Communityキャンセル提案をオンにする自動提案では、入力時に可能な一致が提案されるので検索結果を素早く絞り込むことができます。キャンセル提案をオンにする自動提案では、入力時に可能な一致が提案されるので検索結果を素早く絞り込むことができます。Agentをインストールすることで、脆弱性防御/既知・未知マルウェア防御(EPP)/サンドボックス自動解析/マルウェア感染後の検知と対処(EDR)機能/ネットワークトラフィック分析(NTA)/ユーザ行動分析(UBA)機能をご利用頂けます。XDRのAnalytics機能により分析され、ネットワークトラフィック分析(NTA)/ユーザ行動分析(UBA)機能をご利用頂けます。Lakeにトラフィックを送信する設定が可能です。Agentを導入できない環境においても、エージェントレスでエンドポイントのマルウェアスキャンや対処(EDR)を行うことができます。VM(仮想アプライアンス)を利用することで、下記2つの機能を利用できます。Agentを導入後、互換性に関する事象や過検知が発生した場合には、除外を行うことで事象を改善することができます。ここでは、代表的な事象についての除外方法を記載します。Malwareのアラートは、今までWildFireで解析を実施したことない未知ファイル(社内業務アプリケーション等)が機械学習エンジンにより一時的にファイル構造からマルウェアと判定されている場合に検知するアラートです。本アラートと同時にWildFireで解析が行われますので、解析終了後は過検知の判定が自動的に正しく修正されます。Analysisの機能自体を無効にすることで対応を行ってください。Malwareのアラートは、WildFireの脅威インテリジェンスにてマルウェア判定されている場合に検知します。除外方法としては「ハッシュ値、ファイル/フォルダ、WildFireの判定修正依頼」の3つの方法があります。MalwareのアラートでAnalyzeをクリックします。分析画面が表示されますので、検知を除外したいファイル(丸い部分)を右クリックして「Whitelist」をクリックします。確認画面が表示されますので、「Yes」をクリックして、登録は完了です。Whitelistの部分で確認することができます。Agentに配信されるポリシー(マルウェアプロファイル)に対象のファイル/フォルダを追加します。Managementをクリックし、Profilesを選択します。ファイル/フォルダ単位で除外を行いたい端末が所属するマルウェアプロファイルを右クリックしてEditします。特定の端末のみファイル/フォルダ除外を行いたいなど、端末固有の個別設定を行う場合などは、マルウェアプロファイルを新規作成してください。FOLDERSにAddで対処のファイル/フォルダを追加します。ワイルドカードの利用も可能です。Macros」内に登録し、画面右下のSaveを押すことで設定が行われます。同様に該当するアラートを右クリックでAnalyzeした後に、分析画面が表示されます。Incorrect」をクリックしてください。VERDICTに「Benign」を選択し、その理由(英語)とメールアドレスを記入してOKを押すことで、パロアルトネットワークスのリサーチャーが再調査を行います。再調査は即時結果が返ってくるわけではありませんので、取り急ぎ除外設定を行いたい場合にはハッシュ値での除外方法をご利用ください。Threatのアラートは、BTPの挙動検知によって検出されています。マルウェアに動作が類似した業務アプリケーションなどでは過検知する場合があります。検知したBTPのルールを除外設定することができます。exception」をクリックしてください。除外対象をGlobal(全端末)にするのか、Profile(特定のグループや端末に割り当てられるポリシー)に適用するのかを選択して、「Add」をクリックすることで除外されます。Exceptionsに登録されます。Profileで登録した場合には指定したProfileに登録が追加されます。XDRが持つ様々なテクニックベースで検知ロジックに従って脆弱性攻撃として検知されます。他のセキュリティソフトウェアがOSや各種アプリケーションのメモリを操作などを行っている場合には過検知する場合があります。この場合には検知した対象アプリケーションとテクニックを除外することができます。exception」を選択します。除外対象をGlobal(全端末)にするのか、Profile(特定のグループや端末に割り当てられるポリシー)に適用するのかを選択して、「Add」をクリックすることで除外されます。Profile内に登録されます。Exceptions内に追加されます。Agentのエクスプロイト防御機能はアプリケーションのメモリを監視しているため、通常と異なるメモリの利用方法を行っている場合、互換性の問題が発生する場合があります。その場合、Webブラウザが正常に起動/動作しない場合があります。