不正プログラム検索の設定

不正プログラム検索設定を作成または編集する

• 不正プログラム検索設定を作成したら、ポリシーまたはコンピュータの検索に関連付けることができます (「実行する検索の種類を選択します)
• ポリシーまたはコンピュータが使用している不正プログラム検索設定を編集すると、この変更は設定に関連付けられている検索に影響します。

ヒント 既存の設定に類似する不正プログラム検索設定を作成するには、既存の設定を複製して編集します。

• [リアルタイム検索の設定:] リアルタイム検索を制御します。 [アクセス拒否] などの一部の処理は、リアルタイム検索設定でのみ使用できます。
• [手動/予約検索の設定:] 手動検索または予約検索を制御します。 [CPU使用率] などの一部のオプションは、手動検索/予約検索の設定でのみ使用できます。

1. に移動[Policies] → [共通オブジェクト] → [その他] → [不正プログラム検索設定] 。
2. 検索設定を作成するには、 [新規] をクリックし、 [新しいリアルタイム検索設定] または [新しい手動検索/予約検索の設定]をクリックします。
   1. 検索設定を識別するための名前を入力します。ポリシーで不正プログラム検索を設定するときに、この名前がリストに表示されます。
   2. (オプション) この設定の使用例の説明を入力します。
3. 既存の検索設定を表示および編集するには、検索設定を選択して [プロパティ]をクリックします。
4. 検索設定を複製するには、検索設定を選択して [複製]をクリックします。

ヒント 不正プログラム検索設定を使用するポリシーとコンピュータを確認するには、プロパティの [割り当て対象] タブをご覧ください。

不正プログラム検索をテストする

1. リアルタイム検索が有効で、設定が選択されていることを確認します。
2. に移動します。 EICARサイト不正プログラム対策テストファイルをダウンロードします。この標準化されたファイルは、リアルタイム検索のウイルス対策機能をテストします。ファイルを隔離する必要があります。
3. Server & Workload Protection コンソールで、次の場所に移動します。[イベントとレポート] → [不正プログラム対策イベント] EICARファイル検出の記録を確認します。検出が記録されている場合、不正プログラム対策リアルタイム検索は正常に動作しています。

注意 手動/予約検索のテストを開始する前に、リアルタイム検索が無効になっていることを確認します。

1. [管理]に移動します。
2. クリック[予約タスク] → [新規] 。
3. ドロップダウンメニューから [コンピュータの不正プログラムを検索] を選択し、頻度を選択します。必要な仕様で検索設定を完了します。
4. に移動します。 EICARサイト不正プログラム対策テストファイルをダウンロードします。この標準化されたファイルは、手動検索/予約検索のウイルス対策機能をテストします。
5. 予約検索を選択し、 [今すぐタスクを実行]をクリックします。テストファイルは隔離する必要があります。
6. Server & Workload Protection コンソールで、次の場所に移動します。[イベントとレポート] → [不正プログラム対策イベント] EICARファイル検出の記録を確認します。検出が記録されている場合、不正プログラム対策の手動検索/予約検索は正常に動作しています。

不正プログラムスキャンの機能と特徴を設定する

• 不正プログラム対策の監視レベルを設定
• AMSI保護を有効にする (リアルタイム検索のみ)
• スパイウェアおよびグレーウェアの検索
• 圧縮された実行可能ファイルを検索 (リアルタイム検索のみ)
• プロセスメモリの検索 (リアルタイム検索のみ)
• 圧縮ファイルの検索
• 埋め込まれたMicrosoft Officeオブジェクトの検索

• Detect emerging threats using Predictive Machine Learning
• Enhanced Anti-Malware and ransomware scanning with behavior monitoring

不正プログラム対策の監視レベルを設定

重要 監視レベルはエージェントバージョン20.0.1.25770以降のみサポートされています。サポートされていないバージョンはデフォルトレベルの[2 - 中程度]を使用し、変更することはできません。 Linuxエージェントのサポートは64ビット (x86-64) および32ビット (x86) システムに限定されています。他のLinuxアーキテクチャに展開されたエージェントは、デフォルトの[2 - 中程度]レベルを使用し、変更することはできません。

