はじめ

Juniper ATP Appliance Web UIは、以下の画面解像度の使用をサポートしています。

設定ウィザードを起動するには、CLIコマンドウィザードを起動します。

• CLI プロンプトで、ユーザー名とパスワードを入力します。デフォルトでは、管理者ユーザー名は admin で、パスワードは 1JATP234 です。

  初期セットアップ後に、必ず管理者アカウントのデフォルトのパスワードを変更してください。パスワードの長さは 8 文字以上にする必要があります。

• プロンプトが表示されたら yes と入力して構成ウィザードを使用し、次に示すように応答します。

• すべての質問に回答すると、ウィザードによって回答が要約されます。回答を変更するには、ステップ番号を入力します。変更を保存して終了するには、<実行>を押します。

• 設定ウィザードに戻って設定を変更するには、次の CLI コマンドを使用します。

• コマンドの構文と使用法については、『Juniper ATP Appliance CLIコマンドリファレンス』を参照してください。

このセクションでは、アプライアンス Web UI をナビゲートする方法とそのタブについて説明します。

• CM Web UI のナビゲーション

• タブの概要

アプライアンス Web UI 内を移動するには:

• タブを使用して、Web UI のメイン ページにアクセスします。

• タブの下のパスリンクや[設定]タブの下の左側のパネルリンクなどのリンクを使用して、他のリンクされたページに移動します。

図2:Juniper ATP Appliance Central Manager Web UI のナビゲーション

• 初期ビューを設定するには、ドロップダウンから、Juniper ATP Applianceダッシュボードまたは[インシデント]タブに検出結果とマルウェア分析の詳細を表示する期間を選択します。すべてのグラフと表形式表示は、期間選択コントロールによって同期されます。使用可能な期間オプションは次のとおりです。

  • 24時間(毎時)

  • 1週間(毎週)

  • 1ヶ月(毎月)

  • 3ヶ月(四半期ごと)

  • 1年間(年間)

• [インシデント] テーブルに表示する結果の種類を選択します。 脅威を表示 |疑わしい表示 |良性を示します。

• [インシデント] テーブルの検索を実行し、[検索] フィールドに検索条件を入力します。SHA1、MD5 合計、コレクター名、脅威名、脅威ソースなどを検索できます。

• たとえば、[インシデント] タブのテーブル列の上部にあるヘッダーをクリックすると、その列でテーブルが並べ替えられます。並べ替え順序を降順から昇順に変更するには、もう一度クリックします。

  

• [インシデント]テーブルの行をクリックすると、左側のパネルの[サマリー]テーブルに脅威に関する一般化された情報が表示されます。[概要] タブの下にあるタブのサブセットをクリックして、イベントの詳細を表示します。矢印をクリックして詳細を表示するには、行を展開します。

• [設定]ページの左側のパネルメニューオプションを使用して、[通知]、[システム設定]、および[環境設定]の構成ウィンドウを開きます。

• 構成ページで、表示されたフィールドに情報を入力します。

The Juniper ATP Appliance Central Manager Web UI

各 Web UI タブの目的は次のとおりです。

• Dashboard- アプライアンスのステータス情報に加えて、検出された脅威とインシデントの傾向も表示します。運用ダッシュボードと調査ダッシュボードのコンテキスト固有の脅威ビューは、設定に応じて、企業に最も影響を与える脅威に優先順位を付けます。システムダッシュボードとコレクターダッシュボード(Webおよび電子メール)には、システムとコレクターのヘルスステータスと傾向に関する情報が表示されます。イベントタイムラインダッシュボードには、特定のベンダーのイベントごとの高度な脅威分析(ATA)データと、エンドポイントIP、ホスト名、ユーザー名、または電子メールが表示されます。

• Incidents- ネットワーク内のさまざまなキルチェーン段階における、悪意のある、または疑わしいダウンロードや感染に関する詳細情報のレベルを表示します。詳細については 、「インシデント ページのナビゲーション 」も参照してください。

• File Uploads- 悪意のあるものか無害なものかを問わず、すべてのファイル アップロード マルウェア分析結果に関する詳細な情報を 1 つの Web UI の場所で提供します。Central Manager Web UI のファイル・アップロード処理機能には、新しい「ファイル・アップロード」タブからのアップロードが含まれます。強化されたファイルアップロードAPIは、カーボンブラックレスポンスなどのサードパーティ統合用の追加のメタデータを受け入れて、インシデントとのシームレスな統合を提供します。詳細については、 『分析のためのマルウェア ファイルの送信』を参照してください。

• Mitigation—自動緩和、ゲートウェイまたはIPS/次世代ファイアウォールからのコールバックのブロック、または標的エンドポイントでの感染を確認するためのJuniper ATP Appliance感染検証パッケージ(IVP)またはCarbon Black Response統合の導入など、検知された特定の脅威に対する緩和オプションを提供します。詳細については、 ファイアウォール自動緩和の設定を参照してください。

• Reports- 統合された詳細なエグゼクティブサマリーレポート、またはシステム監査レポートを生成またはスケジュールできます。詳細については、 レポートの生成 を参照してください。

