仮想 Taegis™ NDR インテグレーションガイド

注意

Taegis NDRはiSensorの進化版であり、新しい名称とまもなく拡張される機能を備えています。この移行期間中、一部でiSensorのブランド名が参照されている場合があります。

Taegis™ NDR の詳細については、Taegis™ NDR の概要を参照してください。

Taegis™ NDR は、Secureworks が提供するマネージドネットワーク IDS/IPS ソリューションです。NDR Device はお客様のネットワークにインストールされ、そこで全ネットワークトラフィックを監視し、最新の脅威インテリジェンスを活用してネットワークレベルの脅威を検知し、不正なトラフィックが検知されると検出を Secureworks® Taegis™ XDR に送信します。NDR は別途契約が必要な機能であり、Secureworks® Taegis™ MDR および Secureworks® Taegis™ Elite Threat Hunting に含まれる場合があります。

サポートされる機能:

• インラインおよびパッシブのディープパケットインスペクション
• Counter Threat Unit™ Threat Intelligence の統合
• ネットワーク上の不正なトラフィックをブロックする機能

インテグレーションから提供されるデータ

	正規化されたデータ	汎用的な検知	ベンダー固有の検知
Taegis NDR		Netflow, NIDS	NIDS

注意

XDR検知機は、データソースのログが特定の検知機に関連付けられたスキーマへ正規化されていても、必ずしもトリガーされるとは限りません。ただし、カスタム検出ルールを作成することで、データソースから正規化されたデータに基づいて検知を生成することができます。

要件

実装前に、以下の要件を確認してください。

展開モード

仮想 NDR Device を展開する前に、お客様の仮想環境を十分に理解しておく必要があります。NDR Device がネットワークトラフィックを検査できるように、仮想ネットワークを設定する責任はお客様にあります。設定例は、仮想 NDR Device 展開シナリオ セクションにあります。

接続要件

ソース	宛先	ポート/プロトコル
Taegis™ NDRデバイス（管理IP）	206.55.100.0/22 216.9.204.0/22 208.89.40.0/21	TCP/443（プロキシ未使用）*

* （プロキシ未使用） — TCP/443の通信は、すべてのWebコンテンツフィルタリングデバイスから除外する必要があります。除外設定がない場合、TCP/443の通信は多くのWebコンテンツフィルタリングデバイスによって不正なHTTPSトラフィックとして検査・破棄されます。

Maximum Transmission Unit (MTU)

仮想 NDR Device を通過するパケットの MTU は 1518 以下である必要があります。これを超えるとパケットロスが発生し、ネットワーク接続に悪影響を及ぼします。

システム仕様

Secureworks は、仮想 NDR Device 用に単一のベースイメージを提供します。以下は、そのイメージのデフォルトのシステム仕様です。

Item	NDR Device VM Specs
CPU	8 コア
Memory	16 GB
Storage	60 GB
Inspection Throughput	1000 Mbps
Sockets	1
Cores per Socket	8
Required Features	x86 CPU, AVX + AVX2, 1G Hugepages, CPU で有効化された Virtualization Extensions

注意

検査対象のネットワークトラフィック量およびセンサーのパフォーマンスに応じて、システム仕様はデフォルト設定から調整が必要になる場合がありますが、これらの最小値を下回ってはなりません。

NDR Device 展開時の考慮事項

NDR Device の登録時には、お客様の組織に最適な実装を決定する必要があります。これらの判断を支援するために、以下のオプションを確認し、登録プロセスの前に何が必要かを判断してください。

トラフィック処理モード

• インラインアクティブモード（IPS）では、NDRデバイスの推奨インストール構成となり、すべてのトラフィックがNDRデバイスを通過し、シグネチャセットによって不正と判断されたネットワークトラフィックはブロックされます。

• インラインパッシブモード（IDS）では、すべてのトラフィックがNDRデバイスを通過し、アラートのために検査されます。このデバイスは不正なトラフィックに対してアラートのみを発し、ブロックは行いません。インラインスニッフィングとも呼ばれます。

