Application Control 構成の設定

Application Control 機能は、 Application Control の構成エディタで構成します。このエディタには、Security Controls コンソール内のいくつかの場所からアクセスできます。

[新規] > [Application Control 構成]
Application Control 構成、右クリック、新規 Application Control の構成
[新規] > [エージェントポリシー] > [Application Control] > [新規]

このオプションの場合、保存後に構成がポリシーに割り当てられます。

最上位ノード [構成設定] には、次の3つのタブがあります。

機能
ハッシュアルゴリズム
詳細設定

機能

次の Application Control 機能を選択して、この構成で有効になるようにします。

実行ファイル制御
権限管理
ブラウザ制御

実行ファイル制御

実行ファイル制御は、構成全体をとおして次の機能をカバーします。

信頼できる所有権 - ルールプロセス中、項目の所有権が、構成で指定されている信頼できる所有者のリストと一致していることを確認するため、ファイルおよびフォルダに対して信頼できる所有権の確認が実行されます。
セキュリティレベル - 許可されていないファイルを実行するための制限のレベルを指定します。
許可された項目と拒否された項目 - ルールセットに適用される、特定の項目に対するアクセスを許可または拒否します。

権限管理

権限管理を利用することで、ルールセットに関連付けできる再利用可能な権限管理ポリシーを作成できます。また、再利用可能な権限管理ポリシーを利用することで、ファイル、フォルダ、ドライブ、ファイルハッシュ、およびコントロールパネルコンポーネントへのアクセスを昇格させる、または制限することができます。制御レベルの粒度をより細かくすることで、ソフトウェアのデバッグやインストールを行うための特定の権限を割り当てることや、製品間 (Microsoft Outlook と Microsoft Word など) の相互運用性を管理するための整合性レベルを設定することができます。

権限管理には次の4つの主要機能があります。

アプリケーションを対象とする権限管理の昇格。
コントロールパネルコンポーネントや管理スナップインを対象とする権限管理の昇格。
アプリケーションを対象とする権限管理の降格。
コントロールパネルコンポーネントや管理スナップインを対象とする権限管理の降格。

ブラウザ制御

ユーザが特定の URL へのアクセスを試行したときに、そのユーザを自動的にリダイレクトするには、この機能を使用します。禁止された URL のリストを定義することにより、リストされた URL へのアクセスを試行したユーザを、既定の警告ページまたはカスタムの Web ページにリダイレクトします。特定の URL を許可するという選択肢もありますので、リダイレクトと併用すれば、柔軟性や制御性が高まるとともに、Web サイトの許可リストを作成できます。

Internet Explorer 用には、この機能を構成する前に、エンドポイントごとにインターネットオプションを使用して他社のブラウザ拡張を有効にする必要があります。または、これを、グループポリシーを使用して適用することもできます。

URL リダイレクトは、Internet Explorer 8、9、10、11 と互換性があります。 Chrome を使用する場合は、すべての管理エンドポイントが同じドメインに属している必要があります。

ハッシュアルゴリズム

ファイルハッシュは、ファイル自体の実際の内容にしたがってファイルを正確に特定するための手段となります。各ファイルが検査され、その内容に照らして、デジタルハッシュ (いわば指紋のようなもの) が生成されます。アプリケーション制御では、業界標準のハッシュである SHA-1、SHA256、および Adler-32 を使用します。何らかの方法でファイルが変更されると、ハッシュも変更されます。

デジタルハッシュは、その正確性から、究極のセキュリティ方式と考えられています。ファイル自体を除くすべての要素とは無関係に、各ファイルが特定されます。たとえば、管理者が、コンピュータシステム上のすべての実行ファイルのデジタルハッシュを取得して記録します。その後、あるユーザがアプリケーションを実行しようとします。そのアプリケーションのデジタルハッシュが計算され、記録された値と比較されます。合致すると、アプリケーションの実行が許可されます。それ以外の場合は拒否されます。この手法の場合、ゼロデイ保護も提供されます。新しいアプリケーションの導入がインターセプトされるだけでなく、マルウェアに感染しているアプリケーションもブロックされるからです。

