Auto Scaling環境にTrend Vision One Endpoint Security(Server & Workload Protection)を導入してみた

こんにちは、シマです。
今回はAWS Auto Scaling環境にTrend Vision One Endpoint Security(Server & Workload Protection)(以降V1ES)を導入していこうと思います。

従来のCloud One Workload Security(以降C1WS)の場合

C1WSにはいくつかの導入方法がありますが、AWS Auto Scalingで私用する起動テンプレートのユーザデータにインストールスクリプトを記載する方式をよく使っていました。

他の導入方法については弊社おつまみがわかりやすい記事を書いてくれているのでそちらをご参照ください。

V1ESの場合

C1WSの方式(インストールスクリプト)で実施したい

C1WSとはエージェントの導入方法に変更があり、ポリシーの割り当てを含めたインストールスクリプトによるインストールができなくなっています。

ではどうするのか

事前にエージェントのインストーラをAMI内に配置しておき、Auto Scalingのユーザデータからインストールを行います。ポリシーの割り当てはV1ESのイベントベースタスクにより、設定していきます。

前提条件

Vision Oneのアカウント発行、AWSとの連携、V1ESのポリシー作成等については割愛しますので、以下の記事をご参考ください。

イベントベースタスクの作成

Trend Vision Oneコンソールの左ペインの「Endpoint Security Operations」→「Server & Workload Protection」を開きます。「管理」タブから、「イベントベースタスク」→「新規」をクリックします。

「コンピュータの移動(システムによる)」を選択します。

コンピュータの無効化以外を有効にし、ポリシーの割り当てで割り当てたいポリシーを選択します。

今回はタグを条件にポリシーの割り当てを行うので、「クラウドインスタンスのメタデータ」を選択し、タグのキーと値を設定します。今回はV1ES専用のタグを用意します。

「タスクの有効化」にチェックがついていることを確認して「完了」をクリックします。

エージェントを配置したAMIを作成

Vision Oneの管理コンソールからV1ESのエージェントをダウンロードします。

AMIを作成するためのEC2へログインし、ダウンロードしたファイルを配置し、解凍します。過程は割愛しますが、今回は以下のようなファイル配置としています。

[ec2-user@ip-10-0-8-144 TMServerAgent]$ pwd
/home/ec2-user/TMServerAgent
[ec2-user@ip-10-0-8-144 TMServerAgent]$ ll
total 56856
-rw-r--r--. 1 ec2-user ec2-user     4378 Nov  1 05:20 README
-rw-r--r--. 1 ec2-user ec2-user 29104640 Nov  6 00:41 TMServerAgent_Linux_auto_x86_64_test-manager.tar
-rw-r--r--. 1 ec2-user ec2-user      226 Nov  1 05:20 checksum
-rw-r--r--. 1 ec2-user ec2-user    10436 Nov  1 05:20 checksum.p7
-rw-r--r--. 1 ec2-user ec2-user     1318 Nov  1 05:20 config.json
-rw-r--r--. 1 ec2-user ec2-user      143 Nov  1 05:20 manifest
-rwxr-xr-x. 1 ec2-user ec2-user 29081432 Nov  1 05:20 tmxbc

この状態のAMIを作成します。

起動テンプレートとAuto Scalingの設定

起動テンプレート作成の画面で、先ほど作成したAMIを指定します。また、ユーザデータでは配置したエージェントのインストール用スクリプトとして以下を記載します。他の設定値は環境に合わせて任意に設定ください。

#!/bin/bash
cd /home/ec2-user/TMServerAgent
./tmxbc install

Auto Scalingの設定では基本的には環境に合わせた任意の設定を頂きますが、「ステップ6 タグを追加する」にて、タグを付与する設定を忘れずに実施します。

動作確認

V1ESの管理画面を確認すると、Auto Scalingにより作成されたEC2には想定通り正しくポリシーが適用されていることがわかりました。

やってみたけどダメだったこと

今回、エージェントのインストーラをAMI内に配置し、ユーザデータでインストール用スクリプトを実行しています。この方式でV1ES内のイベントベースタスクで「コンピュータの作成」として設定した場合について記載しておこうと思います。
細かな原因は不明ですが上記設定をした場合の結果としては、タスクの実行はされますが、想定しているポリシーが適用されない状態になってしまいました。

最後に

今回はAWS Auto Scaling環境にTrend Vision One Endpoint Security(Server & Workload Protection)(以降V1ES)を導入してポリシーを適用してみました。

本記事がどなたかのお役に立てれば幸いです。