パッチと準拠ヘルプ

パッチと準拠ツール ウィンドウ ([ツール] > [セキュリティと準拠] > [パッチと準拠]) では、セキュリティ スキャン、修正、および関連タスクを実行します。[セキュリティ コンテンツのダウンロードと管理、セキュリティと準拠スキャンの設定、修正の設定、セキュリティ スキャナ表示および対話設定のカスタマイズと適用、スキャン対象デバイスの包括的なセキュリティ関連情報の表示ができます。

パッチと準拠のメイン セクションでは、このセキュリティ管理ツールの概要を説明しています。このセクションでは、概要とセキュリティ コンテンツ登録情報に加え、ツールのインターフェースと機能説明などツールの全機能を使用するための段階的な手順が説明されています。「パッチと準拠ツールの使用方法と詳細」をご参照ください。パッチ設定については、「エージェント設定:配布とパッチ」をご参照ください。パッチ設定については、「エージェント設定:配布とパッチ」をご参照ください。

このセクションでは、[パッチと準拠] ダイアログ ボックスのヘルプ トピックについて説明します。コンソール インターフェイスから、それぞれのダイアログ ボックスにある [ヘルプ] ボタンをクリックすると、これらのヘルプ トピックにアクセスできます。

•[パッチと準拠ツール] ウィンドウ ヘルプ

•セキュリティ コンテンツ更新のダウンロード ヘルプ

•定義プロパティ ヘルプ

•検出ルール プロパティ ヘルプ

•パッチと準拠タスク ヘルプ

•パッチと準拠ツールバー ヘルプ

[パッチと準拠ツール] ウィンドウ ヘルプ

[列を選択] ダイアログ ボックスについて

このダイアログ ボックスを使用して、[パッチと準拠] ツール ウィンドウの項目リストのデータ列を構成します。表示されるデータ列を決めると、ダウンロードされたセキュリティ定義の長いリストを並べ替え、特定のタスクや状況に必要な情報をすばやく見つける事ができます。

データ列の追加と削除、およびリスト内で上下への移動 (列表示では左右へ移動) を行うことによって、重要かつ関連性の高い情報を確実に前面中央に配置できます。

•利用可能な列:[パッチと準拠ツール] ウィンドウに現在表示されていないが、[選択された列] リストに追加可能なデータ列を一覧表示します。

•選択した列:[パッチと準拠ツール] ウィンドウに現在表示されていないデータ列を一覧表示します。データ列は、上から下にここで表示される順序で、左から右に向かってダウンロードされたセキュリティ定義リストに表示されます。

•標準の設定:既定で表示されているデータ列に戻します。

[フィルタ管理] ダイアログ ボックスについて

このダイアログ ボックスでは、[パッチと準拠] ウィンドウの項目リストに表示するセキュリティ コンテンツをカスタマイズするときに使用するフィルタを管理できます。フィルタを使用して、長いリストを整理します。

•新規 :[フィルタ プロパティ] ダイアログ ボックスが開きます。このダイアログでは、新しいフィルタの設定を行います。

•編集:[フィルタ プロパティ] ダイアログ ボックスが開きます。このダイアログでは、選択したフィルタの変更および保存を行います。

•削除:選択したフィルタをデータベースから完全に削除します。

•フィルタを使用する: 現在の項目リストに選択したフィルタを適用します。ツリー ビューの別のグループをクリックすると、適用されたフィルタが永続化します。

[フィルタ プロパティ] ダイアログ ボックスについて

このダイアログ ボックスを使用して、セキュリティ コンテンツ リスト フィルタを作成または編集します。オペレーティング システム、セキュリティ リスクの重要度、またはこれらの組み合わせでフィルタできます。

•フィルタ名: フィルタを一意の名前で特定します。この名前は [フィルタ] ドロップダウン リストに表示されます。

•フィルタ オペレーティング システム: 定義を項目リストに表示するオペレーティング システムを指定します。選択したオペレーティング システムに関連付けられた項目のみが表示されます。

•フィルタ重要度: 定義を項目リストに表示する重要度を指定します。選択した重要度と一致する重要度の項目のみが表示されます。

セキュリティ コンテンツ更新のダウンロード ヘルプ

[更新のダウンロード] ダイアログ ボックスについて

このダイアログ ボックスでは、セキュリティ コンテンツ更新のダウンロード、プロキシ サーバ、パッチ ファイルのダウンロード場所、スパイウェアの自動修正、アンチウイルスの更新とバックアップに関する設定ができます。

[更新のダウンロード] ダイアログ ボックスのページでダウンロードするコンテンツのタイプと他のオプションを指定した後の処理:

•すぐにダウンロードするには、[今すぐダウンロード] をクリックします。[適用] をクリックすると、指定した設定が保存され、次回このダイアログ ボックスを開いたときに表示されます。[閉じる] をクリックすると、設定を保存するように指示されます。

•セキュリティ コンテンツのダウンロード タスクをスケジュールするには、[ダウンロードのスケジュール] をクリックします。 タスクの名前を入力し、情報を確認してから、[OK] をクリックして、スケジュール タスクにタスクを追加します。

•ログ ファイルを開くには、[ログの表示] をクリックします。

このダイアログ ボックスのいずれかのページで行った変更を保存するには、[適用] をクリックします。

[更新のダウンロード] ダイアログ ボックスには次のページがあります。

•[更新] ページについて

•[プロキシ設定] ページについて

•[パッチの場所] ページについて

•[Ivanti Antivirus] ページについて

•[コンテンツ] ページについて

•[インポート/エクスポート] ページについて

重要:セキュリティ コンテンツ ダウンロードに関する特別な考慮事項

Endpoint Security for Endpoint Manager コンテンツ サブスクリプション

基本的な エンドポイント マネージャ インストールでは、Ivanti ソフトウェア更新をダウンロードおよびスキャンし、独自のカスタム定義を作成および使用することができます。プラットフォーム固有の脆弱性やスパイウェア、その他すべてのセキュリティ コンテンツ タイプについては、Ivanti® Endpoint Security for Endpoint Manager コンテンツ購読を取得して、関連付けられた定義をダウンロードする必要があります。

Endpoint Security for Endpoint Manager コンテンツ購読の詳細については、Ivanti 販売店に連絡いただくか、Ivanti の Web サイトにアクセスしてください。Ivanti ホーム

タスク固有の設定とグローバル設定

特定のタスクを作成する場合、定義タイプ、言語、定義とパッチのダウンロード設定のみが保存され、特定のタスクに関連付けられます。この 3 つの設定はタスク固有の設定です。

ただし、[更新のダウンロード] ダイアログ ボックスの他のページの設定はすべてグローバル設定であるため、これ以降のセキュリティ コンテンツ ダウンロード タスクのすべてに適用されます。グローバル設定には、パッチのダウンロード場所、プロキシ サーバ、スパイウェアの自動修復、セキュリティ アラート、アンチウイルスに関する設定があります。グローバル設定を変更すると、その時点からすべてのセキュリティ コンテンツのダウンロード タスクに対して有効になります。

[更新] ページについて

•更新ソース サイトの選択:最新の定義、検出ルール、および関連付けられたパッチをデータベースにダウンロードする際にアクセスする Ivanti コンテンツ サーバを指定します。最も近い場所にあるサーバを選択してください。最も近い場所にあるサーバを選択してください。

•定義タイプ: 更新されるセキュリティ コンテンツ定義を特定します。サブスクリプションがある定義タイプのみを使用できます。多くの定義タイプを選択するとそれだけ、更新にかかる時間が長くなります。

セキュリティ コンテンツをダウンロードすると、パッチと準拠ツールのメイン ウィンドウで [すべてのタイプ] ドロップダウン リストを使用して、リストに表示する定義タイプを決定できます。

•言語:選択した定義タイプで更新する言語バージョンを指定します。

一部の脆弱性およびその他の定義タイプ、関連付けられたパッチは言語に依存しません。つまり、その定義が対応する OS またはアプリケーションのすべての言語バージョンと互換性があります。これらは、OS やアプリケーションの言語バージョンと互換性があることを意味します。つまり、パッチではサポートされているすべての言語を処理するため、脆弱性を修正するために別の言語特有のパッチを使用する必要はありません。 たとえば、Linux プラットフォームでは、言語とは無関係な定義とパッチのみが使用されています。ただし、Microsoft Windows および Apple Macintosh プラットフォーム脆弱性定義とパッチはほぼ常に言語固有です。

プラットフォームのコンテンツをダウンロードする場合、選択されたプラットフォーム (該当するセキュリティ コンテンツ サブスクリプション) の言語に無関係なすべての脆弱性定義は、既定で自動的に更新されます。Windows または Mac コンテンツ タイプを選択した場合は、定義を更新する言語も選択する必要があります。Linux プラットフォームを選択した場合、そのプラットフォームのコンテンツは言語とは無関係であり、自動的に更新されるため、特定の言語を選択する必要ありません。

•上記で選択した定義のパッチをダウンロード:次のいずれかのダウンロード オプションに従って、指定されたダウンロード場所 (「[パッチの場所] ページ」を参照) にパッチ実行可能ファイルを自動的にダウンロードします。

•検出された定義のみが対象:最後のセキュリティ スキャンで検出された脆弱性、セキュリティ侵害、または Ivanti 更新 ([検出] グループに現在置かれている定義) に対応するパッチのみをダウンロードします。

