コマンドラインユーティリティ

Deep Security Agent

Vulnerability Protection Agent

dsa_control

使用方法

dsa_control [-a <str>] [-b] [-c <str>] [-d] [-g <str>] [-s <num>] [-m] [-p <str>] [-r] [-R <str>] [-t <num>] [--buildBaseline] [--scanForChanges] [有効化/ハートビート中にManagerに送信する追加のキーワード:値データ]

• -a <str>, --activate=<str>: 指定されたURLのManagerに対してAgentを有効化します。URLの形式は必ず「dsm://ホストまたはIP:ポート/」にしてください。ポートはManagerのハートビートポート (初期設定では4120) です。
• -b, --bundle: アップデートバンドルを作成します。
• -c <str>, --cert=<str>: 証明書ファイルを特定します。
• -d, --diag: Agentの診断パッケージを生成します。
• -g <str>, --agent=<str>: AgentのURLです。初期設定は「https://localhost:4118/」です。
• -m, --heartbeat: Managerに今すぐ接続するようにAgentに指示します。
• -p <str>, --passwd=<str>: 認証パスワードです。パスワードの入力を求めるプロンプトを表示するには、「*」を指定します。
  「-p」パラメータに続けて、パスワードを入力します。「-p」パラメータの後に「*」を指定すると、Enterキーを押した後でパスワードの入力を求めるプロントが表示されます。パスワードは、1文字入力するごとに「*」で置き換えられ (隠され) ます。
• -r, --reset: Agentの設定をリセットします。
• -R <str>, --restore=<str>: 隔離ファイルを復元します。
• -s <num>, --selfprotect=<num> ローカルのエンドユーザによるAgentのアンインストール、停止、または制御を拒否することによって、Agentのセルフプロテクションを有効にします。セルフプロテクションが有効な場合、コマンドラインの命令に認証パスワードを含める必要があります (1: 有効、0: 無効)。この機能はWindows版でのみ使用できます。
  Deep Security 9.0以前では、このオプションは、-H <num>, --harden=<num>でした。
• -t <num>, --retries=<num>: このパラメータは、Vulnerability ProtectionDeep Security Agentサービスに接続してdsa_controlコマンドの指示を実行できない場合に、dsa_controlを再試行する回数 （<num>) を設定します。再試行は、1秒おきに実行されます。
• --buildBaseline: 変更監視のベースラインを構築します。
• --scanForChanges: 変更監視の変更を検索します。

Agentからのリモート有効化 (「dsa_control -a」)

Managerがコンピュータを保護するためのルールとポリシーを割り当てられるようにするには、そのコンピュータにインストールされているAgentを有効化する必要があります。有効化プロセスには、AgentとManager間での一意のフィンガープリントの交換が含まれます。その結果、1つのVulnerability ProtectionDeep Security Manager (またはいずれか1つのManagerノード) だけがAgentに指示を送信し、通信できるようになります。

[コンピュータ] 画面でコンピュータを右クリックして、[処理]→[有効化/再有効化] の順に選択すると、Vulnerability ProtectionDeep Security Managerから手動でAgentを有効化できます。

Vulnerability ProtectionDeep Security Agentでは、ローカルで実行するコマンドラインツールを使用して有効化プロセスを開始できます。これは、Vulnerability ProtectionDeep Securityのインストール環境に多数のコンピュータを追加するため、有効化プロセスを自動化するスクリプトを記述する場合に便利です。

有効化の命令には、少なくとも有効化コマンドとManagerのURL (ポート番号を含む) を含めます。

dsa_control -a dsm://[managerurl]:[port]/

指定する項目は次のとおりです。

• -aはAgentを有効化するコマンドです。
• dsm://managerurl:4120/はVulnerability ProtectionDeep Security ManagerのURLをAgentに示すためのパラメータです (「managerurl」は、Vulnerability ProtectionDeep Security ManagerのURL、「4120」はAgentからManagerへの初期設定の通信ポートです)。

