アプリケーションコントロール信頼エンティティ

信頼ルールセット

信頼ルールセットを作成する

1. [共通オブジェクト]→[ルール]→[アプリケーションコントロールルール]→[信頼エンティティ]に移動してください。
2. [信頼ルールセット]セクションで、[新規]を選択します。
3. [新規ルールセット]ウィンドウで、新しいルールセットの名前と説明（オプション）を入力します。
4. リストから1つ以上の信頼ルールを選択して、信頼ルールセットに割り当てます。

5. [OK]を選択してください。

1. コンピュータまたはポリシーをダブルクリックします (または右クリックして[詳細]を選択します)。
2. [アプリケーションコントロール]に移動し、構成がオンまたは継承 (オン) に設定されていることを確認してください。
3. [信頼ルールセット]ドロップダウンリストで、[新規]を選択します。

   
4. [新規ルールセット]ウィンドウで、新しいルールセットの名前と説明（オプション）を入力します。

   
5. リストから1つ以上の信頼ルールを選択して信頼ルールセットに割り当て、[保存]を選択して、割り当てたルールを含む信頼ルールセットを作成します。
6. (オプション) 新しい信頼ルールセットをコンピュータまたはポリシーに割り当てるには、[保存]を選択します。

ヒント 信頼ルールセットを最初から作成する代わりに、[ポリシー]→[共通オブジェクト]→[ルール]→[アプリケーションコントロールルール]→[信頼エンティティ] の [複製] ボタンを使用して既存のルールセットのコピーを作成し、必要に応じて設定できます。

信頼ルールセットの割り当てまたは割り当て解除

1. Deep Security Managerの[コンピュータ]または[ポリシー]タブから、コンピュータまたはポリシーをダブルクリックします (または右クリックして詳細を選択します)。
2. [アプリケーションコントロール]に移動し、[設定]がオンまたは継承 (オン) に設定されていることを確認してください。
3. ドロップダウンリストから[信頼ルールセット]を選択します。

   
4. [保存]を選択します。

1. [共通オブジェクト]→[ルール]→[アプリケーションコントロールルール]→[信頼エンティティ] に移動して、信頼ルールセットを選択してください。
2. 右側に表示される信頼ルールセットプロパティウィンドウで、割り当ての横にある番号を選択します。

   
3. [割り当て先]ウィンドウで、コンピュータまたはポリシーを選択します。

   
4. コンピュータまたはポリシーウィンドウの[アプリケーションコントロール]タブから、信頼ルールセットのドロップダウンリストでなしを選択してルールセットの割り当てを解除します。

   
5. [保存]を選択します。

信頼ルールセットを削除する

1. [共通オブジェクト]→[ルール]→[アプリケーションコントロールルール]→[信頼エンティティ]に移動してください。
2. [信頼ルールセット]セクションで、削除するルールセットを選択し、[削除]を選択します。
3. 削除ルールセット確認ウィンドウから、[OK]を選択します。

信頼ルール

警告 空の信頼ルールプロパティはすべてワイルドカードとして扱われます。これにより、信頼ルールをカスタマイズする方法が自由になりますが、システムのセキュリティに影響する可能性もあります。システムのセキュリティを最大化し、不要なソフトウェアの変更が許可されないようにするには、信頼ルールを作成するときにできるだけ多くのプロパティを入力してください。信頼ルールがセキュリティに与える影響がよくわからない場合は、システムのセキュリティについて十分な知識がある人に確認するか、信頼ルールセットに追加する前にトレンドマイクロに問い合わせてください。

信頼ルールの種類

• [ソースから許可]ルールは、信頼されたアップデータまたはインストーラプロセスがシステムに新しいソフトウェアをインストールすることを許可します。信頼できるアップデータによって作成された承認済みの実行可能ファイルは、自動的に承認されます。このルールを使用するには、プロセスやインストーラなどのソースのプロパティをルールで指定する必要があります。さらに、paths属性を使用して、指定したディレクトリに許可されたソフトウェアのみを作成するようにプロセスを制限する必要があります。このルールを適用すると、[処理]画面のソフトウェア変更イベントが最小限に抑えられます。[ソースから許可]ルールはソフトウェアの作成時に評価されるため、インストーラを実行する前に設定する必要があります。
• [対象別に許可] ルールは、指定したプロパティに一致する実行可能ファイルの実行を許可します。ルールで指定するプロパティは、実行可能ファイルなど、対象のプロパティと一致する必要があります。このルールは実行時に評価されるため、[アラート] 画面でファイルのセキュリティイベントが検出された後に適用できます。
• [対象別にブロック] ルールは、指定したプロパティに一致する実行可能ファイルの実行を防止します。ルールで指定するプロパティは、実行可能ファイルなど、対象のプロパティと一致する必要があります。このルールは実行時に評価されるため、[アラート] 画面でファイルのセキュリティイベントが検出された後に適用できます。

