トレンドマイクロ 推 奨 Windows Server 2003(32bit) 用 ポリシー を 利 用 される 前 に 必 ず 本 資 料 をご 確 認 ください Windows Server 2003 (32bit)に Deep Security Agentを 導 入 する 際 の 注 意 点 と トレンドマイクロ 推 奨 ポリシーの 考 え 方 について トレンドマイクロ 株 式 会 社 2014 年 12 月 9 日 作 成 2014 年 12 月 18 日 更 新 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 1
Windows Server 2003(32bit) 環 境 での 注 意 点 Windows Server 2003 (32bit)では カーネルで 利 用 可 能 な 非 ページプールの 上 限 が256MBと 制 限 されています Deep Security Agent( 以 下 DSA) 侵 入 防 止 機 能 を 利 用 することでWindows OSの 非 ページプールの 領 域 を 使 用 します メモリ 消 費 量 は 適 用 するIPSルール 数 検 出 数 (ハンドルしている TCP 数 )に 依 存 します 非 ページプールの 枯 渇 により 他 ミドルウェアやOSが ハングアップしてしまう 可 能 性 がございます 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 2 出 典 : Windows の 限 界 に 挑 む: ページ プールと 非 ページ プール <http://technet.microsoft.com/ja-jp/windows/mark_03.aspx>
参 考 情 報 : IPSルール 数 に 応 じた 非 ページプール 領 域 の 容 量 について 注 意 :あくまで 検 証 環 境 上 でのデータです 実 際 のお 客 様 環 境 におけるパフォーマンス をお 約 束 するデータではございません テスト 内 容 下 表 に 記 載 した4つの 環 境 において Jmeterで 負 荷 テストを 実 施 Jmeterで 送 付 したHTTPリクエストは 以 下 のような 内 容 をランダムで50,000 回 実 施 500KBのファイルをダウンロード SQL Injection Bash/Apache/PHPなどの 脆 弱 性 をつく 攻 撃 コード 結 果 の 測 定 はWindowsパフォーマンスモニターで 計 測 非 ページ 領 域 の 容 量 テスト 中 の 最 大 値 環 境 非 ページプールの 領 域 (KB) 結 果 1. DSAなし 13,804 2. DSAあり( 有 効 化 のみ ルール 割 り 当 て 無 し) 35,728 3. DSAあり 100ルール 適 用 41,868 4. DSAあり 200ルール 適 用 73,848 DSAに 適 用 するルールが 増 えることにより パケット 検 査 の 際 に 非 ページプール 領 域 を 圧 迫 してしまうことが 確 認 されました 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 3
対 応 策 本 事 象 はパフォーマンスが 原 因 で 発 生 するため 回 避 策 としては 以 下 の3パター ンをご 検 討 ください 1. 定 期 的 なメモリ 開 放 定 期 的 なOSの 再 起 動 定 期 的 なメモリ 開 放 ツールの 利 用 例 )Microsoft 社 Windows Server 2003 Resource Kit Toolsに 含 まれる Empty.exe: Free Working Set Tool 等 次 のスライド 以 降 でご 説 明 します 2. 不 要 なIPSルールを 削 減 する サーバOSでは 一 般 的 には 不 要 と 考 えられるIPSルールを 適 用 しないようにチューニングした トレンドマイクロ 推 奨 Windows Server 2003(32bit) 用 ポリシー を 利 用 3. メモリ 整 理 の 実 施 タイミングをチューニングする Windows 環 境 においてデフォルト 設 定 では ページプールの 上 限 80% 分 のメモリ 使 用 に 達 すると メモリの 調 整 処 理 が 実 行 されます この 処 理 を 行 うタイミングを 早 めることで バースト 的 にメモリを 使 用 する 処 理 が 発 生 して も 上 限 内 で 済 むようにすることが 狙 いです 設 定 方 法 :http://support2.microsoft.com/kb/312362/ja 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 4
トレンドマイクロ 推 奨 Windows Server 2003(32bit) 用 ポリシー Windows Server2003 環 境 向 け Deep Security 推 奨 ポリシーの 考 え 方 と 適 用 イメージ
