McAfee Active Response インストール ガイド

Transcription

1 McAfee Active Response インストールガイド

2 著作権 Copyright 2018 McAfee LLC 商標帰属 McAfee および McAfee ロゴ McAfee Active Protection epolicy Orchestrator McAfee epo Foundstone McAfee LiveSafe McAfee QuickClean McAfee SECURE SecureOS McAfee Shredder SiteAdvisor McAfee Stinger TrustedSource VirusScan は McAfee LLC または米国およびその他各国の支社の商標です その他の商標およびブランドはその他に属する所有権として申し立てることができます 使用許諾に関する情報 使用許諾契約全ユーザーへの注意事項 : 購入された使用許諾に対応する適切な法的取り決めを熟読してください これには使用許諾を受けたソフトウェアの使用に関する一般取引条件が明記されています 獲得した使用許諾の種類が不明な場合は セールスおよびその他関連するライセンス許諾に問い合わせるか ソフトウェアに付属の発注書 または購入時に別途受領した文書 ( パンフレット 製品 CD ファイル ソフトウェアパッケージをダウンロードしたウェブサイトから入手可能なファイル ) を参照してください 取り決めに明記された条件に同意できない場合は ソフトウェアをインストールしないでください 該当する場合 MCAFEE または購入店に製品を返却し 全額返金を請求できます 2 McAfee Active Response インストールガイド

3 目次 1 インストールの概要 5 必要なインストールタイプ 初回インストールのワークフロー アップグレードインストールのワークフロー システム要件 9 サーバーとクライアントの要件 必要なネットワークポート インストール前の作業 13 拡張ファイルをダウンロードする McAfee epo アップロードサイズの上限を増やす ソフトウェアを初めてインストールする 15 Active Response 拡張ファイルをインストールする Active Response サーバーのインストール Active Response DXL TIE サーバーを配備する ( 手動 ) Active Response DXL TIE サーバーを配備する ( 自動 ) Active Response クライアントをインストールする 新しいソフトウェアバージョンにアップグレードする 29 Active Response のアップグレード Active Response 拡張ファイルをアップグレードする Active Response サーバーをアップグレードする クライアントをアップグレードする コンテンツパッケージをアップグレードする 追跡ルールのコンテンツパッケージをアップグレードする インストール後の作業 35 Active Response 正常性ステータスの確認 McAfee Cloud アカウントを作成する クラウドストレージの場所の変更 DXL ブローカー拡張機能の設定 McAfee epo プロキシサーバーを設定する ( オプション ) アグリゲーターをインストールする ( オプション ) 複数の McAfee epo サーバーを設定する カスタムカタログコンテンツをエクスポートする DXL ブローカーを設定して複数の McAfee epo サーバーを接続する ブリッジと非ブリッジ環境での McAfee epo サーバーの設定例 McAfee Advanced Threat Defense の設定 McAfee Advanced Threat Defense サーバーと Active Response を設定する TIE サーバーに McAfee Advanced Threat Defense を設定する McAfee Active Response インストールガイド 3

4 目次 7 インストールに関するトラブルシューティング 47 コンテンツルールをロールバックする インストールのエラーメッセージ ソフトウェアを削除する 49 Active Response クライアントをアンインストールする Active Response 拡張ファイルを削除する McAfee Active Response インストールガイド

5 1 1 インストールの概要 目次必要なインストールタイプ初回インストールのワークフローアップグレードインストールのワークフロー 必要なインストールタイプ McAfee Active Response は 1 台または複数の統合アプライアンスにインストールし Active Response McAfee Data Exchange Layer (DXL) McAfee Threat Intelligence Exchange (TIE) などの複数のサービスをホスティングできます また ソフトウェアのアップグレードも可能です McAfee Active Response インストールガイド 5

6 1 インストールの概要初回インストールのワークフロー 初回インストールのワークフロー Active Response をインストールするには 拡張ファイル コンポーネント クライアントパッケージを所定の順番でインストールする必要があります Active Response TIE DXL サーバーは 1 台のアプライアンスに共存可能です これらのサービスは同じアプライアンス上で一緒に実行でき 統合プラットフォームも使用できるので サーバーのメンテナンス作業を軽減できます 関連トピック : 15 ページの Active Response 拡張ファイルをインストールする 17 ページの Active Response サーバーのインストール 27 ページの Active Response クライアントをインストールする 6 McAfee Active Response インストールガイド

7 インストールの概要アップグレードインストールのワークフロー 1 アップグレードインストールのワークフロー Active Response を新しいバージョンにアップグレードするときに パッケージに更新が含まれているコンポーネントだけがアップグレードされます アップグレードを行う前に Active Response カタログからカスタムコレクター リアクション トリガー 検索をエクスポートします 関連トピック : 29 ページの Active Response のアップグレード McAfee Active Response インストールガイド 7

8 1 インストールの概要アップグレードインストールのワークフロー 8 McAfee Active Response インストールガイド

9 2 システム要件 目次 サーバーとクライアントの要件 必要なネットワークポート サーバーとクライアントの要件 環境がすべての要件を満たし 管理者権限があることを確認してください McAfee Active Response でサポートされるコンポーネント プラットフォーム 環境 オペレーティングシステムの詳細については KB84473 を参照してください サーバーの最小要件 Active Response DXL TIE などの複数のサービスをホスティングするように単一の統合サーバーを設定できます フェールオーバー構成の場合 複数のサーバーをバックアップサーバーとして配備し 処理能力を強化できます サーバーは物理サーバーまたは仮想マシンにインストールできます 小規模な環境では 単一のアプライアンスですべてのサーバーを同時に実行できます 最小 要件 McAfee Linux Operating System (MLOS) バージョン プロセッサー メモリー MLOS バージョン 2 MLOS パッケージの詳細については を参照してください 1 CPU 8 コア 16 GB RAM ハードドライブ 150 GB の SSD ISO 強化 はい はい Meltdown 更新が適用されているシステムの場合 推奨手順が異なります KB90333 で最新の情報を確認してください McAfee Active Response インストールガイド 9

10 2 システム要件必要なネットワークポート エンドポイントクライアントの最小要件 製品 Windows Linux macos McAfee epo McAfee Agent (< RS2) (RS2/RS3) (El Capitan Sierra) (High Sierra) Data Exchange Layer Endpoint Security Threat Prevention と Threat Intelligence モジュール Endpoint Security と Adaptive Threat Protection HF3 (< RS2) (RS2/RS3) (< RS2) (RS2) (RS3)* HF HF ** *** Microsoft Windows 10 ( バージョン 1607) - Anniversary Update (Redstone 1 [RS1]) Microsoft Windows 10 ( バージョン 1703) - Creators Update (Redstone 2 [RS2]) Microsoft Windows 10 ( バージョン 1709) - Fall Creators Update (Redstone 3 [RS3]) Microsoft Windows 10 ( バージョン 1803) - Spring Creators Update (Redstone 4 [RS4]) * Redstone 3 エンドポイントがある場合 McAfee Endpoint Security クライアントバンドルをインストールする前に Active Response を [ マスターリポジトリ ] にチェックインする必要があります ** McAfee Endpoint Security をインストールする前に Linux エンドポイントに Active Response をインストールしてください *** Endpoint Security をインストールする前に Active Response for macos をインストールしてください エンドポイントに Endpoint Security または McAfee VirusScan Enterprise がインストールされていない場合 適切なバージョンの Endpoint Security モジュールが Active Response と一緒に自動的にインストールされます サポートされていないバージョンの Endpoint Security がエンドポイントにインストールされている場合は エンドポイントのモジュールをサポート対象バージョンにアップグレードしてください 必要なネットワークポート Active Response は 特定のポートを使用して McAfee Agent Active Response クライアント Active Response サーバーに接続します ネットワークの設定で これらのポートでの Active Response サーバーとクライアントへのアクセスがブロックされないようにしてください TIE サーバーが使用するデフォルトポートについては McAfee Threat Intelligence Exchange インストールガイド を参照してください McAfee epo の各コンポーネントで必要なデフォルトポートの詳細については KB66797 を参照してください 10 McAfee Active Response インストールガイド

11 システム要件必要なネットワークポート 2 表 2-1 サーバーポート ポート番号 用途 受信接続 送信接続 8443 McAfee epo 拡張ファイルを Active Response サーバーに接続します はい はい 8883 外部の DXL ブローカーと DXL クライアントをサーバーに接続します はい はい 8081 McAfee Agent を McAfee epo サーバーに接続します はい はい 22 リモートから SSH 経由で接続し メンテナンスタスクを実行します はい はい 123 UDP ネットワークタイムプロトコル はい はい 表 2-2 クライアントポート ポート番号 用途 受信接続 送信接続 8081 McAfee Agent を McAfee epo サーバーに接続します はい はい 8883 DXL クライアントを DXL ブローカーに接続します はい はい McAfee Active Response インストールガイド 11

