コマンドラインの基本

ローカルのコマンドラインインタフェース (CLI) から、Deep Security AgentとDeep Security Managerに対して数々の処理を実行するように指示できます。CLIではいくつかの設定を行い、システムリソースの使用量を表示することもできます。

次にコマンドの構文と例を示します。

Deep Security Agent

Windowsでセルフプロテクションが有効になっている場合 (-s <num>, --selfprotect=<num>: 1が有効、0が無効)、ローカルユーザはAgentのアンインストール、アップデート、停止、管理を行うことができません。CLIコマンドには認証パスワードを含める必要があります。

dsa_control

dsa_controlを使用して、いくつかのAgentの設定を行い、不正プログラム検索、ベースライン再構築などの処理を手動で開始できます。

Windowsの場合:

  • 管理者権限でコマンドプロンプトを開きます。
  • cd C:\Program Files\Trend Micro\Deep Security Agent\
  • dsa_control -m "AntiMalwareManualScan:true"

Linuxの場合:

  • /opt/ds_agent/dsa_control -m "AntiMalwareManualScan:true"

使用方法

dsa_control [-a <str>] [-b] [-c <str>] [-d] [-g <str>] [-s <num>] [-m] [-p <str>] [-r] [-R <str>] [-t <num>] [-u <str>:<str>] [-w <str>:<str>] [-x dsm_proxy://<str>] [-y relay_proxy://<str>] [--buildBaseline] [--scanForChanges] [有効化またはハートビート中にManagerに送信する追加のキーワード:値データ...]

  • -a <str>, --activate=<str>: 指定されたURLのManagerに対してAgentを有効化します。URLは次の形式で指定する必要があります。

    dsm://<ホストまたはIP>:<ポート>/

    ポートはManagerの検出およびハートビートのポート番号です。

  • -b, --bundle: アップデートバンドルを作成します。
  • -c <str>, --cert=<str>: 証明書ファイルを特定します。
  • -d, --diag: Agentの診断パッケージを生成します。
  • -g <str>, --agent=<str>: AgentのURLです。初期設定:

    https://localhost:<ポート>/

    ポートはManagerの待機ポート番号です。

  • -m, --heartbeat: Managerに今すぐ接続するようにAgentに指示します。
  • -p <str>, --passwd=<str>: 認証パスワードです。コマンドラインに直接入力した場合、パスワードは画面上に表示されます。入力中のパスワードをアスタリスク (*) にして非表示にする場合は、対話形式のコマンドを入力します。この場合、パスワードの入力を求めるプロンプトが表示されます。

    dsa_control -p *

  • -r, --reset: Agentの設定をリセットします。
  • -R <str>, --restore=<str>: 検出ファイルを復元します。(Deep Security)
  • -s <num>, --selfprotect=<num> ローカルのエンドユーザによるAgentのアンインストール、停止、または制御を拒否することによって、Agentのセルフプロテクションを有効にします。セルフプロテクションが有効な場合、コマンドラインの命令に認証パスワードを含める必要があります (1:有効、0: 無効)。この機能はWindows版でのみ使用できます。
    Deep Security 9.0以前では、このオプションは、-H <num>, --harden=<num>でした。
  • -t <num>, --retries=<num>: このパラメータは、Agentサービスに接続してdsa_controlコマンドの指示を実行できない場合に、dsa_controlを再試行する回数 (<num>) を設定します。再試行は、1秒おきに実行されます。
  • -u <ユーザ>:<パスワード> Agentがプロキシ経由でManagerに接続する場合は、プロキシのユーザ名とパスワードをコロン (:) で区切って入力します。
  • -w <ユーザ>:<パスワード> Agentがセキュリティアップデートやソフトウェアを実行する際にプロキシ経由でRelayに接続する場合は、プロキシのユーザ名とパスワードをコロン (:) で区切って入力します。
  • -x dsm_proxy://<str>:<num> Agentがプロキシ経由でManagerに接続に接続する場合は、プロキシのIPアドレスまたはFQDNとポート番号をコロン (:) で区切って入力します。
  • -y relay_proxy://<str>:<num> Agentがセキュリティアップデートやソフトウェアを実行する際にプロキシ経由でRelayに接続する場合は、プロキシのIPアドレスまたはFQDNとポート番号をコロン (:) で区切って入力します。
  • --buildBaseline: 変更監視のベースラインを構築します。
  • --scanForChanges: 変更監視の変更を検索します。
  • --max-dsm-retries 有効化を再試行する最大回数。0から100までの値を入力してください。初期設定値は30です。
  • --dsm-retry-interval 有効化を再試行する間隔 (秒)。1から3600までの値を入力してください初期設定値は300です。
Agentからのリモート有効化 (「dsa_control -a」)

