Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

ジュニパー ATP クラウドスクリプトをダウンロードして実行します

ジュニパー ATP Cloudは、Junos OS opスクリプトを使用して、ジュニパー ATP Cloud クラウドサービスに接続するようにSRXシリーズファイアウォールを設定するのに役立ちます。このスクリプトは、以下のタスクを実行します。

  • 認証機関(CA)証明書をダウンロードして、SRXシリーズファイアウォールにインストールします。

    Trusted Platform Module(TPM)ベースの証明書がSRXシリーズファイアウォールとジュニパー ATPクラウド間の接続に使用されるため、ポート8444と7444で junipersecurity.net ドメインへのトラフィックを許可する必要があります。お使いのSRXシリーズファイアウォールがTPM 2.0およびTPMベースの証明書をサポートしているかどうかを確認するには、 機能エクスプローラを参照してください。SRXシリーズファイアウォールでのTPMの使用の詳細については、 AAMWおよびSSL/TLS用のTPMベースの証明書を参照してください。

    新しく登録されたTPMベースおよび非TPMベースのデバイスでは、ポート443でのみ junipersecurity.net ドメインへのトラフィックを許可する必要があります。

  • ローカル証明書を作成し、これらの証明書をクラウドサーバーに登録します。

  • SRXシリーズファイアウォール上で基本的なジュニパーATPクラウド設定を実行します。

  • クラウドサーバーへの安全な接続を確立します。

ジュニパー ATP クラウドには、ルーティングエンジン(コントロールプレーン)とパケット転送エンジン(データプレーン)の両方がインターネットに接続できる必要があります。

データプレーン接続は、fxp0やlo0などの管理インターフェイスやループバックインターフェイスから発信しないでください。クラウドサーバーと通信するために、SRXシリーズファイアウォールでポートを開く必要はありません。ただし、ファイアウォールなど、真ん中にデバイスがある場合は、ポート443が開いている必要があります。

SRXシリーズファイアウォールは、デフォルトのinet.0ルーティングテーブルとinet.0のインターフェイス部分をソースインターフェイスとして使用し、SRXシリーズファイアウォールからジュニパーATPクラウドへのコントロールプレーン接続を行います。SRXシリーズファイアウォール上の唯一のインターネット向けインターフェイスがルーティングインスタンスの一部である場合は、ルーティングインスタンスを指す静的ルートを追加することをお勧めします。そうでないと、制御接続が確立できません。

ジュニパー ATP クラウドでは、SRXシリーズファイアウォールのホスト名に英数字(A-Z、0-9)、アンダースコア記号(_)、ダッシュ記号(-)のみが含まれている必要があります。

SRX300、SRX320、SRX340、SRX345、SRX380、SRX550シリーズファイアウォールの場合、opスクリプトを実行する前またはrequest services advanced-anti-malware enrollコマンドを実行する前に、set security forwarding-process enhanced-services-modeコマンドを実行し、デバイスを再起動する必要があります。

Junos OSリリース19.3R1以降、SRXシリーズファイアウォールで request services advanced-anti-malware enroll コマンドを使用して、デバイスをジュニパー ATP Cloud Webポータルに登録できます。このコマンドを使用すると、Webポータルで登録タスクを実行する必要はありません。すべての登録は、SRXシリーズファイアウォール上のCLIから行われます。 CLIを使用してSRXシリーズファイアウォールを登録するを参照してください。

ジュニパー ATP クラウド スクリプトをダウンロードして実行するには、次の手順に従います。

  1. Web UIで、 デバイスをクリックし 、 登録をクリックします。

    登録ウィンドウが表示されます。 図1をご覧ください。

    図1:SRXシリーズファイアウォールEnrollment commands for Juniper SRX Series devices into advanced anti-malware service. Command validity: 7 days. の登録
  2. 強調表示されたコンテンツをクリップボードにコピーし、[ OK]をクリックします。

    デバイスを登録すると、ジュニパー ATP クラウドはリクエストごとに固有の op スクリプトを生成します。 Enrollをクリックするたびに、opスクリプトでわずかに異なるパラメーターが表示されます。上のスクリーンショットはあくまでも一例です。

  3. このコマンドを、ジュニパー ATP クラウドに登録するSRXシリーズファイアウォールのJunos OS CLIに貼り付けます。 Enterを押します。画面は、TPM ベースおよび非 TPM ベースのデバイスのサンプル スクリプトのようになります。

    • TPM ベースのデバイス用のスクリプトの例:

      このスクリプトは、ジュニパー ATP クラウドとの接続を確保するために、以下の一連のチェックと設定を実行します。

      1. SRXシリーズファイアウォールがTPM対応プラットフォームかどうかを検出する

      2. Junos OSのバージョンがHTTPSエンドポイントをサポートしているかどうかを確認する

      3. デバイスタイプ(スタンドアロンまたはシャーシクラスター)を特定する

      4. SecIntel、AAMW、SSL、PKIでのジュニパーATPクラウド登録に関連する既存の設定をすべて削除します

      5. ローカル証明書とCAプロファイルを削除する

      6. AWSからのHTTPS接続を使用して証明書を設定およびロードする

      7. クラウドに接続して証明書を取得する

      8. ライセンスの詳細を確認する

      9. SSL暗号ハードウェアの設定を追加

      10. CAおよびデバイス証明書をダウンロードする

      11. SecIntelおよびAAMWクラウド証明書を読み込む

      12. 以前に削除した設定を復元します(SecIntel、AAMW、SSL、PKI)