• スニッファーモード（IDS）（非インラインモニター）では、監視対象のネットワークセグメントがNDRデバイスにスパンされて検査されますが、トラフィックは一切ブロックされません。

重要

仮想 NDR Device は、インライン展開でフェイルオープンサポートを提供するために、基盤となる物理ネットワークインターフェースカードに依存します。フェイルオープンカードが存在する場合にのみ、インラインモードを使用することを強く推奨します。

HOME_NET

HOME_NET は、お客様にとって重要であり、NDRデバイスで保護したいネットワークまたはネットワークのリストです。NDRデバイスは、定義されたHOME_NETを使用して、検査対象となるトラフィックを決定します。これらのネットワークは、NDRデバイス上の $HOME_NET という変数として保存されます。正しいHOME_NETを選択することは、お客様のネットワークを適切にカバーするために非常に重要です。

EXTERNAL_NET

EXTERNAL_NET は、HOME_NETを保護したい対象となるネットワークです。NDRデバイスでEXTERNAL_NETを設定する際には、一般的に次の2つのオプションがあります。

• !$HOME_NET（つまり、HOME_NETで定義されたネットワーク以外。これは従来の構成です）
• Any

NDRデバイスでHOME_NETからHOME_NETへのトラフィックが多く見られる場合は、EXTERNAL_NETを !$HOME_NET に設定して誤検知を減らすべきです。

EXTERNAL_NETを !$HOME_NET に設定しても、ラテラルムーブメント（横方向の移動）の可視性が制限されることはありません。弊社のCounter Threat Unit™（CTU）チームは、すべてのシグネチャを通信の方向性を考慮して作成しています。ラテラルムーブメントに利用される脆弱性向けのシグネチャは、「any」から「HOME_NET」へのトラフィックを検知するように設計されています。

プロキシサーバー

NDRデバイスの展開時には、プロキシサーバーの存在を考慮する必要があります。監視対象の環境にプロキシサーバーが存在する場合、それが透過型かアクティブ型（クライアントがブラウザ設定でプロキシ経由を強制される）か、アクティブ型の場合はクライアントブラウザがプロキシに接続するポート番号、そしてプロキシのIPアドレスをSecureworksにご連絡ください。

HTTP_PORTS

プロキシサーバーを定義した後、アクティブなプロキシがある場合は、クライアントがアクティブプロキシ経由で利用するポート番号を記録する必要があります。このポート番号は $HTTP_PORTS 変数に使用されます。HTTP_PORTS変数は、NDRデバイスに対してHTTPトラフィックがこのポートで発生することを示し、すべてのHTTPシグネチャをそのトラフィックに適用するために使用されます。お客様の環境にプロキシサーバーが存在しない場合でも、HTTPトラフィックが下記のデフォルトポート以外のポートを通過している場合は、そのポート番号を記録し、HTTP_PORTS変数に追加して適切なHTTPトラフィック検査が行えるようにしてください。

デフォルトの $HTTP_PORTS 変数は以下の通りです： [80,81,88,311,383,591,593,901,1220,1414,1741,1830,2301,2381,2809,3037,3128,3702,4343,4848,5250,6988,7000,7001,7144,7145,7510,7777,7779,8000,8008,8014,8028,8080,8085,8088,8090,8118,8123,8180,8181,8243,8280,8300,8800,8888,8899,9000,9060,9080, 9090,9091,9443,9999,11371,34443,34444,41080,50002,55555]

シグネチャセット

バランス

バランスポリシーは、セキュリティカバレッジを強化しつつ、正当なトラフィックへの影響を最小限に抑えることを目指します。バランスポリシーによって遮断されるトラフィックには、現在の脅威状況におけるマルウェアや、広く利用されているソフトウェアおよびあまり使われていないソフトウェアの重大度の高い脆弱性を悪用することを目的としたトラフィックなどが含まれます（これらに限定されません）。検知はされるものの遮断されないトラフィックには、インターネット上の偵察行為やノイズに関連するトラフィック、信頼度の低いシグネチャによってトリガーされるトラフィック、トレント利用など疑わしい活動に関連するトラフィックなどが含まれます（これらに限定されません）。

