システム変更監視の範囲とシステム変更チェックの範囲の設定

システム変更監視の正しい動作のために、コンポーネントの範囲を設定する必要があります。すなわち、システム変更監視によってステータスを監視する必要のあるオブジェクトを選択します。この範囲は、Light Agent for Windows ポリシーまたは Light Agent for Windows のローカルインターフェイスで設定します。

コンポーネントのリアルタイム動作に対してシステム変更監視の範囲を設定することや、定期的または手動でのシステム変更チェックの範囲を個別に設定できます。この範囲はベースラインのアップデートタスクにも使用されます。システム変更チェックの範囲が定義されていない場合、システム変更監視の範囲がシステム変更チェックタスクとベースラインのアップデートタスクに適用されます。

このセクションでは、管理コンソールと Light Agent for Windows のローカルインターフェイスを使用して変更チェックの範囲を設定する方法について説明します。変更チェックの範囲は、Web コンソールでの Light Agent for Windows ポリシー設定（［アプリケーション設定］→［エンドポイントコントロール］→［システム変更監視］）の作成、編集時にも設定できます。

管理コンソールでシステム変更監視の範囲を設定するには：

1. Kaspersky Security Center 管理コンソールを開きます。
2. コンソールツリーの［管理対象デバイス］フォルダーで、対象とする保護対象仮想マシンが所属する管理グループのフォルダーを開きます。
3. 作業領域で、［ポリシー］タブを選択します。
4. ポリシーのリストから Light Agent for Windows ポリシーを選択し、ダブルクリックしてポリシーのプロパティウィンドウを開きます。
5. ポリシーのプロパティウィンドウで、左のリストから［システム変更監視］セクションを選択します。
6. ウィンドウの右側の［システム変更監視の範囲］セクションで、リアルタイムでのシステム変更監視の範囲を設定します：
   1. 保護対象仮想マシンでの外部デバイスの接続をシステム変更監視によってリアルタイムで監視する場合は、［デバイスを監視する］をオンにします。
   2. ドロップダウンリストで、外部デバイスの接続を検出した時にシステム変更監視によって生成されるイベントの重要度を選択します。既定では、［情報］イベントが生成されます。
   3. 保護対象仮想マシンでファイルとレジストリに対して行われた変更をシステム変更監視によってリアルタイムで監視する場合は、［ファイルとレジストリを監視する］をオンにします。
   4. ［設定］をクリックします。
   5. 表示された［システム変更監視ルール］ウィンドウで、リアルタイムでのシステム変更監視が実行している時に適用されるルールのリストを作成します。

      システム変更監視ルールの設定の編集では、次の操作を実行できます：

      • ルールを追加または編集する。
      • ルールをインポートおよびエクスポートする。
      • ルールを有効または無効にする。
      • ルールを削除する。
   6. ［システム変更監視ルール］ウィンドウで［OK］をクリックします。
7. 定期的または手動でのシステム変更チェックに対して個別の範囲を設定する場合は、［システム変更チェック範囲］セクションで次の操作を実行します：
   1. ［システム変更チェック範囲を定義する］をオンにします。

      ［システム変更チェックの範囲］設定グループがチェックボックスの下に表示されます。

   2. この手順のステップ 6 で示したように［システム変更チェックの範囲］セクションで設定を指定します。これらの設定は、システム変更チェックタスクとベースラインのアップデートタスクが実行される時に適用されます。
8. ［適用］をクリックします。

ローカルインターフェイスでシステム変更監視の範囲を設定するには：

1. 保護対象仮想マシンで、本製品の設定ウィンドウを開きます。
2. ウィンドウの左側の［エンドポイントコントロール］セクションで、［システム変更監視］を選択します。