12 2 システム要件必要なネットワークポート 12 McAfee Active Response インストールガイド

13 3 インストール前の作業 目次 拡張ファイルをダウンロードする McAfee epo アップロードサイズの上限を増やす 拡張ファイルをダウンロードする 必要な拡張ファイルとパッケージは McAfee ダウンロードサイトで入手できます 開始する前に製品購入後に受信した承認番号が必要です McAfee epo の [ ソフトウェアマネージャー ] または [ ソフトウェアカタログ ] (McAfee epo 5.10) からソフトウェアをダウンロードし インストールすることもできます この機能を使用するには [ メニュー ] [ ソフトウェア ] [ ソフトウェアマネージャー ( ソフトウェアカタログ )] の順に移動します タスク 1 Web ブラウザーで に移動します 2 [ ダウンロード ] をクリックします 承認番号を入力して 製品とバージョンを選択します 3 [ ソフトウェアのダウンロード ] タブで 必要なファイルを選択して保存します ファイルの説明 Active Response 拡張ファイル Active Response のサーバーパッケージ サーバー配備パッケージ ファイル名 Active_Response_MAR_2.4.0_Build_number_(ENU-RELEASE-MAIN).zip ActiveResponseServer Build_number.zip ServerDeployment_2.3.0_Build_number Package #number (ENU-LICENSED-RELEASE-MAIN).zip McAfee epo アップロードサイズの上限を増やす Active Response サーバーパッケージをインストールするには McAfee epo サーバーのプロパティで アップロードサイズの上限を増やす必要があります この更新は パッケージの手動チェックインでのみ必要です この更新を行った場合 McAfee epo サーバーの再起動が必要です 再起動プロセスの実行中 ユーザーがアクセスできなくなります McAfee Active Response インストールガイド 13

14 3 インストール前の作業 McAfee epo アップロードサイズの上限を増やす タスク 1 管理者として McAfee epo にログオンします 2 C:\Program Files (x86)\mcafee\epolicy Orchestrator\Server\conf\orion に移動します 3 orion.properties ファイルを右クリックして テキストエディターで編集します 4 ファイル内の orion.upload.max.size を探し 値を に変更してファイルを保存します 5 仮想マシンまたは物理サーバーの McAfee epo サーバーアプリケーションを再起動します 再起動プロセスの実行中 ユーザーは McAfee epo サービスにアクセスできなくなります Active Response サーバーパッケージをチェックインできます 14 McAfee Active Response インストールガイド

15 4 4 ソフトウェアを初めてインストールする 目次 Active Response 拡張ファイルをインストールする Active Response サーバーのインストール Active Response クライアントをインストールする Active Response 拡張ファイルをインストールする Active Response を使用して脅威の検出と修復を行うには 最初に Active Response 拡張ファイルと関連コンポーネントを McAfee epo にインストールする必要があります 開始する前に Active Response のシステム要件を満たしていることを確認します McAfee Agent がインストールされ Endpoint Security が [ マスターリポジトリ ] にチェックインされ エンドポイントにインストールされていることを確認します Active Response DXL ブローカー TIE サーバーの仮想マシンを準備します 手順については それぞれのインストールガイドを参照してください 手動チェックインの場合 McAfee epo Orion プロパティでアップロードファイルサイズの上限を引き上げます ファイルサイズの上限引き上げは パッケージを手動でチェックインする場合にのみ必要です この更新を行った場合 McAfee epo サーバーの再起動が必要です 再起動プロセスの実行中 ユーザーがアクセスできなくなります ただし ソフトウェアカタログ経由で拡張ファイルをインストールする場合は McAfee epo サーバーの再起動は不要です タスク 1 管理者として McAfee epo にログオンします 2 DXL ブローカーとクライアントの拡張ファイルをインストールします 手順については 製品のインストールガイドを参照してください McAfee Active Response インストールガイド 15

16 4 ソフトウェアを初めてインストールする Active Response 拡張ファイルをインストールする 3 TIE サーバー管理拡張ファイルをインストールします 手順については 製品のインストールガイドを参照して ください TIE サーバーと Active Response サーバーを初めてインストールする場合には TIE サーバーを先にインストールしてください エンドポイントで追跡を有効にする数日前に 環境内で TIE サーバーを実行してください 1 不審なアクティビティがなく 大半のエンドポイントで実行されて普及度が高いファイルは レピュテーションが最終的に [ 信頼できる可能性がある ] に設定されます これらのファイルのレピュテーションは Active Response ワークスペースで変更する必要はありません 2 TIE が実行中のプロセスの調査を開始し 潜在的な脅威を確認する前に Active Response レピュテーションデータベースを調整し 会社所有のファイルと証明書のレピュテーションを設定することができます レピュテーションが不明な脅威を管理する方法については Knowledge Base の記事 KB90344 を参照してください 4 Active Response バージョン 5.10 に McAfee epo 拡張ファイルをインストールする : a 製品を自動的にインストールするには [ メニュー ] [ ソフトウエア ] [ ソフトウェアカタログ ] の順に選択します McAfee epo のインストール時に [ 製品の自動インストール ] を有効にした場合は ライセンスのある製品が自動的にインストールされます b c [ ソフトウェアカタログ ] ページで 必要な製品パッケージを検索します 必要な製品パッケージを選択して使用許諾条件に同意し [ チェックイン ] をクリックしてパッケージをインストールします 5 McAfee epo 5.10 以前に拡張ファイルを手動でチェックインしてインストールするには : [ メニュー ] [ ソフトウェア ] [ 拡張ファイル ] の順に選択し 拡張ファイルを選択して [ 拡張ファイルのインストール ] をクリックします 手動チェックインの場合 互換性の問題を回避するため 次の順番でバンドルをインストールします a b c d e f g DXL ブローカー管理拡張ファイル TIE サーバー管理拡張ファイル Active Response 拡張ファイル DXL クライアント拡張ファイル Active Response ワークスペース拡張ファイル Active Response クライアント拡張ファイルサーバー配備拡張ファイル サーバー配備拡張ファイルは VMware で自動配備を設定する場合に使用します 6 拡張ファイルが正しくインストールされていることを確認するには [Active Response 正常性ステータス ] ページに移動します Active Response DXL TIE の状態が緑色で表示されます インストールエラーについては [ 脅威イベントログ ] を参照してください 16 McAfee Active Response インストールガイド

17 ソフトウェアを初めてインストールする Active Response サーバーのインストール 4 Active Response サーバーのインストール Active Response サーバーは ISO イメージまたは OVA 仮想アプライアンスとして提供され McAfee Linux Operating System (MLOS) バージョン 2 インスタンスがパッケージに含まれています ISO パッケージは ベアメタルサーバーや他の仮想インフラに配備できます OVA パッケージは VMware にのみ配備できます CPU RAM ディスクなどのリソースが事前に設定されるため VMware には ISO パッケージでなく OVA パッケージを使用してください TIE サーバーは VMware 用に最適化された OVA アプライアンスとして配布されます あるいは 互換性のあるハードウェアまたは他の仮想化技術で使用される ISO イメージとして配布されます ISO パッケージを使用する場合 電源オン時に仮想マシンを有効にすると Active Response MLOS のインストールとサーバーのインストールが自動的に開始します すべてのベースオペレーティングシステムのパッケージがインストールされます VM との対話なしで Bash セージ ディスクのパーティション分割が実行されます インストールが完了すると VM がオフになります ISO を削除できます 複雑なインフラの場合は 複数のサーバーにパッケージを設定し 配備できます TIE の配備方法については McAfee Threat Intelligence Exchange サイジングおよびパフォーマンスガイド を参照してください 関連トピック : 13 ページの McAfee epo アップロードサイズの上限を増やす 17 ページの Active Response DXL TIE サーバーを配備する ( 手動 ) 25 ページの Active Response DXL TIE サーバーを配備する ( 自動 ) Active Response DXL TIE サーバーを配備する ( 手動 ) 1 つのアプライアンスに Active Response サーバー Data Exchange Layer ブローカー TIE サーバーをインストールし 設定します 開始する前に 次の拡張ファイルがインストールされていることを確認します DXL ブローカー管理拡張ファイル DXL クライアント管理拡張ファイル TIE サーバー管理拡張ファイル Active Response ワークスペース拡張ファイル Active Response 拡張ファイル Active Response クライアント拡張ファイル DXL クライアント拡張ファイル サーバー配備拡張ファイル - この拡張ファイルは 不在時に自動配備する場合に必要になります DXL ブローカーサーバーと TIE サーバーがインストールされたことを確認します 手順については それぞれのインストールガイドを参照してください DXL と TIE を同じサーバーにインストールする場合 この手順はオプションです TIE の配備の詳細については McAfee Threat Intelligence Exchange サイジングおよびパフォーマンスガイド を参照してください OVA アプライアンスを配備する前に サーバーと同じバージョンのサーバー拡張ファイルが正しくインストールされていることを確認してください root パスワードを安全な場所に保管します McAfee Active Response インストールガイド 17

18 4 ソフトウェアを初めてインストールする Active Response サーバーのインストール サポートされるプラットフォーム 環境 オペレーティングシステムの詳細については と KB84473 を参照してください サーバーアプライアンスは ISO ファイルまたは OVA を使用してインストールできます オプションを選択します OVA は Active Response サーバーのインストール要件を満たしています タスク 1 [ ソフトウェアマネージャー ] (McAfee epo 5.10 の場合は [ ソフトウェアカタログ ]) または McAfee ダウンロードサイトからサーバーアプライアンスの OVA コンポーネントをダウンロードします.zip ファイルを展開します OVA コンポーネントと ISO ファイルは [ ソフトウェアマネージャー ] または McAfee ダウンロードサイトから入手できます 2 VMware vsphere クライアントを開き [ ファイル ] [OVF テンプレートのデプロイ ] の順にクリックします コンピューターで *.ova ファイルを選択します (* は ova ファイルの名前 ) [ 次へ ] をクリックし ウィザードに従って操作します ウィザードを完了したら 仮想マシンを起動して [ コンソール ] ウィンドウを開きます 18 McAfee Active Response インストールガイド