•ダウンロードされている定義すべてが対象です。[スキャン] グループに現在置かれている脆弱性、セキュリティ侵害、Ivanti ソフトウェア更新に対応するパッチすべてをダウンロードします。

•新しい定義を次のスキャン ステータスに設定: 新しい定義と関連付けられた検出ルールを、選択したグループに自動的に入れます。コンテンツを手動でスキャン グループに/スキャン グループから移動して、セキュリティ スキャンをカスタマイズする場合は、このオプションを調整します。

•定義グループ設定: [定義グループ設定] ダイアログボックスを開き、定義グループを作成、管理、選択できます。定義グループ設定を使用して、スキャン ステータス、ダウンロード場所、指定されたタイプと重要度条件と一致するセキュリティ定義 (コンテンツ) がダウンロードされる方法を自動化できます。

[プロキシ設定] ページについて

ネットワークが外部転送のためにプロキシ サーバを使用する場合 (インターネット アクセスなど)、このページを使用して、プロキシ サーバ設定を有効化および構成します。脆弱性情報を更新し、該当する Web サービスからパッチ ファイルをダウンロードするには、インターネット アクセスが必要です。

•プロキシ サーバを使用する: プロキシ サーバ オプションを有効にします (既定ではオフ)。プロキシ サーバを有効にする場合は、次の [アドレス] フィールドと [ポート] フィールドに入力する必要があります。

•サーバ:プロキシ サーバの IP アドレスとポート番号を識別します。

•HTTP に基づくプロキシ: HTTP に基づくプロキシ (Squid など) である場合はプロキシ サーバを有効にし、FTP サイトに正常に接続し、パッチをダウンロードできるようにします。(一部の FTP サイトでホストされたパッチは、最初にこのオプションを有効しないと、HTTP に基づくポリシーを使用してダウンロードできません。)

•ログインが必要:プロキシ サーバが透過的ではなく認証が必要な場合に、ユーザ名とパスワードを入力できます。

[パッチの場所] ページについて

このページでは、パッチ実行ファイルのダウンロード先を指定します。

•パッチが保存される UNC パス: パッチ ファイルがダウンロードされる場所を指定します。既定の場所はコア サーバの \LDLogon\Patch フォルダです。パッチをダウンロードする別の UNC パスを入力できますが、以下のフィールドに有効な認証資格情報を入力してその場所へのアクセスを確保する必要があります。

•パッチを保存するための認証資格情報: コアサーバ以外の場所にアクセスするための有効なユーザ名とパスワードを指定します。コアサーバの既定の場所にパッチをダウンロードしている場合は、ユーザ名とパスワード フィールドは適用されません。

•クライアントがパッチにアクセスする Web URL: デバイスが配布するためにダウンロードされたパッチにアクセスできる Web アドレスを指定します。既定の場所はコア サーバの \LDLogon\Patch フォルダです。この場所は通常は上記で指定された UNC パスと同じです。

•設定のテスト:指定された URL への接続テストを実行します。

•既定値にリセット:UNC パスおよび URL を既定の場所に戻します。 既定の場所は、コア サーバの \LDLogon\Patch フォルダです。

[Ivanti Antivirus] ページについて

このページを使用して、Ivanti Antivirus ウイルス定義ファイルのダウンロード オプションを構成します。このページは Ivanti Antivirus が使用する実際のウイルス定義ファイルにのみ適用されることに注意してください。 [更新] ページの定義リストで利用できるアンチウイルス スキャナ検出コンテンツ (アンチウイルス更新) には適用されません。

[コンテンツ] ページについて

このページを使用して、定義をダウンロードする前に検証が必要かどうかを指定します。検証が必要なことで、ダウンロードをより安全にします。

• ダウンロード前に定義シグネチャ/ハッシュを確認する:オンにすると、有効な SHA256 ハッシュがない定義を除外します。ダウンロードから除外される署名は失敗と表示されます。

[インポート/エクスポート] ページについて

このページを使用して、[更新のダウンロード] ダイアログボックスのすべてのページで以前に指定されたダウンロード設定のグループをインポートまたはエクスポートします。複数のコアがある場合、各コアに設定をコピーすると、各コンピュータで個別の設定を選択する必要がないため、時間を短縮できます。

• 設定をファイルからインポート...:クリックすると、[インポートするファイルを選択] ダイアログが開きます。インポートする *.ldms ファイルを参照し、[開く] をクリックします。
• 設定をファイルにエクスポート...:クリックすると、[エクスポート ファイル名を選択] ダイアログが開きます。エクスポートする設定を参照し、[保存] をクリックします。
• 設定を別のコアにコピー...:クリックすると、[コンテンツをコアにコピー] ダイアログが開きます。1つ以上のサーバを選択し、[コンテンツのコピー] をクリックします。

定義プロパティ ヘルプ

[定義プロパティ] ダイアログ ボックスについて

このダイアログ ボックスを使用すると、脆弱性、スパイウェア、セキュリティ脅威、ソフトウェア更新など、ダウンロードしたコンテンツ定義タイプのプロパティを表示できます。

このページでは、独自のカスタム定義を作成することもできます。

この情報は、ダウンロードされた定義に関して読み取り専用です。カスタム定義の場合、このダイアログ ボックスのフィールドを編集できます。このダイアログ ボックスと検出ルールのプロパティ ダイアログ ボックス内の有効なフィールドに、カスタム定義の ID、属性、および検出ルールに関する詳細情報を入力できます。

左右の矢印ボタン (<, >) を使用して、前の定義や次の定義のプロパティ情報を、メイン ウィンドウに現在リストされている順序で表示します。

[定義のプロパティ] ダイアログ ボックスには次のページがあります。

•定義:[全般] ページ

•定義:[説明] ページ

•定義:[依存関係] ページ

•定義:[カスタム変数] ページ

定義:[全般] ページ

•ID:選択した定義を、ベンダ定義の固有の英数字コード (カスタム定義の場合、ユーザ定義の固有の英数字コード) で示します。

•タイプ:選択した項目を、脆弱性、セキュリティ侵害、カスタム定義などとして示します。

•公開日:ベンダによって選択された定義が公開された (またはユーザによって作成された) 日付を示します。

•タイトル:選択した定義の性質またはターゲットを簡単なテキスト文字列で説明します。

•重要度: 定義の重要度を示します。ダウンロードされたコンテンツの場合、この重要度はベンダによって割り当てられます。カスタム定義の場合、重要度は定義の作成者によって割り当てられます。オプションは、次のとおりです。サービスパック、緊急、高、中、低、未適用、不明。この情報を使用して、定義に関連するリスクと、ネットワークにおける緊急スキャンと修正の方法を評価します。

•ステータス: パッチと準拠ウィンドウの定義のステータスを示します。3つのステータス インジケータ:スキャン (選択した項目が次のセキュリティ スキャンで有効)、スキャンしない (スキャンされない)、未割り当て (一時格納領域であり、スキャンされない)。3つの状態/グループの詳細については、「パッチと準拠ツールの使用方法と詳細」をご参照ください。

•言語: 定義で特定されたプラットフォームの言語を指定します。カスタム定義の場合、INTL が既定値で、定義が独立した言語であり、編集できないことを意味します。

•カテゴリ:各セキュリティ コンテンツ タイプ内のより具体的なカテゴリを示します (上記を参照)。

•[[スキャンしない] に設定しない場合はクライアント キャッシュに保持する]: 選択すると、パッチ ファイルがクライアント キャッシュに保持されます。 繰り返しスキャンする脆弱性の場合に役立ちます。以前にオンになっていたのをオフにした場合、そのパッチは、次回クライアントがステータスをチェックした際に削除されます。

•検出ルール: 選択した定義に関連付けられた検出ルールを一覧表示します。[ダウンロード完了] は、 対応するパッチ ファイルがローカル レポジトリにダウンロードされているかどうかを示し、[サイレント インストール] は、ユーザの介入なしにパッチをインストールするかどうかを示します。

検出ルールを右クリックすると、その関連パッチ (1 つまたは複数) のダウンロード、セキュリティ スキャンの検出ルールの有効化/無効化、関連パッチのアンインストール、またはプロパティの表示を行うことができます。また、検出ルールをダブルクリックしてもプロパティを表示できます。

カスタム定義を操作している場合、新しい定義ルールを作成するには [追加] をクリックし、選択したルールを修正するには [編集] をクリックし、選択したルールを削除するには [削除] をクリックします。

定義:[説明] ページ

•説明:選択した定義の詳細情報をユーザに提供します。この情報はベンダの調査とテスト記録 (またはカスタム定義を作成したユーザ) によって提供されます。

•詳細情報:選択した定義に関する詳細が掲載されているベンダ固有 (またはユーザ定義) の Web ページ (通常は、サポート サイト) への HTTP リンクがあります。

•More information for CVE ID (CVE ID の詳細情報):(脆弱性にのみ適用) 選択した脆弱性の CVE ID (名) およびその特定の CVE ID の CVE ウェブ ページへのリンクを提供します。詳細については、「CVE 名による脆弱性の検索」をご参照ください。

定義:[依存関係] ページ

このページは、選択した定義に関連付けられた前提条件定義があるか、実行する前に別の定義が選択した定義に依存している場合にのみ表示されます。このページを使用すると、セキュリティ スキャン タスクに、デバイスをスキャンする前に正常に動作する必要があるすべての定義が含まれる個を確認できます。

