このガイドは Mac コンピュータに適用されます
Remote Shell について
Remote Shell を使用すると、管理者は Iru Endpoint Web App で、管理対象の Mac 上の安全なコマンドラインを利用できます。管理者は、別のリモートアクセスツールを使用せずに、検知の調査、脅威への対応、ファイルの取得を行えます。セッションは、検知またはデバイスレコードから開始します。 Remote Shell は、Detections ページの対応アクションの 1 つです。ステータス、タグ、その他のセキュリティ運用アクションについては、Endpoint Detection のセキュリティ運用アクションを参照してください。仕組み
リモートシェルを起動 を選択すると、リモートシェルターミナル ページが開き、Mac への接続が開始されます。接続に失敗した場合は、接続 を選択して再試行します。Remote Shell は、Mac が Partial Isolation の状態でも機能します。Mac が Complete Isolation の状態では機能しません。前提条件
ライセンス
Remote Shell は、有効な Endpoint Detection and Response アドオンに含まれています。
権限
セッションを開始するには、脅威とデバイスアクションを管理する権限が必要です。チームメンバーのロールの権限を参照してください。
セッションの制限
Web App で同時に開ける Remote Shell セッションは 1 つのみで、1 台の Mac で同時にアクティブにできるセッションも 1 つのみです。
隔離
Remote Shell は、Mac が Partial Isolation の状態でも機能します。Mac が Complete Isolation の状態では機能しません。
Detections からセッションを開始する
1
検出を開く
左側のナビゲーションバーで、検出（Endpoint の下）を選択します。
2
サイドパネルを開く
検知を選択してサイドパネルを開きます。
3
デバイスメニューを開く
サイドパネルで、影響を受ける Mac を見つけ、省略記号 を選択します。
4
リモートシェルを起動する
リモートシェルを起動 を選択します。
デバイスレコードからセッションを開始する
1
デバイスレコードを開く
左側のナビゲーションバーで デバイス を選択し、Mac を選択します。
2
デバイスアクションメニューを開く
デバイスレコードの右上にある デバイスアクションメニュー（省略記号）を開きます。
3
リモートシェルを起動する
リモートシェルを起動 を選択します。
リモートシェルターミナル
Remote Shell を起動すると リモートシェルターミナル ページが開き、Mac への接続が開始されます。左側には、シェルを開いた Mac が表示されます。右側にはターミナルがあります。
1
接続を待つ
ページが Mac に接続するまで待ちます。
2
接続に失敗した場合は再試行する
接続に失敗した場合は、デバイスパネルの上部にある 接続 を選択します。
3
ターミナルを全画面表示にする
ターミナルの右上にあるボタンを選択すると、全画面表示になります。もう一度選択すると全画面表示が終了し、Mac とターミナルが横に並んだ表示に戻ります。
4
コマンドを実行する
シェルが接続されると、ターミナルにプロンプトと点滅するカーソルが表示されます。デフォルトの対話型シェルが zsh であるという macOS のメッセージが表示され、その後にその Mac の root プロンプトが表示される場合があります。
シェルセッションは root として実行されるため、sudo は不要です。
5
コマンドを送信する
コマンドを入力し、Return キーを押して送信します。
監査
Remote Shell セッションは、アクティビティ の Detections に記録されます。一部のイベントはシェルを開いた管理者に、その他のイベントは Mac に関連付けられます。アクティビティには入力されたコマンドの数が記録されます。コマンドのテキストは記録されません。1
アクティビティを開く
右上のナビゲーションバーにある アクティビティ アイコン（パルスアイコン）を選択します。
2
Detections で絞り込む
カテゴリ を Detections に設定します。
3
イベントを確認する
Remote Shell の行を選択して展開します。
- Remote shell session started：セッションの開始時に記録されます。
- Remote shell connection：接続が受け入れられたときに、Web App と Mac でそれぞれ 1 回ずつ記録されます。行には接続したホストが含まれます。
- Live response command request：シェルを開く要求を、使用するシェルとセッションのタイムアウトを含めて記録します。
- Live response command updated：ステータスが変化するたびにコマンドを記録します。Pending、Connected、Started、Disconnected が表示される場合があります。コマンドが完了しなかった場合、ステータスは Failed となり、行にはタイムアウトなどの失敗の理由が含まれます。
- Remote shell session ended：セッションの継続時間、終了方法、入力されたコマンドの数、送受信されたデータ量が表示されます。切断 で閉じたセッションは、そのとおりに記録されます。
セッションを終了する
作業が終わったらセッションを閉じます。デバイスパネルから切断するか、ページを閉じるか、セッションの有効期限が切れるまでそのままにしておくことができます。1
切断する
デバイスパネルの上部にある 切断 を選択します。
2
ページを閉じる
リモートシェルターミナル ページの右上にある X を選択します。
3
セッションが開いている間に確認する
セッションが接続中または 接続済み の間は、ページに このページから移動してもよろしいですか？と表示されます。ここで終了すると、作業内容とこのセッションのログへのアクセスが失われます。ページにとどまるには このページにとどまる を、セッションを終了するには リモートターミナルを切断 を選択します。
4
接続されていないセッションを閉じる
セッションが 未接続 または 接続に失敗しました の場合は、X を選択するとページが閉じます。
トラブルシューティング
シェルが接続されない
シェルが接続されない
表示される内容：ページに 接続に失敗しました と表示されます。ターミナルにはリモートシェルを開始できなかったことが表示され、Mac は 未接続 のままになります。カードのデバイスのステータスには、Mac がオンラインとして表示されることがあります。対処方法：Mac の電源がオフになっているか、オフラインになっている可能性があります。デバイスパネルの上部にある 接続 を選択して再試行するか、Mac が使用可能になってから再度アクセスしてください。
Mac が Complete Isolation の状態になっている
Mac が Complete Isolation の状態になっている
表示される内容：シェルが接続されません。Mac は Complete Isolation の状態です。対処方法：Remote Shell は、Mac が Partial Isolation の状態でも機能します。Mac が Complete Isolation の状態では機能しません。セッションを開始する前に、Mac の Complete Isolation を解除してください。デバイスの隔離を参照してください。
セッションが一時停止したままになる
セッションが一時停止したままになる
表示される内容：ステータスが セッション一時停止中 になっています。ターミナルには、Mac が接続されるまでリレーがセッションを保持していることが表示されます。対処方法：Mac が接続されるまで待ちます。待機を中止するには、切断 を選択します。
考慮事項
- セキュリティ運用：Remote Shell は、Detections ページのステータスとタグのコントロールと組み合わせて使用してください。Endpoint Detection のセキュリティ運用アクションを参照してください。
- 隔離：Mac が Partial Isolation の状態でも、セッションは機能します。Mac が Complete Isolation の状態では機能しません。
- セッションの制限：Web App では同時に 1 つの Remote Shell セッションのみ使用でき、各 Mac で使用できるアクティブなセッションは 1 つのみです。
関連記事
Endpoint Detection のセキュリティ運用アクション
ステータスの更新、タグの割り当て、対応アクションの実行を行います
デバイスの隔離
検知を調査している間、Mac をネットワークから隔離します
Detections ページについて
検知、フィルタ、脅威の詳細パネルを確認します
アクティビティ
Remote Shell のセッション、接続、ライブレスポンスのイベントを確認します