侵入防御ルールを設定および使用するには、以下のセクションのタスクを実行します。

侵入防御モジュールの概要については、侵入防御を使用して脆弱性悪用の試行をブロックするを参照してください。

[ポリシー] 画面には侵入防御ルールのリストが表示されます。侵入防御ルールを検索し、ルールのプロパティを開いて編集できます。このリストでは、ルールはアプリケーションの種類で分類されており、ルールのプロパティは列にそれぞれ表示されます。

[TippingPoint] 列には、対応するTrend Micro TippingPointルールIDが表示されます。侵入防御の詳細検索では、TippingPointルールIDで検索できます。ポリシーエディタとコンピュータエディタの割り当て済み侵入防御ルールのリストにも、TippingPointルールIDが表示されます。

リストを確認するには、[ポリシー] をクリックして、[共通オブジェクト/ルール] の下の [侵入防御ルール] をクリックします。

[ルールの可用性] 列には、ルールで使用可能なライセンスの種類に関する情報が表示されます。 [Endpoint & Workload] は、このルールをEndpoint SecurityライセンスとWorkload Securityライセンスの両方で割り当てることができることを示します。 [ワークロード] ルールの可用性は、ライセンスの種類がワークロードの場合にのみルールを割り当てることができることを意味します。

割り当てられたすべてのルールに [Endpoint & Workload] ルールの可用性がある場合、ライセンスの種類は [Endpoint] で、割り当てられたルールの少なくとも1つにWorkloadルールの可用性がある場合は [Workload] です。

侵入防御ルールのプロパティには、ルールおよびルールが保護するエクスプロイトに関する情報が含まれます。この情報は、次の方法で表示できます。

新規] () または [プロパティ] () をクリックすると、[侵入防御ルールのプロパティ] ウィンドウが表示されます。

トレンドマイクロの侵入防御ルールは、 Workload Securityから直接編集することはできません。代わりに、侵入防御ルールの設定が必要 (または許可) されている場合は、[設定] タブでそれらの設定オプションを使用できます。自分で作成したカスタム侵入防御ルールは編集可能です。この場合、[ルール] タブが表示されます。

トレンドマイクロが提供するルールには、ルールが保護する脆弱性に関する情報が含まれる場合があります。該当する場合、共通脆弱性評価システム (CVSS) が表示されます。この評価システムの詳細については、National Vulnerability DatabaseのCVSSページを参照してください。

Agent検索時に侵入防御ルールを適用するには、該当するポリシーとコンピュータに割り当てます。脆弱性にパッチが適用されたため、ルールが必要でなくなった場合は、ルールを割り当て解除できます。

侵入防御ルールの割り当てを [コンピュータ]のエディタから解除できない場合は、ルールが現在ポリシーに割り当てられている可能性があります。ポリシーレベルで割り当てられたルールは、[ポリシー] エディタを使用して削除する必要があります。コンピュータレベルでは削除できません。

ポリシーに変更を加えると、そのポリシーを使用しているすべてのコンピューターに影響します。例えば、ポリシーからルールの割り当てを解除すると、そのポリシーで保護されているすべてのコンピューターからそのルールが削除されます。他のコンピューターに引き続きルールを適用するには、そのコンピューターグループ用に新しいポリシーを作成してください。ポリシー、継承、およびオーバーライドを参照してください。

ルールが割り当てられているポリシーとコンピュータを確認するには、ルールのプロパティの [割り当て対象] タブを参照してください。

Workload Securityは、ルールの更新が発生するたびに、すべてのコアエンドポイントおよびWorkloadルールをこのポリシーに割り当てます。手動で割り当て解除されたコアエンドポイントおよびWorkloadルールは、ルールの更新後も割り当て解除されたままです。

エンドポイントセキュリティライセンスをお持ちの場合は、この機能を有効にしてください。Workload Securityライセンスの場合は、この機能を無効にし、代わりに推奨設定の検索を使用してください。

セキュリティアップデートには、セカンダリ侵入防御ルールの割り当てが必要な新規またはアップデートされたアプリケーションの種類および侵入防御ルールが含まれている場合があります。Workload Security では、必要に応じてこれらのルールを自動的に割り当てることができます。ポリシーまたはコンピュータプロパティで、次のように自動割り当てを有効化できます。

