セキュアな設定検証

パラメータ:

• Type ("av_type")

  アンチウィルスの種類例えば、「Norton」、「VirusScan」、「OfficeScan」、「ZoneLabs」などがあります。

• Signature (x)

  必要なウイルス定義ファイルの署名。署名の形式は、Anti-Virusの種類によって異なります。例えば、Norton Anti-Virus の場合、署名は「>=20031020」となります。(ノートンのAVシグネチャーのフォーマットは "yyyymmdd "です）。

  TrendMicro Officescanの場合、署名は"<650 "となる場合があります。

  マカフィーのウイルススキャンの場合、4.0.4291より大きいシグネチャ（">404291"）を使用します。

  Zone Labsの場合、署名（">X.Y.Z"）を使用します。ここで、X = Major Version、Y = Minor Version、Z = .dat署名ファイルのBuild Numberを指定します。

  AntiVirusMonitor は "begin_or" と "begin_and" 構文をサポートしていません (特別な意味を持つ表現とラベル参照してください)。

パラメータ:

• browser_major_version (5)

  Internet Explorerのメジャーバージョン番号。このフィールドが local.scv ファイルに存在しないか、またはこの値が 0 の場合、IEのバージョンは "BrowserMonitor" のチェックの一部としてチェックされません。

• browser_minor_version (0)

  Internet Explorerのマイナーバージョン番号。

• browser_version_operand (">=")

  Internet Explorerのバージョン番号を確認するために使用する演算子です。

• browser_version_mismatchmessage (「インターネットブラウザをアップグレードしてください」)。

  Internet Explorerのバージョンで設定が確認できない場合に表示されるメッセージ。

• intranet_download_signed_activex (有効)

  ローカルイントラネット内から署名付きActiveXコントロールをダウンロードするためにIEが持つべき最大の許可レベル。

• intranet_run_activex (有効)

  ローカルイントラネット内から署名されたActiveXコントロールを実行するためにIEが持つべき最大の許可レベルです。

• intranet_download_files (有効)

  IEがローカルイントラネット内からファイルをダウンロードする際に持つべき最大の許可レベル。

• intranet_java_permissions 低め

  ローカルイントラネットからJavaアプレットを実行するために、IEエクスプローラが持つべき最大のセキュリティレベル。

  (low)はセキュリティレベルの低さを意味します。

• trusted_download_signed_activex (有効)

  信頼できるゾーンから署名されたActiveXコントロールをダウンロードするために、IEが持つべき最大の許可レベルです。

• trusted_run_activex (有効)

  信頼できるゾーンから署名されたActiveXコントロールを実行するために、IEが持つべき最大の許可レベルです。

• trusted_download_files (有効)

  信頼できるゾーンからファイルをダウンロードするためにIEが持つべき最大の許可レベル。

• trusted_java_permissions (中)

  信頼できるゾーンからJavaアプレットを実行するために、IEが持つべき最大のセキュリティレベルです。

• internet_download_signed_activex (無効)

  IEがインターネットから署名付きActiveXコントロールをダウンロードする際に持つべき最大許可レベル。

• Internet_run_activex (無効)

  インターネットから署名されたActiveXコントロールを実行するためにIEが持つべき最大の許可レベル。

• internet_download_files (無効)

  インターネットからファイルをダウンロードする際に、IEが持つべき最大の許可レベル。

• internet_java_permissions (無効)

  インターネットからJavaアプレットを実行するためにIEが持つべき最大のセキュリティレベル。

• restricted_download_signed_activex (無効)

  制限区域から署名付きActiveXコントロールをダウンロードするためにIEが持つべき最大の許可レベルです。

• restricted_run_activex (無効)

  署名されたActiveXコントロールを制限されたゾーンから実行するためにIEが持つべき最大の許可レベルです。

• restricted_download_files (無効)

  制限されたゾーンからファイルをダウンロードするためにIEが持つべき最大の許可レベル。

• restricted_java_permissions (無効)

  制限区域からJavaアプレットを実行するために、IEが持つべき最大のセキュリティレベル。

• send_log (タイプ)

  クライアントがSCVを満たさないことを指定した場合に、Security Management Serverへログを送信するかどうかを決定します。

  この SCV 検査は、"begin admin/end admin" パラメータセクションをサポートしません。

  (タイプ)セクションは、(ログ)または(アラート)に置き換える必要があります。

• internet_options_mismach_message (「お使いのインターネットブラウザの設定は、ポリシーの要件を満たしていません」)

