Pulseway で Device Protection を展開する

Pulsewayを使用して、必要な権限を設定した状態で、管理対象のWindowsフリート全体にAikido Device Protectionを展開します。

インストール

1. 1

   必要なもの

   開始する前に、Aikido Device Protectionダッシュボードから以下を用意してください。

   • PowerShellインストールコマンド（ダッシュボードのユーザーグループセレクターからコピーしたもの。トークンとインストーラーのダウンロードを含みます）

   お持ちでない場合は、Aikido Device Protectionダッシュボードに戻り、Connect Deviceをクリックしてください。

2. 2

   インストールスクリプトを作成する

   1. Pulseway WebAppで、Automation → Scriptsに移動します。
   2. Create Categoryをクリックして名前を付ける（例: "Aikido"）か、既存の独自カテゴリを開きます。
   3. Create Scriptをクリックし、"Aikido Device Protection install"という名前を付けます。
   4. Windowsタブを開き、Enabledに設定します。
   5. スクリプトの種類をPowerShellに設定します。
   6. エディターに次のガードを貼り付け、続けてAikido Device Protectionダッシュボードからコピーした PowerShellインストールコマンドを貼り付けます。

   if (Get-Service -Name EndpointProtection -ErrorAction SilentlyContinue) { exit 0 }
   # paste the install command from the dashboard below this line

   7. Save Scriptをクリックします。

   PulsewayエージェントサービスはLocal Systemとして実行されるため、エージェント経由で実行するスクリプトには、インストーラーがProgram Filesへの書き込みやサービスの登録に必要な権限がすでに付与されています。別途実行ユーザーを設定する必要はありません。

3. 3

   管理対象デバイスでインストールスクリプトを実行する

   デバイスのグループ全体に展開するには、タスクを使用します。

   1. Automation → Tasksに移動し、Create Taskをクリックします。
   2. 名前と説明を入力します（例: "Aikido Device Protection install"）。
   3. Scopeで、対象とするシステムまたはシステムグループを選択します。
   4. Scriptsタブを開き、ドロップダウンからカテゴリを選択して、Aikido Device Protection installの横にあるプラスアイコンをクリックしてタスクに追加します。
   5. Saveをクリックし、タスクを開いてRunをクリックすると即座に実行されます。

   単一のデバイスにインストールするには、Systemsに移動してデバイスを選択し、Scriptsを開いてカテゴリを選び、Aikido Device Protection installを実行します。

   現在オフラインのデバイスや後から登録されるデバイスにも対応するため、タスクのEnable Schedulingにチェックを入れ、毎日繰り返すように設定してください。インストールスクリプト冒頭のガードにより、エージェントがすでにインストールされているデバイスでは早期に終了するため、インストーラーが再実行されることはありません。

4. 4

   ロックダウンポリシーを適用する

   Aikido Device Protectionアプリケーションのアンインストールをブロックし、サービスを稼働し続けるようにします。

   AppLockerでアンインストールをブロックする

   AppLockerは、ユーザーが実行できるアプリケーションを制御するWindowsの組み込み機能です。このポリシーにより、ユーザーはAikidoのアンインストーラーを起動できなくなります。

   1. Automation → Scriptsに移動し、カテゴリ内でCreate Scriptをクリックします。
   2. "Aikido AppLocker uninstall block"という名前を付け、Windowsタブを開いてEnabledに設定し、PowerShellを選択します。
   3. 次のスクリプトを貼り付け、Save Scriptをクリックします。

   $tmp = "$env:TEMP\aikido-applocker.xml"
   Invoke-WebRequest -Uri "https://raw.githubusercontent.com/AikidoSec/safechain-internals/refs/heads/main/docs/aikido-applocker-deny-mdm.xml" -OutFile $tmp
   Set-AppLockerPolicy -XmlPolicy $tmp -Merge
   Remove-Item $tmp -Force

   4. 上記の手順に従って、対象デバイスをスコープとするタスクにスクリプトを追加し、実行します。

   Aikidoサービスを監視して再起動する

   1. Server Admin → Policiesに移動し、Windowsデバイスに割り当てられているポリシーを開きます（または作成します）。
   2. Monitored Servicesカテゴリを開き、EndpointProtectionサービスを追加して、停止した場合にPulsewayが通知を発するようにします。
   3. ポリシーを保存します。

   Pulsewayでは監視ルールから直接アクションを実行できなくなったため、通知と、サービスを再起動するスケジュールタスクを組み合わせます。

   1. 次の内容で"Aikido service restart"という名前のスクリプトを作成します。

   if (Get-Service -Name EndpointProtection -ErrorAction SilentlyContinue) { Start-Service EndpointProtection }

   2. Windowsデバイスをスコープとするタスクにスクリプトを追加し、Enable Schedulingにチェックを入れて、毎時繰り返すように設定します。

   Aikido Device Protectionインストーラーは、OSレベルでEndpointProtectionサービスのACLを強化するため、標準ユーザーはサービスを停止または無効化できません。ユーザーがローカル管理者として実行している場合はAppLockerルールを回避される可能性があるため、より強固に適用するには、上記のアンインストールブロックとローカル管理者権限の削除を組み合わせてください。

5. 5

   インストール後にデバイスを再起動する

   1. Pulseway WebAppでSystemsに移動し、対象のWindowsデバイスを選択します。
   2. Restartシステムコマンドを実行します。

   Restart-Computer -Forceを含むスクリプトをタスクに追加し、業務時間外に実行するよう設定することで、再起動をスケジュールすることもできます。

   エージェントは次回の起動時に完全に有効化されます。

トラブルシューティング