ポリシー、継承、およびオーバーライド

Deep Securityでは、階層構造でポリシーを作成できます。管理者は、最初に1つ以上のベースポリシーを作成し、そこから複数レベルの子ポリシーを作成し、細分化していきます。つまり、最上位のポリシーで広範囲に適用するルールや設定を割り当ててから、子ポリシーのレベルで対象を絞って具体化し、最終的に個々のコンピュータレベルでルールや設定を割り当てることができます。

ポリシーツリーの下位になるほど設定が詳細になるだけでなく、ポリシーツリーの上位の設定から下位の設定をオーバーライドできます。

Deep Securityは、環境に合わせて独自のポリシーを設計するための開始テンプレートとして使用できる一連のポリシーを提供します。

このトピックの内容:

継承

子ポリシーは、親ポリシーから設定を継承します。これにより、すべてのコンピュータに適用する設定とルールが定義された親ベースポリシーから始まるポリシーツリーを作成できます。さらに、この親ポリシーには、より対象を具体化した設定を含む子および子孫のポリシーのセットを追加できます。ポリシーツリーは、環境に適した分類システムに基づいて構築できます。たとえば、Deep Securityに含まれるポリシーツリーのブランチには、2つの子ポリシーがあります。1つはDeep Security Managerをホストするサーバ向けに設計されたポリシーで、もう1つはDeep Security Virtual Appliance向けに設計されたポリシーです。これは役割に基づいたツリー構造です。また、Deep Securityには、特定のOS (Linux、Solaris、およびWindows) 向けに設計された3つのブランチがあります。Windowsブランチには、さまざまなサブタイプのWindows OS用の子ポリシーが用意されています。

[概要] 画面のWindowsポリシーエディタでは、Windowsポリシーがベースポリシーの子として作成されたことを確認できます。ポリシーの不正プログラム対策設定は [継承 (オフ)] です。

つまり、この設定は親ベースポリシーから継承されます。また、ベースポリシーの不正プログラム対策設定を [オフ] から [オン] に変更する場合は、Windowsポリシーの設定も変更されます (これにより、Windowsポリシーの設定は [継承 (オン)] になります。カッコ内の値は、継承された現在の設定を示しています)。

オーバーライド

[オーバーライド] 画面には、対象のポリシーまたは特定のコンピュータレベルでオーバーライドされた設定の数が表示されます。このレベルのオーバーライドを取り消すには、[削除] ボタンをクリックします。

次の例では、Windows Server 2008ポリシーがWindowsポリシーの子ポリシーとなっています。ここでは、不正プログラム対策設定は継承されていません。オーバーライドされ、[オン] になっています。

Windows 2008 Serverポリシーを詳しく見てみると、侵入防御も [オン] であることがわかります。[侵入防御] 画面を確認すると、一連の侵入防御ルールが割り当てられています。

オブジェクトのプロパティをオーバーライドする

このポリシーに含まれる侵入防御ルールは、Deep Security Managerによって保存されている侵入防御ルールのコピーであり、他のポリシーで使用できます。特定のルールのプロパティを変更する場合は、ルールのプロパティをグローバルに変更して、そのルールを使用しているすべてのインスタンスに変更を適用するか、またはプロパティをローカルで変更して、その変更をローカルにのみ適用します。コンピュータまたはポリシーのエディタの初期設定の編集モードはローカルです。[現在割り当てられている侵入防御ルール] エリアにあるツールバーの [プロパティ] をクリックすると、[プロパティ] 画面で行うすべての変更が表示され、その変更がローカルにのみ適用されます (ルール名などの一部のプロパティはローカルでは編集できません。これらはグローバルでのみ編集できます)。

ルールを右クリックすると、コンテキストメニューが表示されます。このメニューから2つのプロパティ編集モードオプションを選択できます。[プロパティ] を選択すると、ローカルエディタ画面が表示されます。[プロパティ (グローバル)] を選択すると、グローバルエディタ画面が表示されます。

Deep Securityで共有される大部分の共通オブジェクトのプロパティを、ポリシー階層内のすべてのレベルおよびその下位の個々のコンピュータレベルでオーバーライドできます。

ルールの割り当てをオーバーライドする

ポリシーレベルまたはコンピュータレベルで、追加のルールをいつでも割り当てることができます。ただし、特定のポリシーレベルまたはコンピュータレベルで有効なルールの割り当てをローカルで解除することはできません。これは、そのルールの割り当てが親ポリシーから継承されているためです。このようなルールの割り当ては、ルールが最初に割り当てられたポリシーレベルで解除する必要があります。

オーバーライドする設定が多数ある場合は、親ポリシーのブランチを作成することを検討してください。

コンピュータまたはポリシーのオーバーライド項目をまとめて確認する

ポリシーまたはコンピュータでオーバーライドした設定の数を確認するには、コンピュータまたはポリシーのエディタで [オーバーライド] 画面に移動します。

保護モジュール別のオーバーライド項目が表示されます。[削除] ボタンをクリックすれば、システムまたはモジュールのオーバーライド項目を元に戻すことができます。