[index] AT-Vista Manager EX（Windows版） ベースリファレンスマニュアル 3.14.0

各種操作 / その他の設定 / Nozomi Networks産業制御システムセキュリティソリューションとの連携


ネットワーク内でNozomi Networks社の産業制御システムセキュリティソリューション Nozomi Guardian（以下、「Nozomi Guardian」と記載します）を使用している場合、AVM EXに内蔵されたNozomiプラグインを介することで、Nozomi Guardianによって検出されたデバイスをAVM EXの資産管理画面で確認したり、ネットワークマップにアイコンを表示することができます。
Note
Nozomi Guardianプラグインの使用には、プラグインのライセンスは不要です。

動作確認済み環境

弊社にて動作を確認している環境は次の通りです。

準備

ここでは、「システム管理」画面の「プラグイン」にてNozomiプラグインを登録する手順を説明します。
なお、Nozomi Guardianの設定が正しく行われており、ネットワークのデバイス検出が正常に動作しているものとします。

Nozomi Guardian側

Nozomi Guardian側では次の準備が必要となります。

AT-Vista Manager EX側

Nozomiプラグインの登録

  1. メインメニューから「システム管理」を選択します。
  2. コンテンツ欄左側の一覧から「プラグイン」を選択します。
  3. プラグイン管理画面下部のプラグイン一覧から、右上の「プラグインを追加」ボタンをクリックします。
  4. サーバー URLに、AVM EXに内蔵のNozomiプラグインに対応したURLを入力し、「プラグインを登録」ボタンをクリックします。
    https://（AVM EXのIPアドレス）:15443
    内蔵のNozomiプラグインのプラグイン証明書フィンガープリントが表示されます。

  5. 「フィンガープリントの一致を確認」ボタンをクリックします。
    Nozomi Guardianセットアップ情報を入力する画面に切り替わります。

  6. Nozomi Guardianで設定したキー名、キートークン、IPアドレスを入力して、「保存」ボタンをクリックします。


    プラグインの連携が成功すると、プラグイン一覧に「Nozomiプラグイン」が追加されます。

以後、Nozomi Guardianで検出されたデバイスは、ネットワークマップや資産管理画面、状態監視画面で確認できるようになります。
Note
Nozomi Guardianで検出されたデバイスのステータスは反映されません。常にオンラインとして表示されます。
■ ネットワークマップの例

Note
Nozomiプラグインやその他のプラグインをAMFネットワークの管理と組み合わせている場合、それぞれの情報をすべて合わせて表示するため、Nozomiプラグインが受け取った接続情報がその他の接続情報と異なる場合、それぞれのリンクが複数表示されます。この場合、マップ編集モードで重複したデバイスアイコンのコンテキストメニューから非表示にすることができます。

■ 状態監視の例

syslogセキュリティーメッセージ変換

Nozomi Guardianからのデバイスに関する情報はsyslogメッセージでAVM EXに通知されます。
syslogセキュリティーメッセージ変換を有効にすることで、ネットワークマップや資産管理のデバイス一覧、エンドポイント一覧にて、不審な挙動を行うデバイスにアラームアイコンを表示して注意を促すことができます。
syslog セキュリティーメッセージ変換は「システム管理」画面で設定します。
  1. メインメニューから「システム管理」を選択します。
  2. コンテンツ欄左側の一覧から「設定」を選択します。
  3. 設定画面下部の「オプション機能」から、「syslogセキュリティーメッセージ変換」を有効に設定します。

有効にすると、「イベント」画面の「ルール」タブにルールセットが自動登録され、特定のsyslogメッセージを受信するとイベントとして通知を発生させます。
各ルールは必要に応じて有効/無効を設定できます。編集はできません。また、イベントのログレベルはsyslogメッセージのログレベルに依存します。

また、「インテリジェント・エッジ・セキュリティー（IES）」を併用している場合は、「資産管理」画面の「エンドポイント」タブにこれらのセキュリティーイベントの通知件数が表示されます。

