ユーザーズガイド KYOSHO PURETEN EP FAZER 4WD

[. . . ] Web ブラウザで Sophos NAC サー バーの URL をテストして、該当 する Sophos NAC サーバーアドレ スが有効であることを確認してく ださい。Web サービスのエラーが 表示された場合、サーバーアドレ スに問題はありません。インター フェースの URL は、次のとおり です。 http(s)://<AppServer>/RegistrationInterface/ RegistrationInterface310. asmx http(s)://<AppServer>/PolicyInterface/ PolicyInterface310. asmx http(s)://<AppServer>/ReportInterface/ ReportInterface310. asmx 14 Sophos NAC for Endpoint Security and Control トラブルシューティングガイド 原因 解決方法 3. エンドポイントが遠隔地にある場 合、エンドポイントのユーザーは VPN にログオン後、エンドポイン ト上のエージェントを使用して、 ポリシー準拠の確認を行うように してください。 エージェントが Web プロキシサー バーを使用して Sophos NAC に接続 している場合、Web プロキシサー バーの設定が間違っていることがあ ります。 Internet Explorer で Web プロキシ設 定にアクセスし、正しく設定されて いることを確認してください。 1. 「 ツール | インターネット オプ ション 」をクリックします。 2. [. . . ] 「LAN の設定」をクリックし、適 切なプロキシを設定してくださ い。 該当する Sophos NAC サーバーアド レスが有効なことを、Sophos NAC サーバー URL を Web ブラウザでテ ストして確認してください。Web サービスのエラーが表示された場 合、サーバーアドレスに問題はあり ません。インターフェースの URL は、次のとおりです。 http(s)://<AppServer>/RegistrationInterface/ RegistrationInterface310. asmx http(s)://<AppServer>/PolicyInterface/ PolicyInterface310. asmx http(s)://<AppServer>/ReportInterface/ ReportInterface310. asmx エージェントが Web プロキシサー バーを使用して Sophos NAC に接続 している場合、Web プロキシサー バーの設定が、カレントユーザー用 Internet Explorer の Web プロキシが、 カレントユーザー用に設定されてい ることを確認してください。プロキ シ設定はユーザーごとに個別に設定 15 Sophos NAC for Endpoint Security and Control トラブルシューティングガイド 原因 に設定されていないことがありま す。 DNS エントリを変更した後、エンド ポイントを再起動していない、また は、AgentAPI. exe プロセスを停止し、 再起動していません。 解決方法 されます。詳細は、前述の解決方法 をご覧ください。 各エンドポイントを再起動するか、 または、エージェントを終了後、各 エンドポイントで AgentAPI. exe プロ セスを停止してから開始してくださ い。これによって、古い DNS エン トリが削除されます。 16 Sophos NAC for Endpoint Security and Control トラブルシューティングガイド 5 ポリシーに関する問題点 ポリシーに関するトラブルシューティング情報は次のとおりです。 5. 1 ポリシー取得 ポリシー取得に関するトラブルシューティング情報は次のとおりです。 原因 問題: ポリシー取得に失敗する 解決方法 重要: 詳細は、サーバーとの通信に関する問題点 (エージェントが原因の場 合) (p. 12) をご覧ください。 5. 2 ポリシーの評価と施行 ポリシーの評価と施行に関するトラブルシューティング情報は次のとおりで す。 原因 解決方法 問題: エージェントが、ポリシーを評価/施行できない 重要: 詳細は、サーバーとの通信に関する問題点 (エージェントが原因の場 合) (p. 12) をご覧ください。 問題: エンドポイントがポリシーを入手できない エンドポイントのポリシーがまだ取 この問題は、ポリシー取得やレポー 得されていません。 ト作成 (p. 12) にある問題の副作用と して発生することがあります。エン ドポイントがポリシーを入手してい ないことを確認してください (「Agent Session」(エージェントセッ ション) レポートをご覧ください)。 入手していない場合は、同項にある トラブルシューティング手順に従っ てください。 