Noticeが公開されました。9:00)に期限切れとなってしまい、それ以降では自己署名証明書を使ったサービスに関してなにかしらの影響(有効期限切れに起因したクライアント側での警告や接続失敗等)が予想されるというものです。UTC以降では自己署名証明書を作成しようとしても、生成時にエラーとなってしまい更新ができないという問題です。具体的な影響範囲や対処方法については、FN-70489およびCSCvi48253をご確認ください。この上でFN-70489およびCSCvi48253はIOSもしくはIOS-XEの影響を受けるバージョンに限った案内となっており、ASAシリーズに対するASA-OSへの影響はありません。Toolのご確認お願いいたします。PM注:本記事は2019/11/14時点の情報を元に投稿しておりますため、今後新しいISEバージョンのリリースに伴い推奨バージョンが変更される可能性もあります点はご了承ください。2019/11/14時点現在、ISEの推奨バージョンは2.6(Patch2以降)となっております。2.6の導入をご検討いただければ幸いです。その場合には、最新のPatchも適用いただく方針でご検討いただけますようお願い致します。2.4を非推奨という扱いにすることではございませんのでご安心ください。本記事については、以下の投稿を元に作成しておりますため、より詳細な情報を確認されたいという場合は、以下ご一読のほどよろしくお願いいたします。最新の推奨バージョンについては、ダウンロードサイトからもご確認いただけますので、併せてご確認いただけますようお願いいたします。bundle取得後でも確認が可能です。Bundleに含まれる(ランダム文字列)-support-argsというファイルを確認するというものになります。いうファイルになります。bundle取得時のOptionの対応は以下の通りです。2.6で確認した結果を元に作成しており、今後のバージョンアップなどで予告無く変更される可能性がございますので、あらかじめご了承ください。PMISEのトラブルシューティングにおいて、状況によっては関連ComponentのログレベルをDEBUGレベルに変更した上で、事象再現確認をする必要があります。ログレベルを戻した後に、実際にどのComponentをDebugにしたかどうかを確認することはできません。このため、ログレベルの変更直後にどのComponentをDEBUGレベルに変更したのか確認いただくことを推奨しております。Levelの高い順(もしくは低い順)にComponentを並べ替えることができますので、そこでDEBUGレベルしたComponentの一覧を確認することができます。Levelを切り戻した後でもどのComponentを変更したかを確認することができます。Level変更の際には極力このスクリーンショットを取得しておいてください。bundleを取得されたということであれば、必ずこちらのスクリーンショットも共有いただけますようお願いいたします。Lifetime)を有効にしている状況で、期限切れ前にパスワード変更したにも関わらず、ユーザーが無効(Disable)となってしまう事象について説明します。本ドキュメントは以下の環境で確認した挙動をベースとしています。Lifetimeを有効にしている場合、保持している全てのパスワードを有効期限までに変更しないでいると、ISEはパスワードの有効期限切れと見なし、対象のユーザをDisableとします。具体的な例として、以下のようなユーザを同時に作成したとします。ここで、有効期限まで以下のユーザに対してパスワード変更をしたとします。そのまま、ユーザ作成日から起算してパスワード有効期限を迎えると、以下のような結果となります。Lifetimeを設定している場合にユーザアカウントの無効化を回避するためには、有効期限までに保持している全てのパスワードを、定期的に更新する必要があります。IOS等)へのログインで利用している環境でログインパスワードやEnableパスワードを入力/変更するプロンプトが出ない(Bypassしている)場合は、ネットワークデバイスからのパスワード変更ができない場合が多いため、注意が必要です。その場合にはISEのGUIから対象のユーザの各パスワードを定期的に変更する必要があります。意図せずユーザが無効化されてしまった場合、その日のise-psc.logを見ることで、理由が確認できます。ご確認いただけるはずです。Codeに'60057'と入力することで検索もできるはずです。Codeが表示されないということであれば、別途トラブルシューティングが必要となりますため、弊社TACにケースオープンください。PMFMCにて、ConnectionイベントやMalwareイベントを確認する際には、GUIにアクセスいただき、Analysisタブからご確認されていると思います。この方法だとEventsを確認しながら何か他のFMC操作を行う際に不便な場合が多いかと思いますので、本ドキュメントではEventsをExportする方法について記載いたします。