1. 不正プログラム検索設定のプロパティを開きます。
2. [一般]タブで、[Anti-Malware Monitoring Level]の下にある[Detection level]と[Prevention level]の設定を構成します。

   重要 [Prevention level]は[Detection level]と同じかそれ以下でなければなりません。

3. [OK] をクリックします。

ヒント 不正プログラム対策スキャンと挙動監視で特定の検出ルールを除外したい場合は、[Anti-Malware ] → [ Advanced]タブのコンピュータまたはポリシーエディタでルールIDをルール例外リストに追加できます。ルールIDは、イベントとReportsでイベントを表示することで確認できます。詳細については、不正プログラム対策の除外の作成を参照してください。

Windows AMSIによる保護を有効にする (リアルタイム検索のみ)

1. 不正プログラム検索設定のプロパティを開きます。
2. [一般]タブで、[Enable AMSI protection]を選択します。
3. [Detection level]と[Prevention level]の設定を構成します。

   重要 検出および防止レベルの調整は、バージョン20.0.1.25770以降のエージェントバージョンのみサポートされています。サポートされていないバージョンは[2 - 中程度]のデフォルトレベルを使用し、変更することはできません。 高いレベルは感度が高くなりますが、多くの不要なログが生成され、エンドポイントのパフォーマンスに影響を与える可能性があります。トレンドマイクロは、エンドポイントへの影響を最小限に抑えつつ、より関連性の高いデータを得るために[2 - 中程度]を選択することを推奨します。 [Prevention level]は[Detection level]と同じかそれ以下でなければなりません。 [Action to take]の選択は、選択された防止レベルに対して実行される防止アクションに影響を与える可能性があります。

4. [Action to take]について、Server & Workload Protectionが不正プログラムを検出したときに実行する修復アクションを選択してください
   • [Terminate (recommended)]: 検出されたプロセスの実行を停止します。
   • [放置]: Server & Workload Protectionはプロセスに対してアクションを実行せずに不正プログラム対策イベントを記録します。
5. [OK]をクリックします。

スパイウェア/グレーウェアを検索する

1. 不正プログラム検索設定のプロパティを開きます。
2. General tabで Enable spyware/grayware protectionを選択します。
3. [OK]をクリックします。

圧縮済み実行可能ファイルを検索する (リアルタイム検索のみ)

注意 IntelliTrapはこのようなファイルをセキュリティリスクとして識別し、安全なファイルを誤ってブロックする可能性があるため、IntelliTrapを有効にするときは、ファイルの隔離 (削除や駆除ではなく) を検討してください。 (「不正プログラムの処理方法の設定.) ユーザがリアルタイムで圧縮された実行可能ファイルを定期的に交換する場合は、IntelliTrapを無効にします。 IntelliTrapは、ウイルス検索エンジン、 IntelliTrapパターンファイル、およびIntelliTrap除外パターンファイルファイルを使用します。

注意 macOSエージェントの場合、IntelliTrapはサポートされません。

1. 不正プログラム検索設定のプロパティを開きます。
2. [一般] タブで、 Enable IntelliTrapを選択します。
3. [OK]をクリックします。

プロセスメモリを検索する (リアルタイム検索のみ)

重要 スキャンプロセスメモリはLinuxおよびmacOSエージェントをサポートしていません。

1. 不正プログラム検索設定のプロパティを開きます。
2. [一般]タブで、[Scan process memory for malware]を選択します。
3. [Detection level]と[Prevention level]の設定を構成します。

   重要 検出および防止レベルの調整は、バージョン20.0.1.25770以降のエージェントバージョンのみサポートされています。サポートされていないバージョンは[2 - 中程度]のデフォルトレベルを使用し、変更することはできません。 高いレベルは感度が高くなりますが、多くの不要なログが生成され、エンドポイントのパフォーマンスに影響を与える可能性があります。トレンドマイクロは、エンドポイントへの影響を最小限に抑えつつ、より関連性の高いデータを得るために[2 - 中程度]を選択することを推奨します。 [Prevention level]は[Detection level]と同じかそれ以下でなければなりません。 [Action to take]の選択は、選択された防止レベルに対して実行される防止アクションに影響を与える可能性があります。

