Cloud One Workload Securityをプロキシサーバ経由で利用してみた

Cloud One Workload Securityを使用する場合、エージェント → 管理サーバーのインターネット通信が必須となります。今回はプロキシサーバ経由で利用するための設定をご紹介します。

おつまみ

2023.10.04

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは！AWS事業本部のおつまみです。

みなさん、Cloud One Workload Security（以降C1WS）をプロキシサーバ経由で利用してみたいなと思ったことはありますか？私はあります。

C1WSはTrend Micro社が提供するSaaSセキュリティ製品の一つです。
Cloud OneではEC2などのサーバーやコンテナ向けの製品など様々な目的別に製品が用意されています。

今回プロキシサーバ経由でインターネットと通信できるEC2インスタンスにC1WSを導入したので、その設定方法をご紹介します。

C1WSの仕組みについて

設定前に、C1WSの仕組みを簡単にご紹介します。
C1WSは以下のような仕組みになっています。

上図で出てくるDSA,DSMについて説明します。

DSA
- DeepSecurity Agentの略
- EC2インスタンスなどの監視対象にインストールするエージェントを指します。
- DSMとの通信に利用します。
DSM
- DeepSecurity Managerの略
- トレンドマイクロがクラウド上で提供している管理サーバを指します。

この図から分かるように、DSA → DSMの通信経路は必須です。　

そのため、プライベートサブネットにあるEC2インスタンスはNATGatewayもしくはプロキシサーバ経由でのインターネット接続が必要です。

もし、プロキシサーバ側でURLフィルタリングや送信元IPアドレスの制御を行っている場合、ホワイトリストへの追加も必要となります。追加するドメインやポートはこちらの公式サイトをご確認ください。

なお、反対の DSM → DSAの通信経路は必須ではありません。

C1WSのアカウントを作成、AWSアカウントとの連携、ポリシー作成方法は割愛します。
設定方法はこちらをご参考ください。プロキシサーバを経由しない通常の設定方法となります。

今回は追加で必要な設定のみご紹介します。

C1WSの仕組みでご紹介した図に設定する項目を追記しました。

以下、3つの設定が必要となります。

1,2はエージェントインストール時、3は管理コンソールから設定します。

まずは、管理コンソールでプロキシサーバを登録します。

プロキシサーバで認証を要求するように設定していた場合は、[プロキシサーバへの接続に認証を使用] を有効にし、 [ユーザ名] および [パスワード] の各フィールドに資格情報を入力します。

以上でプロキシサーバの登録は完了です。

次にエージェントインストールと同時に下記の設定を追加します。

Workload Security コンソールの右上隅にある[サポート情報]→[インストールスクリプト]の順に選択します。
[Workload Security Managerへの接続に使用するプロキシ]、[Relayへの接続に使用するプロキシ]で設定したプロキシを選択します。プラットフォームやセキュリティポリシーなどは環境に合わせたものを選択してください。
[クリップボードにコピー]を選択し、スクリプトをコピーします。
EC2インスタンスでスクリプトを実行します。実行方法はこちらのブログをご参考ください。

既にエージェントをインストールしている場合、サーバからコマンド実行でもプロキシサーバを設定できます。設定方法はこちらの公式ドキュメントをご確認ください。

次に管理コンソールでSmart Protection Network の設定を追加します。

Workload Securityコンソールで、上部にある [ポリシー] をクリックします。
メイン画面で、使用するポリシーを選択します。
左側にある [設定]→[一般]タブをクリックします。
[Census、Good File Reputationサービスおよび機械学習型検索向けのネットワーク設定] セクションで[グローバルサーバへのアクセス時にプロキシを使用する] を選択し、追加したプロキシを指定後、設定を保存します。
次に、不正プログラム対策で使用する Smart Protection Network へのプロキシの設定を行います。左側にある [不正プログラム対策]→[Smart Protection] タブをクリックします。
[ファイルレピュテーションサービス用のSmart Protection Server] セクションで[Global Smart Protectionサービスへの直接接続] を選択し、追加したプロキシを指定後、設定を保存します。
次に、Webレピュテーションで使用する Smart Protection Network へのプロキシの設定を行います。左側にある [Webレピュテーション]→[Smart Protection] タブをクリックします。
[Webレピュテーションサービス用のSmart Protection Server] セクションで[Global Smart Protectionサービスへの直接接続] を選択し、追加したプロキシを指定後、設定を保存します。