概要
Trend Micro Control Manager (以下、Control Manager) における通知機能の活用方法の概要について教えてください。
詳細
2019年7月に「Trend Micro Control Manager 」の後継となる新製品「Trend Micro Apex Central」が公開されました。
本製品Q&Aにて、Trend Micro Control Manager(以下、Control Manager) として記載のあるものは、 基本的には、Trend Micro Apex Central(以下、Apex Central)でも同様となります。
通知チャネル(手段)の種類
Control Managerには次の通知手段があります。
通知項目によって利用できる手段が変わってきます。設定可能な項目については管理コンソールをご覧ください。SyslogについてはLogForwarder.exeの画面も併せてご覧ください。
- メール
- Windowsイベントログ
- SNMPトラップ
- アプリケーションの起動
- Syslog
- ポケットベル (Control Manager 6.0のみ)
- MSN Messenger (Control Manager 6.0のみ)
SNMPトラップに関する補足情報
Apex Centralでは[レポート]-[通知]-[通知方法の設定]ページからMIBファイルをダウンロードすることができます。
Control Manager 7.0では[通知]-[通知方法の設定]ページからMIBファイルをダウンロードすることができます。Control Manager 6.0では[運用管理]-[ツール]ページにある「Control ManagerのMIBファイル」をご利用ください。
参考：製品Q&A：1302934「Trend Micro Control Manager が送信する SNMP トラップ ID について」
「アプリケーションの起動」機能に関する補足情報
Control Managerの通知基準に達した際、指定したアプリケーションを起動する機能です。
Control Manager 6.0 Critical Patch build 3795以上、Control Manager 7.0 Critical Patch build 2669以上、および Apex Central をご利用の場合は、Control Managerのインストールフォルダにある「Application」フォルダ内にあるプログラムのみが起動されるように、セキュリティ上の制限が適用されます。
Syslog通知機能に関する補足情報
フォーマット
Control Managerには2つのSyslogフォーマットがあります。
- Control Managerフォーマット：Control Managerの管理コンソールから設定できるSyslog通知はこのフォーマットになります。後述のLogForwarder.exe でも一部イベントに対してこのフォーマットを利用できます。
- CEFフォーマット：LogForwarder.exe (Syslog転送ツール ※)でのみ指定できるフォーマットです。
※LogForwarder.exeは、Control Manager 6.0 では Service Pack 3 Patch 2以上で正式サポート開始、Control Manager 7.0 では公開時のビルドからサポート対象となっています。
Control Manager 7.0においてはLogForwarder.exeでは管理コンソール上で通知設定を行うことができるイベントも網羅しています。
LogForwarder.exeと管理コンソールの両方で通知設定を行えるイベント(例：ウイルス検出)では、管理コンソールとLogForwarder.exeの両方で通知設定を行った場合、両方の通知がSyslogサーバに送信されます。
Apex Centralにおいては、Syslog転送設定は管理コンソール上からのみ設定を行うことができます。
Control Manager から Apex Central に移行した場合、Apex Central は、LogForwarder.exeを使用して設定された以前のSyslog転送設定を自動的にインポートします。
なお、Apex Centralへの移行後は、LogForwarder.exeを実行できなくなります。
Apex Centralにおいては、Syslog転送設定は管理コンソール上からのみ設定を行うことができます。
Control Manager から Apex Central に移行した場合、Apex Central は、LogForwarder.exeを使用して設定された以前のSyslog転送設定を自動的にインポートします。
なお、Apex Centralへの移行後は、LogForwarder.exeを実行できなくなります。
Syslog設定比較
Apex CentralにおいてはSyslog設定箇所が2か所あります。（表の右2列）
※Apex CentralではLogForwarder.exeをユーザ自身が実行する必要はありません。
| Control Manager 6.0/7.0 | Apex Central ・従来の [イベント通知] 向け設定 | Apex Central ・LogForwarder.exe向け設定 | |
