Deep Security Manager導入後の動作確認(Agentの導入とManagerへの追加)

こんにちは、ひろかずです。

Deep Security Managerの導入が完了したら、Deep Security機能が動作していることを確認します。
確認手法は、侵入防御ルールが機能していることを以って確認となります。

#前提
- Deep Security Managerの導入が完了しいること。
- ライセンスを投入していること。
- 最低でもRelayを導入しており、管理対象になっていること
- または、[EC2(Windows 2012 with SQLServer2014)にDeep Security Manager 9.0SP1を導入する](http://qiita.com/fnifni/items/0236c31eac22ffdb1bed)から流れてきた人。

#参照情報
基本的には、[トレンドマイクロ Q&Aページ:侵入防御機能の動作確認方法を教えてください。](http://esupport.trendmicro.com/solution/ja-jp/1097204.aspx)に書いてあります。

#工程
1.動作検証用の侵入防御ルールを作成する
2.動作検証通信を受けるWebサーバにAgentをインストールする
3.Agentを導入したWebサーバをManagerへ追加する
4.Webサーバに動作検証用の侵入防御ルールを適用する
5.動作確認通信を行う

#1.動作検証用の侵入防御ルールを作成する
Deep Security Managerコンソールにログインし、「ポリシー」タブから「侵入防御ルール」→「新規」→「新しい新入防御ルール」を選択します。
![動作確認1.PNG](https://qiita-image-store.s3.amazonaws.com/0/46611/19597a48-3f7f-e627-e31b-b779445e3897.png "動作確認1.PNG")

以下の様に設定して「適用」します。
設定内容としては、web通信中に「Hello」という文字列を見つけたら検知(ログ出力)するというものです。
![動作確認2.PNG](https://qiita-image-store.s3.amazonaws.com/0/46611/103b6ba4-c37a-b0b2-623d-d2ae2a3eb3b1.png "動作確認2.PNG")　![動作確認3.PNG](https://qiita-image-store.s3.amazonaws.com/0/46611/e9aced27-46d9-7019-a17e-e6fc54228714.png "動作確認3.PNG")

#2.通信を受けるWebサーバにAgentをインストールする
WebサーバにDeep Security Agentをダウンロードして、インストールします。
Amazon Linuxの場合は、以下になります。
URLは[トレンドマイクロ社の米国サイト](http://downloadcenter.trendmicro.com/index.php?regs=NABU&clk=latest&clkval=4367&lang_loc=1)で最新のものを確認して下さい。

```
# curl -O http://files.trendmicro.com/products/deepsecurity/Kernel%20Support/Agent-amzn1-9.0.0-3508.x86_64.rpm
# rpm -ivh Agent-amzn1-9.0.0-3508.x86_64.rpm
Preparing...                ########################################### [100%]
   1:ds_agent               ########################################### [100%]
Loaded dsa_filter module version 3.4.37-40.44.amzn1.x86_64 [  OK  ]
Starting ds_agent: [  OK  ]
```

#3.Agentを導入したWebサーバをManagerへ追加する
「コンピュータ」タブをクリックして、「新規」→「新規コンピュータ」を選択する。
![agent追加1.png](https://qiita-image-store.s3.amazonaws.com/0/46611/8527b812-86a8-b69d-a9a1-d010ff88a6ad.png "agent追加1.png")

動作確認用に用意したWEBサーバのIPアドレスを指定する。
今回は同一VPC上に作成したので、プライベートIPを指定します。
- Agent側はManagerからの通信(ポート4118)を開けておいてください。
- Manager側はAgentからの(ポート4120,4122)を開けておいてください。
- 詳しくは[マニュアルの24頁](http://www.trendmicro.com/ftp/jp/ucmodule/tmds/90SP1/Deep_Security_9_SP1_Install_Guide_JP_r1.pdf)が判りやすいです。
![agent追加2.png](https://qiita-image-store.s3.amazonaws.com/0/46611/363b12e2-3286-7b33-b9e5-487c6e48d671.png "agent追加2.png")

Agentが検出されたら「完了」します。
![agent追加3.png](https://qiita-image-store.s3.amazonaws.com/0/46611/6435b21a-a6d2-7bd2-d5bf-30be46918a7a.png "agent追加3.png")

「閉じる」をクリックして、次の工程に移ります。
![agent追加4.png](https://qiita-image-store.s3.amazonaws.com/0/46611/f9fdadfa-32c4-db31-13b4-5b94a913c80d.png "agent追加4.png")

#4.Webサーバに動作検証用の侵入防御ルールを適用する
追加したてのAgentは、侵入防御がオフになっているので、「オン」に変更して「保存」します。
そのまま「割り当て/割り当て解除」ボタンをクリックします。
![動作確認5.PNG](https://qiita-image-store.s3.amazonaws.com/0/46611/f77293e3-d5bd-25a2-63d5-5d4e18973f7a.png "動作確認5.PNG")

工程1で作成した動作確認用の侵入防御ルールを選択して「OK」をクリックします。
![動作確認6.PNG](https://qiita-image-store.s3.amazonaws.com/0/46611/0b628058-70e3-397d-638a-7780229eba54.png "動作確認6.PNG")

登録されていますね。
![動作確認7.PNG](https://qiita-image-store.s3.amazonaws.com/0/46611/32dae2f1-1197-f1ab-e3f9-3865b1474d2b.png "動作確認7.PNG")

#5.動作確認通信を行う
ブラウザに以下の様なURLを指定して、Webサーバにアクセスします。
当然の事ながら、404エラーが返りますが・・・

```
http://fnifni.com/Hello
```

しばらくすると「イベントとレポート」の「侵入防御イベント」にイベントが記録されます。
![動作確認8.PNG](https://qiita-image-store.s3.amazonaws.com/0/46611/4f146cc7-2e3a-a431-1173-8f2198ba751c.png "動作確認8.PNG")

検知内容はこのように記録されます。
ストリーム内の一致欄で、`GET /Hello`の箇所が赤字になっています。
これは、チェックが止まった箇所になります。
つまり「Hello」を検知してチェックが止まったことを示します。
![動作確認9.PNG](https://qiita-image-store.s3.amazonaws.com/0/46611/0778a217-a364-bfc2-927e-92ce3585b0af.png "動作確認9.PNG")　![動作確認10.PNG](https://qiita-image-store.s3.amazonaws.com/0/46611/964ba65e-443c-f9cf-2fe5-75036f5a8bae.png "動作確認10.PNG")

動作確認としてはここまでです。
お疲れ様でした。