Windows Server2003 環 境 向 け Deep Security 推 奨 ポリシーの 考 え 方 について 本 資 料 は Windows Server2003を 対 象 にDeep Securityの 侵 入 防 御 機 能 (IDS/IPSルール)を 利 用 する 場 合 におけるルール 適 用 の 最 適 化 ( 取 捨 選 択 ) に 対 する 考 え 方 と 最 適 化 されたルールの 適 用 方 法 を 纏 めたものです 想 定 利 用 場 面 : 1 導 入 環 境 がHWリソースが 少 ない 既 存 アプリの 稼 働 からリソースがひっ 迫 している 状 態 で あることから 導 入 による 影 響 を 最 小 限 に 抑 えたい 2 既 にDSを 導 入 済 み または 運 用 中 だが 導 入 後 にパフォーマンス 面 の 問 題 が 発 生 し 原 因 がIDS/IPSのルール 数 に 依 存 したパフォーマンス 問 題 であると 分 かっている 3 その 他 パフォーマンスへの 影 響 をとにかく 最 小 化 したい 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 6
ポリシー 最 適 化 ( 取 捨 選 択 )のスコープ ミドルウェア 以 上 は お 客 様 のサーバ 用 途 ごとに 異 なる 為 推 奨 設 定 の 検 索 を 利 用 してルールを 適 用 アプリケーション(MS 社 以 外 ) ミドルウェア (MS 社 以 外 ) アプリケーション(MS 社 ) ミドルウェア (MS 社 ) ここが 対 象 オペレーティングシステム 推 奨 設 定 の 検 索 とは 保 護 するコンピュータ 情 報 をもとに 必 要 なIDS/IPSルールを 自 動 的 に 適 用 する 機 能 です 本 機 能 を 利 用 することで コンピュータにとって 不 要 な ルール 適 用 を 防 ぎ 必 要 なルールをタイムリーに 適 用 することが 可 能 になります 詳 細 はこちらをご 参 照 ください http://esupport.trendmicro.com/solution/ja-jp/1311156.aspx 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 7
最 適 化 ( 取 捨 選 択 )の 考 え 方 DSの 侵 入 防 御 機 能 (IDS/IPS)では サーバのみならず クライアント 環 境 の 保 護 も 想 定 された 仮 想 パッチ(ルール)を 多 く 搭 載 しています その 為 今 回 のようにリソースが 逼 迫 している 環 境 では 適 用 するルール 数 を 減 らすために [クライアント 環 境 でのみ 利 用 される 可 能 性 の 高 いソフトウェアに 関 連 するルール]は 適 用 外 とします [クライアント サーバどちらの 環 境 でも 比 較 的 使 われる 可 能 性 が 高 いソフトウェアに 関 連 する ルール]については 適 用 対 象 にします クライアントアプリ (Office 関 連 Browserなど) クライアント&サーバ 共 有 アプリ (Adobe, java ) 適 用 対 象 外 ここが 対 象 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 8
ポリシー 作 成 にあたる 検 証 結 果 以 下 のテスト 環 境 において2014 年 10 月 22 日 にリリースされた 仮 想 パッチ 使 って 推 奨 設 定 の 検 索 を 実 施 したところ 388ルール(16 種 類 のアプリケーションに 関 連 ) が 適 用 されました 環 境 Microsoft Windows Server 2003 (32 bit) Service Pack 2 Build 3790 ルールのバージョン 14-033.dsru (2014/10/22リリース) 推 奨 ルール 適 用 数 アプリケーションの 種 類 388ルール 17 1) Web Client Internet Explorer 2) Web Server Common 3) Web Client Common 4) Web Client SSL 5) NNTP Client Microsoft Outlook Express 6) Windows Services RPC Server DCERPC 7) Windows Services RPC Server 8) Windows Services RPC Client 9) Port Mapper FTP Client 10) Mail Client Outlook Express 11) Web Server IIS 12) Kerberos KDC Server 13) Microsoft Office 14) Remote Desktop Protocol Server 15) FTP Client Miscellaneous 16) Web Application Miscellaneous 17) SSL/TLS Server 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 9
各 アプリケーションにおけるルール 適 用 有 無 の 検 証 結 果 アプリケーションの 種 類 適 用 有 無 理 由 Web Client Internet Explorer Internet Explorer をサーバ 上 では 実 行 しないことが 条 件 Web Server Common - ミドルウェア 側 のアプリと 依 存 関 係 があるため 適 用 有 無 は 推 奨 設 定 の 検 索 にて 判 断 監 視 する 対 象 のポートを 絞 り 込 むことを 推 奨 いたします Web Client Common Adobe,Javaなどサーバで 利 用 されるソフトウェアが 含 まれるため Web Client SSL SSLのクライアント 通 信 はサーバでも 利 用 されているケースが 多 くあるため (OPNSSLv3 等 ) NNTP Client