  Internet Explorerの設定に不一致のメッセージが表示される。

BrowserMonitor は、Internet Explorerのバージョンのみ、または特定のゾーンのブラウザの設定のみをチェックするように設定することができます。

例えば、以下のパラメータが一つも表示されない場合。

• restricted_download_signed_activex

• restricted_run_activex

• restricted_download_files

• restricted_java_permissions

の場合、BrowserMonitor は制限されたゾーンのセキュリティ設定を確認しません。同様に、パラメータ "browser_major_version "が出現しないか、ゼロに等しい場合、IEのバージョン番号はチェックされない。

BrowserMonitor は、"begin_or" と "begin_and" の構文をサポートしておらず、admin パラメータもサポートしていません (「特別な意味を持つ表現とラベル」を参照してください)。

Internet ExplorerのService Packを確認するスクリプトは、下記の「Script for Internet Explorer Service Pack」をご覧ください。

パラメータ:

• "builtin\administrator" (false)

  ユーザグループの名前です。マシンの設定を確認するためには、ユーザがこのグループに属している必要があります。

• securely_configured_no_active_user (true)

  ユーザがログオンしていないときに、マシンの設定を検証済みとみなすかどうかを指定します。デフォルト値は100です。

パラメータ:

• HotFix_Number (true)

  確認するHotfixの番号です。マシンを検証するためには、例えば、Hotfixをインストールする必要があります。"823980(true) "は、MicrosoftのRPCパッチがオペレーティングシステムにインストールされていることを確認します。

• HotFix_Name (true)

  チェックするシステムのHotFixのフルネーム。マシンを検証するためには、例えば、HotFixをインストールする必要があります。"KB823980(true) "は、マイクロソフトのRPCパッチがオペレーティングシステムにインストールされていることを確認します。

HotFixMonitor 、local.scv ファイルに記載されているすべてのフィールドを表示する必要があるわけではありません。中には全く登場しないものや、複数回登場するものもあります。これらのフィールドは、ORおよびANDされることもある。このように、複数のHotfixをチェックし、結果をORまたはANDすることで、より柔軟に対応することができます。

パラメータ:

• cputype ("GenuineIntel")

  ベンダID文字列に記述されたCPUの種類。文字列の長さはちょうど12文字でなければならない。

  例：「GenuineIntel」、「AuthenticAMD」、「aaa bbb ccc」（スペースは1文字としてカウントされます）。

• cpufamily (6)

  CPUファミリーのことです。

• cpumodel (9)

  CPUのモデルです。

HWMonitor は "begin_or" と "begin_and" の構文をサポートしていません (特別な意味を持つ表現とラベル参照してください)。

パラメータ:

• enforce_screen_saver_minutes_to_activate (3)

  スクリーンセーバーが起動するまでの時間（分）。この時間内にスクリーンセーバーが起動しない場合、クライアントは検証済みとみなされません。また、スクリーンセーバーはパスワードで保護されている必要があります。

• screen_saver_mismatchmessage (スクリーンセーバーの設定がポリシーの要件を満たしていません。）

  スクリーンセーバーチェックの不一致メッセージ。プロパティ "enforce_screen_saver_minutes_to_activate "が表示されていない場合、または時間がゼロに設定されている場合は、スクリーンセーバーのチェックは行われません。

• send_log (タイプ)

  クライアントがSCVを満たさないことを指定した場合に、Security Management Serverにログを送信するかどうかを決定します。

  この SCV 検査は、"begin admin/end admin" パラメータセクションをサポートしません。

  (タイプ)セクションは、(ログ)または(アラート)に置き換える必要があります。

• major_os_version_number_9x (4)

  検証対象となる9x系OSに必要なメジャーバージョンを指定します。

• minor_os_version_number_9x (10)

  検証対象の9x系OSに必要なマイナーバージョンを指定します。

• os_version_operand_9x (">=")

  9xでOSのバージョンを確認するためのオペレータ。

• service_pack_major_version_number_9x (0)

  検証対象の9x OSに必要なメジャーサービスパックのバージョンを指定します。

• service_pack_minor_version_number_9x (0)

  検証対象の9xオペレーティングシステムに必要なマイナーサービスパックのバージョンを指定します。

• service_pack_version_operand_9x (">=")

  9xでOSのサービスパックを確認するためのオペレーター。

• major_os_version_number_nt (4)

  検証対象となるWindows NTオペレーティングシステムに必要なメジャーバージョンを指定します。

• minor_os_version_number_nt (10)

  検証対象となるWindows NTオペレーティングシステムに必要なマイナーバージョンを指定します。

• os_version_operand_nt (">=")

