アプリケーションコントロールイベントの監視

アプリケーションコントロールの概要については、を参照してください。アプリケーションコントロールによるソフトウェアのロックダウン。初期設定の手順については、を参照してください。アプリケーションコントロールの設定。

初期設定では、アプリケーションコントロールを有効にすると、ソフトウェアに変更があったときや、ソフトウェアの実行がブロックされたときなどのイベントがログに記録されます。アプリケーションコントロールイベントは、 [処理] および [イベントとレポート] ページに表示されます。設定されている場合は、 [アラート] ページにアラートが表示されます。

記録するアプリケーションコントロールイベントログの一部を設定できます。外部SIEMシステムまたはSyslogサーバに転送。

コンピュータ上でのソフトウェア変更を監視するには、次の手順に従います。

アプリケーションコントロールは、システムイベントとセキュリティイベントを生成します。

エージェントのハートビートに同じセキュリティイベントの複数のインスタンスが含まれる場合、 Server & Workload Protection はそれらのイベントをセキュリティイベントログに集約します。イベントを集約すると、ログ内の項目数が減り、重要なイベントを見つけやすくなります。

集約されたイベントが複数のファイルに適用される場合、これらのイベントの他の発生が他のハートビートで報告されている可能性があります。ファイル名が判明している他のイベントに応答した後は、集約イベントが発生しなくなる可能性があります。

ログでは、集計されたイベントには特別なアイコンが使用されます [繰り返しカウント] 列は、集計されたイベントの数を示します。

アラートを生成するアプリケーションコントロールイベントまたは重大度を設定するには、 [アラート] タブに移動し、 [アラートの設定] ボタンをクリックしてイベントを選択し、 [プロパティ]をダブルクリックします。詳細については、アラートの設定。

アプリケーションコントロールイベントに対するアラートを有効にすると、アプリケーションコントロールエンジンによって検出されたソフトウェアの変更と、アプリケーションコントロールエンジンによって実行がブロックされたソフトウェアが、 [アラート] タブに表示されます。 [アラートステータス] ウィジェットを有効にしている場合は、ダッシュボードにアプリケーションコントロールアラートも表示されます。

メンテナンスモードになっているコンピュータを監視するには、 [ウィジェットの追加/削除] をクリックして [アプリケーションコントロールのメンテナンスモード] ウィジェットを有効にします。このウィジェットには、コンピュータとその予約メンテナンスウィンドウのリストが表示されます。