Microsoft Outlook Express Windows Services RPC Server DCERPC Windows Services RPC Server お 客 様 環 境 に 合 致 しない 場 合 は 次 スライドを 参 考 にポリシーのカスタマイズを 実 施 してください Outlook Expressはサーバに 入 ってないことを 想 定 しているため Exchangeなどを 利 用 している 場 合 は 要 注 意 RPCはサーバ 上 で 稼 働 している 可 能 性 が 高 いため Windows Services RPC Client Port Mapper FTP Client ブラウザを 経 由 したFTPを 使 った 攻 撃 を 検 出 するルール サーバ 上 ではブラウザを 利 用 しない 事 を 想 定 し 適 用 対 象 から 除 外 Mail Client Outlook Express Outlook Expressはサーバに 入 ってないことを 想 定 しているため Exchangeなどを 利 用 している 場 合 は 要 注 意 Web Server IIS - 適 用 有 無 はミドルウェア 側 で 判 断 ( 推 奨 設 定 の 検 索 にて 判 断 ) Kerberos KDC Server Kerberos 認 証 はサーバ 上 で 利 用 しているため Microsoft Office サーバ 上 にはMicrosoft Officeが 入 ってないことを 想 定 Remote Desktop Protocol Server メンテナンス 目 的 にRDPを 利 用 している 可 能 性 が 高 いため FTP Client Miscellaneous FTPクライアントはサーバ 上 において 利 用 されていないことを 想 定 したため Web Application Miscellaneous.NET Framework CMSなどサーバ 上 では 稼 働 している 可 能 性 が 高 いため SSL/TLS Server SSLのクライアント 通 信 はサーバでも 利 用 されているケースが 多 くあるため(OPNSSLv3 等 ) 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 10
参 考 )IPSルール 最 適 化 の 手 順 適 用 対 象 から 外 すアプリケーションについて 推 奨 設 定 の 検 索 から 除 外 設 定 にしています 本 ポリシーでは 適 用 対 象 外 になっているが 適 用 対 象 に 戻 したい 場 合 は こちらの 設 定 箇 所 でチューニングを 実 施 してください 1. DSM 管 理 コンソールにログイン 2. [ポリシー] 該 当 ポリシーの 詳 細 画 面 [ 侵 入 防 御 ] ポリシー 一 覧 を 表 示 3. 該 当 のアプリケーションを 右 クリック-[アプリケーションの 種 類 プロパティ]を 選 択 4. [オプション]タブ 推 奨 設 定 から 除 外 :いいえ を 選 択 (はい: 除 外 されたまま) 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 11
最 適 化 ( 取 捨 選 択 ) 後 のルール 数 推 奨 設 定 の 検 索 において 適 用 されたルールを アプリケーションの 種 類 別 に 適 用 要 否 の 判 断 を 行 い 最 適 化 を 行 ったところ 以 下 のように 削 減 することができました 最 適 化 したルール 数 127ルール ( 約 1/3に 削 減 ) アプリケーションの 種 類 13 (4グループ 削 減 ) 適 用 対 象 から 外 したアプリケーションに 関 連 するルールは 今 後 新 規 ルールがリリースされた 場 合 に 推 奨 設 定 の 検 索 を 実 施 した 場 合 も 自 動 的 には 適 用 されません 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 12
推 奨 ポリシーのチューニング 情 報 まとめ(1/3) 有 効 にしている 機 能 : 侵 入 防 御 のみ 侵 入 防 御 の 設 定 侵 入 防 御 の 動 作 : 防 御 割 り 当 てられているルール: 無 し 推 奨 設 定 の 検 索 によるルール 自 動 適 用 の 対 象 外 のアプリケーション: Web Client Internet Explorer NNTP Client Microsoft Outlook Express Port Mapper FTP Client Mail Client Outlook Express Microsoft Office FTP Client Miscellaneous IPSルール 適 用 除 外 の 基 準 (p6)をご 参 照 の 上 お 客 様 の 環 境 に 基 準 が 合 致 することをご 確 認 のうえ 推 奨 ポリシーをご 利 用 ください 侵 入 防 御 の 推 奨 設 定 を 自 動 的 に 適 用 :はい 推 奨 設 定 の 検 索 実 行 時 に 最 適 ルールを 自 動 適 用 します Windows Server 2003 推 奨 侵 入 防 御 ポリシーファイル は こちらからダウンロードしてください URL:http://esupport.trendmicro.com/media/jp/campaign_media/ds/ds_download/r_policy.zip 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 13
