Aurora Protect 3.x にアップグレード | Arctic Wolf ヘルプドキュメント

テスト環境の準備

Windows デバイスについては、実稼働環境にアップグレードを展開する前に、専用のテストゾーンでエージェントのバージョンのアップグレードをテストしてください。

ゾーンの詳細については、「ゾーンの追加と設定」を参照してください。
テストデバイスは、実稼働環境を正確に表しているアプリと設定を使用してセットアップします。
テスト用のゾーンとデバイスに専用のデバイスポリシーを作成します。

新しいデバイスポリシーを作成するか、既存のポリシーをコピーして変更できます。
Aurora Endpoint Security コンソールでゾーンベースの更新ルールを設定し、アップグレードの対象を専用のテストゾーンとデバイスに限定してください。

手順については、「Aurora Protect Desktop および Aurora Focus エージェントの更新の管理」を参照してください。
オプション: KB 42221100953755 からサポート収集ツールをダウンロードしてください。

Arctic Wolf サポートに問い合わせを行うと、サポートがこのツールを実行して追加データを収集するように求める場合があります。
対象のエージェントのアップグレードパスに関するドキュメントを確認し、最適なアップグレードパスを特定してください。

詳細については、「Aurora Protect Desktop 3.x エージェントのアップグレードパス」または「Aurora Focus エージェント upgrade paths」を参照してください。

メモリ保護の設定とテスト

Aurora Protect Desktop 3.x では、さまざまなメモリ保護機能が強化され、デバイス上のアプリケーションとプロセスのアクティビティが可視化されます。アプリケーションは、正当な目的のために処理を実行していても、状況によっては、その実行に悪意があると見なされる場合もあります。Arctic Wolf は、Aurora Protect Desktop 3.x エージェントを実稼働環境に導入する前に、次の手順とベストプラクティスに従って適切にチューニングすることをお勧めします。メモリ保護違反のタイプの詳細については、Aurora Endpoint Security セットアップガイドで「デバイスポリシー：メモリ保護の設定」を参照してください。

管理コンソールのメニューバーで、［ポリシー］ > ［デバイスポリシー］をクリックします。
テストデバイスのデバイスポリシーをクリックします。
［メモリアクション］タブで［メモリ保護］チェックボックスをオンにします。
［違反タイプ］テーブルで［エクスプロイテーション］、［プロセスの注入］、および［昇格］の順に展開します。［Agent バージョン 2.1.1580 以降で使用できます］および［CylancePROTECT 3.0 以降で使用できます］にリストされているすべての違反タイプについて、［アラート］アクションを選択します。
デバイスポリシーを保存します。
テストデバイスで Aurora Protect Desktop 3.x を実行し、アラートを確認して、環境内でこれらの脆弱性が発生するリスクを判断します。これらのアラートのいずれかが低リスクであり、ビジネスに影響を与える場合は、対象となるメモリ保護の除外を追加できます。手順とガイダンスについては、「Memory protection API」を参照してください。
Aurora Protect Desktop 3.x をインストールまたはアップグレードした後、各テストデバイスを再起動することをお勧めします。

アラートを確認し、必要な除外を追加したら、デバイスポリシーの違反タイプアクションを必要に応じて変更できます（たとえば、ブロックまたは終了）。

マクロ検出の設定とテスト（Windows のみ）

デバイスポリシーには、Windows デバイス上で潜在的に危険なマクロを検出し、応答するためのオプションが 2 つあります。［スクリプト制御］タブの［マクロ］オプションは、Windows エージェント 2.1.1578 以前に適用されます。［メモリアクション］タブの新しい［エクスプロイテーション］ > ［危険な VBA マクロ］オプションは、Windows エージェント 2.1.1580 以降に適用されます。エージェント 3.x へのアップグレードをテストする場合は、マクロの検出と対応方法に関して現在の設定を確認し、新オプションの［危険な VBA マクロ］を適宜設定する必要があります。

管理コンソールのメニューバーで、［ポリシー］ > ［デバイスポリシー］をクリックします。
製品デバイスポリシーをクリックします。
［スクリプト制御］タブで、マクロの現在の設定（［アラート］または［ブロック］）を確認し、メモに書き留めます。
［ポリシー］ > ［デバイスポリシー］で、テストデバイスのデバイスポリシーをクリックします。
［メモリアクション］タブで［エクスプロイテーション］を展開します。
［危険な VBA マクロ］違反タイプの場合は、適切なアクション（［無視］、［アラート］、［ブロック］、または［停止］）を設定します。
デバイスポリシーを保存します。
必要に応じて、スクリプト制御マクロの除外を新しいメモリ保護設定に移行（Windows のみ）。
組織でよく使用されるマクロが保存されたファイルを使用して、テストデバイスで Aurora Protect Desktop 3.x を実行します。安全なマクロに関しては、必要に応じてメモリ保護の除外を追加します。手順とガイダンスについては、「デバイスポリシー：メモリ保護の設定」を参照してください。