問題: エンドポイントが適切なポリシーを入手できない 17 Sophos NAC for Endpoint Security and Control トラブルシューティングガイド 原因 解決方法 エンドポイントのグループが正しく エンドポイントのグループを正しく 指定されていません。 指定し、Sophos Enterprise Console の 適切な NAC ポリシーを、エンドポ イントのグループに適用してくださ い。 エンドポイントのグループが、 Sophos Enterprise Console でグループ Sophos Enterprise Console で作成され を作成するか、インポートしてくだ ていません。 さい。詳細は、「Sophos Endpoint Security and Control ユーザー マニュ アル」をご覧ください。 問題: エンドポイントの評価に最新のポリシーが使用されていない 重要: 詳細は、サーバーとの通信に関する問題点 (エージェントが原因の場 合) (p. 12) をご覧ください。 Quarantine Agent (検疫エージェント) を使用している場合、「Policy Refresh Interval」(ポリシーの更新頻 度) で指定されている時間が経過し ていないため、エージェントが最新 のポリシーを取得していないことが あります。 ユーザーは、検疫エージェントのシ ステムトレーアイコンから、「ポリ シー準拠の確認」メニューオプショ ンを使用して、ポリシー準拠を確認 し、ポリシーを取得してください。 問題: エージェントの設定や機能がエンドポイントに正しく適用されてい ない この問題は､「エンドポイントが適 切なポリシーを入手できない」とい う問題や、「エンドポイントの評価 に最新のポリシーが使用されていな い」という問題の副作用である場合 があります。 エンドポイントが適切、かつ最新の ポリシーを入手していることを確認 してください (「Agent Session」(エー ジェントセッション) レポートをご 覧ください)。入手していない場合 は、「エンドポイントが適切なポリ シーを入手できない」、または「エ ンドポイントの評価に最新のポリ シーが使用されていない」トラブル シューティング項目にある手順に 従ってください。エンドポイントが 18 Sophos NAC for Endpoint Security and Control トラブルシューティングガイド 原因 解決方法 適切、かつ最新のポリシーを入手し ている場合は、この項にある他のス テップに進んでください。 不正なエージェント環境設定テンプ レートがエンドポイントのポリシー に追加された、またはエージェント 環境設定テンプレートで設定内容が 間違っていることが考えられます。 適切なエージェント環境設定テンプ レートが、エンドポイントのポリ シーに適用され、同テンプレートで エージェント設定が正しく指定され ていることを確認してください。 エージェントが予期されるロケール エージェントスキンは、エンドポイ 版のスキンを表示していません。 ントにインストール済みの OS の言 語に関わらず、ユーザーロケールの 規定言語で動的に表示されます。 問題: Windows Update プロファイル用の修復アクションを有効に設定でき ない グループポリシーで自動更新を有効 グループポリシーで自動更新を有効 に設定することはできません。 に設定することができない場合、 NAC ポリシーで上書きすることはで きません。グループポリシーの設定 に間違いがないことを確認し、NAC ポリシーがグループポリシーと矛盾 しないことを確認してください。 問題: アプリケーションがエンドポイントで検出されない、または、アプ リケーションが検出を逃れる 検出しようとしているアプリケー ポリシーに追加されたプロファイル ション名が不正確なことが考えられ に関連付けされているアプリケー ます。 ションの名称が、正確であることを 確認してください。NAC Manager で アプリケーションは、製品の正式名 称で表示されます。アプリケーショ ンの中には、それとは異なる販売用 の製品名を持つものもあります。こ の場合は、実際にインストールされ ている製品を参照して正式名称を確 19 Sophos NAC for Endpoint Security and Control トラブルシューティングガイド 原因 解決方法 認するか、またはベンダーに問い合 わせてください。 ソフォスでは、適用する前にポリ シーをテストして、アプリケーショ ン、アプリケーション検出ルール、 プロファイル、およびポリシーが正 しく設定されているかを確認するこ とをお勧めします。 プロファイルの評価項目やアプリ ケーション検出ルールで定義されて いるバージョン番号に、評価するエ ンドポイントに該当する正しい数の 有意な値が含まれていません。 エンドポイントにあるバージョン は、条件や検出ルールで指定した有 意な値を使用して評価されます。