Managerがコンピュータを保護するためのルールとポリシーを割り当てられるようにするには、そのコンピュータにインストールされているAgentを有効化する必要があります。有効化プロセスでは、AgentとManager間で一意のフィンガープリントが交換されます。これにより、1つのManager (またはいずれか1つのManagerノード) だけがAgentへの指示や通信をできるようにします。

Managerから手動でAgentを有効化するには、[コンピュータ] 画面でコンピュータを右クリックして、[処理]→[有効化/再有効化] の順に選択します。

Agentでは、ローカルで実行するコマンドラインツールを使用して有効化プロセスを開始できます。インストール環境に多数のコンピュータを追加する際、有効化プロセスを自動化するスクリプトを記述する必要がある場合には、この方法が便利です。Agentからのリモート有効化を有効にするには、[管理]→[システム設定]→[Agent] に進み、[Agentからのリモート有効化を許可] を選択します。

有効化の命令には、少なくとも有効化コマンドとManagerのURL (ポート番号を含む) を含めます。

dsa_control -a dsm://<ホスト>:<ポート>/

指定する項目は次のとおりです。

  • -aはAgentを有効化するコマンドです。
  • dsm://<ホスト>:<ポート>/のパラメータにより、Agentに接続先のManagerを指示します (<ホスト> はManagerの完全修飾ドメイン名 (FQDN)、IPv4アドレス、またはIPv6アドレスとなり、<ポート>はAgentからManagerへの通信ポート番号です)。次に例を示します。

    dsa_control -a dsm://fe80::ad4a:af37:17cf:8937:4120

ホスト名は唯一の必須パラメータです。追加のパラメータを使用することもできます (以下の使用可能なパラメータの表を参照してください)。パラメータはキー:値のペアとして入力する必要があります (セパレータにはコロンを使用します)。入力可能なキー:値のペアの数に制限はありませんが、キー:値のそれぞれのペアを空白文字で区切る必要があります。次に例を示します。

dsa_control -a dsm://dsm-example-com:4120/ hostname:www12 "description:Long Description With Spaces"

(引用符が必要なのは、空白文字または特殊文字が値に含まれる場合のみです)

プロキシ経由のプライベートネットワーク上でのAgentからのリモート有効化

プライベートネットワーク上のAgentは、Agent側から開始するManagerとの通信をプロキシサーバ経由で実行できます。

  1. Deep Security Managerで、[管理]→[システム設定]→[Agent] に移動します。
  2. [Agentからのリモート有効化] エリアで次の手順を実行します。
    • [Agentからのリモート有効化を許可] を選択します。
    • [Agentによるホスト名指定を許可] を選択します。
    • [同じ名前のコンピュータがすでに存在する場合] のリストから、[同じ名前で新規コンピュータを有効化] を選択します。
  3. [保存] をクリックします。

次のコマンドラインオプションを使用して、Agentがプロキシサーバ経由でManagerと通信するように設定できます。

構文 備考

dsa_control -x "dsm_proxy://<ホストまたはIP>/"

AgentがManagerとの通信に使用するプロキシサーバのアドレスを設定します。

dsa_control -x ""