ファイルハッシュが「信頼できる所有権」と同じような保護を提供するとはいえ、適所にあるセキュリティシステムの維持という観点で時間と管理についても考慮する必要があります。アプリケーションは、プログラムレベル、バグフィックス、脆弱性パッチなどの関係で常に更新されています。つまり、関連付けられたファイルもすべて、常に更新されています。そのため、たとえば、Microsoft Office に製品レベルが適用された場合、更新された部分を機能させるためには、更新されたファイルの新しいデジタルハッシュを取得する必要があります。ダウン時間を排除するため、更新が入手可能になった時点で、これらのハッシュを入手できるように注意を払ってください。さらに、古いハッシュは削除することをお勧めします。

詳細設定

詳細設定を使用すると、アプリケーション制御構成が配布されたときに管理エンドポイントに適用される追加設定を構成できます。新しい詳細設定が含まれている新しい構成を配布すると、エンドポイントに配置されている既存の詳細設定はすべて削除されます。

[詳細設定] タブで、作業領域を右クリックして [追加] を選択すると、使用できる詳細設定のリストが表示されます。これらの設定は、管理エンドポイントに構成が配布された時点で適用されます。

使用できる詳細設定

設定	データ型	説明
ADComputerGroupMembershipTimeoutSecs	数値	ネストされたコンピュータグループルックアップ実行時のタイムアウト (秒)。デフォルト設定は120秒で、この値を0に設定するとタイムアウトは無効になります。
ADQueriesEnabled	数値	この設定により、システムの識別名およびコンピュータのグループメンバーシップを決定する際に使用される AD クエリのタイプが制御されます。値を0に設定すると、ADに対するクエリが無効になり、構成に含まれるコンピュータグループおよび OU の使用が無効になります。規定値である1を設定すると、識別名およびダイレクト (ネストされていない) コンピュータグループの両方の AD クエリを、エージェントが実行するようになります。構成内のネストされたコンピュータグループは無視されます。値2を設定すると、識別名、ダイレクトコンピュータグループ、およびネストされているコンピュータグループの AD クエリを、エージェントが実行するようになります。この設定にすると、CPU の使用率が高くなることにより、DC のパフォーマンスの問題を引き起こす可能性があります。
AlternateTOCheck	数値	サードパーティのフィルタドライバがシステムにインストールされていると、信頼できる所有権の確認時に、SYSTEM プロセスの CPU 利用率が過剰になる場合がありました。値1を使用してこの設定を有効にすると、アプリケーション制御が別の方法で信頼できる所有権を検索するようになるため、場合によっては、この問題を軽減できる可能性があります。
AMFileSystemFilterFailSafe	数値	ファイルシステムのフィルタドライバがフェールセーフモーで動作するか、フェールセキュアモードで動作するかを構成します。エージェントで問題が発生して応答を停止した場合は、ドライバがフェールセーフモードで切断し、それ以上要求をインターセプトしなくなります。値1はフェールセーフ、0はフェールセキュアを示します。フェールセーフが既定の設定です。この設定を変更するには、エージェントを再起動して、有効にする必要があります。
AppHookDelayLoad	テキスト	設定した遅延時間 (ミリ秒) の後に AmAppHook Dll が読み込まれるようにします。この設定は、ファイル名単位で構成されます。形式は <filename+extension>,<delay> です。ファイル名と拡張子にはワイルドカードを使用できます。各ペアはセミコロンで区切ります。例: 「calc.exe,2000;note*.exe,6000」
AppHookEx	テキスト	アプリケーション制御は、アプリケーションネットワークアクセス制御 (ANAC) 機能の一部として Windows フックを利用します。まれに、フック時にアプリケーションが予期せぬ動作をする場合があります。この設定は、ANAC の特定の機能がフックされない、つまり ANAC のルールが適用されないアプリケーションのリストです。 1つのアプリケーションが AppHookEx と UrmHookEx の両方に指定されていると、AmAppHook.dll は読み込まれません。複数のエントリはセミコロン (;) で区切ります。
