた仮想コアの UUID をリセットできます。新しいコアモードの「set id」と「show id」コマンドについては、Juniper ATP Appliance CLIコマンドリファレンスを参照してください。

Central Manager Web UI の [設定(Config)] > [システム設定(System Settings)] > [システム設定(System Settings)] ページからアップグレードを設定すると、ソフトウェアおよびセキュリティ コンテンツのアップグレードが自動的に行われます。

• 自動アップグレードを有効にするには、[システム設定]ページの[ソフトウェアアップデートが有効]および/または[コンテンツアップデートが有効]オプションをオンにします。

Juniper ATP Applianceのすべてのコンポーネントからのすべての自動更新は、Juniper ATP Applianceコアによって調整され、実装されます。継続的な更新は、定期的なスケジュールで行われます。

• コアソフトウェアとコンテンツの更新(有効な場合)は、30分ごとに利用可能な更新をチェックし、新しいファイルをコレクターやセカンダリコアにプッシュします。

• コア デトネーション エンジンのイメージ アップグレード チェックは、毎日深夜に行われます。

• Juniper ATP Applianceは、運用フットプリントを削減し続けており、アップグレード、テレメトリ、コンテンツの更新、その他のサービスに広範な許可リストの外部IPアドレスを使用する必要がなくなりました。

• 特定のサービスに対して以前に開かれたファイアウォールポートは、リリースアップグレードの完了後に閉じることができます。

• 最新のファイアウォールのほとんどは、ドメインの許可リストをサポートしていることに注意してください。

• お客様は、オプションで、HTTPS(ポート443)でCore/CMデバイス*(コレクターではない)へのアウトバウンドアクセスのみを許可できます。この場合、ドメイン許可リストは必要ありません。

• *Juniper ATP Applianceは、サンドボックスのデトネーションでキルチェーンの相関関係を可能にするために、Core/CM Appliance(またはオールインワン)の自由なアウトバウンド通信を許可することを常に推奨しています。

• ポート 443 の包括的な許可リストを懸念するお客様は、許可リストを Amazon AWS と S3 の CIDR のみに制限できますが、これはまだかなり広い範囲の IP アドレスであることに注意してください。

リモートサポートアカウントは、UIまたはCLIから有効にできます。

UIからリモートサポートアカウントを有効にする

Web UI からサポート アカウントを有効にするには、次の手順を実行します。

1. [System Profiles >Remote Support] > [Config] を選択します。

2. 「リモートサポート」ページで、「 リモートサポートを有効にする 」オプションを選択します。

3. [期間] フィールドに、セッションの期間 (時間単位) を入力します。

4. [ Enable Support] をクリックします。

   サポートパスワードは、2つの秘密鍵を使用して生成されます。

   • リモートサポートが有効な場合、ジュニパーサポートはATPアプライアンスデバイスから1つのキーを自動的に取得します。

   • もう1つのキーはジュニパーネットワークスが提供します。

   Remote Support を有効にすると、 図 22 に示すように、UI が更新されて新しい秘密キーが表示されます。秘密鍵は、すべてのサポートセッションに固有です。

図22:[Remote Support]ウィンドウ

CLIからリモートサポートアカウントを有効にする

CLI から support アカウントを有効にするには、次の手順に従います。

1. T CLI にログインし、サーバ モードを開始してから、 set cysupport enable on コマンドを使用します。

2. リモートサポート期間を時間単位で入力します。

3. CLI から秘密鍵を取得する必要がある場合は、 show remote-access-key コマンドを使用します。

「recovery」という名前のユーザーは、パスワードなしでアプライアンスにログインし、管理者パスワードをリセットするコマンドなど、限られた量のコマンドを入力できます。

CLI を使用して管理者パスワードをリカバリーするには、次の操作を行います。

1. ログインを求められたら、アプライアンスのユーザー名リカバリーを入力し、Enter キーを押します。

   パスワードは不要なため、回復ユーザーは自動的にデバイスにログインします。

2. reset-admin-password コマンドを入力して、パスワードをリセットします。

   リカバリー・ユーザーが使用できるその他のコマンドは、exit、help、および history です。

監査ログで UI ユーザを表示するだけでなく、Web UI の [レポート(Reports)] で、監査ログで admin および recovery-admin CLI ユーザを表示することもできます。詳細については、 監査ログ表示UIまたはCLIアクセス を参照してください。

UI 監査ログに加えて、コアおよびコレクターの CLI アクティビティ監査ログがあります。ログデータとともに、アクションがUIまたはCLIのどちらから実行されたかを確認できます。 図 24 を参照してください。

また、通常モードまたはプライベート モードで行われたソフトウェア更新、静的コンテンツ更新、および高速コンテンツ更新の監査ログを表示することもできます。 図 23 を参照してください。

これらのログは、ATP Appliance UI ポータルの レポート タブおよびシステム ログ サーバで確認できます (以前の UI 監査ログと同じです)。

図 23: システム監査レポートの生成

図24:監査ログ