ESXi または Hyper-V 上の Sophos NDR

ESXiを使用している場合、ポートミラーリングには次の手順が含まれます。

• 仮想スイッチの設定。
• 物理スイッチの設定。

仮想スイッチの設定

仮想内部スイッチのポートミラーリングを設定するには、次の手順を実行します。

1. ESXiで、「ネットワーク」に移動します。「仮想スイッチ」タブで、ポートミラーリングに使用するスイッチを選択します。

使用可能なスイッチがない場合は、「標準の仮想スイッチの追加」をクリックして新しいスイッチを追加し、それにポートグループを追加します。

1. 「ポートグループ」タブ上で、「ポートグループの追加」をクリックします。

   

2. 新しいポートグループの設定で、次の手順を実行します。

   1. 名前を入力してください。
   2. 「VLAN ID」を 4095 に設定します。これにより、スイッチ上の他のすべてのポートグループが、新しいポートグループにトラフィックを転送できるようになります。
   3. 「セキュリティ」をクリック し、「無差別モード」を「許可」に設定します。
   4. 「追加」をクリックします。

   

   仮想内部ネットワークトラフィックの転送を設定しました。次に、次の手順で説明するように、物理外部トラフィックについても同じ手順を実行します。

3. ESXi で、ネットワーク上の物理スイッチから送信される物理外部トラフィックを処理する別の仮想スイッチを選択または作成します。

4. スイッチは、次のように設定します。

   1. 「ポートグループ」に移動し、「ポートグループの追加」をクリックします。
   2. 名前を入力してください。
   3. 「VLAN ID」を 4095 に設定します。
   4. 「セキュリティ」をクリック し、「無差別モード」を「許可」に設定します。

次に、仮想スイッチを物理ネットワークに接続して、外部トラフィックが受信できるようにします。

1. ESXi の左側のメニューで、「ネットワーク」に移動 し、外部トラフィックで使用するスイッチを選択します。

   

2. スイッチの詳細で、「vSwitch トポロジ」を探します。「物理アダプタがありません」と表示されます。

   

3. 「アップリンクの追加」をクリックします。

   

4. 「アップリンク 1」で、 使用可能な NIC (ネットワークインターフェースカード) を選択します。これにより、仮想スイッチが ESXi サーバーのポートに接続されます。

   

5. 「ネットワークトポロジ」で、物理アダプタが接続されていることを確認します。

   

6. 物理スイッチに移動し、ケーブルを使用して ESXi サーバーのポートに直接接続します。

次に、物理スイッチでミラーリングを設定する必要があります。

物理スイッチの設定

ここでは、ソフォスのスイッチでポートミラーリングを設定する方法について説明します。他のスイッチでの設定手順は異なります。

ミラーリングを設定するには、次の手順を実行します。

1. Sophos Central で、「スイッチ」を参照します。

2. 設定するスイッチを選択し、「コマンドの実行」をクリックします。

   

3. 「コマンドの実行」コンソールで、すべてのトラフィックをミラーリングするコマンドを入力します。以下のコマンドの例では、ポート 1～4 のすべての受信および送信トラフィックをミラーリングし、ポート 8 に送信します。

configure terminal
monitor session 1 destination interface gigabitethernet 0/8 allow-ingress
monitor session 1 source interface gigabitethernet 0/1 both
monitor session 1 source interface gigabitethernet 0/2 both
monitor session 1 source interface gigabitethernet 0/3 both
monitor session 1 source interface gigabitethernet 0/4 both
save
end
show monitor session 1

![スイッチ コマンドライン コンソール。](../../../../images/ndr-switch-commands.png)

1. 「実行」をクリックします。コンソールには、実行されるコマンドが緑色の背景で表示されます。

   

2. 最後のコマンドが実行されると、完了した設定がコンソールに表示されます。「閉じる」をクリックします。

   

これで、SPAN ポートへのトラフィック転送の設定が完了しました。後で Sophos NDR を設定して、このトラフィックを監視するようにします。

Hyper-V を使用している場合、ポートミラーリングには次の手順が含まれます。

• Hyper-Vで トラフィック ミラーリング ポートを設定します。
• SPAN 仮想インターフェースを仮想スイッチに接続します。
• Microsoft NDIS キャプチャ拡張機能を有効にします。
• スイッチのミラーリングモードを設定します。
• トラフィックミラーリングを検証します。

手順については、Hyper-V vSwitch を使用してトラフィックミラーリングを構成するを参照してください。

1. ESXi ホストに移動します。

2. 「仮想マシン」を選択して、「仮想マシンの作成/登録」をクリックします。

   

3. 「作成タイプの選択」で、「OVF ファイルまたは OVA ファイルから仮想マシンをデプロイ」を選択します。「次へ」をクリックします。

   

4. 「OVF ファイルと VMDK ファイルの選択」で、VM 名を入力します。

   ページをクリックしてファイルを選択します。OVAファイル「ndr-sensor.ova」を選択します。「次へ」をクリックします。

   

5. 「ストレージの選択」で、「標準」ストレージを選択します。次に、VM を配置するデータストアを選択します。 「次へ」をクリックします。

   

6. 「デプロイのオプション」で、次のように設定を入力します。

   1. 「SPAN1」で、NDR アプリケーションの SPAN トラフィックを受信するポートグループを選択します。これは先ほど設定しました。詳細は、スイッチの設定を参照してください。

