Deep Security Virtual Applianceの配信

手順1: Deep Security Managerにアプライアンスパッケージをインポートします

ヒント アプライアンスZIPをインポートする代わりに、OVFファイルをURLの場所に配置して、NSXがダウンロードする速度を速めることができます。詳細については、アプライアンスOVFの場所を構成するを参照してください。

1. Deep Security Virtual Applianceパッケージをダウンロードしてください。バージョン要件はシステム要件で確認してください。
   複数のバージョンのアプライアンスをインポートできます。マネージャは最新のパッケージを選択します。
2. Deep Security Managerで、[管理]→[アップデート]→[ソフトウェア]→[ローカル]に移動します。
3. [インポート]をクリックして、パッケージをDeep Security Managerにアップロードします。
   インポート時に、Deep Security Managerは仮想アプライアンスVMのOSと互換性のあるエージェントも自動的にダウンロードおよびインポートします。このエージェントは、64ビットRed Hat Enterprise Linux用のDeep Security Agentと同じ保護モジュールを持っています。
4. 別の埋め込みエージェントを指定する場合は、[管理]→[システム設定]→[更新]に移動し、[Virtual Applianceの配置]を探します。デフォルトでは、[Virtual Applianceの配置]オプションは[利用可能な最新バージョン (推奨)]に設定されています。これにより、マネージャはVirtual Applianceを最新のインポートされた埋め込みエージェントを使用するようにアップグレードすることを示します。必要に応じてこの設定を変更してください。

ステップ2: Deep Security ManagerにvCenterを追加する

• ゲストVMがDeep Security Managerに表示されます。
• Trend Micro Deep SecurityサービスがNSX-Tに登録されています。

手順3: ESXiサーバの準備

1. vSphere Web Clientで、[ホーム]→[ネットワーキングとセキュリティ]→[インストール]→[ホストの準備]に移動します。
   
2. Deep Securityで保護するNSXクラスタを [クラスターとホスト] リストから見つけて、[インストールステータス] 列で [インストール] をクリックします。インストールが完了すると、ドライバのバージョンが [インストールステータス] 列に表示されます。
   
   以上でESXiホストの準備が完了しました。ホストの準備に関するより詳しい手順については、VMwareのドキュメントを参照してください。

手順4: Guest Introspectionをインストールする

警告 不正プログラム対策および侵入防御は、Guest Introspectionをインストールしないと機能しません。

1. vSphere Web Clientで、[ホーム]→[ネットワーキング & セキュリティ]→[インストール]に移動し、[Service Deployments]タブをクリックします。
   
2. 緑色のプラスアイコン () をクリックしてください。
   [ネットワークとセキュリティサービスを展開する]ウィンドウが表示されます。
3. [ゲストインストロスペクション] を選択し、[次へ] をクリックします。
   
4. 保護するESXiサーバおよび仮想マシンを含むクラスタを選択し、[次へ] をクリックします。
   
5. データストア、NSXクラスタで使用する分散ポートグループ、およびIP割り当ての方法を選択し、[次へ] をクリックします。
   
6. 設定を確認し、[完了]をクリックしてください。
   
   ESXiサーバにGuest Introspectionサービスがインストールされます。この処理には数分かかることがあります。完了すると、[インストールステータス] が「Succeeded」になります。最新のステータスを表示するには、vSphere Web Client画面の更新が必要なことがあります。
   

手順5: Deep Security Virtual ApplianceをNSX-Vにインストールする

1. vSphere Web Clientで[ホーム]→[ネットワーキングとセキュリティ]→[インストール]→[サービスの展開]に移動します。
2. 緑色のプラス記号 () をクリックします。
   
3. 表示された新しいウィンドウで、[Trend Micro Deep Security] サービスを選択し、[次へ] をクリックします。このサービスが表示されない場合は、vCenterがDeep Security Managerにまだ追加されていない可能性があります。詳細については、手順2: Deep Security ManagerにvCenterを追加するを参照してください。
   
4. [完了]をクリックします。
   配信が完了すると、クラスタ内のネットワークとセキュリティサービスの配信のリストに、Trend Micro Deep Securityサービスが表示されます。
   

