関連トピック

# TDR ポリシーを構成する

TDR ポリシーで、脅威が検出された際に Host Sensor で自動的に実行されるアクションを定義します。TDR アカウントには、推奨設定の既定のポリシーが含まれています。既定のポリシーを編集して、異なる Cybercon レベルで、異なるホストとホスト グループに適用する追加の TDR ポリシーを構成することができます。

既定のポリシーおよびポリシーの推奨事項については、次を参照してください：推奨 TDR ポリシー。

TDR ポリシーには、相対優先度を示すランクが付けられています。TDR では、ポリシーがランク順に評価されます。同じホストに複数の TDR ポリシーを同時に適用することができます。ターゲットのすべてのアクティブなポリシーがランク順に評価され、Host Sensor で実行されるアクションが判断されます。アクティブな複数のポリシーで同じターゲット ホストに対するアクションが許可または禁止されている場合は、最も高いランク（最小番号）のポリシーが優先されます。

ネットワーク セキュリティ手順の一環として、組織に特定の意味を持つ Cybercon レベルを定義します。Cybercon レベルの意味を定義したら、各レベルの TDR ポリシーを構成できるようになります。詳細については、次を参照してください：TDR Cybercon レベルについて。

## TDR ポリシーの種類

TDR では、2 種類のポリシーを構成することができます。

修正ポリシー

修正ポリシーで、ホストで検出された脅威に対して Host Sensor で自動的に実行されるアクションを定義します。

Sandbox ポリシー

Sandbox ポリシーで、安全なサンドボックス環境における分析のために、Host Sensor で不審なファイルが自動的にアップロードされるタイミングを定義します。詳細については、次を参照してください：APT Blocker による TDR Sandbox 分析。

Sandbox ポリシーを追加する前に、全般設定ページで、APT Blocker による Sandbox 分析 機能を有効化する必要があります。詳細については、次を参照してください：TDR 全般設定。

## ポリシー ルール、アクション、ターゲット

各 TDR ポリシーで、ルール、アクション、およびターゲットを構成します。

### 構成する

ルール で、Host Sensor で TDR ポリシーが実行されるタイミングを定義します。修正ポリシーの場合は、Host Sensor でポリシーのアクションが実行されるタイミングを管理する 2 つのしきい値を構成します。

- Cybercon しきい値 — 最大 Cybercon レベル。このレベルに達すると、ポリシーが実行されます。
- 脅威スコアしきい値 — ホストで検出される最大インシデント脅威スコア。このスコアに達すると、ポリシーが実行されます。Cybercon しきい値ルールが満たされると、インシデント スコアがポリシーで有効になっているしきい値以上のすべてのターゲット ホストにポリシーが適用されます。

Sandbox ポリシーの場合は、Cybercon しきい値のみを構成します。

### アクション

アクション で、ポリシーが実行されたときに Host Sensor で発生するアクションを定義します。各ポリシーで、そのポリシーによりアクションが許可されるか拒否されるかを定義します。

- 実行する — ポリシーにより、Host Sensor で指定されたアクションの実行が許可されます。
- 実行しない — 同じターゲット ホストに適用されるより低いランクのポリシーにより許可されている場合は、このポリシーにより、Host Sensor で指定されているアクションの実行が許可されません。ポリシーが 実行しない に設定されている場合も、オペレータが手動でアクションを実行することは可能です。

修正ポリシーの場合は、以下の 1 つまたは複数のアクションを選択します。

- プロセスの強制終了 — プロセスまたは Host Ransomware Prevention インジケータに適用されます。Host Sensor で通信ポートが特定されると、Host Sensor ではネットワーク ポートへの通信をサポートするプロセスが終了します。
- ファイルの検疫 — ファイルが実行不可能となるように、インジケータで特定されたファイルのコンテンツが XOR により暗号化されます。
- レジストリ値の削除 — 悪意のあるファイルを参照するレジストリ値が削除されます。

プロセスの強制終了 のアクション自体で、脅威が修正されるわけではありません。脅威を自動的に修正するには、すべてのアクションを許可することをお勧めします。詳細については、次を参照してください：TDR 修正アクションおよび脅威スコア。

アクションは、脅威スコアしきい値を満たすインシデントに関与するインジケータのファイルとプロセスに適用されます。個々のインジケータの脅威スコアは、全体的なインシデントの脅威スコアよりも低い可能性があります。たとえば、ポリシーの脅威スコアしきい値が 8 に設定されており、脅威スコアが 8 以上のインシデントが検出された場合は、インシデントに関与する各インジケータの脅威スコアに関わらず、Host Sensor ではそのインシデントに関与するすべてのインジケータのファイルとプロセスのポリシーにおけるアクションが実行されます。

