Dell Threat Defenseポリシーの推奨事項

ポリシーは、［学習モード］または［保護モード］で設定することをお勧めします。［学習モード］は、Dell Threat Defenseを環境内でテストすることを推奨する方法です。これは、Dell Threat Defenseが、標準の企業イメージを使用してエンドポイントに展開されている場合に最も効果的です。

ディスクI/Oが通常よりも多いため、アプリケーション サーバーに対してさらに変更が必要になる場合があります。

管理者がDell Threat Defense管理コンソールですべてのアラートに対応したら、保護モード ポリシーの推奨事項に切り替えることを推奨します。デルでは、保護モード ポリシーに切り替える前に、学習モードで数週間以上のテストを行うことを推奨します。

詳細については、「アプリケーション サーバーの推奨事項」、「学習モード」、または「保護モード」をクリックしてください。

Threat Defenseポリシーの定義：

ファイル アクション

安全でない場合の実行制御による自動検疫

このポリシーは、実行時に検出されたファイルの動作を決定します。デフォルトでは、安全でないファイルが実行中であることが検出された場合でも、脅威はブロックされます。安全でないものは、評価された脅威インジケーターに基づくAdvanced Threat Preventionのスコア システム内で、60を超えるポータブル実行可能ファイルの累積スコアによって特徴付けられます。

異常の場合の実行制御による自動検疫

このポリシーは、実行時に検出されたファイルの動作を決定します。デフォルトでは、異常なファイルが実行中であることが検出された場合でも、脅威はブロックされます。異常は、0を超えるポータブル実行可能ファイルの累積スコアによって特徴付けられていますが、評価された脅威インジケーターに基づくAdvanced Threat Preventionのスコア システム内で60を超えないものとします。

検疫済みファイルの自動削除の有効化

デバイス レベルの検疫、グローバル検疫リスト、または自動検疫ポリシーに基づいて、安全でないファイルまたは異常なファイルを検疫すると、これらのファイルがローカル デバイス上のローカル サンドボックスの検疫キャッシュ内に保持されます。検疫済みファイルの自動削除を有効にすると、ファイルを完全に削除する前に、ファイルをローカル デバイスに保存する日数（最小14日、最大365日）が示されます。これが有効化されていると、日数を変更する機能が使用可能になります。

自動アップロード

より詳細な分析を行うために、Threat Defense SaaS（Software as a Service）環境によって認識されていない脅威をマークします。ローカル モデルによってファイルに潜在的な脅威としてマークが付けられている場合、SHA256ハッシュはポータブル実行可能ファイルから取得され、SaaSに送信されます。送信されたSHA256ハッシュが脅威と一致せず、自動アップロードが有効化されている場合、評価のためにSaaSへの脅威の安全なアップロードが可能になります。このデータは安全に保存され、デルまたはパートナーがアクセスすることはできません。

ポリシー セーフ リスト

ポリシー セーフ リストは、環境内で安全であると判断されたファイルのリストであり、そのSHA256ハッシュや追加情報をこのリストに送信することで、手動で除外されます。SHA256ハッシュがこのリストに含まれている場合、ファイルを実行すると、ローカルまたはクラウドの脅威モデルによって評価されません。これらは「絶対」ファイル パスです。

除外の例：

Correct (Windows): C:\Program Files\Dell Correct (Mac): /Mac\ HD/Users/Application\ Support/Dell Incorrect: C:\Program Files\Dell\Executable.exe Incorrect: \Program Files\Dell\

保護設定

安全でない実行中のプロセスとそのサブ プロセスの強制終了

安全でない実行中のプロセスとそのサブ プロセスの強制終了を有効にすると、脅威が子プロセスを生成しているかどうか、またはアプリケーションが現在メモリー内で実行されている他のプロセスを引き継いだどうかが判断されます。プロセスが脅威によって引き継がれたと考えられる場合は、主な脅威と、それによって生成された、または現在所有されているプロセスはただちに終了します。

バックグラウンド脅威検出

バックグラウンド脅威検出が有効になっている場合、ポータブル実行可能ファイルのデバイス全体がスキャンされ、その実行可能ファイルがローカル脅威モデルを使用して評価されます。その後、実行可能ファイルの脅威インジケーターに基づいて、クラウドベースのSaaSを使用して実行可能ファイルのスコアを確認することが要求されます。バックグラウンド脅威検出では、1回実行および繰り返し実行の2つのオプションが可能です。1回実行は、Threat Defenseがインストールされアクティブ化された瞬間にデバイスに接続されているすべての物理ドライブのバックグラウンド スキャンを実行します。繰り返し実行は、Threat Defenseがインストールされアクティブ化された瞬間にデバイスに接続されているすべてのデバイスのバックグラウンド スキャンを実行し、9日ごとにスキャンを繰り返します（設定はできません）。

新しいファイルの監視

新しいファイルの監視が有効になっている場合、デバイスに導入されているポータブル実行可能ファイルは、ローカル モデルを使用して表示された脅威インジケーターですぐに評価され、クラウドホスト型SaaSに対してこのスコアが確認されます。

ファイル サンプルのコピー

ファイル サンプルのコピーを使用すると、デバイス上で検出されたすべての脅威を、UNCパスに基づいて定義されたリポジトリーに自動的にエスクローすることができます。これは、内部の脅威調査、または環境内のパッケージ化された脅威の安全なリポジトリーを保持するためにのみ推奨されます。ファイル サンプルのコピーによって保存されるすべてのファイルは、infectedというパスワードで圧縮されます。

エージェント設定

ログ ファイルの自動アップロードの有効化

ログ ファイルの自動アップロードの有効化を使用すると、エンドポイントはDell Threat Defenseのログ ファイルを深夜0時に、または100MBに到達した場合にアップロードすることができます。ファイルのサイズに関係なく、ログは毎晩アップロードされます。転送されたすべてのログは、ネットワークから出力される前に圧縮されます。