し たがって、「Version」評価項目を設 定する場合やバージョンの検出ルー ルを作成する場合は、評価するエン ドポイントに該当する正しい数の有 意な値を入力する必要があります。 たとえば、条件で「== 8」を指定 し、エンドポイントのバージョンが 8. 1 の場合、8. 1 と条件にある 8 が比 較され (有意な値 1つ)、条件が満た されたと判断されます。一方、条件 で「== 8. 0」を指定し、エンドポイ ントのバージョンが 8. 1 の場合、8. 1 と条件にある 8. 0 が比較され (有意な 値 2つ)、条件が満たされなかったと 判断されます。 評価項目で指定した日付の形式が、 ポリシー準拠の評価で返される日付 の形式に合致していないことがあり ます。 標準的なウイルス対策やスパイウェ ア対策アプリケーションのプロファ イルを設定する際に、「==」(等し い) 演算子を使用して Date (日付) 評 価項目 (「Last Scan Date」(最新検索 日) と「Signature Date」(シグネチャ 日付)) を指定する場合、エンドポイ ントから返される日付が、 MM/DD/YYYY フォーマットである 20 Sophos NAC for Endpoint Security and Control トラブルシューティングガイド 原因 解決方法 ことを確認してください。アプリ ケーションから返される日付が MM/DD/YYYY HH:MM:SS フォーマッ トである場合、エンドポイントでの 日付と条件で指定された値が同じで も、検出に失敗することがありま す。この問題を避けるためには、日 付設定の際に、「==」(等しい) の代 わりに、「>=」(～以上) や、「<=」 (～以下) 演算子を使用するか、また はポリシーをデプロイする前にテス トを行い、「==」(等しい) 演算子で 検出が失敗しないことを確認してく ださい。 5. 3 メッセージングや修復アクション メッセージングや修復アクションに関するトラブルシューティング情報は次 のとおりです。 原因 解決方法 問題: エンドポイントでメッセージが表示されず、修復アクションが実行 されない メッセージがユーザーに表示されま 1. ポリシーが「Remediate」(修復) ま せん。 たは「Enforce」(施行) モードに設 定されていることを確認してくだ さい。ポリシーが「Report Only」 (レポートのみ) モードに設定され ている場合、メッセージは表示さ れません。 2. メッセージが作成され、メッセー ジが適切なプロファイルの条件と 関連付けされ、条件がエンドポイ ントで満たされていることを確認 してください。NAC Manager を使 用し、「Agent Session」(エージェ 21 Sophos NAC for Endpoint Security and Control トラブルシューティングガイド 原因 解決方法 ントセッション) レポートと、プ ロファイル詳細にリンクする 「Assessment Details」(評価基準)、 およびユーザーに表示するメッ セージを表示してください。 修復アクションが、エンドポイント 1. ポリシーが「Remediate」(修復) ま で実行されていません。 たは「Enforce」(施行) モードに設 定されていることを確認してくだ さい。ポリシーが「Report Only」 (レポートのみ) モードに設定され ている場合、修復アクションは実 行されません。 2. 修復アクションが適切なプロファ イルの条件に対して選択されてい ることを確認し、条件がエンドポ イントで満たされていることを確 認してください。NAC Manager を 使用し、「Agent Session」(エー ジェントセッション) レポート と、プロファイル詳細にリンクす る「Assessment Details」(評価基 準)、およびエンドポイントで実 行される修復アクションを表示し てください。 3. Sophos NAC Host Service を参照し て、このサービスを稼動するため に使用しているアカウントを表示 します。 3. アカウントにデータベースへのア クセス権限があるか確認してくだ さい。 7. 2 イベントログ イベントログに関するトラブルシューティング情報は次のとおりです。 原因 解決方法 問題: CurrentDefsLoader エラーが Sophos NAC サーバーのイベントログに表 示される 28 Sophos NAC for Endpoint Security and Control トラブルシューティングガイド 原因 解決方法 Sophos NAC サーバーがインターネッ 1. Sophos NAC サーバーがインター トにアクセスできない場合がありま ネットにアクセスできることを確 す。 認します。これには、Program Files\Sophos\NAC\CurrentDefsLoader\ ディレクトリで CurrentDefsLoader. exe. config ファ イルを開き、次のキーを表示し、 URL をコピーして Web ブラウザ にペーストし、テストを行ってく ださい。