19 ソフトウェアを初めてインストールする Active Response サーバーのインストール 4 3 使用許諾条件を確認して同意します 次のページを表示するには C を押します 最後のページに移動するには [E] (End) を押します Y を押して使用許諾条件に同意し 続行します McAfee Active Response インストールガイド 19

20 4 ソフトウェアを初めてインストールする Active Response サーバーのインストール 4 新しいサーバーアプライアンスの root パスワードを作成します パスワードは 9 文字以上にしてください パスワードは安全な場所に保管してください Y を押して続行します 5 Tab キーでフィールドを移動して 操作を行うアカウント名 実名 パスワードを入力します 完了したら Y を押して続行します アカウント名は jsmith のような名前で サーバーやマネージドサービスにログオンするときに使用します 実 名はユーザーのフルネームです ( 例 : John Smith) 20 McAfee Active Response インストールガイド

21 ソフトウェアを初めてインストールする Active Response サーバーのインストール 4 6 [ ネットワークの選択 ] ページで N を押して続行します 7 設定のタイプを選択して Y を押し 続行します 手動 IP アドレス - M を押して 残りの情報を入力します DHCP - D を押します McAfee Active Response インストールガイド 21

22 4 ソフトウェアを初めてインストールする Active Response サーバーのインストール 8 新しいサーバーアプライアンスをインストールするコンピューターのホスト名とドメイン名を入力します Y を押して続行します 9 新しいサーバーの時間同期に使用するネットワークタイププロトコルサーバーを入力します (3 つまで入力可能 ) 表示されたデフォルトのサーバーを使用するか サーバーのアドレスを入力します (3 つまで入力可能 ) ネットワークから URL にアクセスできるかどうかネットワークチームに確認します また 内部または外部に NTP サーバーを用意することもできます NTP サーバーが同期していないと DXL と TIE のハンドシェイクがすぐに完了しません Y を押して続行します 22 McAfee Active Response インストールガイド

23 ソフトウェアを初めてインストールする Active Response サーバーのインストール 4 10 McAfee epo サーバーの IP アドレスまたは完全主修飾ドメイン名 ポート アカウント情報を入力します ユーザーアカウントには管理者権限が必要です Y を押して続行します 続行する前に McAfee epo の証明書フィンガープリントが本物かどうか検証します ブラウザーで McAfee epo に移動し インストール画面に表示されたフィンガープリントと一致しているかどうか確認します 一致している場合 Y を押して続行します Windows の場合 Internet Explorer と Chrome は 組み込みの SHA-1 サムプリントを使用して証明書情報を表示します Firefox は独自のクロスプラットフォームを実装し 証明書の SHA-256 フィンガープリントを表示します 11 新しいサーバーで実行するサービスを選択します TIE 以前のバージョンからアップグレードする場合は McAfee epo から Active Response サーバーを配備する必要があります Y を押して続行します McAfee Active Response インストールガイド 23

24 4 ソフトウェアを初めてインストールする Active Response サーバーのインストール 12 DXL ブローカーのポートを設定し Y を押して続行します 13 インストールが正常に完了したことを確認します すべてのコンポーネントが正常にインストールされたら続行します それ以外の場合には 推奨事項に従って問題を解決します 24 McAfee Active Response インストールガイド

25 ソフトウェアを初めてインストールする Active Response サーバーのインストール 4 14 ログオン画面が表示されたら 画面を閉じます 15 新しいサーバーがプロビジョニングされたことを確認します McAfee epo で [ メニュー ] [ システムツリー ] [ ユーザーの組織 ] [ プリセット ] [ このグループとすべてのサブグループ ] の順に選択し サーバーアプライアンスがインストールされているドメインを確認します 16 McAfee epo で 登録済みのサーバーが管理対象システムとして正しくプロビジョニングされていることを確認します [ メニュー ] [ 設定 ] [ 登録済みのサーバー ] の順に選択します 17 Active Response サーバーがインストールされ 正常に機能していることを確認します a b 管理者として McAfee epo にログオンして Active Response の正常性ステータスページを開き Active Response TIE DXL のステータスが緑色になっていることを確認します [Active Response カタログ ] に組み込みコレクターが表示されていることを確認します 表示されていれば Active Response サーバーが McAfee epo サーバーと通信を行っています インストールした製品によって アプライアンスに MARSERVER DXLBROKER または TIESERVER というタグが表示されます モニタリングに McAfee epo の自動応答を設定する方法については TIE サーバーの正常性をモニタリングする を参照してください Active Response DXL TIE サーバーを配備する ( 自動 ) 1 台のサーバーに Active Response TIE DXL サービスをホスティングできます 開始する前に 次の拡張ファイルがインストールされていることを確認します DXL ブローカー管理拡張ファイル DXL クライアント管理 TIE サーバー管理拡張ファイル Active Response ワークスペース拡張ファイル Active Response 拡張ファイル Active Response クライアント拡張ファイル DXL クライアント拡張ファイル サーバー配備拡張ファイル - この拡張ファイルはオプションです 自動配備の場合にのみ必要です McAfee Active Response インストールガイド 25

26 4 ソフトウェアを初めてインストールする Active Response サーバーのインストール VMware の構成が必要な条件を満たしていることを確認します VMware ユーザーに次の権限が必要です 空間の割り当て 高度な設定へのアクセス ネットワークの割り当て インポート 新しいディスクの追加 VMware クラスターまたはホストに アプライアンス要件 (8 CPU コア 16-GB RAM) を満たすリソースが必要です VMware データストアには 200 GB 以上の使用可能な容量が必要です VMware ネットワークには タグ付けの必要がない未割り当てのアドレスが必要です (DHCP を使用する場合 ) VMware フォルダーが存在する必要があります VMware 仮想マシン名は まだ存在せず VMware の要件を満たしている必要があります 複数の TIE サーバーが存在する環境の場合 Active Response サーバーは常にプライマリデータベースに接続します 複雑な仮想環境の場合 Active Response サーバーをセカンダリデータベースに配備します セカンダリサーバー ( または [ レポーティングモードのセカンダリ ]) として動作する TIE サーバーに Active Response を配備する場合 Active Response が TIE サーバーのプライマリデータベースにアクセスするため プライマリ TIE サーバー ([ 書き込み専用モードのプライマリ ]) が稼動し 実行されている必要があります Active Response は [ プライマリ ] [ セカンダリ ] [ レポーティングモードのセカンダリ ] で動作している TIE サーバーで実行できます レポーティングモードのセカンダリではレピュレーション要求が処理されないため このモードで動作する TIE サーバーに Active Response を配備することをおすすめします TIE レピュテーションキャッシュモードへの Active Response の配備はサポートされません タスク 1 管理者として McAfee epo にログオンします 2 [ メニュー ] [ 自動処理 ] [ サーバーの配備 ] の順に選択します 3 [ サーバーの配備 ] ページで VMware vcenter のアクセス URL と認証情報を入力します 4 [ 証明書の検証 ] をクリックして画面の指示に従い フィンガープリントが vsphere Web クライアントのフィンガープリントと一致しているかどうか確認します このチェックボックスは アクセス URL が HTTPS で始まる場合に表示されます アクセス URL が HTTP で始まる場合 [ セキュアでない接続を許可する (http)] オプションが表示されます [ セキュアでない接続を許可する (http)] を選択して この IP アドレスに接続する場合は ユーザーのリスクで行ってください 5 データセンター クラスター データストア ネットワークの名前など VMware vcenter インフラの詳細情報 を入力します [ フォルダー ] フィールドと [ 仮想マシン名 ] フィールドにはデフォルト値が設定されています デフォルトの項目は必要に応じて変更できます ただし 名前が一意で フォルダーが存在することを確認してください 26 McAfee Active Response インストールガイド

27 ソフトウェアを初めてインストールする Active Response クライアントをインストールする 4 6 McAfee epo の認証情報を入力します [ ホスト名 ] [ ポート ] [ ウェークアップポート ] フィールドには自動的に値が挿入されます 7 [ 証明書の検証 ] をクリックして画面の指示に従い フィンガープリントが McAfee epo のフィンガープリントと 一致しているかどうか確認します 8 サービスを配備する新しいサーバーに root パスワード ユーザー名 パスワードを作成します 9 新しいホスト名とサービスの配備に使用するサーバーネットワークのドメイン名を入力します デフォルトでは モードが DHCP に設定されます [NTP] フィールドと [DXL ポート ] フィールドにも値が挿入されます DXL サービスオプションを選択すると [DXL ポート ] フィールドが表示されます 10 サーバーに配備するサービスの横にあるチェックボックスを選択します デフォルトでは TIE と DXL チェックボックスが選択されています Active Response サービスを配備するには [MAR] を選択します [MAR] を選択すると Active Response と TIE の両方のサービスがサーバーに配備されます このため [TIE] オプションが無効になります 11 使用許諾条件に同意し [ 配備 ] をクリックします 12 [ ここで サーバーの正常性ステータスを確認してください ] リンクをクリックして Active Response 正常性ステータスのページを開き Active Response TIE DXL のステータスが緑色になっていることを確認します 各サービスのステータスが緑色になるまでに 5 分 ~ 30 分ほどかかります Active Response クライアントをインストールする Active Response クライアントはエンドポイントにインストールされ エンドポイントの潜在的な脅威を Active Response サーバーに通知し サーバーに設定されたアクションに基づいて脅威を修復します 開始する前に すべての Active Response エンドポイントクライアントが最小要件を満たしていることを確認します エンドポイントから McAfee VirusScan Enterprise を削除します 削除しないと インストールに失敗します エンドポイントの McAfee Host Intrusion Prevention のバージョンが 以降であることを確認します エンドポイントで互換性の問題または配備エラーが解決されていることを確認します ([ 正常性ステータス ] ページで確認できます ) Redstone 3 エンドポンとの場合は Endpoint Security または が [ マスターリポジトリ ] にチェックインされていることを確認します McAfee Active Response インストールガイド 27

