優れた可視性と適用のための Windows エージェントのインストール

Windows エージェントのインストールの前提条件

  • プラットフォームの要件については、「サポートされているプラットフォームと前提条件」を参照してください。

  • エージェントサービスをインストールして実行するには、ルートまたは管理者権限が必要です。

  • Windows 2008 R2 を実行しているワークロードでは、Npcap をインストールします。または、インストールされているエージェントのバージョンがバージョン 3.8 より前の場合も、Npcap をインストールします。Npcap ドライバがまだインストールされていない場合、エージェントによって推奨される Npcap バージョンが、サービスの開始後にエージェントによってバックグラウンドでインストールされます。詳細については、Npcap のバージョン情報を参照してください。

  • エージェントとログファイルには、1 GB の記憶域が必要です。

  • エージェントのインストールに必要な Windows サービスを有効にします。Windows ホストのセキュリティが強化されている場合や、デフォルト構成から逸脱している場合は、一部の Windows サービスが無効になっている可能性があります。詳細については、「必要な Windows サービス」の項を参照してください。

  • ホストをモニターしており、エージェントのインストールやエージェントのアクティビティをブロックする可能性があるセキュリティ アプリケーションでセキュリティ除外を構成します。詳細については、「セキュリティの除外」を参照してください。

Windows エージェントをインストールするためにサポートされている方法

優れた可視性および適用の目的で Windows エージェントをインストールするには、2 つの方法があります。

ゴールデンイメージを使用したインストールも可能です。詳細については、「VDI インスタンスまたは VM テンプレートへのエージェントの展開（Windows）」を参照してください。

エージェント スクリプト インストーラ方式を使用した Windows エージェントのインストール

優れた可視性および適用の Windows エージェントを展開するには、スクリプトインストーラ方法をお勧めします。


（注）  

  • インストールされた Windows エージェントは、優れた可視性と適用の両方をサポートしています。

  • デフォルトでは、適用は無効になっています。適用を有効にするには、「エージェント設定プロファイルの作成」を参照してください。

スクリプトインストーラ方式を使用して Windows エージェントをインストールするには、次の手順を実行します。

手順

ステップ 1

エージェントのインストール方式に移動するには、次の手順を実行します。

  • 初めてのユーザーの場合は、クイックスタートウィザードを起動し、[エージェントのインストール（Install Agents）] をクリックします。

  • ナビゲーションウィンドウで、[管理（Manage）] > [エージェント（Agents）]の順にクリックし、[インストーラ（Installer）] タブを選択します。

ステップ 2

[エージェントスクリプトインストーラ（Agent Script Installer）] をクリックします。

ステップ 3

[プラットフォームの選択（Select Platform）] ドロップダウンメニューから、[Windows] を選択します。

サポートされている Windows プラットフォームを表示するには、[サポートされているプラットフォームの表示（Show Supported Platforms）] をクリックします。

ステップ 4

エージェントをインストールするテナントを選択します。

（注）  

 

Cisco Secure Workload SaaS クラスタでは、テナントを選択する必要はありません。

ステップ 5

ワークロードにラベルを割り当てる場合は、ラベルキーを選択し、ラベル値を入力します。

インストールされたエージェントがホストで IP アドレスを報告すると、このホストによって報告された IP に割り当てられているアップロード済みの別の CMDB ラベルとともに、ここで選択されたインストーラ CMDB ラベルが新しい IP アドレスに割り当てられます。アップロード済みの CMDB ラベルとインストーラ CMDB ラベルの間で競合が発生した場合は、次のようになります。

  • 正確な IP アドレスに割り当てられたラベルは、サブネットに割り当てられたラベルよりも優先されます。

  • 正確な IP アドレスに割り当てられた既存のラベルは、インストーラの CMDB ラベルよりも優先されます。

ステップ 6

Cisco Secure Workload との通信に HTTP プロキシが必要な場合は、[はい（Yes）] を選択し、有効なプロキシ URL を入力します。

ステップ 7

[インストーラの有効期限（Installer expiration）] セクションで、利用可能なオプションから 1 つを選択します。

  • [有効期限なし（No expiration）]：インストーラスクリプトは何回も使用できます。

  • 1 回のみ：インストーラスクリプトは 1 回のみ使用できます。

  • 時間制限：インストーラスクリプトを使用できる日数を設定できます。

  • 展開数：インストーラスクリプトを使用できる回数を設定できます。

ステップ 8

[ダウンロード（Download）] をクリックし、ファイルをローカルディスクに保存します。

ステップ 9

インストーラの PowerShell スクリプトを展開用のすべての Windows ホストにコピーし、管理者権限でスクリプトを実行します。

（注）  

 

