FIPS 140のサポート

FIPSモードでDeep Securityを操作する際の違い

• ロードバランサー設定、[管理]→[システム設定]→[詳細]→[ロードバランサー]からアクセス可能です。
• [管理]→[システム設定]→[SMTP]経由でアクセス可能なSTARTTLSオプション。
• マルチテナント環境

• VMware vCloudでホストされる仮想マシンの追加の説明に従った、VMware vCloudでホストされた仮想マシンへの接続。また、[管理]→[システム設定]→[エージェント]→[Agentレス vCloud 保護]設定も使用できません。
• Deep Security Scanner (SAP NetWeaverとの統合)。
• 脅威インテリジェンス。

Deep Security ManagerでFIPSモードが有効かどうかを確認する

FIPSモードのシステム要件

Deep Security Managerの要件

• Red Hat Enterprise Linux 9 (64-bit)
• Red Hat Enterprise Linux 8 (64-bit)
• Red Hat Enterprise Linux 7 (64-bit)
• Windows Server 2019 (64ビット)
• Windows Server 2016 (64ビット)
• Windows Server 2012または2012 R2 (64ビット)

• PostgreSQL 13 (PostgreSQLデータベースでFIPSモードを使用するを参照)
• PostgreSQL 12 (PostgreSQLデータベースでFIPSモードを使用するを参照)
• PostgreSQL 11 (PostgreSQLデータベースでFIPSモードを使用するを参照)
• PostgreSQL 9.6 (PostgreSQLデータベースでFIPSモードを使用するを参照)
• Microsoft SQL Server 2019 Enterprise Edition ( Microsoft SQL ServerデータベースでFIPSモードを使用するを参照)
• Microsoft SQL Server 2016 Enterprise Edition (Microsoft SQL ServerデータベースでFIPSモードを使用するを参照)
• Microsoft SQL Server 2014 Enterprise Edition (Microsoft SQL ServerデータベースでFIPSモードを使用するを参照)
• Microsoft SQL Server 2012 Enterprise Edition (Microsoft SQL ServerデータベースでFIPSモードを使用するを参照)

Deep Security Agentの要件

Deep Security Virtual Applianceの要件

Deep Security ManagerのFIPSモードを有効にする

WindowsでDeep Security ManagerのFIPSモードを有効にする

1. Microsoft管理コンソールの [サービス] 画面を使用してTrend Micro Deep Security Managerサービスを停止します。
2. Windowsコマンドラインで、Deep Security Managerの作業用フォルダに移動します。例: C:\Program Files\Trend Micro\Deep Security Manager。
3. FIPSモードを有効にするには、次のコマンドを入力してください:
   dsm_c -action enablefipsmode
4. Deep Security Managerサービスを再起動します。

LinuxでDeep Security ManagerのFIPSモードを有効にする

1. Deep Security Managerコンピュータで、コマンドラインを開き、Deep Security Managerの作業フォルダ (/opt/dsmなど) に移動します。
2. 次のコマンドを入力して、Deep Security Managerサービスを停止します。
   service dsm_s stop
3. FIPSモードを有効にするには、次のコマンドを入力してください:
   dsm_c -action enablefipsmode
4. 次のコマンドを入力して、Deep Security Managerサービスを再起動します。
   service dsm_s start

FIPSモードで外部サービスに接続する

保護しているコンピュータのOSのFIPSモードを有効にする

• Windows::システム暗号: Windows XPおよびそれ以降のバージョンのWindowsにおける暗号化、ハッシュ化、および署名にFIPS準拠のアルゴリズムを使用する"セキュリティ設定の影響
• RHEL 7 または CentOS 7::連邦規格および規制とRHEL 6またはRHEL 7をFIPS 140-2準拠にする方法
• RHEL 8::RHEL 8はFIPS 140-2の要件に対応しています
• RHEL 9::システムをFIPSモードでインストールする
• Amazon Linux 2::Amazon Linux 2でのFIPSモードの有効化
• SUSE Linux Enterprise Server 12::SUSE Linux Enterprise Server 12でFIPSモードを有効にする
• SUSE Linux Enterprise Server 15::SUSE Linux Enterprise Server 15でFIPSモードを有効にする
• Oracle Linux 8::Oracle Linux 8用FIPS検証済み暗号モジュールのインストール
• Rocky Linux 9::RHEL 9 ドキュメントを使用してFIPSモードでシステムをインストールする
• Miracle Linux 8::RHEL 8 ドキュメントを使用してシステムを FIPS モードでインストールする
• Miracle Linux 9::RHEL 9 ドキュメントを使用して FIPS モードでシステムをインストールする
• Debian Linux 10::DebianでのFIPSモードの有効化
• Debian Linux 11::DebianでFIPSモードを有効にする

保護しているコンピュータでDeep Security AgentのFIPSモードを有効にする

Windows AgentのFIPSモードを有効にする

1. Windowsシステムのルートフォルダ ( C:\Windowsなど) で、ds_agent.iniという名前のファイルを探します。テキストエディタで既存のファイルを開くか、新しいファイルを作成します。
2. ファイルに次の行を追加します。
   FIPSMode=1
3. Deep Security Agentサービスを再起動します。