Webブラウザのプラグインや、資産管理ソフトウェア/ログ操作取得ツールなどと同居した場合に互換性問題が発生する事例がありますので、その場合にはWebブラウザに関するエクスプロイト防御機能を無効にして事象が解決されるかをご確認ください。Profileを編集します。Agentにポリシーを割り当ててください。MODEをDisabledにしてSAVEすることで、Webブラウザに対しての脆弱性対策機能が無効となります。Agentの保護対象から除外することができます。ここでは、その手順を解説します。Exceptionsをクリックします。ProfileをEditします。Exceptionsにて解説します。exceptionsの項目を確認して、一例としてWindowsでTestApp.exeというプロセスが起動しない場合は、下記のように設定してリターンキーマークを押して追加した後に、Saveをクリックして保存の上で再度確認を行ってください。Agent導入後、セキュリティイベントにも記録されず、各種アプリケーションの動作に問題がある事象が発生した場合は、エクスプロイト防御機能の一部の防御モジュールが特定アプリケーションと競合している可能性が高いため、エクスプロイト防御機能自体を無効にした上で再度確認する方法があります。Profileを作成し、対象の端末にポリシーを割りててください。詳細はこちらのポリシー設定方法を参照して該当端末にポリシーを割り当ててください。Management」についての解説を行います。Managementの管理コンソールから可能な管理について簡単に解説します。Managementの管理コンソールから行うことができる主な項目は下記の通りです。Agentのエンドポイント端末管理画面を表示することができます。※フィルタ条件を利用することにより、OS、Group、IP、Install日時など、様々な条件で絞り込んだ表示を行うことができます。端末情報として表示される項目は画面右上のFilterの右側の部分から選択することができます。Agentの端末に対しての管理を行うことが可能です(項目により複数端末を選択することも可能です)。ここでは幾つかの管理項目について解説します。File」をクリックします。クリック後、「OK」することで、サポートファイルを入手するアクションが開始されます。Centerをクリックすることで、進捗状況を確認することができます。data」をクリックします。files」を選択することでサポートファイルを取得することができます。Scan」をクリックします。確認画面が表示されますので、スキャンをする場合には、「OK」をクリックします。「OK」をクリック後、サポートファイルを入手するアクションが開始されます。Centerをクリックすることで、進捗状況を確認することができます。※初回時のスキャンは特に終了まで時間が必要です。2回目以降は時間が大幅に短縮されます。events」を選択することで検知したアラートを確認することができます。アラートが表示されますので、必要に応じて、右クリックから対象アラートを「Analyze」することで詳細を調査することができます。Endpoint」をクリックします。確認画面が表示されますので、「OK」をクリックします。Agentの端末がネットワーク隔離されます。端末にログインしているユーザには下記のような表示が一定期間ポップアップされます。Management上の画面でも確認することができます。NAMEの前に付与されます。Isolation」をクリックします。Agentの端末がネットワーク隔離解除されます。端末にログインしているユーザには下記のような表示が一定期間ポップアップされます。Terminal」をクリックします。Terminalが開始されます。Terminalの詳細はこちらを参照してください。Terminalでの操作を終了する場合には、Disconnectをクリックしてください。Agent上で検知させ(ブロックする/しないは設定に依存)、セキュリティイベントを確認する基本的な手順を記載します。ここでは、2つの無害なテストマルウェアを利用する方法を記載します。Agentの端末上でWebブラウザを開き、下記アドレスへアクセスします。ダウンロードされるファイル(wildfire-test-pe-file.exe)は毎回ハッシュ値が変更され、未知マルウェアとしてテスト可能な無害な実行ファイルです。アクセスするとWebブラウザの種類により「実行」や「保存」などの選択が行えますので、一旦デスクトップ等に「保存」してください。ダウンロードしたファイルを実行してください。ポップアップメッセージが表示されてブロックされたことが確認できます。Agent/管理サーバ側にマルウェアを検知したログが記録されています。Screen機能によりPCが保護された場合には、実行を行ってください。Agentの管理コンソールを開き、イベントをクリックすると、検知しているイベントを確認することができます。XDRのクラウド上の管理コンソール上にログインし、画面上部の「Investigation」>「Incidents」をクリックします。