AppInitDllPosition	数値	この設定を使用して、アプリケーション制御フックの挿入に AsModLdr ドライバを使用するのか Appinit レジストリキーを使用するのかを指定します。また、AppInit_DLL レジストリ値の中での AMLdrAppinit.dll の位置を決定するためにも、この設定を使用します。次のいずれかの値を設定します。 0 - AMLdrAppInit.dll を AppInit_DLLs リストの先頭に配置します。 1 - AMLdrAppInit.dll を AppInit_DLLs リストの末尾に配置します。 -1 - AMLdrAppInit.dll を AppInit_DLLs リストと ASModLdr リストから除外します。 AMLdrAppInit.dll を両リストから除外すると、自動挿入は行われなくなります。 2 - AMLdrAppInit.dll を、挿入する DLL の ASModLdr リストに追加します。これは既定の設定です。この設定は、Ivanti サポートチームの指示に従って使用してください。
AssumeActiveSetupDespiteCitrix	公開されたアプリケーションを使用する Citrix クライアントでは、Windows のアクティブセットアップは、Citrix クライアントログオンの一部として実行されません。既定では、アプリケーション制御は、クライアントが Citrix プロトコルを使用していることを検出し、アクティブセットアップを除外対象と見なすため、アクティブセットアップと見られる状況下では、ブロックされたアプリケーションが許可されることは決してありません。また、オプションで、アプリケーション制御は関与している Citrix に対してより厳格なチェックを課すことができます。この設定の値を1に設定すると、拒否されたアプリケーションがこのような状況で許可されている可能性がないか、アプリケーション制御はより厳格なチェックを課します。値を2に設定すると、アプリケーション制御はこのような、アプリケーションが実際のアクティブセットアップ中にブロックされているかの「Citrix」チェックを停止します。
BrowserAppStorePort	数値	ブラウザ制御の Chrome 拡張のインストールを許可するために使用するポートを入力します。
BrowserCommsPort	数値	ブラウザ拡張からエージェントへの通信に使用されるポートを入力します。
BrowserExtensionInstallHive	数値	このエンジニアリング設定を使用すると、管理者は、どのレジストリハイブにアプリケーション制御 Chrome ブラウザ拡張をインストールするかを選択できます。オプションは次のとおりです。 0 - 拡張機能をインストールしません 1 - HKLM にインストールします 2 - HKCU にインストールします 0を選択した場合は、アプリケーション制御 Chrome 拡張機能を配布するための独自のエンタープライズアプリストアを管理者が手動で構成する必要があります。既定の動作は2で、Chrome 拡張が HKCU にインストールされます。
BrowserHookEx	テキスト	値を「Chrome.exe」に設定すると、Application Control ブラウザフック (BrowserHook.dll) への挿入を停止できます。ブラウザフックにより、Chrome 拡張が Application Control エージェントとの接続を確立するまで、すべてのネットワーク通信が遮断されます。このカスタム設定によるコア機能への影響はありません。
BrowserNavigateEx	テキスト	ナビゲーションイベント処理をバイパスするナビゲーション URL のパイプ (\|) 区切りのリスト。このリストの URL には、URL リダイレクトが適用されません。
ComputerOUThrottle	数値	この設定は、同時クエリ数を制限することで、接続クライアントごとに、組織単位メンバーシップを確認するための Active Directory ルックアップを制限します。この調整は、多数の接続クライアントを処理する場合の、ドメイン上のクエリトラフィック量の削減に役立ちます。この値を0～65535の範囲で設定します。
DFSLinkMatching	数値	DFS リンクパスをルールに追加できます。 DFS リンクと DFS ターゲットは、照合の対象となる個別の独立した項目として処理されます。. ルール適用前にリンクからターゲットに変換されることはありません。この値を1に設定すると、DFS リンク照合が有効になります。
