侵入防御ルールの設定

侵入防御ルールを設定および使用するには、以下のセクションのタスクを実行します。

侵入防御モジュールの概要については、侵入防御を使用して脆弱性悪用の試行をブロックするを参照してください。

[ポリシー]ページには、IPSルールのリストが表示されます。IPSルールを検索したり、ルールのプロパティを開いて編集したりできます。リストでは、ルールはアプリケーションタイプごとにグループ化され、一部のルールプロパティは異なる列に表示されます。

[TippingPoint] 列には、対応するTrend Micro TippingPointルールIDが表示されます。侵入防御の詳細検索では、TippingPointルールIDで検索できます。ポリシーエディタとコンピュータエディタの割り当て済み侵入防御ルールのリストにも、TippingPointルールIDが表示されます。

リストを表示するには、[ポリシー]をクリックし、次に[共通オブジェクト/ルール]の下で[IPSルール]をクリックします。

ルール可用性列は、ルールに利用可能なライセンスタイプに関する情報を提供します。[Endpoint & Workload]は、このルールがエンドポイントセキュリティとWorkload Securityの両方のライセンスで割り当て可能であることを示します。[Workload]ルール可用性は、ライセンスタイプがWorkloadの場合にのみルールを割り当て可能であることを意味します。

すべての割り当てられたルールが[Endpoint & Workload]ルールの可用性を持つ場合、ライセンスタイプは[エンドポイント]であり、少なくとも1つの割り当てられたルールがWorkloadルールの可用性を持つ場合、[Workload]です。

侵入防御ルールのプロパティには、ルールおよびルールが保護するエクスプロイトに関する情報が含まれます。この情報は、次の方法で表示できます。

[新規] () または [プロパティ] () をクリックすると、[Intrusion Prevention Rule Properties] ウィンドウが表示されます。

トレンドマイクロのIPSルールは、Workload Securityを通じて直接編集することはできません。代わりに、IPSルールが設定を必要とする (または許可する) 場合、その設定オプションは[設定]タブで利用可能です。自分で作成したカスタムIPSルールは編集可能で、その場合[ルール]タブが表示されます。

トレンドマイクロが提供するルールには、ルールが保護する脆弱性に関する情報が含まれる場合があります。該当する場合、共通脆弱性評価システム (CVSS) が表示されます。この評価システムの詳細については、National Vulnerability DatabaseのCVSSページを参照してください。

Agent検索時に侵入防御ルールを適用するには、該当するポリシーとコンピュータに割り当てます。脆弱性にパッチが適用されたため、ルールが必要でなくなった場合は、ルールを割り当て解除できます。

[コンピュータ]エディターからIPSルールの割り当てを解除できない場合、ルールがポリシーに割り当てられている可能性があります。ポリシーレベルで割り当てられたルールは[ポリシー]エディターを使用して削除する必要があり、コンピュータレベルでは削除できません。

ポリシーに変更を加えると、そのポリシーを使用しているすべてのコンピューターに影響します。例えば、ポリシーからルールの割り当てを解除すると、そのポリシーで保護されているすべてのコンピューターからそのルールが削除されます。他のコンピューターに引き続きルールを適用するには、そのコンピューターグループ用に新しいポリシーを作成してください。ポリシー、継承、およびオーバーライドを参照してください。

ルールが割り当てられているポリシーとコンピューターを確認するには、ルールプロパティの[割り当て対象]タブを参照してください。

さらに、既知の脆弱性問題から保護するためのIPSルールのサブセットであるコアエンドポイントおよびワークロードルールがあります。これらのルールはすべてのライセンスタイプで利用可能で、簡単に一括して割り当ておよび解除できます。

Workload Securityは、ルールの更新が発生するたびに、すべてのコアエンドポイントおよびWorkloadルールをこのポリシーに割り当てます。手動で割り当て解除されたコアエンドポイントおよびWorkloadルールは、ルールの更新後も割り当て解除されたままです。

エンドポイントセキュリティライセンスをお持ちの場合は、この機能を有効にしてください。Workload Securityライセンスの場合は、この機能を無効にし、代わりに推奨設定の検索を使用してください。

セキュリティアップデートには、セカンダリ侵入防御ルールの割り当てが必要な新規またはアップデートされたアプリケーションの種類および侵入防御ルールが含まれている場合があります。Workload Security では、必要に応じてこれらのルールを自動的に割り当てることができます。ポリシーまたはコンピュータプロパティで、次のように自動割り当てを有効化できます。

ルールのイベントをログに記録するかどうか、およびパケットデータをログに含めるかどうかを設定します。

Workload Securityでは、侵入防御イベントにX-Forwarded-Forヘッダが表示される場合があります。この情報は、エージェントがロードバランサまたはプロキシの背後にある場合に役立ちます。 X-Forwarded-Forヘッダデータがイベントの [プロパティ] ウィンドウに表示されます。ヘッダデータを含めるには、ログにパケットデータを含めます。さらに、ルール1006540 X-Forwarded-For HTTPヘッダログの有効化を割り当てる必要があります。