ManagerのURLは、有効化コマンドの唯一の必須パラメータです。追加のパラメータを使用することもできます (以下の使用可能なパラメータの表を参照してください)。パラメータはキー:値のペアとして入力する必要があります (セパレータにはコロンを使用します)。入力可能なキー:値のペアの数に制限はありませんが、キー:値のそれぞれのペアを空白文字で区切る必要があります。次に例を示します。

dsa_control -a dsm://sec-op-john-doe-3:4120/ hostname:ABCwebserver12 "description:Long Description With Spaces" (空白文字を含む長い説明)

(引用符が必要なのは、空白文字または特殊文字が値に含まれる場合のみです。)

プロキシサーバを経由した、プライベートネットワーク上でのAgentからのリモート有効化

プライベートネットワーク上のAgentは、AgentからのVulnerability ProtectionDeep Security Managerとの通信を、プロキシサーバ経由で実行できます。

プロキシサーバを経由したプライベートネットワーク上でのAgentからのリモート有効化を許可するには

1. Vulnerability ProtectionDeep Security Managerで、[管理]→[システム設定]→[Agent] 画面に進みます。
2. [Agentからのリモート有効化] エリアで次の手順を実行します。
   • [Agentからのリモート有効化を許可] を選択します。
   • [Agentによるホスト名指定を許可] を選択します。
   • [同じ名前のコンピュータがすでに存在する場合] のリストから、[同じ名前で新規コンピュータを有効化] を選択します。
3. [保存] をクリックします。

Agentがプロキシサーバ経由でVulnerability ProtectionDeep Security Managerと通信するように設定するには、次のコマンドラインオプションを使用します。

Agentからのリモート有効化を行うには、最初にプロキシ設定コマンドを発行し、次にAgentからのリモート有効化のコマンドを発行する必要があります。プロキシサーバのアドレスと認証情報の設定、およびAgentの有効化を実行する一連のコマンドの例を次に示します。

dsa_control -x "dsm_proxy://172.21.3.184:808/"
dsa_control -u "root:Passw0rd!"
dsa_control -a "dsm://seg-dsm-1:4120/"
Vulnerability ProtectionDeep Security Managerで必要な設定

Agentからのハートビート有効化 (「dsa_control -m」)

Agentからのハートビートコマンドは、Vulnerability ProtectionDeep Security Managerに対するハートビート処理をただちに実行するようにAgentに指示します。ハートビートコマンドは、上記の有効化コマンドと同様これだけでも十分役に立ちますが、このコマンドを使用してVulnerability ProtectionDeep Security Managerに様々なパラメータセットを渡すこともできます。

次の表は、有効化コマンドとハートビートコマンドで使用できるパラメータを一覧表示しています。有効化でしか使用できないパラメータや、ハートビートでしか使用できないパラメータもあります。

dsa_query

dsa_queryツールは次の情報を提供します。

• 各コンポーネントのライセンスのステータス
• 検索の進捗状況
• セキュリティアップデートコンポーネントのバージョン情報

使用方法

dsa_query [-c <str>] [-p <str>] [-r <str>]

• -p,--passwd <文字列>: 認証パスワードです。Agentのセルフプロテクションが有効な場合は必須です。
  一部のクエリコマンドでは認証を直接バイパスできます。このような場合、パスワードは必要ありません。
• -c,--cmd <文字列>: ds_agentに対してクエリコマンドを実行します。次のコマンドがサポートされます。
  • "GetHostInfo":ハートビート中にVulnerability ProtectionDeep Securityに返されるIDを照会します。
  • "GetAgentStatus":有効な保護モジュールとその他の情報を照会します。
  • "GetComponentInfo":不正プログラム対策のパターンおよびエンジンのバージョン情報を照会します。
• -r,--raw <文字列>: 「-c」と同じクエリコマンドの情報を返しますが、サードパーティのソフトウェアで解釈できるようにrawデータ形式で出力します。

pattern: 結果をフィルタするためのワイルドカードのパターン (オプション)。

例:
dsa_query -c "GetComponentInfo" -r "au" "AM*"

Vulnerability ProtectionDeep Security Manager

dsm_cvp_c

使用方法

dsm_cvp_c -action 処理名