変更監視

変更監視保護モジュールは、ファイルやWindowsレジストリのような重要なシステム領域の変更を検出し、不審な活動を示す可能性があります。このモジュールは、現在の状態を以前に記録されたベースラインと比較することでこれを行います。Workload Securityには事前定義された変更監視ルールがあり、新しい変更監視ルールはセキュリティアップデートで提供されます。

変更監視は、システムに加えられた変更を検出しますが、変更を防止したり元に戻したりすることはありません。

変更監視を有効にするには、 Workload Securityライセンスが必要です。

ポリシーまたはコンピュータレベルで変更監視を有効にできます。

変更監視は、コンピュータの設定またはポリシーで有効にできます。

コンピュータで推奨設定スキャンを実行して、適切なルールの推奨設定を取得します。推奨される変更監視ルールは、監視対象のエンティティや属性が多すぎる可能性があります。ベストプラクティスは、重要で監視すべき項目を決定し、カスタムルールを作成するか、事前定義されたルールを調整することです。プロセスIDやソースポート番号など、頻繁に変更されるプロパティを監視するルールには特に注意を払ってください。これらのルールはノイズが多く、調整が必要な場合があります。

リアルタイム変更監視スキャンを有効にして、いくつかの推奨ルールが多くのイベントを生成することがわかった場合、それらのルールのリアルタイムスキャンを無効にすることができます。

推奨スキャンを実行すると、Workload Securityが推奨ルールを自動的に実装するか、手動でルールを割り当てることができます。ルールをローカルで編集して、その変更を特定のコンピュータまたはポリシーにのみ適用するか、グローバルで編集して、その変更をルールを使用するすべてのポリシーまたはコンピュータに適用することができます。また、新しいユーザの追加や新しいソフトウェアのインストールなど、組織に関係する特定の変更をモニタするためのカスタムルールを作成することもできます。カスタムルールの作成方法については、変更監視ルールのインポートを参照してください。

一部の変更監視ルールにはローカル設定が必要です。このようなルールをコンピュータに割り当てるか、ルールが自動的に割り当てられると、ルールを設定するよう通知するアラートが発令されます。

ベースラインは、変更の検索結果と比較される元の安全な状態です。ベストプラクティスとして、パッチを適用した後に新しいベースラインスキャンを実行することをお勧めします。

コンピュータで整合性スキャンの新しいベースラインを作成するには:

次のいずれかの方法を使用して変更監視スキャンを実行します:

変更監視の設定を続行する前に、ルールとベースラインが正しく機能していることを確認してください。

変更監視スキャンのパフォーマンスを向上させるために、次の設定を変更できます。

変更監視は、ベースラインの作成および後の状態をベースラインと比較する際に、ローカルの中央処理装置 (CPU) リソースを使用します。変更監視が想定以上にリソースを消費している場合、CPU使用率を以下のレベルに制限することができます:

[変更監視CPU使用率レベル]を変更するには:

変更監視がベースライン情報を保存するために使用するハッシュアルゴリズムを選択できます。パフォーマンスに悪影響を与えないように、複数のアルゴリズムを使用するのは避けてください。

イベントのタグ付けを行うと、イベントをソートしやすくなり、問題のないイベントと詳細な調査が必要なイベントを判別しやすくなります。

イベントを右クリックして[タグを追加]を選択することで、手動でイベントにタグを適用できます。選択したイベントのみにタグを適用するか、類似の変更監視イベントに適用することができます。また、自動タグ付けを使用して複数のイベントをグループ化し、ラベルを付けることもできます。

これらのソースを使用してタグ付けを実行できます。

イベントタグ付けの詳細については、イベントを識別およびグループ化するためのタグの適用を参照してください。