Vulnerability ProtectionDeep Securityでは、イベントを特定したりソートしたりするときに使用するタグを作成できます。たとえば、タグを使用して、安全なイベントと調査の必要があるイベントを区別できます。また、ダッシュボードのカスタマイズやレポートの作成にも使用できます。
イベントのタグ付けはさまざまな目的に使用できますが、本来の目的はイベント管理の負担を軽減することです。あるイベントを分析して安全であると判断した場合は、コンピュータ (および構成やタスクが類似しているその他のコンピュータ) のイベントログを調べて、類似イベントを検索し、同じラベルを適用できます。こうすると、各イベントを個別に分析する必要がなくなります。
タグ付けの方法は次のとおりです。
イベントに手動でタグを付けるには
[イベント] リストで、イベントにタグが付けられたことを確認できます。
Vulnerability ProtectionDeep Security Managerでは、類似イベントに同じタグを自動的に適用するルールを定義できます。保存済みの既存の自動タグ付けルールを表示するには、任意の [イベント] 画面で、メニューバーの [自動タグ付け] を選択します。この画面から、保存済みのルールを手動で実行できます。
自動タグ付けルールを作成するには
[イベント] リストで、ベースにしたイベントおよび同様のすべてのイベントにタグが付けられていることを確認できます。
自動タグ付けルールを作成したら、[優先度] 値を割り当てることができます。将来のイベントに自動タグ付けルールを適用するように設定した場合、設定された自動タグ付けルールを受信イベントに適用する順番は、ルールの優先度によって決まります。たとえば、すべての「ユーザのログオン」イベントに「suspicious」をタグ付けする優先度が「1」のルールと、対象 (ユーザ) が自分自身であるすべての「ユーザのログオン」イベントから「suspicious」タグを削除する優先順位が「2」のルールを設定したとします。そうすると、優先度が「1」のルールが先に実行されて、すべての「ユーザのログオン」イベントに「suspicious」タグが適用されます。その後、優先度が「2」のルールが実行され、ユーザが自分自身であるすべての「ユーザのログオン」イベントから「suspicious」タグが削除されます。この結果、将来発生するすべての「ユーザのログオン」イベントのうち、ユーザが自分以外のものに「suspicious」タグが適用されます。
自動タグ付けルールに優先度を設定するには
変更監視モジュールを使用すると、コンピュータ上のシステムコンポーネントおよび関連属性に関する変更を監視できます。「変更」には編集だけでなく、作成と削除も含まれます。変更を監視できるコンポーネントには、ファイル、ディレクトリ、グループ、インストールされたソフトウェア、待機ポート、プロセス、レジストリキーなどがあります。
分析の必要があるイベントの数を削減するには、信頼済みのソースを使用したイベントのタグ付けを指定して、許可された変更に関連するイベントが自動識別されるように設定します。
変更監視モジュールでは、類似イベントの自動タグ付けだけでなく、[信頼済みのソース] で検出されたイベントやデータの類似性に基づいてイベントにタグ付けできます。信頼済みのソースには、次のいずれかを使用できます。
信頼済みのコンピュータは、安全なイベントまたは無害なイベントのみを生成することが判明している、「モデル」コンピュータとして使用されるコンピュータです。「対象」コンピュータは、不正な、または予想外の変更が発生しないか監視されているコンピュータです。自動タグ付けルールでは、対象コンピュータのイベントが調査され、これらのイベントと信頼済みのコンピュータのイベントが比較されます。一致するイベントがあった場合は、これらのイベントに自動タグ付けルールで定義されたタグが付けられます。
保護されているコンピュータのイベントと信頼済みのコンピュータのイベントを比較する、自動タグ付けルールを設定できます。たとえば、あるパッチの計画済みロールアウトを、信頼済みのコンピュータに適用するとします。パッチの適用に関連するイベントには「Patch X」のタグを付けることができます。その他のシステムで発生した類似イベントには自動でタグ付けをして許容される変更として識別し、フィルタで除外して評価が必要なイベント数を減らすことができます。
変更監視イベントには、状態の変化に関する情報が含まれています。つまり、イベントにはイベント前およびイベント後の情報が含まれています。イベントを比較すると、自動タグ付けエンジンによってイベント前後の状態が比較されます、2つのイベントでイベント前後の状態が同じ場合、これらのイベントは一致すると判定され、2番目のイベントにタグが適用されます。これは作成および削除イベントにも当てはまります。
信頼済みのローカルコンピュータに基づいてイベントにタグを付けるには
ソフトウェア安全性評価サービスは、トレンドマイクロが保持している、信頼できる既知のファイル署名の許可リストです。このタイプの信頼済みソースのタグ付けでは、対象コンピュータにファイル関連の変更監視イベントが発生していないかが監視されます。イベントが記録された場合は、変更後のファイルの署名が、信頼できる既知のトレンドマイクロのファイル署名リストと比較されます。一致が見つかると、イベントにタグが付けられます。
トレンドマイクロのソフトウェア安全性評価サービスに基づいてイベントにタグを付けるには
信頼済みの共通ベースライン方式では、コンピュータグループ内でイベントを比較します。コンピュータグループが特定されると、グループ内のコンピュータで有効になっている変更監視ルールの監視対象のファイルおよびシステムのステータスに基づいて、共通ベースラインが生成されます。グループ内のあるコンピュータで変更監視イベントが発生した場合、変更後の署名が共通ベースラインと比較されます。ファイルの新しい署名と一致するものが共通ベースライン内にある場合、イベントにタグが付加されます。信頼済みのコンピュータ方式では変更監視イベントの前と後のステータスが比較されますが、信頼済みの共通ベースラインでは、イベント後のステータスだけが比較されます。
信頼済みの共通ベースラインに基づいてイベントにタグを付けるには