セキュリティ

セキュリティポリシーは、実現可能な範囲で最も高いセキュリティカバレッジを提供しつつ、正当な企業トラフィックへの影響を抑えることを目指します。セキュリティポリシーは接続性よりも強固なセキュリティを優先するため、カバレッジを高めるために誤検知率の上昇を許容します。セキュリティポリシーによって遮断されるトラフィックには、現在の脅威状況で確認されているマルウェア、広く利用されているソフトウェアおよびあまり使われていないソフトウェアの重大度が高い・中程度の脆弱性を悪用することを目的としたトラフィック、インターネット上の偵察行為やノイズに関連するトラフィック、SQLインジェクションやクロスサイトスクリプティング攻撃などの一般的な攻撃を防ぐための汎用シグネチャ、トレント利用など疑わしい活動に関連するトラフィックなどが含まれます（これらに限定されません）。

コネクティビティ

コネクティビティポリシーは、企業環境において最もリスクの高い深刻な脅威から保護します。正当なトラフィックへの影響は最小限に抑えられます。コネクティビティポリシーによって遮断されるトラフィックには、現在の脅威状況におけるマルウェアや、広く利用されているソフトウェア、または実際に悪用されている既知の脆弱性に対する重大な脅威のエクスプロイト試行などが含まれます（これらに限定されません）。検知はされるものの遮断されないトラフィックには、あまり使われていないアプリケーションにおける中程度の脅威イベントから保護するシグネチャによって特定された脅威などが含まれます（これらに限定されません）。ノイズを多く発生させるシグネチャはデフォルトで無効化されています。

仮想 NDR Device 展開シナリオ

Sniffer — 内部ネットワークトラフィック

この展開例は、物理 IDS スニファー展開を模倣しています。

仮想 NDR Device には、少なくとも 2 つの仮想インターフェースが含まれます。

• 管理トラフィック
• ネットワーク監視トラフィック
  • コアスイッチ上にミラーポートが設定され、それが物理 VMware インターフェースに直接接続されます。ミラーポート用に仮想スイッチが作成され、promiscuous トラフィックが有効化されます。仮想 NDR Device には、ミラーポートトラフィックを含む仮想スイッチを使用するように設定されたネットワーク監視インターフェースがあります。

注意

この展開例では、物理 VMware シャーシ上の未使用インターフェースが必要です。

Sniffer — 内部ネットワークトラフィック**

Sniffer — 仮想トラフィックのみ

この展開例では、仮想 NDR Device が ESXi サーバー内に存在する仮想ホストを検査するためのパッシブな方法を提供します。

仮想 iSensor には、少なくとも 2 つの仮想インターフェースが含まれます。

• 管理トラフィック
• ネットワーク監視トラフィック
  • ネットワーク通信に監視対象の仮想マシンが使用する仮想スイッチの一部である Port Group（promiscuous モード有効）に接続されます。
  • 仮想スイッチの数によっては、仮想 NDR Device に追加の仮想ネットワーク監視インターフェースが必要になる場合があります。

Sniffer — 仮想トラフィックのみ**

Inline — 仮想トラフィックのみ、仮想化インターフェース

Important

この仮想 NDR Device 展開はフェイルオープンしません。NDR Device が再起動した場合、またはオフラインの場合、ネットワークトラフィックは中断されます。

この展開例では、仮想 NDR Device が ESXi サーバー内に存在する仮想ホストを検査するためのインライン方式を提供します。仮想 NDR Device には、少なくとも 3 つの仮想インターフェースが含まれます。

• 管理トラフィック
• ネットワーク監視トラフィック
  • 2 つのインターフェースで「ブリッジ」を構成します。1 つは受信トラフィック用、もう 1 つは送信トラフィック用です。インライン監視に使用する各 Port Group では、promiscuous モードを有効にする必要があります。
    • 以下の例では、受信インターフェースは Virtual Switch 2 / Port Group Internal にバインドされています。
    • 以下の例では、送信インターフェースは Virtual Switch 1 / Port Group External にバインドされています。
  • 仮想スイッチの数によっては、仮想 NDR Device に追加の仮想ネットワーク監視インターフェースが必要になる場合があります。