• Custom Rules- カスタム Snort ルール一致を Juniper ATP Appliance Central Manager Web UI の [カスタム ルール] タブに表示します。相関 Snort ルールの一致は、[インシデント(Incidents)] タブで確認できます。システムへのルールの追加については、『 カスタム SNORT ルールの設定 』を参照してください。

• Config- アプライアンスとソフトウェアのシステム設定に加え、分析、通知、緩和策の設定を行うことができます。

• [更新(Refresh)]:CM ブラウザの表示の更新を実行します。ソフトウェアまたはセキュリティ コンテンツの更新後は、必ず更新を実行してください。

• System Health—Juniper ATP Applianceの静的および動的デトネーションエンジンと分析システムのヘルスインジケーターチェックを表示します。すべてのインジケータには、システムが正常であることを示す緑色のチェックマークが表示されます。赤いインジケータが表示された場合は、トラブルシューティングが必要です。

ビヘイビアエンジン		コアデトネーションエンジン
スタティックエンジン		静的分析
相関		イベント相関エンジン
ウェブコレクター		有効な Web コレクターの接続ステータス
二次コア		設定済みのセカンダリコアの接続状態(Mac OSX)

• Log Out- 現在の中央マネージャー Web UI ユーザーからのログアウトを実行します。

このセクションでは、Juniper ATP Appliance Advanced Threat Protectionの3つの導入シナリオについて説明します。

• 本社におけるJuniper ATP Applianceの導入

• 分散型またはクラスター化されたエンタープライズ環境におけるJuniper ATP Applianceの防御

• Juniper ATP Appliance 分散型SaaS/OVAまたは仮想導入

このシナリオでは(下の図5を参照)、Core|CMシステムは、広いトラフィックカバレッジとサービス統合のために3台の物理トラフィックコレクターが展開された本社に設置されます。

• コレクター1は、データセンターをカバーするために配置されています

• コレクター 2 は Web トラフィック カバレッジ用に配置

• コレクター3は、カバレッジと緩和/ブロックのためにファイアウォールに配置されています

この導入シナリオでは、トラフィックコレクタがネットワークカバレッジを提供し、既存のインフラストラクチャ、およびCore|CMは、リスク認識の緩和とファイアウォールでのブロックを実行しながら、Webおよび電子メールのインシデント検出を提供します。

図3:本社環境におけるJuniper ATP Applianceの防御

分散型企業には、分散型の脅威防御シナリオが必要です(下記の図を参照)。このシナリオでは、さまざまな物理および仮想コレクターがリモートで支社に導入され、継続的な検査とネットワークの可視性の拡大を実現します。

図4:分散型エンタープライズ環境におけるJuniper ATP Applianceの防御

トラフィック分析は分散コレクタで行われ、オブジェクトはCore|CM、企業の本社に導入され、最終的な脅威の評価と緩和のために、ネットワークオブジェクトがマルチOSデトネーションチャンバーの実行を受けます。

あるいは、コア|この分散展開の CM は、OVA VM または SaaS 展開として設定することもできます。さらに、補足的なJuniper ATP Appliance Coreをパブリックまたはプライベートのエンタープライズクラウドに導入することも可能です。

分散型SaaS/OVA展開では、トラフィックコレクタは、Core|本社のCM、クラウドにVM OVAとしてインストールされたコレクターを使用して、すべてのコンテンツを検査および分析し、構成された実施サーバー(PANやSRXファイアウォールなど)で緩和アクションをトリガーします。

図5:Juniper ATP Appliance分散型SaaS/OVAの導入

タップとは、トラフィックの流れを妨げることなく、同時に全二重リンクからすべてのトラフィックをコピーし、その情報をオブジェクト分析のためにジュニパーATPアプライアンスコレクターに送信するデバイスです。タップモードでは、外部ファイバータップ(GBICポート用)または内蔵内部タップ(10/100/1000監視ポート用)を使用します。タップモードでは、Juniper ATP Appliance Collectorが全二重ネットワークセグメントを通過する際にパケット情報を監視します。SPANモードと同様に、タップモードはパッシブです。

ネットワークタップを使用して、ネットワークセグメントからJuniper ATP Appliance Collectorのeth1ネットワーク監視ポートにネットワークトラフィックのコピーを送信します。タップは交通に干渉せず、シャットダウンされた場合、トラフィックが妨げられることなく通過できるようにします。

スイッチのスイッチ ポート アナライザ(SPAN)ポートは、セキュリティ モニタリング用に設計されています。これにより、接続されたJuniper ATP Applianceは、スイッチを通過するすべての着信および送信トラフィックからすべてのパケットのコピーを受信できます。これはポートフォワーディングまたはポートミラーリングです。パッシブで非侵入型のパケットキャプチャ方法。

ポートミラーリング機能を持つスイッチを設定し、選択したポート間を通過する着信および発信トラフィックのコピーをスイッチの SPAN ポートに転送するようにします。次に、SPANポートをJuniper ATP Appliance(eth1というラベル)に接続します。

Juniper ATP Appliance を SPAN モードで設定するには、選択したポート間を通過する着信および送信トラフィックのコピーをスイッチ上の SPAN ポートに転送するポートミラーリング機能を持つスイッチを設定します。次に、SPAN ポートをコレクタ(ポート eth1)に接続します。