28 4 ソフトウェアを初めてインストールする Active Response クライアントをインストールする タスク 1 管理者として McAfee epo にログオンします 2 [ メニュー ] [ ソフトウェア ] [ 製品配備 ] の順に選択して [ 新しい配備 ] をクリックします Windows システムに配備する場合 Active Response は Microsoft Protection Service を一時的に無効にしてインストールを完了します このサービスが無効になっていることを警告するメッセージがエンドポイントのユーザーに表示される場合があります インストールの完了後に Microsoft Protection Service が復元されるので この警告は無視できます 3 Active Response クライアントソフトウェアパッケージ (Windows Linux または macos 用の [McAfee Active Response 2.4.0]) を選択します Linux 64 ビットシステムで Active Response を正常に機能させるには 互換性のある 32 ビットライブラリがエンドポイントにインストールされている必要があります 詳細については KB89991 を参照してください 4 [ システムの選択 ] をクリックして Active Response で管理するエンドポイントを選択します 5 [ すぐに実行 ] を選択し [ 保存 ] をクリックして配備を開始します 6 Active Response クライアントを配備します 古いバージョンの Active Response がインストールされている場合 Active Response クライアントは新しいバージョンに更新されます また 古いシステムで新しい配備に時間がかかる場合は クライアントタスクを作成し タイムアウトにデフォルトの 20 分より大きい値を設定してください これにより 配備の完了前にタイムアウトすることがなくなります 7 エンドポイントへの配備が正常に行われたことを確認します 配備イベントが脅威イベントとして McAfee epo に戻され 配備失敗の説明が提供されます a b 管理者として McAfee epo にログオンします [ システム ] [Active Response 検索 ] の順に選択して 検索ボックスに HostInfo と入力します 配備されたエンドポイントのリストが表示されます Active Response クライアントを配備したら 適切な McAfee epo ポリシーを設定してください 28 McAfee Active Response インストールガイド

29 5 5 新しいソフトウェアバージョンにアップグレードする Active Response のアップグレード 完全なアップグレードを行うと 更新を含む Active Response サーバーのコンポーネント 拡張ファイル クライアントパッケージがインストールされます パッケージを手動でインストールする場合 アップグレード中のダウンタイムを最小限に抑えるには コンポーネントを次の順序でインストールします 1 Active Response 拡張ファイル : Active_Response_MAR_{version}.zip 2 Active Response アグリゲーター 3 管理対象システム上の Active Response クライアント Active Response アグリゲーターは 標準の DXL クライアントと互換性がありません DXL アグリゲーターがインストールされている Active Response ブローカーの場合 DXL クライアントのすべての更新が新しい Active Response アグリゲーターパッケージに含まれています 目次 Active Response 拡張ファイルをアップグレードする Active Response サーバーをアップグレードするクライアントをアップグレードするコンテンツパッケージをアップグレードする追跡ルールのコンテンツパッケージをアップグレードする McAfee Active Response インストールガイド 29

30 5 新しいソフトウェアバージョンにアップグレードする Active Response のアップグレード Active Response 拡張ファイルをアップグレードする Active Response の最新のバージョンにアップグレードすると 最新のコレクター トリガー リアクションを使用してエンドポイントで脅威の調査と修復を行うことができます アップグレードするには Active Response サーバーに McAfee epo 拡張ファイルをインストールする必要があります 開始する前に Active Response カタログからカスタムコレクター トリガー リアクション カスタム検索をエクスポートします アップグレードが完了したら アップグレード後のバージョンにカスタムコンテンツをインポートします TIE バージョン 2.2 以前のサーバーでは 新しい統合アプライアンスをインストールすることも 既存のサーバーに Active Response をインストールすることもできます 同じまたは新しいバージョンの Active Response をインストールします タスク 1 管理者として McAfee epo にログオンします 2 ( オプション ) McAfee epo からカスタムコレクター リアクション 検索をエクスポートします a [ カタログ ] ページの [ コレクター ] タブからカスタムコレクターを選択して [ アクション ] [ エクスポート ] の順に選択します エクスポートが完了したら ファイルをダウンロードします b カスタムリアクション トリガー 保存済みの検索をエクスポートするには 該当するタブに移動して この手順を繰り返します 3 Active Response サーバーを停止します 4 [ メニュー ] [ システム ] [ システムツリー ] の順に選択します 5 Active Response サーバーを削除するには [ システムツリー ] から Active Response サーバーを選択して [ アクション ] [ ディレクトリ管理 ] [ 削除 ] の順に移動します 6 McAfee epo 5.10 に製品を自動的にインストールするには : a [ メニュー ] [ ソフトウェア ] [ ソフトウェアカタログ ] の順に選択します McAfee epo のインストール時に [ 製品の自動インストール ] を有効にした場合は ライセンスのある製品が自動的にインストールされます b c [ ソフトウェアカタログ ] ページで 必要な製品パッケージを検索します 必要な製品パッケージを選択して使用許諾条件に同意し [ チェックイン ] をクリックしてパッケージをインストールします 7 McAfee epo 5.10 以前に拡張ファイルを手動でチェックインしてインストールするには : 1 McAfee ダウンロードサイト ( から拡張ファイルとパッケージをダウンロードします 2 [ メニュー ] [ ソフトウェア ] [ 拡張ファイル ] の順に選択して [ 拡張ファイルのインストール ] をクリックします 手動チェックインの場合 互換性の問題を回避するため 次の順番でバンドルをインストールします a b DXL ブローカー管理拡張ファイル TIE サーバー管理拡張ファイル 30 McAfee Active Response インストールガイド

31 新しいソフトウェアバージョンにアップグレードする Active Response のアップグレード 5 c d e f Active Response 拡張ファイル / パッケージバンドル DXL クライアントパッケージ Active Response ワークスペース拡張ファイル Active Response クライアントパッケージ 8 必要であれば DXL ブローカーをアップグレードします 詳細については McAfee Data Exchange Layer インストールガイド を参照してください 9 統合 ISO/OVA パッケージから Active Response と TIE を配備します 10 Active Response クライアントをアップグレードします 11 ( オプション ) カスタムコンテンツがある場合 : カスタムコンテンツをインポートする前に Active Response 正常性ステータスのページに緑色のインジケーターが表示されているかどうか確認します このインジケーターは すべてのコンポーネントが正しく設定されていることを意味します a b Active Response 正常性ステータスのページに緑色のインジケーターが表示されているかどうか確認します このインジケーターが表示されていれば すべてのコンポーネントが正しく設定されています アップグレードした環境にカスタムコンテンツをインポートします [ カタログ ] ページで該当するタブに移動して [ インポート ] をクリックし エクスポートしたファイルを選択して [OK] をクリックします Active Response サーバーをアップグレードする 統合 Active Response サーバーパッケージにアップグレードすると 同じサーバーに Active Response TIE DXL サービスが配備されます McAfee epo [ ソフトウェアカタログ ] から Active Response サーバーの更新パッケージをインストールして配備します Active Response サーバーパッケージをインストールするには McAfee epo サーバーのプロパティで アップロードサイズの上限を増やす必要があります この手順は パッケージを手動でチェックインする場合にのみ必要です この更新を行った場合 McAfee epo サーバーの再起動が必要です 再起動プロセスの実行中 ユーザーがアクセスできなくなります タスク 1 管理者として McAfee epo にログオンします 2 ( オプション ) C:\Program Files (x86)\mcafee\epolicy Orchestrator\Server\conf\orion に移動します a b c orion.properties ファイルを右クリックして テキストエディターで編集します ファイル内の orion.upload.max.size を探し 値を に変更してファイルを保存します 仮想マシンまたは物理サーバーの McAfee epo サーバーアプリケーションを再起動します 3 以下のいずれかの方法でサーバーパッケージチェックインします [ メニュー ] [ ソフトウェア ] [ ソフトウェアカタログ ] の順に選択します (McAfee epo 5.10 の場合 ) [ メニュー ] [ ソフトウェア ] [ ソフトウェアマネージャー ] の順に選択します (McAfee epo 5.9 以前の場合 ) McAfee Active Response インストールガイド 31