依存関係は、次の定義タイプにのみ存在します。

•前提条件: 選択した定義をデバイスで確認する前に実行する必要がある定義を一覧表示します。このリストの定義のいずれもスキャン タスクに含まれない場合は、選択した定義はセキュリティ スキャナによって検出されません。

•依存関係: 選択した定義を実行した後まで、セキュリティ スキャナによって検出されない定義を一覧表示します。これらの定義がセキュリティ スキャン タスクに含まれない場合でも、選択した定義はスキャンされます。ただし、スキャン タスクでこのリストの定義を正常に検出する場合は、選択した定義を最初に実行する必要があります。

定義:[カスタム変数] ページ

このページは、選択したセキュリティ定義に修正可能な設定または値が含まれる場合にのみ表示されます。一部のシステム構成セキュリティ侵害定義には、セキュリティ スキャンに含める前に変更できる変数設定があります。通常、アンチウイルス定義にもカスタム変数設定があります。

カスタム変数を使用して1つ以上の設定の値を変更し、セキュリティ脅威のスキャン機能を微調整できるので、スキャナ定義したとおりの条件でチェックを実行できます。その結果、その条件が満たされた場合 (指定した値が検出された場合) にのみ、デバイスが脆弱であると判断されます。

カスタマイズ可能な変数を持つセキュリティ定義のそれぞれには、ユニークな変更可能な特定の値のセットがあります。しかし、それぞれの場合で [カスタム変数] ページには次のような共通情報を表示されます。

•名前:カスタム変数を識別します。名前は変更できません。

•値:カスタム変数の現在の値を示します。変数が読み取り専用でないかぎり、このフィールドをダブルクリックして値を変更できます。

•変数の追加: 独自のカスタム変数を作成できるダイアログボックスを開きます。(メモ: カスタム脆弱性定義のカスタム変数を作成する前に、1 つ以上の検出ルールを定義に含める必要があります。)

•変数の編集:選択したカスタム変数を編集します。

•変数の削除:選択したカスタム変数を削除します。

•説明:定義の発行元からカスタム変数について詳細情報を提供します。

•既定値:変更した設定を元の値に戻す場合に使用する既定値を提供します。

カスタム変数を変更するには、[値] フィールドをダブルクリックし、ドロップダウン リストがある場合は値を選択します。あるいは、手作業で値を編集し、[適用] をクリックします。その後 [適用] をクリックします。 一部の変数は読み取り専用なので編集できないことに注意してください (通常、説明で示されます)。

カスタム変数優先設定の情報は、デバイスの [インベントリ] ビューから見ることができます。

[カスタム変数の追加と編集] ダイアログ ボックスについて

このダイアログを使用して、カスタム脆弱性定義のカスタム変数を作成および編集します。カスタム変数を使えば 1 つ以上の設定の値を変更することによってセキュリティ侵害のスキャン機能を微調整できるので、定義したとおりの条件をスキャナがチェックできます。

このダイアログには次のオプションがあります。

•名前:カスタム変数を識別します。

•説明:カスタム変数に関する有用な追加情報が表示されます。

•タイプ:カスタム変数を定義するリソースのタイプ (文字列、暗号化文字列、複数値文字列、整数、列挙、ブール値) を指定します。

•利用可能な値:上記で指定したタイプに基づいて、作成しているカスタム変数で有効と見なすことができるすべての値を入力します。

•既定値:カスタム変数の既定値を示します。

検出ルール プロパティ ヘルプ

[検出ルール プロパティ] ダイアログ ボックスについて

このダイアログ ボックスでは、ダウンロードしたセキュリティ コンテンツの検出ルール プロパティの表示およびカスタム検出ルールの作成ができます。

この情報は、ダウンロードされた定義に属する検出ルールに関して読み取り専用です。カスタム定義の場合、このダイアログ ボックスのフィールドを編集できます。検出ルール設定を指定し、各ページでオプションを構成して、カスタム検出ルールを作成します。さらに、カスタム検出ルールが修正を許可する場合は、修正中に実行する特殊コマンドを追加できます (パッチ インストールまたはアンインストール)。

左右の矢印ボタン (<, >) を使用して、前の検出ルールや次の検出ルールのプロパティ情報を、メイン ウィンドウに現在リストされている順序で表示できます。

[検出ルール プロパティ] ダイアログ ボックスには次のページがあります。

•[検出ルール]:[全般情報] ページについて

•[検出ロジック:影響を受けるプラットフォーム] ページ

•[検出ロジック:影響を受ける製品] ページ

•[検出ロジック:検索に使用されるファイル] ページについて

•[検出ロジック:検出に使用されるレジストリ設定] ページ

•[検出ロジック:カスタム スクリプト] ページ

•[パッチ情報] ページについて

•[パッチ検出]:インストール済みパッチ検索に使用されるファイル] ページについて

•[パッチ検出]:インストール済みパッチ検索に使用されるレジストリ設定] ページについて

•[パッチ インストール コマンド] ページについて

•[パッチ アンインストール コマンド] ページについて

[検出ルール]:[全般情報] ページについて

•名前:検出ルール名が表示されます。

•状態: 検出ルールがスキャンするかしないかに設定されているかどうかを示します。これらの 2 つの状態は、[パッチと準拠] ウィンドウの [検出ルール] の [スキャン] と [スキャンしない] グループに対応します。

•ID:このルールに関連付けられた定義の ID を示します。

•タイトル:このルールに対応した定義のタイトルを示します。

•説明:このルールに対応した定義の説明を示します。

•コメント: 使用可能な場合は、ベンダの詳細を入力します。カスタム定義を作成または編集している場合は、独自のコメントを入力できます。

検出ロジックの各ページ

次のページは、脆弱性定義 (またはその他の定義タイプ) がスキャンするデバイス上に存在するかどうかを判断するために、選択した検出ルールによって使用される検出ロジックを参照します。

[検出ロジック:影響を受けるプラットフォーム] ページ

このルールの関連付けられた定義を確認するためにセキュリティ スキャナが実行するオペレーティング システムを示します。つまり、選択したプラットフォームと一致するデバイスのみがこのルールを処理しようとします。1つ以上のプラットフォームを選択する必要があります。ターゲット デバイスが別のオペレーティング システムを実行している場合は、セキュリティ スキャナが終了します。

[検出ロジック:影響を受ける製品] ページ

•製品: 検出ルールで確認する製品を一覧表示し、関連付けられた定義がスキャンされたデバイスに存在するかどうかを判断します。リストで製品を選択し、名前、ベンダ、バージョン情報を表示します。 検出ルールに必ずしも製品を関連付ける必要はありません。関連付けられている製品は、セキュリティ スキャンの実行プロセスにおいて、フィルタの役割を果たします。関連付けられている製品がデバイスで発見されなかった場合、そのデバイスでのスキャンは中止されます。しかしながら、製品が指定されていない場合、あるいは影響を受ける製品が指定されていない場合は、ファイルチェックのスキャンは継続されます。

カスタム検出ルールを作成または編集している場合は、[構成] をクリックして新しいダイアログボックスを開くと、リストの製品を追加および削除できます。利用可能な製品のリストは、Ivanti® Endpoint Security for Endpoint Manager Web サービス経由で更新したセキュリティ コンテンツで決定されます。

•名前:選択した製品の名前を表示します。

•ベンダ:ベンダの名前を表示します。

•バージョン:選択した製品のバージョン番号を表示します。

[検出ロジック:検索に使用されるファイル] ページについて

•ファイル: 関連付けられた定義がスキャンされたデバイスに存在するかどうかを決定するために使用するファイル条件 (存在、バージョン、日付、サイズなど) を一覧表示します。リストのファイルを選択し、検証方法と想定されたパラメータを表示します。すべてのファイル条件が満たされる場合、デバイスは影響しません。つまり、これらのファイル条件のいずれも満たされない場合、そのデバイスで脆弱性が存在することが判定されます。リストにファイル条件がない場合、スキャンはレジストリ確認に進みます。
カスタム検出ルールを作成または編集している場合は、[追加] をクリックしてフィールドを編集可能にし、新しいファイル条件と想定される値/パラメータを構成します。複雑さに応じて、ルールには1つ以上のファイル条件を含めることができます。ファイルの条件を保存するには、[更新] をクリックします。リストからファイル条件を削除するには、選択して、[削除] をクリックします。

•検証方法: 規定されたファイル条件がスキャンされたデバイスで満たされているかどうかを検証するために使用する方法を示します。たとえば、検出ルールはファイルの存在、バージョン、日付、サイズなどをスキャンできます。検証方法の下に表示される想定されるパラメータは、方法自体によって決定されます (以下のリストを参照)。

カスタム検出ルールを作成または編集している場合は、[検証方法] ドロップダウン リストから検証方法を選択します。上記のとおり、パラメータ フィールドは、次のリストで説明するように、各検証方法に応じて異なります。

[再帰的にファイルを検索する] オプションは MSI を除くすべてのファイル検証に適用され、指定したパスの場所および既存サブフォルダ内のファイルがスキャンされます。

•ファイルの存在のみ: 指定されたファイルのスキャンによって検証します。パラメータは、以下のとおりです[パス（ファイル名を含むハード ドライブ上のファイルの場所）]、[必要条件（存在の正負）]

•ファイル バージョン: 指定されたファイルとバージョン番号のスキャンによって検証します。パラメータ: パス、最低バージョン、要件 (存在する必要があり、存在していてはならない、または存在する場合がある)。

