本ヘルプセンターは英語版を翻訳したものです。また、一部には翻訳ソフトウエアにより機械的に翻訳した内容が含まれます。翻訳については順次対応しておりますが、最新の情報になっていない場合があります。最新の情報は英語版のページでご確認ください。表示言語は、画面右上の言語名をクリックして切り替えられます。

本ヘルプセンターの一部の記事には外部リンクが含まれています。万一リンク切れなどお気づきの点がございましたら、お手数ですが弊社サポート窓口までご連絡ください。

PortSet

変更監視モジュールは、Deep Security Agent上のディレクトリ、レジストリ値、レジストリキー、サービス、プロセス、インストール済みのソフトウェア、ポート、グループ、ユーザ、ファイル、およびWQLクエリ文に対する想定外の変更を検索します。変更監視を有効にして設定するには、変更監視の設定を参照してください。

待機ポートのセットを表します。

タグ属性

次に示すXML属性はタグ自体の属性であり、変更監視ルールによって監視されるエンティティの属性ではありません。

属性 説明 必須 初期設定値 設定できる値
onChange リアルタイムで監視するかどうかを示します。 いいえ false true、false

エンティティセットの属性

次に示すエンティティの属性は、変更監視ルールによって監視可能な属性です。

  • Created: (Windowsのみ - XP SP2以降およびServer 2003 SP1以降)Windows APIのGetExtendedTcpTable() 関数またはGetExtendedUdpTable() 関数によって返されます。このTCPまたはUDPリンクが作成されたバインド処理の発生時刻を示します。
  • Listeners: プロトコル、IPアドレス、ポート番号の組み合わせにおけるアクティブなリスナーの数です。指定されたポートにバインドされているソケットと待機中のソケットの数が反映されます。この数は、プロセスがポートに複数のソケットをバインドしている場合、ポートを待機しているプロセスの数より大きくなることがあります。指定されたポートにバインドされているソケットが1つだけの場合、この属性の値はありません。
  • パス： （Windowsのみ - XP SP2 +およびServer 2003 SP1 +が必要です）ポートを所有するモジュールのフルパスを示します (存在する場合)。Windowsでは、このパスは、Windows APIのGetOwnerModuleFromXxxEntry() 関数から取得されます。Microsoftのドキュメントでは、接続テーブルエントリを所有者モジュールとして解釈することが推奨されています。
  • Process: (Windowsのみ - XP SP2以降およびServer 2003 SP1以降)ポートを所有するモジュールの短い名前を示します (存在する場合)。Windowsでは、このパスは、Windows APIのGetOwnerModuleFromXxxEntry() 関数から取得されます。Microsoftのドキュメントでは、接続テーブルエントリを所有者モジュールとして解釈することが推奨されています。まれに、返された所有者のモジュール名が、「svchost.exe」などのプロセス名、「RPC」などのサービス名、「timer.dll」などのコンポーネント名である場合があります。
  • ProcessId: (Windowsのみ - XP SP2以降およびServer 2003 SP1以降)このポートのバインドを発行したプロセスのPIDを示します。
  • User: (Linuxのみ)ポートを所有するユーザを示します。

「key」の意味

このkeyは、次の形式をとります。

<PROTOCOL>/<IP ADDRESS>/<PORT>

たとえば、次のとおりです。

tcp/172.14.207.94/80
udp/172.14.207.94/68

IPV6

IPアドレスがIPv6である場合、keyも同じ形式になりますが、プロトコルはTCP6またはUDP6です。このIPアドレスは、getnameinfoコマンドによって返される、次のようなIPv6表記となります。

tcp6/3ffe:1900:4545:3:200:f8ff:fe21:67cf/80
udp6/3ffe:1900:4545:3:200:f8ff:fe21:67cf/68

「key」の照合

これは、階層型のキーではないため、**は適用できません。*および?を使用するUNIX形式のglob照合は可能です。次のパターンは、72.14.207.90～72.14.207.99のIPアドレスのポート80に一致します。

*/72.14.207.9?/80

次のパターンは、72.14.207.2、72.14.207.20～72.14.207.29および72.14.207.200～72.14.207.255のIPアドレスのポート80に一致します。

*/72.14.207.2*/80

次のパターンは、任意のIPアドレスのポート80に一致します。

*/80

次の例では、待機ポートにおける変更を監視しますが、IPv4およびIPv6のTCPのポート80は無視します。

<PortSet>
<include key="*"/>
<exclude key="tcp*/*/80"/>
</PortSet>

サブエレメント

  • Include
  • Exclude

これらのエレメントに指定できる属性とサブエレメントの「include」と「exclude」の概要は、変更監視 rules languagesを参照してください。ここでは、このエンティティセットクラスに関連するincludeおよびexcludeに固有の情報のみを記載します。

PortSetのincludeおよびexcludeに固有の属性

これ以外にも、ポートの各種の属性をincludeおよびexcludeでの監視機能で使用できます。これらの監視では、値とポートの属性値を比較します。各種属性のプラットフォームサポートに注意してください。すべての属性がプラットフォーム間またはプラットフォームリビジョン間で利用可能であるとはかぎりません。したがって、includeおよびexcludeタグを使用したこれらの監視の使用は制限されます。監視機能では、UNIXのglob形式のワイルドカードである「*」および「?」がサポートされ、パスのセパレータまたはその他の文字の正規化は実行されません。監視機能は、属性の値に対する、単純なglob形式のパターン照合です。

Path

ポートのpath属性に対する、ワイルドカード一致をチェックします。次の例では、メインのIISバイナリを実行するプロセスによって所有されているポートを監視します。

<PortSet>
<include path="*\system32\inetsrv\inetinfo.exe"/>
</PortSet>

Process

ポートのprocess属性に対する、ワイルドカード一致をチェックします。次の例では、svchost.exeまたはoutlook.*バイナリを実行するプロセスによって所有されているポートを監視します。

<PortSet>
<include process="svchost.exe"/>
<include process="outlook.*"/>
</PortSet>

User

ポートのuser属性に対する、ワイルドカード一致をチェックします。次の例では、スーパーユーザ (root) によって所有されていたUNIXシステム上のポートを監視します。

<PortSet>
<include user="root"/>
</PortSet>