4. [OK] をクリックします。

圧縮ファイルを検索する

1. 不正プログラム検索設定のプロパティを開きます。
2. Advanced タブで、 Scan compressed filesを選択します。
3. 解凍するコンテンツファイルの最大サイズ (MB)、検索する圧縮レベル、解凍する最大ファイル数を指定します。
4. [OK]をクリックします。

埋め込みのMicrosoft Officeオブジェクトを検索する

注意 macOSエージェントの場合、埋め込まれたMicrosoft Officeオブジェクトの検索はサポートされていません。

1. 不正プログラム検索設定のプロパティを開きます。
2. Advanced tabで Scan Embedded Microsoft Office Objectsを選択します。
3. 検索するOLE層の数を指定します。
4. [OK]をクリックします。

通知アプリケーションの手動検索を有効にする

• コンピュータエディタまたはポリシーエディタで、 Anti-Malware タブをクリックします。
• General 水平タブをクリックします。
• Manual Scan セクションで、 Allow agent to trigger or cancel a manual scan from Trend Micro's notifier applicationのチェックボックスをクリックしてオンにします。

検索対象ファイルを指定する

• インクルージョン
• 除外
• ネットワークディレクトリの検索 (リアルタイム検索のみ)

検索対象

• すべてのファイル
• IntelliScanによって識別されるファイルの種類。 IntelliScanは、.zipや.exeなど、感染に対して脆弱なファイルタイプのみを検索します。 IntelliScanは、ファイル拡張子に基づいてファイルの種類を判断するのではなく、ファイルのヘッダと内容を読み取って、検索する必要があるかどうかを判断します。すべてのファイルを検索する場合と比較して、Intelliscanでは検索するファイルの数が減り、パフォーマンスが向上します。
• 指定されたリストに含まれるファイル名拡張子を持つファイル: ファイル拡張子リストでは、特定の構文のパターンが使用されます。 (「ファイル拡張子リストの構文.)

1. 不正プログラム検索設定のプロパティを開きます。
2. Inclusions タブをクリックします。
3. 検索するディレクトリを指定するには、 All directories または Directory Listを選択します。
4. Directory Listを選択した場合は、ドロップダウンメニューから既存のリストを選択するか、 New を選択してリストを作成します。
5. 検索するファイルを指定するには、 All files、 File types scanned by IntelliScan、または File Extension Listのいずれかを選択します。
6. [ファイル拡張子リスト]を選択した場合は、ドロップダウンメニューから既存のリストを選択するか、 New を選択してリストを作成します。
7. [OK]をクリックします。

検索除外

• Microsoft Exchangeサーバの不正プログラム検索設定を作成する場合は、不正プログラムであることがすでに確認されているファイルの再検索を回避するために、SMEX隔離フォルダを除外します。
• 大容量のVMwareイメージがある場合、パフォーマンスの問題が発生した場合は、これらのイメージを含むディレクトリを除外します。

ヒント 信頼できるデジタル証明書で署名されているファイルを不正プログラム検索から除外することもできます。この種類の除外は、ポリシー設定またはコンピュータ設定で定義されます。 (「信頼できる証明書で署名されたファイルを除外する.)

1. 不正プログラム検索設定のプロパティを開きます。
2. Exclusions タブをクリックします。
3. 検索から除外するディレクトリを指定します。
   1. Directory Listを選択します。
   2. ディレクトリリストを選択するか、 [新規] を選択して作成してください。 (「ディレクトリリストの構文.)
   3. ディレクトリリストを作成した場合は、ディレクトリリストで選択します。
4. 同様に、除外するファイルリスト、ファイル拡張子リスト、およびプロセスイメージファイルリストを指定します。 (「ファイルリストの構文,ファイル拡張子リストの構文、およびプロセスイメージファイルリストの構文 (リアルタイム検索のみ): .)
5. [OK]をクリックします。