DirectHookNames	テキスト	アプリケーション制御の Windows フックは、既定では user32.dll を読み込むすべてのプロセスに読み込まれます。この DLL を読み込まないアプリケーションはフックされません。 user32.dll を読み込まないアプリケーションはすべて、完全パスまたはファイル名のセミコロン区切りリストの一部として、この設定に組み込む必要があります。
DisableAppV5AppCheck	数値	既定では、AppV5 を使用して起動されたアプリケーションはすべて、信頼できる所有権の確認から除外されます。この動作を無効にするには、この設定を使って値1を指定します。
DisableSESecondDesktop	数値	既定では、自己昇格の監査ダイアログは2番目のデスクトップに表示されます。メインデスクトップにダイアログを表示するには、値を1に設定します。
DoNotWalkTree	数値	既定では、プロセスルールは親キー全体の一致を確認します。この設定は、は、プロセスルールに対して、ツリー全体を確認するのではなく、プロセスの直接の親のみを確認するように指示します。値1を指定すると、この設定が有効になります。
DriverHookEx	テキスト	アプリケーション制御フック (AMAppHook.Dll) が挿入されないアプリケーションのセミコロン区切りのリスト。アプリケーション制御で特定の機能を動作させるには、このフックを読み込む必要があります。このカスタム設定は、Ivanti サポートチームの指示に従って使用してください。
EnableScriptPreCheck	数値	スクリプト化されたルール内のスクリプトが処理される間、まるで値 false を返したかのように、それらのスクリプトが処理されます。スクリプトの処理にかかる時間は、スクリプトの内容に応じて異なります。この設定により、スクリプトの結果に依存するすべてのものが遅延しなくなるため、コンピュータの起動時およびユーザログイン時のパフォーマンスが最高になります。関連スクリプトが完了するまでプロセス群を待機させるには、値を1に設定します。この設定にすると、コンピュータの起動およびユーザログインが非常に低速になる場合があります。アプリケーション制御がスクリプトの結果を無期限に待機せずに、30秒のタイムアウトが適用されます。
EnableSignatureOptimization	数値	この設定は、署名使用時には、ルールチェックのパフォーマンスを向上させます。完全パスが一致しないファイルは、同じファイルではないと見なされ、ハッシュ化されません。有効にするには値を1に設定します。この設定と ExtendedAuditInfo を有効にすると、ハッシュ化されたファイル名が監査メタデータに表示されなくなります。
ExplicitShellProgram	テキスト	この設定は、アプリケーションアクセス制御 (AAC) で使用されます。アプリケーション制御は、シェルプログラム (既定では Explorer.exe) の起動を、そのセッションをログオンと見なすためのトリガーとして扱います。環境や技術が異なればシェルアプリケーションが変わり、どのようなシェルプログラムなのか、状況によってはエージェントが検出できない場合があります。アプリケーション制御は、(規定の shell アプリケーションに加えて) このリスト内のアプリケーションを使用して、どの時点のセッションがログオンであったと見なされるかを決定します。これは、完全パスまたはファイル名へのセミコロン区切りのリストです。
ExProcessNames	テキスト	フィルタドライバから除外すべきファイル名のリスト (スペース区切り)。この設定を変更するには、エージェントを再起動して、有効にする必要があります。
ExtendedAuditInfo	数値	この設定は、監査済みイベントのファイル情報を拡張します。監査済みイベント内の各ファイルについて、セキュアハッシュアルゴリズム1 (SHA-1) ハッシュ、ファイルサイズ、ファイルおよび製品のバージョン、ファイルの説明、ベンダ、会社名、および製品名が報告されます。この情報は、イベントログのファイル名の直後に追加されます。この設定は規定ではオンです。オフにするには、値0を入力します。 EnableSignatureOptimization 設定が有効になっているときは、ハッシュまたはチェックサムの生成は無効になっています。
ForestRootDNQuery	数値	Application Control エージェントがフォレストルートクエリを実行できるようにするには、値を1に設定します。クエリには、デバイスルールの OU およびコンピュータグループメンバーシップの目的で、接続デバイスの識別名を判定するための追跡参照が含まれます。
