挙動監視ルール

挙動監視を設定する前に、機能を有効にする必要があります。機能を有効にしたら、次の設定を行います。

監視レベルは、潜在的な脅威の検出時と応答時に適用される、警戒と厳しさの度合いです。センサの感度レベルを上げるほど、検出数やアラート数が増加します。進行中の脅威を調査する際など、感度レベルを上げることで、厳しく監視可能ですが、重要ではないログが大量に生成されてエンドポイントのパフォーマンスに影響する可能性があります。トレンドマイクロでは、監視レベルを [2 - 中程度] に設定し、エンドポイントへの影響を最小限に抑えながら関連性が高いデータを取得することをお勧めします。監視レベルを高く設定した場合、コンポーネントによっては、使用できないプラットフォームがあります。

不正プログラム挙動ブロックにより、不正プログラムの挙動を示すプログラムからの追加の脅威に対する保護に必要な層を提供します。不正プログラム挙動ブロックは長時間にわたり、システムイベントを観察します。プログラムが通常とは異なるシーケンスまたは組み合わせの処理を実行すると、不正プログラム挙動ブロックが既知の不正プログラムの挙動を検出して、関連プログラムをブロックします。この機能を使用すると、新たに出現した脅威に対する保護のレベルを向上できます。

不正プログラム挙動監視は次の脅威レベルの検索オプションを提供します。

通知が有効になっているプログラムをブロックした後、Trend Vision One Endpoint Securityエージェントはエンドポイントに通知を表示します。

ランサムウェア対策は、ランサムウェアによるエージェント上のファイルの不正な変更や暗号化を防止します。ランサムウェアは不正プログラムの一種で、ファイルへのアクセスを制限し、ファイルの復元と引き換えに金銭を要求してきます。

Apex Oneには、ランサムウェアの脅威から環境を保護する対策として次のオプションが用意されています。

脆弱性対策は、プログラム検査と連携して機能し、プログラムの挙動を監視して、プログラムの脆弱性を悪用した攻撃の疑いがある異常な動作を検出します。不審な動作が検出されると、挙動監視によってプログラムのプロセスが終了されます。

挙動監視はWebレピュテーションサービスおよびリアルタイム検索と連携して機能し、Webチャネル、メールアプリケーション、またはMicrosoft Officeマクロスクリプト経由でダウンロードされたファイルの普及度を確認します。「新たに検出された」ファイルが検出された後に、管理者は、ユーザがファイルを実行する前にユーザに確認を求めるように設定することができます。トレンドマイクロでは、ファイルの検出数、またはSmart Protection Networkにより特定されたファイルの存続期間に基づいて、新たに検出されたプログラムを分類します。

挙動監視は各チャネルで次のファイルタイプを検索します。

イベント監視は、不正なソフトウェアおよび不正なプログラムによる攻撃に対して保護するためのより一般的なアプローチを提供します。イベント監視では、システムエリアで特定のイベントを監視して、管理者がこのようなイベントを実行するプログラムを制御できるようにします。不正プログラム挙動ブロックで提供される保護を超える特別なシステム要件がある場合は、イベント監視を使用してください。

次の表は監視対象のシステムイベントの一覧を示しています。

イベント監視で監視対象のシステムイベントを検出すると、そのイベントに設定された処理を実行します。

次の表は、管理者が監視対象のシステムイベントで実行できる処理の一覧を示します。