手順6: NSXセキュリティグループとポリシーを作成する

1. vSphere Web Clientで、[ホーム]→[ネットワーキングとセキュリティ]→[サービスコンポーザー]→[セキュリティグループ]に移動します。
2. [新しいセキュリティグループ]() をクリックしてください。
   
3. [Define dynamic membership:: このグループのメンバーシップをフィルタ条件に基づいて制限する場合は、その条件を入力します。
   
4. 含めるオブジェクトを選択します。
   NSXセキュリティグループのオブジェクトを追加または削除する方法は、多数あります。ここでは、保護対象のESXiホストと仮想マシンを含むNSXクラスタを追加します。[含めるオブジェクトを選択] のオプションで、[オブジェクトの種類] メニューの [クラスター] を選択し、保護対象の仮想マシンを含むNSXクラスタを [選択したオブジェクト] 列に移動します。
   

   注意 VMが複数のセキュリティグループに含まれている場合、Deep Security Managerで[コンピュータ]に移動してVMの名前を検索すると、検索結果に複数回表示されます。詳細については、ホストが複数のNSXセキュリティグループにある場合、コンピュータページに重複したホストレコードが表示されるを参照してください。

5. [完了] をクリックして新しいセキュリティグループを作成し、[セキュリティグループ] タブに戻って新しいセキュリティグループが表示されることを確認します。
   

1. vSphere Web Clientで[Home]→[Networking and Security]→[Service Composer]→[Security Policies]に移動します。
2. [新しいセキュリティポリシー]をクリックしてください。
   
3. [Guest Introspection Services: 不正プログラム対策または侵入防御モジュールを使用している場合は、Guest Introspection Servicesを設定します。

   警告 不正プログラム対策および侵入防御は、Guest Introspectionをインストールしないと機能しません。

   緑色のプラス記号 () をクリックして[エンドポイントサービス]を追加します。Endpointサービスの名前を指定し、次のように設定します。
   • 処理:を適用
   • サービス名: Trend Micro Deep Security
   • Service Profile: [デフォルト (EBT)]を選択します。これは、Deep Security Managerでイベントベースのタスクを実行するように設定されたプロファイル設定です。
   • ステータス: 有効
   • 施行する: はい

   

   [OK]をクリックし、次に[次へ]をクリックします。
4. ファイアウォールルール: 変更を加えないでください。[次へ]をクリックしてください。
5. Network Introspection Services: Network Introspection ServicesはNSX AdvancedおよびEnterpriseでのみ利用可能で、Webレピュテーション、ファイアウォール、または侵入防御モジュールを使用している場合にのみ設定する必要があります。NSXセキュリティポリシーにNetwork Introspectionサービスを2つ追加します。1つは送信トラフィック用でもう1つは受信トラフィック用です。

   1. 最初に、送信用のサービスを追加します。[Network Introspection Services] オプションで、緑色のプラス記号をクリックして新しいサービスを作成します。[ネットワークイントロスペクションサービスを追加] 画面で、サービスの名前を指定し (「Outbound」という語句を含めることを推奨)、次のように設定します。
      • 処理: Redirect to service
      • サービス名: Trend Micro Deep Security
      • Service Profile: を選択[デフォルト (EBT)]
      • ソース: Policy's Security Groups
      • 送信先: すべて
      • サービス: 任意
      • ステータス:有効
      • ログ記録: ログを記録しない
        
   2. 次に、受信用のサービスを追加します。[Network Introspection Services] オプションで、緑色のプラス記号をクリックして新しいサービスを作成します。[ネットワークイントロスペクションサービスを追加] 画面で、サービスの名前を指定し (「Inbound」という語句を含めることを推奨)、次のように設定します。
      • [Redirect to service:] はい
      • サービス名: Trend Micro Deep Security
      • Service Profile: を選択[デフォルト (EBT)]
      • ソース: すべて
      • 送信先: Policy's Security Groups
      • サービス: 任意
      • ステータス:有効
      • ログ記録: ログを記録しない
        
   3. [ネットワーク検査サービスを追加]ウィンドウで[OK]をクリックし、次に[完了]をクリックして[新しいセキュリティポリシー]ウィンドウを完了して閉じます。
   これで、Deep Security用のNSXセキュリティポリシーが作成されました。

