コンテンツにスキップ

AWS データコレクター🔗

Secureworks® Taegis™ XDR には、Amazon Web Service (AWS) インスタンスにセットアップできるコレクターがあります。AWS 向けの XDR は、Amazon Machine Image (AMI) として提供されます。プロビジョニング時には、適切な AMI がお客様の AWS アカウントに対して認可されるよう、有効な AWS アカウント番号（9 桁の数字）と AWS リージョンが必要です。各コレクターは、その設定によって一意に識別されます。設定データは、ユーザーデータを介して AWS EC2 インスタンスに挿入されます。利便性のため、プロビジョニングプロセスの完了時に、お客様の XDR コレクター用のサンプル AWS CloudFormation テンプレートが生成されます。

テンプレートの更新

CloudFormation テンプレートは、2026 年 7 月 15 日時点で簡素化されました。この日以降にダウンロードされたテンプレートでは、従来の LaunchTemplate、AutoScalingGroup、NetworkLoadBalancer に代わって、SecurityGroup を備えた単一の EC2 インスタンスが作成されます。この日付より前に展開した場合は、Legacy Template Notes を参照してください。

このサンプルテンプレートは、次のリソースを作成します。

  • EC2 Instance — ユーザーデータを介して設定が挿入された、XDR コレクター AMI を実行する単一の EC2 インスタンス。
  • SecurityGroup — udp/514、tcp/601、および tcp/udp 10514–10530 のトラフィックを許可するために、XDR AWS コレクターインスタンスにアタッチされる SecurityGroup 。

XDR には、サンプルテンプレートをダウンロードするか、直接起動するためのオプションがあります。サンプルテンプレートはほとんどの VPC 環境で動作するはずですが、すべてのネットワークポリシーおよびセキュリティポリシーに準拠していることを確認するため、慎重に確認する必要があります。上級ユーザーは、テンプレートから AMI ID とユーザーデータを抽出して、独自の IaC または自動化ツールに組み込むことができます。

設定に関する注意事項🔗

  • サンプルテンプレートは、VpcCidr テンプレートパラメーターとして指定された VPC IPv4 CIDR アドレスからの udp/514 および tcp/601 トラフィックを許可する SecurityGroup を作成し、これを XDR AWS コレクターインスタンスにアタッチします。SyslogIngress テンプレートパラメーターとして指定された場合は、2 つ目の IPv4 CIDR アドレスも認可されます。お客様のネットワークポリシー、セキュリティポリシー、またはネットワーク要件が異なる場合は、サンプルテンプレートの変更が必要になることがあります。

  • XDR AWS コレクターは、高可用性 (HA) 構成をサポートしていません。同じ設定（ユーザーデータ）で複数のコレクターを実行することはサポートされていません。

  • サンプルテンプレートは、コレクターに /dev/sdb としてアタッチされる 200G の EBS ボリュームを割り当てます。テンプレートをカスタマイズする場合や独自の自動化を実装する場合は、デバイスが常に /dev/sdb として、最小サイズ 200G でアタッチされるようにしてください。

注意

XDRコレクターは、適切に構成されたクラウドおよびオンプレミスのコレクターに対して、最大200K EPS（毎秒イベント数）をサポートできます。

注意

サードパーティ製ツールやアプリケーションは、いかなるXDRコレクターにもインストールできません。

CloudFormation (CF) テンプレートパラメーター🔗

  • CollectorName: このパラメーターは、AWS コレクターを表す EC2 インスタンスの一意の名前を指定します。この名前は、AWS EC2 コンソールの「Instances」に表示されます。

  • VpcId: このパラメーターは、リソースが展開される Amazon Virtual Private Cloud (VPC) を識別します。この VPC ID は、コレクターのネットワークアクセス性を決定するため、正確であることを確認してください。

  • Subnets: 指定した VPC 内で、コレクター EC2 インスタンスが起動されるサブネットです。リスト内の最初のサブネットが使用されます。

  • SyslogIngress: VPC CIDR に加えて、コレクターへの追加の syslog トラフィックソースとして許可するオプションの CIDR ブロックです。不要な場合は空欄のままにしてください。

AWS Management Console でのパラメーターの反映🔗

  • CollectorName: スタック作成後、CollectorName パラメーターで指定した名前の EC2 インスタンスを EC2 コンソールで確認できます。これにより、お客様のアカウント内の他のインスタンスの中からコレクターインスタンスを識別しやすくなります。

