ePolicy Orchestrator 5.10 の TLS プロトコル、暗号スイート、および SChannel の要件

技術的な記事 ID: KB91519
最終更新: 2022-04-06 09:15:04 Etc/GMT

環境

ePolicy Orchestrator (ePO) 5.10.x

概要

コンテンツ:
表示するセクションをクリックして展開します。

概要

ePO 5.10 には、TLS 暗号化通信を使用して相互作用するいくつかのコンポーネントがあります。主なコンポーネントは次のとおりです。

ePO アプリケーションサーバー サービス (Tomcat とも呼ばれます) 。
ePO サーバー サービス (Apache) とも呼ばれます）。
ePO エージェントハンドラー サービス（リモートエージェントハンドラー (Apache) の）。
ePO イベントパーサー サービス (Eventparser) 。
ePO データベースをホストする SQL Server インスタンス。

これらのコンポーネントの一部はサーバーとしてのみ機能します（着信接続のみを受け入れます）。 SQL サーバーはその一例です。

一部のコンポーネントは、サーバーとクライアントの両方として機能します（どちらも着信接続を受け入れ、発信接続を確立します）。 ePO サーバーサービスまたはエージェントハンドラーサービスはその一例です。どちらも、クライアントシステム上の McAfee Agent からの着信接続を受け入れ、ePO アプリケーションサーバーサービスと SQL サーバーへの発信接続も確立します。

TLS 通信には、プロトコル、暗号、ハッシュ関数、キーダイジェスト、暗号スイートなど、いくつかの設定可能なパラメーターがあります。通信を成功させるには、接続を開始するクライアントとそれを受信するサーバーが、両方がサポートする一連のパラメーターについて合意できる必要があります。

SChannel 設定

Windows システムは、Security Support Provider (SSP) (SChannel と呼ばれる) を使用して TLS 接続を実装します。 ePO の一部のコンポーネントは、この SSP をいくつかの接続に使用します。したがって、それらの TLS 接続は、それらが存在するシステムの SChannel 設定によって制御されます。これらの接続は次のとおりです。

インバウンド 接続用の SQL Server
アウトバウンド 接続用の ePO サーバーサービス
アウトバウンド 接続用の ePO エージェントハンドラサービス
アウトバウンド接続 用の ePO イベントパーサーサービス

ePO アプリケーションサーバーサービスは、SChannel 設定をまったく使用しません。

ePO が正しく機能するには、すべてのコンポーネントが TLS 接続を正常にネゴシエートできる必要があります。つまり、関係するすべてのコンピューターの SChannel 設定が正しい必要があります。

SChannel 設定は、最も一般的な方法であるレジストリ設定とグループポリシーの 2 つの方法で構成されます。グループポリシー設定はレジストリ設定よりも優先されるため、レジストリを調べて SChannel 設定を決定することはできません。代わりに、明確な答えを得るには、NMAP ツールを使用して関連するコンピューターとポートをスキャンします。詳細については、KB91115 - ePolicy Orchestrator 環境で、どのプロトコルと暗号スイートが使用されているか確認する「nmap」ツールの使用方法を参照してください。

レジストリを使用して SChannel 設定を構成する場合、レジストリを直接編集することができます。より便利な方法は、IISCrypto ツールを Nartac Software から使用することです。このツールは、SChannel レジストリエントリに焦点を当てた高度なレジストリエディタです。

SChannel 設定を制限する要因

ePO アプリケーションサーバーサービスは、限られた数の TLS 設定、特に暗号スイートのみをサポートします。 TLS 接続では、クライアントとサーバーの両方で同じ暗号スイートをサポートする必要があるため、SChannel 設定は同じ暗号スイートに制限されます。これらの設定は次のとおりです。

ePO 5.10 Update 10 以前の場合
SQL サーバーへのアウトバウンド接続の場合、Tomcat は次の 3 つの暗号スイートをサポートします。

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

したがって、ePO データベースをホストしている SQL サーバーでは、これらのスイートの少なくとも 1 つを SChannel 設定で有効にする必要があります。これには、SQL が ePO と同じコンピューター上にあるインストールが含まれます。

ePO サーバーサービスおよび ePO エージェントハンドラーサービスからのインバウンド接続の場合、Tomcat は以下にリストされている 4 つの暗号スイートをサポートします。