32 5 新しいソフトウェアバージョンにアップグレードする Active Response のアップグレード 4 更新パッケージを配備します a b c d [ メニュー ] [ ソフトウェア ] [ 製品配備 ] の順に選択して [ 新しい配備 ] をクリックします [ パッケージ ] ドロップダウンリストで サーバーの更新パッケージを選択します [ システムの選択 ] をクリックし ネットワーク内で Active Response と TIE を含む統合サーバーを選択します [ すぐに実行 ] を選択し [ 保存 ] をクリックして配備を開始します クライアントをアップグレードする 管理対象システムに新しいバージョンの Active Response クライアントをインストールして クライアントをアップグレードします 開始する前に すべての Active Response エンドポイントクライアントが最小要件を満たしていることを確認します エンドポイントから McAfee VirusScan Enterprise を削除します 削除しないと インストールに失敗します エンドポイントの McAfee Host Intrusion Prevention のバージョンが 以降であることを確認します エンドポイントで互換性の問題または配備エラーが解決されていることを確認します ([ 正常性ステータス ] ページで確認できます ) Redstone 3 エンドポンとの場合は Endpoint Security または が [ マスターリポジトリ ] にチェックインされていることを確認します タスク 1 管理者として McAfee epo にログオンします 2 [ メニュー ] [ ソフトウェア ] [ 製品配備 ] の順に選択して [ 新しい配備 ] をクリックします Windows システムに配備する場合 Active Response は Microsoft Protection Service を一時的に無効にしてインストールを完了します このサービスが無効になっていることを警告するメッセージがエンドポイントのユーザーに表示される場合があります インストールの完了後に Microsoft Protection Service が復元されるので この警告は無視できます 3 Active Response クライアントソフトウェアパッケージ (Windows Linux または macos 用の [McAfee Active Response]) を選択します Linux 64 ビットシステムで Active Response を正常に機能させるには 互換性のある 32 ビットライブラリがエンドポイントにインストールされている必要があります 詳細については KB89991 を参照してください 4 [ システムの選択 ] をクリックして Active Response で管理するエンドポイントを選択します 5 [ すぐに実行 ] を選択し [ 保存 ] をクリックして配備を開始します 32 McAfee Active Response インストールガイド

33 新しいソフトウェアバージョンにアップグレードする Active Response のアップグレード 5 6 Active Response クライアントを配備します 古いバージョンの Active Response がインストールされている場合 Active Response クライアントは新しいバージョンに更新されます また 古いシステムで新しい配備に時間がかかる場合は クライアントタスクを作成し タイムアウトにデフォルトの 20 分より大きい値を設定してください これにより 配備の完了前にタイムアウトすることがなくなります 7 エンドポイントへの配備が正常に行われたことを確認します a b 管理者として McAfee epo にログオンします [ システム ] [Active Response 検索 ] の順に選択して 検索ボックスに HostInfo と入力します 配備されたエンドポイントのリストが表示されます Active Response クライアントがオンラインの間にアップグレードを実行できます 新しいバージョンがインストールされるとすぐに クライアントは Active Response サーバーに応答します 関連トピック : 35 ページの Active Response 正常性ステータスの確認 コンテンツパッケージをアップグレードする コンテンツパッケージをインストールすると 新しいコレクターやリアクション 既存の組み込みコレクターやリアクションの新しいバージョンを入手できます コンテンツパッケージに含まれる新しいコレクターやリアクションを使用すると 保存された検索やトリガーの一部が使用できなくなる可能性があります この状況は 更新によって組み込みコレクターの出力フィールドまたは組み込みのリアクション引数が変更された場合にのみ発生します コンテンツパッケージによって導入されるコレクターとリアクションの変更については McAfee Active Response コンテンツ更新リリースノート を参照してください タスク 1 管理者として McAfee epo にログオンします 2 [ メニュー ] [ ソフトウェア ] [ ソフトウェアマネージャー ] の順に選択して Active Response コンテンツパッ ケージをチェックインします コンテンツパッケージの形式は BaseActiveResponseContent MajorVersion.MinorVersion.PatchVersion BuildVersion.zip になります 配備で自動更新が有効になっている場合 マスターリポジトリにチェックイン後 パッケージが自動的にインストールされます 自動更新が有効になっていない場合は 更新の配備タスクを作成します 追跡ルールのコンテンツパッケージをアップグレードする Active Response ルールのコンテンツパッケージは 追跡ルールの追加 更新 削除を行います [ ソフトウェアマネージャー ] で新しい更新が利用可能になったときに 追跡ルールコンテンツの更新をエンドポイントに自動的に配備できます 追跡ルールは 潜在的な脅威と重大度を判別し 追跡タイムラインに表示します デフォルトでは 追跡ルールのコンテンツは自動的に更新されます 更新タスクが 240 分 (4 時間 ) ごとに実行されるようにスケジュールされています これは McAfee epo で有効になっている自動実行タスクです タスク 1 管理者として McAfee epo にログオンします 2 [ メニュー ] [ ポリシー ] [ ポリシーカタログ ] の順に選択し [My Default] をクリックします McAfee Active Response インストールガイド 33

34 5 新しいソフトウェアバージョンにアップグレードする Active Response のアップグレード 3 [ 全般 ] タブで [ コンテンツの自動更新を有効にする ] を選択して この機能を無効または有効にします この機能を無効にすると ルールを手動で更新できます 4 [ コンテンツ自動更新のタイムアウト ( 分 )] のデフォルト値を変更するには フィールドの値を編集します 更新はサイクルごとにチェックされます 新しい更新が利用できる場合 エンドポイントに配備され 追跡ルールが更新されます 関連トピック : 47 ページの コンテンツルールをロールバックする 34 McAfee Active Response インストールガイド

35 6 インストール後の作業 目次 Active Response 正常性ステータスの確認 McAfee Cloud アカウントを作成する DXL ブローカー拡張機能の設定 McAfee epo プロキシサーバーを設定する ( オプション ) アグリゲーターをインストールする ( オプション ) 複数の McAfee epo サーバーを設定する McAfee Advanced Threat Defense の設定 Active Response 正常性ステータスの確認 [Active Response 正常性ステータス ] ページには エンドポイントの数 エンドポイントの配備状態 互換性のない非対応のバージョン サーバーやサービスとの接続問題が表示されます このページは エンドポイント サーバー クラウドブリッジの接続状態を確認できる重要な場所です Active Response 正常性ステータスページを表示するには [ メニュー ] [ システム ] [Active Response 正常性ステータス ] の順に選択します あるいは ワークスペースに表示された [ 正常性ステータスアラート ] ウィンドウのリンクをクリックします エンドポイント サーバーまたはクラウドサービスで重大な問題が発生し 注意が必要になると [ 正常性ステータスアラート ] ウィンドウが表示されます 表 6-1 クライアントの正常性ステータス ステータス [ エンドポイントの合計 ] [Active Response 配備済み ] [Active Response の配備待ち ] 説明 環境内で Active Response が配備されているエンドポイント 配備待ちのエンドポイント 互換性のないエンドポイントの合計数 現在 Active Response を実行しているエンドポイントの数と McAfee epo で管理される追跡ステータスが表示されます 追跡プラグインが無効になっていると 警告メッセージが表示され 影響を受けるエンドポイントの数が表示されます リンクをクリックすると 影響を受けるホストのリストが表示されます 互換性があり 配備待ちのエンドポイント 配備が必要な新しいエンドポイント (macos Windows Linux) の数と更新が必要なエンドポイントの数が表示されます McAfee Active Response インストールガイド 35

36 6 インストール後の作業 McAfee Cloud アカウントを作成する 表 6-1 クライアントの正常性ステータス ( 続き ) ステータス [Active Response との互換性がない ] 説明 互換性がなく 配備待ちのエンドポイント エンドポイントの Active Response 要件を満たしていません ステータスリスト : サポートされていないバージョンのエンドポイントクライアント (Endpoint Security や McAfee Agent など ) と影響を受けるエンドポイントの数 エンドポイントでサポートされていないクライアント (VirusScan Enterprise など ) と影響を受けるエンドポイントの数 サポートされていないオペレーティングシステムがインストールされているエンドポイントと 影響を受けるエンドポイントの数 サポートされていない OS バージョンのエンドポイントでは Active Response のインストールに失敗するため アップグレードが必要なエンドポイントを把握できます [Active Response の配備失敗 ] エンドポイントで配備に失敗した回数 表 6-2 サーバーの正常性ステータス ステータス [Active Response サーバー ] ( バージョン番号 ) [Advanced Threat Defense] ( バージョン番号 ) [DXL ブローカー ] ( バージョン番号 ) [Threat Intelligence Exchange サーバー ] ( バージョン番号 ) [ クラウドストレージとサービス ] 説明 Active Response サーバーのバージョン 名前 IP アドレス ステータス 設定ページのリンクが表示されます サーバーに接続可能かどうか サーバーの更新が必要かどうかが表示されます 問題のトラブルシューティングを行うには リンクをクリックします McAfee Advanced Threat Defense サーバーの名前と IP アドレス リンクをクリックすると 設定を編集できます DXL ブローカーのバージョンとステータス ( 接続の成功または失敗 ) が表示されます ブローカーが使用できない場合は リンクをクリックして問題のトラブルシューティングを行います TIE サーバーのバージョン 名前 IP アドレス ステータス 設定ページのリンクが表示されます サーバーが使用できない場合は リンクをクリックして問題のトラブルシューティングを行います Active Response サーバーと TIE サーバーを同じサーバーに配備した場合 これらのサーバーに同じ IP アドレスが表示されます 特定の接続要件または設定要件を満たしていない場合があります たとえば Cloud Bridge との接続が切断されているか タイムアウトが発生しています クラウドアカウントが設定されていないか 設定に誤りがあります ブリッジされた McAfee epo サーバーに異なる場所が設定されています DXL ファブリックごとに 1 つの場所を選択する必要があります ブリッジされた McAfee epo サーバーが異なるクラウドアカウントにリンクしています ブリッジされた McAfee epo サーバーに設定できるクラウドアカウントは 1 つだけです McAfee Cloud アカウントを作成する McAfee Cloud アカウントを作成して クラウドブリッジサービスにリンクします McAfee epo Cloud Bridge は ローカルの McAfee epo サーバーにインストールする拡張機能で 脅威データを保存している McAfee Cloud アカウントに [McAfee epo Cloud Bridge] をリンクできます 36 McAfee Active Response インストールガイド