      13. 変更をコミットし、設定を確認します(SSLプロファイル、TPM、AAMWプロファイル)

      すべての構成が検証されると、SRXシリーズファイアウォールがクラウドとの接続を確立します。デバイスが正常に登録されたことを示すメッセージが表示されます。

    • TPM ベース以外のデバイス用のスクリプト例:

      このスクリプトは、ジュニパー ATP クラウドとの接続を確保するために、以下の一連のチェックと設定を実行します。

      1. SRXシリーズファイアウォールがTPM対応プラットフォームかどうかを検出する

      2. Junos OSのバージョンがHTTPSエンドポイントをサポートしているかどうかを確認する

      3. デバイスタイプ(スタンドアロンまたはシャーシクラスター)を特定する

      4. SecIntel、AAMW、SSL、PKIでのジュニパーATPクラウド登録に関連する既存の設定をすべて削除します

      5. ローカル証明書とCAプロファイルを削除する

      6. AWSからのHTTPS接続を使用して証明書を設定およびロードする

      7. クラウドに接続して証明書を取得する

      8. ライセンスの詳細を確認する

      9. CAおよびデバイス証明書をダウンロードする

      10. SecIntelおよびAAMWクラウド証明書を読み込む

      11. 以前に削除した設定を復元します(SecIntel、AAMW、SSL、PKI)

      12. 変更をコミットし、設定を確認します(SSLプロファイル、TPM、AAMWプロファイル)

      すべての構成が検証されると、SRXシリーズファイアウォールがクラウドとの接続を確立します。デバイスが正常に登録されたことを示すメッセージが表示されます。

    何らかの理由でopsスクリプトが失敗した場合は、デバイスの登録を解除し(「 ジュニパー ATPクラウドからSRXシリーズファイアウォールを削除する」を参照)、再登録します。

  4. ジュニパー ATP クラウド Web ポータルで、[ デバイス] をクリックします。

    登録したSRXシリーズファイアウォールがテーブルに表示されます。 図2をご覧ください。

    図2:登録されたSRXシリーズファイアウォールDashboard interface for enrolled devices in a network management system listing host, realm, serial and model numbers, tier, last activity, and license expiration status.の例
  5. (オプション) show services advanced-anti-malware status SRXシリーズファイアウォールからクラウドサーバーに接続されていることを確認するためのCLIコマンド。出力は、TPM ベースおよび非 TPM ベースのデバイスのサンプル出力のようになります。

    • TPM ベースのデバイスの出力例:

    • TPM ベース以外のデバイスの出力例:

設定が完了すると、SRXシリーズファイアウォールは、セキュアなチャネル(TLS 1.2)を介して確立された複数の永続的な接続を介してクラウドと通信します。SRXシリーズファイアウォールは、SSLクライアント証明書を使用して認証されます。

前述のように、このスクリプトは、SRXシリーズファイアウォール上で基本的なジュニパーATPクラウド設定を実行します。これらの設定には以下が含まれます。

  • デフォルトプロファイルの作成

  • クラウドサーバーへの安全な接続を確立する。以下に例を示します。正確なURLは、お住まいの地域によって異なります。表 1 を参照してください。

    表1:カスタマーポータルURL

    場所

    カスタマーポータルURL

    米国

    カスタマーポータル: https://amer.sky.junipersecurity.net

    欧州連合

    カスタマーポータル: https://euapac.sky.junipersecurity.net

    APAC

    カスタマーポータル: https://apac.sky.junipersecurity.net

    カナダ

    カスタマーポータル: https://canada.sky.junipersecurity.net

    このURLはあくまでも例であり、場所によっては機能しません。

  • SSLプロキシを設定します。

  • クラウドフィード(許可リスト、ブロックリストなど)を設定します。

    • TPMベースのデバイス用に次のCLIコマンドを入力します。

    • TPMベース以外のデバイスに対して、以下のCLIコマンドを入力します。

ジュニパー ATP クラウドは、クライアントおよびサーバーの認証として SSL フォワード プロキシを使用します。SSLフォワードプロキシは、署名証明書とその発行者の証明書をクライアントブラウザのtrusted-caリストにインポートする代わりに、証明書チェーンを生成し、この証明書チェーンをクライアントに送信するようになりました。証明書チェイニングにより、クライアントがSSLフォワードプロキシ証明書を暗黙的に信頼できるようになるため、SSLフォワードプロキシの署名証明書をクライアントに配布する必要がなくなります。

以下のCLIコマンドは、ローカル証明書をPKIDキャッシュにロードし、証明書チェーンをPKIDのCA証明書キャッシュにロードします。

場所:

ssl_proxy_ca.crt (Signing certificate)

SSLフォワードプロキシ証明書は、管理者または中間CAによって署名されていますか。
sslserver.key

キーペアです。
ssl-inspect-ca

これは、SSLフォワードプロキシがSSLフォワードプロキシプロファイルでroot-caを設定する際に使用する証明書IDです。
certificate-chain

証明書のチェーンを含むファイルです。

PKIの制限により、SRXシリーズファイアウォールがFIPSモードになっている場合、SRXシリーズファイアウォールをジュニパーATPクラウドに登録することはできません。

証明書を確認するには、「 ジュニパー Advanced Threat Prevention Cloudのトラブルシューティング:証明書の確認」を参照してください。証明書に問題がある場合は、opスクリプトを再実行することをお勧めします。