関連トピック

# 推奨 TDR ポリシー

重大度の高い脅威に対して Host Sensor で自動的にアクションが発生するようにするには、TDR ポリシーを構成する必要があります。TDR アカウントで推奨ポリシーが既定で有効化されています。ホスト グループとネットワーク要件に基づいて、これらのポリシーを変更すること、または新しいポリシーを追加することができます。

2017年8月7日以前にアクティブ化されている TDR アカウントでは、既定の TDR ポリシーが構成されてはいますが、有効になっていません。

## 既定の TDR ポリシー

各 TDR アカウントには、3 つの既定の修正ポリシーがあります。APT Blocker による Sandbox 分析が有効化されている場合は、既定の Sandbox ポリシーも既定で有効になっています。ポリシーの詳細については、次を参照してください：TDR ポリシーを構成する。

既定の 3 つの修正ポリシーにより、Cybercon しきい値 4、3、2 の異なる脅威スコアが付けられているインジケータの修正アクションが Host Sensor で 実行されます。既定のポリシーを有効化すると、Cybercon レベルを (たとえば、3 から 2 に ) 変更して、より脅威スコアの低い脅威に対しても Host Sensor で直ちにアクションが発生するように設定することができます。

既定の Sandbox ポリシーでは、既知の脅威と一致しない不審なファイルが Host Sensor から Sandbox に送られ、APT Blocker 分析が実施されます。

Cybercon 4 の WatchGuard 既定の Sandbox ポリシー

- Cybercon しきい値：4 (Cybercon 4、3、2、1 に適用される)
- 許可：Sandbox アクション
- ターゲット：「すべてのホスト」

Cybercon 2 の WatchGuard 既定の修正ポリシー

- Cybercon しきい値：2 (Cybercon 2 と 1 に適用される)
- 脅威スコアのしきい値：7 (脅威スコア 7 以上に適用される)
- 許可：すべての修正アクション (ファイルの検疫、プロセスの強制終了、レジストリ値の削除)
- ターゲット：「すべてのホスト」

Cybercon 3 の WatchGuard 既定の修正ポリシー

- Cybercon しきい値：3 (Cybercon 3、2、1 に適用される)
- 脅威スコアのしきい値：8 (脅威スコア 8 以上に適用される)
- 許可：すべての修正アクション (ファイルの検疫、プロセスの強制終了、レジストリ値の削除)
- ターゲット：「すべてのホスト」

Cybercon 4 の WatchGuard 既定の修正ポリシー

- Cybercon しきい値：4 (Cybercon 4、3、2、1 に適用される)
- 脅威スコアのしきい値：9 (脅威スコア 9 以上に適用される)
- 許可：すべての修正アクション (ファイルの検疫、プロセスの強制終了、レジストリ値の削除)
- ターゲット：「すべてのホスト」

これらの既定のポリシーでは、すべての Host Sensor で以下のアクションが実施されます。

Cybercon レベルが 4 の場合：

- 脅威スコアが 9 以上のインジケータに対して、Host Sensor で自動的に修正アクションが発生します。
- 安全なサンドボックス環境における分析のために、Host Sensor により不審なファイルが自動的にアップロードされます。

Cybercon レベルが 3 の場合：

- 脅威スコアが 8 以上のインジケータに対して、Host Sensor で自動的に修正アクションが発生します。
- 安全なサンドボックス環境における分析のために、Host Sensor により不審なファイルが自動的にアップロードされます。

Cybercon レベルが 2 または 1 の場合：

- 脅威スコアが 7 以上のインジケータに対して、Host Sensor で自動的に修正アクションが発生します。
- 安全なサンドボックス環境における分析のために、Host Sensor により不審なファイルが自動的にアップロードされます。

## Cybercon レベルを設定する

既定の TDR ポリシーを使用する場合は、各 Cybercon しきい値のアクティブなポリシーに基づいて、Host Sensor で自動的に脅威を修正するアクションが発生するように Cybercon レベルを設定することができます。

