本情報はトレンドマイクロ社が販売・サポートしている TXOne Edge 製品に適用される情報になります。
1. DDIとODC,EdgeIPS をそれぞれサポートするバージョンまでアップグレードする
ODC/EdgeIPS のアップグレード手順については以下の製品FAQをご参考願います
ODC-VA のファームウェアバージョンアップ手順
EdgeIPS、EdgeIPS-Pro、EdgeFire のファームウェアバージョンアップ手順
2. ODC 側で以下の設定を行う
2-1. Suspicious Object Pool の有効化
Application > Suspicious Object Pool の Settings タブから
"Enable service to receive suspicious objects"にチェックを入れます
2-2. Node Management > EdgeIPS から Suspicious Objects の設定項目を有効化します
2-3. Suspicious Object Operation Mode を有効化します
Monitor Mode: SOルール検出時にログ出力のみを行います
Prevention Mode: SO ルール検出時に遮断設定とログ出力を行います
2-4. Suspicious Object Filter の Approval Status を指定します
Approved Objects Only:
DDI から通知された不審オブジェクトを自動的に SO Filter のルールとして
取り込みます
Approved and New Objects:
DDI から通知された不審オブジェクトのうち、手動で Approve した
不審オブジェクトのみを SO Filter のルールとして取り込みます
2-5. Administration > API Key Management の項目から DDI に登録する API Key と
API Secret を生成します
3. DDI側でODCとの連携設定
3-1. DDI の Web コンソールにログインし、Administration > Integrated Products/Services
を選択し、TXOne OT Defense Console を クリックします
API Key と API secret を登録します
3-3. ODCに通知するDDI が検出した不審オブジェクトの種類とリスクレベルを指定します
4-1. DDI から通知された不審オブジェクトの Approve
DDI から通知された不審オブジェクトは ODC の Application > Suspicious Object Pool に
表示されます
4-2. SO Filter の Approved Status を"Approved Objects Only"に指定した場合には
下記項目で"Approve"した不審オブジェクトのみが SO Filter として EdgeIPS に
配信されます
Approve: SO ルールとして登録
Reject: SO ルールとして登録しない
Delete: Suspicious Object Pool から削除
4-3. ODC から EdgeIPS に配信された SO Filter は EdgeIPS の Webコンソール上から
Security > Suspicious Objects を選択すると確認可能です
4-4. 検出イベントは ODC の Webコンソール Logs > Suspicious Object Logs から確認が可能です