   ウィンドウの右側に、システム変更監視の設定が表示されます。

   ローカルインターフェイスで設定が編集できない場合は、ポリシーが定義する設定値が、管理グループのすべての保護対象仮想マシンに対して使用されていることを意味します。

3. リアルタイムでのシステム変更監視の範囲を設定するには、［システム変更監視の設定］セクションで次の操作を実行します：
   1. 保護対象仮想マシンでの外部デバイスの接続をシステム変更監視によってリアルタイムで監視する場合は、［システム変更監視の設定］セクションの名前の下にある［デバイスを監視する］をオンにします。
   2. ドロップダウンリストで、外部デバイスの接続を検出した時にシステム変更監視によって生成されるイベントの重要度を選択します。既定では、［情報］イベントが生成されます。
   3. 保護対象仮想マシンでファイルとレジストリに対して実行された変更をシステム変更監視によってリアルタイムで監視する場合は、［システム変更監視の設定］セクションの上部にある［ファイルとレジストリを監視する］をオンにします。
   4. 前の手順のステップ 6d ～6f を実行します。
4. 定期的または手動でのシステム変更チェックに対して個別の範囲を設定する場合は、［システム変更監視の設定］セクションで次の操作を実行します：
   1. ［システム変更チェック範囲を定義する］をオンにします。

      チェックボックスの下に設定セクションが表示されます。

   2. 前の手順のステップ 6 で示したように、このセクションで設定を行います。これらの設定は、システム変更チェックタスクとベースラインのアップデートタスクが実行される時に適用されます。
5. 変更内容を保存するには［保存］をクリックします。

システム変更監視ルールの作成と編集

ファイルとフォルダー、レジストリキー、値に対して、監視の範囲および監視の範囲からの除外リストを作成することで、システム変更監視ルールを作成できます。システム変更監視ルールを作成またはインポートした後で、必要に応じてルールの設定を変更できます。

Kaspersky Security Center で、システム変更監視ルールを作成または編集するには：

1. Kaspersky Security Center 管理コンソールを開きます。
2. コンソールツリーの［管理対象デバイス］フォルダーで、対象とする保護対象仮想マシンが所属する管理グループのフォルダーを開きます。
3. 作業領域で、［ポリシー］タブを選択します。
4. ポリシーのリストから Light Agent for Windows ポリシーを選択し、ダブルクリックしてポリシーのプロパティウィンドウを開きます。
5. ポリシーのプロパティウィンドウで、左のリストから［システム変更監視］セクションを選択します。
6. ウィンドウの右側で、次のいずれかのセクションの［ファイルとレジストリを監視する］チェックボックスの右側にある［設定］をクリックします：
   • ［システム変更監視の範囲］セクション（リアルタイムでのシステム変更監視ルールを設定する場合）。
   • ［システム変更チェックの範囲］セクション（システム変更チェックタスクとベースラインのアップデートタスクのルールを設定する場合）。
7. 表示される［システム変更監視］ウィンドウで、次のいずれかの動作を実行します：
   • システム変更監視ルールを作成する場合は、ルールのリストの上にある［追加］をクリックします。
   • システム変更監視ルールを編集するには、リストからルールを選択し、［編集］をクリックします。
8. 表示される［システム変更監視ルール］ウィンドウでルール名を入力し、このルールの適用時にシステム変更監視が生成するイベントの重要度を選択します。既定では、［情報］イベントが生成されます。
9. ［ファイル］タブでファイルとフォルダーの監視範囲を設定します。

   Kaspersky Security が変更を監視するファイルまたはフォルダーを追加するには：

   1. ［ファイル］タブの［監視の範囲］の上にある［追加］をクリックします。
   2. 表示される［ファイルまたはフォルダー］ウィンドウで、監視対象とするフォルダーの絶対パス、またはパスのマスクを入力します。

      パスのマスクを入力する場合、パスの任意の部分で次の文字を使用できます：

      • 「*」文字は \ / : 以外の文字を表すことができます。加えて：
        • 「*」がパスの要素全体の名前を示すために使用されている場合（たとえば、フォルダー名を示すための /*/）、1 文字以上の文字列を表すことができます。
        • 「*」がパス要素の名前の一部を示すために使用されている場合（たとえば、フォルダー名の一部を示すための /abc*/）、0 文字以上の文字列を表すことができます。
      • 「?」は任意の 1 文字と置き換えることができます。