- ほとんどの配備で、Cybercon レベルを 3 に設定することをお勧めします。
- これよりも消極的にして、自動的に発生するアクションを少なくするには、Cybercon レベルを 4 に設定します。
- これよりも積極的にして、自動的に発生するアクションを多くするには、Cybercon レベルを 2 に設定します。

Cybercon レベルの詳細は、次を参照してください：TDR Cybercon レベルについて。

## グループをポリシー ターゲットとして使用する

新しい TDR アカウントは、まず既定の TDR ポリシーから開始することをお勧めします。しかし、多くの場合、ユーザーはネットワークの異なるホストに異なるポリシーを構成したいと考えるでしょう。異なるホスト グループに異なるポリシーを作成するには、ポリシーでグループをターゲットとして指定します。Active Directory Server のグループを同期させること、またはホスト名か IP アドレスに基づいて TDR グループを定義することができます。

ブループの構成方法の詳細については、次を参照してください： TDR グループを管理する。

既定グループである すべてのホスト には、Host Sensor がインストールされているすべてのホストが含まれます。それぞれのグループに固有のポリシーを作成できるように、クライアントとサーバーに別々のグループを作成することができます。

たとえば、以下のようなグループを追加することができます。

- すべてのクライアント — Host Sensor がインストールされているすべてのクライアント コンピュータが含まれます。サーバーは含まれません。
- すべてのサーバー — Host Sensor がインストールされているすべてのサーバーが含まれます。

これらのグループに修正ポリシーを構成して、サーバーとは異なる脅威レベルのクライアントに対して自動的にアクションを実行することができます。最高の脅威レベル (Cybercon しきい値が最も低い) では、すべてのホスト グループを使用して、ポリシーがすべてのホストに適用されるようにします。

ポリシー名 | Cybercon しきい値 | 脅威 スコア しきい値 | ポリシー ターゲット (グループ) | 自動アクション
--- | --- | --- | --- | ---
(ポリシーなし) | Cybercon 5 |  |  | なし
C4 脅威 8 - クライアントのみ | Cybercon 4 | 8 | すべてのクライアント | - プロセスの強制終了 - ファイルの検疫 - レジストリ値の削除
C4 - Sandbox すべて | Cybercon 4 | 該当なし | すべてのホスト | - Sandbox
C3 脅威 8 - サーバーとクライアント | Cybercon 3 | 8 | 全てのサーバー すべてのクライアント | - プロセスの強制終了 - ファイルの検疫 - レジストリ値の削除
C2 脅威 4 - すべてのホスト | Cybercon 2 | 4 | すべてのホスト | - プロセスの強制終了 - ファイルの検疫 - レジストリ値の削除
C1 脅威 2 - すべてのホスト | Cybercon 1 | 2 | すべてのホスト | - プロセスの強制終了 - ファイルの検疫 - レジストリ値の削除

## ポリシーに関するヒント

追加のポリシーを構成する際は、以下のヒントに留意してください。

Cybercon しきい値を使用して、ポリシーをすばやくアクティブ化する

- 既定のポリシーをアクティブ化して、Cybercon レベルを 3 に設定する。
- Cybercon 5 のポリシーは構成しない。
- 重大度の高い (低い番号) Cybercon レベルのポリシーを追加する。
  - ユーザーがポリシーに Cybercon しきい値を設定します。
  - ネットワークの現在のアクティビティとリスクに基づいて、Cybercon レベルを変更して、各 Cybercon しきい値のポリシーをアクティブ化する時期をユーザーが決定します。

グループをポリシー ターゲットとして使用する：

- 同様の要件を持つホストのグループを構成する (たとえば、サーバーのグループを作成する)。
- 各グループをターゲットするポリシーを作成する。
- グループごとに Host Sensor の設定をカスタマイズすることも可能。
  詳細については、次を参照してください：グループの Host Sensor を管理する

#### 関連情報

TDR ポリシーを構成する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索