ジュニパーATPアプライアンストラフィックコレクターは、マルウェアオブジェクトがないか、すべてのネットワークトラフィックを継続的に監視および検査します。Windows または Mac 検出エンジンに配布するために、オブジェクトを抽出してコアに送信します。

Windows トラフィックの場合、エンタープライズ電子メール メッセージのコピー (ジャーナル) を記録し、Exchange サーバー上のジャーナル メールボックスに定期的に送信するように Microsoft Exchange Server ジャーナリングを構成できます。

Exchange Server 2010 は、エンベロープ ジャーナリングのみをサポートするように構成できます。これは、各電子メールメッセージ本文とそのトランスポート情報のコピーが作成されることを意味します。トランスポート情報は、基本的に、電子メールの送信者とすべての受信者を含むエンベロープです。

Juniper ATP Applianceメールコレクターは、ジャーナルエントリーについてExchangeサーバーをポーリングし、スケジュールどおりに、ジャーナルアカウント内のすべてのEメールをExchangeサーバーからコレクターにプルします。電子メール コレクターは、初期トラフィック分析と電子メール添付ファイルの監視/検査にジャーナリングを使用します。すべてのメールトラフィック(およびメールの添付ファイル)は、WindowsまたはMac OS X検知エンジンでデトネーションするために、メールコレクターからJuniper ATP Appliance Coreに送信されます。

電子メールベースのマルウェアまたは悪意のある電子メールの添付ファイルが検出されると、そのジャーナルエントリはJuniper ATP Appliance Central Managerによって分析結果に組み込まれ、Juniper ATP Appliance管理者への通知として送信され、対応する緩和策や感染検証アクションがCentral Manager Web UIに詳述されます。

電子メール コレクター ジャーナリングを設定するには、次の手順に従います。

• 次のセクションの「Exchange サーバー上でのジャーナリング メールボックスの作成」

• Microsoft Exchange Server 2013 ジャーナリングの構成

• Web UI からの Exchange Server ジャーナルのポーリングの構成

• Office 365 ジャーナリングの構成

• Gmail ジャーナリングの設定

• Gmail の脅威緩和を設定する

1. Microsoft Exchange 管理コンソールを起動します。

2. [受信者の構成] ノードを展開し、[メールボックス] ノードをクリックします。[新しいメールボックス] を選択します。[操作] ウィンドウから。

3. [新しいメールボックス] を選択します。[操作] ウィンドウから。

4. [ユーザー メールボックス] オプションを選択し、[次へ] をクリックします。

5. [新しいユーザー] オプションを選択し、[次へ] をクリックします。

6. 新しいユーザー メールボックスの詳細

7. 新しいジャーナリング メールボックスを割り当てるコレクタの [ユーザー情報] の詳細を入力し、[次へ] をクリックします。

8. ジャーナリング メールボックスの [エイリアス] を入力し、[次へ] をクリックします。

9. もう一度 [次へ] をクリックし、作成する新しいメールボックスの新しいメールボックスの概要を確認して、[新規作成] をクリックします。

10. ジャーナリング メールボックスが作成されたので、メールボックス データベースを構成して標準ジャーナリングを構成します。

• Microsoft Exchange 管理コンソール>サーバーの構成] で、[メールボックス データベース] をクリックします。

• [選択したメールボックス データベースのツールボックス アクション] で、[プロパティ] をクリックします。

• [メールボックス データベースのプロパティ] ページで、[全般] タブに移動し、[ジャーナル受信者] チェック ボックスをオンにしますが、チェック ボックスを選択する前に、まず [参照] をクリックし、メールボックス データベースからすべてのメッセージを取得するメールボックスを選択します。[ジャーナル受信者] をオンにした後、[OK] をクリックして終了します。

1. 次の場所にある MS Exchange サーバー管理センターにログインします。 https://exchnageserverip/ecp/

2. [送信コネクタ] タブを選択します。

   図 6: Exchange 管理センター

3. メール フロー>>送信コネクタに移動し、送信コネクタの設定を入力します。

   図 7: 送信コネクタの設定

4. コネクタの設定を保存します。

5. [コンプライアンス管理] >> [ジャーナル ルール] に移動して、ジャーナル ルールを構成します。

6. 「ジャーナルレポートの送信先」フィールドにメールボックス名とIPアドレスを入力します。

   メモ：

   これは、Juniper ATP Appliance Email Collector Config>System Profiles>Email Collector Web UIページで設定したメールボックス名と一致する必要があります。

   図 8: ジャーナル ルール の設定

電子メール コレクターの設定については、 電子メール コレクターの設定 を参照してください。

1. Juniper ATP Appliance Central Manager の設定>電子メールコンプライアンス管理>>ジャーナル ルール コレクター ページから、新規電子メール コレクターの追加 ボタンをクリックするか、現在の電子メール コレクターの表にリストされている既存のコレクターの編集をクリックします。

2. 表示された構成フィールドで、電子メール ジャーナリング設定を入力して選択します: 電子メール サーバー [IP]、プロトコル、SSL、メールボックス名、パスワード、ポーリング間隔 (分)、サーバーにメールを保持する、および有効。[下図参照]