推 奨 ポリシーのチューニング 情 報 まとめ(2/3) Firewall ネットワークエンジン 機 能 設 定 値 変 更 前 変 更 後 変 更 理 由 Firewall, IDS/IPS 最 大 TCP 接 続 数 : 1000 10000 Webサーバなどアクセス 数 が 多 い 環 境 では デフォルトの 数 値 よりも 多 最 大 UDP 接 続 数 1000 10000 くの 接 続 が 発 生 したケースが 確 認 されている 為 デフォルトよりも 多 く 設 定 最 小 フラグメントオフセット 60 0 アプリやネットワークの 環 境 によっては 小 さなフラグメントが 正 常 な 通 信 でも 発 生 する 場 合 があり 正 常 な 通 信 をブロックしてしまう 可 能 性 を 考 最 小 フラグメントサイズ: 120 0 慮 し フラグメントのサイズのチェックを 無 効 化 IPv6 拡 張 タイプ0のドロップ はい いいえ 最 小 MTU 未 満 のIPv6フラグ メントのドロップ IPv6 予 約 済 みアドレスのド ロップ IPv6Bogonアドレスのドロッ プ はい はい はい いいえ いいえ いいえ IPv6 関 連 のパケットの 不 要 な 通 信 拒 否 処 理 を 避 けるため 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 14
推 奨 ポリシーのチューニング 情 報 まとめ(3/3) IDS/IPSルール ルール ID 設 定 値 変 更 前 変 更 後 変 更 理 由 1000128 HTTP Protocol Decoding Specify raw characters that are not allowed in the URI: 0x00-0x19,0x7f- 0xffをブロック 空 欄 ブロックしない URIに 使 用 可 能 な 文 字 使 用 不 可 能 な 文 字 はRFC3986に 記 載 さ れています DSでは URIで 使 用 不 可 能 な 文 字 がパーセントエンコードされていな い 状 態 で 送 信 されている 場 合 RFCに 従 わない 不 正 なリクエストをブロックします 業 務 システム 古 いシステムでは それらを 考 慮 せずに 作 られたアプリ ケーションが 存 在 するケースがあり デフォルトの 設 定 ではブロックするケースが 過 去 あったことから ブロックし ないように 変 更 しています 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 15
推 奨 ポリシー 適 用 手 順 印 の 手 順 は この 後 のスライドで 補 足 いたします 詳 細 な 手 順 はこちらのページでご 確 認 いただけます URL: http://esupport.trendmicro.com/ja-jp/campaign/ds/2003eos_support.aspx#installation 1. Deep Security Managerを 構 築 する http://esupport.trendmicro.com/solution/ja-jp/1097172.aspx#step2 2. Windows Server 2003 にDeep Security Agentをインストールする http://esupport.trendmicro.com/solution/ja-jp/1097197.aspx 3. DSMにDSAを 登 録 する http://esupport.trendmicro.com/solution/ja-jp/1310066.aspx 4. DSMに 推 奨 ポリシーをインポートする 5. Web Server Common ポートグループを 編 集 し 監 視 対 象 を80/443/ お 客 様 がご 利 用 中 のポートのみに 変 更 する 6. DSAに 推 奨 ポリシーを 適 用 し 推 奨 設 定 の 検 索 を 実 施 する 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 16
補 足 )DSMに 推 奨 ポリシーをインポートする 1 2 3 4 5 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 17
補 足 ) Web Server Common ポートグループを 編 集 し 監 視 対 象 を80/443/お 客 様 がご 利 用 中 のポートのみに 変 更 する 1 3 4 検 索 結 果 を ダブルクリックします Web Server Common を 検 索 ボックスに 入 力 します 2 5 デフォルトでは 監 視 ポートが 多 数 登 録 されて いますが 不 要 なポートは 消 去 します 基 本 的 には80 / 443 / お 客 様 がご 利 用 中 のポートを 残 し 残 りは 消 去 し OK をクリック します 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 18
補 足 ) DSAに 推 奨 ポリシーを 適 用 し 推 奨 設 定 の 検 索 を 実 施 する 1 2 ダブルクリック 3 プルダウンから 推 奨 ポリシーを 選 択 し 保 存 画 面 下 部 の 推 奨 設 定 の 検 索 をクリック 4 12/18/2014 Copyright 2014 Trend Micro Incorporated. All rights reserved. 5
Thank You