ImageHijackDetectionInclude	テキスト	子イメージが破損または修正されずに実行され、最初に要求されたイメージと一致することを保証するために、すべての子プロセスが検証の対象となるプロセス名のリスト。子プロセスが検証されない場合は強制終了されます。これは、完全パスまたはファイル名のセミコロン区切りのリストです。
OwnershipChange	数値	アプリケーション制御は、信頼できるファイルが信頼できない所有者によって変更されたかどうかを検出します。変更された場合には、ファイルの所有者がその信頼できないユーザに変更され、すべての実行要求がブロックされます。一部のアプリケーションは、アプリケーション制御が既定では検出しない方法でファイルを上書きするため、ファイルの所有者が変更されません。有効にすると、アプリケーション制御は追加のチェックを実行するため、すべてのファイルの変更/上書きが検出されます。有効にするには、値1に設定します。
RemoveDFSCheckOne	数値	ファイルが DFS ドライブに格納されるときに、アプリケーション制御エージェントは、さまざまな戦略を使用して、正しい UNC パスを評価します。多数のスクリプトと実行ファイルが Active Directory に保存され、Active Directory で複製される場合、これらの戦略によってログイン中に遅延が生じる可能性があります。値を1に設定して有効にすると、アプリケーション制御がこの戦略を無視するため、この状況でのパフォーマンスが向上します。
SECancelButtonText	テキスト	[自己昇格] ダイアログの [キャンセル] ボタンによって表示されるテキスト。
SelfElevatePropertiesEnabled	数値	プロパティの自己昇格を有効にするには、この値を1に設定します。この機能は既定では無効になっています。
SelfElevatePropertiesMenuText	テキスト	プロパティの自己昇格用のコンテキストメニューオプションのテキスト。
SEOkButtonText	テキスト	[自己昇格] ダイアログの [OK] ボタンによって表示されるテキスト。
ShowMessageForBlockedDLLs	拒否された DLL についてアプリケーション制御アクセス拒否メッセージボックスを表示するには、値を1に設定します。
UrlRedirectionSecPolicy	数値	既定では、URL リダイレクト機能はセキュリティポリシーを無視します。この技術設定により、管理者は、強制的に URL リダイレクトを構成されたセキュリティポリシーに従わせることができます。有効にするには、値1に設定します。自己権限付与はサポートされていません。
UrmForceMediumIntegrityLevel	テキスト	アプリケーション用のユーザ権限が昇格されたときの整合性レベル (既定では整合性レベルは高に設定される) を上書きするために使用される、ユーザ権限管理 (UPM) カスタム設定。この設定を使用すると、レベルが「標準」に下がります。この値は、ファイル名のセミコロン区切りのリストでなければなりません。
UrmHookEx	テキスト	アプリケーション制御は、ユーザ権限管理機能の一部として Windows フックを利用します。まれに、フック時にアプリケーションが予期せぬ動作をします。この設定により、ユーザ権限管理固有の機能がフックされていないアプリケーションがリストされます。 1つのアプリケーションが AppHookEx と UrmHookEx の両方に指定されていると、AmAppHook.dll は読み込まれません。複数のエントリはセミコロンで区切ります。
UrmPauseConsoleExit	テキスト	ユーザ権限管理機能によって使用されます。昇格されたコンソールアプリケーションがあると、新しいアプリケーションが新しいコンソールウィンドウに表示されます。. このアプリケーションは完了まで実行されてから、閉じます。これは、プログラムの出力を確認したいユーザにとっては問題です。この設定により、何らかのキーが押下されるまでアプリケーションが保持されるようになります。これは、完全パスまたはファイル名へのセミコロン区切りのリストです。
UrmSecPolicy	数値	既定では、ユーザ権限管理機能はセキュリティポリシーをほぼ無視します。ユーザ権限管理のルールは、[監査のみ] モードが選択されている場合を除いて、すべてのケースに適用されます。このカスタム設定により、管理者は、強制的にユーザ権限管理を構成されたセキュリティポリシーに従わせることができます。セキュリティレベルが [制限なし] または [自己権限付与] の場合、ユーザ権限管理のルールは適用されません。 [制限] レベルの場合、ユーザ権限管理のルールが適用されます。この設定を有効にするには、値1に設定します。