  • VpcId and Subnets: VpcId および Subnets パラメーターによって、EC2 インスタンスがどの VPC およびサブネットに展開されるかが決まります。正しいネットワーク配置であることを確認するため、EC2 インスタンスの詳細でこれらの設定を確認できます。

  • SyslogIngress: SyslogIngress パラメーターは、コレクターインスタンス上の追加のセキュリティグループ受信ルールを設定します。これらのルールは、AWS Management Console の Security Groups で確認できます。

追加リソース🔗

AWS コンポーネントの設定の詳細については、次の AWS ドキュメントを参照してください。

Legacy Template Notes🔗

2026 年 7 月 15 日より前にダウンロードされたテンプレートでは、次のリソースが作成されていました。

  • LaunchTemplate — 正しいリージョン AMI とユーザーデータを含む EC2 パラメーターを定義しました。
  • AutoScalingGroup — コレクター EC2 インスタンスを作成する固定サイズのグループです。ASG サイズは常に 1 に設定する必要があります。同じ設定で複数のコレクターを実行することはサポートされていません。
  • NetworkLoadBalancer — 一貫した DNS 名で TCP/UDP トラフィック用のレイヤー 4 NLB を提供しました。CTPxCollectorDnsName スタック出力は、syslog 転送用の DNS 名を提供しました。NLB が使用されていたのは、元のクライアント IP アドレスを保持し、UDP をサポートするためです。ALB および ELB タイプはコレクターと互換性がありません。
  • SecurityGroup — udp/514 および tcp/601 トラフィックを許可しました。

注意

レガシー展開の AutoScalingGroup が、EBS Encryption の使用中に Client.InternalError: Client error on launch エラーでインスタンスを循環させる場合は、KMS キーポリシーが EBS encryption の要件 を満たしていることを確認してください。

簡素化されたテンプレートに移行するには、XDR からコレクターを再展開して、更新された CloudFormation テンプレートをダウンロードしてください。

データコレクターの接続要件🔗

注意

XDRの特定の設定は、お客様のテナントがあるリージョン(US1, US2, US3, EU1, EU2)によって異なる点があります。

独自のSSL証明書を使用するすべてのデバイス（クラウドベースおよびオンプレミスのデータコレクターを含む）は、競合を回避するために、以下の宛先IPアドレスまたはドメインを許可リストに追加する必要があります。AWSデータコレクターを使用している場合は、AWSの表を参照してください。

ほとんどのデータコレクターの場合🔗

ソース 宛先 ポート/プロトコル 備考
データコレクターのIPまたはホスト名
US1
collector.ctpx.secureworks.com
18.217.45.178/32
3.16.4.173/32
18.224.219.97/32
13.59.146.90/32
3.16.16.254/32
18.223.74.238/32
US2
collector.delta.taegis.secureworks.com
52.14.113.127/32
3.141.73.137/32
3.136.78.106/32
US3
collector.foxtrot.taegis.secureworks.com
44.229.101.49
35.166.77.47
34.214.135.78
EU1
collector.echo.taegis.secureworks.com
18.158.143.139/32
35.159.14.37/32
52.59.37.234/32
EU2
collector.golf.taegis.secureworks.com
54.217.251.111/32
54.194.78.20/32
52.50.215.147/32		 TCP/443 デバイスからXDRへのアクセスを許可リスト化
データコレクターのIPまたはホスト名 プロビジョニング時に提供されたNTPサーバーのIP/ホスト名 UDP/123 デバイスからNTPサーバーへのアクセスを許可リスト化

このルールは、プロビジョニング時にカスタムNTPサーバーが提供された場合のみ必要です。
データコレクターのIPまたはホスト名 0.pool.ntp.org
1.pool.ntp.org
2.pool.ntp.org
3.pool.ntp.org		 UDP/123 デバイスからデフォルトNTPサーバーへのアクセスを許可リスト化

このルールは、プロビジョニング時にカスタムNTPサーバーが提供されていない場合のみ必要です。
データコレクターのIPまたはホスト名 プロビジョニング時に提供されたDNSサーバーのIP UDP/53
TCP/53		 デバイスからDNSサーバーへのアクセスを許可リスト化