プロキシサーバのアドレスをクリアします。

dsa_control -u "<ユーザ名:パスワード>"

プロキシのユーザ名とパスワードを設定します。

dsa_control -u ""

プロキシのユーザ名とパスワードをクリアします。

dsa_control -x "dsm_proxy://172.21.3.184:808/"

プロキシのIPv4アドレスです。

dsa_control -x "dsm_proxy://squid:808/"

プロキシのホスト名です。

dsa_control -x "dsm_proxy://[fe80::340a:7671:64e7:14cc]:808/"

プロキシのIPv6アドレスです。

dsa_control -u "root:Passw0rd!"

プロキシの認証に、「root」とパスワード「Passw0rd!」を使用します (基本認証のみ。Digest認証とNTLM認証はサポートされていません)。

Agentからのリモート有効化を行うには、最初にプロキシ設定コマンドを発行し、次にAgentからのリモート有効化のコマンドを発行する必要があります。以下は、プロキシサーバのアドレスと認証情報の設定、Agentの有効化までの一連のコマンドの例となります。

dsa_control -x "dsm_proxy://172.21.3.184:808/"
dsa_control -u "root:Passw0rd!"
dsa_control -a "dsm://dsm.example.com:4120/"
Deep Security Managerで必要な設定

Agentからのハートビート有効化コマンド (「dsa_control -m」)

Agentからのハートビートコマンドは、Managerに対するハートビート処理をただちに実行するようにAgentに指示します。ハートビートコマンドは、上記の有効化コマンドと同様これだけでも便利ですが、このコマンドを使用してManagerにさまざまなパラメータセットを渡すこともできます。

次の表は、有効化コマンドとハートビートコマンドで使用できるパラメータを一覧表示しています。有効化中にしか使用できないパラメータや、有効化後のハートビート中にしか使用できないパラメータもあります。

パラメータ 説明 有効化中の使用 ハートビート中の使用
AntiMalwareCancelManualScan

ブール。

コンピュータ上で実行されている手動検索をキャンセルします。

"AntiMalwareCancelManualScan:true" 不可
AntiMalwareManualScan

ブール。

コンピュータに対して手動の不正プログラム検索を開始します。

"AntiMalwareManualScan:true" 不可
description

文字列。

description」の値を設定します。最大2000文字。

"description:ホストの追加情報"
displayname

文字列。

displayname」の値を設定します。(ホスト名の横にカッコで囲んで表示されます)。最大2000文字。

"displayname:名前"
externalid

整数。

externalid値を設定します。この値を使用して、Agentを一意に識別できます。この値には、SOAP WebサービスAPIを使用してアクセスできます。

"externalid:123"
group

文字列。

コンピュータの属する [コンピュータ] 画面の グループ を設定します。1つの階層レベルの1つのグループ名につき最大254文字。

スラッシュ (「/」) はグループの階層を示します。groupパラメータはグループの階層を読み取ったり、作成したりできます。
このパラメータは、メインの「コンピュータ」ルートブランチの下位にある標準のグループにコンピュータを追加する場合にのみ使用できます。ディレクトリ (MS Active Directory)、VMware vCenter、またはクラウドプロバイダのアカウントに所属するグループにコンピュータを追加する場合には使用できません。

"group:ゾーンAのWebサーバ"
groupid

整数。

"groupid:33"
hostname

文字列。

最大254文字。

hostnameには、Managerの [コンピュータ] リストに含まれるコンピュータへの接続に最も適したIPアドレス、ホスト名、またはFQDNを指定します。

"hostname:www1" 不可
IntegrityScan

ブール。

コンピュータで変更の検索を開始します。

"IntegrityScan:true" 不可
policy

文字列。

最大254文字。

ポリシー名とポリシーリストの大文字と小文字は区別しません。ポリシーが見つからない場合、ポリシーは割り当てられません。

イベントベースタスクによって割り当てられるポリシーは、Agentからのリモート有効化中に割り当てられるポリシーをオーバーライドします。

"policy:ポリシー名"
policyid

整数。

"policyid:12"
relaygroup

文字列。

コンピュータを特定のRelayグループにリンクします。最大254文字。

Relayグループ名と既存のRelayグループ名の大文字と小文字は区別しません。Relayグループが見つからない場合は、初期設定のRelayグループが使用されます。