[ファイル バージョン]、[日付]、[サイズ]のパラメータを適切な値フィールドに自動生成するには、ファイルのパスと名前を指定してから、[データ収集] ボタンをクリックします。

•ファイル日付: 指定されたファイルと日付のスキャンによって検証します。パラメータ: パス、最小日付、要件 (存在する必要があり、存在していてはならない、または存在する場合がある)。

•ファイル サイズ/チェックサム: 指定されたファイルとサイズ、またはチェックサム値のスキャンによって検証します。パラメータ: パス、チェックサム、ファイル サイズ、要件 (存在する必要があり、存在していてはならない、または存在する場合がある)。

•インストールされている MSI 製品 ID:特定の MSI 製品がインストールされているか （マイクロソフト社のインストーラ機能によりインストールされる製品） を、スキャンにより検証します。パラメータ: Guid (製品のグローバル一意の ID)。

•インストールされていない MSI 製品 ID:特定の MSI 製品がインストールされていないかを、スキャンにより検証します。パラメータ: Guid。

[検出ロジック:検出に使用されるレジストリ設定] ページ

•レジストリ: 関連付けられた脆弱性 (またはタイプ) がスキャンされたデバイスに存在するかどうかを判断するために使用されるレジストリ キー条件を一覧表示します。リストで登録キーを選択し、想定されるパラメータを表示します。これらの条件のいずれも満たされない場合、そのデバイスで脆弱性が存在することが判定されます。

カスタム検出ルールを作成または編集している場合は、[追加] をクリックして、新しいレジストリ キー条件と想定されるパラメータを構成します。ルールには1つ以上のレジストリ条件が含まれます。レジストリの条件を保存するには、[更新] をクリックします。リストからレジストリ条件を削除するには、選択して、[削除] をクリックします。

•キー:レジストリ キーの予想フォルダおよびパスを識別します。

•名前:キーの名称を表示します。

•値:キーの値を表示します。

•必須:レジストリ キーが対象デバイスに存在することの正負を表示します。

[検出ロジック:カスタム スクリプト] ページ

スキャンされたデバイスで他の条件を確認するカスタム VB スクリプトを作成する場合は、このページを使用します。結果を報告するためにカスタム スクリプトでアクセスできるこのセキュリティ スキャナのランタイム プロパティ: [検出済み]、[理由]、[予想]、[検出値]

[エディタの使用] ボタンをクリックすると、このファイル タイプに関連付けられた既定のスクリプト編集ツールが開始されます。ツールを閉じると、[カスタム スクリプト] ページに変更内容を保存するよう、プロンプトが表示されます。別のツールを使用するには、ファイル タイプの関連付けを変更します。

[カスタム脆弱性の製品プロパティ:[全般情報] ページについて

カスタム製品を含むカスタム脆弱性定義を作成するときは、これらのダイアログ ボックスを使用してください。

名前、ベンダ、バージョン番号を入力した後、脆弱性があるとみなす条件を認識する検出ロジックを定義します。

これらのダイアログ ボックスは、ダウンロードされた公開脆弱性定義の [プロパティ] ダイアログ ボックスと似ています。上記の対応するセクションをご参照ください。

このページには次のオプションがあります。

•影響を受ける製品:カスタム脆弱性定義から影響を受ける製品のリストです。

•使用可能な製品:ダウンロードされた製品のリストです。

•影響を受けるプラットフォーム別に使用可能な製品をフィルタする:[検出ロジック: 影響を受けるプラットフォーム] ページに関連付けられた製品のみにリストをフィルタ[影響を受けるプラットフォーム] ページ

•追加:[プロパティ] がダイアログ ボックスが開きます。このダイアログでは、製品のカスタム定義を作成できます。

[カスタム脆弱性の製品:検出ロジック] ページについて

次のページは、脆弱性定義 (またはその他の定義タイプ) がスキャンするデバイス上に存在するかどうかを判断するために、選択した検出ルールによって使用される検出ロジックを参照します。

これらのダイアログ ボックスは、上記のベンダが公開した、ダウンロード済みの既知 OS とアプリケーションの脆弱性定義の [検出ロジック] ダイアログ ボックスと似ています。オプションの詳細については、上記の対応するセクションをご参照ください。

[カスタム脆弱性の製品:検出ロジック:検索に使用されるファイル] ページについて

上記の [検出ロジック:検索に使用されるファイル] ページをご参照ください。

[カスタム脆弱性の製品:検出ロジック:検出に使用されるレジストリ設定キー] ページについて

上記の [検出ロジック:検出に使用されるレジストリ設定] ページをご参照ください。

[カスタム脆弱性の製品:検出ロジック:[カスタム検出スクリプト] ページについて

上記の [検出ロジック:カスタム スクリプト] ページをご参照ください。

[パッチ情報] ページについて

このページでは、ルールの対応するパッチ ファイル (修正が必要な場合)、およびそのパッチがインストールされているかどうかを検出するのに使用されるロジックを定義および設定できます。カスタム修正のための追加のパッチ ファイル インストールまたはアンインストール コマンドを構成できます。

このページとその下のページは、脆弱性を修正するために必要なパッチ ファイルを参照します。これらのページは、選択した検出ルールがパッチ ファイルの配布によって修正を許可する場合にのみ適用できます。検出ルールがスキャンのみに制限されているか、セキュリティ コンテンツ タイプがセキュリティ脅威またはスパイウェアの場合と同様に修正のパッチ ファイルを使用しない場合、これらのページは該当しません。

•パッチで修復または検出のみ:検出ルールが、対応する定義の有無をチェックするか (検出のみ) 、または検出ルールが、必要なパッチの配布およびインストールを行うことで、その対応する定義の修正も行うかどうかを指定する場合は、これらのいずれかのオプションをクリックします。

•パッチ ダウンロード情報:

•パッチの URL:検出されると、選択した定義を修正するのに必要なパッチファイルの完全なパスとファイル名が表示されます。これはパッチ ファイルをダウンロードできる場所です。

•自動ダウンロード可能: パッチ ファイルをホスト サーバから自動的にダウンロードできるかどうかを示します。パッチ ファイルがルールのショートカット メニュー経由でダウンロードできないようにする場合は、カスタム検出ルールとともにこのオプションを使用できます。たとえば、ファイアウォールがホスト サーバへのアクセスをブロックする場合は、自動パッチ ダウンロードを防止する必要がある場合があります。

•ダウンロード:パッチ ファイル名と URL が入力済みの場合、修正を実行するカスタム検出ルールを作成または編集する際に、[ダウンロード] をクリックしてパッチ ファイルをダウンロードすることができます。必要に応じて、後からパッチ ファイルをダウンロードできます。

•固有ファイル名:パッチファイルの固有の実行可能ファイル名を識別します。

パッチ ファイルをダウンロードするときには、[MD5ハッシュの生成] をクリックして、パッチ ファイル用のハッシュを作成することをお勧めします。(すべてではないとしても、ほとんどの場合、既知の脆弱性の関連付けられたパッチ ファイルにはハッシュがあります。) ハッシュを作成する前に、パッチ ファイルをダウンロードする必要があります。ハッシュ ファイルは、修正中にパッチ ファイルの整合性を保証するために使用されます (影響するデバイスに配布およびインストールされるときなど)。セキュリティ スキャナは、パッチ リポジトリからパッチ ファイルをインストールする直前に生成された新しいハッシュを使用して [MD5ハッシュの生成] ボタンをクリックするときに作成されたハッシュコードを比較して、これを実行します。2つのハッシュ ファイルが一致する場合、修正が進行します。2つのハッシュ ファイルが一致せず、リポジトリにダウンロードされてからパッチ ファイルが何らかの方法で変更されたことが示される場合は、修正処理が終了します。

•再起動必須:デバイス上でのパッチ ファイルのインストールおよび構成プロセスを完了する前に、パッチ ファイルがデバイスの再起動を必要とするかどうかを示します。

•サイレント インストール:エンド ユーザの介入なしに、パッチ ファイルのインストールが完了できるかどうかを示します。

[パッチ検出] ページ

次のページは、デバイスにパッチが既にインストールされているかどうかを調べるためにルールによって使用される検出ロジックを参照します。

[パッチ検出]:インストール済みパッチ検索に使用されるファイル] ページについて

このページは、パッチ ファイルが既にデバイスにインストールされているかどうかを決定するために使用されるファイル条件を指定します。このページのオプションは、定義検出ロジックのファイル ページと同じです (上記を参照)。ただし、ロジックはパッチ インストールを検出するときには逆に動作します。つまり、パッチ インストールを確認するときには、インストールを決定するために、このページで指定されたファイル条件のすべてを満たす必要があります。

[パッチ検出]:インストール済みパッチ検索に使用されるレジストリ設定] ページについて

このページは、パッチ ファイルが既にデバイスにインストールされているかどうかを決定するために使用されるレジストリ キー条件を指定します。このページのオプションは、定義検出ロジックのレジストリ設定ページと同じです (上記を参照)。ただし、ロジックはこの場合には逆に動作します。つまり、パッチ インストールを確認するときには、インストールを決定するために、このページで指定されたレジストリ条件のすべてを満たす必要があります。

