RegistryKeySet

変更監視モジュールは、ディレクトリ、レジストリ値、レジストリキー、サービス、プロセス、インストールされたソフトウェア、ポート、グループ、ユーザ、ファイル、およびエージェント上のWQLクエリステートメントに対する予期しない変更をスキャンします。

変更監視を有効にして設定するには、変更監視のセットアップを参照してください。

RegistryKeySetタグは、レジストリ内の設定されたキーを示します。 Windowsでのみ使用できます。

次の表は、変更監視ルールによって監視されるエンティティの属性ではなく、タグ自体のXML属性のリストと説明を示しています。

エージェントはローカルシステムアカウントを使用してサービスとして実行されるため、HKEY_CURRENT_USERは意味がありません。レジストリのHKCUブランチは、対話的にログオンしているユーザに対してのみ有効であり、そのユーザに固有のものです。Windowsターミナルサーバ環境や、ユーザの高速切り替えが有効になっているWindows XPおよびVistaでは、複数の異なるユーザが同時にログオンしている可能性があります。このため、エージェントはHKEY_CURRENT_USERを含むルールをコンパイルエラーと判断します。

HKEY_USERSの下には、WindowsのユーザアカウントIDの数値形式を使用して名前が付けられた複数のサブキーがあります。ユーザがログオンすると、それらのサブキーの1つがユーザのログオンセッション中にHKCUにマップされます。

ルールは、HKEY_USERSをベースにしてユーザごとのレジストリ項目をモニタするために使用することが許可されています。ただし、それらのルールは多くのエントリに一致する可能性があります。...\Software\Classesブランチは非常に大きく、特にHKLMの下ではそうですので、Software\Classes全体をトラバースする必要があるルールは避けるようにしてください。

変更監視ルールで監視できるエンティティの属性は次のとおりです。

レジストリキーは、ファイルシステムのディレクトリのように、レジストリ内で階層的に保存されます。この言語の目的のために、キーへのキーのパスはディレクトリへのパスのように見えると考えられます。例えば、エージェントのDeep Security Agentキーへのキーのパスは次のようになります:

RegistryValueSetのインクルードおよびエクスクルードのキー値は、キー パスに対して一致します。これは階層パターンであり、パターンのセクションは/で区切られ、キー パスのセクションは""で区切られます。

変更監視ルールの言語を参照して、これらのエレメントに指定できる属性とサブエレメントのincludeの概要を確認してください。