Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

ジュニパー ATP クラウドスクリプトをダウンロードして実行します

ジュニパー ATP Cloudは、Junos OS opスクリプトを使用して、ジュニパー ATP Cloud クラウドサービスに接続するようにSRXシリーズファイアウォールを設定するのに役立ちます。このスクリプトは、以下のタスクを実行します。

  • 認証機関(CA)ライセンスをダウンロードして、SRXシリーズファイアウォールにインストールします。

    注:

    • Trusted Platform Module(TPM)ベースの証明書がSRXシリーズファイアウォールとジュニパー ATPクラウド間の接続に使用されるため、ポート8444と7444で junipersecurity.net ドメインへのトラフィックを許可する必要があります。ある機能が特定のプラットフォームまたは Junos OS リリースでサポートされているかどうかを確認するには、 機能エクスプローラーを参照してください。SRXシリーズファイアウォールでのTPMの使用の詳細については、 トラステッドプラットフォームモジュールの概要をご覧ください。

    • 新しく登録されたTPMおよび非TPMベースのデバイスの場合、ポート443でのみ junipersecurity.net ドメインへのトラフィックを許可する必要があります。

  • ローカル証明書を作成し、これらの証明書をクラウドサーバーに登録します

  • SRXシリーズファイアウォール上で基本的なジュニパーATPクラウド設定を実行します

  • クラウドサーバーへの安全な接続を確立します

注:

  • ジュニパー ATP クラウドには、ルーティングエンジン(コントロールプレーン)とパケット転送エンジン(データプレーン)の両方がインターネットに接続できる必要があります。

  • データプレーン接続は、fxp0やlo0などの管理インターフェイスやループバックインターフェイスから発信しないでください。クラウドサーバーと通信するために、SRXシリーズファイアウォールでポートを開く必要はありません。ただし、ファイアウォールなど、真ん中にデバイスがある場合は、ポート443が開いている必要があります。

  • SRXシリーズファイアウォールは、デフォルトのinet.0ルーティングテーブルとinet.0のインターフェイス部分をソースインターフェイスとして使用し、SRXシリーズファイアウォールからジュニパーATPクラウドへのコントロールプレーン接続を行います。SRXシリーズファイアウォール上の唯一のインターネット向けインターフェイスがルーティングインスタンスの一部である場合は、ルーティングインスタンスを指す静的ルートを追加することをお勧めします。そうでないと、制御接続が確立できません。

  • ジュニパー ATP クラウドでは、SRXシリーズファイアウォールのホスト名に英数字(A-Z、0-9)、アンダースコア記号(_)、ダッシュ記号(-)のみが含まれている必要があります。

SRX300、SRX320、SRX340、SRX345、SRX380、SRX550シリーズファイアウォールの場合、opスクリプトを実行する前またはrequest services advanced-anti-malware enrollコマンドを実行する前に、set security forwarding-process enhanced-services-modeコマンドを実行し、デバイスを再起動する必要があります。

ジュニパー ATP クラウド スクリプトをダウンロードして実行するには、次の手順に従います。

注:

リリース19.3R1以降Junos OS、SRXシリーズファイアウォールで request services advanced-anti-malware enroll コマンドを使用して、デバイスをジュニパー ATP Cloud Webポータルに登録できます。このコマンドを使用すると、Webポータルで登録タスクを実行する必要はありません。すべての登録は、SRXシリーズファイアウォール上のCLIから行われます。 CLIを使用してSRXシリーズファイアウォールを登録するを参照してください。
  1. Web UIで、デバイスをクリックし、登録をクリックします。

    登録ウィンドウが表示されます。 図1をご覧ください。

    図1:SRXシリーズファイアウォール Enrollment commands for Juniper SRX Series devices into advanced anti-malware service. Command validity: 7 days. の登録
  2. 強調表示されたコンテンツをクリップボードにコピーし、[OK]をクリックします。
    注:

    デバイスを登録すると、ジュニパー ATP クラウドはリクエストごとに固有の op スクリプトを生成します。 Enrollをクリックするたびに、opスクリプトでわずかに異なるパラメーターが表示されます。上のスクリーンショットはあくまでも一例です。上記の例をSRXシリーズファイアウォールにコピーしないでください。代わりに、Web UIから受け取った出力をコピーアンドペーストし、それを使用してSRXシリーズファイアウォールを登録します。
  3. このコマンドを、ジュニパー ATP クラウドに登録するSRXシリーズファイアウォールのJunos OS CLIに貼り付けます。Enterを押します。TPM ベースおよび非 TPM ベースのデバイスでは、画面は次のようになります。

    • TPMベースのデバイス用スクリプト:

      このスクリプトは、ジュニパー ATP クラウドとの接続を確保するために、以下の一連のチェックと設定を実行します。

      1. SRXシリーズファイアウォールがTPM対応プラットフォームかどうかを検出する

      2. Junos OSのバージョンがHTTPSエンドポイントをサポートしているかどうかを確認する

      3. デバイスタイプ(スタンドアロンまたはシャーシクラスター)を特定する

      4. SecIntel、AAMW、SSL、PKIでのジュニパーATPクラウド登録に関連する既存の設定をすべて削除します

      5. ローカル証明書とCAプロファイルを削除する

      6. AWSからのHTTPS接続を使用して証明書を設定およびロードする

      7. クラウドに接続して証明書を取得する

      8. ライセンスの詳細を確認する

      9. SSL暗号ハードウェアの設定を追加

      10. CAおよびデバイス証明書をダウンロードする

      11. SecIntelおよびAAMWクラウド証明書を読み込む

      12. 以前に削除した設定を復元します(SecIntel、AAMW、SSL、PKI)