1. vSphere Web Clientの[ホーム]→[ネットワーキング & セキュリティ]→[サービスコンポーザー]ページの[Security Policies]タブに留まります。
2. 新しいセキュリティポリシーを選択したら、[セキュリティポリシーを適用]アイコン () をクリックしてください。
3. [セキュリティグループにポリシーを適用] 画面で、保護する仮想マシンが含まれているセキュリティグループを選択し、[OK] をクリックします。

   

   これで、NSXセキュリティグループの仮想マシンにNSXセキュリティポリシーが適用されました。

手順7: NSX-Vで有効化を準備する

• 方法1: [Computer Created]イベントベースのタスクを作成する
• 方法2: 'NSX Security Group Change'イベントベースタスクの作成
• 方法3: Deep SecurityポリシーをNSX-Vに同期する

• 一部のメソッドは一部のNSXバージョンではサポートされていません。詳細については、以下の表を参照してください。
• 方法1: この方法では、システム内で新しく作成されたVMは自動的にアクティブ化され、ポリシーが割り当てられます。
• 方法2: この方法では、新規および既存のVMが指定されたNSXセキュリティグループに移動されると、自動的にアクティブ化され、ポリシーが割り当てられます。
• 方法 3: この方法では、新規および既存のVMが指定されたNSXセキュリティグループに移動されると、アクティベートされてポリシーが割り当てられます。これは方法 2 に似ています。ただし、方法 2 とは異なり、Deep SecurityポリシーはDeep Securityのイベントベースのタスクではなく、VMware UIを通じて割り当てられます。

方法1: コンピュータの作成イベントベースタスクを作成する

1. Deep Security Managerで、上部にある[管理]をクリックします。
2. 左側で[イベントベースタスク]をクリックします。
3. メイン画面で、[新規]をクリックします。
4. [イベント] ドロップダウンリストから [コンピュータの作成 (システムによる)] を選択します。[次へ] をクリックします。
5. [コンピュータの有効化]を選択し、5分に設定します。
6. [ポリシーの割り当て]を選択し、ドロップダウンリストからポリシーを選択します。例えば、[Windows Server 2016]。矢印をクリックして子ポリシーを表示できます。[次へ]をクリックします。
7. イベントベースのタスクがトリガーされる条件を指定します。この条件を追加してください:
8. イベントベースのタスクがトリガーされる条件をさらに制限する条件を追加します。例えば、すべてのWindows VMにWindowsというプレフィックスを含む命名規則がある場合、次のように設定します:
   [コンピュータ名] は Windows* に一致します
   [次へ] をクリックします。
9. [名前]フィールドに、割り当てたポリシーを反映するタスクの名前を入力します。例えば、Activate Windows Server 2016。
10. [タスクの有効化] を選択し、[完了] をクリックします。
11. 割り当てを計画している各Deep Securityポリシーごとに、追加のイベントベースタスクを作成します。イベントベースタスクは、[コンピュータの作成 (システムによる)]のイベントタイプを持ち、コンピュータをアクティブにしてポリシーを割り当てるように構成する必要があります。
    イベントベースタスクを設定して、新しく作成されたVMにポリシーをアクティブ化および割り当てるようにしました。VMが作成されるとすぐに、すべての[コンピュータの作成 (システムによる)]イベントベースタスクがレビューされます。タスクの条件が満たされると、タスクがトリガーされ、VMがアクティブ化され、関連するポリシーが割り当てられます。

方法2: NSXセキュリティグループの変更イベントベースタスクを作成する

1. Deep Security Managerで、上部にある[管理]をクリックします。
2. 左側で[イベントベースタスク]をクリックします。
3. メインペインで、[<your_vCenter_name>を有効化]というイベントベースのタスクを探します。それが存在する場合もあれば、存在しない場合もあります。
4. [有効化]イベントベースのタスクが存在する場合は、それをダブルクリックし、以下の表を確認して、適切に構成されていることを確認してください。存在しない場合は、[新規]をクリックしてウィザードを実行し、以下の表に準拠していることを確認してください。
5. 複数のvCenterサーバーをマネージャに追加した場合は、追加の[有効化]イベントベースタスクを作成してください。