<add key="SourceURI" value=" http://nacsigdefupdate. sophos. com/avsupdate/" /> 2. 重要: CurrentDefsLoader. exe. config ファイルは 1時間ごとにアップ デートされるため、データを常に 最新に保つことは容易ではありま せん。したがって、以下で説明す る操作は、お勧めできません。 Sophos NAC サーバーがインター ネットにアクセスできない場合 は、epupdate. xml ファイルおよび epupdate. xml. hash を http://nacsigdefupdate. sophos. com/avsupdate/ から手動でローカルにロードし (Sophos NAC サーバーに直接ロー ドしてください)、epupdate. xml お よび epupdate. xml. hash の保存場所 を指定するよう CurrentDefsLoader. exe. config ファ イルを編集してください。 29 Sophos NAC for Endpoint Security and Control トラブルシューティングガイド 8 施行に関する問題点 ネットワーク施行に関するトラブルシューティング情報は次のとおりです。 8. 1 ネットワークアクセス ネットワークアクセスに関するトラブルシューティング情報は次のとおりで す。 原因 解決方法 問題: 許可されるべきなのに、エンドポイントでアクセスが拒否される (も しくはその逆)、検疫されるべきでないのに、エンドポイントが検疫され る、または、エージェントの「Results」(結果) ダイアログボックスに誤っ たメッセージが表示される この問題は､「エンドポイントが適 切なポリシーを入手できない」とい う問題や、「エンドポイントの評価 に最新のポリシーが使用されていな い」という問題の副作用である場合 があります。詳細は、ポリシーの評 価と施行 (p. 17) をご覧ください。 エンドポイントが適切、かつ最新の ポリシーを入手していることを確認 してください (「Agent Session」(エー ジェントセッション) レポートをご 覧ください)。入手していない場合 は、「エンドポイントが適切なポリ シーを入手できない」、または「エ ンドポイントの評価に最新のポリ シーが使用されていない」トラブル シューティング項目にある手順に 従ってください。エンドポイントが 適切、かつ最新のポリシーを入手し ている場合は、この項にある他のス テップに進んでください。 NAC Manager を使用して、エージェ ント エンフォーサや DHCP エン フォーサレポートを表示し、エンド ポイントへのアクセスが拒否された 理由をご覧ください。 ポリシー内のエージェントステート およびポリシー準拠ステートに対し て、適切なエージェントエンフォー サアクセステンプレートが適用され ていること、およびポリシーで使用 されているエージェントエンフォー エージェントエンフォーサや DHCP エンフォーサが、エンドポイントへ のアクセスを拒否することがありま す。 不適切なエージェントエンフォーサ アクセステンプレートや、設定に誤 りのあるエージェントエンフォーサ アクセステンプレートが、ポリシー に関連付けされていることがありま す。 30 Sophos NAC for Endpoint Security and Control トラブルシューティングガイド 原因 解決方法 サ アクセステンプレートに適切な ネットワークリソースが指定されて いることを確認してください。ま た、該当する場合、ネットワークリ ソースの実行ファイル名、ポート/プ ロトコル、IP アドレスが正しく設定 されていることを確認してくださ い。 「Report Only」(レポートのみ) モー ドや「Remediate」(修復) モードで、 ネットワークアクセスを阻止するエ ンフォーサアクセステンプレートを 適用すると、実際のポリシー準拠ス テートに関係なく、すべてのエンド ポイントはアクセスを拒否されま す。ポリシー準拠ステートを施行す るには、ポリシーモードを 「Enforce」(施行) に変更してくださ い。 不適切な DHCP エンフォーサ アクセ ステンプレートや、設定に誤りのあ る DHCP エンフォーサ アクセステン プレートが、ポリシーやエンフォー サの設定に関連付けされていること があります。 ポリシーおよびエンフォーサ設定内 の適切なアクセスステートおよびポ リシー準拠ステートに対して、適切 な DHCP エンフォーサ アクセステン プレートが適用されていること、お よび DHCP エンフォーサ アクセステ ンプレートに適切な設定内容が指定 されていることを確認してくださ い。 「Report Only」(レポートのみ) モー ドや「Remediate」(修復) モードで、 ネットワークアクセスを阻止するエ ンフォーサアクセステンプレートを 適用すると、実際のポリシー準拠ス テートに関係なく、すべてのエンド ポイントはアクセスを拒否されま す。