[パッチのインストールとアンインストール] ページ

次のページでは、影響を受けるデバイスにパッチをインストール、または影響を受けるデバイスからパッチをアンインストールするときに実行する追加コマンドを設定できます。

このオプションは、修正を許可するカスタム定義にしか使用できません。

ターゲット デバイスで特定のアクションをプログラミングし、修正の成功を保証する必要がある場合は、これらのコマンドが有用です。追加のコマンドは必要ありません。追加のコマンドを設定しない場合は、既定ではパッチ ファイルが実行されません。1つ以上の追加コマンドを構成する場合は、実行コマンドで実際のパッチ ファイルを実行するコマンドを含める必要があります。

[パッチ インストール コマンド] ページについて

このページを使用して、パッチ インストール タスクの追加コマンドを構成します。使用可能なコマンドはパッチ インストールとアンインストールで同じです。

•コマンド: ターゲット デバイスで実行される順序でコマンドを一覧表示します。コマンドを選択し、引数を表示します。[上に移動] と [下に移動] ボタンを使用して、コマンドの順序を変更できます。リストからコマンドを削除するには、値を選択してから [削除] をクリックします。

•追加:[コマンド] リストに追加するコマンド タイプを選択するためのダイアログ ボックスを開きます。

•コマンド引数: 選択したコマンドを定義する引数を表示します。引数の値を編集できます。引数を編集するには、[値] フィールドをダブルクリックしてから、フィールドに直接入力します。すべてのコマンド タイプで、[値] フィールドをクリックし、マクロ/変数を引数に挿入することもできます。

次に、コマンドとその引数について説明します。

•コピー: 指定されたソースから、ターゲット デバイスのハードドライブの指定された宛先にファイルをコピーします。パッチ ファイル自体を実行する前または後には、このコマンドを使用できます。たとえば、Unzip コマンドで圧縮されたファイルの内容を展開した後、ファイルの場所を移動できます。

Copy コマンドの引数は、次のとおりです。Dest（ファイルをコピーするフル パス。ファイル名は含まない）、Source（コピーするファイルのフル パスとファイル名）です。

•Execute:パッチ ファイルまたはその他の実行可能ファイルをターゲット デバイスで実行します。

Execute コマンドの引数は、次のとおりです。Path (実行可能ファイルが保存されているフル パスおよびファイル名。 パッチ ファイルでは、%SDMCACHE% および %PATCHFILENAME% 変数を使用可)、Args (実行可能ファイルのコマンドライン オプション。 このフィールドは必須ではありません)、Timeout (Wait 引数が true に設定されている場合に、リストの次のコマンドに移る前に実行可能ファイルを停止するまでの待ち時間 (秒))、および Wait (true または false 値により、リストの次のコマンドに移る前に、実行可能ファイルを停止するまで待つかどうかを指定します)。

•ButtonClick: 実行ファイルを実行するときに表示される指定されたボタンを自動的にクリックします。このような操作が実行ファイルで必要な場合は、このコマンドを使用して、ボタン クリックをプログラミングできます。

ButtonClick が正しく動作するには、実行可能ファイルがボタンのクリック操作に移る前に停止されないように、次の Execute コマンドに対する Wait 引数を false に設定する必要があります。

ButtonClick コマンドの引数は、次のとおりです。Required (続行する前にボタンをクリックする必要があるかどうかを true または false 値で示します。true を選択して、何らかの理由でボタンがクリックできない場合は、修正が終了します。false を選択してボタンをクリックできない場合は、修正が続行されます)、ButtonIDorCaption (テキスト ラベルまたはコントロール ID により、クリックするボタンを識別します)、Timeout (実行可能ファイルが実行された場合に、クリックするボタンを表示するまでの時間 (秒))、WindowCaption (クリックするボタンがあるウィンドウまたはダイアログ ボックスを識別します)。

•ReplaceInFile: ターゲット デバイスでテキスト ファイルを編集します。パッチ ファイルが正しく実行されるように、実行前または後に、.INI ファイルの特定の値などテキストベースのファイルに変更を加える必要がある場合は、このコマンドを使用します。

ReplaceInFile コマンドの引数は、次のとおりです。Filename (編集するファイルの完全なパスと名前)、ReplaceWith (ファイルに追加する正確なテキスト文字列)、Original Text (ファイルで置換する正確な文字列)。

•StartService: ターゲット デバイスでサービスを開始します。このコマンドを使って、実行するパッチ ファイルに必要なサービスを開始する、または実行するパッチ ファイルを停止するために必要なサービスを再起動します。

StartService コマンドの引数は、次のとおりです。Service (サービスの名前)。

•StopService: ターゲット デバイスでサービスを停止します。パッチ ファイルをインストールする前にデバイスでサービスを停止する必要がある場合にこのコマンドを使用します。

StopService コマンドの引数は、次のとおりです。Service (サービスの名前)。

•Unzip: ターゲット デバイスで圧縮されたファイルを解凍します。たとえば、ターゲット デバイスで、修正に複数ファイルの実行またはコピーが必要な場合に、このコマンドを使用できます。

Unzip コマンドの引数は、次のとおりです。Dest (デバイスのハード ドライブで圧縮されたファイルの内容を解凍する場合の完全なパス)、および Source (圧縮されたファイルの完全なパスとファイル名)。

•WriteRegistryValue:レジストリに値を書き込みます。

WriteRegistryValue の引数は、次のとおりです。Key、Type、ValueName、ValueData,、WriteIfDataEmpty。

[パッチ アンインストール コマンド] ページについて

このページを使用して、パッチ アンインストール タスクの追加コマンドを構成します。使用可能なコマンドはパッチ インストールとアンインストールで同じです。ただし、パッチのアンインストール コマンド ページには2つの固有のオプションがあります。

•パッチ アンインストール可:修復されたデバイスからパッチ ファイルをアンインストール可能かどうかを示します。

•アンインストールするには元のパッチが必要:スキャンされたデバイスから元のパッチ実行可能ファイルをアンインストールするには、コア サーバでこのファイルにアクセスできるようにする必要があるかどうかを示します。

コマンドについては、「[パッチ インストール コマンド] ページについて」をご参照ください。

パッチと準拠タスク ヘルプ

[セキュリティ スキャン タスクの作成] ダイアログ ボックスについて

このダイアログ ボックスでは、ターゲット デバイスでセキュリティ スキャナを実行するスケジュール タスクの作成および設定ができます。

1 台以上のターゲット デバイスですぐにオンデマンド セキュリティまたは準拠スキャンを実行することができます。選択したデバイス (または最大20台の複数のデバイス) を右クリックし、[セキュリティ スキャン] をクリックしてスキャンと修復設定を選択するか、[準拠スキャン] をクリックして [OK] をクリックします。 準拠スキャンは定義されている現在のセキュリティ ポリシーを使用して、準拠グループの内容別に、特にターゲット デバイスの準拠を確認します。

このダイアログ ボックスには次のオプションがあります。

•名前:セキュリティ スキャン タスクを一意に識別する名前を入力します。

•スケジュール タスクの作成:セキュリティ スキャン タスクを [スケジュールされているタスク] ウィンドウに追加します。 このウィンドウでは、タスクをスケジュールするためのオプションや定期的な実行のためのオプションを設定し、ターゲット デバイスを割り当てることができます。

•ポリシーの作成:セキュリティ スキャン タスクをポリシーとして [スケジュールされているタスク] ウィンドウに追加します。 このウィンドウでは、ポリシー オプションを設定できます。

•スキャンと修復設定:スキャン タスクに使用するスキャンと修復設定を指定します。スキャンと修復設定は、セキュリティ スキャナの実行中に、デバイス上に再起動オプション、ユーザの操作、およびスキャンするセキュリティ コンテンツ タイプを表示するかどうかを決定します。ドロップダウン リストからスキャンと修復設定を選択し、作成しているセキュリティ スキャン タスクに割り当てます。

[設定の変更タスク] ダイアログ ボックスについて

このダイアログ ボックスでは、パッチと準拠サービスについて、次のようなターゲット デバイスの既定の設定を変更するタスクを作成および構成します。

•スキャンと修復の設定

•準拠セキュリティ設定 (準拠セキュリティ スキャンのみに適用)

•カスタム変数優先設定

設定の変更タスクを使えば、エージェント構成全体を再配布しなくても管理デバイスの既定の設定 (デバイスのローカル レジストリに書き込まれている設定) を簡単に変更することができます。

•タスク名:タスクを特定できる固有の名前を付けます。

•スケジュール タスクの作成:タスクを [スケジュールされているタスク] ウィンドウに追加します。 このウィンドウでは、タスクをスケジュールするためのオプションや定期的な実行のためのオプションを設定し、ターゲット デバイスを割り当てることができます。

•ポリシーの作成:タスクをポリシーとして [スケジュールされているタスク] ウィンドウに追加します。 このウィンドウでは、ポリシー オプションを設定できます。

•スキャンと修復設定:セキュリティ スキャン タスクに使用するスキャンと修復設定を指定します。スキャンと修復設定は、セキュリティ スキャナの実行中に、デバイス上に再起動オプション、ユーザの操作、およびスキャンするセキュリティ コンテンツ タイプを表示するかどうかを決定します。ドロップダウン リストからいずれかの設定を選択します。詳細については、「[スキャンと修復設定 (および準拠) の構成] ダイアログ ボックスについて」をご参照ください。

