データセンターで適切なライセンスが使用されている場合にのみ、NSX-T Data Center 環境で NSX IDS/IPS および NSX マルウェア防止機能を設定できます。
NSX Advanced Threat Prevention ソリューションの実行に必要なライセンスの詳細については、ライセンス タイプの「セキュリティ ライセンス」セクションを参照してください。
NSX 侵入検知/防止および NSX マルウェア防止のためのデータセンターの準備には、複数の手順が含まれます。これらの手順を実行するには、[IDS/IPS とマルウェア防止の設定] ウィザードを使用します。
設定ウィザードは、この 2 つのセキュリティ機能用にデータセンターを準備するための一連の手順を実行します。これはオンボーディング プロセスに似ています。このウィザードを実行するには、 に移動します。
適切なライセンスが追加されていないことを NSX-T が検出すると、次のテキストがページに表示されます。
IDS/IPS とマルウェア防止は、現在のライセンスではサポートされていません。
適切なライセンスが追加されたことを NSX-T が検出すると、ページに [設定の開始] ボタンと [設定をスキップ] ボタンが表示されます。
設定牛ザードを開始するには、[設定の開始] をクリックします。画面の指示とこのドキュメントに従って、ウィザードの手順を完了します。
- 任意のステージで進行状況を保存してウィザードを終了する場合は、[メイン画面に戻る] をクリックします。後で、中断した場所から設定を続行できます。
- 設定ウィザードをリセットし、最初からやり直す場合は、[キャンセル] をクリックします。設定をキャンセルすると、ウィザードで行った選択内容は削除されますが、ウィザードで完了した展開は削除されません。たとえば、ウィザードをリセットする前に NSX Application Platform と NSX マルウェア防止サービス仮想マシンをホスト クラスタに展開している場合、これらの展開は保持されます。
- 設定ウィザードを使用せずに後で 2 つのセキュリティ機能を設定する場合は、[設定をスキップ] をクリックします。NSX Manager は、今後このウィザードを表示しません。後で、 に移動して、データセンターに両方の機能を設定できます。[IDS/IPS とマルウェア防止の設定] ページの使用方法についてはNSX IDS/IPS および NSX マルウェア防止設定の構成を参照してください。
| 選択した機能 | 表示されるタブ |
|---|---|
| East-West トラフィックの IDS/IPS または North-South トラフィックの IDS/IPS（NSX-T Data Center 3.2.0 では、この機能は技術プレビュー モードでのみ使用できます。NSX-T Data Center 3.2.1 以降では、この機能は本番環境で利用でき、完全なサポートが提供されます。） |
NSX プロキシの構成 シグネチャの管理 ノードを有効にする |
| East-West トラフィックのみのマルウェア防止 |
NSX プロキシの構成 NSX Application Platform の展開 サービス仮想マシンの展開 |
| North-South トラフィックのみのマルウェア防止 |
NSX プロキシの構成 NSX Application Platform の展開 ノードを有効にする |
| East-West トラフィックと North-South トラフィックの両方でのマルウェア防止 | NSX プロキシの構成 NSX Application Platform の展開 サービス仮想マシンの展開 ノードを有効にする |
| すべての機能を選択 |
ウィザードの 5 つのタブがすべて表示されます。 |
インターネット接続用の NSX プロキシ サーバの構成
NSX IDS/IPS が機能するには、必ずしもインターネット接続は必要ありません。NSX IDS/IPS は、侵入の検出と防止にシグネチャを使用します。NSX-T Data Center 環境がインターネットに接続している場合、NSX Manager はインターネットから直接、または NSX プロキシ サーバを介して、最新の侵入検知シグネチャを自動的にダウンロードできます。NSX 環境でインターネット接続が構成されていない場合は、API を使用して NSX 侵入検知シグネチャ バンドル (.zip) ファイルを手動でダウンロードし、それを NSX Manager にアップロードできます。シグネチャの手動アップロードの詳細については、「オフラインでの NSX 侵入検知シグネチャのダウンロードとアップロード」を参照してください。
NSX マルウェア防止 はまた、マルウェアの検出と防止にシグネチャを使用します。ただし、NSX Manager は、NSX-T Data Center 環境がインターネットに接続できる場合にのみ、最新のシグネチャをダウンロードできます。最新のシグネチャを手動で NSX Manager にアップロードすることはできません。NSX マルウェア防止 はまた、詳細なクラウド ファイル分析のためにファイルを NSX Advanced Threat Prevention クラウド サービスに送信します。ファイルは、NSX Manager ではなく、NSX Application Platform によってクラウドに送信されます。NSX Application Platform はプロキシ サーバの構成をサポートしていないため、インターネットに直接アクセスする必要があります。
- スキーム（HTTP または HTTPS）
- ホストの IP アドレス
- ポート番号
- ユーザー名とパスワード
NSX Application Platform の展開
NSX マルウェア防止では、特定のマイクロサービスを NSX Application Platform に展開する必要があります。まず、NSX Application Platform を展開してから、NSX マルウェア防止機能を有効にする必要があります。この機能を有効にすると、NSX マルウェア防止に必要なマイクロサービスがプラットフォームに展開されます。