スクリプト制御マクロの除外を新しいメモリ保護設定に移行（Windows のみ）

デバイスポリシーの［スクリプト制御］タブでマクロ除外を追加してある場合は、これらの除外を Aurora Protect Desktop for Windows 3.x の新しいメモリ保護設定に移行する必要があります。スクリプト制御の除外を手動で移行するには、デバイスポリシーの［スクリプト制御］タブで追加した除外を記録し、デバイスポリシーの［メモリアクション］タブで同じ除外を追加するだけです。

Arctic Wolf が提供する PowerShell スクリプトを使用して既存のスクリプト制御の除外を移行する場合は、次の手順を実行します。

注: 以下の手順は、Endpoint Defense コンソールを使用して管理されるテナントに適用されます。マルチテナントコンソールを使用してテナントを管理している場合は、KB 42221231386907 を参照してください。

PowerShell がコンピュータにインストールされていること、および PowerShell スクリプトが Aurora Protect Desktop などのセキュリティソフトウェアによってブロックされていないことを確認します。Aurora Protect Desktop がコンピュータにインストールされている場合は、デバイスに割り当てられているデバイスポリシーで、［スクリプト制御］ > ［PowerShell コンソールの使用をブロック］がオフになっていることを確認します。
Endpoint Defense コンソールで、API 権限を次のように指定して統合を追加し、結果のアプリケーション ID とシークレットを記録します。
- ポリシー：読み取り、変更
- ユーザー：読み込み
［設定］ > ［統合］で、テナント ID を記録します。
スクリプトを実行するときに、Endpoint Defense コンソール管理者アカウントのメールアドレスを指定します。使用するアカウントに、管理者ロールが割り当てられていることを確認します。
除外をスクリプト制御からメモリ保護に移行するデバイスポリシーで、スクリプト制御が有効になっており、マクロの除外が存在することを確認します。
- スクリプトでは、スクリプト制御が無効になっているポリシーや、スクリプト制御の除外がないポリシーは無視されます。
- スクリプトは、マルチバイト文字を含む除外リストを移行しません。これらの除外は手動で追加する必要があります。
PowerShell スクリプトをダウンロードします。

PowerShell コマンドプロンプトを開き、ディレクトリをスクリプトの場所に変更します。

次の表を参照し、適切なパラメーターを使用してスクリプトを実行します。

まずスクリプトを -dryRun モードで実行して、変更を行わずに移行をプレビューします。これにより生成される出力ファイルを使用して、問題があれば特定し、修正することができます。
テストに使用する予定のデバイスポリシーのスクリプトを実行します。3.x エージェントのテストと検証が完了した後で、スクリプトを使用して移行を実稼働デバイスポリシーに適用できます。


