侵入防御ルールの設定

侵入防御ルールを設定して操作するには、以下のセクションのタスクを実行します。

侵入防止モジュールの概要については、IPSを使用して脆弱性悪用の試行をブロックするを参照してください。

[ポリシー] 画面には、侵入防御ルールのリストが表示されます。侵入防御ルールを検索したり、ルールのプロパティを開いて編集したりできます。このリストでは、ルールがアプリケーションの種類別にグループ化され、一部のルールのプロパティが異なる列に表示されます。

リストを表示するには、 [Policies]をクリックし、 [共通オブジェクト/ルール] の下にある [IPSルール]をクリックします。

ルール可用性列は、ルールに利用可能なライセンスタイプに関する情報を提供します。[Endpoint & Workload]は、このルールがエンドポイントおよびワークロードライセンスの両方で割り当て可能であることを示します。[Workload]ルールの可用性は、ライセンスタイプがワークロードの場合にのみルールを割り当てることができることを意味します。

ライセンスの種類は、割り当てられたすべてのルールに [エンドポイントとワークロード] ルールの可用性がある場合は [エンドポイント] になり、割り当てられたルールの少なくとも1つにワークロードルールの可用性がある場合は [Workload] になります。

侵入防御ルールのプロパティには、ルールおよび防御対象の攻撃コードに関する情報が含まれます。

[新規] ( ) または [プロパティ] ( ) [IPSルールのプロパティ] ウィンドウが表示されます。

トレンドマイクロが提供するルールには、ルールが保護する脆弱性に関する情報を含めることができます。該当する場合、Common Vulnerability Scoring System (CVSS) が表示されます。 (このスコアリングシステムの詳細については、 National Vulnerability Database .)

エージェントのスキャン中にIPSルールを適用するには、それらを適切なポリシーおよびコンピューターに割り当てます。脆弱性が修正されてルールが不要になった場合は、ルールの割り当てを解除します。

コンピュータエディタからIPSルールの割り当てを解除できない場合、ルールがポリシーで現在割り当てられている可能性があります。ポリシーレベルで割り当てられたルールは、ポリシーエディタを使用して削除する必要があり、コンピュータレベルでは削除できません。

ポリシーを変更すると、そのポリシーを使用しているすべてのコンピュータに影響します。たとえば、ポリシーからルールの割り当てを解除すると、そのポリシーで保護されているすべてのコンピュータからルールが削除されます。引き続き他のコンピュータにルールを適用するには、そのコンピュータのグループに対して新しいポリシーを作成します。 (「ポリシー、継承、およびオーバーライド.)

Server & Workload Protectionは、ルールの更新が発生したときに、このポリシーにコアエンドポイントおよびワークロードルールを割り当てます。ただし、手動で割り当て解除されたコアエンドポイントおよびワークロードルールは割り当て解除されたままです。

[Endpoint license]がある場合はこの機能を有効にしますが、[Workload license]の場合はこの機能を無効にして、代わりに推奨スキャンを使用してください。

セキュリティアップデートには、新しいまたは更新されたアプリケーションタイプやIPSルールが含まれることがあり、二次IPSルールの割り当てが必要です。Server & Workload Protectionはこれらの必要なルールを自動的に割り当てることができます。ポリシーまたはコンピュータのプロパティでこれらの自動割り当てを有効にしてください。

ルールのログイベントを構成し、ログにパケットデータを含めるかどうかを指定します。

Server & Workload Protectionは、パケットデータに含まれている場合、IPSイベントでX-Forwarded-Forヘッダーを表示できます。この情報は、エージェントがロードバランサーやプロキシの背後にある場合に役立ちます。X-Forwarded-Forヘッダーデータはイベントのプロパティウィンドウに表示されます。ヘッダーデータを含めるには、ログにパケットデータを含め、ルール1006540、X-Forwarded-For HTTPヘッダーロギングを有効にするを割り当てます。

ルールがイベントをトリガーするたびにすべてのパケットデータを記録するのは非現実的であるため、Server & Workload Protectionは指定された時間内にイベントが初めて発生したときのみデータを記録します。デフォルトの時間は5分ですが、ポリシーの高度なネットワークエンジンの設定の[1つのパケットデータのみをログに記録する期間]を使用してこれを変更できます。

以下の手順の構成はすべてのポリシーに影響します。1つのポリシーに対してルールを構成するには、ルールとアプリケーションタイプの構成を上書きするを参照してください。

侵入防御ルールがイベントをトリガした場合にアラートを生成します。

以下の手順の構成はすべてのポリシーに影響します。1つのポリシーに対してルールを構成するには、ルールとアプリケーションタイプの構成を上書きするを参照してください。

トレンドマイクロが提供するいくつかのIPSルールには、ヘッダーの長さ、HTTPの許可される拡張子、またはクッキーの長さなどの設定オプションがあります。いくつかのオプションは設定が必要です。必要なオプションを設定せずにルールを割り当てると、必要なオプションについての警告が表示されます。これは、セキュリティアップデートからのルールにも適用されます。

IPSルールリストは、アイコン () の上に小さなギアを表示することで、設定オプションがあるルールを示します。

カスタムIPSルールには、ルールを編集するための[ルール]タブが含まれています。

以下の手順の構成はすべてのポリシーに影響します。1つのポリシーに対してルールを構成するには、ルールとアプリケーションタイプの構成を上書きするを参照してください。

侵入防止ルールが有効になる時間をスケジュールします。スケジュールされた時間にのみ有効な侵入防止ルールは、アイコンに小さな時計が表示されているIPSルールページに表示されます ()。

エージェントベースの保護では、スケジュールはエンドポイントOSと同じタイムゾーンを使用します。

次の手順で行う設定は、すべてのポリシーに影響します。1つのポリシーに対してルールを設定するには、ルールとアプリケーションタイプの設定を上書きするを参照してください。

推奨スキャンのルール推奨からIPSルールを除外します。

次の手順はすべてのポリシーに影響します。1つのポリシーに対してルールを構成するには、ルールとアプリケーションタイプの構成を上書きするを参照してください。

ルールが適用されるコンテキストを設定します。

次の手順はすべてのポリシーに影響します。1つのポリシーに対してルールを構成するには、ルールとアプリケーションタイプの構成を上書きするを参照してください。

新しいルールをテストする際には、IPSルールの動作モードを検出に設定してください。検出モードでは、ルールは検出のみ:という前置きのあるログエントリを作成し、トラフィックには干渉しません。一部のIPSルールは検出モードでのみ動作します。これらのルールの動作モードを変更することはできません。ルールのログ記録を無効にすると、動作モードに関係なくシステムはルールの活動をログに記録しません。動作モードの詳細については、ルールをテストするための動作モードの使用を参照してください。

次の手順はすべてのポリシーに影響します。1つのポリシーに対してルールを構成するには、ルールとアプリケーションタイプの構成を上書きするを参照してください。

コンピュータまたはポリシーエディタから、IPSルールを編集して、そのポリシーまたはコンピュータにのみ変更を適用することができます。また、ルールを編集して、他のポリシーやそのルールが割り当てられているコンピュータに影響を与えるようにグローバルに変更を適用することもできます。同様に、アプリケーションタイプをグローバルに適用するか、単一のポリシーまたはコンピュータに適用するように構成することができます。

IPSルールをXMLまたはCSVファイルにエクスポートできます。

XMLファイルからIPSルールをインポートできます。