Linux AgentでFIPSモードを有効にする

1. /etc/にds_agent.confという名前のファイルがあるか探してください。ファイルをテキストエディタで開くか、まだファイルがない場合は新しいファイルを作成してください。
2. ファイルに次の行を追加します。
   FIPSMode=1
3. Deep Security Agentを再起動します。
   SysV initスクリプトの使用: /etc/init.d/ds_agent restart
   systemdコマンドの使用: systemctl restart ds_agent

Deep Security Virtual ApplianceのFIPSモードを有効にする

1. <DSVA_root>/etc/で、 ds_agent.confという名前のファイルを探します。テキストエディタで既存のファイルを開くか、新しいファイルを作成します。
2. ファイルに次の行を追加します。
   FIPSMode=1
3. コマンドラインからApplianceを再起動します。
   SysV initスクリプトの使用: /etc/init.d/ds_agent restart
   systemdコマンドの使用: systemctl restart ds_agent

PostgreSQLデータベースでFIPSモードを使用する

1. PostgreSQL環境を作成します。
2. PostgreSQLサーバからserver.crtファイルをコピーし、<Deep_Security_Manager_install_folder>に貼り付けてください。
3. Deep Security Managerをインストールします。
4. Deep Security ManagerでFIPSモードを有効にします。
5. デフォルトのJava cacertsファイルをDeep Security Managerのルートインストールフォルダにコピーします:
   Windowsの場合:
   copy "C:\Program Files\Trend Micro\Deep Security Manager\jre\lib\security\cacerts" "C:\Program Files\Trend Micro\Deep Security Manager\cacerts"
   Linuxの場合:
   cp "/opt/dsm/jre/lib/security/cacerts" "/opt/dsm/cacerts"
6. キーストアファイルをJKSからBCFKSに変換します。次のコマンドは、Deep Security Managerインストールフォルダにcacerts.bcfksファイルを作成します。
   Windowsの場合:
   cd C:\Program Files\Trend Micro\Deep Security Manager\jre\scripts
   keytool_fips.cmd -importkeystore -srckeystore "C:\Program Files\Trend Micro\Deep Security Manager\cacerts" -srcstoretype JKS -deststoretype BCFKS -destkeystore "C:\Program Files\Trend Micro\Deep Security Manager\cacerts.bcfks" -srcstorepass <changeit> -deststorepass <changeit>
   ここで<changeit>はあなた自身の値に置き換えます。
   Linuxの場合:
   cd /opt/dsm/jre/scripts
   keytool_fips.sh -importkeystore -srckeystore "/opt/dsm/cacerts" -srcstoretype JKS -deststoretype BCFKS -destkeystore "/opt/dsm/cacerts.bcfks" -srcstorepass <changeit> -deststorepass <changeit>
   ここで<changeit>はあなた自身の値に置き換えます。
7. 証明書 "Deep_Security_Manager_root_folder/server.crt" をインポートします:
   Windowsの場合:
   cd C:\Program Files\Trend Micro\Deep Security Manager\jre\scripts
   keytool_fips.cmd -import -alias psql -file "C:\Program Files\Trend Micro\Deep Security Manager\server.crt" -keystore "C:\Program Files\Trend Micro\Deep Security Manager\cacerts.bcfks" -storepass <changeit> -storetype BCFKS
   <changeit>を自分の値に置き換えます。
   Linuxの場合:
   cd /opt/dsm/jre/scripts
   keytool_fips.sh -import -alias psql -file "/opt/dsm/server.crt" -keystore "/opt/dsm/cacerts.bcfks" -storepass <changeit> -storetype BCFKS
   <changeit>を自分の値に置き換えます。
8. Deep Securityインストーラーは、JVMパラメーターを割り当てるために.vmoptionsファイルを使用する必要があります。
   Windowsの場合、Deep Security Manager.vmoptionsという名前のファイルをインストールフォルダに作成し、次のテキストをファイルに追加します。
   -Djavax.net.ssl.keyStoreProvider=BCFIPS
   -Djavax.net.ssl.trustStore=C:\Program Files\Trend Micro\Deep Security Manager\cacerts.bcfks
   -Djavax.net.ssl.trustStorePassword=<changeit>
   -Djavax.net.ssl.keyStoreType=BCFKS
   -Djavax.net.ssl.trustStoreType=BCFKS
   <changeit>を自分の値に置き換えます。
   Linuxの場合、インストールフォルダにdsm_s.vmoptionsという名前のファイルを作成して、そのファイルに次の文字列を追加します。
   -Djavax.net.ssl.keyStoreProvider=BCFIPS
   -Djavax.net.ssl.trustStore=/opt/dsm/cacerts.bcfks
   -Djavax.net.ssl.trustStorePassword=<changeit>
   -Djavax.net.ssl.keyStoreType=BCFKS
   -Djavax.net.ssl.trustStoreType=BCFKS
   <changeit>を自分の値に置き換えます。
9. <Deep Security Manager ディレクトリ>\webclient\webapps\ROOT\WEB-INF\dsm.properties ファイルをテキストエディタで開き、以下を追加してください:
   Windowsの場合:
   database.PostgreSQL.connectionParameters=sslmode=verify-ca&sslcert=C\:\\Program Files\\Trend Micro\\Deep Security Manager\\server.crt
   Linuxの場合:
   database.PostgreSQL.connectionParameters=sslmode=verify-ca&sslcert=/opt/dsm/server.crt
10. テキストエディタで /opt/postgresql/data/postgresql.conf ファイルを開き、次の内容を追加してください:
    ssl= on
    ssl_cert_file= 'server.crt'
    ssl_ksy_file= 'server.key'
11. PostgreSQLを再起動してから、Deep Security Managerサービスを再起動します。
12. 次のように接続を確認してください:
    cd /opt/postgresql/bin
    ./psql -h 127.0.0.1 -Udsm dsm
    プロンプトが表示されたらパスワードを入力してください。次のように表示されます:
    dsm=> select a.client_addr, a.application_name, a.usename, s.* from pg_stat_ssl s join pg_stat_activity a using (pid) where a.datname='dsm';

