Es posible que algunos números de artículo hayan cambiado. Si esto no es lo que está buscando, intente buscar todos los artículos. Buscar artículos

Dell Endpoint Security Suite EnterpriseおよびThreat Defenseエンドポイントのステータスを分析する方法

Tabla de contenido

Artículo detallado

Síntomas

Causa

Resolución

Información adicional

Videos

Productos afectados

Deje sus comentarios

Resumen: エンドポイントのステータスは、次の手順に従ってDell Endpoint Security Suite EnterpriseおよびDell Threat Defenseで分析できます。

Este artículo se aplica a Este artículo no se aplica a Este artículo no está vinculado a ningún producto específico. No se identifican todas las versiones del producto en este artículo.

Consulte estos recursos

Síntomas

注：

2022年5月をもって、Dell Endpoint Security Suite Enterpriseはメンテナンス終了となりました。この製品およびこの製品に関する記事は、Dellでは今後アップデートされません。
2022年5月をもって、Dell Threat Defenseはメンテナンス終了となりました。この製品およびこの製品に関する記事は、Dellでは今後アップデートされません。
詳細については、「 Dell Data Securityの製品ライフサイクル(サポート終了およびサポート終了)ポリシー」を参照してください。その他の記事に関する質問がある場合は、担当のセールスチームに連絡するか、またはendpointsecurity@dell.comにお問い合わせください。
現在の製品に関する追加情報については、エンドポイントセキュリティページを参照してください。

Dell Endpoint Security Suite EnterpriseおよびDell Threat Defenseエンドポイントのステータスは、特定のエンドポイントから取得して、脅威、エクスプロイト、スクリプトの詳細なレビューを行うことができます。

対象製品：

Dell Endpoint Security Suite Enterprise
Dell Threat Defense

影響を受けるプラットフォーム:

Windows
Mac
Linux

Causa

該当なし

Resolución

Dell Endpoint Security Suite EnterpriseまたはDell Threat Defense管理者は、個々のエンドポイントにアクセスして次の内容を確認できます。

マルウェアのコンテンツ
マルウェアの状態
マルウェアの種類

管理者は、ADVANCED Threat Prevention(ATP)エンジンがファイルを誤って分類した理由をトラブルシューティングする場合にのみ、これらの手順を実行する必要があります。詳細については、[ アクセス ]または [ レビュー ]をクリックしてください。

アクセス

マルウェア情報へのアクセスは、Windows、macOS、およびLinuxによって異なります。詳細については、適切なオペレーティングシステムをクリックしてください。

Windows

デフォルトでは、Windowsは詳細なマルウェア情報を記録しません。

Windowsの［スタート］メニューを右クリックして、［ファイル名を指定して実行］をクリックします。

[ファイル名を指定して実行]UIで、「」と入力します。 regedit CTRL+SHIFT+Enterを押します。これにより、レジストリーエディターが管理者として実行されます。

レジストリーエディターで、 HKEY_LOCAL_MACHINE\Software\Cylance\Desktopに戻ります。
左ペインで、［Desktop］を右クリックし、［Permissions］を選択します。

「Advanced（詳細設定）」をクリックします。

［Owner］をクリックします。

［Other users or groups］をクリックします。

グループ内のアカウントを検索し、［OK］をクリックします。

「OK」をクリックします。

グループまたはユーザー名の［Full Control］がオンになっていることを確認し、［OK］をクリックします。

注：この例では、DDP_Admin（ステップ8）はユーザーグループのメンバーです。

で HKEY_LOCAL_MACHINE\Software\Cylance\Desktopデスクトップ フォルダを 右クリックして新規を選択し、 DWORD (32 ビット) 値 をクリックします。

DWORDに名前を付けます StatusFileEnabledに戻ります。

［StatusFileEnabled］をダブルクリックします。

値のデータを入力 1 OK を押 します。

で HKEY_LOCAL_MACHINE\Software\Cylance\Desktopデスクトップ フォルダを 右クリックして新規を選択し、 DWORD (32 ビット) 値 をクリックします。

DWORDに名前を付けます StatusFileTypeに戻ります。

［StatusFileType］をダブルクリックします。

次のいずれかを使用して 値データ を入力します。 0 または 1に戻ります。［Value data］に入力したら、［OK］を押します。

注：［Value data］の入力値：

0 = JSONファイル形式
1 = XML形式

で HKEY_LOCAL_MACHINE\Software\Cylance\Desktopデスクトップ フォルダを 右クリックして新規を選択し、 DWORD (32 ビット) 値 をクリックします。

