こんにちは、ひろかずです。

2014年9月にDeep Security as a service(以下、DSaas)がリリースされました。
TestDriveを利用された方も多いかと思います。

今回は、個別に構築したDeep Security ManagerからDSaasへの移行について、一筆書きます。

後述しますが、エクスポート・インポートで移行できるものと移行できないものがあります。
本稿では、エクスポート・インポートで移行できるものにフォーカスして記載します。

!!注意!!
テナントはエクスポート・インポートが可能ですが、本稿では取り扱いません

#前提

Deep Security Managerの導入が完了していること。
ライセンスを投入していること。
最低でもRelayを導入しており、管理対象になっていること。
インスタンスは、ポート443でインターネットへ疎通できること。
DSaasのアカウントを作成していること。

#参考情報

DSaasのアカウント作成については、ken1さんのエントリが参考になります。
AgentをManagerから登録する場合は、インスタンス側で4118ポートを開ける必要があります。Trend Micro Deep Security as a Service Reviewer Guideの18頁参照
[マニュアル](URL http://files.trendmicro.com/jp/ucmodule/tmds/90SP1/Deep_Security_9_SP1_Admin_Guide_r3.pdf)の各頁(57,72,74,79,83,86,91,96,98,103,113,115,119,121,125,127,128,337,354,357)

#用語について
本稿では、用語を以下のように定義します。

DSaas：Deep Security as a serviceの略称、またはDeep Security as a service環境のManager
Manager：個別に構築したDeep Security Manager

#エクスポート・インポートで移行できるもの／移行できないもの

コンピュータをManagerから登録した場合に移行できるが、Agentから登録した場合に移行できないものがあります。
両方に ◯ が付いているものは、コンピュータの登録方式に係わらず、エクスポート・インポート移行できます。
両方に × が付いているものは移行できません。手動で設定してください。

表を見ると分かりますが、AgentからDSaasへ登録した場合、殆どの項目を手動設定する必要があります。
カスタムルールを移行できる一方で、各ルールのオーバーライド設定を移行できないのは、少々手間になりますね。

設定項目	Managerから登録	Agentから登録
ダッシュボード	×	×
アラート＞アラートの設定	×	×
コンピュータ＞コンピュータグループ	◯	×
コンピュータ＞設定＞コンピュータ	◯	×
コンピュータ＞設定＞ネットワークエンジン	◯	×
コンピュータ＞ファイアウォール＞一般	◯	×
コンピュータ＞ファイアウォール＞一般(ポリシー)	×	×
コンピュータ＞ファイアウォール＞インタフェース制限	◯	×
コンピュータ＞ファイアウォール＞攻撃の予兆	◯	×
コンピュータ＞ファイアウォール＞詳細	◯	×
コンピュータ＞侵入防御＞一般	◯	×
コンピュータ＞侵入防御＞一般(ポリシー)	×	×
コンピュータ＞侵入防御＞詳細	◯	×
コンピュータ＞変更監視＞一般	◯	×
コンピュータ＞変更監視＞一般(ポリシー)	×	×
コンピュータ＞変更監視＞詳細	◯	×
コンピュータ＞セキュリティログ監視＞一般	◯	×
コンピュータ＞セキュリティログ監視＞一般(ポリシー)	×	×
コンピュータ＞セキュリティログ監視＞詳細	◯	×
ポリシー＞ポリシー	◯	◯
ポリシー＞共通オブジェクト(タグ以外)	◯	◯
ポリシー＞共通オブジェクト(タグ)	×	×
イベントとレポート	×	×
管理	×	×

#工程

移行準備
ポリシーやルール、リスト、共有オブジェクトをエクスポート・インポート
コンピュータをエクスポート・インポート(DSaasからAgentを登録する場合)
コンピュータを移行(AgentからDSaasへ登録する場合)

#1.移行準備
##1−1. Manager側のルールアップデート
管理タブ＞アップデートを選択して、「すべてのルールアップデートの表示」ボタンをクリックします。

ルールアップデート画面に最新のルールが適用されていることを確認します。
下図のようにチェックされていない場合、未チェックの行を右クリックして「適用」してください。

##1−2. DSaas側のルールアップデート
管理タブ＞アップデート＞Securityを選択して適用状況を確認します。
下図のように警告が表示されている場合、Rule Updatesボタンをクリックして最新のルールを適用します。

##1−3. この作業を怠ると
Manger側で適用されているルールのバージョンと、DSaas側で適用されているルールのバージョンが異なる場合、後続のルールインポート時に以下のように表示されてしまう場合があります。

インポート対象のファイルは、このシステムで利用できないルールを1つ以上参照しています。Managerで、ファイルのエクスポート元システムで使用されていたものと同じバージョンのルールアップデートが使用されていることを確認してください。

##1-4. 移行対象インスタンスのSecurity Groupを確認
DSaasからAgentを登録する場合は、移行対象インスタンスのSecurity Groupが、InBoundで0.0.0.0/0から4118を開けておく必要があります。

インターネット側からアクセスができない環境の場合、コンピュータのエクスポート・インポートによる移行はできません。
後述の「4. AgentからDSaasに登録する」を実行後、各種設定値を手動にて設定してください。