Juniper ATP Appliance電子メール軽減用のOffice 365ジャーナリングを設定するには、次の手順に従います。

1. Microsoft Office 365 管理センターにログインします。

2. Office 365 管理センターから、[管理センター] > [交換] を選択します。

   図 9: Microsoft Office 365 管理センター への移動
   図 10: Microsoft Office 365 管理センター

3. [コンプライアンス管理] > [ジャーナル ルール] を選択します。

   • + 記号をクリックして、新しいジャーナル ルールを追加します。

   • 新しいジャーナル ルール フォーム フィールドに入力します。

Gmail のメールジャーナリングを設定するには、次の手順に従います。

1. https://admin.google.com/AdminHome で Google 管理ホーム サイトに移動します。

2. Google 管理コンソールのダッシュボードから、[アプリ->G Suite->Gmail->詳細設定] に移動します。

   メモ：

   [詳細設定] を表示するには、Gmail ページの一番下までスクロールします。

3. コンプライアンスセクションに移動し、[別のコンプライアンスルールを追加]をクリックして、Juniper ATP Appliance MTAへの配信を設定します。

   図 11: Google Gmail 管理ホーム ジャーナリング設定

4. 以下のサンプルスクリーンショットに表示されているオプションを選択します(設定1および2)。

   図 12: Juniper ATP Appliance MTA で必要なジャーナリング基準

5. 必ず受信者情報(Juniper ATP Appliance MTです)を追加してください。たとえば、JATP_mta@FQDN や JATP_mta@ip などです。

   図 13: Juniper ATP Appliance MTA を Gmail 受信者として設定する: JATP_mta@FQDN

Google Apps ドメインを使用するエンタープライズ環境の場合、Google Apps ドメインの管理者は、Google Apps ドメインのユーザーの代わりに、アプリケーションがユーザー データにアクセスすることを承認できます。ドメイン内のユーザーに代わってデータにアクセスするサービス アカウントを承認することは、サービス アカウントへの "ドメイン全体の権限の委任" と呼ばれることもあります。

Gmail API サービス アカウントにドメイン全体の権限を委任するには、まず [Google API サービス アカウント] ページで既存のサービス アカウントのドメイン全体の委任を有効にするか、ドメイン全体の委任を有効にして新しいサービス アカウントを作成します。

新しい Gmail サービス アカウントを作成するには:

1. [Google API サービス アカウント] ページに移動します。

2. 左上隅の[プロジェクト]ドロップダウンメニューの下から既存のプロジェクトを選択するか、新しいプロジェクトを作成します。

   図 14: Google API サービス アカウント ページ に移動します。
   図 15: 新しい Google API サービス アカウント の作成

3. 次に、Google Apps ドメインの管理コンソールに移動します。

4. コントロールの一覧から [セキュリティ] を選択します。[セキュリティ] が表示されていない場合は、ページの下部にある灰色のバーから [その他のコントロール] を選択し、そのコントロールの一覧から [セキュリティ] を選択します。使用できるコントロールがない場合は、ドメインの管理者としてサインインしていることを確認してください。

5. オプションのリストから [もっと表示] を選択し、[詳細設定] を選択します。

6. [認証] セクションで [API クライアント アクセスの管理] を選択します。

7. [クライアント名] フィールドに、サービス アカウントのクライアント ID を入力します。サービス アカウントのクライアント ID は、[サービス アカウント] ページで確認できます。

8. 「1 つ以上の API スコープ」フィールドに、アプリケーションにアクセス権を付与するスコープのリストを入力します。たとえば、アプリケーションで GMAIL API へのドメイン全体のアクセスが必要な場合は、「 https:// mail.google.com/」と入力します。

   図 16: Google API ダッシュボード へのアクセス
   

9. [承認] をクリックします。

   メモ：

   [GMAIL API を有効にする] を有効にするには、管理コンソールに移動し、関連するプロジェクトの API Manager の下にあるダッシュボードで [API を有効にする] をクリックします。[GMAIL API] を選択し、[有効にする] をクリックします。

このセクションでは、ダッシュボードタブのダッシュボードコンポーネント(オペレーション、リサーチ、システム、コレクターダッシュボードタブ)について説明し、さまざまなビューと調整可能な統計および表示を操作する方法について説明します。