ファイル除外のテスト

注意 開始する前に、リアルタイム検索が有効で、設定が選択されていることを確認します。

1. に移動[Policies] → [共通オブジェクト] → [その他] → [不正プログラム検索設定] 。
2. クリックNew → New Real-time Scan Configuration 。
3. Exclusions タブに移動し、ディレクトリリストから New を選択します。
4. ディレクトリリストに名前を付けます。
5. [ディレクトリ] で、検索から除外するディレクトリのパスを指定します。たとえば、\c:\Test Folder\。 [OK] をクリックします。
6. General tabに移動し、手動検索に名前を付けて、 OKをクリックします。
7. に移動します。 EICARサイト不正プログラム対策テストファイルをダウンロードします。前の手順で指定したフォルダにファイルを保存します。ファイルが保存され、不正プログラム対策モジュールによって検出されないようにする必要があります。

ディレクトリリストの構文

注意 ディレクトリリストの項目では、WindowsとLinuxの両方の規則をサポートするために、スラッシュ「/」またはバックスラッシュ「」を使用できます。

c:\abc #Exclude the abc directory

ファイルリストの構文

        Matches:
         ac.ap  a123c.ap  ac.a456p  a123c.a456p Does not match: ad.aa</td>
</tr>
<tr>
    <td>Environment variable</td>
    <td>${ENV VAR}</td>
    <td>Excludes files specified by an environment variable with the format ${ENV VAR}. These can be defined or overridden using <term>Policy or Computer Editor &gt; Settings &gt; General &gt; Environment Variable Overrides.</term></td>
    <td>
        <term>
            ${myDBFile}
        </term>
         Excludes the file "myDBFile".</td>
</tr>
<tr>
    <td>Comments</td>
    <td>FILEPATH #Comment</td>
    <td>Adds a comment to your exclusion definitions.</td>
    <td>
        <codeblock>C:\Documents\abc.doc #This is a comment
    </codeblock>
    </td>
</tr>

ファイル拡張子リストの構文

doc #This a comment

プロセスイメージファイルリストの構文 (リアルタイム検索のみ)

ネットワークディレクトリを検索する (リアルタイム検索のみ)

注意 GNOMEデスクトップで使用可能な仮想ファイルシステムであるGVFSを介して「~/.gvfs」でアクセスされるリソースは、ネットワークドライブではなくローカルリソースとして扱われます。

注意 Windowsでネットワークフォルダの検索中にウイルスが検出された場合、 エージェントに「駆除失敗」 (削除失敗) イベントが表示されることがあります。

リアルタイム検索を実行するタイミングを指定する

1. 不正プログラム検索設定のプロパティを開きます。
2. Advanced タブで、 Real-Time Scan プロパティのオプションのいずれかを選択します。
3. [OK]をクリックします。

不正プログラムの処理方法を設定する

• 不正プログラムの修復処理のカスタマイズ
• 不正プログラム検出のアラートを生成する

不正プログラム修復処理をカスタマイズする

• Pass: 感染ファイルには何もせずに、そのファイルへのフルアクセスを許可します。 (不正プログラム対策イベントは引き続き記録されます)。

  注意 ウイルスの可能性がある場合は、修復 Pass を使用しないでください。

• Clean: 感染ファイルへのフルアクセスを許可する前に、感染ファイルを駆除します。駆除できないファイルは隔離されます。
• Delete: Linuxでは、感染ファイルはバックアップなしで削除されます。
  Windowsでは、感染ファイルはバックアップされてから削除されます。 Windowsバックアップファイルは、表示および復元でEvents & Reports → Events → Anti-Malware Events → Identified Files 。
• Deny Access:この検索処理は、リアルタイム検索中にのみ実行できます。 Server & Workload Protection は、感染ファイルのオープンまたは実行の試みを検出すると、その操作を即座にブロックします。感染ファイルは変更されません。アクセス拒否処理が実行されると、感染ファイルは元の場所に残ります。

  注意 During Writeが Real-Time Scan に設定されている場合は、是正処理 [アクセス拒否] を使用しないでください。 During Write が選択されている場合、ファイルは書き込み時に検索され、 Deny Access 処理は無効になります。

• Quarantine:感染ファイルをコンピュータまたはVirtual Applianceの隔離ディレクトリに移動します。隔離されたファイルは、表示および復元でEvents & Reports → Events → Anti-Malware Events → Identified Files 。

