変更監視ルールについて

• エンティティセット
• 階層とワイルドカード
• 構文とコンセプト
• includeタグ
• excludeタグ
• 大文字/小文字の区別
• エンティティ機能
• ANDおよびOR演算子
• 評価の順序
• エンティティ属性
• 簡略記法属性
• onChange属性
• 環境変数
• 環境変数のオーバーライド
• レジストリ値
• ドットドットの使用
• ベストプラクティス

エンティティセット

• DirectorySet: ディレクトリの整合性をスキャンするルール
• FileSet: ルールはファイルの整合性をスキャンします
• GroupSet: グループの整合性をスキャンするルール
• InstalledSoftwareSet: ルールはインストールされたソフトウェアの整合性をスキャンします
• PortSet: ルールはリスニングポートの整合性をスキャンします
• ProcessSet: ルールはプロセスの整合性をスキャンします
• RegistryKeySet: ルールはレジストリキーをスキャンします
• RegistryValueSet: ルールはレジストリ値をスキャンします
• ServiceSet: ルールはサービスの整合性をスキャンします
• UserSet: ルールはユーザの整合性をスキャンします
• WQLSet: Windows Management Instrumentation WQLクエリステートメントの結果の整合性を監視するルール

階層とワイルドカード

• / (スラッシュ) : 階層の各レベルに該当する箇所でパターンの各セクションを区切ります
• **(2 つのアスタリスク): ゼロ個以上のセクションと照合します

• ? (クエスチョンマーク) : 1文字に一致
• * (アスタリスク) : 0文字以上の任意の文字に一致

• \ (バックスラッシュ) : が次の文字をエスケープします

• "a?c" は "abc" に一致します
• "123" は "123" に一致します
• "*.java" は "test.java" に一致します

• "a?c" は "abc" に一致します
• 123は123456に一致しないため、そこから先はパターン照合は実行されない

構文とコンセプト

<FileSet base="C:\Program Files\MySQL">
</FileSet>

base="C:\program files\CompanyName * Web Server"

base="C:\* files\Microsoft Office"

includeタグ

<FileSet base="C:\Program Files\MySQL">
<include key="**/*.exe"/>
</FileSet>

<FileSet base="C:\Program Files\MySQL">
<include key="**/*.exe"/>
<include key="**/*.dll"/>
</FileSet>

<include>
<key pattern="**/*.exe"/>
<key pattern="**/sample*"/>
</include>

<include key="**/*.exe">
<key pattern="**/sample*"/>
</include>

excludeタグ

<FileSet base="C:\Program Files\MySQL">
<include key="**"/>
<exclude key="**/*.tmp"/>
</FileSet>

<FileSet base="C:\Program Files\MySQL">
<include key="**/*.exe"/>
<include key="**/*.dll" />
<exclude key="**/MySQLInstanceConfig.exe"/>
</FileSet>

<exclude>
<key pattern="**/MySQLInstanceConfig*" />
<key pattern="**/*.exe" />
</exclude>

大文字/小文字の区別

• true
• false
• platform

<FileSet base="C:\Program Files\MySQL">
<include key="**/*Sample*"/>
</FileSet>

<FileSet base="C:\Program Files\MySQL">
<include key="**/*Sample*" casesensitive="true"/>
</FileSet>

エンティティ機能

<FileSet base="C:\Program Files\MySQL">
<include key="**" executable="true"/>
</FileSet>

<include executable="true">
<key pattern="**/*MySQL*"/>
</include>

<ServiceSet>
<include state="running"/>
</ServiceSet>

<ProcessSet>
<include path="*\notepad.exe"/>
</ProcessSet>

<ProcessSet>
<include commandLine="/sbin/*"/>
</ProcessSet>

ANDおよびOR演算子

<include>
<key pattern="**/*MySQL\*" />
<key pattern="**/*.exe"/>
</include>

<include key="**/*.exe">
<key pattern="**/*MySQL*" />
</include>

<include key="**/*.dll" />
<include key="**/*.exe" />

評価の順序

エンティティ属性

<FileSet base="C:\Program Files\MySQL" >
<include key="**/*SQL*" executable="true"/>
<attributes>
<lastModified/>
<permissions/>
<owner/>
</attributes>
</FileSet>

<FileSet base="C:\Program Files\MySQL" >
<attributes>
<permissions/>
<owner/>
</attributes>   
<include key="**/*.log" />
</FileSet>

<FileSet base="C:\Program Files\MySQL" >
<include key="**/*.log" />
</FileSet>

<FileSet base="C:\Program Files\MySQL" >
<attributes/>
<include key="**/*.log" />
</FileSet>

簡略記法属性

onChange属性

<FileSet base="C:\Program Files\MySQL" onChange="true">
<include key="**/*.exe"/>
<include key="**/*.dll" />
</FileSet>

環境変数

環境変数のオーバーライド

1. 環境変数を上書きしたい[コンピュータエディタとポリシーエディタ]を開きます。
2. [設定] → [詳細設定] の順にクリックします。
3. [環境変数のオーバーライドセクション]で[環境変数の表示]をクリックして[環境変数のオーバーライド]ページを表示します。
4. メニューバーで[新規]をクリックし、新しい名前と値のペア (例: WINDIRとD:\Windows) を入力してから、[OK]をクリックします。

レジストリ値

ドットドットの使用

<FileSet base="${env.USERPROFILE}\..">
<include key="*/Start Menu/Programs/Startup/*"/>
</FileSet>

ベストプラクティス

• **/...を、/、C:\、またはHKLM\Softwareなどのディレクトリ階層の最上位で使用する。
• どうしても必要な場合を除き、複数のコンテンツハッシュタイプを使用します。
• 参照先として、HKEY_CURRENT_USER、${env.USERPROFILE}、または${env.HOME} などのユーザ固有の場所を指定すること。