表6:ジュニパーATPアプライアンスダッシュボードのグラフィカルコンポーネント

Operations Filter	ドロップダウンメニューから使用可能なフィルタの1つを選択して、脅威ビューの結果をフィルタリングします。 すべて |新品のみ |Ack'd & In Progress |完了	ドロップダウンメニューから選択します。
Time Period (運用ダッシュボード、リサーチダッシュボード、システムダッシュボードコレクターダッシュボード、イベントタイムライン)	すべてのダッシュボードグラフは、テーブルの上部にあるドロップダウンメニューから選択した期間によって同期されます。期間オプションには次のものがあります。 過去 24 時間 先週です 先月 過去 3 か月 昨年	ドロップダウンメニューから選択します。
Reset Charts (Malware Dashboard と System Dashboard の両方)	ダッシュボード上のすべてのグラフを、選択した期間の元の状態にリセットします。	マウスクリック
Infected Hosts (運用ダッシュボード)	このバブルチャートは脅威ビューの中心であり、特定の期間に感染したすべてのホストを示します。1 つのバブルは、感染した 1 つのホストを表します。 グラフの x 軸は期間を表します。 y軸は、感染の決定された重症度を表します。 バブルの色は、次のスペクトルに沿ってホストで検出されたマルウェアの段階的な重大度を表します。 高(赤)、中(オレンジ)、低(黄) バブルのサイズは、ホストで検出されたマルウェアの総数を表します。	バブルの「ホスト」の上にマウスを置く 感染したホストのIPアドレスと名前、およびそのホストで見つかったマルウェアの総数を次の形式で表示します。 "IP/Name (X 脅威)" バブルの「ホスト」をマウスでクリック バブルが強調表示され、マルウェアターゲット、キルチェーン、インシデントサマリー、トリガーのデータを含むホストの詳細データが表示されます。 また、[マルウェアの傾向] グラフは、選択したホストがいつ侵害されたかを示すように調整されます。 また、侵害された上位エンドポイントのマルウェア データが表示されます。 バブルをダブルクリックして [インシデント] タブを開き、詳細と軽減オプションを表示します。
Host Details (運用ダッシュボード)	脅威ビューのバブルグラフで個々のバブルを選択すると、マルウェアのターゲット、キルチェーンステージの進行状況、インシデントの概要、トリガーのデータなど、そのホストのホストの詳細データが表示されます。 キルチェーンの進行には、よりインタラクティブなデータが含まれています。	マウスクリック: キルチェーンステージの進行で強調表示された青い結果をクリックすると、詳細情報が表示されます。 キルチェーン進行バブルをクリックすると、[インシデント]ページが開き、特定のエクスプロイト、ダウンロード、実行、感染、フィッシングのデータが表示されます。
Malware Trend (運用ダッシュボード)	特定の時間枠における特定のマルウェアのマルウェアの傾向を示します。	脅威ビューのバブルグラフでバブルを選択して、トレンドマルウェアのタイムラインを調整します。
Total Malware Found (研究ダッシュボード)	マルウェアの重大度の割合が高(赤)、中(オレンジ)、低(黄)を示す円グラフ	インタラクティビティなし
Top Malware Countries (研究ダッシュボード)	世界中で現在検出されているマルウェアの発生率を表示する地理的グラフ。	インシデントの詳細ページを開きます
Top Compromised Endpoints (運用ダッシュボード)	ステータス、リスク、ホスト、脅威を侵害されたエンドポイントごとに表示します。.	インタラクティビティなし
Top Malware (研究ダッシュボード)	選択した期間のマルウェア名別のマルウェアインシデントの上位セットを一覧表示します。 x軸は感染数を表します。Y 軸はマルウェア名です。	マウスクリック: [上位のマルウェア] グラフでマルウェア名を強調表示すると、エンドポイント ホストごとにそのマルウェアの脅威の進行状況が表示されます。脅威の進行には以下が含まれます。 感染 症 ダウンロード
Threat Progression (研究ダッシュボード)	マルウェアの選択ごとに感染とダウンロードのインタラクティブマップを表示します。 企業全体の連続したホストへのダウンロードを次の例に示します。	マウスクリック数: [感染] をクリックして、感染したエンドポイントの進行状況を表示します。 [ダウンロード(Downloads)] をクリックして、選択したマルウェアのダウンロードが発生したエンドポイント(IP アドレスで表示)を表示します。 エンドポイントの IP アドレスをクリックすると、そのエンドポイントのホストの詳細が表示されます。クリックすると、選択したエンドポイントの円の箇条書きがオレンジ色に変わります。
Threat Details (研究ダッシュボード)	現在選択されているマルウェアの一般化された脅威の詳細を表示します。ただし、脅威の進行状況マップからエンドポイントを選択すると、ホストの詳細を提供するようにディスプレイが調整されます。	マウスクリック: エンドポイントの IP アドレスをクリックすると、そのエンドポイントのホストの詳細が表示されます。クリックすると、選択したエンドポイントの円の箇条書きがオレンジ色に変わります。
Traffic (システムダッシュボード)	選択した期間内に処理された分析されたプロトコルトラフィックに対するネットワークトラフィックの合計を Kbps 単位で表示します。 x 軸は期間を月単位で表します。Y 軸は Kbps を示します。	マウスホバー: チャートの任意の部分にマウスを合わせます。マウスポインタが十字線に変わります:チャート内でマウスをドラッグして、3つのコンポーネントのそれぞれの間隔(X軸)を変更します。
Core Utilization (%) (システムダッシュボード)		マウスホバー: チャートの任意の部分にマウスを合わせます。マウスポインタが十字線に変わります:チャート内でマウスをドラッグして、3つのコンポーネントのそれぞれの間隔(X軸)を変更します。
Average Analysis Time (議事録)(システムダッシュボード)		マウスホバー: チャートの任意の部分にマウスを合わせます。マウスポインタが十字線に変わります:チャート内でマウスをドラッグして、3つのコンポーネントのそれぞれの間隔(X軸)を変更します。
Objects Processed (システムダッシュボード)	選択した期間内に処理されたネットワーク オブジェクトが表示されます。 x 軸は期間を月単位で表します。Y 軸はオブジェクトの数を示します。	マウスホバー: チャートの任意の部分にマウスを合わせます。マウスポインタが十字線に変わります:チャート内でマウスをドラッグして、3つのコンポーネントのそれぞれの間隔(X軸)を変更します。
Malware Objects (システムダッシュボード)	選択した期間内に処理された不正プログラムオブジェクトを表示します。 x 軸は期間を月単位で表します。Y 軸はオブジェクトの数を示します。	マウスホバー: チャートの任意の部分にマウスを合わせます。マウスポインタが十字線に変わります:チャート内でマウスをドラッグして、3つのコンポーネントのそれぞれの間隔(X軸)を変更します。
Trend (コレクターダッシュボード)	コレクターのアクティビティとトレンドの統計を表示します。 表示オプションは[トレンド]ドロップダウンメニューから選択され、合計トラフィック、CPU使用率、メモリ使用率、見つかったオブジェクト、マルウェアオブジェクトが含まれます	プロットの下にあるサマリーテーブルから追跡するコレクターを選択します。 値はコレクターごとに10分ごとに更新されます。 「プロット列」チェックボックスをクリックして、選択したコレクターのグラフィック情報をプロットします。
Vendor (イベントタイムラインダッシュボード)	セキュリティインフラストラクチャからベンダーを選択し、指定したエンドポイントIP、ホスト名、ユーザー名、または電子メールに関するすべての相関イベントを表示します。