  • システムの設定によっては、他のコマンドの前に、コマンド Unblock-File の実行が必要な場合があります。

  • エージェントがテナントにすでにインストールされている場合、スクリプトは動作しません。
スクリプトの使用方法の詳細で指定されているように、事前チェックを実行することを推奨します。
Windows インストーラスクリプトの使用方法の詳細：
# powershell -ExecutionPolicy Bypass -File tetration_windows_installer.ps1 [-preCheck] [-skipPreCheck <Option>] [-noInstall] [-logFile <FileName>] [-proxy <ProxyString>] [-noProxy] [-help] [-version] [-sensorVersion <VersionInfo>] [-ls] [-file <FileName>] [-save <FileName>] [-new] [-reinstall] [
-npcap] [-forceUpgrade] [-upgradeLocal] [-upgradeByUUID <FileName>] [-visibility] [-goldenImage] [-installFolder <Installation Path>]
  -preCheck: run pre-check only
  -skipPreCheck <Option>: skip pre-installation check by given option; Valid options include 'all', 'ipv6' and 'enforcement'; e.g.: '-skipPreCheck all' will skip all pre-installation checks; All pre-checks will be performed by default
  -noInstall: will not download and install sensor package onto the system
  -logFile <FileName>: write the log to the file specified by <FileName>
  -proxy <ProxyString>: set the value of HTTPS_PROXY, the string should be formatted as http://<proxy>:<port>
  -noProxy: bypass system wide proxy; this flag will be ignored if -proxy flag was provided
  -help: print this usage
  -version: print current script's version
  -sensorVersion <VersionInfo>: select sensor's version; e.g.: '-sensorVersion 3.4.1.0.win64'; will download the latest version by default if this flag was not provided
  -ls: list all available sensor versions for your system (will not list pre-3.1 packages); will not download any package
  -file <FileName>: provide local zip file to install sensor instead of downloading it from cluster
  -save <FileName>: downloaded and save zip file as <FileName>
  -new: remove any previous installed sensor;
  -reinstall: reinstall sensor and retain the same identity with cluster; this flag has higher priority than -new
  -npcap: overwrite existing npcap
  -forceUpgrade: force sensor upgrade to version given by -sensorVersion flag; e.g.: '-sensorVersion 3.4.1.0.win64 -forceUpgrade'; apply the latest version by default if -sensorVersion flag was not provided
  -upgradeLocal: trigger local sensor upgrade to version given by -sensorVersion flag; e.g.: '-sensorVersion 3.4.1.0.win64 -upgradeLocal'; apply the latest version by default if -sensorVersion flag was not provided
  -upgradeByUUID <FileName>: trigger sensor whose uuid is listed in <FileName> upgrade to version given by -sensorVersion flag; e.g.: '-sensorVersion 3.4.1.0.win64 -upgradeByUUID "C:\\Program Files\\Cisco Tetration\\sensor_id"'; apply the latest version by default if -sensorVersion flag was not provided
  -visibility: install deep visibility agent only; -reinstall would overwrite this flag if previous installed agent type was enforcer
  -goldenImage: install Cisco Secure Workload Agent but do not start the Cisco Secure Workload Services; use to install Cisco Secure Workload Agent on Golden Images in VDI environment or Template VM. On VDI/VM instance created from golden image with different host name, Cisco Secure Workload Services will work normally
  -installFolder: install Cisco Secure Workload Agent in a custom folder specified by -installFolder e.g.: '-installFolder "c:\\custom sensor path"'; default path is "C:\Program Files\Cisco Tetration"

エージェント イメージ インストーラ方式を使用した Windows エージェントのインストール

Windows エージェントのインストールには、自動インストーラスクリプト方式を推奨します。イメージインストーラ方式を使用する具体的な理由がある場合は、この手動方式を使用します。