37 インストール後の作業 McAfee Cloud アカウントを作成する 6 新しいクラウドアカウントを登録することも ワークスペースの [ 設定 ] リンクでクラウドアカウントを設定することもできます McAfee Cloud アカウントのステータスを確認するには ワークスペースバーから [ 設定 ] をクリックします 地理的に異なる場所間での切り替えは データを失う可能性があります このため この作業はサポートされていないか 推奨されません この設定は固定を意味します McAfee Cloud Bridge の設定で既存の McAfee epo Cloud アカウントのリンクを解除し 別の McAfee Cloud アカウントにリンクすると 前の McAfee Cloud アカウントの脅威データにアクセスできなくなります タスク 1 管理者として McAfee epo にログオンします 2 ワークスペースバーから [ 設定 ] をクリックします クラウドアカウントが設定されると [ 設定 ] ペインに場所とクラウドアカウントの認証情報が表示されます 3 場所の変更 クラウドアカウントの作成または変更を行うには [ クラウドアカウント ] の横にある編集アイコン ( 鉛筆 ) をクリックします McAfee Cloud アカウントを持っていない場合は 次の操作を行います a b [ アカウントの作成 ] リンクをクリックします 会社情報と連絡先情報を入力します 会社の McAfee Cloud アカウントの作成時に使用したメールアドレスを使用してください c 使用許諾契約の内容を確認して同意し [ 送信 ] をクリックします フォームを送信すると McAfee Cloud アカウントの登録方法とパスワードの設定方法を通知するメールが届きます 4 [ 地域 ] ドロップダウンリストから データを保存する場所を選択します Active Response をアップグレードする場合は 前のバージョンの Active Response の場所がデフォルトの選択になります 5 McAfee Cloud アカウントのメールアドレスとパスワードを入力して 使用許諾条件に同意し [ 保存 ] をクリック します McAfee Active Response インストールガイド 37

38 6 インストール後の作業 DXL ブローカー拡張機能の設定 6 ( オプション ) [ 追跡データを Active Response クラウドサービスに送信する ] を選択し 追跡データを Active Response クラウドサービスに送信するように DXL ブローカーを設定します この機能を無効にすると Active Response ワークスペースでクラウドサービスからデータを受信できなくなります この機能を有効にして潜在的な脅威の調査を始めることをおすすめします 7 [ 保存 ] をクリックします 使用許諾条件に同意した場合にのみ [ 保存 ] ボタンが使用可能になります クラウドストレージの場所の変更 脅威データを保管するクラウドストレージの場所を変更します 別の場所を選択するには ワークスペースで [ 設定 ] をクリックして [ クラウドアカウント ] ドロップダウンリストから地域を選択します 別の場所を設定する場合には 次のガイドラインに従ってください 地理的に異なる場所間での切り替えは データを失う可能性があります このため この作業はサポートされていないか 推奨されません この設定は固定を意味します アップグレード後 Active Response の前のリリースで選択した位置情報はデフォルトの選択として残ります McAfee epo サーバーがブリッジされている場合 1 つの場所と 1 つの McAfee Cloud アカウントを選択する必要があります ブリッジされた McAfee epo サーバーに別々の場所を選択することはできません [ 正常性ステータス ] ページでアラートを確認してください 複数の McAfee epo サーバーがリンクしていない場合には 別々の場所を選択できますが 同じ McAfee Cloud ブリッジアカウントを使用する必要があります DXL ファブリックごとに 1 つの場所を選択できます リンクされているすべての McAfee サーバーに同じ McAfee epo Cloud ブリッジアカウントを使用する必要があります 複数のクラウドアカウント間での切り替えは データを失う可能性があります このため この作業はサポートされていないか 推奨されません クラウドの地理的な場所やブリッジされた McAfee epo サーバーを管理する場合には 1 つのクラウドアカウントを使用することをお勧めします エンドポイントのローミングはサポートされません クラウド上の異なる場所の間でデータを共有することはできません 新しい場所が使用可能になると これらの場所が選択メニューに追加されます Active Response を再インストールしたり アップグレードする必要はありません 追跡情報の取得で同時にアクセスできる場所は 1 つだけです たとえば 場所を X から Y に変更すると 場所 X で使用可能だった脅威データにはアクセスできなくなります 場所を X に戻すと 古い追跡情報にアクセスできますが 場所 Y にある新しい追跡情報にはアクセスできなくなります 場所の切り替えを行うと データを失うリスクがあります DXL ブローカー拡張機能の設定 ブローカー拡張ファイルは Data Exchange Layer ブローカーで有効にできる追加機能です これにより 他の管理対象製品の新機能を追加することができます Active Response で使用される追跡ブローカー拡張ファイルを有効にします Active Response 2.1 以降では バージョン 以降の DXL ブローカーが 1 つ以上必要です 以前のブローカーバージョンでは追跡拡張ファイルを使用できません 38 McAfee Active Response インストールガイド

39 インストール後の作業 McAfee epo プロキシサーバーを設定する ( オプション ) 6 タスク 1 [ メニュー ] [ 設定 ] [ サーバー設定 ] [DXL トポロジ ] の順に選択します 2 [ 編集 ] をクリックします 3 ( オプション ) ハブを作成するには [ アクション ] ドロップダウンリストを選択して [ ハブを作成する ] を選択します a b c d トポロジツリーで [ ハブ ] を選択して [ ブローカー 1] に DXL ブローカーを設定します 1 つ以上のブローカーで [ クラウドの MAR 枠スペースに追跡データを提供する ] オプションを選択します [ ブローカー 2] に Active Response サーバーを設定します [ 保存 ] をクリックします 4 ブローカーが接続されていることを確認します [ メニュー ] [ システム ] [Data Exchange Layer ファブリッ ク ] の順に選択します 緑色の円がブローカーで ブローカーが線で接続されています McAfee epo プロキシサーバーを設定する ( オプション ) 組織でプロキシアドレスを使用する場合は McAfee epo プロキシ設定にプロキシアドレスを入力します タスク 1 管理者として McAfee epo にログオンします 2 [ メニュー ] [ 設定 ] [ サーバー設定 ] [ プロキシの設定 ] の順に選択します 3 [ 編集 ] をクリックします 4 プロキシ情報を入力します プロキシ設定の詳細については McAfee epolicy Orchestrator 製品ガイド を参照してください 5 [ 保存 ] をクリックします アグリゲーターをインストールする ( オプション ) アグリゲーターを使用すると 必要な DXL の帯域幅を減らし サポートされる管理対象エンドポイントの数を増やすことができます ファブリック内の DXL ブローカーシステムに Active Response アグリゲーターをインストールします アグリゲーターは DXL ブローカーだけを実行するファブリックの各システムにインストールすることをおすすめします DXL ブローカーで McAfee epo から DXL をプリインストールまたはアップグレードできます DXL ブローカーに DXL クライアントをインストールする場合は 必ず Active Response アグリゲーターパッケージを使用してください アグリゲーターパッケージは マスターリポジトリからインストールできます タスク 1 管理者として McAfee epo にログオンします 2 [ メニュー ] [ ソフトウェア ] [ ソフトウェアカタログ ] の順に選択して Active Response アグリゲーターパッケージをチェックインします McAfee Active Response インストールガイド 39

40 6 インストール後の作業複数の McAfee epo サーバーを設定する 3 [ メニュー ] [ ソフトウェア ] [ 製品配備 ] の順に選択して [ 新しい配備 ] をクリックします 4 [ パッケージ ] ドロップダウンリストで Active Response アグリゲーターを選択します 5 [ システムの選択 ] をクリックし アグリゲーターをインストールする DXL ブローカーを選択します 6 [ すぐに実行 ] を選択し [ 保存 ] をクリックして配備を開始します 複数の McAfee epo サーバーを設定する 複数の McAfee epo サーバーが存在する環境では 複数の McAfee epo サーバーがブリッジされた DXL ファブリックの DXL ブローカーに接続します ファブリックをブリッジすることで 異なる DXL サーバーで管理されている McAfee epo ブローカーが双方向で通信を行うことができます 複数の McAfee epo サーバーが存在する環境でサポートされるのは 1 つの Active Response サーバーだけです 複数の McAfee epo サーバーを使用している環境 修復とアップグレード機能を展開するには : 1 つの Active Response サーバーから McAfee epo クライアントパッケージを配備して ブリッジされた別の McAfee epo サーバーのエンドポイントをアップグレードします ブリッジされた McAfee epo サーバー全体で コレクターとリアクションを使用した保存済みの検索とカスタム検索を単一の Active Response サーバーと共有します 40 McAfee Active Response インストールガイド