各種Eventに起因した問題をトラブルシューティングするためには、Eventsのスクリーンショットではなく、こちらでご案内している方法でExportした情報をご提供いただけると、全体的な状況等を把握しやすくなるため、弊社TACお問い合わせ時のご参考にいただければと思います。本ドキュメントは、以下の構成での確認結果を元に作成しております。バージョンアップに伴い、本ドキュメントで取り扱っている挙動が変更される可能性もございますため、あらかじめご了承ください。FMCのGUIにアクセスいただき、Eventsを確認します。Eventsを確認しており、ICMPとHTTPのイベントが確認できます。Designerをクリックします。Templateの編集画面が表示されるため、そのままGenerateボタンをクリックします。すると、出力ファイル名や出力形式を指定するポップアップが表示されるので、そこでGenerateをクリックします。するとTasksにて結果とダウンロードリンクが確認できますので、そちらからダウンロードすることが可能となります。以下の例では、HTML,PDF,CSVの3形式でGenerateした結果となります。Reports]にて確認およびダウンロードいただけるのと同時に、不要となったReportについては削除いただくことも可能です。Reports機能では、ReportをGenerateする際の抽出条件や出力結果を変更することも可能です。Templates]にて、先ほどGenerateしたTemplateの編集ボタンをクリックします。※既存のTemplateを変更したくない場合はCopyボタンでの編集をお薦めいたします。抽出に便利そうな設定部分について以下の通りとなりますが、状況に応じて他の設定も指定いただければと思います。Eventのうち、本日分のHTTP(TCP/80)のみを抽出する設定例となります。Code"に80を、"Protocol"にtcpをそれぞれ指定します。5をクリックしてプレビューを確認します。本記事の最初の画像と比べて、ICMPのレコードが存在しないことが確認できます。この結果が期待度通りであれば、プレビューを閉じた後、TemplateのSaveボタンをクリックしてください。Reportボタンをクリックします。Reports]からダウンロードしてください。Designerをクリックすると、Eventsの抽出条件をそのまま引き継ぐことができます。WindowがTemplateのデフォルト設定となっているのでご注意ください。Templateに基づいたReportのGenerateをスケジューリングすることができます。本ドキュメントは以下の環境で確認した結果を元に記事を作成しております。バージョンアップに伴い、本ドキュメントで取り扱っている挙動が変更される可能性もございますため、あらかじめご了承ください。Logsという機能がございます。詳細についてはこちらをご確認ください。Logsの機能では表示件数を変更できますが、現時点では最大20件/50件/100件から選ぶことができます。弊社TACでは、この表示件数をさらに変更(101件以上など)できないかというお問い合わせをよくいただきますが、残念ながらそれは現在の実装上許容されておりません。Logsでは確認しきれない過去のログを確認する方法を記載いたします。ご利用の環境に合わせて各手段での運用もご検討いただければと思います。ある程度遡ったログが確認できます。以下は、認証ユーザがaaaの場合のフィルター例となります。表示列の編集方法についてはこちらをご確認ください。Logsに表示では表示しきれない過去の認証ログも確認できます。表示期間を変更する場合は、右上のFilter機能にて表示期間の調整が可能です。Scheduleにすることでも、特定の条件で抽出した認証ログを時次や日次などで定期的に外部レポジトリにExportすることも可能です。ログをSyslogサーバに転送することが可能です。設定の手順は以下の通りです。Targetを追加します。Target(Syslogサーバ)を追加します。Loggingを有効にすると、認証成功・失敗のログイベントが発生するたびにISE内部のログファイルにもロギングを行います。Loggingの指定は慎重にご検討ください。以下、Syslogサーバに転送された認証ログの例となります。本ドキュメントは、以下の構成での確認結果を元に作成しております。バージョンアップに伴い、本ドキュメントで取り扱っている挙動が変更される可能性もございますため、あらかじめご了承ください。Object(GID:3)のRuleの追加もしくは変更がある場合にはSnortの再起動が必要となります。詳細はこちらでご確認ください。Object自体はセンサ側へPushされてしまうため、結果としてSnortの再起動が必要となりますので、ご注意ください。