•準拠設定: 準拠スキャン タスクで使用される準拠設定を指定します。準拠設定は、準拠スキャンを行う時期とスキャン方法、自動修正を行うかどうか、Ivanti Antivirus がターゲット デバイスにウイルス感染を検出した場合にどうするか、などを決定します。

•カスタム変数優先設定: (セキュリティ脅威やウイルスなど) カスタム変数を含むセキュリティ定義をスキャンするときに、ターゲット デバイス上で使用されるカスタム変数優先設定を指定します。カスタム変数優先設定を使用すれば、セキュリティ スキャン時に無視または回避する値を指定できます。これは、定義の既定のカスタム変数設定にしたがってスキャン済みのデバイスを脆弱であるとされたくないような場合に特に有用です。ドロップダウン リストからいずれかの設定を選択します。ドロップダウン リストから、ターゲット デバイスからカスタム変数上書き設定を削除することも選択できます。[カスタム変数設定を削除する] オプションを使用すると、デバイスをクリアし、カスタム変数設定を有効にできます。詳細については、 エージェント設定:オーバーライドするカスタム変数をご参照ください。

[再起動タスクの作成] ダイアログ ボックスについて

このダイアログ ボックスでは、一般的な再起動タスクの作成および構成ができます。

再起動タスクは、シングル プロセスとして再起動せずにパッチをインストールし、別のタスクとして修正されたデバイスを再起動するときに便利です。たとえば、特定の日にスキャン タスクまたはパッチ インストール タスクを実行し、エンド ユーザの都合の良い時に再起動タスクを配布することが可能です。

•タスク名:タスクに固有の名前を付けます。

•スケジュール タスクの作成:[OK] をクリックすると、[スケジュールされているタスク] ウィンドウで再起動タスクを作成します。

•ポリシーの作成:[OK] をクリックすると、再起動ポリシーを作成します。

•スキャンと修復設定:ターゲット デバイスの再起動要件およびアクションを決定するタスクに対して使用する、スキャンと修復の設定の再起動構成を指定します。

[修復タスクの作成] ダイアログ ボックスについて

このダイアログ ボックスでは、脆弱性、スパイウェア、Ivanti ソフトウェア更新、カスタム定義、セキュリティ脅威と関連付けられたパッチといった定義タイプに関する修復 (修正) タスクを作成します。修復のスケジュール オプションは、ブロックされたアプリケーションには適用されません。スケジュール修正オプションはブロックされたアプリケーションには適用されません。

このダイアログ ボックスには次のページがあります。

•[修復タスクの作成]:[全般] ページ

•[修復タスクの作成]:[パッチ] ページ

[修復タスクの作成]:[全般] ページ

•タスク名:修復タスクに固有の名前を付けます。既定値は、選択した定義またはカスタム グループの名前です。必要に応じてこの名前を編集できます。

•スケジュール タスクとして修復:[OK] をクリックすると、[スケジュールされているタスク] ウィンドウでセキュリティ修復タスクを作成します。

•ステージング タスクおよび修復タスクに分割:(オプション) [スケジュールされているタスク] ツールでは、ターゲット デバイスのローカル キャッシュで必要なパッチ ファイルを準備するタスク、および対象デバイスにそのパッチ ファイルを実際にインストールするタスクの2つの個別のタスクを作成します。

•修復するコンピュータを選択: スケジュールされた修復タスクに追加するデバイスを指定します。デバイスを選択しないか、影響を受けるすべてのデバイス (これらのデバイスは、前回のセキュリティ スキャンによって定義が検出されたデバイス) または選択した影響を受けるデバイスのみ (この最後のオプションは、デバイスの [セキュリティとパッチ情報] ダイアログから [修復のスケジュール] ダイアログ ボックスにアクセスしたときのみ使用可能です) を選択できます。

•マルチキャストを使用する: デバイスへのパッチ配布のためのターゲット マルチキャストを有効にします。マルチキャスト オプションを設定するには、このオプションをクリックし、[マルチキャスト オプション] をクリックします。詳細については、 [マルチキャスト オプション] ダイアログ ボックスについてをご参照ください。

•アプリケーション ポリシーとして修復:[OK] をクリックすると、セキュリティ修復ポリシーを作成します。

•影響するデバイスを表すクエリを追加: 選択した定義に基づいて新しいクエリを作成し、ポリシーに適用します。このクエリに基づくポリシーは、選択した定義の影響を受けるデバイスを検索し、関連付けられたパッチを配布します。

•ローカル ピアからのみパッチをダウンロードする: パッチ配布を制限し、パッチ ファイルがデバイスのローカル キャッシュまたは同じサブネットのピアにある場合にのみ発生するようにします。このオプションではネットワーク帯域幅が節約されますが、パッケージのインストールを成功させるには、そのパッケージはローカル キャッシュまたはピアのキャッシュに存在している必要があります。

•パッチのみをダウンロードする (修復しない): パッチ ファイルをパッチ リポジトリにダウンロードしますが、パッチを配布しません。実際の配布前のテスト目的で、ステージング シナリオでパッチ ファイルを取得する場合は、このオプションを使用できます。

•スキャンと修復設定:修復タスクに使用するスキャンと修復の設定を指定して、セキュリティ スキャナの実行中のデバイス上での表示を決定します。

[修復タスクの作成]:[パッチ] ページ

このページでは、選択した脆弱性に必要なパッチのみまたは対応するパッチすべてを表示できます。

パッチがまだダウンロードされておらず、パッチ リポジトリに追加されていない場合は、[ダウンロード] をクリックするとパッチをこのページから直接ダウンロードできます。

[マルチキャスト オプション] ダイアログ ボックスについて

このダイアログ ボックスでは、スケジュールされているセキュリティ 修復タスクに次のターゲット マルチキャスト オプションを設定できます。

•マルチキャスト ドメイン検索:

•マルチキャスト ドメイン検索を使用する:ターゲット マルチキャストを有効にし、このジョブのドメイン検出を実行します。このオプションは、ドメイン検索の結果を保存しないので、再利用はできません。

•マルチキャスト ドメイン検索を使用して、結果を保存する:ターゲット マルチキャストによってこのジョブのドメイン検索を実行し、再利用のために結果を保存して次のマルチキャストの時間を節約できます。

•前回のマルチキャスト ドメイン検索結果を使用する:ターゲット マルチキャストは、前回の検索結果からドメイン検索を実行できます。

•ドメイン代表によりコンピュータをウェイクアップする:Wake On LAN 技術をサポートするデバイスをオンにして、マルチキャストを受信できます。

•Wake on LAN 機能の待ち時間 (秒):Wake On LAN パケットの送信後にドメイン代表がマルチキャストを行うのを待つ時間を設定します。既定の待機時間は 120 秒です。ネットワーク上のデバイスに、起動に 120 秒を超える時間がかかるものがある場合は、この値を大きくする必要があります。使用できる最大値は 3600 秒 (1 時間) です。

次のオプションによって、タスク固有のターゲット マルチキャスト パラメータを設定できます。大部分のマルチキャストで既定値を使用できます。

•同時に動作しているマルチキャスト ドメイン代表の最大数:同時にマルチキャストを実行する代表の数は、この数を超えることはありません。

•マルチキャストに失敗したコンピュータを処理できる最大数:デバイスは、マルチキャストによるファイル受信に失敗すると、ファイルを Web サイトまたはファイル サーバからダウンロードします。このパラメータを使用して、同時にファイルを取得するデバイスの数を制限できます。たとえば、スレッドの最大数が 200 で、マルチキャストに失敗したスレッドの最大数が 20 の場合は、[カスタム ジョブ] ダイアログ ボックスではマルチキャストに失敗したデバイスを最大 20 台同時に処理します。[カスタム ジョブ] ダイアログ ボックスでは、デバイスがマルチキャストの受信に成功した場合は最大 200 台のデバイスを処理しますが、マルチキャストに失敗したデバイスの処理は 200 スレッド中の 20 が最大です。この値を 0 に設定した場合は、[カスタム ジョブ] ダイアログ ボックスは、マルチキャストに失敗したデバイスの配布のタスクを実行しません。

•ファイルがキャッシュに保持される日数:マルチキャストされるイメージ ファイルが、各ターゲット デバイスのローカル キャッシュに保存される期間を制御します。この期間を過ぎると、ファイルは自動的に削除されます。

•マルチキャスト ドメイン代表キャッシュにファイルが保持される日数:マルチキャストされるイメージ ファイルが、各ターゲット デバイスのローカル キャッシュに保存される期間を制御します。この期間を過ぎると、ファイルは自動的に削除されます。

•パケット転送間の最小ミリ秒数 (WAN またはローカル):マルチキャスト パッケージを送信して、次の送信まで待機する最小時間です。

この値は、ファイルがドメイン代表独自のキャッシュからマルチキャストされていない場合にのみ使用します。このパラメータが指定されていない場合は、サブネットまたはドメイン代表のデバイスに保存された既定の最小スリープ時間を使用します。このパラメータを使用すると、WAN 全体で帯域幅使用を制限できます。

•パケット転送間の最大ミリ秒数 (WAN またはローカル):マルチキャスト パッケージを送信して、次の送信まで待機する最大時間です。

[パッチのアンインストール] ダイアログ ボックスについて

このダイアログ ボックスでは、影響を受けるデバイスに導入済みのパッチのアンインストール タスクの作成および構成ができます。

•タスク名:タスクに固有の名前を付けます。既定はパッチの名前です。必要に応じてこの名前を編集できます。

•スケジュールされているタスクとしてアンインストールする:[OK] をクリックすると、[スケジュールされているタスク] ウィンドウでパッチのアンインストール タスクが作成されます。

