関連トピック

# TDR 配備のベストプラクティス

TDR Host Sensor でファイルやプロセスがランサムウェアなどの脅威として特定されると、自動的にファイルが検疫されてプロセスが停止し、そしてレジストリ エントリが削除されます。Host Sensor ではホストにインストールされている他のアプリケーションに影響が出る可能性のあるアクションが実行されるため、TDR 配備のベストプラクティスに従うことをお勧めします。

このトピックで説明されている手順を完了するには、オペレータ認証を持つユーザーとして TDR にログインする必要があります。

## Host Sensor の段階的配備

Host Sensor でファイルやプロセスが脅威として特定され、アクティブな TDR ポリシーで修正アクションが許可されている場合は、Host Sensor で自動的にそれを無効化するアクションが実行されます。インストールされている他の信頼できるソフトウェアとの潜在的な相互作用を特定するには、まずネットワークで一般的に使用されているアプリケーションを実行する小規模なホスト セットに Host Sensor を配備してテストすることをお勧めします。小規模なパイロット配備により、Host Sensor と他のアプリケーションの間の相互作用を特定できるため、大規模な配備を実施する前に、例外を追加して、相互運用性やパフォーマンスの問題を解決することができます。

パイロット配備に含めるホストの数と種類を決定する必要があります。各ホストに Host Sensor をインストールして、ホストの他のソフトウェアを使用します。TDR アカウントのインジケータを監視して、Host Sensor から報告される脅威とアクションを確認します。

Host Sensor で脅威が特定された場合は、インジケータで詳細を表示して、ファイルとプロセスの名前およびそれが脅威とみなされた理由を確認することができます。

ホストのインジケータを表示するには、以下の手順を実行します：

1. ThreatSync > インジケータ の順に選択します。
   インジケータ ページが表示されます。
2. すべてのフィルタをクリアして、ホスト名でフィルタまたは検索します。
3. インジケータの詳細を表示するには、インジケータ 列で、追加情報 をクリックします。

インジケータ ページの詳細については、次を参照してください：TDR インジケータを管理する。

Host Sensor で信頼できるアプリケーションが脅威として特定された場合は、ホワイトリスト項目として MD5 値を署名上書きに追加することができます。TDR では、ホワイトリストに追加されたファイルのインジケータは生成されません。

ホワイトリストにファイルを追加するには、以下の手順を実行します：

1. インジケータ ページで、ホワイトリストに追加するアプリケーションのインジケータを見つけます。
2. インジケータの横にあるチェックボックスを選択します。
3. アクション ドロップダウン リストから、ホワイトリスト を選択します。
   アクションの確認のダイアログ ボックスが表示されます。
4. アクションの実行 をクリックします。

Host Sensor が原因でパフォーマンスの問題が発生した場合、または他のソフトウェアとの競合により Host Sensor やその他のソフトウェアが機能しなくなった場合は、ソフトウェアのインストール パスに例外を追加することができます。例外により、指定されているパスのファイルが Host Sensor で無視されます。

例外を追加するには、以下の手順を実行します：

1. 構成 > 例外 の順に選択します。
2. 追加 をクリックします。
3. 例外とするパスを指定します。

例外の追加方法の詳細については、次を参照してください：TDR の除外を構成する。

Host Sensor でファイルが検疫されると、そのファイルは暗号化されて、ホストの検疫ディレクトリに格納されます。検疫されたファイルを元に戻すアクションを使用して、ファイルを検疫から削除することができます。検疫からファイルを削除するには、以下の手順を実行します：

1. インジケータ ページで、インジケータを見つけます。検疫アクションが正常に行われたインジケータは、脅威スコアが 1 となります。
2. インジケータを選択します。
3. 検疫されたファイルを元に戻す または HRP により検疫されたファイルを元に戻す アクションを選択します。どのアクションを使用できるかは、ファイルが Host Ransomware Prevention (HRP) によって検疫されたか、ファイルの検疫アクションの結果としてファイルが検疫されたかによって異なります。

