変更監視の設定

変更監視保護モジュールは、ファイルやWindowsレジストリのような重要なシステム領域の変更を検出し、不審な活動を示す可能性がある変更を検出します。このモジュールは、現在の状態を以前に記録されたベースラインと比較することでこれを行います。Server & Workload Protectionには事前定義された変更監視ルールがあり、セキュリティ更新で新しい変更監視ルールを提供します。

変更監視はシステムに加えられた変更を検出しますが、変更を防止したり元に戻したりすることはありません。

ポリシーまたはコンピュータレベルで変更監視を有効にできます。変更監視を有効にするには、いくつかの手順が含まれます。

変更監視はコンピュータの設定またはポリシーで有効にできます。

コンピュータで推奨スキャンを実行して、適切なルールの推奨を取得します。推奨される変更監視ルールは、監視対象のエンティティや属性が多すぎる結果になることがあります。ベストプラクティスは、重要で監視すべきものを決定し、カスタムルールを作成するか、事前定義されたルールを調整することです。プロセスIDや送信元ポート番号など、頻繁に変更されるプロパティを監視するルールには特に注意を払ってください。これらのルールはノイズが多く、調整が必要になる場合があります。

リアルタイム変更監視スキャンを有効にして、いくつかの推奨ルールが多くのイベントを生成することがわかった場合、それらのルールのリアルタイムスキャンを無効にすることができます。

推奨スキャンを実行すると、Server & Workload Protectionが推奨ルールを自動的に実装するか、手動でルールを割り当てることができます。ルールをローカルで編集して、その変更をそのコンピュータまたはポリシーにのみ適用するか、グローバルで編集して、その変更をそのルールを使用するすべてのポリシーまたはコンピュータに適用することができます。また、新しいユーザが追加されたり、新しいソフトウェアがインストールされたりするなど、組織に関係する特定の変更を監視するためのカスタムルールを作成することもできます。カスタムルールの作成方法については、変更監視ルール言語を参照してください。

一部の変更監視ルールにはローカル構成が必要です。これらのルールのいずれかをコンピュータに割り当てるか、これらのルールのいずれかが自動的に割り当てられると、ルールを構成するように通知するアラートが表示されます。

ベースラインは、整合性スキャンの結果と比較される元の安全な状態です。ベストプラクティスは、パッチを適用した後に新しいベースラインスキャンを実行することです。

コンピュータで整合性スキャンの新しいベースラインを作成するには:

次のいずれかの方法で変更監視スキャンを実行します:

変更監視の設定を続行する前に、ルールとベースラインが正しく機能していることを確認してください:

変更監視スキャンのパフォーマンスを向上させるために、以下の設定を変更できます。

変更監視は、ベースラインの作成および後の状態をベースラインと比較する際に、ローカルの中央処理装置 (CPU) リソースを使用します。変更監視が望む以上にリソースを消費している場合は、CPU使用率を以下のレベルに制限することができます。

[Integrity Monitoring CPU Usage Level]を変更するには:

変更監視がベースライン情報を保存するために使用するハッシュアルゴリズムを選択できます。パフォーマンスに悪影響を与えないように、複数のアルゴリズムを使用することは避けてください。

イベントタグ付けは、イベントを分類し、どれが正当なものであり、どれがさらに調査が必要かを判断するのに役立ちます。

イベントを右クリックして[タグの追加]を選択することで、イベントにタグを手動で適用します。選択したイベントのみにタグを適用するか、類似の変更監視イベントに適用することができます。また、自動タグ付けを使用して複数のイベントをグループ化し、ラベルを付けることもできます。

これらのソースを使用してタグ付けを行うことができます:

イベントのタグ付けの詳細については、「タグを適用してイベントを識別およびグループ化する。