      フォルダーのパスの入力では、環境変数を使用できます。環境変数名の前後に「%」を入力する必要があります。

   3. 指定されたフォルダー内のファイルの変更を監視する必要がある場合は、［ファイル名またはファイルマスク］でファイル名またはファイルのマスクを入力します。

      マスクを入力する場合、次の文字を使用できます：

      • * – ゼロ文字以上の文字列を表します。\ / : 以外の任意の文字列を表します：
      • ? は任意の単一文字を表します

      下位のフォルダー内の指定されたファイルに対する変更も監視する場合は、［サブフォルダー内のファイルを含める］をオンにします。

   4. ［ファイルまたはフォルダー］ウィンドウで［OK］をクリックします。

   ファイルまたはフォルダーのパスが、［監視の範囲］のパスのリストに表示されます。

   Kaspersky Security は、リアルタイムでのシステム変更監視の開始時点（ポリシーが適用された時、またはリアルタイムでのシステム変更監視が有効になった時）に接続されているドライブ上のファイルやフォルダーの変更のみを監視します。リアルタイムでのシステム変更監視の開始時点でドライブがパワーオンの状態でなかった場合、そのドライブ上のファイルやフォルダーの変更は、ファイルやフォルダーが監視範囲に追加された場合でも、監視されません。

   リストでキーワード検索を実行し、［削除］を使用して、リストからファイルとフォルダーを削除できます。

10. 必要に応じて、監視の範囲から除外されるファイルまたはフォルダーのパスのリストを同じように設定できます。Kaspersky Security は、［除外リスト］でパスのリストに追加されているファイルとフォルダーの変更を監視しません。

    除外のリストを設定するには、［ファイル］タブの［除外リスト］の上にある［追加］および［削除］を使用します。

11. ［レジストリ］タブでレジストリキーと値の監視範囲を設定します。

    Kaspersky Security が変更を監視するレジストリキーまたはキーのパラメータを追加するには：

    1. ［レジストリ］タブの［監視の範囲］の上にある［追加］をクリックします。

       ［レジストリキー］ウィンドウが表示されます。

    2. 変更を監視する必要があるレジストリキーの名前を入力します。

       HKEY_CURRENT_USER キーはサポートされません。HKEY_USER からのレジストリキーへのパスは次のように指定できます：HKEY_USERS\<ユーザープロファイル ID>\<キー>。

    3. Kaspersky Security でネストされたライセンスも監視する場合は、［ネストされたライセンスを含める］をオンにします。
    4. 指定されたキーのパラメータに対する変更を監視する必要がある場合は、［キーパラメータの名前またはマスク］でパラメータの名前またはマスクを入力します。

       マスクを入力する時に、ワイルドカード *（任意の文字列）および ?（任意の 1 文字）を使用できます。

    5. ［レジストリキー］ウィンドウで［OK］をクリックします。

    キーおよびキーのパラメータの名前（指定された場合）が、［監視の範囲］のキーおよびレジストリの値のリストに表示されます。

    リストでキーワード検索を実行し、［削除］を使用して、リストからキーを削除できます。

12. 必要に応じて、監視の範囲から除外されるキーとレジストリの値のリストを同じように設定できます。Kaspersky Security は、［除外リスト］でパスのリストに追加されるキーとレジストリの値の変更を監視しません。

    除外のリストを設定するには、［レジストリ］タブの［除外リスト］の上にある［追加］および［削除］を使用します。

13. ［システム変更監視ルール］ウィンドウで［OK］をクリックします。

    ルールが、［システム変更監視ルール］ウィンドウのルールのリストに表示されます。

14. ［システム変更監視ルール］ウィンドウで［OK］をクリックします。
15. ［適用］をクリックします。

ローカルインターフェイスで、システム変更監視ルールを作成または編集するには：

1. 保護対象仮想マシンで、本製品の設定ウィンドウを開きます。
2. ウィンドウの左側の［エンドポイントコントロール］セクションで、［システム変更監視］を選択します。