検疫からファイルを削除する方法の詳細については、次を参照してください：検疫からファイルを削除する。

## デスクトップ AV の例外を追加する

TDR Host Sensor とデスクトップ ウイルス対策の両方で、脅威が検出および防御されます。TDR Host Sensor とデスクトップ ウイルス対策ソフトウェアの競合を避けるために、TDR とデスクトップ AV ソフトウェアに例外を追加することをお勧めします。

### TDR ファイル パスが例外となるようにデスクトップ AV ソフトウェアを構成する

デスクトップ ウイルス対策ソフトウェア構成で、TDR Host Sensor インストール ディレクトリを例外リストまたはホワイトリストに追加します。

例外とするディレクトリ：

c:\Program Files (x86)\WatchGuard\Threat Detection and Response\

c:\Program Files\WatchGuard\Threat Detection and Response\

例外リストまたはホワイトリストを編集する方法については、ウイルス対策ソフトウェア ベンダーの資料を参照してください。

### デスクトップ AV ファイル パスが例外となるように TDR を構成する

TDR で、ウイルス対策ソフトウェアがインストールされている場所に例外を追加します。例外とするパスはそれぞれのデスクトップ AV ベンダーで異なり、OS または AV ソフトウェア バージョンによって異なる可能性があります。デスクトップ AV ソリューションで Host Sensor をテストして、必要なすべてのパスが例外として設定されていることを確認します。

一部の一般的なデスクトップ AV ベンダーで例外とするファイル パスの部分リストについては、WatchGuard ナレッジベース の ウイルス対策ソフトウェアの TDR 例外を追加する を参照してください。

TDR 例外の追加方法の詳細については、次を参照してください：Host Sensor および AV ソフトウェアの除外。

## ホスト グループを構成する

既定では、グローバル Host Sensor 設定と既定の TDR ポリシーは、配備されているすべての Host Sensor に適用されます。各グループの異なる Host Sensor の設定とポリシーを簡単に構成できるように、ホスト グループを構成することをお勧めします。ホスト グループを使用して、同様の OS バージョン、ハードウェア、アプリケーション、またはユーザーの種類を持つホストをグループ化することができます。たとえば、サーバー、Windows 7 デスクトップ、ノートパソコン、販売、財務、サポートなどのグループを作成することができます。ホスト グループを構成したら、各グループの Host Sensor 設定を変更して、TDR ポリシーのグループ名を使用することができます。最初の配備段階の一環として、各グループのいくつかのホストをテストすることをお勧めします。

ホスト グループを追加するには、以下の手順を実行します：

1. 構成 > グループ の順に選択します。
2. グループを追加する をクリックします。
3. グループ名 テキスト ボックスに、グループの名前を入力します。
4. 種類 ドロップダウン リストから、ホスト を選択します。これは、既定のオプションです。
5. ホスト名を検索するために、ホスト テキスト ボックスに、ホスト名の少なくとも 3 文字を入力します。
   入力した文字を含むホスト名がテキスト ボックスの下に表示されます。
6. 追加するホストを選択します。
7. 追加するホストごとに前の 2 つの手順を繰り返します。
8. ホストを削除するには、ホスト名の横にある、 をクリックします。
9. 保存して閉じる をクリックします。

ブループの構成方法の詳細については、次を参照してください： TDR グループを管理する。

## ホスト グループの Host Sensor 設定を構成する

各ホスト グループで、そのグループのホストを使用するように Host Sensor 設定を構成することができます。ホスト グループ構成で、グローバル Host Sensor 設定を上書きし、グループに異なる Host Sensor 設定を指定することができます。

ホスト グループの Host Sensor 設定を構成するには、以下の手順を実行します：

1. 構成 > グループ の順に選択します。
2. グループ名の横にある をクリックします。
3. Host Sensor 構成 タブを選択します。
4. このグループの Host Sensor 設定の上書き スイッチをクリックします。
5. グループの Host Sensor 設定を構成します。