（注）  

ホストで既存のエージェントがすでに実行されている場合は、古い MSI エージェントバージョンを手動で展開しないでください。

パッケージ内には次のサイト関連ファイルがあります。

  • ca.cert（必須）：センサー通信用の CA 証明書。

  • enforcer.cfg（適用センサーをインストールする場合にのみ必須）：適用エンドポイントの構成が含まれています。

  • sensor_config（必須）：優れた可視性センサーの構成。

  • sensor_type：センサーのタイプ（適用または優れた可視性）。

  • site.cfg（必須）：グローバル サイト エンドポイント構成。

  • user.cfg（SaaS の場合は必須）：センサー アクティベーション キーとプロキシ構成。

前提条件：

SaaS クラスタの場合、および複数のテナントがあるオンプレミスクラスタのデフォルト以外のテナントにエージェントをインストールしている場合は、user.cfg ファイルで ACTIVATION_KEY と HTTPS_PROXY を設定します。詳細については、（手動インストールのみ）ユーザー構成ファイルの更新を参照してください。（手動インストールのみ）ユーザー構成ファイルの更新

エージェントイメージ方式を使用して Windows エージェントをインストールするには、次の手順を実行します。

手順

ステップ 1

エージェントのインストール方式に移動するには、次の手順を実行します。

  • 初めてのユーザーの場合は、クイックスタートウィザードを起動し、[エージェントのインストール（Install Agents）] をクリックします。

  • ナビゲーションウィンドウで、[管理（Manage）] > [エージェント（Agents）]の順にクリックし、[インストーラ（Installer）] タブを選択します。

ステップ 2

[エージェントイメージインストーラ（Agent Image Installer）] をクリックします。

ステップ 3

[プラットフォーム（Platform）] フィールドに、Windows と入力します。

ステップ 4

必要なエージェントタイプとエージェントのバージョンを入力し、結果から必要なバージョンのエージェントをダウンロードします。

ステップ 5

tet-win-sensor<version>.win64-<clustername>.zip ファイルを、展開用のすべての Windows ホストにコピーします。

ステップ 6

管理者権限があることを確認し、ZIP ファイルを解凍します。

ステップ 7

解凍したフォルダで、コマンド msiexec.exe /i TetrationAgentInstaller.msi を実行してエージェントをインストールします。

さらに、MSI インストーラでは次のオプションを使用できます。

表 1. MSI インストーラで使用可能なオプション

オプション

説明
agenttype=<AgentType>

AgentType は、適用の必要性に応じて、sensor または enforcer にする必要があります。デフォルトでは、同じフォルダ内にある sensor_type ファイルの内容がインストーラによってチェックされ、その内容を使用して渡されたパラメータが上書きされます。ただし、エージェントが /quiet モードでインストールされている場合、このオプションは必須です。

overwritenpcap=yes

Windows 2008 R2 の場合、デフォルトでは、Npcap がすでに存在する場合、エージェントによる Npcap のアップグレードは試行されません。このパラメータを渡すと、既存の Npcap がアップグレードされます。このオプションが使用されている場合、後続のエージェントの自動アップグレードでも、サポートされている新しいバージョンに Npcap がアップグレードされます。

nostart=yes

エージェントサービス（）CswAgentが自動的に開始されないようにするために、VDI 環境または VM テンプレートのゴールデンイメージを使用してエージェントをインストールする場合、このパラメータを渡します。ゴールデンイメージを使用して作成され、異なるホスト名を持つ VDI/VM インスタンスでは、これらのサービスは期待どおりに自動的に開始されます。

installfolder=<FullPathCustomFolder>

インストールコマンドの最後にこのパラメータを使用して、カスタムフォルダにエージェントをインストールします。

serviceuser=<Service UserName>

インストールコマンドの最後にこのパラメータを使用して、サービスユーザーを設定します。デフォルトのサービスユーザーは「LocalSystem」です。

ローカルユーザーの場合、serviceuser=.\<Service UserName>

ドメインユーザーの場合、serviceuser=<domain_name>\<samaccount name>

サービスユーザーはローカルの管理者権限を持つ必要があります。

サービスアカウントには、ローカル管理者権限またはドメイン管理者グループ権限が必要です。

servicepassword=<Service UserPassword>

インストールコマンドの最後にこのパラメータを使用して、サービスユーザーのパスワードを設定します。パスワードはプレーンテキスト形式である必要があります。

proxy=”<proxy_address>”

このパラメータを使用して、Cisco Secure Workload クラスタにアクセスするための HTTPS プロキシを設定します。

activationkey=<activation Key>

デフォルトテナント配下にエージェントがインストールされていない場合は、このパラメータを使用してテナントを指定します。

（注）  

  • 手動インストール中に activation key および proxy オプションを使用する場合、user.cfg を手動で構成する必要はありません。

  • Windows 2008 R2 以外の Windows OS の場合、バージョン 3.8 にアップグレードすると、インストールされている Npcap が Windows エージェントによって自動的にアンインストールされます。