DWORDに名前を付けます StatusPeriodに戻ります。

［StatusPeriod］をダブルクリックします。

値のデータには、次の範囲の数値を入力します。 15 から 60 OK をクリック します。

注：StatusPeriodは、ファイルが書き込まれる頻度です。
15 = 15秒間隔
60 = 60秒間隔

で HKEY_LOCAL_MACHINE\Software\Cylance\Desktopデスクトップ フォルダーを 右クリックし、[ 新規 ]を選択して、[ String Valueに戻ります。

文字列に名前を付けます StatusFilePathに戻ります。

［StatusFilePath］をダブルクリックします。

［Value data］にステータスファイルを書き込む場所を入力し、［OK］をクリックします。

注：

デフォルトパス： <CommonAppData>\Cylance\Status\Status.json
パスの例： C:\ProgramData\Cylance
.json（JavaScript Object Notation）ファイルは、ASCIIテキストドキュメントエディターで開くことができます。

macOS

詳細なマルウェア情報は、次の場所にあるStatus.jsonファイルに含まれます。

/Library/Application Support/Cylance/Desktop/Status.json

注：.json（JavaScript Object Notation）ファイルは、ASCIIテキストドキュメントエディターで開くことができます。

Linux

詳細なマルウェア情報は、次の場所にあるStatus.jsonファイルに含まれます。

/opt/cylance/desktop/Status.json

注：.json（JavaScript Object Notation）ファイルは、ASCIIテキストドキュメントエディターで開くことができます。

確認

ステータスファイルのコンテンツには、Threats、Exploits、およびScriptsなど、複数のカテゴリーに関する詳細情報が含まれています。詳細については、該当する情報をクリックしてください。

ステータスファイルのコンテンツ：

`snapshot_time`	ステータス情報が収集された日付と時刻。日付と時刻はデバイスに対してローカルです。
`ProductInfo`	`version`: デバイス上の Advanced Threat Prevention エージェントのバージョン `last_communicated_timestamp`: エージェントアップデートの最後のチェックの日付と時刻 `serial_number`: エージェントの登録に使用されるインストールトークン `device_name`: エージェントがインストールされているデバイスの名前
`Policy`	`type`: エージェントがオンラインかオフラインかを示すステータス `id`: ポリシーの一意識別子 `name`: ポリシー名
`ScanState`	`last_background_scan_timestamp`: 最後のバックグラウンド脅威検出スキャンの日付と時刻 `drives_scanned`: スキャンされたドライブ文字のリスト
`Threats`	`count`: 検出された脅威の数 `max`: ステータスファイル内の脅威の最大数脅威 `file_hash_id`: 脅威のSHA256ハッシュ情報を表示します。 `file_md5`: MD5ハッシュ `file_path`: 脅威が検出されたパス。ファイル名を含む `is_running`: 脅威が現在デバイスで実行されているかどうか。正誤問題 `auto_run`: 脅威ファイルが自動的に実行されるように設定されているかどうか。正誤問題 `file_status`: 脅威の現在の状態（許可、実行中、または隔離など）を表示します。Threats：FileState テーブル `file_type`: Portable Executable(PE)、Archive、PDFなどのファイルのタイプを表示します。Threats：FileType テーブル `score`: Cylanceスコアを表示します。ステータスファイルに表示されるスコアの範囲は1000～-1000です。コンソールでは、範囲は100~-100です。 `file_size`: ファイルサイズをバイト単位で表示します。
`Exploits`	`count`: 検出されたエクスプロイトの数 `max`: ステータスファイル内のエクスプロイトの最大数 Exploit `ProcessId`: メモリー保護によって識別されたアプリケーションのプロセスIDを表示します。 `ImagePath`: 悪用が発生したパス。ファイル名を含む `ImageHash`: エクスプロイトのSHA256ハッシュ情報を表示します。 `FileVersion`: エクスプロイトファイルのバージョン番号を表示します。 `Username`: エクスプロイトが発生したときにデバイスにログインしたユーザーの名前を表示します。 `Groups`: ログインしているユーザーが関連付けられているグループを表示します。 `Sid`: ログインしているユーザーのSID(セキュリティ識別子) `ItemType`: 違反タイプに関連するエクスプロイトタイプを表示します。注： Exploits：ItemType テーブル違反タイプのリストは、 Dell Endpoint Security Suite Enterprise Memory Protection カテゴリの定義から確認できます。都道府県/州：エクスプロイトの現在の状態(許可、ブロック、終了など)を表示します。注： Exploits：状態テーブル `MemDefVersion`: エクスプロイトを識別するために使用されるメモリー保護のバージョン(通常はエージェントのバージョン番号) `Count`: エクスプロイトが実行を試行した回数
`Scripts`	`count`: デバイスで実行されるスクリプトの数 `max`: ステータスファイル内のスクリプトの最大数スクリプト `script_path`: スクリプトが発生したパス。ファイル名を含む `file_hash_id`: スクリプトのSHA256ハッシュ情報を表示します。 `file_md5`: スクリプトのMD5ハッシュ情報を表示します(利用可能な場合)。 `file_sha1`: スクリプトのSHA1ハッシュ情報を表示します(利用可能な場合)。 `drive_type`: スクリプトが作成されたドライブのタイプを識別します(たとえば、Fixed) `last_modified`: スクリプトが最後に変更された日付と時刻 `interpreter`: `name`: 悪意のあるスクリプトを識別したスクリプト制御機能の名前 `version`: スクリプト制御機能のバージョン番号 `username`: スクリプトの起動時にデバイスにログインしたユーザーの名前を表示します。 `groups`: ログインしているユーザーが関連付けられているグループを表示します。 `sid`: ログインしているユーザーのSID(セキュリティ識別子) `action`: 許可、ブロック、終了など、スクリプトで実行されたアクションを表示します。Scripts：アクションテーブル