1. Deep Security Managerのメインペインで、[<your_vCenter_name>を無効化]というイベントベースのタスクを探します。それが存在するかどうかはわかりません。
2. [無効化]イベントベースのタスクが存在する場合は、それをダブルクリックして、以下の表を確認し、正しく構成されていることを確認してください。存在しない場合は、[新規]をクリックしてウィザードを実行し、以下の表に従ってください。
3. 複数のvCenterサーバーをマネージャに追加した場合は、追加の[無効化]イベントベースタスクを作成してください。

方法3: Deep SecurityポリシーをNSX-Vと同期する

1. Deep Security Managerにログインします。
2. Deep Security Manager のすべてのポリシーが NSX と同期される前に一意の名前を持っていることを確認してください。すべてのデフォルトのポリシーには一意の名前があります。
3. 上部で、[コンピュータ]をクリックします。
4. 左側で、同期を有効にしたいvCenterを右クリックし、[のプロパティ]を選択します。
5. [NSX設定]タブで[Deep SecurityポリシーとNSXサービスプロファイルを同期する]を選択します。[OK]をクリックします。

1. vSphere Web Client ホームページで、[ネットワーキングとセキュリティ] ボタンをクリックします。[NSXホーム] が表示されます。
2. 左側で[サービス定義]をクリックします。
3. メインペインで、[サービス]タブの下にある[Trend Micro Deep Security]を右クリックし、[設定を編集]を選択します。
4. メインペインで、[管理]タブを選択し、その下で[プロファイル構成]を選択します。
5. Deep Securityポリシーがロードされていることを確認します。ポリシーは、同じ名前を持つ個別のNSXプロファイル設定として表示されます。各プロファイル設定には、P1、P2、P3のような「P」から始まるIDを指定します。「P」はDeep Securityポリシーに基づいていることを示します。
   
   これで、 Deep SecurityポリシーがNSXのプロファイル設定として追加されました。

1. 手順6: NSXセキュリティグループとポリシーを作成に戻り、手順をもう一度実行します。ただし、今回は残りの手順で調整を行います。
2. 複数のNSX セキュリティグループを作成します。
3. 複数のNSXセキュリティポリシーを作成します。ポリシーごとに、Guest Introspection ServicesおよびNetwork Introspection Services (受信および送信の両方)[Service Profile]を、ロードしたばかりのDeep Securityポリシーのいずれかに設定します。
4. NSXセキュリティポリシーをNSXセキュリティグループに関連付けます。

手順8: 有効化とポリシーの割り当てを開始する

• 方法1を選択した場合は、vCenterを手動で同期する必要があります。Deep Security Managerに移動し、左側のvCenterを右クリックして、[今すぐ同期]を選択します。これで、既存の仮想マシンが保護されました。
• 方法2または3を選択した場合、すべてのVMをアクティベートし、ポリシーを自動的に割り当てる必要があります。確認するには、次の手順を参照してください。

手順9: 仮想マシンが有効化されて、ポリシーが割り当てられていることを確認する

1. Deep Security Managerで、上部にある[コンピュータ]をクリックします。
2. 左側で[コンピュータ]→[<your_vCenter>]→[Virtual Machines]を展開します。
3. [TASK(S)]と[STATUS]の列を確認してください。(表示されていない場合は、上部の[列]をクリックして追加してください。)[TASK(S)]列は[有効化中]を示し、VMは[管理対象外 (不明)]ステータスから[管理対象外 (エージェントなし)]ステータス、そして[管理対象 (オンライン)]ステータスに移動するはずです。VMが[VMware Toolsがインストールされていない]ステータスに移動することがありますが、これは一時的です。
4. [ポリシー]列を確認して、正しいDeep Securityポリシーが割り当てられていることを確認してください。

次の手順 (新しい仮想マシンを追加する方法)

• vCenterで新しいVMを作成します。これにより[コンピュータの作成 (システムによる)]イベントベースのタスクがトリガーされ、新しいVMにポリシーがアクティブ化されて割り当てられます。

• VMを作成するか、VMをNSXセキュリティグループのいずれかに移動します。これにより、[NSXセキュリティグループの変更]イベントベースのタスクがトリガーされ、新しいVMにポリシーが適用されます。

• VM を NSX セキュリティ グループのいずれかに作成または移動します。これにより、新しい VM にポリシーが有効化および割り当てられます。