[チャートのリセット] をクリックして、ダッシュボードを元の全ホスト、全脅威の状態にリセットします。

• [ファイルのアップロード]タブをクリックし、[分析用にファイルを送信]ウィンドウで、分析用にアップロードするファイルを選択し、[ファイルの送信]ボタンをクリックします。

  メモ：

  分析用にアップロードできる最大ファイル サイズは 32 MB です。

  図 20: [インシデント] タブ からのマルウェア分析用のファイルの送信

ファイルを送信すると、SHA1 が表示されます。

ファイルのアップロード機能は "file_submit" API を呼び出し、分析に続いて、API から返された結果を Central Manager Web UI の [ファイルのアップロード] タブに表示します。結果は、[インシデント] ページの表にも、キル チェーンの進行指定: UP とインシデント sha1sum およびファイル名と共に表示されます。

ファイルが HTTP API からマルウェア分析のためにコアに送信されるか、Central Manager の [ファイルのアップロード] ページを介して送信されるかに関係なく、分析結果は常に [ファイルのアップロード] ページに表示されます。

ネットワーク スイッチ SPAN/TAP では、次の 2 種類の vCollector 導入がサポートされています。

1. 物理スイッチから vCollector にスパンされるトラフィック。この場合、トラフィックはポート A からポート B にスパンされます。Juniper ATP Appliance vCollector OVAを含むESXiがポートBに接続されています。この展開シナリオを上の図に示します。

2. vCollector と同じ vSwitch 上にある仮想マシンからのトラフィック。この導入シナリオでは、vCollector を含む vSwitch がプロミスキャス モードであるため、デフォルトでは、作成されるすべてのポート グループもプロミスキャス モードになります。したがって、プロミスキャス モードのポートグループ A(vCollector)が vCollector に関連付けられ、ポートグループ B(vTraffic)がプロミスキャス モードではないトラフィックを表す 2 つのポート グループが推奨されます。

   メモ：

   vCollector と同じ vSwitch 上にない仮想マシンからのトラフィックはサポートされていません。また、vCollectorの導入には が必要です dedicated NIC adapter 。(すべてのトラフィックを収集するために)プロミスキャスモードでNICを仮想スイッチに接続します。vSwitch が無作為検出モードの場合、デフォルトではすべてのポートグループが無作為検出モードになり、他の通常の VM も不要なトラフィックを受信します。回避策は、他の VM 用に異なるポート グループを作成し、プロミスキャス モードなしで構成することです。

   ヒント：

   仮想コレクタ(通常およびスモール フォーム ファクタ コレクタ)の導入には、次の 2 つのオプションがあります。 (1) vCenter を使用した OVA インストール方法を使用します。(2) ESXi に直接インストールすることにより、vCenter なしで OVF + VMDK を使用します。2 番目の方法を使用して vCollector を展開するために使用できるウィザードはありません。CLI からコレクターを設定します。仮想コアのインストールでは、OVA/vCenter メソッドのみを使用できます。

次の表に、OVA vCollector の導入に必要なリソースとハードウェアのプロビジョニングの詳細を示します。

vCollector デプロイで使用できるサイズ設定オプションを以下に示します。

OVA vCollector をインストールした後、クイック スタート ガイドの手順に従って、Juniper ATP Appliance CLI および設定ウィザードを使用して Web または電子メールによる vCollector を設定します。

1. ジュニパーのサポート担当者が指定した場所から、VMware vCenterにアクセスできるデスクトップシステムにJuniper ATP Appliance OVAファイルをダウンロードします。必要に応じて vCenter の使用を回避するには、このセクションの最後にある TIP を参照してください。

2. vCenterに接続し、[ファイル]>[OVFテンプレートの展開]をクリックします。

3. [ダウンロード] ディレクトリを参照して OVA ファイルを選択し、[次へ] をクリックして [OVF テンプレートの詳細] ページを表示します。

4. [次へ] をクリックして、[使用許諾契約書] ページを表示して確認します。

5. EULA に同意し、[次へ] をクリックして [名前と場所] ページを表示します。

6. バーチャルコアのデフォルト名は、Juniper ATP Appliance Virtual Core Applianceです。必要に応じて、仮想コアの新しい名前を入力します。