Objectのモジュールが更新されたかどうかが確認できます。※以下は2018-07-05-002-vrtが適用されている状態から、2018-07-10-001-vrtを適用した場合のログとなります。Objectが更新されたかどうかの確認が可能です。Deployment環境にてパッチをインストールされる際に、インストール(およびそれに伴うサービス再起動)の順番に注意が必要な場合があると思います。本ドキュメントでは、Deployment環境における、WebGUIからパッチ適用した際の、適用される順番について説明いたします。2.4にて、Patch1を適用した際の確認結果を元に作成しております。確認したDeployment構成は以下の通りとなります。GUIにて表示されている順番となります。この順番はDeployment構築時にHost名で決定されるため、Patchインストールする段階では意図的に変更はできません。具体例として、今回検証時の場合は以下のようになります。GUIに表示されている順番次第というところになります。Statusアイコンをクリックすることで、現在のインストール状況が確認できます。Patchのロールバックも、インストール時と同じく、WebGUIにて表示された順番となります。本記事の記述内容は、以下の環境で確認をしております。バージョンアップに伴う仕様変更によって将来的に変更される場合もございますので、あらかじめご了承ください。それがコマンドシェル(例:Windowsの場合はcmd.exe等)を実行したことを検知しております。IOC)により検出されます。IOCの概要については、こちらをご確認ください。Trajectory上に示される黄色いブロックで確認ができます。セキュリティ侵害が発生しているということを示しているわけではなく、疑いがあるというレベルで検出される場合もあります。セキュリティ侵害の兆候を検出したことを示唆しているに過ぎません。関連するアプリケーションや、それによって開かれたファイルをご確認ください。Endpointを運用されている管理者様にて極力ご判断いただけますようお願いいたします。その点はあらかじめご了承ください。本ドキュメントでは除外リストとホワイトリストの動作の違いの概要について記載させていただきます。詳細について確認されたい場合はユーザガイドやオンラインヘルプを必ずご一読ください。本記事の記述内容は、以下の環境で確認をしております。バージョンアップに伴う仕様変更によって将来的に変更される場合もございますので、あらかじめご了承ください。Endpointのパフォーマンス低下を軽減したり、他セキュリティ製品との競合を解消するために用いられます。設定方法はこちらをご確認ください。Exclusionsに指定されたパスやプロセスなどは、ファイルの書き込み(作成やコピー)に対して有効です。ファイルの実行については、監査の除外対象とならず、悪意があるファイルと判定された場合は、それを検知してしまいます。Exclusions)となります。Whitelisting]を設定してください。業務に支障が発生してしまう場合に多く用いられます。設定方法はこちらをご確認ください。信頼できるアプリケーションであることは必ずご確認いただいた上で、ホワイトリスト対象としてください。「実際に信頼できるものかどうか」という判断は弊社TACでは行っておりませんため、こちらをご参考に詳細をご確認いただき、アプリケーション作成者/ベンダもしくはアプリケーションを提供している管理者までお問い合わせください。EndpointにてMaliciousとして検知(誤検知)してしまう場合もございます。そのような場合は、誤検知のお問い合わせとして対応させていただきますので、こちらにてご案内している内容をご確認の上で必要情報を収集いただき弊社TACまでお問い合わせください。Endpointをご利用中に、以下のようなトラブルが発生したという報告を多くいただきます。このようなトラブルに直面された場合の取り急ぎの対処として、対象の実行ファイルを復元する方法がございます。File(ファイルの復元)方法についてご説明いたします。継続的に隔離させないようにするためには、こちらにてご案内しているホワイトリストの設定をする必要がありますので、併せてご一読ください。本記事の記述内容は、以下の環境で確認をしております。バージョンアップに伴う仕様変更によって将来的に変更される場合もございますので、あらかじめご了承ください。本ドキュメントでは、隔離されたファイルの例としてEICARファイル使用いたします。Consoleにログイン後、以下の画面にて隔離されたイベントを探します。Fileというボタンがあるので、これを押下してください。ファイルの復元までには多少時間がかかる場合がありますので、しばらくお待ちください。Request:Successful」というイベントが確認できます。対象の端末にて、隔離されたファイルが復元されたことが確認できれば完了です。