Inline — 仮想トラフィックのみ、仮想化インターフェース

仮想 NDR Device のダウンロード

以下の手順に従って、Secureworks® Taegis™ XDR から仮想 NDR Device イメージをダウンロードします。

1. XDR にログインし、Taegis Menu から Taegis™ NDR を選択します。

2. 展開する仮想 NDR Device を選択します。NDR Device の詳細が表示されます。

3. Registration タブから Actions メニューを選択し、Downloads を選択します。Downloads モーダルが表示されます。

   

   NDR Device Registration Actions

4. デバイス登録時に使用する提供済みの Registration Code を控え、表示された情報を読み同意したことを確認するチェックボックスを選択してから、Download を選択します。

   

   NDR Device Downloads

5. ダウンロードが完了したら、次のセクションに進みます。

仮想 NDR Device イメージの展開

以下の展開例では ESXi サーバーを使用します。仮想 NDR Device は、1 つのパッシブ監視インターフェースを持つ Sniffer モードで展開されます。

注意

ESXi v7.0 以降が推奨されており、正式なサポート対象バージョンです。

1. Navigator から Virtual Machines を選択し、次に Create / Register VM を選択します。

   

   Create VM

2. Deploy a virtual machine from an OVF or OVA file を選択し、Next を選択します。

   

   Deploy VM from OVF or OVA File

3. 仮想マシンの名前を入力し、仮想 NDR Device の OVF ファイルと VMDK ファイルを追加してから、Next を選択します。

   

   Select files

4. 仮想 NDR Device に適したストレージの場所を選択し、Next を選択します。

   

   Select Storage

5. 仮想 NDR Device のネットワークマッピングを定義します。

   • 適切な Management Network を選択します。以下の例では、VM Network が管理ネットワークです。
   • 適切な Network Monitoring ネットワークを選択します。以下の例では、Network_Monitor がネットワーク監視用に予約されています。
   • Thin または Thick プロビジョニングを選択します。Secureworks は Thin プロビジョニングを推奨します。

   

   Select Deployment Options

6. 展開オプションの設定が完了したら Next を選択します。概要が表示されます。

7. 概要を確認し、すべてが正しいことを確認したら Finish を選択します。

8. その後 ESXi は仮想マシン作成プロセスを開始します。これには OVF および VMDK ファイルのアップロードが含まれ、完了までに時間がかかる場合があります。

9. vNDR にソケットが 1 つあることを確認します。

   • vSphere で Device Settings を編集します。
   • Virtual Hardware の下にある CPU を開きます。
   • Cores per Socket の数を CPU 数と同じに設定します。
   • すると Sockets に 1 が表示されます。

登録準備

NDR Device のインストールを開始する前に、インストールプロセス中に入力を求められる以下の重要な情報を準備してください。

• デバイスのホスト名
• NDR Device Registration Key — 仮想 NDR Device のダウンロード の手順で取得します。
• 使用したい NDR Device モード — この時点で、お客様に最適なソリューションを特定するために、すでに Secureworks の担当者と連携している必要があります。インストールプロセス中に 3 つのモードのいずれかを選択する必要があります。詳細は Traffic Processing Mode を参照してください。
• NDR Device に割り当てる IP アドレス — NDR Device に静的 IP を使用する予定がある場合は、インストールプロセス中に入力できるよう、IP アドレス、ネットワークマスク、およびゲートウェイアドレスを準備してください。これらの値は、NDR Device で使用するために、お客様のネットワークチームによって事前にプロビジョニングされている必要があります。