7. 仮想コアを展開するデータ センターを選択し、[次へ] をクリックして [ホスト/クラスター] ページを表示します。

8. 仮想コアを配置するホスト/クラスターを選択し、[次へ] をクリックして [ストレージ] ページを表示します。

9. 仮想コア仮想マシン ファイルの保存先ファイル ストレージを選択し、[次へ] をクリックして [ディスク フォーマット] ページを表示します。デフォルトはTHIN PROVISION LAZY ZEROEDで、ストレージデバイスに512GBの空き容量が必要です。シンディスクプロビジョニングを使用して、最初にディスク領域を節約することもサポートされています。

   [次へ] をクリックして [ネットワーク マッピング] ページを表示します。

10. 仮想コア インターフェイスを設定します。

    • 管理(管理):このインターフェイスは、管理およびJuniper ATPアプライアンストラフィックコレクターとの通信に使用されます。CM 管理ネットワークの IP アドレスに接続できるポートグループに宛先ネットワークを割り当てます。

    • 次へ をクリックして、Juniper ATP Appliance のプロパティ ページを表示します。

11. IP割り当てポリシーは、DHCPまたは静的アドレス指定用に構成できます -- ジュニパーでは、静的アドレスの使用を推奨します。DHCP の手順については、ステップ 12 に進みます。[IP 割り当てポリシー] が [静的] の場合は、次の割り当てを実行します。

    • IP アドレス: 仮想コアの管理ネットワーク IP アドレスを割り当てます。

    • ネットマスク: 仮想コアのネットマスクを割り当てます。

    • ゲートウェイ: 仮想コアのゲートウェイを割り当てます。

    • DNS アドレス 1: 仮想コアのプライマリ DNS アドレスを割り当てます。

    • DNS アドレス 2: 仮想コアのセカンダリ DNS アドレスを割り当てます。

12. 仮想コアの検索ドメインとホスト名を入力します。

13. Juniper ATP Appliance vCore の設定を完了します。

    新しいジュニパーATPアプライアンスCLI管理者パスワード:CLIから仮想コアにアクセスするためのパスワードです。

14. Juniper ATP Appliance vCore の設定を完了します。

    • 新しいジュニパーATPアプライアンスCLI管理者パスワード:CLIから仮想コアにアクセスするためのパスワードです。

    • Juniper ATP Appliance Central Manager IPアドレス:仮想コアがスタンドアロン(クラスタリングが有効になっていない)またはプライマリ(クラスタリングが有効)の場合、IPアドレスは127.0.0.1です。仮想コアがセカンダリの場合、中央マネージャーの IP アドレスはプライマリの IP アドレスになります。

    • Juniper ATP Appliance Device Name:仮想コアの一意のデバイス名を入力します。

    • Juniper ATP Appliance デバイスの説明:仮想コアの説明を入力します。

    • Juniper ATP アプライアンス デバイス キー パスフレーズ: 仮想コアのパスフレーズを入力します。これは、コア/CM の中央マネージャーで構成されたパスフレーズと同じである必要があります。 [次へ] をクリックして [完了の準備完了] ページを表示します。

15. 最初に(次に)CPUとメモリの要件を変更する必要があるため、[展開後の電源オン]オプションをオンにしないでください(仮想コアモデルに応じて-500Mbpsまたは1Gbpsのいずれか;サイジング情報については、 OVA vCollectorサイジングオプション を参照してください)。

16. vCPUとメモリの数を設定するには、次の手順に従います。

    1. 仮想コアの電源をオフにします。

    2. 仮想コアを右クリックし、設定を編集>

    3. [ハードウェア] タブで [メモリ] を選択します。右側の[メモリサイズ]コンビネーションボックスに必要なメモリを入力します。

    4. [ハードウェア] タブで [CPU] を選択します。右側に必要な仮想CPUコンビネーションボックス数を入力します。[OK] をクリックして設定します。

17. CPU とメモリの予約を設定するには:

    1. CPU 予約の場合: 仮想コア> [設定の編集] を右クリックします。

    2. [リソース] タブを選択し、[CPU] を選択します。

    3. [予約] で、VM の保証された CPU 割り当てを指定します。これは、vCPU の数 * プロセッサ速度に基づいて計算できます。

    4. メモリ予約の場合: 仮想コアを右クリックし、> 設定を編集します。

    5. [リソース] タブで、[メモリ] を選択します。

    6. [予約] で、VM 用に予約するメモリの量を指定します。これは、サイジング ガイドで指定されたメモリと同じである必要があります。

18. ハイパースレッディングが有効になっている場合は、次の選択を実行します。

    1. 仮想コアを右クリックし、[設定の編集] >します。

    2. [リソース] タブで、[高度な CPU] で [HT 共有: なし] を選択します。

19. 仮想コア (仮想コア) の電源をオンにします。注: 後で参照できるように、許可リストルールは通常のサービスシャットダウンに依存してバックアップされます。VM または仮想コアを直接パワーオフすると、ルールを保存できないため、現在の許可リストの状態が失われます。

CLI にログインし、サーバ モードの「show uuid」コマンドを使用して UUID を取得します。ライセンスを受け取るには、Juniper ATP Applianceに送信します。

