このページのトピック
変更監視
変更監視保護モジュールは、不審なアクティビティを示している可能性があるファイルや重要なシステム領域 (Windowsレジストリなど) への変更を検出します。検出では、現在の状況が、以前に記録されたベースラインの読み取り値と比較されます。Workload Security には、事前定義済みの 変更監視 ルールと新しい 変更監視 ルールが含まれています。
変更監視ではシステムに加えられた変更が検出されますが、変更の防止や取り消しは実行されません。
変更監視を有効にするには、Workload Securityのライセンスが必要です。
変更監視を有効にする方法
変更監視は、ポリシー内で有効にすることも、コンピュータレベルで有効にすることもできます。変更監視を有効にするには、次の手順を実行する必要があります。
変更監視を有効にしたら、以下についても設定できます。
変更監視を有効にするための一般的な手順は次のとおりです。
変更監視をオンにする
変更監視は、コンピュータの設定またはポリシーで有効にできます。これを実行するには、[Policy]または[Computer]エディタを開き、[ 変更監視 ]→[ 一般]の順に選択します。[設定] を [オン] または [継承 (オン)] に設定して、[保存] をクリックします。
推奨設定の検索を実行する
コンピュータで推奨設定の検索を実行して、どのルールが適切か、推奨設定を取得します。これを実行するには、コンピュータエディタを開き、[ 変更監視 ]→[一般]の順に選択します。[推奨設定] セクションで、[推奨設定の検索] をクリックします。オプションで、 Workload Security が検出したルールの推奨事項を実装するように指定できます。
推奨される変更監視ルールを適用すると、監視対象のエンティティと属性が多くなりすぎる可能性があります。重要で監視すべき対象を特定し、カスタムルールを作成するかまたは事前定義されたルールを調整することをお勧めします。頻繁に変更されるプロパティ (プロセスIDや送信元ポート番号など) を監視するルールでは、検出数が多くなりがちなため、調整が必要になることがあるので、注意が必要です。
リアルタイムの変更監視の検索を有効にしていて、頻繁に変更されるディレクトリを監視しているため一部の推奨ルールで生成されるイベントが多すぎる場合は、そのルールのリアルタイム検索を無効にできます。[ポリシー]→[共通オブジェクト]→[ルール]→[変更監視ルール] に移動して、ルールをダブルクリックします。[ オプション] タブで、[ リアルタイム監視を有効にする ]チェックボックスをオフにします。
変更監視ルールを適用する
上記のとおり、推奨設定の検索を実行すると、 Workload Security で自動的に推奨ルールが実装されます。また、手動でルールを割り当てることも可能です。
コンピュータまたはポリシーエディタで、[変更監視]→[一般]の順に選択します。[現在割り当てられている変更監視ルール] セクションに、このポリシーまたはコンピュータで有効になっているルールが表示されます。変更監視ルールを追加または削除するには、[割り当て/割り当て解除] をクリックします。使用可能なすべての変更監視ルールを示す画面が表示され、ルールを選択したり、選択を解除したりできます。
トレンドマイクロが提供する一部の変更監視ルールは、正常に機能するため、ローカルでの設定を必要とします。このようなルールをコンピュータに割り当てるか、ルールが自動的に割り当てられると、設定が必要であることを通知するアラートが発令されます。
変更監視ルールは、ローカルで編集して編集中のコンピュータまたはポリシーにのみ変更内容を適用することも、グローバルに編集してルールを使用する他のすべてのポリシーまたはコンピュータに変更内容を適用することもできます。ルールをローカルで編集するには、そのルールを右クリックして [プロパティ] をクリックします。ルールをグローバルに編集するには、そのルールを右クリックして [プロパティ (グローバル)] をクリックします。
組織にとって重要な特定の変更 (新しいユーザの追加や新しいソフトウェアのインストールなど) を監視するために、カスタムルールを作成することもできます。カスタムルールの作成方法の詳細については、「変更監視ルールの言語」を参照してください。
パフォーマンスを向上させ、競合や誤検出を避けるためには、できるだけ具体的な変更監視ルールを作成します。たとえば、ハードドライブ全体を監視するルールは作成しないでください。
コンピュータのベースラインを構築する
ベースラインは、変更の検索結果の比較対象となる元の状態です。コンピュータで整合性検索の新しいベースラインを作成するには、コンピュータエディタを開き、[ 変更監視 ]→[一般 ]の順に選択し、[ リビルドベースライン]をクリックします。
パッチを適用した後は、新しいベースライン検索を実行することをお勧めします。
現在のベースラインデータを表示するには、[ベースラインの表示] をクリックします。
2021年7月12日以降に Workload Security に登録し、エージェントバージョン20.0.0-2593以降を使用している場合、[ View Baseline ]ボタンは表示されなくなります。2021年7月12日より前に登録したユーザの場合、このボタンは2022年1月1日まで使用できます。 詳細については、Trend Micro Cloud One - Workload Securityからの変更監視の「ベースラインの表示」オプションの削除を参照してください。
変更を定期的に検索する
オンデマンド検索を実行するには、コンピュータエディタを開き、[ 変更監視 ]→[ 一般 ]の順に選択し、[ Scan for Integrity]をクリックします。検索を定期的に実行する予約タスクを作成することもできます。
変更監視をテストする
以降の変更監視設定の手順に進む前に、ルールとベースラインが正常に動作しているかどうかをテストします。
- 変更監視が有効になっていることを確認します。
- コンピュータまたはポリシーエディタ> 変更監視 >割り当てられた 変更監視 ルールに移動します。[割り当て/割り当て解除] をクリックします。
-
Windowsユーザの場合:
- [1002773 - Microsoft Windows - 'Hosts' file modified] を検索し、このルールを有効にします。このルールを変更すると、アラートが発生します。
C:\windows\system32\drivers\etc\hosts.