設定と登録

NDR Device のインストールを開始するには、以下の手順に従ってください。

1. Taegis™ NDR 仮想マシンの電源を入れます。
2. 仮想 NDR Device の Console に移動します。NDR Device Configuration Wizard が表示されます。

3. 初期画面で、NDR Device は管理ポートが接続されているかどうかを自動的に検出しようとします。No interface detected と表示された場合は、管理インターフェースケーブルが接続され、しっかり差し込まれていることを確認してください。完了したら、Yes を選択してインターフェース検出を再試行します。

   

   No Interface Detected

4. 次のプロンプトで、Configure Static を選択し、IP、ネットマスク、およびゲートウェイ情報を入力します。

   

   Configure Static IP

5. NDR Device は、その情報が有効であることを確認するためにゲートウェイへの ping を試みます。ping の失敗が想定される場合は、Ignore を選択して登録プロセスを続行します。

   

   Ignore Ping Failure

6. Use オプションを選択して、ネットワーク設定を確認します。

   

   Confirm Configuration

7. ネットワーク設定を確認した後、デバイスに必要な NDR Device の mode を選択し、OK を選択して続行します。

   

   Select NDR Device Mode

8. 仮想 NDR Device のダウンロード の手順で取得した Registration Key を入力します。

   

   Enter Registration Key

9. NDR Device は Registration Key を使用して Secureworks に接続し、ソフトウェアのダウンロードと自己設定を行うかなり長い一連の手順を完了します。

   

   Download and Configuration

10. これで、仮想 NDR Device の登録と設定が正常に完了しました。接続性を検証するために、Secureworks の担当者に連絡してください。

ネットワーク再構成

必要に応じて、NDRデバイスCLIを使用してネットワーク設定を変更します。以下の手順に従ってください。

1. 物理NDRデバイスのコンソールから、モニターとキーボードをシステムに接続します。仮想デバイスの場合は、仮想NDRデバイスコンソールに移動します。出力が表示されていない場合は、Enter を押してコンソールを起動してください。

   

   NDR Device CLI

2. set コマンドを以下のオプションとともに使用して、ネットワーク設定を変更します。

   • set dhcp [enable|disable]

   • set gateway <ip>

   • set ip <ipv4> <netmask> <gateway>

   • set netmode [passive|ips|monitor]

   重要

   このコマンドは、NDRデバイスのネットワーク設定を変更する際にSecureworksサポートと連携して作業する場合のみ使用してください。ローカルで行った変更はNDRデバイスの監視および管理に直接影響し、Secureworksサポートの指示なしに実施した場合、サービス停止につながる可能性があります。

Hyper-V 展開ガイダンス

仮想 NDR Device は VMware だけでなく Microsoft Hyper-V にも展開できます。Hyper-V 展開では、デバイスが必要とする管理およびトラフィック検査のネットワーク接続を提供するために、3 つの外部仮想スイッチを設定します。以下の手順では、Hyper-V Manager で 3 つの外部仮想スイッチを設定する方法を順を追って説明します。

Hyper-V 仮想スイッチの設定

以下の手順に従って、Hyper-V で必要な外部仮想スイッチを作成します。

1. ホストシステムで Hyper-V Manager を開きます。

2. Actions ペインで Virtual Switch Manager を選択します。

   

   Virtual Switch Manager

3. これらの各ネットワークインターフェースについて、以下の手順を使用して新しい外部仮想スイッチを作成します。

   Virtual Switch	Description
   Management	デバイスの管理と登録を処理します。
   Capture 1	最初のネットワーク監視（キャプチャ）インターフェースとして機能します。
   Capture 2	2 番目のネットワーク監視（キャプチャ）インターフェースとして機能します（インライン展開では、通常これは送信インターフェースです）。

   • New virtual network switch > External > Create Virtual Switch を選択します。
   • わかりやすい名前を入力します（例: "NDR Management"、"NDR Capture 1"、"NDR Capture 2"）。
   • スイッチに対して正しい物理ネットワークアダプターを選択します。
   • Allow management operating system to share this network adapter は Management スイッチに対してのみチェックします。
   • OK を押してスイッチを作成します。