Threats

脅威には、 File_Status、 FileState、FileTypeで解読する複数の数値ベースのカテゴリー があります。割り当てる値の適切なカテゴリを参照します。

File_Status

[File_Status]フィールドは、FileStateによって有効になっている値に基づいて計算された10進値です(「FileState」セクションの表を参照)。たとえば、［file_status］が10進値9の場合、脅威（0x01）として識別されているファイルから計算されており、ファイルは隔離（0x08）されている状態です。

FileState

Threats：FileState

なし	0x00
脅威	0x01
不審	0x02
許可	0x04
隔離	0x08
実行中	0x10
破損	0x20

Filetype

Threats：Filetype

サポート対象外	0
PE	1
アーカイブ	2
PDF	3
OLE	4

Exploits

には、ItemType>およびState>の両方に判読用の2つの数値ベースのカテゴリーがあります。

割り当てる値の適切なカテゴリを参照します。

Itemtype

Exploits：Itemtype

`StackPivot`	1	スタックピボット
`StackProtect`	2	スタック保護
`OverwriteCode`	3	コードを上書き
`OopAllocate`	4	メモリーのリモート割り当て
`OopMap`	5	メモリーのリモートマッピング
`OopWrite`	6	メモリーへのリモート書き込み
`OopWritePe`	7	メモリーへのリモート書き込みPE
`OopOverwriteCode`	8	リモート上書きコード
`OopUnmap`	9	メモリーのリモートマッピング解除
`OopThreadCreate`	10	リモートスレッドの作成
`OopThreadApc`	11	スケジュールされたリモートAPC
`LsassRead`	12	LSASS読み取り
`TrackDataRead`	13	RAMスクレイピング
`CpAllocate`	14	メモリーのリモート割り当て
`CpMap`	15	メモリーのリモートマッピング
`CpWrite`	16	メモリーへのリモート書き込み
`CpWritePe`	17	メモリーへのリモート書き込みPE
`CpOverwriteCode`	18	リモート上書きコード
`CpUnmap`	19	メモリーのリモートマッピング解除
`CpThreadCreate`	20	リモートスレッドの作成
`CpThreadApc`	21	スケジュールされたリモートAPC
`ZeroAllocate`	22	ゼロ割り当て
`DyldInjection`	23	DYLDインジェクション
`MaliciousPayload`	24	悪意のあるペイロード

注：

Oop プロセス外の参照
Cp 子プロセスの参照
違反タイプの詳細については、「Dell Endpoint Security Suite Enterpriseメモリー保護カテゴリーの定義（英語）」を参照してください。

状態

Exploits：状態

なし	0
許可	1
ブロック済み	2
終了	3

スクリプト

［Exploits］には、［Action］で解読される単一の数値ベースのカテゴリーがあります。

Scripts：動作

なし	0
許可	1
ブロック済み	2
終了	3

サポートに問い合わせるには、「Dell Data Securityのインターナショナルサポート電話番号」を参照してください。
TechDirectにアクセスして、テクニカルサポートリクエストをオンラインで生成します。
さらに詳しい情報やリソースについては、「デルセキュリティコミュニティーフォーラム」に参加してください。

Información adicional

Videos

Productos afectados

Dell Threat Defense, Dell Endpoint Security Suite Enterprise

Número del artículo: 000124896

Tipo de artículo: Solution

Última modificación: 20 nov 2023

Versión: 12

Compruebe si el dispositivo está cubierto por los servicios de soporte.

Dell Endpoint Security Suite EnterpriseおよびThreat Defenseエンドポイントのステータスを分析する方法