注意

ローカルNTPを使用する場合は、これらのネットワーク上でデータコレクターとの双方向のアクセスを許可リスト化する必要があります。

AWSデータコレクターの場合🔗

ソース 宛先 ポート/プロトコル 備考
AWSデータコレクターのIPまたはホスト名
US1
collector.ctpx.secureworks.com
18.217.45.178/32
3.16.4.173/32
18.224.219.97/32
13.59.146.90/32
3.16.16.254/32
18.223.74.238/32
US2
collector.delta.taegis.secureworks.com
52.14.113.127/32
3.141.73.137/32
3.136.78.106/32
US3
collector.foxtrot.taegis.secureworks.com
44.229.101.49
35.166.77.47
34.214.135.78
EU1
collector.echo.taegis.secureworks.com
18.158.143.139/32
35.159.14.37/32
52.59.37.234/32
EU2
collector.golf.taegis.secureworks.com
54.217.251.111/32
54.194.78.20/32
52.50.215.147/32		 TCP/443 ホスト名経由でTaegis XDRへのデバイスアクセスを許可リスト化
AWSデータコレクターのIPまたはホスト名 プロビジョニング時に提供されたNTPサーバーのIP/ホスト名 UDP/123 デバイスからNTPサーバーへのアクセスを許可リスト化

このルールは、プロビジョニング時にカスタムNTPサーバーが提供された場合のみ必要です。
AWSデータコレクターのIPまたはホスト名 169.254.169.123 UDP/123 デバイスからデフォルトNTPサーバーへのアクセスを許可リスト化

このルールは、プロビジョニング時にカスタムNTPサーバーが提供されていない場合のみ必要です。
AWSデータコレクターのIPまたはホスト名 プロビジョニング時に提供されたDNSサーバーのIP UDP/53
TCP/53		 デバイスからDNSサーバーへのアクセスを許可リスト化

プロキシサポート🔗

クラウドベースおよびオンプレミスのデータコレクターは、インターネットに直接接続できない場合、ホスト上のローカルプロキシ設定を自動的に検出しようとします。

クラウドベースおよびオンプレミスのデータコレクターは、ハードコードされたプロキシにも対応しています。ハードコードされたプロキシを含むデータコレクターを作成する必要がある場合は、以下の必要情報を添えてサポートリクエストを提出してください。

  • プロキシIP
  • プロキシポート

プロキシが設定されているが利用できない、または到達できない場合、データコレクターは直接接続にフォールバックします。

注意

クラウドベースおよびオンプレミスのデータコレクターは、現時点ではハードコードされた認証付きプロキシをサポートしていません。中間者攻撃（MITM）機能を持つプロキシは、上記のネットワーク接続を許可リスト化する必要があります。

XDR AWS コレクターのインストールと設定🔗

XDR で Integrations > Data Collectors から XDR AWS コレクターを設定するプロセスを開始します。テンプレートが作成され、その後 AWS Console に移動して設定を完了します。

  1. Taegis XDRメニューからインテグレーションを選択し、データコレクターを選択します。

  2. 右上のアクション > コレクターの追加を選択します。

    新しいコレクターの追加

  3. コレクタータイプとしてクラウドホスト型を選択し、次へを選択します。

  4. 必須の名前とホスト名のフィールド、および任意の説明、ホストプロキシ、NTPサーバーのフィールドを入力し、コレクターの作成を選択します。

    注意

    必要に応じて独自のNTPサーバーを指定したり、HTTPプロキシアドレスを追加したりすることができます。HTTPプロキシアドレスは次の形式に従う必要があります: [http\[s]://\[user:pass@]hostname\[:port]|http://<hostname>[:port]]。

    注意

    デフォルトおよびカスタムのNTP設定は、起動時のブートストラッププロセス中のみ使用されます。接続が確立されると、データコレクターはXDRバックエンド接続を介して時刻を同期します。接続が確立されると、NTPサーバーの値はAdmiralコンソールのntp.collectorとして反映されます。

    クラウドコレクターの作成

    ヒント

    Cisco Firepower Threat Defense (FTD)デバイスからすべてのセキュリティイベントログを取得するためにeStreamerアプリをコレクターに追加するには、eStreamerアプリを参照してください。詳細については、Cisco FTD Firewallガイドを参照してください。

  5. コレクターのインストールセクションには、以下のオプションが表示されます。

    • Amazon Web Services (AWS) — このオプションはXDRコレクターをAWSにデプロイする場合に使用します。
    • Google Cloud Platform (GCP) — このオプションはXDRコレクターをGCPにデプロイする場合に使用します。
    • Microsoft Azure — このオプションはXDRコレクターをAzureにデプロイする場合に使用します。

  6. Amazon Web Services (AWS) を選択します。

  7. AWS Account ID を入力します。
  8. 展開元にする AWS region を選択します。

  9. Launch Console を選択します。

    AWS コレクター

    注意

    Download を選択して、XDR AWS コレクター用の .yaml テンプレートをダウンロードし、そのテンプレートを使用して AWS アカウントでコレクターを設定することもできます。テンプレートが提供する内容の詳細については、設定に関する注意事項 を参照してください。