Linuxユーザの場合：
- [1003513 - Unix - File attributes changes in /etc location] を検索し、このルールを有効にします。このルールは、
/etc/hostsファイルに変更が加えられた場合にアラートを発令します。
- [1002773 - Microsoft Windows - 'Hosts' file modified] を検索し、このルールを有効にします。このルールを変更すると、アラートが発生します。
-
上記のファイルに変更を加え、変更を保存します。
- 移動先コンピュータエディタ>変更監視>一般をクリックします。整合性の検索。
- Events&Reports> 変更監視 Events に移動し、変更されたホストファイルのレコードを確認します。検出が記録されていれば、変更監視モジュールは正常に動作しています。
変更監視検索を実行するタイミング
変更監視検索を実行するためのオプションは3つあります。
- オンデマンド検索：必要に応じて、コンピュータエディタを開き、[ 変更監視 ]→[一般]の順に選択して、オンデマンドの整合性監視検索を開始できます。[変更の検索] セクションで、[変更の検索] をクリックします。
- 予約検索：他の Workload Security 操作と同様に、整合性監視検索をスケジュールできます。Workload Security は、監視中のエンティティをチェックし、前回の検索以降に変更があった場合にイベントを特定して記録します。前回の検索後に、監視対象エンティティに対して複数回の変更が行われた場合は、最新の変更のみが検出されます。エンティティの状態に対する複数の変更を検出してレポートするためには、予約検索の頻度を上げることを検討します。たとえば、検索を週1回ではなく毎日実施するようにします。または、頻繁に変更されるエンティティについて、リアルタイムの検索を有効にします。定期的な整合性監視の検索を有効にするには、 の[管理]→[予約タスク]→[新規]の順に選択します。新規予約タスクウィザードで、[コンピュータの変更を検索] と予約検索の頻度を選択します。新規予約タスクウィザードで要求される情報を目的に応じて入力します。予約タスクの詳細については、 Schedule Workload Security を参照してタスクを実行してください。
- リアルタイム検索：リアルタイム検索を有効にできます。このオプションが選択されている場合、 Workload Security はリアルタイムでエンティティの変更を監視し、変更が検出されると整合性監視イベントを発生させます。イベントは、Syslog経由でリアルタイムでSIEMに転送されます。または、 Workload Security への次のハートビート通信が発生したときにイベントが転送されます。リアルタイム検索を有効にするには、 コンピュータまたは ポリシーエディタ → [変更監視] → [一般]の順に選択し、[リアルタイム]を選択します。64ビットのLinuxプラットフォームではバージョン11.0以降のエージェントが、64ビットのWindowsサーバではバージョン11.2以上のエージェントを使用した場合、リアルタイム検索の結果はファイルを変更したユーザとプロセスを示します。この機能をサポートしているプラットフォームの詳細については、「各プラットフォームでサポートされている機能」を参照してください。
ディスク全体を対象にファイルの変更をリアルタイムで監視するとパフォーマンスに影響し、変更監視イベントが大量に記録されることになります。安全対策として、ルートドライブの監視を選択した場合 (C:) をリアルタイムで実行する場合、 Workload Security は実行可能ファイルとスクリプトのみを監視します。リアルタイムですべてのファイルを監視する必要がある場合は、ルートドライブ以外のフォルダを指定してください。
変更監視検索パフォーマンスの設定
以下の設定を変更すると、変更監視検索のパフォーマンスを改善できることがあります。
CPUの使用率を制限する
変更監視のシステム検索ではローカルのCPUリソースを消費します。これは、最初に初期ベースラインが作成され、その後のシステム検索時にはシステムの状態がベースラインと照合されるためです。変更監視が予想以上にリソースを消費していることが判明した場合、CPUの使用率を次のレベルに制限することができます。
- 高：一時停止せずにファイルを1つずつ検索します。
- 中：ファイルを検索してCPUリソースを節約するために一時停止します。
- 低：ファイルを検索する間隔がメディア設定よりも長い間隔で一時停止します。
変更監視 CPU使用率 設定を変更するには、コンピュータまたはポリシーエディタを開き、[ 変更監視 ]→[高度な]に移動します。
コンテンツハッシュアルゴリズムを変更する
変更監視モジュールがベースライン情報を保存する際に使用するハッシュアルゴリズムを選択できます。複数のアルゴリズムを選択できますが、パフォーマンスに影響が出るため、複数選択することは推奨しません。
コンテンツのハッシュアルゴリズムを変更できます。
変更監視イベントのタグ付け
変更監視 モジュールによって生成されたイベントは、 Workload Security コンソールの イベント&レポート> 変更監視 イベントに表示されます。イベントのタグ付けを行うと、イベントをソートしやすくなり、問題のないイベントと詳細な調査が必要なイベントを判別しやすくなります。
タグは、イベントを右クリックして [タグの追加] をクリックすることにより、手動でイベントに適用できます。タグを選択したイベントにのみ適用するか、同様のすべての変更監視イベントに適用するかを選択できます。
また、自動タグ付け機能を使用し、複数のイベントをグループ化してラベルを付けることもできます。この機能を Workload Security コンソールで設定するには、[ イベントとレポート]→[ 変更監視 イベント]→[自動タグ設定]→[新しい信頼するソース]に移動します。タグ付けの実行に使用できるソースは3つあります。
- 信頼済みのローカルコンピュータ
- トレンドマイクロのソフトウェア安全性評価サービス
- 信頼済みの共通ベースライン。コンピュータグループから収集された、ファイルのステータスのセットです。
イベントのタグ付けの詳細については、「イベントを識別およびグループ化するためのタグの適用」を参照してください。