•ターゲットの選択: パッチのアンインストール タスクに追加するデバイスを指定します。デバイスを選択しないか、パッチがインストールされているすべてのデバイスまたは選択したパッチがインストール済みのデバイスのみ (この最後のオプションは、デバイスの [セキュリティーとパッチ情報] ダイアログ ボックスから [パッチのアンインストール] ダイアログ ボックスにアクセスしたときのみ使用可能です ) を選択できます。

•元のパッチが必須な場合:

•マルチキャストを使用する: デバイスへのパッチのアンインストール タスクを配布するために、ターゲット マルチキャストを有効にします。マルチキャスト オプションを設定するには、このオプションをクリックし、[マルチキャスト オプション] をクリックします。詳細については、 [マルチキャスト オプション] ダイアログ ボックスについてをご参照ください。

•アップリケーション ポリシーとしてアンインストールする:[OK] をクリックすると、[スケジュールされているタスク] ウィンドウでパッチのアンインストール ポリシーが作成されます。

•影響するデバイスを表すクエリを追加: 選択したパッチに基づいて新しいクエリを作成し、ポリシーに適用します。このクエリに基づくポリシーは、インストール済みの選択されたパスのデバイスを検索し、アンインストールします。

•スキャンと修復設定:アンインストール タスクに使用するスキャンと修復の設定を指定して、セキュリティ スキャナがデバイスに再起動オプション、MSI の場所などを表示するかどうかを決定します。

[履歴情報の収集] ダイアログ ボックスについて

このダイアログボックスを使用して、管理されたデバイスのスキャン済みおよび検出済み脆弱性のデータを編集します。この情報はセキュリティ レポートで使用されます。データをただちに収集するか、指定された期間のデータを収集するタスクを作成できます。

このダイアログ ボックスには次のオプションがあります。

•タスク名:タスクに固有の名前を付けます。

•[最近スキャンを実行した] のしきい値: 指定した日数以内にスキャンが実行された場合、デバイスは最近スキャンが実行されたと見なされます。既定は30日です。

•公開されてからの期間が次の日数に満たない定義のレポート データを作成: レポートの内容を、指定した期間内に公開された脆弱性に関するデータに限定します。既定は90日です。

•以下の期間の履歴データを維持する:データが収集される期間 (日数) を指定します。1～3,000日の範囲で指定できます。既定は90日です。

•以下の期間のロールアウト プロジェクト アクション履歴データを維持する : データが収集される期間 (日数) を指定します。既定は90日です。

•以下の期間に履歴情報の収集が行われなかった場合に警告する: 指定した期間内に実行されなかったタスクがある場合に、コア サーバのコンソールにメッセージを表示します。既定は1日です。

•保存して今すぐ収集: 検出された脆弱性、スキャンされた脆弱性、およびスキャンされなかった脆弱性に関して、現在のデータをただちに収集します。

•タスクの作成: (ボタン) タスクを [スケジュールされているタスク] ウィンドウに追加します。このウィンドウでは、タスクをスケジュールするためのオプションや定期的な実行のためのオプションを構成し、ターゲット デバイスを割り当てることができます。

•全項目を消去: (ボタン) この時点までに収集された脆弱性に関するデータを完全に削除します。

パッチと準拠設定ヘルプ

[スキャンと修復設定 (および準拠) の構成] ダイアログ ボックスについて

このダイアログ ボックスでは、スキャンと修復 (および準拠) の設定を管理できます。構成が完了すると、セキュリティと準拠スキャン、修復、アンインストール、および再起動のタスクに設定を適用することができます。

このダイアログ ボックスには次のオプションがあります。

•新規 :設定ダイアログ ボックスかが開きます。このダイアログ ボックスかでは、指定の設定タイプに関連するオプションを構成できます。

•編集:[設定] ダイアログ ボックスが開きます。 このダイアログ ボックスでは、選択した設定を変更できます。

•コピー:選択した設定のコピーをテンプレートとして開きます。このコピーを編集して名前を変更できます。

•削除:選択した設定をデータベースから削除します。

•閉じる:ダイアログ ボックスを閉じます。設定はタスクに適用されません。

[カスタム変数優先設定の構成] ダイアログ ボックスについて

このダイアログ ボックスでは、カスタム変数上書き設定を管理します。構成した後、カスタム変数優先設定を設定の変更タスクに適用して、ターゲット デバイスに配布して既定のカスタム変数優勢設定を変更または削除します。

カスタム変数上書き設定では、カスタム変数値の例外を構成できます。これらを使用して、特定のカスタム変数条件を無視またはバイパスし、スキャンされたデバイスが脆弱であると判断されないようにします。

このダイアログ ボックスには次のオプションがあります。

•新規 :[カスタム変数優先設定] ダイアログ ボックスが開きます。このダイアログ ボックスでオプションを設定できます。

•編集:[カスタム変数優先設定] ダイアログ ボックスが開きます。このダイアログ ボックスでは、選択したカスタム変数優先設定を変更できます。

•コピー:選択した設定のコピーをテンプレートとして開きます。このコピーを編集して名前を変更できます。

•削除:選択した設定をデータベースから削除します。

•閉じる:ダイアログ ボックスを閉じます。設定はタスクに適用されません。

カスタム変数優先設定情報は、デバイスのインベントリ ビューで確認できます。

[定義グループ設定] ダイアログ ボックスについて

このダイアログ ボックスでは、セキュリティ定義のダウンロード先をタイプ/重要度に基づいて管理する設定を作成、編集、選択します。

このダイアログ ボックスには次のオプションがあります。

•定義タイプと重要度フィルター:定義グループ設定を表示します。

•タイプ:選択したグループ設定の定義タイプを表示します。

•重要度:選択したグループ設定の定義重要度を表示します。

•ステータス: ダウンロードするときにグループ設定と一致する定義のステータス (スキャンしない、スキャン、未割り当て) を表示します。ステータスはツリー ビューのグループ ノードに対応します。既定のステータスは未割り当てです。

•グループ:セキュリティ定義が指定のタイプや重要度と一致するグループを表示します。追加または削除できるカスタム グループの数に制限はありません。任意の数のカスタム グループを追加および削除できます。

•自動修正:ダウンロード済みのセキュリティ定義を [スキャン] に設定してあるときは ([スキャン] グループに追加済みの場合)、このオプションを選択して脆弱性の自動修正機能を有効にします。

[定義フィルタ プロパティ] ダイアログ ボックスについて

このダイアログ ボックスを使用して、定義グループ設定を定義します。これらの設定は、セキュリティ定義のダウンロード方法とダウンロード先をタイプ/重要度に基づいて管理する設定を作成、編集、選択します。

このダイアログ ボックスには次のオプションがあります。

•フィルタ:下のグループに追加するセキュリティ コンテンツ (定義) を指定します。

•定義タイプ:ステータスと場所を指定してダウンロードする定義タイプを選択します。

•重要度: 指定された定義タイプの重要度を選択します。タイプが一致し、重要度が一致しない場合、定義はこの設定によってフィルタリングされません。

•アクション:ダウンロード済みの定義と配布先に関連するアクションを定義します。

•ステータスの設定: ダウンロードされた定義のステータスを選択します。オプション: スキャンしない、スキャン、未割り当て。

•自動修正の設定:[スキャン] モードで、セキュリティ リスクを検出時に自動修正されるようにするにはこのオプションを選択します。

•定義をカスタム グループに入れる: [追加] と [削除] ボタンを使用して、1つ以上のグループを選択します。作成したカスタム グループ、[アラート] グループ、[準拠] グループのほか、セキュリティ業界グループ (特定数) から選択できます。

[アラート設定] ダイアログ ボックスについて

このダイアログ ボックスでは、スキャンされたデバイスの脆弱性アラートとアンチウイルス アラートの両方を含むセキュリティ関連のアラートを設定します。

このアラート設定ダイアログ ボックスには次のページがあります。

[定義] ページ

このページではセキュリティ アラートを設定します。[アラート] グループにセキュリティ定義を追加した場合、パッチと準拠はスキャンを行ったいずれかのデバイスで、追加した定義のいずれかが検出されたときにアラートを発します。

•最低アラート間隔: 検出された脆弱性のアラートが送信される最短間隔 (分または時間) を指定します。アラートの頻度を下げる場合は、この設定を使用できます。即時のリアルタイム アラートを実行する場合は、値をゼロに設定します。

•アラート グループに追加: コンテンツ ダウンロード処理中にアラート グループに自動的に配布される脆弱性を重要度別に示します。アラート グループに配布された定義は、既定では自動的にスキャン グループに配置されます (セキュリティ スキャン タスクでこれらの定義を含めるため)。

[アンチウィルス] ページ

このページではアンチウィルス アラートを設定します。

•最低アラート レベル: 検出されたウイルスのアラートが送信される最短間隔 (分または時間) を指定します。アラートの頻度を下げる場合は、この設定を使用できます。即時のリアルタイム アラートを実行する場合は、値をゼロに設定します。

