目次

Workload Security とエージェント間の通信

Workload Security とエージェントは、相互にサポートされている最新バージョンのTLSを使用して通信します。

トピック:

ハートビートを設定する

ハートビートは、Workload Securityとエージェント間の定期的な通信です。ハートビート時に、Workload Securityは次の情報を収集します。

  • ドライバのステータス (オンラインまたはオフライン)
  • エージェントのステータス(時計時刻を含む)
  • 最後のハートビート以降のエージェントのログ
  • カウンタをアップデートするデータ
  • エージェントのセキュリティ設定のフィンガープリント(最新であるかどうかを判断するために使用)

ハートビートは、ベースポリシーまたは親ポリシー、サブポリシー、または個々のコンピュータで設定できます。

ハートビート間の時間は10分で、アラートが生成されるまでに失敗するハートビートの数は2です。これら2つのプロパティは設定できません。

エージェントは、ハートビート間隔と、アラートを送信する前に受信できなかったハートビート数の設定をサポートしなくなりました。

ハートビートは次のプロパティを設定できます。

  • 非アクティブな仮想マシンに対してオフラインエラーを発生させる: 仮想マシンが停止した場合にオフラインエラーを発生させるかどうかを定義します。

  • 設定するポリシーまたはコンピュータのポリシーエディタまたはコンピュータエディタを開きます。 [コンピュータ] または [ポリシー] メニューで表の行を選択し、[詳細] をクリックします。

  • [Settings]→[一般]→[Heartbeat]の順に選択します。
  • 必要に応じてプロパティを変更します。
  • [Save] をクリックします。

通信方向を設定する

Workload Securityの場合、Agentからの通信は初期設定で有効になっています。この設定は変更しないでください。

macOSエージェントの場合、 エージェント起動 の通信のみをサポートします。

エージェントまたはWorkload Securityのどちらで通信を開始するかを設定します。通信には、ハートビートおよびその他すべての通信が含まれます。次のオプションを使用できます。

  • 双方向: 通常、Agentはハートビートを開始します。また、Agentの待機ポート番号でWorkload Securityからの接続を待機します (Workload Securityのポート番号を参照)。 Workload Securityは、必要な処理を実行するためにAgentに接続できます。 Workload Securityでは、エージェントのセキュリティ設定に変更を適用できます。
  • Managerが起動しました:Workload Security (マネージャ)は、エージェントとのすべての通信を開始します。この通信には、セキュリティ設定のアップデート、ハートビートの処理、およびイベントログの要求が含まれます。
  • Agent Initiated:エージェントはWorkload Securityからの接続を待機しません。代わりに、Workload Securityがエージェントのハートビートを待機するポート番号でWorkload Securityに接続します (Workload Securityのポート番号 を参照)。 エージェントがWorkload SecurityとのTCP接続を確立すると、通常の通信がすべて実行されますWorkload Securityは、まずエージェントにステータスとイベントを問い合わせます。これがハートビート操作です。コンピュータで実行する必要のある未処理の処理 (ポリシーの更新など) がある場合、接続が切断される前にこれらの処理が実行されます。 Workload Securityとエージェント間の通信は、ハートビートごとにのみ発生します。エージェントのセキュリティ設定が変更された場合、次のハートビートまで更新されません。 Agentからの起動による有効化の設定方法、および配信スクリプトを使用してAgentを有効化する方法については、Agentからの起動による有効化と通信を使用したAgentの有効化と保護 を参照してください。

  • 設定するポリシーまたはコンピュータの Policy エディタまたは Computer エディタを開きます。

  • [設定]→[一般]→[通信方向] に移動します。
  • [Workload Security ManagerからAgent/Applianceへの通信の方向] メニューで、[Manager からの起動]、[エージェント/Applianceからの起動]、または[双方向] のいずれかを選択するか、[継承] を選択します。 [継承] を選択した場合、ポリシーまたはコンピュータは親ポリシーから設定を継承します。他のオプションのいずれかを選択すると、継承された設定が上書きされます。
  • [ Save ]をクリックして変更を適用します。

Workload SecurityとAgent間の通信を有効にするために、Workload Securityでは、受信TCP/IPトラフィックに対してAgent上のハートビートを待機するポート番号を開く (非表示の) ファイアウォールルール (優先度4、バイパス) が自動的に実装されます。初期設定では、任意のIPアドレスおよびMACアドレスからの接続試行を許可します。特定のIPアドレスまたはMACアドレス、あるいはその両方からの受信TCP/IPトラフィックのみを許可する新しい優先度4のファイアウォールルールを強制的に許可またはバイパスすることで、このポートの受信トラフィックを制限できます。設定が次の設定と一致する場合、この新しいファイアウォールルールによって非表示のファイアウォールルールが置き換えられます。

action: force allowまたはbypass
優先度: 4 - 最高
パケットの方向: incoming
フレームタイプ: IP
プロトコル: TCP
packet's destination port: AgentがWorkload Securityからのハートビート接続を待機するポート番号、またはポート番号を含むリスト。 エージェントの待機ポート番号 を参照してください。