   ウィンドウの右側に、システム変更監視の設定が表示されます。

   ローカルインターフェイスで設定が編集できない場合は、ポリシーが定義する設定値が、管理グループのすべての保護対象仮想マシンに対して使用されていることを意味します。

3. 次のいずれかの手順を実行します：
   • リアルタイムでのシステム変更監視ルールを設定する場合は、［システム変更監視の設定］の上の［ファイルとレジストリを監視する］の右側にある［設定］をクリックします。
   • システム変更チェックタスクとベースラインのアップデートタスクのルールを設定する場合は、［システム変更監視の設定］の上の［ファイルとレジストリを監視する］の右側にある［設定］をクリックします。

   ［システム変更監視ルール］ウィンドウが表示されます。

4. 前述の手順のうち、ステップ 7 ～ 14 を実行します。
5. 変更内容を保存するには［保存］をクリックします。

システム変更監視ルールのインポートとエクスポート

設定されたシステム変更監視ルールのリストをファイルに保存して、以前保存したルールのリストをファイルからインポートできます。ルールのリストをインポートまたはエクスポートするには、XML 形式のファイルを使用できます。

Kaspersky Security Center からシステム変更監視を設定する場合、Kaspersky Security 製品の配布キットに含まれるテンプレートからシステム変更監視ルールのリストをインポートできます。テンプレートには、ファイルとフォルダーへのパス、およびレジストリキーと特定のアプリケーションの動作に使用される値が含まれます。テンプレートからインポートされたルールで、この製品の動作に関連付けられた変更を監視できます。

Kaspersky Security Center で、システム変更監視ルールのリストをインポートまたはエクスポートするには：

1. Kaspersky Security Center 管理コンソールを開きます。
2. コンソールツリーの［管理対象デバイス］フォルダーで、対象とする保護対象仮想マシンが所属する管理グループのフォルダーを開きます。
3. 作業領域で、［ポリシー］タブを選択します。
4. ポリシーのリストから Light Agent for Windows ポリシーを選択し、ダブルクリックしてポリシーのプロパティウィンドウを開きます。
5. ポリシーのプロパティウィンドウで、左のリストから［システム変更監視］セクションを選択します。
6. ウィンドウの右側で、次のいずれかのセクションの［ファイルとレジストリを監視する］チェックボックスの右側にある［設定］をクリックします：
   • ［システム変更監視の範囲］セクション（リアルタイムでのシステム変更監視ルールを設定する場合）。
   • ［システム変更チェックの範囲］セクション（システム変更チェックタスクとベースラインのアップデートタスクのルールを設定する場合）。
7. システム変更監視ルールのリストをインポートするには、［ システム変更監視］ウィンドウで、 ［インポート］をクリックして次のいずれかを実行します：
   • テンプレートからルールをインポートするには、［テンプレートから］をドロップダウンリストから選択します。表示されるウィンドウで、テンプレート名を選択し［OK］をクリックします。

     選択されたテンプレートのルールが、［システム変更監視ルール］ウィンドウのルールのリストに追加されます。

   • ファイルからルールをインポートするには、ドロップダウンリストで［ファイルから］を選択し、表示されたウィンドウで XML ファイルのパスを指定します。

     選択されたファイルのルールが、［システム変更監視ルール］ウィンドウのルールのリストに追加されます。

8. システム変更監視ルールのリストをエクスポートする場合は、［エクスポート］をクリックして、ルールのリストを保存するファイルのパスを指定します。
9. ［システム変更監視ルール］ウィンドウで［OK］をクリックします。
10. ［適用］をクリックします。