サービス仮想マシンの展開
データセンター内の East-West トラフィックの場合は、NSX 用に準備された vSphere ホスト クラスタに NSX Distributed Malware Prevention サービスを展開する必要があります。このサービスを展開すると、サービス仮想マシン (SVM) が vSphere クラスタの各ホストにインストールされ、ホスト クラスタで NSX マルウェア防止が有効になります。
このページのドーナツ グラフには、データセンターで NSX Distributed Malware Prevention サービスが展開されているホスト クラスタと展開されていないホスト クラスタの数が表示されます。
ホスト クラスタに NSX Distributed Malware Prevention サービスを展開する方法の詳細については、NSX Distributed Malware Prevention サービスの展開を参照してください。
ホスト クラスタでサービスの展開が完了したら、ウィザードのこのページに戻り、[次へ] をクリックして続行します。
シグネチャの管理
データセンターでインターネット接続が構成されている場合、NSX Manager は、デフォルトで 20 分ごとにクラウド上の新しい侵入検知シグネチャの可用性を確認します。新しい更新が利用可能になると、各ページのバナーに [今すぐ更新] リンクが表示されます。
データセンターがインターネットに接続していない場合は、IDS シグネチャ バンドル (.zip) ファイルを手動でダウンロードして、NSX Manager にアップロードできます。詳細な手順については、オフラインでの NSX 侵入検知シグネチャのダウンロードとアップロードを参照してください。
- シグネチャの管理
-
シグネチャの管理タスクはオプションです。必要に応じて、後で [IDS/IPS とマルウェア防止設定] ページで実行できます（）。
- [新しいバージョンに自動更新] オプションを有効にすると、クラウドからダウンロードした後、データセンター内のホストと Edge に侵入検知シグネチャが自動的に適用されます。
このオプションを無効にすると、シグネチャはリストにあるバージョンのままになります。
- デフォルト以外の別のバージョンのシグネチャを追加するには、[バージョンの表示と変更] をクリックします。
現在、シグネチャの 2 つのバージョンが維持されます。バージョンのコミット識別番号が変更されるたびに、新しいバージョンがダウンロードされます。
- [グローバル署名セットの表示と管理] をクリックして、特定のシグネチャのアクションをアラート、ドロップ、または拒否にグローバルに変更します。
シグネチャに [アクション] を選択し、[保存] をクリックします。グローバル シグネチャ管理の設定で行った変更は、すべての IDS/IPS プロファイルに適用されます。ただし、IDS/IPS プロファイルのシグネチャ設定を更新する場合は、プロファイル設定が優先されます。
次の表で、各シグネチャ アクションの意味について説明します。
アクション 説明 アラート
アラートが生成されますが、予防処置は自動的には実行されません。
ドロップ
アラートが生成され、問題のあるパケットがドロップされます。
却下
アラートが生成され、問題のあるパケットがドロップされます。TCP フローの場合、IDS によって TCP リセット パケットが生成され、接続の送信元と宛先に送信されます。その他のプロトコルの場合は、接続の送信元と宛先に ICMP エラー パケットが送信されます。
- [新しいバージョンに自動更新] オプションを有効にすると、クラウドからダウンロードした後、データセンター内のホストと Edge に侵入検知シグネチャが自動的に適用されます。
IDS/IPS およびマルウェア防止のためのノードの有効化
[East-West トラフィックでホストとクラスタを有効にする] セクションで、次の構成を行います。
- スタンドアローン ESXi ホストで NSX IDS/IPS を有効にします。
- East-West トラフィックで NSX IDS/IPS を有効にする ESXi ホスト クラスタを選択します。
- NSX Distributed Malware Prevention サービスが ESXi ホスト クラスタに展開されていない場合は、[マルウェア防止] 列の [サービス仮想マシンの展開で定義] リンクをクリックします。ホスト クラスタに NSX Distributed Malware Prevention サービスを展開する手順については、NSX Distributed Malware Prevention サービスの展開を参照してください。
- 分散ロード バランサを使用する環境では、NSX Distributed IDS/IPS を有効にしないでください。NSX は、分散ロード バランサでの IDS/IPS をサポートしていません。
- NSX Distributed IDS/IPS を機能させるには、分散ファイアウォール (DFW) を有効にする必要があります。トラフィックが DFW ルールでブロックされると、IDS/IPS はトラフィックを確認できません。
- North-South トラフィックで NSX IDS/IPS を有効にする Tier-1 ゲートウェイを選択します。
- North-South トラフィックで NSX マルウェア防止を有効にする Tier-1 ゲートウェイを選択します。
- NSX マルウェア防止機能は、Tier-1 ゲートウェイでのみサポートされます。
- ゲートウェイ ファイアウォール機能の NSX IDS/IPS は、Tier-1 ゲートウェイでのみサポートされます。NSX-T Data Center 3.2.0 では、ゲートウェイ ファイアウォールの NSX IDS/IPS は技術プレビュー モードでのみ利用できます。NSX-T Data Center 3.2.1 以降では、ゲートウェイ ファイアウォール上の NSX IDS/IPS が本番環境で利用できるようになり、完全なサポートが提供されます。詳細については、『NSX-T Data Center リリース ノート』を参照してください。
