ファイル変更監視ルールについて

ファイル変更監視タスクは、ファイル変更監視ルールに基づいて実行されます。ルール有効化の条件を使用してタスクを起動させる条件を設定し、実行ログに記録された検知されたファイル操作イベントに対して重要性レベルを調整することができます。

ファイル変更監視ルールは、各監視範囲に対して指定されます。

次のルール有効化の条件を設定できます：

• 信頼するユーザー
• ファイル操作マーカー

信頼するユーザー

既定では、すべてのユーザーアクションが潜在的なセキュリティ違反と判断されます。信頼するユーザーのリストは空です。ファイル変更監視ルール設定に信頼するユーザーのリストを作成することで、イベントの重要性レベルを設定できます。

信頼しないユーザーとは、監視範囲ルール設定の信頼するユーザーリストに示されていないすべてのユーザーに割り当てられるステータスです。信頼しないユーザーによって行われたファイル操作を検知すると、ファイル変更監視タスクが実行ログに緊急イベントを記録します。

信頼するユーザーとは、指定した監視範囲でファイル操作を行う許可を与えられているユーザーのユーザーまたはグループに割り当てられるステータスです。信頼するユーザーによって行われたファイル操作を検知すると、ファイル変更監視タスクが実行ログに情報イベントを記録します。

Kaspersky Embedded Systems Security は、監視の中断中に操作を開始したユーザーを特定できません。この場合、ユーザーステータスは不明と判断されます。

不明なユーザーは、タスク中断、またはデータ同期ドライバーや USN ジャーナルの障害のために Kaspersky Embedded Systems Security がユーザーに関する情報を受け取ることができない場合に、ユーザーに割り当てられるステータスです。不明なユーザーによって行われたファイル操作を検知すると、ファイル変更監視タスクが実行ログに警告イベントを記録します。

ファイル操作マーカー

ファイル変更監視タスクが実行されている時、Kaspersky Embedded Systems Security はファイル操作マーカーを使用して、ファイル上で処理が実行されたと判定します。

ファイル操作マーカーは、ファイル操作を特徴づけることができる一意の記述子です。

各ファイル操作は、単一の処理であることも、ファイルを使用した処理の連鎖であることもあります。この種類の各処理は、ファイル操作マーカーに対応します。ルール有効化の条件として指定するマーカーがファイル操作チェーンで検知された場合、所定のファイル操作が実行されたことを示すイベントが記録されます。

記録されたイベントの重要性レベルは、選択されたファイル操作マーカーまたはイベントの数に依存しません。

既定で、Kaspersky Embedded Systems Security は利用できるすべてのファイル操作マーカーを考慮します。タスクのルール設定で、手動でファイル操作マーカーを選択できます。

ファイル操作マーカー