ルールのイベントをログに記録するかどうか、およびパケットデータをログに含めるかどうかを設定します。

Workload Securityでは、侵入防御イベントにX-Forwarded-Forヘッダが表示される場合があります。この情報は、エージェントがロードバランサまたはプロキシの背後にある場合に役立ちます。 X-Forwarded-Forヘッダデータがイベントの [プロパティ] ウィンドウに表示されます。ヘッダデータを含めるには、ログにパケットデータを含めます。さらに、ルール1006540 X-Forwarded-For HTTPヘッダログの有効化を割り当てる必要があります。

ルールがイベントをトリガーするたびにすべてのパケットデータを記録するのは非現実的であるため、Workload Securityは指定された期間内にイベントが初めて発生したときにのみデータを記録します。デフォルトの時間は5分ですが、ポリシーの高度なネットワークエンジンの設定の期間内に1つのパケットのみをログに記録する期間プロパティを使用して期間を変更できます。高度なネットワークエンジンオプションを参照してください。

次の手順で行われる構成は、すべてのポリシーに影響します。1つのポリシーに対してルールを構成する方法については、ルールとアプリケーションタイプの構成の上書きを参照してください。

侵入防御ルールがイベントをトリガした場合にアラートを生成します。

次の手順で行われる構成は、すべてのポリシーに影響します。1つのポリシーに対してルールを構成する方法については、ルールとアプリケーションタイプの構成の上書きを参照してください。

トレンドマイクロが提供する一部の侵入防御ルールには、ヘッダの長さ、HTTPで許可される拡張子、Cookieの長さなど、1つ以上の設定オプションがあります。一部のオプションでは、設定が必要です。必須オプションを設定せずにルールを割り当てると、必須オプションについて通知するアラートが生成されます。これは、セキュリティアップデートによってダウンロードされ、自動的に適用されるルールにも適用されます。

構成オプションがある侵入防止ルールは、アイコンの上に小さなギアが表示されている[IPSルール]リストに表示されます。

独自のカスタム侵入防御ルールには、[ルール] タブがあり、ルールを編集できます。

次の手順で行われる構成は、すべてのポリシーに影響します。1つのポリシーに対してルールを構成する方法については、ルールとアプリケーションタイプの構成の上書きを参照してください。

侵入防御ルールが有効になる時間をスケジュールします。スケジュールされた時間にのみ有効な侵入防御ルールは、アイコンの上に小さな時計が表示されている[IPSルール]ページに表示されます。

エージェントベースの保護では、スケジュールはエンドポイントのOSと同じタイムゾーンを使用します。次の手順で設定を実行すると、すべてのポリシーが影響を受けます。

1 つのポリシーに対してルールを構成する方法については、ルールの上書きとアプリケーションタイプの構成を参照してください。

推奨設定検索のルール推奨設定から侵入防御ルールを除外します。

次の手順で行われる構成は、すべてのポリシーに影響します。1つのポリシーに対してルールを構成する方法については、ルールとアプリケーションタイプの構成の上書きを参照してください。

ルールが適用されるコンテキストを設定します。

次の手順で行われる構成は、すべてのポリシーに影響します。1つのポリシーに対してルールを構成する方法については、ルールとアプリケーションタイプの構成の上書きを参照してください。

新しいルールをテストする際には、侵入防御ルールの動作モードを検出に設定してください。検出モードでは、ルールは「検出のみ:」という言葉で始まるログエントリを作成し、トラフィックに干渉しません。一部のIPSルールは検出モードでのみ動作するように設計されています。これらのルールでは、動作モードを変更することはできません。

ルールのログを無効にすると、動作モードに関係なく、ルールのアクティビティはログに記録されません。

動作モードの詳細については、動作モードを使用してルールをテストするを参照してください。

次の手順で行われる構成は、すべてのポリシーに影響します。1つのポリシーに対してルールを構成する方法については、ルールとアプリケーションタイプの構成の上書きを参照してください。

[コンピュータ] または [ポリシー] エディタを使用して、侵入防御ルールを編集して、変更がポリシーまたはコンピュータのコンテキストにのみ適用されるようにすることができます。また、ルールを編集して、ルールが割り当てられている他のポリシーやコンピュータに変更が反映されるように変更をグローバルに適用することもできます。同様に、アプリケーションの種類を単一のポリシーまたはコンピュータに対して設定することも、グローバルに設定することもできます。

エクスポート/インポート機能は、異なるマネージャー間でカスタムルールを転送することを目的としています。IPSルールをXMLまたはCSVファイルにエクスポートし、[割り当て/割り当て解除]ボタンを使用してXMLファイルからルールをインポートします。特定のルールやルールセットを選択してエクスポートすることはできず、表示されているすべてのルールをエクスポートすることしかできません。