TLS_RSA_WITH_AES_128_CBC_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA

したがって、ePO がインストールされているコンピューター、およびリモートエージェントハンドラーでは、これらの暗号スイートの少なくとも 1 つを SChannel 設定で有効にする必要があります。

ePO 5.10 CU 11 以降の場合
SQL サーバーへのアウトバウンド接続の場合、Tomcat は次の暗号スイートをサポートします。

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_128_CBC_SHA

したがって、ePO データベースをホストしている SQL サーバーでは、これらのスイートの少なくとも 1 つを SChannel Settings で有効にする必要があります。これには、SQL が ePO と同じコンピューター上にあるインストールが含まれます。

ePO サーバーサービスおよび ePO エージェントハンドラーサービスからのインバウンド接続の場合、Tomcat は以下にリストされている 4 つの暗号スイートをサポートします。

TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA

したがって、ePO がインストールされているコンピューター、およびリモートエージェントハンドラーでは、これらの暗号スイートの少なくとも 1 つを SChannel 設定で有効にする必要があります。

この情報を使用して、ePO が正しく機能するために必要な SChannel 設定を指定できるようになりました。これらの設定は、次の 3 つのグループに分けられています。

絶対的な最低限 の設定
推奨される最小 設定
最高の互換性 設定

絶対最小設定

以下の設定は、ePO が機能するために必要な絶対最小値です。

警告: これらの設定は、ePO のデフォルトインストール専用です。これらの設定が追加のポイント製品拡張機能と互換性があるという保証はありません。例:

Threat Intelligence Exchange (TIE)
Data Exchange Layer (DXL)
Content Security Reporter (CSR)
サードパーティの拡張ファイル

上記の設定は、本番 ePO 環境には絶対にお勧めしません。

ePO 5.10 Update 10 以前の場合

ePO サーバー上
プロトコル	TLS 1.2
暗号	AES128/128 AES256/256
ハッシュ	SHA SHA256
キー交換	PKCS - 以下の「メモ」セクションの PKCS キー長のエントリを参照してください。 ECDH
暗号スイート	以下にリストされている 3 つのスイートの 1 つ: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA および、以下にリストされているスイートの 1 つ: TLS_RSA_WITH_AES_128_CBC_SHA256 TLS_RSA_WITH_AES_256_CBC_SHA256 TLS_RSA_WITH_AES_128_CBC_SHA TLS_RSA_WITH_AES_256_CBC_SHA
ePO データベースをホストしている SQL サーバー上注: SQL サーバーが ePO と同じマシン上にある場合にも適用されます。
プロトコル	TLS 1.2 注: SQL サーバーアプリケーションは TLS 1.2 をサポートする必要があり、更新が必要になる場合があります。詳細については、Microsoft の記事 KB3135244 - Microsoft SQLServer の TLS 1.2 サポートを参照してください。
暗号	AES128/128 AES256/256
ハッシュ	SHA SHA256
キー交換	PKCS ECDH
暗号スイート:	ePO サーバーで有効になっているのと同じ 2 つのスイート
追加のエージェントハンドラー (AH)
プロトコル	TLS 1.2
暗号	AES128/128 AES256/256
ハッシュ	SHA SHA256
キー交換	PKCS - see PKCS Key Length entry in Notes section below ECDH
暗号スイート	ePO サーバーで有効になっているのと同じ 2 つのスイート

ePO 5.10 Update 11 以降の場合
ePO 5.10 Update 11 で提供される改訂された暗号スイートのサポートは、ePO サーバー、SQL サーバー、およびエージェントハンドラーで単一のスイートのみを有効にすることができることを意味します。選択される実際の暗号スイートは、使用しているオペレーティングシステムによって異なります。

ePO サーバー、ePO データベースをホストしている SQL サーバー、および追加のエージェントハンドラー (AHs) 注: SQL サーバーが ePO と同じシステム上にある場合にも適用されます。
プロトコル	TLS 1.2 注: SQL サーバーアプリケーションは TLS1.2 をサポートする必要があり、更新が必要になる場合があります。詳細については、Microsoft の記事 KB3135244 - Microsoft SQLServer の TLS 1.2 サポートを参照してください。
暗号	AES128/128
ハッシュ	SHA256
キー交換	PKCS ECDH
暗号スイート:	SQL サーバーまたは ePO サーバーが Windows 2012 または 2012 R2 にインストールされている: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 SQL サーバーまたは ePO サーバーが Windows 2016 以降にインストールされている: TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 注: Windows 2012 または 2012 R2 にエージェントハンドラーがインストールされている場合は、エージェントハンドラーで以下のスイートを有効にします。 TLS_DHE_RSA_WITH_AES_256_GCM_SHA384