  • エージェントがすでにホストにインストールされている場合は、エージェントを再インストールしないでください。エージェントをアップグレードするには、「ソフトウェアエージェントのアップグレード」を参照してください。

Windows エージェントのインストールの確認

手順

ステップ 1

フォルダ C:\\Program Files\\Cisco Tetration（またはカスタムフォルダ）が存在することを確認します。

ステップ 2

優れた可視性と適用のための CswAgent サービスが存在し、実行状態であることを確認します。管理者権限で cmd.exe コマンドを実行します。

sc.exe query CswAgent コマンドを実行します。

ステータスが [実行中（Running）] であることを確認します。

sc qc cswagent コマンドを実行します。

DISPLAY-NAME が Cisco Secure Workload Deep Visibility であることを確認します。

または

services.msc コマンドを実行します。

Cisco Secure Workload Deep Visibility という名前を検索します。

ステータスが [実行中（Running）] であることを確認します。

設定されたサービス ユーザー コンテキストの Windows エージェントの確認

  1. サービス CswAgent が設定されたサービス ユーザー コンテキストで実行されていることを確認します。CswAgent は同じサービス ユーザー コンテキストで実行されます。

    管理者権限で cmd.exe コマンドを実行します。

    sc qc cswagent コマンドを実行します。

    SERVICE_START_NAME <configured service user> を確認します。

    または

    services.msc コマンドを実行します。

    Cisco Secure Workload Deep Visibility という名前を検索します。

    <configured service user> の Log On As を確認します。

    Cisco Secure Workload Enforcement という名前を検索します。

    <configured service user> の Log On As を確認します。

    または

    tasklist /v | find /i “cswengine” コマンドを実行します。

    実行中のプロセスのユーザーコンテキストを確認します（5 列目）。

サービスアカウントの変更

Windows エージェントのインストール後、次のいずれかの方法を使用して、既存の CswAgent サービスを変更します。

  • services.msc を使用します。

    図 1. services.msc アカウントに基づくサービスアカウントの変更

  • 任意のサードパーティ アプリケーションを使用して、サービスを構成します。

  • 次のコマンドを使用します。

    1. 管理者として cmd を実行します。

    2. 次のコマンドを実行して、サービスアカウント名を使用してサービスを変更します。

      • sc config cswagent obj= <service user name> password= <password>

    3. 次のコマンドを実行して構成を確認します。

      • sc qc cswagent

    4. 次のコマンドを実行して、CswAgent サービスを再起動します。

      1. sc.exe cswagent

      2. sc.exe cswagent

VDI インスタンスまたは VM テンプレートへのエージェントの展開（Windows）

デフォルトでは、エージェントのインストール後にエージェントサービスが自動的に開始されます。ゴールデンイメージにインストールする場合は、インストーラフラグを使用して、エージェントサービスが開始されないようにする必要があります。インスタンスがゴールデンイメージから複製されると、エージェントサービスは予想どおりに自動的に開始されます。

エージェントではゴールデン VM に Npcap はインストールされませんが、必要に応じて、ゴールデンイメージから複製された VM インスタンスに自動的にインストールされます。詳細については、「Windows エージェントインストーラと Npcap」を参照してください。

VDI 環境または VM テンプレートのゴールデンイメージにエージェントをインストールする

手順

ステップ 1

MSI インストーラまたは PowerShell インストーラスクリプトを使用して、VDI 環境または VM テンプレートのゴールデンイメージにエージェントをインストールします。

nostart=yes を指定した MSI インストーラーを使用

または

-goldenImage フラグを指定した PowerShell インストーラを使用

ステップ 2

フォルダ C:\\Program Files\\Cisco Tetration（またはカスタムフォルダ）が存在することを確認します。

ステップ 3

CswAgent サービスが存在し、停止していることを確認します。

管理者権限で cmd.exe コマンドを実行します。

sc.exe query CswAgent コマンドを実行します。

状態が Stopped であるかどうかを確認します。

ステップ 4

これで VM テンプレートが設定されました。

ステップ 5

VM テンプレートをシャットダウンします。

新規 VDI インスタンス VM の作成

手順

ステップ 1

VM テンプレートを複製して、新規 VDI インスタンス VM を作成します。

ステップ 2

VDI インスタンス VM を再起動します。

ステップ 3

VDI インスタンス VM を再起動した後、設定されたサービスコンテキストでサービス CswAgent が実行されていることを確認します。「エージェントがインストールされていることの確認」を参照してください。