これらの設定が有効な場合、新しいルールで非表示のルールが置き換えられます。その後、IPまたはMACアドレス、またはその両方のパケットソース情報を入力して、コンピュータへのトラフィックを制限できます。

エージェントは、Workload Securityのホスト名を使用して、ネットワーク上のWorkload Securityを検索します。したがって、Agentからの通信または双方向通信を機能させるには、Workload Securityホスト名がローカルDNSに存在する必要があります。

通信用にサポートされている暗号スイート

Workload Security とエージェントは、TLSの最新の相互サポートバージョンを使用して通信します。

エージェントは、Workload Securityとの通信用に次の暗号スイートをサポートしています。Workload Securityでサポートされる暗号スイートを知りたい場合は、トレンドマイクロにお問い合わせください。

暗号化スイートは、鍵交換非対称アルゴリズム、対称データ暗号化アルゴリズム、およびハッシュ関数で構成されます。

Agentバージョン9.5の暗号化スイート

Deep Security Agent 9.5(SP、パッチ、またはアップデートなし)は、次のTLS 1.0暗号スイートをサポートします。

  • TLS_RSA_WITH_AES_256_CBC_SHA
  • TLS_RSA_WITH_AES_128_CBC_SHA

Deep Security Agent 9.5 SP1~9.5 SP1 Patch 3 Update 2では、以下の暗号化スイートがサポートされています。

  • TLS_RSA_WITH_AES_256_CBC_SHA
  • TLS_RSA_WITH_3DES_EDE_CBC_SHA
  • TLS_RSA_WITH_AES_128_CBC_SHA

Deep Security Agent 9.5 SP1 Patch 3 Update 3~8では、以下の暗号化スイートがサポートされています。

  • TLS_RSA_WITH_AES_256_CBC_SHA256
  • TLS_RSA_WITH_AES_128_GCM_SHA256
  • TLS_RSA_WITH_AES_128_CBC_SHA256
  • TLS_RSA_WITH_AES_256_CBC_SHA
  • TLS_RSA_WITH_AES_128_CBC_SHA

Agentバージョン9.6の暗号化スイート

Deep Security Agent 9.6 (SP、パッチ、またはアップデート適用なし) ~9.6 Patch 1では、以下のTLS 1.0暗号化スイートがサポートされています。

  • TLS_RSA_WITH_AES_256_CBC_SHA
  • TLS_RSA_WITH_AES_128_CBC_SHA

Deep Security Agent 9.6 Patch 2~9.6 SP1 Patch 1 Update 4では、以下の暗号化スイートがサポートされています。

  • TLS_RSA_WITH_AES_256_CBC_SHA
  • TLS_RSA_WITH_3DES_EDE_CBC_SHA
  • TLS_RSA_WITH_AES_128_CBC_SHA

Deep Security Agent 9.6 SP1 Patch 1 Update 5~21では、以下の暗号化スイートがサポートされています。

  • TLS_RSA_WITH_AES_256_CBC_SHA256
  • TLS_RSA_WITH_AES_128_GCM_SHA256
  • TLS_RSA_WITH_AES_128_CBC_SHA256
  • TLS_RSA_WITH_AES_256_CBC_SHA
  • TLS_RSA_WITH_AES_128_CBC_SHA

Agentバージョン10.0の暗号化スイート

Deep Security Agent 10.0のUpdate 15まででは、以下のTLS 1.2暗号化スイートがサポートされています。

  • TLS_RSA_WITH_AES_256_CBC_SHA256
  • TLS_RSA_WITH_AES_128_CBC_SHA256

Deep Security Agent 10.0のUpdate 16以降のアップデートでは、以下のTLS 1.2暗号化スイートがそのままの形でサポートされています。

  • TLS_RSA_WITH_AES_256_CBC_SHA256
  • TLS_RSA_WITH_AES_128_CBC_SHA256

Agentバージョン11.0の暗号化スイート

アップデート4までのDeep Security Agent 11.0は、次の暗号スイートをサポートします。

  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
  • TLS_RSA_WITH_AES_256_CBC_SHA256
  • TLS_RSA_WITH_AES_128_CBC_SHA256

Deep Security Agent 11.0 Update 6以降のアップデートでは、以下のTLS 1.2暗号化スイートがサポートされています。

  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

Agentバージョン12.0およびAgentバージョン20の暗号スイート

  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256