41 インストール後の作業複数の McAfee epo サーバーを設定する 6 クラウドストレージ上の 1 つ場所に脅威データを保存し ブリッジされた McAfee epo サーバー全体で潜在的な脅威を管理します 複数のクラウドアカウント間での切り替えは データを失う可能性があります このため この作業はサポートされていないか 推奨されません クラウドの地理的な場所やブリッジされた McAfee epo サーバーを管理する場合には 1 つのクラウドアカウントを使用することをお勧めします 単一の McAfee epo サーバーを使用して 複数の McAfee epo サーバーで潜在的な脅威を調査し 修復します Active Response 2.1 以前では 2 つ以上の McAfee epo サーバーが DXL ハブでブリッジされている環境はサポートされません カスタムカタログコンテンツをエクスポートする 複数の McAfee epo サーバーをブリッジする前に 交換するサーバーからカスタムコレクター トリガー リアクション カスタム検索などの Active Response カタログコンテンツをエクスポートする必要があります タスク 1 管理者として McAfee epo にログオンします 2 カスタムコレクター リアクション 検索をエクスポートするには : a b Active Response の [ カタログ ] ページの [ コレクター ] タブからカスタムコレクターを選択して [ アクション ] [ エクスポート ] の順に選択し ファイルをダウンロードします カスタムリアクション トリガー 保存済みの検索をエクスポートするには 該当するタブに移動して この手順を繰り返します 3 Active Response サーバーを停止します McAfee Active Response インストールガイド 41

42 6 インストール後の作業複数の McAfee epo サーバーを設定する 4 [ メニュー ] [ システム ] [ システムツリー ] の順に選択します 5 Active Response サーバーを削除するには [ システムツリー ] から Active Response サーバーを選択して [ アクション ] [ ディレクトリ管理 ] [ 削除 ] の順に移動します 6 ブリッジプロセスの後で使用する McAfee epo サーバーを開きます 7 [ 編集 ] をクリックして [Active Response 証明書を再生成する ] を選択します 8 カスタムコレクター リアクション 検索をインポートします カスタムコンテンツをインポートする前に Active Response 正常性ステータスのページに緑色のインジケーターが表示されているかどうか確認します このインジケーターは すべてのコンポーネントが正しく設定されていることを意味します a b [ カタログ ] ページで該当するタブに移動し [ インポート ] をクリックします 前にエクスポートしたファイルを選択して [OK] をクリックします DXL ブローカーを設定して複数の McAfee epo サーバーを接続する DXL ブローカーを使用すると 複数の McAfee epo サーバーを接続できます 1 つの場所から複数の McAfee epo サーバーを管理したり 異なる場所にある組織で共通のプラットフォームを使用する必要がある場合に 複数の McAfee epo サーバーを接続します 開始する前に Active Response 2.1 から 2.2 にアップグレードし 複数の McAfee epo サーバーをブリッジする場合は DXL の拡張ファイルとクライアント 1 つ以上のオンラインブローカーをバージョン 4.0 にアップグレードします 詳細については KB84473 を参照してください DXL 4.0 ブローカー 拡張ファイル クライアントをインストールします 複数の DXL サーバーを使用している場合の McAfee epo の要件については KB84473 を参照してください 異なる Active Response サーバーで管理されているすべてのエンドポイントにバージョン 2.2 以降の McAfee epo クライアントを配備します DXL サーバー間の McAfee epo ブローカーがブリッジされていることを確認します タスク 1 McAfee epo サーバー A で [ メニュー ] [ 設定 ] [ サーバー設定 ] [DXL トポロジ ] の順に選択し ブローカー A を選択して [ 編集 ] をクリックします 2 トポロジツリーで最上位のハブを選択し [ アクション ] ドロップダウンリストから [ ハブの作成 ] を選択します a b 新しく作成したハブを選択します [ アクション ] ドロップダウンリストから [ 受信ブリッジの作成 - リモート epo ハブ ] を選択します ドロップダウンリストで [ ブローカー 1] に DXL ブローカー A を設定し [ 保存 ] をクリックします 3 サーバー A のハブ情報をダウンロードします a b [ 受信ブリッジ - リモート epo ハブ ] を選択して [ 編集 ] をクリックします [ ローカルハブ情報をエクスポート ] をクリックして McAfee epo サーバー A の情報を含む.zip ファイルをダウンロードし McAfee epo サーバー B のリモートハブにインポートします [ 保存 ] をクリックします 4 McAfee epo サーバー B で [ メニュー ] [ 設定 ] [ サーバー設定 ] [DXL トポロジ ] の順に選択し DXL ブロー カー B を選択して [ 編集 ] をクリックします 42 McAfee Active Response インストールガイド

43 インストール後の作業複数の McAfee epo サーバーを設定する 6 5 トポロジツリーで最上位のハブを選択し [ アクション ] ドロップダウンリストから [ ハブの作成 ] を選択します a b 新しく作成したハブを選択します [ アクション ] ドロップダウンリストから [ 送信ブリッジの作成 - リモート epo ハブ ] を選択します ドロップダウンリストで [ ブローカー 1] に DXL ブローカー B を設定し [ 保存 ] をクリックします 6 サーバー B のハブ情報をダウンロードします a b [ 送信ブリッジ - リモート epo ハブ ] を選択して [ 編集 ] をクリックします [ ローカルハブ情報をエクスポート ] をクリックして McAfee epo サーバー B の情報を含む.zip ファイルをダウンロードし McAfee epo サーバー A のローカルハブにインポートします [ 保存 ] をクリックします 7 McAfee epo サーバー A の [DXL トポロジ ] ページで [ 編集 ] をクリックします a b c [ 受信ブリッジ - リモート epo ハブ ] を選択して [ リモートハブ情報をインポート ] をクリックします [ ファイルを選択 ] をクリックして McAfee epo サーバー B の情報を含む.zip ファイルをアップロードし [OK] をクリックします 設定を確認して [OK] をクリックします 8 McAfee epo サーバー B の [DXL トポロジ ] ページで [ 編集 ] をクリックします a b c [ 送信ブリッジ - リモート epo ハブ ] を選択して [ リモートハブ情報をインポート ] をクリックします [ ファイルを選択 ] をクリックして McAfee epo サーバー A の情報を含む.zip ファイルをアップロードし [OK] をクリックします 設定を確認して [OK] をクリックします 9 McAfee epo サーバー A と B の接続を更新します a b c [ メニュー ] [ 自動処理 ] [ サーバータスク ] [DXL ブローカーの管理 ] の順に選択して [ 実行 ] をクリックします [ システムツリー ] で DXL ブローカーを選択して [ エージェントウェークアップ ] をクリックします [ ポリシーとタスクの完全な更新を強制的に実行 ] を選択して [OK] をクリックします 10 [ メニュー ] [ システム ] [Data Exchange Layer ファブリック ] の順に選択して 設定を確認します 2 つの円の間にある線は DXL ブローカー A と DXL ブローカー B のブリッジを表します ブローカーアイコンの間にコネクターが表示されない場合は DXL クライアントがウェークアップし 設定が完了するまでしばらく待ちます あるいは画面の表示を更新します 11 McAfee epo サーバーごとに ブローカーアイコンを選択して [ ブリッジ ] タブをクリックし [ サービス ] タブで サービスの接続状態を確認します ブリッジと非ブリッジ環境での McAfee epo サーバーの設定例 ブリッジまたは非ブリッジの複数の McAfee epo サーバーを使用するかどうかは 同じ場所とクラウドアカウントを使用するかどうかによって決まります McAfee epo サーバーがブリッジされている場合 - 会社の McAfee epo サーバーが米国とドイツにあります この 2 つのサーバーを単一の DXL ファブリックにブリッジし 世界中の TIE データベースを使用して一貫したハッシュレピュテーションを取得しています この環境では 1 つのクラウドアカウントとクラウド上の 1 つの場所を使用します McAfee Active Response インストールガイド 43