  注意 Linuxで Quarantined としてマークされた不正プログラムが、Windows上で Deleted としてマークされている場合があります。いずれの場合も、ファイルは表示および復元でEvents & Reports → Events → Anti-Malware Events → Identified Files 。

  注意 Windowsでは、感染した非圧縮ファイル (.txtファイルなど) は隔離され、感染した圧縮ファイル (.zipファイルなど) は削除されます。 Windowsでは、隔離されたファイルまたは削除されたファイルの両方にバックアップが作成されます。表示および復元で[イベントとレポート] → [イベント] → [不正プログラム対策イベント] → [検出ファイル] 。 Linuxでは、すべての感染ファイル (圧縮ファイルまたは非圧縮ファイル) が隔離されます。表示および復元でEvents & Reports → Events → [不正プログラム対策イベント] → [検出ファイル] 。

注意 macOSエージェントの場合、サポートされるカスタム処理は、ウイルス、トロイの木馬、およびスパイウェアです。

1. 不正プログラム検索設定のプロパティを開きます。
2. Advanced タブで、 Remediation Actions に Customを選択します。
3. 実行する処理を指定します。
   • ActiveActionで実行する処理を決定するには、 Use action recommended by ActiveActionを選択します。
   • 脆弱性の種類ごとに処理を指定するには、 Use custom actionsを選択し、使用する処理を選択します。
4. 潜在的な不正プログラムに対して実行する処理を指定します。
5. [OK]をクリックします。

ActiveAction処理

注意 AgentでアップデートサーバまたはRelayからウイルスパターンファイルのアップデートをダウンロードすると、それに応じてトレンドマイクロの推奨処理が変わることがあります。

不正プログラム検出のアラートを生成する

1. 不正プログラム検索設定のプロパティを開きます。
2. General タブで、 Alert に Alert when this Malware Scan Configuration logs an eventを選択します。
3. [OK]をクリックします。

ファイルのハッシュダイジェストにより不正プログラムファイルを特定する

1. 設定するポリシーエディタまたはコンピュータエディタを開きます。
2. クリックAnti-Malware → Advanced 。
3. File Hash Calculationで、 Default または Inherited チェックボックスをオフにします。 (ルートポリシーの場合はDefault 、子ポリシーの場合は Inherited と表示されます)。

   注意 Inherited を選択すると、ファイルハッシュ設定は現在のポリシーの親ポリシーから継承されます。

   注意 Default が選択されている場合、 Server & Workload Protection はハッシュ値を計算しません。

4. Calculate hash values of all anti-malware eventsを選択します。
5. 初期設定では、 Server & Workload Protection はSHA-1ハッシュ値を生成します。追加のハッシュ値を生成する場合は、 MD5 と SHA256の一方または両方を選択できます。
6. ハッシュ値を計算する不正プログラムファイルの最大サイズを変更することもできます。初期設定では、128MBを超えるファイルはスキップされますが、64～512MBの任意の値に変更できます。

コンピュータで通知を設定する

1. コンピュータエディタまたはポリシーエディタを開きます。
2. 左側の Settings をクリックします。
3. Suppress all pop-up notifications on host を Yesに設定します。これらのメッセージは、引き続きアラートまたはイベントとして Server & Workload Protectionに表示されます。通知機能の詳細については、を参照してください。通知機能。

Server & Workload Protection にアクセスできないときに予約検索を実行する

注意 この機能は、Windowsのバージョン20.0.3445以降のエージェントでサポートされます。

1. コンピュータエディタまたはポリシーエディタを開きます。
2. 左側の Anti-Malwareをクリックします。
3. General タブの [予約検索] で、 Enable agent to trigger scheduled scan for malwareを選択します。

注意 チェックボックスがオンの場合: Scheduled Tasks ページの Run Task Now ボタンは、このエージェントでは無効になります。 エージェントがオフラインの場合、Server & Workload Protection Managerは予約検索タスクを事前にキューに入れません。

トラブルシューティング

1. コンピュータがシャットダウンされている場合、コンピュータの再起動時に予約検索がタイムアウトすると、次回の予約検索が開始されないことがあります。
2. 予約検索の実行中にコンピュータがシャットダウンされた場合、コンピュータを再起動しても、中断された予約検索は続行されません。