ローカルインターフェイスでシステム変更監視ルールのリストをインポートまたはエクスポートするには：

1. 保護対象仮想マシンで、本製品の設定ウィンドウを開きます。
2. ウィンドウの左側の［エンドポイントコントロール］セクションで、［システム変更監視］を選択します。

   ウィンドウの右側に、システム変更監視の設定が表示されます。

   ローカルインターフェイスで設定が編集できない場合は、ポリシーが定義する設定値が、管理グループのすべての保護対象仮想マシンに対して使用されていることを意味します。

3. 次のいずれかの手順を実行します：
   • リアルタイムでのシステム変更監視ルールを設定する場合は、［システム変更監視の設定］の上の［ファイルとレジストリを監視する］の右側にある［設定］をクリックします。
   • システム変更チェックタスクとベースラインのアップデートタスクのルールを設定する場合は、［システム変更監視の設定］の上の［ファイルとレジストリを監視する］の右側にある［設定］をクリックします。

   ［システム変更監視ルール］ウィンドウが表示されます。

4. 前述の手順のうち、ステップ 7 ～ 9 を実行します。
5. 変更内容を保存するには［保存］をクリックします。

システム変更監視ルールの有効化と無効化

すべてのシステム変更監視ルールは、［有効］のステータスでルールのリストに追加されます。ルールが有効になっている場合、システム変更監視がルールを適用します。

システム変更監視ルールは無効にできます。ルールが無効になっている場合、システム変更監視は一時的にルールの適用を停止します。

Kaspersky Security Center で、システム変更監視ルールを有効または無効にするには：

1. Kaspersky Security Center 管理コンソールを開きます。
2. コンソールツリーの［管理対象デバイス］フォルダーで、対象とする保護対象仮想マシンが所属する管理グループのフォルダーを開きます。
3. 作業領域で、［ポリシー］タブを選択します。
4. ポリシーのリストから Light Agent for Windows ポリシーを選択し、ダブルクリックしてポリシーのプロパティウィンドウを開きます。
5. ポリシーのプロパティウィンドウで、左のリストから［システム変更監視］セクションを選択します。
6. ウィンドウの右側で、次のいずれかのセクションの［ファイルとレジストリを監視する］チェックボックスの右側にある［設定］をクリックします：
   • ［システム変更監視の範囲］セクション（リアルタイムでのシステム変更監視ルールを設定する場合）。
   • ［システム変更チェックの範囲］セクション（システム変更チェックタスクとベースラインのアップデートタスクのルールを設定する場合）。
7. 表示される［システム変更監視］ウィンドウのシステム変更監視ルールのリストで、必要なルールを選択し、［ステータス］列で次のいずれかの動作を実行します：
   • ルールを有効にする場合は、値［オン］を選択します。
   • ルールを無効にする場合は、値［オフ］を選択します。
8. ［システム変更監視ルール］ウィンドウで［OK］をクリックします。
9. ［適用］をクリックします。

ローカルインターフェイスでシステム変更監視ルールを有効または無効にするには：

1. 保護対象仮想マシンで、本製品の設定ウィンドウを開きます。
2. ウィンドウの左側の［エンドポイントコントロール］セクションで、［システム変更監視］を選択します。

   ウィンドウの右側に、システム変更監視の設定が表示されます。

   ローカルインターフェイスで設定が編集できない場合は、ポリシーが定義する設定値が、管理グループのすべての保護対象仮想マシンに対して使用されていることを意味します。

3. 次のいずれかの手順を実行します：
   • リアルタイムでのシステム変更監視ルールを設定する場合は、［システム変更監視の設定］の上の［ファイルとレジストリを監視する］の右側にある［設定］をクリックします。
   • システム変更チェックタスクとベースラインのアップデートタスクのルールを設定する場合は、［システム変更監視の設定］の上の［ファイルとレジストリを監視する］の右側にある［設定］をクリックします。

   ［システム変更監視ルール］ウィンドウが表示されます。

4. 前述の手順のうち、ステップ 7 ～ 8 を実行します。
5. 変更内容を保存するには［保存］をクリックします。