Analysis(機械学習エンジン)にて検知したという解説があるインシデントを確認することができます。Incident」をクリックします。インシデントの状況を確認できます。ここでは下記のような情報を確認できます。※ここからファイル単位でAutoFocusやVirusTotalの情報も確認できます。画面下側のアラートを右クリックして、「Analyze」をクリックすることで、より詳細を確認できます。「赤い丸」をクリックします。画面下側に実行ファイルパスやハッシュ値など、今回のテストマルウェアファイルの情報を入手できます。ここでは、WildFireの解析PDFレポートや、判定に異議がある場合の修正依頼も可能です。「赤い丸」を右クリックすると、対象プロセスをブラックリストやホワイトリストなどへの追加やファイル隔離することも可能です。「赤い丸」の上側のマークをクリックすることで、実行しようとしたユーザ情報やOS情報、IPアドレスなどの情報を入手できます。Terminal」をクリックすることで、該当端末のネットワーク隔離や遠隔操作を行うことができます。OSに対してのインストール手順を解説します。Installations」をクリックします。「Create」をクリックします。ポップアップが表示されますので、下記を入力/選択し「Create」をクリックします。インストーラーが作成されます。bit版のインストーラーをダウンロードできます。Agentのインストール手順を解説します。最新手順、VDI環境やmsiexec.exeを利用したインストールの詳細に関しては、こちらを参照ください。Integrationの設定をDisabledに設定変更してください。双方で除外設定を実施することを推奨します。プロキシ利用時にプロキシ側にて接続制御を行っている場合にはUser-Agentを利用した除外が可能です。CONNECT及び、HTTPヘッダに付与されます。パロアルトネットワークスの次世代ファイアウォール製品を利用している場合にはApp-IDを利用した除外が可能です。Agentにプロキシ設定を行う方法がありますので、どちらかをご利用ください。64ビットOSにインストールした場合の画面となります。ダウンロードしたインストーラーを起動して(要管理者権限)「Next」をクリックします。Agreement」の左側にチェックを入れて、「Next」をクリックします。「Install」をクリックすると、インストールが開始されます。ユーザアカウント制御の画面が表示された場合には「はい」をクリックしてください。「Finish」をクリックしてインストールが完了です。ダウンロードしたインストラーをmsiexec.exeコマンドでインストールします。VDI環境、サイレントインストールなどに対応しています。ここでは一例として下記の条件での解説を行います。WindowsのタスクトレイアイコンにTrapsのアイコンが緑色で表示されます。「接続済み」と表示されていれば接続が完了しています。接続できない場合には、ネットワーク設定などを再度ご確認ください。Agentを共存する場合には、下記3つの設定が必要となります。XDRの管理コンソール上で設定する項目となります。AgentがWindows標準のウイルス対策製品として登録されなくなります。Agentを一時的に既存ウイルス対策製品と共存させる場合などはこの設定が必要となります。Profileの作成」を参照してください。Agentが利用するファイル/フォルダの検索除外設定を行ってください。C:\windows\temp\フォルダに存在します。(#)は数字になります。ような形式で除外の指定を行ってください。フォルダに存在します。設定に存在する[プログラム検査を有効にして不正な実行可能ファイルを検出およびブロックする]を無効にしてください。XDR管理コンソール上でウイルス対策製品側で利用するフォルダの除外設定を実施してください。Files内にウイルス対策製品が利用するフォルダを除外指定してください。Rules)に従い、動作します。ポリシーは「ターゲット(対象)」に対し、「Exploit」「Malware」「Restriction」「Agent」「Exception」のプロファイル(Profiles)を割り当てることで動作します。Groups)を割り当てることも可能です。Rulesが複数存在している場合には、上側に設定されたものがポリシーとして割り当てられます。Policyの概念を下記に記載します。ここでは、一例としてポリシー設定を下記のポリシーにてWindows端末に設定します。Management」をクリックします。Profile」をクリックします。Malwareを選択し、右下のNextをクリックします。MODEをReportに設定変更して、右下の「Create」をクリックします。Profile」をクリックします。EXPLOITを選択し、右下のNextをクリックします。MODEをReportに設定変更して、右下の「Create」をクリックします。Profile」をクリックします。Settingsを選択し、右下のNextをクリックします。