ポリシー準拠ステートを施行す 31 Sophos NAC for Endpoint Security and Control トラブルシューティングガイド 原因 解決方法 るには、ポリシーモードを 「Enforce」(施行) に変更してくださ い。 DHCP エンフォーサアクセステンプ ポリシーやエンフォーサ設定で、 レートの優先順位の指定が不適切な DHCP エンフォーサアクセステンプ ことがあります。 レートの優先順位が適切に指定され ていることを確認してください。よ り特化された、条件の厳しいアクセ ステンプレートを優先し上から順に 並べてください。条件の絞られたア クセステンプレートでは、特定の IP アドレス、またはより範囲の狭い IP アドレスが指定され、条件の絞られ ていないアクセステンプレートで は、より広範な IP アドレス範囲が指 定されます。 実行可能なネットワークリソースが ここで設定する実行ファイルのプロ 検出されないことがあります。 セス名は、Windows の「タスク マ ネージャ」の「プロセス」タブに表 示されるプロセス名と同じでなけれ ばなりません。 Winsock レベルで実行されている実 行ファイルのみが検出されます。 Winsock レベルで実行されていない 場合、アプリケーションは検出され ません。 ネットワークリソースの優先順位の エージェント エンフォーサ アクセ 指定が不適切なことがあります。 ステンプレートで、ネットワークリ ソースの優先順位が適切に指定され ていることを確認してください。よ り特化された、条件の厳しいネット ワークリソースを優先し上から順に 並べてください。1つのエンドポイ ントに複数のネットワークリソース が該当する場合は、最初に一致する 32 Sophos NAC for Endpoint Security and Control トラブルシューティングガイド 原因 解決方法 ネットワークリソースがそのエンド ポイントセッションのネットワーク 接続を決定します。「Network Resource Type」(ネットワーク リソー スの種類) が「Executable」(実行ファ イル) である場合は、 「Port/Protocol」(ポート/プロトコル) よりも先に評価されます。 除外されるべきでないのに、エンド ポリシー準拠の評価が必要な場合、 ポイントが除外されている、または エンドポイントが除外に指定されて その逆であることがあります。 いないことを確認してください。同 様に、ポリシー準拠を評価しない場 合、エンドポイントが除外に指定さ れていることを確認してください。 適切な DHCP エンフォーサ アクセス テンプレートが、除外に適用されて いることを確認してください。 さらに、「Exemptions」(除外) ペー ジの一覧で、除外に適切な優先順位 が指定されていることを確認してく ださい。より特化された、条件の厳 しい Exemption (除外) を優先し上か ら順に並べてください。1つのエン ドポイントに複数の除外が該当する 場合は、最初に一致する除外がその エンドポイントセッションのネット ワーク接続を決定します。また、特 定の除外に対して複数の Access Template (アクセステンプレート) が 選択されている場合は、DHCP サー バー/DHCP リレーの IP アドレスが 最初に一致したテンプレートが使用 されます。 ポリシーに関連付けされているプロ 1. NAC Manager を使用して、指定さ ファイル にエンドポイントの OS が れたポリシーに、エンドポイント 含まれていないため、プロファイル 33 Sophos NAC for Endpoint Security and Control トラブルシューティングガイド 原因 が正しく評価されないことがありま す。 解決方法 の OS が OS プロファイルとして 含まれていることを確認してくだ さい。 2. NAC Manager の「Non-Compliance Detail」(ポリシーに準拠していな いステートの詳細) レポートや 「Agent Session」(エージェント セッション) レポート、 「Assessment Details」(評価基準) リンクから、エージェントがアプ リケーションを評価していること を確認してください。 エンドポイントで最後にポリシーを 取得した日時が、NAC Manager の「 Configure System | Enforcer Settings 」(システムの設定 - エンフォーサ設 定) の「Agent Policy Update Threshold」(エージェントポリシー アップデートのしきい値) フィール ドで指定した日時を超えないことを 確認してください。ユーザーは、検 疫エージェントのシステムトレーア イコンから、「ポリシー準拠の確 認」メニューオプションを使用し て、ポリシー準拠を確認し、ポリ シーを取得してください。 