Fileに失敗するようであれば、まずは以下の点をご確認ください。上記に問題がなければ、以下の情報を採取の上で弊社TACにお問い合わせください。Endpointをご利用中に、以下のようなトラブルが発生したという報告を多くいただきます。このようなトラブルに直面された場合の取り急ぎの対処として、対象の実行ファイルをConnectorの検査対象から除外するように、Whitelist(ホワイトリスト)へ登録いただく方法がございます。本ドキュメントでは、Whitelistの設定方法についてご説明いたします。業務上必要なファイル・アプリケーションが検知・隔離されてしまった場合は設定方法1をご参照ください。検知・隔離が発生しておらず、事前にWhitelistに登録したい場合は設定方法2をご参照ください。Whitelistに関する説明は以下公開しているドキュメントにてご案内しておりますので、詳細は以下にてご確認ください。本記事の記述内容は、以下の環境で確認をしております。バージョンアップに伴う仕様変更によって将来的に変更される場合もございますので、あらかじめご了承ください。Whitelistingを選択してください。Whitelistの一覧が表示されますので、以下の手順で新規のWhitelistを作成してください。※Whitelistを作成済みの場合は、この手順はSkipしてください。適用したいポリシーを確認してください。以下の例では現在未設定となっております。Whitelistingとして設定します。※Whitelistをポリシーに適用済みの場合は、この手順はSkipしてください。意図しないファイル隔離が発生した端末を探します。Computersを選択したのち、対象の端末を探してください。Trajectoryというリンクが表示されるので、それをクリックします。該当端末でのTrajectory情報が表示されたら、Whitelistに登録したいファイルを右クリックします。※本ドキュメントの例では、chrome.exeを対象のファイルと想定して記述します。サブメニューが表示されたらWhitelistを選択し、先ほど作成・適用したWhitelistを選択します。レ点が表示されてばWhitelistへの登録が完了です。はじめに、設定方法1と同様に、Whitelistの追加および、ポリシーへの適用を行ってください。Whitelistingを選択してください。作成されているWhitelistが表示されますので、Editボタンを押下すると、画面右側にWhitelist追加のウィンドウが表示されます。ここに、任意のファイル(もしくはファイルハッシュ値)を追加していくことができます。例としてchrome.exeという実行ファイルをWhitelistに登録してみます。Whitelist登録後、登録されているファイル数が増加しているのが確認できます。以上で対象ファイルのWhitelistへの登録は完了です。Trajectoryにて、対象ファイルの判定(Disposition)がWhitelistedと更新されていることが確認できます。Endpointをご利用中に、以下のようなトラブルが発生したという報告を多くいただきます。このようなトラブルに直面された場合の対処として、Connectorの検査対象から特定のディレクトリなどを除外するようにExclusion(除外)リストへ登録いただく方法がございます。本ドキュメントでは、Exclusionの設定方法についてご説明いたします。Exclusion(除外)リストに関する説明は以下公開しているドキュメントにてにてご案内しておりますので、詳細は以下にてご確認ください。本記事の記述内容は、以下の環境で確認をしております。バージョンアップに伴う仕様変更によって将来的に変更される場合もございますので、あらかじめご了承ください。Exclusionsを選択してください。setを作成します。Setを作成済みの場合は、Editボタンを押下してください。Setの内容が表示され、その下にデフォルトの除外パスがいくつか登録されていることが確認できます。ここに、任意の除外パスを追加していくことができます。excluded」という「パス」を除外する設定を追加してみます。Exclusion追加後、指定したパスが追加されているのが確認できます。Setを作成した場合、これだけでは実際にScan等を行うConnector側には反映されません。Connectorに反映するためには、適用したいPolicyのExclusionに指定する必要があります。適用したいポリシーを確認してください。以下の例では現在未設定となっております。ポリシーの編集画面にてExclusionsとして設定します。Exclusionが追加されていることが確認できます。以上で、Exclusion(除外)の追加設定は完了です。Setが反映されているかは、ConnectorにてScanを行うことでも確認できます。Scan対象が3件のみとなっているのが確認できます。