MODEをEnabledに設定変更して、右下の「Create」をクリックします。下記のように設定されたことを確認します。Policy」をクリックします。Policy」画面が表示されますので、先ほど作成したProfileを割り当てて、「Next」をクリックします。Windows」とフィルタ表示されていることを確認して、「Next」をクリックします。特定端末/グループに対してポリシーを適用したい場合には、端末やポリシーを選択します。設定の確認画面が表示されますので、確認後、「Done」をクリックします。設定を保存するために「Save」をクリックします。複数のポリシーがある場合には矢印マークにてポリシーの順番を入れ替えることができます。入れ替えた場合には「Save」することで反映されます。以上でポリシーの設定を解説しました。詳細なProfileやPolicyの割り当てに関してはこちらを参照してください。App上で設定を行います。TLSにて送信されます。Appを利用することで、一例として下記が可能となります。Forwarding内のActivateをクリックします。Hub上に追加されます。HUBで選択すると、Syslog転送設定またはメール通知設定を行うことができます。管理者にメール通知を行い、重要度が低いセキュリティイベントは記録のためにその他のメールの宛先に送信する動作なども可能です。一例として、エンドポイントのセキュリティログを通知したい場合には、下記を選択してください。Analyticsが選択できます。XDRのAnalyticsのイベントも通知することができます。Appの詳細はこちらを参照してください。Agentをアンインストールする方法として下記2つの方法があります。Agent接続時に自動的にアンインストールが行われます。Centerをクリックします。Action」をクリックします。Uninstall」をクリックし、画面右下の「Next」をクリックします。アンインストールする端末を選択して「Next」をクリックします。Filterを利用することで、特定のドメインやグループ、IPアドレスなど、各種条件で表示内容を絞り込むことができます。内容を確認して「Done」をクリックすることで、アンインストールのアクションが設定されます。Actionsの中でアンインストールの進捗状況を確認することができます。data」をクリックすると、端末単位での進捗状況を確認することもできます。Successfullyと表示されます。data」をクリックすると下記のように確認できます。Agent端末上でアンインストールを行うことができます。Protection機能を無効にした上で、Windowsのアプリと機能からアンインストールを行います。通常は下記のパスとなります。XDR管理コンソール上で事前に指定したパスワードを入力します。Protection機能は無効(Disabled)となっています。10の場合)を開き、アンインストールをクリックしてください。アンインストールが開始されます。こちらの画面が表示された場合には、「OK」をクリックしてください。ユーザーアカウント制御画面が表示された場合には、「はい」をクリックしてください。アンインストールが完了するまでお待ちください。XDRに関連するテクニカルドキュメントは下記に公開しております。XDRの管理者ガイドやリリースノートです。Responseに分かれています。XDRをセットアップする際の手順や必要な要件について記載しています。Hubについて記載しています。Lakeについて記載しています。APIを利用してエンドポイントの情報入手や、ネットワーク隔離などをAPIを利用して実施できます。Hub上のアプリケーションとなります。別途、センサーとして次世代FirewallやTrapsを利用する場合には、そちらのテクニカルドキュメントを参照してください。評価ライセンスが発行されると、以下のメールがご担当者様宛に送られます。送信元は、以下になります。HUBにアクセスします。HUBにアクセスすると以下の画面が表示されます。Inをクリックします。Portalに登録したメールアドレス、及びパスワードにてサインインをします。XDRのアイコンをクリックし、設定に初期設定に進みます。Portalの名前が入っていることを確認します。XDRのインスタンス名をNAMEの欄に入力します。XDRになっています。XDRインスタンスのURLを入力します。この値は、グローバルで一意である必要があります。Lakeを指定します。Lakeを選択します。Lakeに、XDRインスタンスは一つのみとなっております。Lakeを設置する地域をREGIONから選択します。Lakeと同じ地域に展開されます。XDRを有効化させます。Activationが開始されたのちに、Activationの結果が表示されます。XDRのStatusに緑色のチェックマークがついていれば、完了です。(完了するまで、10分程度かかります。XDR関連の記事となります。XDRに関するビデオを紹介しております。