   2. 「SPAN2」で、SPAN トラフィックを受信し、監視が必要な 2つ目のポートグループを選択します (存在する場合)。物理スイッチと、物理スイッチにトラフィックを送信しない vSwitch がある場合がその例です。

      SPAN2 を使用する場合は、VM の CPU 数を少なくとも 8個に増やす必要があります。詳細は、Sophos NDR アプライアンス サイズガイドを参照してください。

   3. 「SYSLOG」は、Sophos NDR 統合では必要ありません。任意のポートグループをプレースホルダとして選択し、後で VM 設定で切断します。

      この Sophos NDR アプライアンスも使用するサードパーティ製品統合を設定する場合は、サードパーティ製品から syslog データを受信するポートを選択します。

   4. 「MGMT」で、管理インターフェースを選択します。このインターフェースを使用すると、アプライアンスは Sophos Central にデータを送信できます。

      このインターフェースは、Sophos Central の「インターネットに接続するネットワークポートの設定」で先ほど設定しました。

      アプライアンス設定時に DHCP を選択した場合は、VM が DHCP 経由で IP アドレスを取得できることを確認します。

   5. 「ディスクプロビジョニング」で、「シン」が選択されていることを確認します。

   6. 「自動的にパワーオン」が選択されていることを確認します。
   7. 「次へ」をクリックします。

   

7. 「追加設定」の手順をスキップします。

8. 「完了」をクリックします。VM リストに新しい VM が表示されるまで待ちます。これには数分かかることがあります。

   

9. VM の電源を入れ、インストールプロセスが完了するまで待ちます。

   VM は、はじめて起動し、適切な vSwitch とインターネットに接続できるかどうかを確認します。その後、再起動します。終了するまで最長 10分かかることがあります。

   警告

   このプロセスは中断しないでください。

10. Sophos Central で、NDR「統合」ページに移動して、更新します。VM の状態が「接続済み」になります。

    

仮想マシンの状態が「接続済み」であるが、動作していないと思われる場合は、NDR 用の Sophos VA コンソールで Dragonfly サービスの状態を確認してください。詳細は、Sophos VA コンソールを参照してください。

Dragonfly サービスの状態が「保留中」であるとコンソールに表示され、仮想マシンが EVC (Enhanced vMotion Compatibility) クラスタにある場合は、EVC が Skylake モード以降であることを確認してください。

Sophos NDR VA は、Sandy Bridge モードの EVC クラスタでの実行には対応していません。

Sophos Central でダウンロードした ZIP ファイルには、仮想マシンの導入に必要なファイル (仮想ドライブ、seed.iso、PowerShellスクリプト) が含まれています。

VM を導入するには、次の手順を実行します。

1. ZIP ファイルをハードドライブのフォルダに解凍します。
2. そのフォルダに移動し、ndr-sensor.ps1 ファイルを右クリックして、「 PowerShell で実行」を選択します。

3. 「セキュリティ警告」メッセージが表示された場合は、「開く」をクリックしてファイルの実行を許可します。

   一連の質問に答えるように求められます。

4. VM に名前を付けます。

5. スクリプトは、VM ファイルが保存されるフォルダを表示します。これは、仮想ドライブのデフォルトのインストール場所にある新しいフォルダです。スクリプトがそれを作成できるよう、「C」と入力します。
6. VM に使用するプロセッサ (CPU) の数を入力します。
7. 使用するメモリ容量を GB単位で入力します。

8. スクリプトは、現在使用している vSwitch すべての番号付きリストを表示します。

   管理インターフェースを接続する vSwitch を選択し、その番号を入力します。このインターフェースを使用すると、アプライアンスは Sophos Data Lake にデータを送信できます。

   このインターフェースは、Sophos Central の「インターネットに接続するネットワークポートの設定」で先ほど設定しました。

   設定時に DHCP を選択した場合は、VM が DHCP 経由で IP アドレスを取得できることを確認します。

   

9. Syslog インターフェースに vSwitch を入力する必要はありません。これは、サードパーティ製品の統合のみに該当します。

   任意の vSwitch をプレースホルダとして選択し、後で VM 設定で切断します。

10. NDR アプリケーションの SPAN トラフィックを受信する vSwitch を選択します。これは先ほど設定しました。詳細は、スイッチの設定を参照してください。

11. 任意で、SPAN トラフィックを受信し、監視が必要な 2つ目の vSwitch を選択します (存在する場合)。物理スイッチと、物理スイッチにトラフィックを送信しない vSwitch がある場合がその例です。

    2つ目の vSwitch を使用する場合は、VM の CPU 数を少なくとも 8個に増やす必要があります。詳細は、Sophos NDR アプライアンス サイズガイドを参照してください。

12. PowerShell スクリプトは、Hyper-V で VM を設定します。「インストールが正常に完了しました」というメッセージが表示されます。

13. 任意のキーを使用して終了します。

14. Hyper-V マネージャーを開き、この VM が仮想マシンのリストに追加されたことを確認します。必要な場合は、設定を変更できます。その後、電源を入れます。

    VM は、はじめて起動し、適切な vSwitch とインターネットに接続できるかどうかを確認します。その後、再起動します。終了するまで最長 10分かかることがあります。

15. Sophos Central で、統合する製品の「統合」ページに移動し、更新します。VM の状態が「接続済み」になります。