セキュリティーイベントの通知に対応しているログは以下となります。アラーム重要度は全て「Alert」となります。
表 1：セキュリティーイベントの通知に対応しているログ
項目名 説明
INCIDENT:ANOMALOUS-PACKETS ディープパケット検査で不正なパケットが検出
INCIDENT:BRUTE-FORCEATTACK BRUTE FORCEアタックを検出
INCIDENT:ENG-OPERATIONS デバイスの設定、プログラム、ステータスを変更する様々な操作が検出
INCIDENT:FUNCTION-CODESCAN ターゲットデバイスでサポートされていない複数のアクションを実行
INCIDENT:ILLEGALPARAMETER-SCAN ノードが使用可能なパラメーターのスキャンを実行
INCIDENT:INTERNET-NAVIGATION ノードがネットサーフィンを開始
INCIDENT:MALICIOUS-FILE マルウェアを含む圧縮アーカイブが転送
INCIDENT:NEW-COMMUNICATIONS ノードが新しいプロトコルで通信を開始
INCIDENT:NEW-NODE 見知らぬ新しいノードがネットワークでパケットの送信を開始
INCIDENT:PORT-SCAN ノードがネットワークで一連のスキャンを開始
INCIDENT:SUSPICIOUSACTIVITY 既知のマルウェアに関連する可能性のある不審な活動が2つのノードで検出
INCIDENT:VARIABLES-SCAN ネットワーク内のノードが存在しない変数のスキャンを開始
SIGN:DDOS ネットワーク上で不審なDDosを検出
SIGN:INVALID-IP 特別な目的のために予約された無効なIPパケットを検出
SIGN:MALWARE-DETECTED マルウェアの転送を検知
SIGN:MITM 中間者攻撃を検出
SIGN:NETWORK-MALFORMED 汎用ネットワークプロトコル用の不正なパケットが検出
SIGN:OUTBOUND-CONNECTIONS あるホストから外部への接続数が急激に増加
SIGN:SCADA-INJECTION 間違ったコンテキストで注入されたOTプロトコルパケットが検出
SIGN:SCADA-MALFORMED プロトコルの不正なパケットを検出
SIGN:TCP-FLOOD 1つ以上のホストがTCP FLOODを検出
SIGN:TCP-SYN-FLOOD 1つ以上のホストがTCP SYN FLOODを検出
VI:NEW-LINK 2つのノードが互いに通信を開始
VI:NEW-MAC 新しいMACアドレスがネットワーク上に出現
VI:NEW-NODE:MALICIOUS-IP 評判の悪いIPを持つノードが検出
VI:NEW-PROTOCOL 2つのノードが新しいプロトコルで通信を開始
VI:NEW-SCADA-NODE OTプロトコルを使用する新しいノードがネットワークに出現

Nozomi Guardianのセキュリティー通知に基づくエンドポイントの自動遮断

「資産管理」画面の「エンドポイント」タブでは、Nozomi Guardianにより検出されたエンドポイントにセキュリティーアラームが発生した際、該当のエンドポイントのMACアドレスを拒否するようRADIUSサーバーに要求し、この通信を自動的に遮断することができます。
本機能を使用する場合は、次の3つに加え、エンドポイントの自動遮断を有効に設定している必要があります。

エンドポイントの自動遮断の設定は、エンドポイントタブで行います。
  1. メインメニューから「資産管理」を選択します。
  2. コンテンツ欄右上の「表設定」ボタン（歯車アイコン）をクリックします。
    「エンドポイントの自動遮断」ダイアログが表示されます。

  3. 「安全でないエンドポイントの自動遮断」を有効に設定します。
  4. 併せて、「エンドポイント自動遮断の発生時にメール通知を送信」、「アラーム重要度の下限」を設定します。
設定は以上です。

(C) 2017-2025 アライドテレシスホールディングス株式会社

PN: 613-002905 Rev.Z