アプリケーションコントロールの信頼エンティティ

警告 ソース別無視ルールで使用すると、プロセス名プロパティは、 エージェントバージョン [後にリリース] 20.0.0.3288 (20 LTS Update 2021-10-28)でのみサポートされます。

• [ソースから許可] ルールは、特定のプロパティを持つプロセスを自動承認して、ソフトウェア変更を作成します。
• [対象別に許可] ルールは、特定のプロパティに一致するソフトウェアの変更を自動的に承認します。
• [ソースから無視] ルールは、特定のユーザによるソフトウェア変更を無視します。プロセス名または特定の範囲内でパスまたはその両方。

注意 ソースからの許可ルールによってソフトウェアの変更が自動承認されるたびに、変更が発生したエージェントのローカルインベントリにエントリが追加されます。これは、ソースからの無視ルールでは発生しません。

警告 パスプロパティにはファイル名を含めないでください。そうしないと、それが属するトラストルールが意図したとおりに機能しない可能性があります。

注意 Deep Security Agent 20.0.0-5137では、globstar (**) パスへのワイルドカード機能。グロブスターの使用**パスに含まれる文字は、現在のディレクトリとそのサブディレクトリ内にある任意の数の追加の文字 (単一のアスタリスクまたはアスタリスク) に一致します。*現在のディレクトリ内の任意の数の追加の文字に一致し、?単一の文字に一致します。は*文字は、ディレクトリパスの区切り文字 (/そして\)。は?文字はディレクトリパスの区切り文字と一致しません。ドライブ文字は、ターゲットパス内の他の文字と同じように扱われ、照合に特別な意味はありません。

• A path ending with a slash will match all sub-directories under that full path. For example, C:\Windows\System\ would match any sub-directories in the System directory.
• 最後のスラッシュの後に指定された値は正規表現のワイルドカードとして扱われ、特定のディレクトリおよび同じ値で始まる他のディレクトリと一致します。たとえば、C:\Windows\System 「C:\\Windows\\System*」に一致するすべてのディレクトリとサブディレクトリが含まれます。C:\Windows\System\ ,C:\Windows\System32\ ,C:\Windows\SystemApps\などがあります。

{
"time":1615999592250,
"eventType":"ApplicationControl",
"uid":1063,
"gid":1064,
"operationType":"create",
"user":"ribapp",
"group":"ribapp",
"md5":"57579EF7681147B84774F69F44783A67",
"sha256":"90B0418DCB3B29440EE6F69FEE05BD54265CEE3BCFABDA8ED355E257FECC2939",
"processName":"/opt/IBM/WebSphere/AppServer/java/jre/bin/java",
"type":4,
"rdev":0,
"lastModificationTime":1615999090000,
"mode":33188,"size":3984617,
"sha1":"B226BDB9DB39AD38C4BEB6FE4F1C1C7151207848",
"nlink":1,
"procUser":"ribapp",
"isAuthorized":1,
"pid":10223,
"fileExtension":"jar",
"operationDate":1615999591534,
"procUid":1063,
"procGroup":"ribapp",
"path":"/opt/IBM/WebSphere/AppServer/profiles/devmiesAppSrv/installedApps/devdmrhx01-cell02/IESHSRIDEVM.ear/",
"fileName":"DC.jar",
"recordTime":1615999592215,
"fileSystemType":"ext4",
"procGid":1063,
"dev":64775,
"source":4,
"ino":3801778
}

• processNameは、ターゲットファイルを作成または更新したプロセスの名前です。前述の例では、/opt/IBM/WebSphere/AppServer/java/jre/bin/javaに設定されています。
• pathは、プロセスが実行可能ファイルを更新または作成した場所です。前述の例では、/opt/IBM/WebSphere/AppServer/profiles/devmiesAppSrv/installedApps/devdmrhx01-cell02/IESHSRIDEVM.ear/に設定されています。

"trustrules": [{
"trustType":"1",
"processName":"/opt/IBM/WebSphere/AppServer/java/jre/bin/java",
"paths":"/opt/IBM/WebSphere/AppServer/profiles/devmiesAppSrv/installedApps/devdmrhx01-cell02/IESHSRIDEVM.ear/"
}]

"trustrules": [{
"trustType":"1",
"processName":"process1",
"paths":"path1;path2;path3"
}]

"trustrules": [{
"trustType":"1",
"processName":"process1",
"paths":"path1;path2;path3",
"hitcount":12342,
".jar":1234,
".py":323,
".":456
}]