4. NDR Device 仮想マシンを作成するときに、その 3 つのネットワークアダプターを対応する仮想スイッチに割り当てます。

   • Adapter 1: Management
   • Adapter 2: Capture 1
   • Adapter 3: Capture 2

   

   Virtual Switch Manager

   この設定により、NDR Device は管理目的で通信でき、お客様の展開シナリオに応じてネットワークトラフィックを監視またはブリッジできます。

注意

Hyper-V ではインライン展開はできません。Hyper-V の Capture 1 と Capture 2 では、2 つのスニファー入力ソースを使用できます。

ヒント

仮想スイッチの作成と管理の詳細については、Microsoft Hyper-V のドキュメントを参照してください: Hyper-V Virtual Machines 用の仮想スイッチを作成する.

展開用 PowerShell スクリプトの使用

提供されている PowerShell スクリプトを使用して、Hyper-V に NDR Device を展開します。以下の手順に従ってください。

1. Taegis UI からダウンロードした展開パッケージを解凍します（例: taegis-ndr-prod-9.2.2.1.zip）。

   

   Virtual Switch Manager

2. Hyper-V ホストで管理者として PowerShell を開きます。

3. 展開ファイルを解凍したディレクトリに移動します。

   cd .\taegis-ndr-prod-9.2.2.1
   

4. セットアップスクリプトを実行します。

   .\isensor-hyperv-setup.ps1
   

5. 上記の手順で定義したスイッチ名とネットワーク割り当てを指定して、スクリプトのプロンプトに応答します。

   • 3 つの外部仮想スイッチを割り当てます。
     • Management: デバイスの管理と登録用。
     • Capture 1: 最初のネットワーク監視（キャプチャ）インターフェース用。
     • Capture 2: 2 番目のネットワーク監視（キャプチャ）インターフェース用（通常はインライン展開の送信インターフェース）。

   スイッチ作成時に使用したものと同じスイッチ名を入力します（例: NDR Management、NDR Capture 1、NDR Capture 2）。

6. スクリプトが完了したら、Hyper-V 上で NDR Device を起動してプロビジョニングできます。上記の 設定と登録 を参照してください。

登録エラーコード

以下のエラーコードが設定/登録中に表示される場合があります。詳細については説明を確認してください。

Error Code	Description
20	ユーザーがネットワーク設定プロセスをキャンセルした
21	ユーザーが NDR Device モード選択プロセスをキャンセルした
22	ユーザーが登録キー設定プロセスをキャンセルした
23	取得したポリシーが有効な XML ファイルではない
24	ポリシーに空の VPN パスワードフィールドが含まれている
25	VPN 接続に失敗した - ユーザーが再試行しないことを選択した
26	RCMS 証明書を取得できない
27	証明書 tar ファイルに /var/mqm/ssl/Key.sth ファイルがない
28	ポリシー (Certinit.config) に CIP サーバー情報がない
29	UIN を取得できない - サーバーが無効な応答を返した
30	UIN を取得できない - サーバーが応答を返さなかった
31	Imagetools 設定に NDR Device Version がない
32	Image MD5Sum がサーバーの MD5Sum と一致しなかった
33	イメージのインストールに失敗した (instimage.barebone)

VMware — 仮想ネットワークのガイダンス

Secureworks は、お客様の仮想環境の作成または変更を支援できない場合があります。仮想ネットワークの追加、削除、変更方法については、仮想ネットワークに関する VMware のドキュメントを参照してください。ベンダーのドキュメントが、お客様の環境内の ESXi または vSphere のバージョンと一致していることを確認してください。

例として、公開されている Introduction to vSphere Networking ドキュメントでは、バージョン 7.0 以降向けの仮想ネットワークの概要と設定ガイダンスが提供されています。このドキュメントの関連セクションは以下のとおりです。

• vSphere Standard Switch の作成方法については、Create a vSphere Standard Switch を参照してください。
• ポートグループの作成方法については、Port Group Configuration for Virtual Machines を参照してください。
• ポートグループ内で Promiscuous モードを有効にする方法については、Configure the Security Policy for a vSphere Standard Switch or Standard Port Group を参照してください。