これは、イベントベースタスクの際に割り当てられるRelayグループには影響を与えません。このオプションまたはイベントベースタスクのどちらかを使用してください。

"relaygroup:カスタムRelayグループ"
relaygroupid

整数。

"relaygroupid:123"
relayid

整数。

"relayid:123"
tenantIDtoken

文字列。

Agentからのリモート有効化をテナントとして使用する場合は、tenantIDtokenの両方が必要です。tenantIDtokenはインストールスクリプト生成ツールから取得できます。

"tenantID:12651ADC-D4D5"

および

"token:8601626D-56EE"
RecommendationScan

ブール。

コンピュータで推奨設定の検索を開始します。

"RecommendationScan:true" 不可
UpdateComponent

ブール。

セキュリティアップデートの実行をManagerに指示します。

"UpdateComponent:true" 不可
RebuildBaseline

ブール。

コンピュータに変更監視ベースラインを再構築します。

"RebuildBaseline:true" 不可
UpdateConfiguration

ブール。

「ポリシーの送信」処理を実行するようにDeep Security Managerに指示します。

"UpdateConfiguration:true" 不可

Agentを有効化する

Agentをコマンドラインから有効化するには、テナントIDとパスワードが必要です。これらの情報はインストールスクリプトで確認できます。

  1. Deep Security Managerの画面右上で、[サポート情報]→[インストールスクリプト] の順にクリックします。
  2. プラットフォームを選択します。
  3. [インストール後にAgentを自動的に有効化] を選択します。
  4. インストールスクリプトで、tenantIDtokenの文字列を探します。

Windows

PowerShellの場合:

& $Env:ProgramFiles"\Trend Micro\Deep Security Agent\dsa_control" -a <ManagerのURL> <テナントID> <トークン>

cmd.exeの場合:

C:\Windows\system32>"\Program Files\Trend Micro\Deep Security Agent\dsa_control" -a <ManagerのURL> <テナントID> <トークン>

Linux

/opt/ds_agent/dsa_control -a <ManagerのURL> <テナントID> <トークン>

不正プログラム対策およびルールアップデート用にプロキシを設定する

Agentをプロキシ経由でRelayに接続する必要がある場合は、プロキシ接続を設定する必要があります。

Windows
  1. 管理者権限でコマンドプロンプト (cmd.exe) を開きます。
  2. 次のコマンドを入力します。

    cd C:\Program Files\Trend Micro\Deep Security Agent\

    dsa_control -w myUserName:MTPassw0rd

    dsa_control -y relay_proxy://squid.example.com:443

Linux

/opt/ds_agent/dsa_control -w myUserName:MTPassw0rd

/opt/ds_agent/dsa_control -y relay_proxy://squid.example.com:443

Managerへの接続用にプロキシを設定する

Agentをプロキシ経由でManagerに接続する必要がある場合は、プロキシ接続を設定する必要があります。

Windows
  1. 管理者権限でコマンドプロンプト (cmd.exe) を開きます。
  2. 次のコマンドを入力します。

    cd C:\Program Files\Trend Micro\Deep Security Agent\

    dsa_control -u myUserName:MTPassw0rd

    dsa_control -x dsm_proxy://squid.example.com:443

Linux

/opt/ds_agent/dsa_control -u myUserName:MTPassw0rd

/opt/ds_agent/dsa_control -x dsm_proxy://squid.example.com:443

Agentからのハートビート有効化コマンド

Windows

PowerShellの場合:

& "\Program Files\Trend Micro\Deep Security Agent\dsa_control" -m

cmd.exeの場合:

C:\Windows\system32>"\Program Files\Trend Micro\Deep Security Agent\dsa_control" -m

Linux

/opt/ds_agent/dsa_control -m

不正プログラムの手動検索を開始する

Windows
  1. 管理者権限でコマンドプロンプト (cmd.exe) を開きます。
  2. 次のコマンドを入力します。

    cd C:\Program Files\Trend Micro\Deep Security Agent\

    dsa_control -m "AntiMalwareManualScan:true"

Linux

/opt/ds_agent/dsa_control -m "AntiMalwareManualScan:true"

診断パッケージを作成する

Deep Security のテクニカルサポートチームから、トラブルシューティングのために診断パッケージの作成を求められる場合があります。診断パッケージはzipファイルとして作成され、動作中のエンドポイントにローカルにダウンロードされます。このファイルをテクニカルサポートに送信できます。詳細な手順については、診断パッケージとログの作成を参照してください。

Deep Security Managerから管理対象コンピュータの診断パッケージを作成できますが、コンピュータがAgentからのリモート有効化 (AIA) モードの場合は必要なログの一部を収集できません。そのため、テクニカルサポートから診断パッケージを要求された場合は、該当する管理対象コンピュータで直接コマンドを実行する必要があります。

Windows

PowerShellの場合:

& "\Program Files\Trend Micro\Deep Security Agent\dsa_control" -d

cmd.exeの場合:

C:\Windows\system32>"\Program Files\Trend Micro\Deep Security Agent\dsa_control" -d

Linux

/opt/ds_agent/dsa_control -d

Agentをリセットする

このコマンドにより、ターゲットのAgentから有効化情報が削除され、無効化されます。

Windows

PowerShellの場合:

& "\Program Files\Trend Micro\Deep Security Agent\dsa_control" -r

cmd.exeの場合:

C:\Windows\system32>"\Program Files\Trend Micro\Deep Security Agent\dsa_control" -r

Linux

/opt/ds_agent/dsa_control -r

dsa_query

dsa_queryコマンドを使用して次のAgent情報を表示できます。

  • 各コンポーネントのライセンスのステータス
  • 検索の進捗状況
  • セキュリティアップデートコンポーネントのバージョン情報

使用方法

dsa_query [-c <str>] [-p <str>] [-r <str]

  • -p,--passwd <文字列>:認証パスワードです。Agentのセルフプロテクションが有効な場合は必須です。
    一部のクエリコマンドでは認証を直接バイパスできます。このような場合、パスワードは必要ありません。
  • -c,--cmd <文字列>:Agentに対してクエリコマンドを実行します。次のコマンドがサポートされます。
    • "GetHostInfo": Agentの登録IDを照会します。
    • "GetAgentStatus":Agentで有効になっている保護モジュールとその他の情報を照会します。
    • "GetComponentInfo":不正プログラム対策のパターンおよびエンジンのバージョン情報を照会します。
  • -r,--raw <文字列>:「-c」と同じクエリコマンドの情報を返しますが、サードパーティのソフトウェアで解釈できるようにrawデータ形式で出力します。

pattern: 結果をフィルタするためのワイルドカードのパターンです (オプション)。

例:
dsa_query -c "GetComponentInfo" -r "au" "AM*"

CPU使用率とRAM使用量を確認する

Windows

タスクマネージャーまたはprocmonを使用します。

Linux

top

ds_agentプロセスまたはサービスが実行されていることを確認する

Windows

タスクマネージャーまたはprocmonを使用します。

Linux

ps -ef|grep ds_agent

LinuxでAgentを再起動する

service ds_agent restart

または

/etc/init.d/ds_agent restart

一部の処理には-tenantnameパラメータまたは-tenantidパラメータのいずれかが必要です。テナント名を使用すると実行エラーが発生する場合は、関連付けられたテナントIDを使用してコマンドを再度実行します。