|---|---|---|---|
| 設定箇所 | LogForwarder.exeをControl Manager 上で実行 | [レポート]-[通知]-[通知方法の設定] | [運用管理]-[設定]-[Syslogの設定]画面 |
| 指定可能なSyslogサーバの数 | 1台 | 複数可 | 1台 |
| 通知できる内容 | 従来の項目＋追加された通知項目 双方に対応 | 従来の項目のみ | 従来の項目＋追加された通知項目 双方に対応 |
| 利用可能なプロトコル | UDP,TCP,SSL/TLS （SSL/TLSはHotfixで対応） | UDP | UDP,TCP,SSL/TLS |
| 形式 | Apex Central形式,CEF | Apex Central形式 | Apex Central形式,CEF |
| サービス再起動 | 必要（ツール終了時に自動で再起動される） | 不要 | 不要 |
利用方法
Control Manager 7.0以降（Apex Centralを含む）、管理者ガイドに情報を記載しています。「Syslog転送ツールの利用 (LogForwarder.exe)」（7.0のみ）と、付録Fの「Syslogコンテンツマッピング - CEF」をご参照ください。
問題発生時の調査手順
製品Q&A：1117212「LogForwarder.exe (Syslog転送ツール) のデバッグログの取得方法」をご覧ください。
よくある質問
製品ごとに何の通知イベントが発生するかわかりますか?
Control Managerでは予めいくつかの区分にログの種類が分けられています。管理下の製品ではその区分にそってログを送信します。
そのため、管理下の製品におけるイベントがControl Managerにおけるどの区分に該当するかは、管理下の製品によって決まります。
どの製品によってどのイベント通知が発生するかは管理下の製品についてのお問い合わせとして、サポートセンターへお尋ねください。
既存の製品Q&Aの一覧を以下に示します。
- ウイルスバスター コーポレートエディション 10.5 / 10.6
- ウイルスバスター コーポレートエディション 10.6 SP3 / 11.0
- ServerProtect for Windows 5.8
- InterScan Messaging Security Suite
- InterScan Messaging Security Virtual Appriance
- InterScan for Microsoft Exchange 8.0 / 10.0
- InterScan Web Security Suite
- InterScan Web Security Virtual Appliance 5.0
- Trend Micro Network VirusWall / Enforcer
- IM Security for Microsoft Office Communications Server 1.5
管理下の製品でイベントが発生してからControl Managerが通知を行うまでどれくらいかかりますか
管理下の製品からControl Managerがログを受信するまでの時間と、通知のための処理を実行し始めるまでの時間がかかります。そのため、環境や通知内容により要する時間が異なります。
イベント発生後、できるだけ早く通知を受信したい場合は管理下の製品側の通知機能のご利用もご検討ください。
「アップデート」カテゴリの通知はControl Manager自身のアップデート状況にも適用されますか
「アップデート」カテゴリの通知はControl Manager自身、および管理下の製品の両方に対して行われます。
通知内容の「サーバ/エンティティ:」の項目がControl Managerサーバのみの場合はControl Managerサーバ自身のイベント、エンティティのパスが書かれている場合は管理下の製品のイベントを指しています。
「パターンファイル/テンプレートアップデート失敗」はどのような場合に失敗と判断しますか
コマンド追跡に「失敗」として記録されたアップデートイベントが通知対象になります。
管理下の製品が最新の状態でアップデートが不要だった場合には、失敗とは判断されません。
Windowsイベントログにイベントが記録される際のソース名とイベントIDはなんですか
イベントIDは800です。
Control Manager 6.0でのソース名は「Control Managerサーバ」もしくは「Control Manager Server」です。通知内容や宛先の編集を行うと「Control Managerサーバ」で記録されるようになります。
Control Manager 7.0では「Control Managerサーバ」のみとなります。
Apex Centralでは「Apex Centralサーバ」のみとなります。
Apex Centralでは「Apex Centralサーバ」のみとなります。
通知を限定する方法はありますか
Control Managerに管理されている製品すべてが通知対象となります。そのため次のような通知の除外・例外設定を行うことはできません。
- 通知対象のサーバを限定すること
- 通知対象の製品を限定すること