  10. AWS コンソールは、新しいブラウザーウィンドウで CloudFormation の Create stack ページを表示します。ここには、コレクターイメージおよびネットワーク設定のパラメーターを含む、事前に読み込まれた CloudFormation テンプレート (YAML) が表示されます。

    スタックの作成

    ただし、お客様のインスタンス固有のパラメーターを設定する必要があります。

  11. CollectorName フィールドに新しいコレクター名を入力します。

    コレクター名

  12. Subnets で、XDR AWS コレクターを展開する VPC 内のサブネットを選択します。

    サブネットの選択

  13. VPC 内のどのサブネットがコレクターにアクセスできるかを設定する場合は、IP 構文に従って SyslogIngress にファイアウォールルールを追加します。たとえば、0.0.0.0/0 を入力するとすべてを許可し、VPC サブネットのみに制限することもできます。

  14. 展開先の VPC の VpcId を追加します。
  15. 展開用の InstanceType は c5.xlarge に事前設定されています。c5.xlarge は、4 CPU と 8GiB メモリーの仮想システムであることに注意してください。
  16. EBS Encryption を強制する場合は、必要に応じて KmsCmkArn を追加できます。
  17. Next を選択します。Configure stack options ページが表示されます。
  18. 追加したいオプションを選択して確認します。
  19. オプションに問題がなければ、Create stack を選択してインスタンスを作成します。展開は自動的に開始されます。

  20. コレクターの構築と展開には数分かかる場合があります。XDR の Integrations > Data Collectors からコレクターのステータスを確認できます。

    注意

    AWS は XDR AWS コレクターに IP を動的に割り当てるため、コレクターの IP アドレスは XDR の Integrations Collectors テーブルの Address 列には表示されません。

トラブルシューティングコンソールへのアクセス🔗

Admiral Console を使用すると、展開済みの XDR Collector に関する情報にローカルでアクセスできます。Admiral 内で提供されるツールは、デバイスのセットアップや、ネットワーク接続などの一般的な問題のトラブルシューティングに役立ちます。

詳細については、Admiral Console を参照してください。

XDR Collector 設定の編集🔗

重要

稼働中のシステムの XDR Collector 設定を変更すると、デバイスが動作不能になるリスクがあります。XDR Collector は、設定変更が失敗した場合に以前の設定へロールバックするため、可能な限りあらゆる試みを行います。XDR Collector の設定変更は、お客様のリスク管理および変更管理のガイドラインに従い、お客様の環境における他のあらゆる種類の変更と同じレベルの注意を払って扱う必要があります。常にデバイスを再展開できるよう準備しておく必要があります。

実行中で正常な XDR Collector の特定の設定パラメーターは、稼働中のコレクター上で変更できます。これらのパラメーターを編集するには、コレクター詳細ページで Actions を選択し、Edit Collector Configuration を選択します。編集可能なフィールドには、ホスト名、プロキシ設定、NTP サーバーが含まれます。ネットワークインターフェイス設定の変更が必要な場合は、新しい XDR Collector をプロビジョニングする必要があります。

コレクター設定の編集

コレクター設定編集のスライドアウト

XDR Collector の設定変更を送信すると、変更が保留中であることを示すバナーが表示され、変更が完了するまで編集アクションは利用できなくなります。保留中の変更は XDR Collector にプッシュされ、そこで適用されるとともに接続テストが実施されます。

コレクター設定の編集 保留中

保留中の変更により XDR Collector が正常に接続できなくなった場合、変更は以前の設定にロールバックされ、バナーに失敗メッセージが表示されます。

コレクター設定の編集 ロールバック済み

変更が成功した場合は、変更完了後にバナーに成功メッセージが表示されます。

コレクター設定の編集 成功

まれに、設定変更とロールバックの両方が失敗する可能性があります。例としては、変更中の基盤ネットワークの変更や、進行中の変更中にバックエンドへのネットワーク接続障害が発生する場合などがありますが、これらに限定されません。このような状況では、失敗バナーが表示され、XDR Collector を再展開する必要があります。

コレクター設定の編集 失敗

変更が完了したら、新しい AWS CloudFormation をダウンロードし、現在の AWS CloudFormation Stack に更新を適用します。これにより、AWS でインスタンスが置き換えられた場合に、新しい設定が使用されるようになります。

Integrations Collector Downloads の管理