WatchGuard は、一部の種類のホストに関して、推奨される Host Sensor 構成設定をガイドラインとして提供しています。問題を特定するために、小規模なホスト セットを使用して、これらの設定をテストすることをお勧めします。

ホストにおける最適な Host Sensor 設定は、インストールされている OS とアプリケーション、物理ハードウェアや仮想ハードウェア、およびホスト環境の他の側面によって異なる場合があります。

サーバー ソフトウェアとの競合を避けるために、Host Ransomware Prevention を無効にし、ドライバ構成の設定を有効にしないことをお勧めします。

Host Sensor 設定

- Host Sensors でイベントを許可する：オン
- Host Ransomware Prevention モード：オフ
- Host Sensor でヒューリスティックを許可する：オン
- Host Sensor でロードされたモジュールを許可する：オフ
- Host Sensors でベースラインを許可する：オフ

Host Sensor ドライバ構成設定：

- すべてのドライバ構成設定：オフ

### Windows 7 における Host Sensor 推奨設定

一部の Windows 7 コンピュータ (特に古いハードウェアのコンピュータ) では、Host Sensor ドライバ設定を有効化しないほうが Host Sensor のパフォーマンスが向上します。

Host Sensor 設定：

- Host Sensors でイベントを許可する：オン
- Host Ransomware Prevention モード：防止
- Host Sensor でヒューリスティックを許可する：オン
- Host Sensor でロードされたモジュールを許可する：オフ
- Host Sensors でベースラインを許可する：オフ

Host Sensor ドライバ構成設定：

- すべてのドライバ構成設定：オフ

### その他大半のホストにおける Host Sensor 推奨設定

Host Sensor ドライバ設定により、一部の Host Sensor アクションがユーザー スペースで発生するか、カーネル スペースで発生するかが制御されます。大半のホストで最適な Host Sensor のパフォーマンスを実現するために、Host Sensor ドライバ構成設定を有効化してテストすることをお勧めします。サーバーに配備されている Host Sensor の問題を回避するため、既定では、グローバル Host Sensor 設定でこれらの設定が有効化されていません。

Host Sensor 設定：

- Host Sensors でイベントを許可する：オン
- Host Ransomware Prevention モード：防止
- Host Sensor でヒューリスティックを許可する：オン
- Host Sensor でロードされたモジュールを許可する：オフ
- Host Sensors でベースラインを許可する：オフ

Host Sensor ドライバ構成設定：

- すべてのドライバ構成設定：オン

Host Sensor 設定の詳細については、次を参照してください：TDR Host Sensor 設定を構成する。

## ホスト グループのポリシーを構成する

各 TDR アカウントには、既定で有効になっている既定ポリシーがあります。これらのポリシーにより、TDR アカウントで設定されている Cybercon レベルに基づいて、異なるレベルの脅威に対して Host Sensor で自動修正アクションが実行されます。既定の TDR ポリシーは組み込みの すべてのホスト グループに適用され、これにより、すべてのホストに対して Host Sensor で実行される自動アクションが定義されます。自動アクションをより詳細に制御するために、特定のホスト グループまたは特定のホストのポリシーを追加して、Host Sensor で実行されるアクションを変更することができます。

たとえば、サーバー グループがあり、そのグループのサーバーの Host Sensor によりレジストリが変更されないようにする場合は、サーバー グループのポリシーを追加して、Host Sensor で レジストリ値の削除 アクションが実行されないように指定することができます 。または、グループの Host Sensor で自動修正アクションが発生しないようにするには、そのグループのポリシーを追加して、Host Sensor で ファイルの検疫、プロセスの強制終了、 レジストリ値の削除 アクションが実行されないように指定することができます。

ホスト グループのポリシーを追加する場合は、ポリシー リストで、すべてのホストに適用される他のポリシーよりもそのポリシーの優先順位が高くなっていることを確認してください。

TDR の既定ポリシーおよび推奨ポリシーについては、次を参照してください：推奨 TDR ポリシー

#### 関連情報

TDR ポリシーを構成する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索