44 6 インストール後の作業 McAfee Advanced Threat Defense の設定 McAfee epo サーバーがブリッジされていない場合 - 米国とドイツにある McAfee epo サーバーが単一の DXL ファブリックにブリッジされていません 規制により両国で特定のデータを共有できない可能性があるため それぞれの場所で並列して配備を行う必要があります 米国とドイツの McAfee epo サーバーは別々の TIE サーバーと Active Response サーバーを使用しています それぞれが別の場所を使用し 異なるクラウドアカウントを使用しています エンドポイントのローミングがサポートされていない - ブリッジされていない 2 つの McAfee epo サーバーに異なる場所 ( 米国とドイツ ) が割り当てられています 社員が McAfee epo サーバー A ( 米国 ) で管理されているノート PC を持って海外に出張したとします この社員がドイツにある McAfee epo サーバー B に接続した場合 McAfee epo サーバー B で管理されているワークスペースには このノート PC の潜在的な脅威が表示されません McAfee Advanced Threat Defense の設定 目次 McAfee Advanced Threat Defense サーバーと Active Response を設定する TIE サーバーに McAfee Advanced Threat Defense を設定する McAfee Advanced Threat Defense サーバーと Active Response を設定する McAfee Advanced Threat Defense サーバーで McAfee Advanced Threat Defense の脅威検出機能を利用するように Active Response を設定できます [Active Response の正常性ステータス ] ページで McAfee Advanced Threat Defense の接続状態を確認し [ サンドボックスの結果 ] カードでレピュテーションを確認します 開始する前に McAfee Advanced Threat Defense の URL とログオン認証情報を用意します McAfee Advanced Threat Defense バージョン 4.4 以降が実行されていることを確認します McAfee Advanced Threat Defense との統合方法については Active Response の製品ガイドを参照してください このバージョンの Active Response で設定できる Advanced Threat Defense サーバーは 1 台だけです Advanced Threat Defense がサポートするのは スタンドアロンサーバーか 物理または仮想サーバーから構成されるクラスターのプライマリサーバーです タスク 1 管理者として McAfee epo にログオンします 2 [ メニュー ] [ 設定 ] [ サーバー設定 ] [Advanced Threat Defense サーバー ] の順に選択し [ 編集 ] をクリック します 3 Advanced Threat Defense サーバーのフィンガープリントが表示されます 4 ユーザー名とパスワードを入力します 5 [ 証明書の検証 ] をクリックして 設定を保存します サポートされていないバージョンの Advanced Threat Defense を設定すると エラーメッセージが表示されます 6 Advanced Threat Defense 環境から Active Response サーバーを切断するには [ 接続の削除 ] を有効にして設定 を保存します 44 McAfee Active Response インストールガイド

45 インストール後の作業 McAfee Advanced Threat Defense の設定 6 TIE サーバーに McAfee Advanced Threat Defense を設定する Advanced Threat Defense サーバー管理ポリシーで TIE サンドボックス機能を有効にします 設定手順については TIE と Advanced Threat Defense のインストールガイドを参照してください タスク 1 管理者として McAfee epo にログオンします 2 [ メニュー ] [ ポリシー ] [ ポリシーカタログ ] の順に選択します 3 [ 製品 ] ドロップダウンリストで [McAfee Threat Intelligence Exchange サーバー管理 ] を選択します 4 [My Default] ポリシーを選択して [ サンドボックス ] タブで McAfee Advanced Threat Defense を有効にします 5 McAfee Advanced Threat Defense サーバーリスト 接続設定 使用可能なファイルタイプを設定します 完了したら [ 保存 ] をクリックします McAfee Active Response インストールガイド 45

46 6 インストール後の作業 McAfee Advanced Threat Defense の設定 46 McAfee Active Response インストールガイド

47 7 インストールに関するトラブルシューティング 7 目次 コンテンツルールをロールバックする インストールのエラーメッセージ コンテンツルールをロールバックする クライアントタスクを作成すると 追跡ルールに最後に行った更新を前のバージョンにロールバックできます エンドポイントルールのコンテンツをロールバックするには 2 つの製品プロパティを確認する必要があります [ ブラックリストに登録されたルールのバージョン ] ーアップグレード時に適用されていないバージョン [ ルールのバージョン ] - クライアントの現在のバージョン これらのプロパティを確認してから ルールをロールバックするタスクを作成します 1 管理者として McAfee epo にログオンします 2 [ メニュー ] [ ポリシー ] [ クライアントタスクカタログ ] の順に選択します 3 [ クライアントタスクの種類 ] で Active Response を選択します 4 [DAT ルールのロールバック ] を選択します 5 [ 新規タスク ] をクリックして [OK] をクリックします a b タスクの名前を入力します [ ルールのロールバック ] テキストボックスで 削除またはブロックするルールのバージョン番号を入力します このタスクを実行すると 新たにブロックされたバージョンがクライアントに送信されます このいずれかがすでに適用されている場合 前にインストールされた更新に自動的にロールバックされます ロールバックできるのは 1 つのルールバージョンだけです c [ 保存 ] をクリックします 6 [ メニュー ] [ ポリシー ] [ クライアントタスクの割り当て ] の順に選択して この新しいタスクを該当するすべ てのエンドポイントに割り当てます 7 [ 脅威イベント ] ログでロールバックの完了とステータスを確認します 後続のルールの更新をロールバックする場合 このクライアントタスクを再利用できます [ ルールのロールバック ] テキストボックスに ブラックリストに登録する新しいバージョン番号と前のバージョン番号をカンマ区切りで追加します McAfee Active Response インストールガイド 47

48 7 インストールに関するトラブルシューティングインストールのエラーメッセージ インストールのエラーメッセージ エンドポイントのインストールエラーの詳細は [ 脅威イベントログ ] に表示されます このログでは 依存関係の欠落や無効な依存関係を確認できます インストールに失敗した場合 [ サーバータスクログ ] には一般的なエラーメッセージが表示されます [ メニュー ] [ レポート ] [ 脅威イベントログ ] の順に選択してイベント ID を使用し 配備問題に起因するエラーの詳細メ ッセージをフィルタリングして表示します 表 7-1 エラーメッセージ エラーコード エラーメッセージ 説明 0 UNKNOWN 不明なエラー 1 ESP_MISSING_PACKAGE_ON_EPO McAfee epo に Endpoint Solutions Platform パッケージがありま せん 2 TP_MISSING_PACKAGE_ON_EPO McAfee epo に McAfee epo パッケージがありません 3 TIE_MISSING_PACKAGE_ON_EPO McAfee epo に McAfee epo パッケージがありません 4 ATP_MISSING_PACKAGE_ON_EPO McAfee epo に McAfee epo パッケージがありません 5 DXL_MISSING_PACKAGE_ON_EPO Data Exchange Layer に McAfee epo パッケージがありません 6 VSE_INSTALLED VirusScan Enterprise がインストールされています 7 MA_INCOMPATIBLE_VERSION 互換性のないバージョンの McAfee Agent がインストールされてい ます 8 ESP_INCOMPATIBLE_VERSION 互換性のないバージョンの Endpoint Solutions Platform がインス トールされています 9 TP_INCOMPATIBLE_VERSION 互換性のないバージョンの Threat Prevention がインストールされ ています 10 HIP_INCOMPATIBLE_VERSION 互換性のないバージョンの Host Intrusion Prevention がインスト ールされています 11 ESP_INSTALLATION_FAILED Endpoint Solutions Platform のインストールに失敗しました 12 TP_INSTALLATION_FAILED Threat Prevention のインストールに失敗しました 13 TIE_INSTALLATION_FAILED Threat Intelligence Exchange のインストールに失敗しました 14 ATP_INSTALLATION_FAILED Adaptive Threat Protection のインストールに失敗しました 15 DXL_INSTALLATION_FAILED Data Exchange Layer のインストールに失敗しました 16 MAR_INSTALLATION_FAILED Active Response のインストールに失敗しました 17 ENS_INCOMPATIBLE_VERSION 互換性のないバージョンの Endpoint Security がインストールされ ています (Windows 以外 ) 18 ATP_INCOMPATIBLE_VERSION 互換性のないバージョンの Adaptive Threat Protection がインスト ールされています 19 OS_INCOMPATIBLE_VERSION オペレーティングシステムのバージョンがサポートされていませ ん 関連トピック : 35 ページの Active Response 正常性ステータスの確認 9 ページの サーバーとクライアントの要件 48 McAfee Active Response インストールガイド

49 8 ソフトウェアを削除する 8 目次 Active Response クライアントをアンインストールする Active Response 拡張ファイルを削除する Active Response クライアントをアンインストールする Active Response クライアントが不要になったり 影響を受けるエンドポイントに脅威を封じ込める必要がある場合 クライアントをエンドポイントから削除できます この手順を実行しても Endpoint Security Threat Intelligence モジュール Endpoint Security 適応型脅威対策 Data Exchange Layer は削除されません タスク 1 管理者として McAfee epo にログオンします 2 [ メニュー ] [ ソフトウェア ] [ 製品配備 ] [ 新しい配備 ] の順に選択します 3 ソフトウェアを削除する新しい配備情報を設定し 保存します 4 [ 製品配備 ] ページで [ アクション ] ドロップダウンから [ アンインストール ] を選択します 配備を開始して Active Response をアンインストールします Active Response 拡張ファイルを削除する Active Response を McAfee epo から完全に削除するには 拡張ファイル 関連コンポーネント クライアントパッケージを所定の順番で削除する必要があります タスク 1 管理者として McAfee epo にログオンします 2 [ メニュー ] [ ソフトウェア ] [ 拡張ファイル ] の順に選択します 3 [ 拡張ファイル ] ペインで Active Response を選択して Active Response のすべての拡張ファイルを表示します 4 [ 削除 ] をクリックして 所定の順序で拡張ファイルを削除します ( コンポーネントが相互に依存しています ) a b c Active Response ワークスペース拡張ファイル Active Response UI 拡張ファイル Active Response ライセンス拡張ファイル McAfee Active Response インストールガイド 49

50 8 ソフトウェアを削除する Active Response 拡張ファイルを削除する d e Active Response サーバー拡張ファイル Active Response クライアント拡張ファイル 50 McAfee Active Response インストールガイド

51 0-16