ネットワーク脆弱性検索ツールがWindows (SMB/WMI) 認証情報を使用して認証済み脆弱性検索を実行する前に、ターゲットデバイスが満たすべきポート、アカウント権限、およびサービス要件を確認してください。
TrendAI Vision One™は、SMBおよびWMIを使用して、ターゲットデバイス上のインストールされたソフトウェア、Windows Update履歴、およびシステム構成をリモートで照会できます。スキャン中にターゲットデバイスにファイルは配置されません。
TrendAI Vision One™がWindows (SMB/WMI) 認証情報を使用してターゲットデバイスに対して認証済みの脆弱性検索を実行する前に、ターゲットデバイスは次の要件を満たしている必要があります。
必要なポート
ターゲットデバイスは、Network脆弱性検索ツールサービスを実行しているService Gatewayからの次のポートでのインバウンドアクセスを許可する必要があります。必要なポートは、Windows
Management Instrumentation (WMI) および Distributed Component Object Model (DCOM) 通信をサポートします。
|
ポート
|
プロトコル
|
目的
|
|
445
|
SMB
|
ファイルとプリンターの共有; 管理共有に接続するために使用
|
|
135
|
WMI/DCOM
|
RPC (リモートプロシージャコール) エンドポイントマッパー
|
|
49152–65535
|
WMI/DCOM
|
DCOM通信に使用される動的ポート範囲
|
アカウント権限
検索アカウントは、ターゲットデバイスで管理者権限を持っている必要があります。必要な設定はアカウントの種類によって異なります。
-
組み込み管理者アカウント (RID-500): SMB/WMIリモートアクセスに直接使用できます。追加の設定は必要ありません。
-
ローカルアカウント (組み込みの管理者以外): アカウントをターゲットデバイスの管理者グループに追加し、アカウントのリモートアクセスを許可するために次のレジストリ値を設定します:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System LocalAccountTokenFilterPolicy = 1 (DWORD)
設定はグループポリシーを使用して適用するか、管理者権限で次のコマンドを実行してください。reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1 /f
-
ドメインアカウント: 対象デバイスのローカル管理者グループにドメインアカウントまたは対応するドメイングループを追加します。
LocalAccountTokenFilterPolicyの設定は不要です。ドメイングループポリシーがローカルセキュリティ設定を上書きしていないことを確認してください。
WMIサービス
ターゲットデバイスでWindows Management Instrumentationサービス (
Winmgmt) が実行されている必要があります。サービスの状態を確認するには、次のコマンドを実行してください。sc query Winmgmt
サービスが実行されていない場合は、管理者権限で有効にしてください。
sc config Winmgmt start= auto sc start Winmgmt
 |
重要検索アカウントが短時間で複数のターゲットデバイスにWMI接続を確立し、管理共有にアクセスすると、その動作がエンドポイントセキュリティ製品の内部活動またはネットワーク偵察検出ルールを引き起こす可能性があります。
ルールを発動させないために、ネットワーク脆弱性検索ツールサービスを実行しているService Gatewayの送信元IPアドレスをエンドポイントセキュリティとSIEMの許可リストまたは除外ルールに追加してください。スキャン中にターゲットデバイスでWindowsセキュリティイベントの量が増加することが予想されます。
インストールされているアプリケーションやWindowsUpdate履歴が検索結果に完全には表示されない場合があります。不完全なインベントリデータは、脆弱性検出の精度に影響を与えません。
|