パラメーター	必須またはオプション	説明
`-copySCExclusions`	必須	このコマンドは、スクリプト制御設定から新しいメモリ保護設定へのマクロの除外の移行を実行します。
`-allPolicies` または `-policy ‘policy_name’`	必須	`-allPolicies` は、テナント内のすべてのデバイスポリシーの移行を実行します。 `-policy ‘policy_name>’'` は、指定されたデバイスポリシーの移行を実行します。
`-dryRun`	オプション	このコマンドは、変更を加えずにスクリプトの実行をプレビューします。このモードでスクリプトを実行すると、スクリプトが実行されたディレクトリ内に出力ファイルが作成されます。
`-tenantId ‘tenant_ID’`	必須	このコマンドは、Aurora Endpoint Security テナントの ID を指定します。
`-apiKey ‘application_ID’`	必須	このコマンドは、［設定］ > ［統合］で追加した統合のアプリケーション ID を指定します。
`-apiSecret ‘application_secret’`	必須	このコマンドは、［設定］ > ［統合］で追加した統合のアプリケーションシークレットを指定します。
`-userEmail ‘admin_email’`	必須	このコマンドは、移行の実行に使用する Endpoint Defense コンソール管理者アカウントのメールアドレスを指定します。アカウントには管理者ロールが必要です。
`-region ‘region_code’`	必須	このコマンドは、Aurora Endpoint Security テナントの地域を指定します。次のいずれかの値を使用します。北米：`na`（指定されていない場合のデフォルト値）日本： `apne1` オーストラリア： `au` ヨーロッパ： `euc1` 南米： `sae1` GovCloud： `us`
`-Ignore158xWarning`	オプション	このコマンドは、メモリ保護の除外のサイズ制限に関連するエラーを移行プロセスに無視させます。サイズ制限は、以前のバージョンの Aurora Protect Desktop では 64KB でしたが、バージョン 3.x では 2MB に引き上げられています。注: このパラメーターは、ターゲットデバイスポリシーに関連付けられているすべてのデバイスがエージェント 3.x 以降を使用している場合にのみ使用してください。
`-ignore158xCompatibility`	オプション	このコマンドは、Aurora Protect Desktop for Windows 2.1.1580 および 1584 固有の不具合に関連しています（KB 42221299286939 を参照してください）。不具合の修正（除外パスのワイルドカード値にアスタリスク（）を追加してワイルドカードが*になるようにする）は、デフォルトでスクリプトに組み込まれています。このパラメーターを使用すると、スクリプトに組み込まれている修正が無効になります。注: ターゲットデバイスポリシーがエージェント 1578 以前のデバイスとエージェント 3.x 以降のデバイスに関連付けられている場合は、このパラメーターを使用します。ポリシーがエージェント 158x のデバイスに関連付けられている場合は、このパラメーターを使用しないでください。
`-includeExtensions extensions`	オプション	このコマンドは、メモリ保護設定に移行する拡張子を指定します（例：`includeExtensions ps1, ja, xlxs`）。このパラメーターを使用しない場合、すべての拡張子が移行されます。

注: スクリプトを -dryRun モードで実行すると、「Entering Modify 'ポリシー名' Policy... logError : The requested policy has not been converted to MemoryProtection v2」というエラーが出力ファイルで発生することがあります。これが発生するのは、デバイスポリシーがしばらく編集されていない場合です。この問題を解決するには、管理コンソールでポリシーを開いて保存します。

移行できなかったスクリプト制御の除外があった場合は、PowerShell の出力に示されます。これらの除外は、メモリ保護設定に手動で追加する必要があります。

例: スクリプトを -dryRun モードで実行します

CODE

.\sc2memdef_copy.ps1 -copySCExclusions -allPolicies -dryRun -tenantId '00000000-0000-0000-0000-000000000000' -apiKey '00000000-0000-0000-0000-000000000000' -apiSecret '00000000-0000-0000-0000-000000000000' -userEmail 'user@blackberry.com' -region 'na'

.\sc2memdef_copy.ps1 -copySCExclusions -allPolicies -dryRun -tenantId '00000000-0000-0000-0000-000000000000' -apiKey '00000000-0000-0000-0000-000000000000' -apiSecret '00000000-0000-0000-0000-000000000000' -userEmail 'user@blackberry.com' -region 'na'

例: 特定のデバイスポリシーのスクリプトを実行します

CODE

.\sc2memdef_copy.ps1 -copySCExclusions -policy 'userPolicy' -tenantId '00000000-0000-0000-0000-000000000000' -apiKey '00000000-0000-0000-0000-000000000000' -apiSecret '00000000-0000-0000-0000-000000000000' -userEmail 'user@blackberry.com' -region 'na'

.\sc2memdef_copy.ps1 -copySCExclusions -policy 'userPolicy' -tenantId '00000000-0000-0000-0000-000000000000' -apiKey '00000000-0000-0000-0000-000000000000' -apiSecret '00000000-0000-0000-0000-000000000000' -userEmail 'user@blackberry.com' -region 'na'

例: すべてのデバイスポリシーのスクリプトを実行します

CODE

.\sc2memdef_copy.ps1 -copySCExclusions -allPolicies -tenantId '00000000-0000-0000-0000-000000000000' -apiKey '00000000-0000-0000-0000-000000000000' -apiSecret '00000000-0000-0000-0000-000000000000' -userEmail 'user@blackberry.com' -region 'na'

.\sc2memdef_copy.ps1 -copySCExclusions -allPolicies -tenantId '00000000-0000-0000-0000-000000000000' -apiKey '00000000-0000-0000-0000-000000000000' -apiSecret '00000000-0000-0000-0000-000000000000' -userEmail 'user@blackberry.com' -region 'na'

ターゲットデバイスポリシーの［メモリアクション］タブで、移行された除外を確認し、新しい危険な VBA マクロ違反タイプに適用されないものをすべて削除します。
管理コンソールに追加した PowerShell 統合を削除します。