Securityのセキュリティ保護機能を検証!!動作確認編techblogこんにちは。ソリューションアーキテクトのMIです。Securityの構築手順をご紹介させて頂きました。今回は、動作確認の手順をご紹介させて頂きます。Securityには7つの保護機能がありますが、各機能ついて動作確認を実施し、動作することを確認しています。セキュリティログ監視、アプリケーションコントロール、Webレピュテーションの7つの機能について動作確認を実施します。不正プログラム対策の動作確認は以下URLのトレンドマイクロ社の手順を参考に実施します。https://success.trendmicro.com/jp/solution/1114066(1)管理対象サーバにターミナルソフトウェアから管理者ユーザでログインします。以下のコマンド実行します。wgetコマンドでテスト用ウィルスファイル(eicar.com)をダウンロードしますが、不正プログラム対策機能によりファイルが作成されないことが確認できます。0#(2)DSMコンソールで管理対象サーバの[不正プログラム対策]>[不正プログラム対策イベント]でファイルeicar.comが隔離されたイベントが検知されたことを確認できます。2.ファイアウォールファイアウォールの動作確認は以下URLのトレンドマイクロ社の手順を参考に実施します。https://success.trendmicro.com/jp/solution/1114068(1)DSMコンソールで管理対象サーバの[ファイアウォール]>[一般]>[割り当て/割り当て解除]ボタンを押下します。(2)ファイアウォールルールが表示されます。Deny]ポリシーにチェックを入れ、[OK]ボタンを押下します。(3)マネージャサーバのコマンドプロンプトを起動し、管理対象サーバへpingを実行します。ファイアウォール機能によりpingの結果がタイムアウトになることが確認できます。(4)[ファイアウォール]>[ファイアウォールイベント]でpingが拒否されたイベントが検知されたことを確認できます。侵入防御の動作確認は以下URLのトレンドマイクロ社の手順を参考に実施します。https://success.trendmicro.com/jp/solution/1310142(1)DSMコンソールで管理対象サーバの[侵入防御]>[一般]>[割り当て/割り当て解除]ボタンを押下します。(2)侵入防御ルールが表示されます。[新規]>[新しい侵入防御ルール]を押下します。(3)[一般]に以下の通りに入力し、[ルール]を押下します。Common(4)[ルール]に以下の通りに入力し、[OK]ボタンを押下します。処理:パケットの破棄、接続のクローズ(5)管理対象サーバにターミナルソフトウェアから管理者ユーザでログインします。以下のコマンド実行します。curlコマンドでURLのシグネチャにhelloが含まれると、侵入防御機能により接続がリセットされることが確認できます。Commonがリセットされたイベントが検知されたことを確認できます。変更監視の動作確認は管理対象サーバにテストファイルを作成し、テストファイルが更新されたときに変更監視機能によってイベントが検知されること確認します。以下URLのトレンドマイクロ社の手順を参考にしています。http://esupport.trendmicro.com/solution/ja-JP/1114070.aspxトレンドマイクロ社の手順はWindowsのhostsファイルの変更を規定ルールで動作確認をしています。検証環境はLinux環境のため、新規にルールを作成して動作確認を実施しています。(1)管理対象サーバにターミナルソフトウェアから管理者ユーザでログインします。以下のコマンド実行します。テスト用のディレクトリを作成し、テストファイル(testfile)を準備します。testfile#(2)DSMコンソールで管理対象サーバの[変更監視]>[一般]>[割り当て/割り当て解除]ボタンを押下します。(3)変更監視ルールが表示されます。[新規]>[新しい変更監視ルール]を押下します。(4)[一般]に以下の通りに入力し、[ルール]を押下します。説明:test(5)[ルール]に以下の通りに入力し、[OK]ボタンを押下します。ファイル名:*(6)[変更監視]>[一般]>[ベースラインの再構築]ボタンを押下します。(7)「ベースラインを再構築してもよろしいですか?」画面で[OK]ボタンを押下します。(8)管理対象サーバにターミナルソフトウェアから管理者ユーザでログインします。以下のコマンド実行します。テストファイル(testfile)を更新します。testfile#(9)DSMコンソールで管理対象サーバの[変更監視]>[一般]>[変更の検索]ボタンを押下します。(10)[変更監視]>[変更監視イベント]でtestfileがアップデートされたイベントが検知されたことを確認できます。5.セキュリティログ監視セキュリティログ監視の動作確認は管理対象サーバにsshでログインされたことをセキュリティログ監視機能によってイベントが検知されること確認します。以下URLのトレンドマイクロ社の手順を参考にしています。http://esupport.trendmicro.com/solution/ja-JP/1114071.aspxトレンドマイクロ社の手順はWindowsのイベントログで動作確認をしています。検証環境はLinux環境のため、Linuxのsshのルールを利用して動作確認を実施しています。(1)DSMコンソールで管理対象サーバの[セキュリティログ監視]>[一般]を表示します。Daemon(SSHD)」が割り当てられていることが確認できます。このルールはSSHログイン成功を検知する設定が含まれています。以降でSSHログイン成功のイベントが検知できることを確認していきます。(2)管理対象サーバにターミナルソフトウェアから管理者ユーザでログインします。successのイベントが検知されたことを確認できます。6.アプリケーションコントロールアプリケーションコントロールの動作確認は以下URLのトレンドマイクロ社の手順を参考に実施します。https://success.trendmicro.com/jp/solution/1116882(1)DSMコンソールで管理対象サーバの[アプリケーションコントロール]>[一般]を表示します。以下の通りに入力し、[OK]ボタンを押下します。実行:承認されていないソフトウェアを明示的に許可するまでブロック(2)管理対象サーバにターミナルソフトウェアから管理者ユーザでログインします。以下のコマンド実行します。viエディタで実行ファイル(test999.sh)を作成し、実行権限を付与します。実行ファイルを実行すると、アプリケーションコントロール機能で実行できないことが確認できます。permitted#(3)DSMコンソールで管理対象サーバの[アプリケーションコントロール]>[アプリケーションコントロールイベント]でtest999.shの処理がブロックされたイベントが検知されたことを確認できます。7.WebレピュテーションWebレピュテーションの動作確認は以下URLのトレンドマイクロ社の手順を参考に実施します。https://success.trendmicro.com/jp/solution/1312210(1)DSMコンソールで管理対象サーバの[Webレピュテーション]>[一般]を表示します。検証環境ではWebレピュテーションの設定が[オフ]であったため、[オン]に変更しています。(2)管理対象サーバにターミナルソフトウェアから管理者ユーザでログインします。以下のコマンド実行します。Webレピュテーション機能によりサイトへアクセスがブロックされたことが確認できます。reserved.</body></html>#(3)DSMコンソールで管理対象サーバの[Webレピュテーション]>[Webレビュテーションイベント]でhttp://wrs21.winshipway.com/の処理がブロックされたイベントが検知されたことを確認できます。Securityのご紹介をさせて頂きました。SecurityはECSに出入りする攻撃から保護することができます。それぞれを組合せて最適なセキュリティ対策を実施されることをオススメします。reserved.スターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。