      13. 変更をコミットし、設定を確認します(SSLプロファイル、TPM、AAMWプロファイル)

      すべての構成が検証されると、SRXシリーズファイアウォールがクラウドとの接続を確立します。デバイスが正常に登録されたことを示すメッセージが表示されます。

    • TPMベース以外のデバイス用のスクリプト:

      このスクリプトは、ジュニパー ATP クラウドとの接続を確保するために、以下の一連のチェックと設定を実行します。

      1. SRXシリーズファイアウォールがTPM対応プラットフォームかどうかを検出する

      2. Junos OSのバージョンがHTTPSエンドポイントをサポートしているかどうかを確認する

      3. デバイスタイプ(スタンドアロンまたはシャーシクラスター)を特定する

      4. SecIntel、AAMW、SSL、PKIでのジュニパーATPクラウド登録に関連する既存の設定をすべて削除します

      5. ローカル証明書とCAプロファイルを削除する

      6. AWSからのHTTPS接続を使用して証明書を設定およびロードする

      7. クラウドに接続して証明書を取得する

      8. ライセンスの詳細を確認する

      9. CAおよびデバイス証明書をダウンロードする

      10. SecIntelおよびAAMWクラウド証明書を読み込む

      11. 以前に削除した設定を復元します(SecIntel、AAMW、SSL、PKI)

      12. 変更をコミットし、設定を確認します(SSLプロファイル、TPM、AAMWプロファイル)

      すべての構成が検証されると、SRXシリーズファイアウォールがクラウドとの接続を確立します。デバイスが正常に登録されたことを示すメッセージが表示されます。

    注:

    何らかの理由でopsスクリプトが失敗した場合は、デバイスの登録を解除し(「 ジュニパー ATP クラウドから SRXシリーズファイアウォールを削除する」を参照)、再登録します。

  4. ジュニパー ATP クラウド Web ポータルで、[デバイス] をクリックします。

    登録したSRXシリーズファイアウォールがテーブルに表示されます。 図2をご覧ください。

    図2:登録されたSRXシリーズファイアウォールDashboard interface for enrolled devices in a network management system listing host, realm, serial and model numbers, tier, last activity, and license expiration status.の例
  5. (オプション)show services advanced-anti-malware statusSRXシリーズファイアウォールからクラウドサーバーに接続されていることを確認するためのCLIコマンド。出力は次のようになります。

設定が完了すると、SRXシリーズファイアウォールは、セキュアなチャネル(TLS 1.2)を介して確立された複数の永続的な接続を介してクラウドと通信します。SRXシリーズファイアウォールは、SSLクライアント証明書を使用して認証されます。

前述のように、このスクリプトは、SRXシリーズファイアウォール上で基本的なジュニパーATPクラウド設定を実行します。これらの設定には以下が含まれます。

注:

以下の例をコピーして、SRXシリーズファイアウォールで実行しないでください。ここのリストは、単に op スクリプトによって設定されているものを示すためのものです。証明書などの問題が発生した場合は、opスクリプトを再実行します。

  • デフォルトプロファイルの作成

  • クラウドサーバーへの安全な接続を確立する。以下に例を示します。正確なURLは、お住まいの地域によって異なります。表を参照してください。

    表1:カスタマーポータルURL

    場所

    カスタマーポータルURL

    米国

    カスタマーポータル: https://amer.sky.junipersecurity.net

    欧州連合

    カスタマーポータル: https://euapac.sky.junipersecurity.net

    APAC

    カスタマーポータル: https://apac.sky.junipersecurity.net

    カナダ

    カスタマーポータル: https://canada.sky.junipersecurity.net

  • SSLプロキシの設定

  • クラウドフィード(許可リスト、ブロックリストなど)の設定

ジュニパー ATP クラウドは、クライアントおよびサーバーの認証として SSL フォワード プロキシを使用します。SSLフォワードプロキシは、署名証明書とその発行者の証明書をクライアントブラウザのtrusted-caリストにインポートする代わりに、証明書チェーンを生成し、この証明書チェーンをクライアントに送信するようになりました。証明書チェイニングにより、クライアントがSSLフォワードプロキシ証明書を暗黙的に信頼できるようになるため、SSLフォワードプロキシの署名証明書をクライアントに配布する必要がなくなります。

以下のCLIコマンドは、ローカル証明書をPKIDキャッシュにロードし、証明書チェーンをPKIDのCA証明書キャッシュにロードします。

どこ：

ssl_proxy_ca.crt (Signing certificate)

SSLフォワードプロキシ証明書は、管理者または中間CAによって署名されていますか。
sslserver.key

キーペアです。
ssl-inspect-ca

これは、SSLフォワードプロキシがSSLフォワードプロキシプロファイルでroot-caを設定する際に使用する証明書IDです。
certificate-chain

証明書のチェーンを含むファイルです。

以下は、opスクリプトで使用されるSSLフォワードプロキシ証明書チェイニングの例です。

PKIの制限により、SRXシリーズファイアウォールがFIPSモードになっている場合、SRXシリーズファイアウォールをジュニパーATPクラウドに登録することはできません。

証明書を確認するには、「 ジュニパー Advanced Threat Prevention Cloudのトラブルシューティング:証明書の確認」を参照してください。証明書に問題がある場合は、opスクリプトを再実行することをお勧めします。