アプリケーションコントロール機能とは
アプリケーションコントロールは、業務上必要のないアプリケーションの実行をブロックする機能です。 本機能を有効にする事でビジネスの生産性に与える影響を減らします。
- 本機能は Windows 版 のみご利用いただける機能です。
- Windows サーバプラットフォームにて本機能をご利用の場合、不正変更防止サービスの設定は「デスクトップとサーバ」にする必要があります。
挙動監視機能の承認済み/ブロックするリストに登録した場合との違いについて
アプリケーションコントロール機能によるアプリケーションのブロックは、挙動監視機能が無効な場合でもご利用いただける機能です。挙動監視機能については下記をご参照ください。
アプリケーションコントロールの設定
- VBBSSのWeb管理コンソールを開きます。
- メニューから[セキュリティエージェント]タブをクリックし、設定を実施したいコンピュータが含まれるグループを選択し、[ポリシーの設定]をクリックします。
- メニューから[アプリケーションコントロール]を開きます。
- アプリケーションコントロールがオフの場合は、オンにします。
- アプリケーションを制限するモードを選択します。
・ブロック：指定したアプリケーションのエンドポイントでの実行をブロック
・ロックダウン：前回のインベントリ検索で確認されなかったアプリケーションをすべてブロック - ロックダウンモードを選択した場合、必要に応じて以下の設定を有効にします。
・トレンドマイクロの信頼済みベンダーのアプリケーションを除外 (推奨)
・Microsoftの署名付きのプログラム (Windows Updateを含む) によるプロセスツリーを除外 - [ルール]の下の[ルールの割り当て]をクリックします。
- ポリシーにルールを割り当て、[OK]をクリックします。
ルールを追加する場合、[ルールの追加]をクリックし、ルールの設定を行います。 - [保存]をクリックします。
ルールの追加方法
アプリケーションコントロールポリシー設定中にルールを追加する場合は、手順3から実施してください。
- VBBSSのWeb管理コンソールを開きます。
- メニューから[ポリシー]タブをクリックし、[アプリケーションコントロールルール]に移動します。
- [ルールの追加]をクリックし、ルールの種類を選択します。
- ルール名を指定します。
- アプリケーションを識別するための照合方法を選択し、必要な設定を行います。
・ファイルまたはフォルダのパス
・ハッシュ値
・ソフトウェア安全性評価リスト
・グレーソフトウェアリスト - [保存]をクリックします。
クライアントでアプリケーションをブロックした場合の動作について
アプリケーションをブロックした際は 以下のような Windowsのエラーメッセージがクライアントで表示され、プログラムの実行をブロックします。
アプリケーションコントロール機能使用時には、ログでのブロック確認、またはアラート(ポップアップ)の併用を推奨いたします。
VBBSSクライアントのアラート(ポップアップ)の表示設定、ログの確認方法は以下の手順をご参照ください。
クライアントのアラート(ポップアップ)の表示設定
VBBSSクライアントのアラート(ポップアップ)を表示させる場合は、[アプリケーションコントロール違反]のチェックを入れてください。
Web管理コンソールからブロックした記録を確認する方法
メニューから[ダッシュボード]タブをクリックし、セキュリティリスクの検出数ウィジェット内の[ポリシー違反]の項目からアプリケーションコントロールの右側にある[検出した脅威]の数字をクリックするとブロックした記録をご確認いただけます。
アプリケーションコントロール機能の仕様上の制限及び注意点
"C:\Windows" 配下のディレクトリとファイルについて
"C:\Windows" 配下のディレクトリとファイルはアプリケーションコントロール機能の対象ではありません。そのため、"C:\Windows" の配下にあるアプリケーションをブロックするように設定をしても、アプリケーションコントロール機能は有効とはなりません。これは、誤登録によりシステムに影響を及ぼさないようにするための仕様となります。
なお、"C:\Windows" の配下にあるアプリケーションの起動を制限する必要がある場合は、グループポリシー等で可能かどうか Microsoft社にご相談ください。
「ブロックするパスリスト」へ登録しているアプリケーションのインストールパス変更
ご使用のアプリケーションのインストールパスに変更が発生した場合、変更先のインストールパスを「ブロックするパスリスト」へあらためて登録をし直す必要がございます。インストールパスが異なる場合は、アプリケーションコントロールにてブロックできません。
「ブロックするパスリスト」へ登録するプログラム
「ブロックするパスリスト」へ登録しブロックが可能なファイルは拡張子に関係なく、実行されたファイルをブロックすることができます。しかし、スクリプト(.bat、.vbs、.js、.ps1、.py、等）はブロックできません。事前に一部クライアントにおいてテストを実施した上で、全体に対して有効にすることを推奨します。
アプリケーションコントロール機能を有効化した時の初回動作 (VBBSS 6.2より)
アプリケーションコントロール初回有効時、必要なモジュールをダウンロードします。
- インストールプログラムのダウンロードサイズは約10MBとなります。
- ダウンロードしたモジュールは、本機能を無効化してもアンインストールは行われません。
- 機能を有効後、以下のサービス/プロセスを使用します。
サービス名：Trend Micro Application Control Service (Agent)
プロセス名：TMiACAgentSvc.exe