ステップ 4

VDI インスタンス VM で、NPCAP ドライバがインストールされ、実行されていることを確認します。

管理者権限で cmd.exe コマンドを実行します。

sc query npcap コマンドを実行します。

状態が [実行中（Running）] であることを確認します。

ステップ 5

VDI インスタンス VM で、有効な sensor_id を使用してエージェントが登録されていることを確認します。

  • インストールフォルダの sensor_id ファイルを確認します。

  • sensor_id が「uuid」で始まる場合、それは有効な sensor_id ではありません。

  • エージェントの登録に失敗したにもかかわらず、Secure Workload Web インターフェイスにエージェントが登録済みと表示されている場合：

  • OpenAPI を使用してエージェントを削除します。詳細については、「ソフトウェアエージェントの展開」を参照してください。

（注）  

 

  • ゴールデンイメージまたは VM テンプレートのホスト名は変更しないでください。

  • エージェントのインストール後にゴールデンイメージまたは VM テンプレートを再起動すると、再起動後に Secure Workload サービスが実行されます。

  • VDI インスタンス VM からネットワークフローが報告されない場合は、「ネットワークフローの VDI インスタンス VM」を参照してください。

.

Windows エージェントインストーラと Npcap：Windows 2008 R2 の場合

  1. サポートされている Npcap バージョンについては、https://www.cisco.com/go/secure-workload/requirements/agents のサポートマトリックスを参照してください。

  2. インストール：

    Npcap がインストールされていない場合、エージェントはサービスの開始から 10 秒後にサポートされているバージョンをインストールします。ユーザーが Npcap をインストールしていても、そのバージョンがサポートされているバージョンより古い場合、Npcap はアップグレードされません。Npcap を手動でアップグレードまたはアンインストールするか、オプション overwritenpcap=yes を指定してエージェントインストーラを実行するか、または -npcap を指定してインストーラスクリプトを実行して、サポートされている Npcap バージョンを取得してください。Npcap ドライバがアプリケーションで使用されている場合、エージェントは後で Npcap をアップグレードします。

  3. アップグレード：

    Npcap が Windows エージェントによってインストールされ、そのバージョンがサポートされているバージョンより古い場合、Npcap はサービスの開始から 10 秒後にサポートされているバージョンにアップグレードされます。Npcap ドライバがアプリケーションで使用されている場合、エージェントは後で Npcap をアップグレードします。Npcap が Windows エージェントによってインストールされていない場合、Npcap はアップグレードされません。

  4. アンインストール：

    Npcap が Windows エージェントによってインストールされている場合、Npcap はそのエージェントによってアンインストールされます。Npcap がユーザーによってインストールされていても、overwritenpcap=yes でエージェントインストーラによってアップグレードされた場合、Npcap はアンインストールされません。Npcap ドライバがアプリケーションで使用されている場合、エージェントは Npcap をアンインストールしません。

Windows エージェント フロー キャプチャ：Windows Server 2008 R2 を除くすべての Windows OS の場合

最新バージョンの Windows 以降、エージェントは、ndiscap.sys（Microsoft 組み込み）ドライバと、Windows を使用したイベントトレース（ETW）フレームワークを使用して、ネットワークフローをキャプチャします。

最新バージョンへのアップグレード中に、以下のことが行われます。

  • エージェントが npcap.sys から ndiscap.sys に切り替わります。

  • 次の場合、エージェントインストーラによって Npcap がアンインストールされます。

    • Npcap がエージェントによってインストールされている。

    • Npcap が使用されていない。

    • OS バージョンが Windows Server 2008 R2 ではない。

エージェントサービスが開始されると、エージェントが、ETW セッション、CSW_MonNet、および CSW_MonDns（DNS データ用）を作成し、ネットワークフローのキャプチャを開始します。


（注）  

  • Windows Server 2012 では、DNS データのネットワークパケットが解析されます。

  • Windows Server 2012 以降のホスト上の Windows エージェントでは、コンシューマとプロバイダーのユーザー名がキャプチャされるため、ユーザー名をフロー観測で使用できます。この機能は、OS の制限により、Windows Server 2008 R2 ではサポートされていません。エージェント設定プロファイルで、以下を設定してユーザー名をキャプチャします。

    • PID/ユーザールックアップを有効にします。

    • [フロー分析の忠実度（Flow Analysis Fidelity）] を [詳細（Detailed）] に設定します。