{
"time":1492100772165,
"eventType":"ApplicationControl",
"sha1":"066A02D230F3B16439396B049DC912DB376B96CE",
"fileName":"svchost.exe",
"operationType":"detectOnly",
"blockReason":2,
"size":311544,
"sha256":"62EFB22F6853D73374761A0B8ED2CE40BF09AA401EC7D4AAAA0CE4D5C3380EEA",
"type":1,
"path":"C:\\Windows\\System32\\",
"pid":1832,
"operationDate":1492100772149,
"processName":"\\device\\harddiskvolume2\\windows\\system32\\cmd.exe",
"md5":"5F7B8544F7A20800069107FC93384F0E"
},
{
"time":1492100772165,
"eventType":"ApplicationControl",
"blockReason":2,
"sha256":"62EFB22F6853D73374761A0B8ED2CE40BF09AA401EC7D4AAAA0CE4D5C3380EEA",
"size":311544,
"processName":"\\device\\harddiskvolume2\\windows\\system32\\cmd.exe",
"sha1":"066A02D230F3B16439396B049DC912DB376B96CE",
"operationType":"detectOnly",
"pid":1832,
"md5":"5F7B8544F7A20800069107FC93384F0E",
"path":"C:\\Program Files\\Trend Micro\\Deep Security Agent\\",
"operationDate":149210077
}

"trustrules": [{
"trustType":"2",
"sha256":"62EFB22F6853D73374761A0B8ED2CE40BF09AA401EC7D4AAAA0CE4D5C3380EEA",
"paths":"C:\\Windows\\System32\\"
}]

"trustrules": [{
"trustType":"2",
"sha256":"AAAAAAAABBBBBBBBCCCCCCCCDDDDDDDDD",
"paths":"path1;path2;path3"
}]

"trustrules": [{
"trustType":"2",
"sha256":"AAAAAAAABBBBBBBBCCCCCCCCDDDDDDDDEEEEEEEE",
"paths":"path1;path2;path3",
"hitcount":12342,
"filename1":2342,
"filename2":10000
"/opt/process1":12000,
"/opt/process2":342
}]

"trustrules": [{
"trustType":"1",
"processName":"process1",
"paths":"path11;path12;path13",
"hitcount":12342,
".jar":12342
},
{
"trustType":"1",
"processName":"process2",
"paths":"path21;path22;path23",
"hitcount":23232,
".py":23232
},
{
"trustType":"1",
"processName":"process3",
"paths":"path31;path32;path33",
"hitcount":34332,
".exe":34322
},
{
"trustType":"1",
"processName":"process4",
"paths":"path41;path42;path43",
"hitcount":12312,
".":12312
}]

• Windowsの場合: C:\\ProgramData\\ トレンドマイクロ\\ Deep Security Agent\\diag\\ac_event_analysis.txt
• Linuxの場合: /var/opt/ds_agent/diag/ac_event_analysis.txt
• 診断で:エージェント/ac/ac_event_analysis.txt

"AC": {
"eventReportInQueue":"0",
"evtPreCreateProcessHandled":"17",
"acProcessHashCount":"0",
"acProcessBlockUnrecognized":"0",
"engFlushDbBufferError":"0",
"acFileProcessImgPath":"0",
"evtFilePostClose":"249",
"acFileErrorHash":"0",
"acFileAllowImportingRuleset":"0",
"evtFilePreCreateFromContainer":"0",
"evtFilePostChmodFromContainer":"0",
"engStopError":"0",
"evtFilePreCreateHandled":"0",
"ctrlInterpreterMatched":"0",
"importCount":"0",
"inventoryAdsVisited":"0",
"engGetInventory":"1",
"acFileAllow":"5",
"acFileAllowBuilding":"0",
"engSetConfigError":"0",
"ctrlMsiInstallationMatched":"0",
"ctrlDropProcessEvtReportQueueFull":"0",
"importFail":"0",
"eventReportDropped":"0",
"evtFilePostChmod":"3",
"acFileBlock":"0",
"acFileDrift":"3",
"engGetMetricsError":"0",
"ctrlDropFileEvtReportQueueFull":"0",
"inventoryFolderVisited":"0",
"engStartError":"0",
"evtFileCloudFileIgnore":"0",
"engSetConfig":"1",
"engFlushDbBuffer":"0",
"engPurgeDbError":"0",
"inventoryBytesInventoried":"433695822",
"evtPreCreateProcessWithCmdLine":"0",
"inventoryDriveVisited":"0",
"importSuccess":"0",
"engSetRuleset":"0",
"eventReportSent":"3",
"drift_analysis": [{
"trusttype":"1",
"processName":"/usr/bin/bash",
"paths":"/im1"
},
{
"trusttype":"1",
"processName":"/usr/bin/cp",
"hitcount":1,
"paths":"/im1"
}],
"event_analysis": [{
"trusttype":"2",
"sha256":"AAAAAAAABBBBBBBBCCCCCCCCDDDDDDDDEEEEEEEE",
"hitcount":2,
"paths":"/im1"
},
{
"trusttype":"2",
"sha256":"EEEEEEEEEDDDDDDDDDCCCCCCCCBBBBBBBBAAAAAAAA",
"hitcount":1,
"paths":"/im1"
}]
}

警告 Linuxで現在サポートされていない信頼ルールを追加すると、そのルールはソフトウェアの変更に適用されなくなります。

• 署名者名
• 製品名
• 発行者の共通名
• 発行者の組織単位
• 発行者の組織
• 発行者の所在地
• 発行者の都道府県
• 発行国
• ベンダー

• プロセス名
• パス
• SHA-256