デスクトップ通知を有効にする

デスクトップ通知を有効にすると、ファイルに異常または安全でないというマークが付けられている場合に、デバイス ユーザーがデバイスでプロンプトを表示できるようにできます。これは、このポリシーが有効化されているエンドポイントの［Dell Threat Defense］トレイ アイコンの右クリック メニュー内のオプションです。

スクリプト制御

スクリプト制御

スクリプト制御は、メモリー フィルターベースのソリューションを使用して機能し、デバイスで実行されているスクリプトを識別し、ポリシーがそのスクリプト タイプに対して［Block］に設定されている場合はそれらを回避します。これらのポリシーのアラート設定は、ログ内およびDell Threat Defenseコンソール上でブロックされている可能性のあるスクリプトのみを注意します。

1370以前

これらのポリシーは、1370より前のクライアントに適用されます。これらのクライアントは、2016年6月より前のバージョンで使用できました。これらのバージョンでは、アクティブ スクリプトとPowerShellベースのスクリプトのみが処理されます。

1380以降

これらのポリシーは、1370より後のクライアントに適用されます。これは、2016年6月以降のバージョンで使用できました。

アクティブ スクリプト

アクティブ スクリプトには、JavaScript、VBScript、バッチ ファイルなど、Windows Script Hostで解釈されるスクリプトがすべて含まれています。

PowerShell

PowerShellスクリプトには、1つのコマンドとして実行される複数行のスクリプトが含まれています。（デフォルト設定：［Alert］）

Block PowerShell Console Usage：（PowerShellが［Alert］に設定されている場合は表示されません）

PowerShell v3（Windows 8.1で導入）以降では、ほとんどのPowerShellスクリプトは単一行コマンドとして実行されます。複数の行が含まれている場合もありますが、順番に実行されます。これにより、PowerShellスクリプト インタープリターをバイパスできます。PowerShellコンソールのブロックは、アプリケーションにPowerShellコンソールを起動させる機能を無効にすることで、この問題を回避します。Integrated Scripting Environment（ISE）は、このポリシーの影響を受けません。

マクロ

マクロの設定によって、Office文書とPDF内にあるマクロが解釈され、脅威のダウンロードを試みる悪意のあるマクロがブロックされます。

スクリプト制御を無効にする

これらのポリシーによって、各ポリシーに定義されているスクリプト タイプについてもアラートを通知する機能が完全に無効になります。これを無効にすると、ログは収集されません。潜在的な脅威の検出またはブロックは実行されません。

アクティブ スクリプト

オンにすると、ログの収集が防止され、アクティブ スクリプト ベースの潜在的な脅威がブロックされます。アクティブ スクリプトには、JavaScript、VBScript、バッチ ファイルなど、Windows Script Hostで解釈されるスクリプトがすべて含まれています。

PowerShell

オンにすると、ログの収集が防止され、PowerShellベースの潜在的な脅威がブロックされます。PowerShellスクリプトには、1つのコマンドとして実行される複数行のスクリプトが含まれています。

マクロ

オンにすると、ログの収集が防止され、マクロベースの潜在的な脅威がブロックされます。マクロの設定によって、Office文書とPDF内にあるマクロが解釈され、脅威のダウンロードを試みる悪意のあるマクロがブロックされます。

フォルダーの除外（サブフォルダーを含む）

フォルダーの除外を使用すると、スクリプトが実行される可能性があるフォルダーを除外することができるフォルダーを定義することができます。このセクションでは、相対パスの形式で除外を要求します。

• フォルダー パスは、ローカル ドライブ、マッピングされたネットワーク ドライブ、またはUNC（汎用命名規則）パスにすることができます。
• スクリプト フォルダーの除外では、フォルダーまたはサブフォルダーの相対パスを指定する必要があります。
• 指定されたフォルダー パスには、サブフォルダーも含まれます。
• ワイルドカードの除外では、WindowsコンピューターのUNIXスタイルでスラッシュを使用する必要があります。Example: /windows/system*/の表示が試行されます。
• ワイルドカードでサポートされている文字は*のみです。
• ワイルドカードを使用したフォルダーの除外では、フォルダーとファイルを区別するためにパスの最後にスラッシュを付ける必要があります。
  • フォルダーの除外：/windows/system32/*/
  • ファイルの除外：/windows/system32/*
• フォルダーの深さのレベルごとにワイルドカードを追加する必要があります。たとえば、/folder/*/script.vbsは\folder\test\script.vbsまたは\folder\exclude\script.vbsと一致しますが、\folder\test\001\script.vbsでは機能しません。これには、/folder/*/*/script.vbsまたは/folder/*/001/script.vbsが必要です。
• ワイルドカードは、完全な除外と部分的な除外をサポートします。
  • 完全なワイルドカードの例：/folder/*/script.vbs
  • 部分的なワイルドカードの例：/folder/test*/script.vbs
• ネットワーク パスはワイルドカードでもサポートされています。
  • //*/login/application
  • //abc*/logon/application

Correct (Mac): /Mac\ HD/Users/Cases/ScriptsAllowed
Correct (Windows): \Cases\ScriptsAllowed
不適切：C:\Application\SubFolder\application.vbs
不適切：\Program Files\Dell\application.vbs

ワイルドカードの例：

/users/*/tempとした場合、次のようなものが候補になります。

• \users\john\temp
• \users\jane\temp

/program files*/app/script*.vbsとした場合、次のようなものが候補になります。

• \program files(x86)\app\script1.vbs
• \program files(x64)\app\script2.vbs
• \program files(x64)\app\script3.vbs