#2. ポリシーやカスタムルール、リスト、共有オブジェクトをエクスポート・インポート
##2-1. エクスポート
移行対象のポリシーやカスタムルール、リスト、共有オブジェクトをXML形式でエクスポートします。
!!注意!!
本稿では単独で完結するカスタムルールの移行について記載します。
複雑な依存関係で構成しているカスタムルールの移行については、十分に検証の上で移行してください。

Managerの「ポリシー」タブをクリックし、左側ペインから移行対象のオブジェクト(下記例は、侵入防御ルールのカスタムルール)を選択します。
エクスポート対象のカスタムルールを右クリックして、「選択したアイテムをXML形式でエクスポート(インポート用)…」を選択します。
ダウンロードされたファイルを保存しておきます。

その他のポリシーやリスト、共有オブジェクトも同様にエクスポートしておきます。

##2-2. インポート
エクスポートしたXMLファイルをインポートします。
DSaas側の「ポリシー」タブをクリックし、対象ルールやリスト、ポリシー等を選択します。
先ほど、侵入防御のカスタムルールをエクスポートしたので、侵入防御ルールを選択します。
新規ボタンから「ファイルからインポート」を選択します。

「ファイルを選択」ボタンをクリックして、インポートするXMLファイルを選択します。

インポートデータの検査が終わると以下のように表示されます。
インポート予定のデータが表示されていることを確認して「次へ」ボタンをクリックします。

データのインポートが完了すると一覧に反映されます。
画面を更新する等して確認して下さい。

#3. コンピュータをエクスポート・インポート(DSaasからAgentを登録する場合)
##3-1. エクスポート
Managerの「コンピュータ」タブを選択し、移行対象のコンピュータを右クリックして「選択したアイテムをXML形式でエクスポート(インポート用)」をクリックします。
ダウンロードしたXMLファイルを保管しておきます。

##3-2. 移行対象のコンピュータを無効化
Managerの「コンピュータ」タブを選択し、移行対象のコンピュータを右クリックして、処理＞無効化と選択します。

##3-3. インポート
DSaasの「コンピュータ」タブを選択し、新規＞ファイルからインポート…を選択します。

「ファイルを選択」ボタンをクリックし、先ほどエクスポートしたXMLファイルを選択して、「次へ」ボタンをクリックします。

以下のように表示されることを確認し、「次へ」ボタンをクリックします。

インポートが完了すると、以下のように表示されます。

一覧にコンピュータグループとともに登録されていることを確認します。

追加されたコンピュータをダブルクリックすると、各種ルールが適用されていないことが分かります。
後述の有効化してから推奨設定 → 検出された推奨を適用とするとが手間がありません。
ですが、一時的にセキュリティが下がりますので、要件に応じて事前に手動適用をするようにしてください。
ポリシーを使用していると、この辺は楽だと思います。

##3−4. 移行対象のコンピュータの有効化
インポートしたコンピュータを右クリックして、処理＞有効化を選択します。

以下のように「管理対象(オンライン)」となることを確認します。

#4. AgentからDSaasに登録する
前述の「1-4. 移行対象インスタンスのSecurity Groupを確認」にてDSaasからAgentを登録することができない場合、AgentからDSaasへ登録します。

##4−1. 登録先のコンピュータグループを作成
必要に応じて、「コンピュータ」タブ内の左側ペインを右クリックして、「グループの追加」を選択します。

##4-2. インストールスクリプトの取得
DSaasからインストールスクリプトを取得します。
DSaasの画面右上「ヘルプ」から「インストールスクリプト」を選択します。

移行対象インスタンスのプラットフォームを指定して、チェックボックス「Agentを自動的に有効化」を指定します。
適用するポリシーやグループが決まっていれば、指定します。
枠線で囲った部分のコマンドを控えます。

##4−3. 移行対象のコンピュータを無効化
Managerの「コンピュータ」タブを選択し、移行対象のコンピュータを右クリックして、処理＞無効化と選択します。

##4−4. 移行対象インスタンスにてインストールスクリプトを実行
移行対象インスタンスにログインし、先ほど控えたコマンドを実行します。
以下のように出力されれば成功です。

＃ /opt/ds_agent/dsa_control -a dsm://agents.deepsecurity.trendmicro.com:443/ "tenantID:XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX" "tenantPassword:XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX"
Sending the command to the agent on the local machine...

Attempting to connect to https://agents.deepsecurity.trendmicro.com:443/
Connected successfully - attempting SSL handshake.
SSL handshake completed successfully - initiating command session.
Connected with AES256-SHA to peer at 54.235.92.114
Received a 'GetHostInfo' command from the manager.
Received a 'GetHostInfo' command from the manager.
Received a 'SetDSMCert' command from the manager.
Received a 'SetAgentCredentials' command from the manager.
Received a 'GetAgentEvents' command from the manager.
Received a 'GetInterfaces' command from the manager.
Received a 'GetAgentEvents' command from the manager.
Received a 'GetAgentStatus' command from the manager.
Received a 'GetAgentEvents' command from the manager.
Received a 'GetComponentInfo' command from the manager.
Received a 'SetSecurityConfiguration' command from the manager.
Received a 'GetAgentEvents' command from the manager.
Received a 'GetAgentStatus' command from the manager.
Command session completed.

DSaas上で移行対象インスタンスが登録され、有効化されていることを確認します。
コンピュータ名をはじめ、全ての設定を手動で登録し直す必要があります。

お疲れ様でした。