Sandbox ポリシーの場合は、アクションは 1 つのみです。

ファイルのサンドボックス — 不審なファイルが分析のためにサンドボックスに送信されます。

### ターゲット

ターゲット で、アクションが適用されるホストを定義します。各ポリシーに、個々のホストまたはホストのグループをターゲットとして追加することができます。ターゲットが含まれていないポリシーは、どのホストにも影響を与えません。Host Sensor がインストールされているすべてのホストにポリシーを適用する場合は、組み込みのグループ すべてのホスト を使用することができます。

グループの詳細については、次を参照してください：TDR グループを管理する。

## ポリシーを表示および管理する

ポリシーを管理するには、以下の手順を実行します：

1. オペレータ認証を持つユーザーとして TDR Web UI にログインします。
2. 構成 > ポリシー の順に選択します。
   ポリシー ページが表示されます。

1. 特定のポリシーを検索する場合は、フィルタのドロップダウン リストから、および検索テキスト ボックスに、ポリシーの詳細を指定します。

## ポリシーを追加する

修正ポリシーと Sandbox ポリシーの組み合わせを追加して、ネットワークの脅威に対して自動的に対策を講じることができます。修正ポリシーの詳細については、次を参照してください：推奨 TDR ポリシー。

修正ポリシーを追加するには、以下の手順を実行します：

1. ポリシー ページで、ポリシーの追加 をクリックします。
   ポリシーの種類の選択の設定が表示されます。
2. 修正ポリシー を選択します。
   修正ポリシーの設定が表示されます。

1. 名前 テキスト ボックスに、ポリシー名を入力します。
2. (任意) コメント テキスト ボックスに、ポリシーに関する他の情報を入力します。
3. Cybercon しきい値 ドロップダウン リストから、このポリシーが実行される Cybercon レベルを選択します。
   Cybercon レベルがここで選択した値以下になっている場合にのみ、ポリシーが実行されます。
4. 脅威スコアしきい値を選択する ドロップダウン リストから、このポリシーが実行されるインシデント脅威スコアを選択します。
   ここで選択した値以上の脅威スコアのインシデントに対して、このポリシーが実行されます。
5. このポリシーのターゲットを選択します。
   1. ホスト名またはホスト グループ テキスト ボックスに、追加するホストまたはホスト グループの名前の少なくとも 3 文字を入力します。ヒントすべてのホストを指定するには、「すべてのホスト」と入力します。これは組み込みの既定グループで、Host Sensor がインストールされているすべてのホストが含まれています。
      これらの文字が含まれているホスト名とグループ名が表示されます。
   2. 追加するホストまたはグループの名前を選択します。
   3. このポリシーに他のターゲットを追加するには、前の 2 つの手順を繰り返します。
6. 指定したアクションを Host Sensor で実行できるようにするかどうかを指定するオプションを選択します。
   - 実行する — Host Sensor で指定されたアクションの実行が許可されます。
   - 実行しない — Host Sensor で指定されたアクションの実行が許可されません。
7. ターゲット ホストでこのポリシーにより管理される各アクションのチェックボックスを選択します。
   これらのアクションの詳細については、次を参照してください：アクション。
8. 保存して閉じる をクリックします。

Sandbox ポリシーを追加するには、以下の手順を実行します：

1. ポリシー ページで、ポリシーの追加 をクリックします。
   ポリシーの種類の選択の設定が表示されます。
2. Sandbox ポリシー を選択します。
   Sandbox ポリシーの設定が表示されます。

1. 名前 テキスト ボックスに、ポリシー名を入力します。
2. (任意) コメント テキスト ボックスに、ポリシーに関する他の情報を入力します。
3. Cybercon しきい値 ドロップダウン リストから、このポリシーが実行される Cybercon レベルを選択します。
   Cybercon レベルがここで選択した値以下になっている場合にのみ、ポリシーが実行されます。
4. このポリシーのターゲットを選択します。
   1. ホスト名またはホスト グループ テキスト ボックスに、追加するホストまたはホスト グループの名前の少なくとも 3 文字を入力します。ヒントすべてのホストを指定するには、「すべてのホスト」と入力します。これは組み込みの既定グループで、Host Sensor がインストールされているすべてのホストが含まれています。
      これらの文字が含まれているホスト名とグループ名が表示されます。
   2. 追加するホストまたはグループの名前を選択します。
   3. このポリシーに他のターゲットを追加するには、前の 2 つの手順を繰り返します。
5. Sandbox アクションを Host Sensor で実行できるようにするかどうかを指定するオプションを選択します。
   - 実行する — Host Sensor で、ファイルをサンドボックスする アクションの実行が許可されます。
   - 実行しない — Host Sensor で、ファイルをサンドボックスする アクションの実行が許可されません。
6. 保存して閉じる をクリックします。