•アラート対象:アラートを生成させているアンチウイルス イベントを示します。

[コア設定] ダイアログ ボックスについて

このダイアログボックスを使用すると、最新のセキュリティ スキャンの結果のネットワーク上のロールアップ コアサーバへの自動転送を有効化および構成します。セキュリティ スキャン データの転送は、プライマリ コア サーバから直接データを手動で取得する必要なしに、大規模な分散エンタープライズ ネットワークですべての管理デバイスに対するリアルタイムの脆弱性のステータスを表示できます。

セキュリティ スキャナを実行するたびに、スキャン結果ファイルをコア サーバの VulscanResults フォルダに書き込み、Ivanti® Endpoint Security for Endpoint Manager Web サービスに通知して、ファイルをコア データベースに追加します。ロールアップ コアの設定が有効になり、有効なロールアップ コアが識別された場合は、ロールアップ コアによりスキャン結果ファイルが独自のデータベースに読み込まれ、重要な脆弱性情報へより高速にアクセスできます。

このダイアログ ボックスには次のオプションがあります。

•スキャン結果:

•処理後、スキャン結果を vulscan 結果フォルダに保持する:セキュリティ スキャン結果ファイルを既定の vulscan フォルダに保存します。

•必要に応じてファイルを解凍する:スキャン結果ファイルが圧縮されている場合は、自動解凍を有効にします。

•自動修正の再試行回数:

•次の回数自動修正を試行した後にタイムアウトする:タイムアウトまでにコア サーバが自動修正を試行する回数を指定します。

•自動修正を無限に試行する:コア サーバは成功するかプロセスが停止されるまで自動修正を試行します。

•リビジョンが変更された脆弱性の設定を自動修正する:

•脆弱性のリビジョンが変更された場合に自動修正は有効のまま: (2022 SU4) 脆弱性のリビジョン変更があった場合、自動修正がトリガされます。これが既定の動作です。

•脆弱性のリビジョンが変更された場合に自動修正は無効になる: (2022 SU4) 脆弱性のリビジョン変更があった場合、自動修正はトリガされません。これは、リビジョン変更に関して追加のテストを行いたい場合や、自動修正に伴うデバイスの再起動の回数を減らしたい場合に役立ちます。

•ロールアップ コア :

•スキャン結果をただちにロールアップ コアに送信する:上記の方法を使用して、指定されたコア サーバにセキュリティ スキャンの結果をただちに転送できるようにします。

•既定のロールアップ URL を使用する: スキャン結果ファイルがコアサーバからロールアップ コアに送信されるときに使用される既定の URL を有効にします。コアサーバの名前を入力してから、このボックスをオンにし、スクリプトと Web アドレスを [ロールアップ URL] フィールドに自動的に挿入します。

•ロールアップ コア名:コア データベースから最新のセキュリティ スキャン結果を受信するロールアップ コアを識別します。

•ロールアップ URL: セキュリティ スキャン結果を受信するロールアップ コアの Web アドレスと、ロールアップ コアのスキャン結果ファイルの宛先フォルダを指定します。ロールアップ URL を自動的に挿入するには、[既定のロールアップ URL を使用する] チェックボックスをオンにします。フィールドを手動で修正するには、チェックボックスをオフにし、任意の URL を入力します。

[アクセス権] ダイアログ ボックスについて

このダイアログボックスを使用して、現在ログインしている管理者のパッチと準拠ツールの有効な権限を表示します。これらの権限設定はユーザ管理ツールで構成されます。また、Ivanti 管理者はカスタム脆弱性定義を編集およびインポートするために必要なロールに基づく権限を変更できます。

このダイアログ ボックスには次のオプションがあります。

ユーザ:

•表示:ユーザがパッチ セキュリティ コンテンツを表示できることを示します。

•編集:ユーザがパッチ セキュリティ コンテンツを編集できることを示します。

•配布:ユーザがパッチ セキュリティ コンテンツを展開できることを示します。

•公開を編集:ユーザがカスタム脆弱性コンテンツを編集できることを示します。

ロールベースのアクセス権の解釈方法

•カスタム定義を編集するには「公開を編集」権限が必要:ユーザがカスタム脆弱性定義を編集するには、「公開を編集」権限が必要であることを示します。

•定義をインポートするには「公開を編集」権限が必要:ユーザがセキュリティ定義をインポートするには、「公開を編集」権限が必要であることを示します。

パッチと準拠ツールバー ヘルプ

[パッチと準拠定義の消去] ダイアログ ボックスについて

このダイアログ ボックスでは、コア データベースから定義と関連付けられた検出ルールを完全に削除します。

定義が不要になったり、適切に動作しない場合、または定義に関連するセキュリティ リスクが完全に解決された場合、その定義を削除することができます。

このダイアログ ボックスには次のオプションがあります。

•プラットフォーム: 定義をデータベースから削除するプラットフォームを指定します。定義が複数のプラットフォームに関連付けられている場合、定義およびその定義の検出ルール情報を削除するには、その定義に関連付けられているすべてのプラットフォームを選択する必要があります。

•言語: 定義をデータベースから削除する選択したプラットフォームの言語バージョンを指定します。Windows または Macintosh プラットフォームを選択した場合、どの言語の定義を削除するかを指定する必要があります。Linux プラットフォームを選択した場合は、プラットフォームの言語に依存しない定義情報を削除するために、[言語に無関係] オプションを指定する必要があります。

•タイプ:定義を削除するコンテンツ タイプを指定します。

•消去:指定したプラットフォームと選択した言語に所属する、選択したタイプの定義および検出ルール情報を削除します。この情報はコンテンツをもう一度ダウンロードすることによってのみ復元できます。

•閉じる:変更内容を保存せずにダイアログ ボックスを閉じます。定義情報は削除されません。

セキュリティ スキャン情報ビューについて

このダイアログ ボックスを使用すると、ネットワーク上のスキャンされたデバイスの詳細なパッチ配布アクティビティとステータスを表示できます。

次のスキャン結果を表示できます。

•最近報告していないデバイス

•結果のないデバイス

•選択した重要度タイプ別のパッチが必要なデバイス

[しきい値設定] ダイアログ ボックスについて

このダイアログ ボックスを使用して、[セキュリティ スキャン情報] ダイアログ ボックスに表示されるセキュリティ スキャン (パッチ配布) 結果の期間を定義します。

•最近未スキャンのしきい値:パッチ配布スキャンを行っていないデバイスを確認する最大日数を示します。

[セキュリティとパッチ情報] ダイアログ ボックスについて

ネットワーク表示で、デバイスを右クリックし、[セキュリティとパッチ] > [セキュリティとパッチ情報] をクリックします。このダイアログ ボックスを使用して、選択したデバイスの詳細セキュリティ情報を表示します。このダイアログ ボックスを使用すると、選択したデバイスについてセキュリティ情報の詳細を表示できます。

[消去] ボタンを使用して、選択したデバイスのデータベースからすべてのスキャン情報を削除します。

また、この表示内にある脆弱性 (またはその他のセキュリティ コンテンツ タイプ) を右クリックして、直接修復タスクの作成、または適用可能なセキュリティ コンテンツ タイプの自動修正オプションの有効/無効の設定ができます。

表示される情報は選択したセキュリティ コンテンツ タイプに基づきます。

このページに表示されるグループ名と情報フィールドは、[タイプ] ドロップダウン リストで、どのセキュリティ コンテンツ タイプを選択するかによって大幅に変わります。たとえば、脆弱性を選択する場合は、次の情報フィールドが表示されます。

•検出されたすべての脆弱性: 前回のスキャンで検出されたデバイス上のすべての脆弱性を一覧表示します。

•インストールされているすべてのパッチ: デバイスにインストールされているすべてのパッチを一覧表示します。

•履歴: デバイスで試行された修正タスクに関する情報を表示します。この情報は、デバイスのトラブルシューティングで役立ちます。このデータをクリアするには、[履歴の消去] をクリックし、デバイスと時間範囲設定を指定してから、[消去] をクリックします。

•脆弱性情報:

•タイトル:選択した脆弱性のタイトルを表示します。

•検出:選択した脆弱性が検出されたかどうかを示します。

•最初に検出済み: 脆弱性がデバイスで最初に検出された日時を表示します。この情報は、複数のスキャンを実行した場合に役立つ場合があります。

•理由: 選択した脆弱性が検出された理由を説明します。この情報は、修正をすぐに促さなければならない程度にセキュリティ リスクが重要であるかどうかの判断に役立つ場合があります。

•想定: スキャナが検索するファイルまたはレジストリ キーのバージョン番号を表示します。スキャンされたデバイスで見つかったファイルまたはレジストリ キーのバージョン番号がこの番号と一致する場合、脆弱性は存在しません。

•検出済み: スキャンされたデバイスで見つかったファイルまたはレジストリ キーのバージョン番号を表示します。この数が上記の想定数と異なる場合は、脆弱性が存在します。

•パッチ情報:

•必要なパッチ:選択した脆弱性の修復に必要なパッチ実行可能ファイルのファイル名を表示します。

•パッチ インストール日:パッチ ファイルがインストール済みであるかどうかを示します。

•前回のアクション日付:パッチをデバイスにインストールした日付および時刻が表示されます 。

•アクション:前回のアクションがインストールであったか、アンインストールであったかを示します。

•詳細: 配布/インストールが成功したかどうかを示します。インストールに失敗した場合は、まず、このステータス情報を消去してからパッチを再度インストールしてください。

•クリア:選択したデバイスの現在のパッチ インストール日とステータス情報を消去します。これは、パッチを配布して、もう一度インストールしようとするときに必要です。