Microsoft SQL ServerデータベースでFIPSモードを使用する

1. Deep Security Managerサービスを停止します。
2. SQLサーバ証明書を使用してBCFKSキーストアファイルを作成します。C:\Program Files\Trend Micro\Deep Security Manager\jre\scriptsにあるkeytool_fips.cmdを使用できます。
3. 次のコマンドを使用して、SQLサーバ証明書C:\sqlserver_cert.cerを新しいキーストアファイルC:\Program Files\Trend Micro\Deep Security Manager\mssql_keystore.bcfksにインポートします:
   keytool_fips.cmd -import -alias mssql -file "C:\sqlserver_cert.cer" -keystore "C:\Program Files\Trend Micro\Deep Security Manager\mssql_keystore.bcfks" -storepass <changeit> -storetype BCFKS
   <changeit>を自分の値に置き換えます。
   keytool_fips.cmdファイルとkeytool_fips.shファイルは、DSM 20.0.970以降のバージョンでのみ利用可能です。これらのファイルがDSMインストールに含まれていない場合は、トレンドマイクロ サポートに連絡してください。
   インポートプロセス中に、[はい] を選択してこの証明書を信頼します。
4. キーストアファイルが正常に作成された場合、次のコマンドを使用してキーストアにリストされている証明書を確認できます:
   keytool_fips.cmd -list -v -keystore "C:\Program Files\Trend Micro\Deep Security Manager\mssql_keystore.bcfks" -storetype BCFKS -storepass <changeit>
   <changeit>を自分の値に置き換えます。
5. テキストエディタでC:\Program Files\Trend Micro\Deep Security Manager\webclient\webapps\ROOT\WEB-INF\dsm.propertiesファイルを開き、次の行を追加してSSL/TLSおよびFIPS設定を有効にします。
   database.SqlServer.encrypt=true
   database.SqlServer.trustServerCertificate=false
   database.SqlServer.fips=true
   database.SqlServer.trustStorePassword=<changeit>
   database.SqlServer.fipsProvider=BCFIPS
   database.SqlServer.trustStoreType=BCFKS
   database.SqlServer.trustStore=C\:\\Program Files\\Trend Micro\\Deep Security Manager\\mssql_keystore.bcfks
   <changeit>を自分の値に置き換えます。
6. オプションとして、SQLサーバおよびクライアント接続プロトコルをNamed PipesからTCP/IPに変更できます。これにより、FIPSサポートが可能になります。

   1. SQL Server構成マネージャで、[SQLネットワーク構成]→[MSSQLSERVERのプロトコル]に移動し、[TCP/IP]を有効にします。
   2. [SQL Native Client 11.0 構成]→[クライアントプロトコル]に移動して[TCP/IP]を有効にします。
   3. Microsoftが提供する手順に従って、SQLサーバデータベースインスタンスの暗号化接続を有効にしてください。データベースエンジンへの暗号化接続を有効にするを参照してください。
   4. dsm.propertiesファイルを編集し、database.sqldserver. driver=MSJDBCおよびdatabase.SqlServer.namedPipe=falseを変更します。
7. Deep Security Managerサービスを再起動します。
8. Deep Security ManagerでFIPSモードを有効にします。

FIPSモードを無効にする

1. Deep Security ManagerのFIPSモードを無効にするには、有効にするために使用した手順に従ってください (Deep Security ManagerのFIPSモードを有効にするを参照) が、ステップ3の代わりに次のコマンドを使用してください:
   dsm_c -action disablefipsmode
2. Deep Security AgentのFIPSモードを無効にするには、有効にするために使用した手順 (保護しているコンピュータ上のDeep Security AgentのFIPSモードを有効にするを参照) に従いますが、FIPSMode=1の代わりにFIPSMode=0を使用します。