## ポリシーのランクを変更する

ポリシー ページには、現在定義されているすべてのポリシーが優先順位の高い順に含まれています (最高ランク：1 から順に下のランクへ)。新しいポリシーを追加すると、それが自動的に ポリシー リストの最高ランクに追加されます。ポリシーのターゲットに基づいてポリシーで自動的にランクが変更されることはありません。各ポリシーのランクは手動で変更する必要があります。

たとえば、単一のホストでアクションを実行しないようにポリシーを構成して、そのホストが属しているグループのアクションを実行するように設定されている新しいポリシーを追加すると、後から追加したポリシー (グループの新しいポリシー) のほうのランクが高くなり、優先されます。単一ホストのポリシーを優先する場合は、リストで、そのポリシーのランクをホストが属しているグループのポリシーよりも上位に手動で変更する必要があります。

ポリシーのランクを変更するには、以下の手順を実行します：

- ランク 列で、ポリシーのランクを上下させるには、そのポリシーの横にある または をクリックします。
- ランク 列で、テキスト ボックスの数値を変更します。
- ポリシーをリスト内の別の位置にドラッグ アンド ドロップします。

ポリシーのランクを変更すると、リスト内の他すべてのポリシーに割り当てられている番号が自動的に更新され、新しいランクが表示されます。

### ポリシー ランクおよびアクションの優先順位

同じターゲット ホストに複数のアクティブな TDR ポリシーを同時に適用することができます。これは、ファームウェアにおけるポリシーの優先順位の仕組みとは異なります。複数のアクティブな TDR ポリシーを同じターゲット ホストに適用すると、最高ランクのポリシーのアクションが各アクションに適用されます。たとえば、ターゲットの最高レベルのポリシーで、Host Sensor でレジストリ値の削除アクションが実行できないように指定されており、同じターゲットの下位ランクのポリシーでは、Host Sensor でプロセスの強制終了、ファイルの検疫、レジストリ値の削除アクションが実行できるように指定されている場合は、Host Sensor ではプロセスの強制終了とファイルの検疫アクションのみが実行されます。これは、Host Sensor がレジストリ値の削除アクションを実行するべきではないと指定するアクションのほうが優先順位が高いためです。

## ポリシーをバックアップまたはインポートする

すべてのポリシーのバックアップを .XML ファイルに保存することができます。ポリシーを TDR アカウントに追加するには、保存した .XML ファイルをインポートします。これにより、TDR サービス プロバイダは、1 つの管理対象カスタマー アカウントで構成されたポリシーを別の管理対象アカウントに簡単にコピーすることができます。ポリシーの重複が発生しないように、インポートされたポリシーは、既存のポリシー リストにマージされます。

ポリシーをバックアップ ファイルに保存するには、以下の手順を実行します：

1. 構成 > ポリシー の順に選択します。
   現在構成されているポリシーのリストが表示されます。
2. バックアップ をクリックします。
   .XML バックアップ ファイルは、ダウンロード フォルダに保存されます。

例外のバックアップ ファイル名には、現在の日付と時刻が含まれます。例:

WatchGuardTDR_Policies_2017-01-25_22-39-43.xml

保存されているポリシー .XML ファイルからポリシーをインポートするには、以下の手順を実行します：

1. インポート をクリックします。
2. 保存されているバックアップ ファイルを選択して開きます。
   確認ダイアログ ボックスが表示されます。
3. インポート をクリックします。
   ファイルのポリシーがポリシー リストに追加されます。

## ポリシーを編集、複製、または削除する

ポリシーを編集するには、ポリシー ページで、以下の手順を実行します：

1. をクリックして、ポリシーの詳細を展開します。
2. 前のセクションに説明されている通り、設定を編集します。
3. 保存して閉じる をクリックします。

ポリシーを複製するには、ポリシー ページで、以下の手順を実行します：

1. 複製するポリシーの横にある、 をクリックします。
2. ポリシーを複製する を選択します。

ポリシーを削除するには、ポリシー ページで、以下の手順を実行します：

1. 削除するポリシーの横にある、 をクリックします。
2. ポリシーを削除する を選択します。

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索