「Override DHCP Enforcer 」(DHCP エンフォーサをオーバーライドする) チェックボックスを選択から外し、 「Default」アクセスステートの DHCP 施行タイプに対して、適切な アクセステンプレートが指定されて いることを確認してください。 エンドポイントで最後にポリシーを 取得した日時が、「Agent Policy Update Threshold」(エージェントポ リシー アップデートのしきい値) で 指定される日時より古い場合があり ます。 NAC Manager の「 Configure System | Enforcer Settings 」(システムの設定 - エンフォーサ設定) で、「Override DHCP Enforcer」(DHCP エンフォー サをオーバーライドする) チェック ボックスが選択されていることがあ ります。 34 Sophos NAC for Endpoint Security and Control トラブルシューティングガイド 原因 解決方法 システムトレーアプリケーション 1. システムトレーアプリケーション が、エンドポイントで稼動していな が稼動するよう設定してくださ いことがあります。 い。 注: これは、検疫エージェントにお 2. Agent API サービスが稼動するよ いてのみ問題となります。 う設定してください。 「Agent Enforcement Action」(エー ジェント施行アクション) が 「None」(なし) に指定されており、 エンドポイントのステートがポリ シーに準拠していないステートから 準拠しているステートに変化した場 合、エンドポイントは、ポリシーに 準拠している IP アドレスを入手して いないことがあります。「Agent 注: これは、エージェント エン Enforcement Action」(エージェント フォーサおよび DHCP エンフォーサ 施行アクション) を「Release Renew」 においてのみ問題となります。 (公開、更新) に変更し、ポリシーを 保存して、ユーザーによるポリシー 準拠の確認をエンドポイントで実行 してください。 エンドポイントが拒否された、また 1. [. . . ] Agent API サービスが稼動するよ いてのみ問題となります。 う設定してください。 「Agent Enforcement Action」(エー ジェント施行アクション) が 「None」(なし) に指定されており、 エンドポイントのステートがポリ シーに準拠していないステートから 準拠しているステートに変化した場 合、エンドポイントは、ポリシーに 準拠している IP アドレスを入手して いないことがあります。「Agent 注: これは、エージェント エン Enforcement Action」(エージェント フォーサおよび DHCP エンフォーサ 施行アクション) を「Release Renew」 においてのみ問題となります。 (公開、更新) に変更し、ポリシーを 保存して、ユーザーによるポリシー 準拠の確認をエンドポイントで実行 してください。 エンドポイントが拒否された、また 1. メッセージが作成され、メッセー は検疫されたにも関わらず、ユー ジが適切なプロファイルの条件と ザーにメッセージが表示されないこ 関連付けされ、条件がエンドポイ とがあります。 ントで満たされていることを確認 してください。NAC Manager の 「Non-Compliance Detail」(ポリ シーに準拠していないステートの 詳細) レポートや「Agent Session」 (エージェントセッション) レポー ト、「Assessment Details」(評価基 準) リンクから、プロファイルの 詳細、およびユーザーに表示され るメッセージを表示して、エンド ポイントが拒否/検疫され、メッ ポリシー内の「DHCP Agent Settings」 (DHCP エージェントの設定) セク ション内にある「Agent Enforcement Action」(エージェント施行アクショ ン) が「None」(なし) に指定されて おり、エンドポイントがポリシーに 準拠していない IP アドレスを依然と して使用していることがあります。 35 Sophos NAC for Endpoint Security and Control トラブルシューティングガイド 原因 解決方法 セージが表示されなかった理由を 確認してください。 2. ポリシーが「Remediate」(修復) ま たは「Enforce」(施行) モードに設 定されていることを確認してくだ さい。ポリシーが「Report Only」 (レポートのみ) モードに設定され ている場合、メッセージは表示さ れません。「Report Only」(レポー トのみ) モードで、ネットワーク アクセスを阻止するエージェント エンフォーサアクセステンプレー トを適用すると、実際のポリシー 準拠ステートに関係なく、すべて のエンドポイントはアクセスを拒 否されます。 3. [. . . ]