ルールがイベントをトリガーするたびにすべてのパケットデータを記録するのは非現実的であるため、Workload Securityは指定された期間内にイベントが初めて発生したときにのみデータを記録します。デフォルトの時間は5分ですが、ポリシーの高度なネットワークエンジンの設定の期間内に1つのパケットのみをログに記録する期間プロパティを使用して期間を変更できます。高度なネットワークエンジンオプションを参照してください。

次の手順で行われる構成は、すべてのポリシーに影響します。1つのポリシーに対してルールを構成する方法については、ルールとアプリケーションタイプの構成の上書きを参照してください。

また、ログにパケットデータを含めるには、ルールを割り当てるポリシーで次のように、ルールによるパケットデータの取得を許可する必要があります。

侵入防御ルールがイベントをトリガした場合にアラートを生成します。

次の手順で行われる構成は、すべてのポリシーに影響します。1つのポリシーに対してルールを構成する方法については、ルールとアプリケーションタイプの構成の上書きを参照してください。

トレンドマイクロが提供する一部の侵入防御ルールには、ヘッダの長さ、HTTPで許可される拡張子、Cookieの長さなど、1つ以上の設定オプションがあります。一部のオプションでは、設定が必要です。必須オプションを設定せずにルールを割り当てると、必須オプションについて通知するアラートが生成されます。これは、セキュリティアップデートによってダウンロードされ、自動的に適用されるルールにも適用されます。

構成オプションがあるIPSルールは、アイコンの上に小さなギアが表示されている[IPSルール]リストに表示されます。

自分で作成したカスタムIPSルールには、ルールを編集できる[ルール]タブが含まれています。

次の手順で行われる構成は、すべてのポリシーに影響します。1つのポリシーに対してルールを構成する方法については、ルールとアプリケーションタイプの構成の上書きを参照してください。

侵入防止ルールがアクティブになる時間をスケジュールします。スケジュールされた時間にのみアクティブな侵入防止ルールは、アイコンに小さな時計が表示されている[IPSルール]ページに表示されます。

エージェントベースの保護では、スケジュールはエンドポイントのOSと同じタイムゾーンを使用します。次の手順で設定を実行すると、すべてのポリシーが影響を受けます。

1 つのポリシーに対してルールを構成する方法については、ルールの上書きとアプリケーションタイプの構成を参照してください。

推奨設定検索のルール推奨設定から侵入防御ルールを除外します。

次の手順で行われる構成は、すべてのポリシーに影響します。1つのポリシーに対してルールを構成する方法については、ルールとアプリケーションタイプの構成の上書きを参照してください。

ルールが適用されるコンテキストを設定します。

次の手順で行われる構成は、すべてのポリシーに影響します。1つのポリシーに対してルールを構成する方法については、ルールとアプリケーションタイプの構成の上書きを参照してください。

新しいルールをテストする際には、侵入防御ルールの動作モードを検出に設定してください。検出モードでは、ルールは「検出のみ:」という言葉で始まるログエントリを作成し、トラフィックに干渉しません。一部のIPSルールは検出モードでのみ動作するように設計されています。これらのルールでは、動作モードを変更することはできません。

ルールのログを無効にすると、動作モードに関係なく、ルールのアクティビティはログに記録されません。

動作モードの詳細については、動作モードを使用してルールをテストするを参照してください。

次の手順で行われる構成は、すべてのポリシーに影響します。1つのポリシーに対してルールを構成する方法については、ルールとアプリケーションタイプの構成の上書きを参照してください。

[コンピュータ]または[ポリシー]エディターから、IPSルールを編集して、変更がポリシーまたはコンピュータのコンテキストでのみ適用されるようにすることができます。また、変更が他のポリシーやそのルールが割り当てられているコンピュータに影響を与えるように、ルールをグローバルに編集することもできます。同様に、単一のポリシーまたはコンピュータ、またはグローバルにアプリケーションタイプを設定することができます。

ルールを選択して[プロパティ]をクリックすると、編集中のポリシーに対してのみルールを編集しています。

1つのポートを8つ以上のアプリケーションタイプに割り当てることはできません。使用した場合、ルールはそのポートでは機能しません。

エクスポート/インポート機能は、異なるマネージャー間でカスタムルールを転送することを目的としています。IPSルールをXMLまたはCSVファイルにエクスポートし、[割り当て/割り当て解除]ボタンを使用してXMLファイルからルールをインポートします。特定のルールやルールセットを選択してエクスポートすることはできず、表示されているすべてのルールをエクスポートすることしかできません。