  注意 [対象別にブロック] ルールは、 Deep Security Agent 20.0.0-3288以降でサポートされます。

• [ソースから無視] ルールを使用すると、プロセスの除外が設定されます。これにより、指定されたプロセスは、アプリケーションコントロールによる監視を受けずに、指定されたディレクトリでソフトウェアを実行または作成できます。除外ルールが削除されると、除外はただちに解除されます。 [ソースルールで無視] でパスのみを指定した場合は、すべてのプロセスがそれらのディレクトリでソフトウェアを実行または作成できます。この場合、アプリケーションコントロールによる監視は行われません。このオプションは、アプリケーションコントロール検索によって一部のプロセスまたはパスとの互換性の問題 (パフォーマンスの問題や共有違反など) が発生している場合にのみ使用してください。[ソースから無視] ルールは、Workload Security APIを使用して作成されたすべてのグローバルルールよりも優先されます。グローバルルールの詳細については、 APIを使用して共有ルールセットとグローバルルールセットを作成するを参照してください。

警告 ソースルールで無視する場合、プロセス名プロパティはDeep Security Agent20.0.0-3165以降でのみサポートされています。

信頼ルールを作成する

1. [共通オブジェクト]→[ルール]→[アプリケーションコントロールルール]→[信頼エンティティ]に移動してください。
2. [信頼ルール]セクションで、[新規]を選択し、ドロップダウンリストから 信頼ルールの種類のいずれかを選択します。
3. [新しいルール]ウィンドウで、新しいルールの名前と説明（オプション）を入力します。
4. 新しいルールに追加するには、[プロパティを追加] ドロップダウンリストからプロパティを選択します。

   
5. 表示されたボックスにプロパティの値を入力します。

   
6. （オプション）この信頼ルールにプロパティを追加するには、手順4と5を繰り返します。
7. [OK]をクリックします。

ヒント 信頼ルールのプロパティ値の設定については、信頼ルールのプロパティの種類を参照してください。

ヒント 信頼ルールを選択し ([ポリシー]→[共通オブジェクト]→[ルール]→[アプリケーションコントロールルール]→[信頼エンティティ]の順に選択)、[割り当て/割り当て解除]を使用して、どの信頼ルールセットを含めるかを選択します。これは、すばやく割り当てる場合に特に便利です。または、多数のルールセットにまたがる新しいルールの割り当てを解除します。

信頼ルールのプロパティを変更する

1. Deep Security Manager [信頼エンティティ] タブ ([ポリシー]→[共通オブジェクト]→[ルール]→[アプリケーションコントロールルール]→[信頼エンティティ]) からルールを選択し、[編集] を選択します (またはルールをダブルクリックします)。

   
2. [ルールの編集]画面で、次のいずれかを実行します。

   • 新しいプロパティを追加するには、[プロパティの追加] ドロップダウンリストからプロパティを選択し、その値を入力します。
   • 既存のプロパティを編集するには、そのテキストフィールドの値を変更します。
   • 既存のプロパティを削除するには、[削除]を選択します。
3. [OK]をクリックします。

信頼ルールを削除する

1. Deep Security Manager [信頼エンティティ] タブ ([ポリシー]→[共通オブジェクト]→[ルール]→[アプリケーションコントロールルール]→[信頼エンティティ]) から、ルールを選択し、[削除] を選択します。
2. [OK] をクリックして削除を確認します。

   

注意 信頼ルールを削除すると、現在割り当てられている信頼ルールセットから自動的に割り当て解除されます。警告プロンプトの後に

信頼ルールのプロパティの種類

プロセス名

警告 [ソースから無視] ルールで使用する場合、プロセス名プロパティはDeep Security Agent 20.0.0-3165以降でのみサポートされます。

1. Deep Security Managerの[処理]タブに移動します。
2. ソフトウェア変更を検索して選択します。

パス

• スラッシュで終わるパスは、その完全なパスの下にあるすべてのサブディレクトリに一致します。例えば、C:\Windows\System\はSystemディレクトリ内の任意のサブディレクトリに一致します。
• 最後のスラッシュの後に指定された値は正規表現のワイルドカードとして扱われ、特定のディレクトリおよび同じ値で始まる他のディレクトリに一致します。例えば、C:\Windows\Systemは「C:\Windows\System*」に一致するすべてのディレクトリおよびサブディレクトリを含み、C:\Windows\System\、C:\Windows\System32\、C:\Windows\SystemApps\などが含まれます。

SHA-256

ベンダ

1. プロセスまたはファイルを含むディレクトリから、ファイルエクスプローラーの上部に表示されるプロパティ (名前、変更日など) のいずれかを右クリックし、[もっと]を選択します。
2. [会社名]を選択し、[OK]をクリックします。

製品名

1. ファイルを含むディレクトリで、プロセスまたはファイルを右クリックし、[プロパティ]を選択します。
2. [詳細]タブから、製品名の値を確認してください。

1. ファイルが格納されているディレクトリで、ファイルエクスプローラの上部に表示されるプロパティ (名前、変更日など) のいずれかを右クリックし、[もっと] をクリックします。
2. [製品名]を選択し、[OK]をクリックします。