推奨される最小設定

以下は、一般的な ePO インストールの最小推奨設定です。

ePO 5.10 Update 10 以前の場合

ePO サーバー、ePO データベースをホストしている SQL サーバー、および追加のエージェントハンドラー注: SQL サーバーが ePO と同じシステム上にある場合にも適用されます。
プロトコル	TLS 1.2 注: SQL サーバーアプリケーションは TLS 1.2 をサポートする必要があり、更新が必要になる場合があります。詳細については、Microsoft の記事 KB3135244 - Microsoft SQLServer の TLS 1.2 サポートを参照してください。
暗号	AES128/128 AES256/256
ハッシュ	SHA SHA256
キー交換	PKCS - 以下の「メモ」セクションの PKCS キー長のエントリを参照してください。 ECDH
暗号スイート	TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA TLS_RSA_WITH_AES_128_CBC_SHA256 TLS_RSA_WITH_AES_256_CBC_SHA256 TLS_RSA_WITH_AES_128_CBC_SHA TLS_RSA_WITH_AES_256_CBC_SHA

ePO 5.10 Update 11 以降の場合

ePO サーバー、ePO データベースをホストしている SQL サーバー、および追加のエージェントハンドラー注: SQL サーバーが ePO と同じシステム上にある場合にも適用されます。
プロトコル	TLS 1.2 注: SQL サーバーアプリケーションは TLS 1.2 をサポートする必要があり、更新が必要になる場合があります。詳細については、Microsoft の記事 KB3135244 - Microsoft SQLServer の TLS 1.2 サポートを参照してください。
暗号	AES128/128 AES256/256
ハッシュ	SHA256 SHA384
キー交換	PKCS ECDH
暗号スイート	TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 TLS_RSA_WITH_AES_256_GCM_SHA384 TLS_RSA_WITH_AES_128_GCM_SHA256 TLS_RSA_WITH_AES_256_CBC_SHA256 TLS_RSA_WITH_AES_128_CBC_SHA256 注: Windows 2012 または 2012 R2 にエージェントハンドラーがインストールされている場合は、エージェントハンドラーで以下のスイートを有効にします。 TLS_DHE_RSA_WITH_AES_256_GCM_SHA384

最適な互換性設定

以下は、他のアプリケーションとの互換性を高めるための推奨設定です。

The Nartac IISCrypto ツールは、さまざまな異なる SChannel 構成を簡単に適用できるようにするいくつかのテンプレートを提供します。ベストプラクティステンプレートは業界標準に準拠しており、ePO 環境で適切に機能します。上記の特定の設定が必要ない場合、McAfee Enterprise は、ベストプラクティステンプレートを ePO サーバー、SQL サーバー、およびその他のエージェントハンドラーに適用することをお勧めします。

注: Update 11 以降を実行していて、Windows 2012 または 2012 R2 にエージェントハンドラーがインストールされている場合は、これらのエージェントハンドラーで以下のスイートを有効にします。

TLS_DHE_RSA_WITH_AES_256_GCM_SHA384

ePO 5.10 をインストールする際のその他の考慮事項

SQL サーバーが ePO がインストールされているのと同じシステム上にある場合は、 TLS 1.0 を SChannel 設定で有効にする必要がありますが、これはインストール中のみです。
重要: インストールが完了すると、TLS 1.0 を無効にすることができます。
関連記事: KB90874 - FAILURE: Failed to connect to the SQL Server (ePO のインストールまたはアップグレードの失敗)
SQL サーバーが ePO アプリケーションサーバーサービスからのインバウンド接続用の TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 暗号スイートのみをサポートするように構成されている場合は、インストールプロセス中に追加の手順が必要です。
解決策: KB91304 - WARNING: Client raised fatal(2) internal_error(80) alert: Failed to read record (ePO 5.10 のインストールに失敗しました) の回避策 1 を参照してください。

FAQ

PKCS キー交換に最小ビット長を適用することは可能ですか？
はい。以下のレジストリキーに関連するサイズを設定します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\KeyExchangeAlgorithms\PKCS\ClientMinKeyBitLength

注: ePO 5.10 Update 10 以前は、最大サイズ 2048 ビットのみをサポートします。したがって、ePO サーバーとエージェントハンドラーでは、この値を 10 進数の 2048 より高く設定しないでください。この値を高く設定する必要がある場合は、5.10 Update 11 を適用してください。

免責事項

この記事の内容のオリジナルは英語です。英語の内容と翻訳に相違がある場合、常に英語の内容が正確です。一部の内容は Microsoft の機械翻訳による訳文となっています。

影響を受ける製品

言語:

この記事は、次の言語で表示可能です:

Knowledge Center

ePolicy Orchestrator 5.10 の TLS プロトコル、暗号スイート、および SChannel の要件

環境

概要

関連情報

免責事項

影響を受ける製品

言語:

Title

Title

Knowledge Center

ePolicy Orchestrator 5.10 の TLS プロトコル、暗号スイート、および SChannel の要件

環境

概要

関連情報

免責事項

影響を受ける製品

言語:

地域を選択してください

Title

Title