OVA を複製して別の仮想セカンダリ コアを作成する場合、Central Manager アプライアンス テーブルの列 "id" の値はデフォルトで同じです。管理者は、UUID を一意にリセットする必要があります。新しい仮想コア CLI コマンド "set id" を使用して、複製された仮想コアの UUID を CLI のコア モードからリセットできます。新しいコアモードの「set id」および「show id」コマンドを確認するには、 Juniper ATP Appliance CLIコマンドリファレンスを参照してください。

中央マネージャーの Web UI の [構成] >システム設定>システム設定] ページからアップグレードを構成すると、ソフトウェアおよびセキュリティー・コンテンツのアップグレードが自動的に行われます。

• 自動アップグレードを有効にするには、[システム設定]ページの[ソフトウェアアップデートが有効]および/または[コンテンツアップデートが有効]オプションをオンにします。

Juniper ATP Applianceのすべてのコンポーネントからの自動更新は、Juniper ATP Appliance Coreによって調整および実装されます。継続的な更新は定期的に行われます。

• コア ソフトウェアとコンテンツの更新プログラム (有効な場合) は、30 分ごとに利用可能な更新プログラムを確認し、新しいファイルをコレクターやセカンダリ コアにプッシュします。

• Core デトネーション エンジン イメージのアップグレード チェックは、毎日深夜に行われます。

• Juniper ATP Applianceは、その運用フットプリントを削減し続け、アップグレード、テレメトリ、コンテンツ更新、その他のサービスのために、広範な許可リスト外部IPアドレスのセットを必要としなくなりました。

• 特定のサービス用に以前に開いたファイアウォール ポートは、リリース アップグレードの完了後に閉じることができます。

• 最新のファイアウォールのほとんどは、ドメイン許可リストをサポートしていることに注意してください。

• お客様は、必要に応じて、HTTPS (ポート 443) で Core/CM デバイス* (コレクターではない) への送信アクセスのみを許可できます。この場合、ドメイン許可リストは必要ありません。

• *ジュニパーATPアプライアンスでは、サンドボックスのデトネーションでキルチェーンの相関関係を可能にするために、コア/CMアプライアンス(またはオールインワン)に対して自由なアウトバウンド通信を許可することを常に推奨しています。

• ポート443の包括的な許可リストを懸念するお客様は、許可リストをAmazon AWSとS3 CIDRのみに制限できますが、これはまだ非常に広い範囲のIPアドレスであることに注意してください。

リモートサポートアカウントは、UIまたはCLIから有効にできます。

UI からリモート サポート アカウントを有効にする

Web UIからサポートアカウントを有効にするには:

1. [構成] > [システム プロファイル] >リモート サポート) を選択します。

2. [リモート サポート] ページで、[ リモート サポートを有効にする ] オプションを選択します。

3. [期間] フィールドに、セッションの期間 (時間単位) を入力します。

4. [ サポートを有効にする] をクリックします。

   サポート・パスワードは、以下の2つの秘密鍵を使用して生成されます。

   • リモートサポートが有効になっている場合、ジュニパーサポートはATP Applianceデバイスから1つのキーを自動的に取得します。

   • もう1つの鍵はジュニパーネットワークスから提供されています。

   リモート サポートを有効にすると、UI が更新され、 図 22 に示すように新しい秘密鍵が表示されます。秘密鍵は、すべてのサポートセッションで一意です。

図 22: リモート サポート ウィンドウ

CLI からリモート サポート アカウントを有効にする

CLI からサポート アカウントを有効にするには:

1. T CLIにログインし、サーバーモードに入り、 set cysupport enable on コマンドを使用します。

2. リモート サポート期間を時間単位で入力します。

3. CLI から秘密鍵を取得する必要がある場合は、 show remote-access-key コマンドを使用します。

「recovery」という名前のユーザーは、パスワードなしでアプライアンスにログインし、管理者パスワードをリセットするコマンドを含む限られた量のコマンドを入力できます。

CLI を使用して管理者パスワードをリカバリーするには、次の手順を実行します。

1. ログインを求められたら、アプライアンスでユーザ名リカバリを入力し、Enter を押します。

   パスワードが不要なため、回復ユーザーはデバイスに自動的にログインします。

2. reset-admin-passwordパスワードをリセットするコマンドを入力します。

   回復ユーザーが使用できるその他のコマンドは、終了、ヘルプ、および履歴です。

監査ログで UI ユーザーを表示するだけでなく、Web UI の [レポート] で監査ログで管理者および復旧管理者の CLI ユーザーを表示することもできるようになりました。詳細については、 監査ログの表示 UI または CLI アクセス を参照してください。

UI 監査ログに加えて、コアおよびコレクターの CLI アクティビティ監査ログがあります。ログ データと共に、アクションが UI または CLI から実行されたかどうかを確認できます。 図 24 を参照してください。

また、通常モードまたはプライベート モードで実行されたソフトウェア更新、静的コンテンツ更新、および高速コンテンツ更新の監査ログを表示することもできます。 図 23 を参照してください。

これらのログは、ATP Appliance UIポータルの[レポート]タブおよびシステムログサーバー(以前のUI監査ログと同じ)で利用できます。

図 23: システム監査レポート の生成

図 24: 監査ログ