署名者名

1. プロセスまたはファイルを右クリックし、[プロパティ]を選択します。
2. [デジタル署名]タブで、[シグネチャリスト]に署名者の名前を見つけてください。

発行者の一般名

1. プロセスまたはファイルを右クリックし、[プロパティ] をクリックします。
2. [デジタル署名]タブで、[シグニチャ]リストに表示される最初の証明書を選択します。
3. 証明書を選択し、[詳細] をクリックします。
4. [証明書の表示]を選択してください。
5. [詳細] タブに移動して [発行元] を選択してください。

発行者の組織単位

1. プロセスまたはファイルを右クリックし、[プロパティ]を選択します。
2. [デジタル署名]タブで、署名リストに表示される最初の証明書を選択します。
3. 証明書を選択し、[詳細] をクリックします。
4. [証明書の表示]をクリックします。
5. [詳細] タブに移動して [発行元] を選択してください。

発行者の組織

1. プロセスまたはファイルを右クリックし、[プロパティ] をクリックします。
2. [デジタル署名]タブで、署名リストに表示される最初の証明書を選択します。
3. 証明書を選択し、[詳細] をクリックします。
4. [証明書の表示]をクリックします。
5. [詳細] タブに移動して [発行元] を選択してください。

発行者の地域

1. プロセスまたはファイルを右クリックし、[プロパティ] をクリックします。
2. [デジタル署名]タブで、署名リストに表示される最初の証明書を選択します。
3. 証明書を選択し、[詳細] をクリックします。
4. [証明書の表示]をクリックします。
5. [詳細] タブに移動して [発行元] を選択してください。

発行者の都道府県

1. プロセスまたはファイルを右クリックし、[プロパティ] をクリックします。
2. [デジタル署名]タブで、署名リストに表示される最初の証明書を選択します。
3. 証明書を選択し、[詳細] をクリックします。
4. [証明書の表示]をクリックします。
5. [詳細] タブに移動して [発行元] を選択してください。

発行国

1. プロセスまたはファイルを右クリックし、[プロパティ] をクリックします。
2. [デジタル署名]タブで、署名リストに表示される最初の証明書を選択します。
3. 証明書を選択し、[詳細] をクリックします。
4. [証明書の表示]をクリックします。
5. [詳細] タブに移動して [発行元] を選択してください。

アプリケーションコントロールイベントの集約と分析

変更イベント

• processNameは、ターゲットファイルを作成または更新したプロセスの名前です。前の例では、/opt/IBM/WebSphere/AppServer/java/jre/bin/javaに設定されています。
• pathは、プロセスが実行可能ファイルを更新または作成した場所です。前の例では、/opt/IBM/WebSphere/AppServer/profiles/devmiesAppSrv/installedApps/devdmrhx01-cell02/IESHSRIDEVM.ear/に設定されています。

変更イベントの信頼ルール

セキュリティイベント

セキュリティイベントの信頼ルール

イベント分析出力

• Windows –C:\ProgramData\Trend Micro\Deep Security Agent\diag\ac_event_analysis.txt
• Linuxの場合: /var/opt/ds_agent/diag/ac_event_analysis.txt
• 診断ファイル: agent/ac/ac_event_analysis.txt

信頼ルールのデバッグ

1. Deep Security Managerに新しい信頼ルールを適用します。
2. Deep Security Agentを停止します。
3. ac_event_analysis.txtファイルを削除してください。
4. Deep Security Agentを起動します。
5. しばらく待って、ac_event_analysis.txtファイルが再表示されるかどうかを確認します。

   • ファイルが表示されなくなった場合、信頼ルールが機能しており、イベントの生成が抑制されています。
   • ファイルがまだ表示される場合は、新しいイベント情報についてac_event_analysis.txtファイルを確認し、それに応じて新しい信頼ルールを追加してください。信頼タイプ1のルールは、ドリフトイベントを自動承認するためのソースによる許可ルールであり、信頼タイプ2のルールはターゲットファイルの実行を許可するためのターゲットによる許可ルールです。
6. 新しい信頼ルールを設定するには、手順1からの手順を繰り返します。

• Linux: /opt/ds_agent/sendCommand --get TrustRules
• Windowsの場合: \program files\trend micro\deep security agent\sendCommand --get TrustRules

コンサルト指標

署名者情報の表示

Linuxの信頼ルールプロパティの制限

警告 Linuxで現在サポートされていない信頼ルールを追加すると、ルールはソフトウェアの変更に適用されなくなります。

• 署名者名
• 製品名
• 発行者の一般名
• 発行者の組織単位
• 発行者の組織
• 発行者の地域
• 発行者の都道府県
• 発行国
• ベンダ

• プロセス名
• パス
• SHA-256