  Windows NTでOSのバージョンを確認するためのオペレータです。

• service_pack_major_version_number_nt (0)

  検証対象のWindows NTオペレーティングシステムに必要なメジャーサービスパックのバージョン

• service_pack_minor_version_number_nt (0)

  検証対象のWindows NTオペレーティングシステムに必要なマイナーサービスパックバージョン

• service_pack_version_operand_nt (">=")

  Windows NTでOSのサービスパックを確認するためのオペレーター

• major_os_version_number_2k (4)

  検証対象となるWindows 2000オペレーティングシステムに必要なメジャーバージョンを指定します。

• minor_os_version_number_2k (10)

  検証対象のWindows 2000オペレーティングシステムに必要なマイナーバージョンを指定します。

• os_version_operand_2k (">=")

  Windows 2000でOSのバージョンを確認するためのオペレーター

• service_pack_major_version_number_2k (0)

  検証対象のWindows 2000オペレーティングシステムに必要なメジャーサービスパックのバージョンを指定します。

• service_pack_minor_version_number_2k (0)

  検証対象のWindows 2000オペレーティングシステムに必要なマイナーサービスパックバージョンを指定します。

• service_pack_version_operand_2k (">=")

  Windows 2000でOSのサービスパックを確認するためのオペレータ

• major_os_version_number_xp (4)

  検証対象のWindows XPオペレーティングシステムに必要なメジャーバージョンを指定します。

• minor_os_version_number_xp (10)

  検証対象のWindows XPオペレーティングシステムに必要なマイナーバージョンを指定します。

• os_version_operand_xp (">=")

  Windows XPでOSのサービスパックを確認するためのオペレーター

• service_pack_major_version_number_xp (0)

  検証対象のWindows XPオペレーティングシステムに必要なメジャーサービスパックのバージョンを指定します。

• service_pack_minor_version_number_xp (0)

  検証対象のWindows XPオペレーティングシステムに必要なマイナーサービスパックバージョンを指定します。

• service_pack_version_operand_xp (">=")

  Windows XPでOSのサービスパックを確認するためのオペレーターです。

• os_version_mismatches (「オペレーティングシステムをアップグレードしてください」)

  オペレーティングシステムのバージョン/サービスパックの設定が確認されていない場合に表示されるメッセージです。オペレーティングシステムのバージョンとサービスパックは、scvファイルにパラメータが表示されない場合はチェックされません。

• :major_os_version_number_2003 (5)

  検証対象となるWindows 2003オペレーティングシステムに必要なメジャーバージョンを指定します。

• :minor_os_version_number_2003 (2)

  検証対象となるWindows 2003オペレーティングシステムに必要なマイナーバージョンを指定します。

• :os_version_operand_2003 ("==")

  Windows 2003でOSのサービスパックを確認するためのオペレーター

• :service_pack_major_version_number_2003 (0)

  検証対象のWindows 2003オペレーティングシステムに必要なメジャーサービスパックのバージョンを指定します。

• :service_pack_minor_version_number_2003 (0)

  検証対象のWindows 2003オペレーティングシステムに必要なマイナーサービスパックバージョンを指定します。

• :service_pack_version_operand_2003 (">=")

  Windows 2003でOSのサービスパックを確認するためのオペレーター

OsMonitor は、スクリーンセーバーの設定のみ、またはオペレーティングシステムのバージョンとサービスパックのみをチェックするように設定することができます。例えば、以下のパラメータが一つも表示されない場合。

• major_os_version_number_xp

• minor_os_version_number_xp

• os_version_operand_xp

• service_pack_major_version_number_xp

• service_pack_minor_version_number_xp

• service_pack_version_operand_xp

の場合、OsMonitor は、Windows XP プラットフォームのシステムのバージョンとサービスパックをチェックしません。

同様に、パラメータ "enforce_screen_saver_minutes_to_activate" が表示されない場合は、スクリーンセーバーの設定にチェックが入っていないことになります。

OSMonitor は "begin_or" と "begin_and" の構文をサポートしていません (特別な意味を持つ表現とラベル参照してください)。

パラメータ:

• ProcessName.exe (true)

  管理者が確認したい処理。値がtrueの場合、マシンの検証のためにプロセスを実行する必要がある。値が false の場合、検証対象のマシンのプロセスは実行されていないはずである。

ProcessMonitor は、複数のプロセスの存在/排除を確認するためにも使用できます。フィールドは柔軟にANDまたはORすることができる。

パラメータ:

• PredefinedKeys (HIVE)

  レジストリハイブを以下のいずれかの選択肢から指定します。

  • HKEY_CURRENT_USER

  • HKEY_LOCAL_MACHINE

  • HKEY_USERS

  いずれかのハイブが指定されていない場合は、HKEY_LOCAL_MACHINE 。

HKEY_CLASSES_ROOT のチェックを設定するには、HKEY_LOCAL_MACHINE\Software\Classes and HKEY_CURRENT_USER\Software\Classes を使用します。

• value (registry_value_path)

  レジストリDWORD 、定義済みのキーで指定されたハイブの下のパスをチェックします。値は、演算子の後に数値を続ける。 "Software\TrendMicro\PC-cillinNTCorp\CurrentVersion\Misc.\PatternVer>=414"

  value パラメータの構文は以下の通りです。

  :value ("pathOPval")

  例：

  :value ("Software\...\PaternVer>=414")

• string(registry_string_path)

  定義済みのキーで指定されたハイブの下にあるレジストリ文字列のパスがチェックされます。DWORDの比較と同じように、文字列の値と与えられた値を比較します。

• keyexist (registry_key_path)

  レジストリキーが存在するかどうかを確認するためのパスで、定義済みのキーで指定されたハイブの下はチェックされます。マシンを検証する場合は、キーが存在する必要があります。

• keynexist (registry_key_path)

  定義済みキーで指定されたハイブの下で、除外チェックするレジストリキーのパスがチェックされます。マシンが検証されるためには、キーが存在しないことが必要です。

• allow_no_user (デフォルト: true)

  このパラメータは、ユーザがマシンにログインしているときのみ有効です。

  SC サービスと SCV の検査はユーザがログオンしていない時にも実行されるため、検査が成功したか失敗したかを判断する必要があります。

  ユーザがマシンにログオンしておらず、実行中の RegMonitor チェックが HKEY_CURRENT_USER をモニタするように設定されている場合、フラグ allow_no_user に従った動作となります。

  allow_no_userがtrueの場合、チェックはPASSになります。

  allow_no_userがfalseの場合、チェックはFAILとなります。

  この属性は、デフォルトではlocal.scvファイルに含まれない。もし、その属性がファイル内に存在しない場合は、使用されるデフォルトの設定も真となる。

  この属性の設定は、local.scvで行います。例：

: (RegMonitor

                                         :type (plugin)
                            

                                         :parameters (
                            

                                                 :keyexist ("HKEY_CURRENT_USER\Software\CheckPoint")
                            

                                                 :allow_no_user (true)
                            

                                                 :begin_admin (admin)
                            

                                                         :send_log (alert)
                            

                                                         :mismatchmessage ("mismatch message ")
                            

                                                 :end (admin)
                            

                                         )
                            

                                 )
                            

RegMonitor 、local.scv ファイルに記載されているすべてのフィールドを表示する必要があるわけではありません。中には全く登場しないものや、複数回登場するものもあります。これらのフィールドは、ORおよびANDされることもある。このように、複数のレジストリエントリをチェックし、その結果をORまたはANDすることで、より柔軟に対応することができます。

SCV ポリシーで RegMonitor を使用する場合、これらの論理比較演算子を使用することができます。その他の論理演算はサポートしていません。

Internet Explorer Service Pack対応スクリプト

RegMonitor は、Internet Explorerのバージョンとサービスパックをチェックするように設定することができます。スクリプトは次のようになります。

: (RegMonitor

    :type (plugin)

    :parameters (

        :begin_or (or1)

        :keynexist ("Software\Microsoft\Internet Explorer")

        :string ("Software\Microsoft\Internet
Explorer\Version>=6")

        :begin_and (and1)

        :string
("Software\Microsoft\Internet Explorer\Version>=5.5")

        :string ("Software\Microsoft\Windows\CurrentVersion\Internet
Settings\MinorVersion>=SP2")

        :string ("Software\Microsoft\Windows\CurrentVersion\Internet Settings\MinorVersion<=SP9")

        :end_and (and1)

        :begin_and (and2)

        :string ("Software\Microsoft\Internet Explorer\Version>=5.5")

        :string ("Software\Microsoft\Windows\CurrentVersion\Internet Settings\MinorVersion>=;SP2")

        :string ("Software\Microsoft\Windows\CurrentVersion\Internet Settings\MinorVersion<=;SP9")

        :end_and (and2)

        :end_or (or1)

        :begin_admin (admin)

        :send_log (alert)

        :mismatchmessage ("Your IE must be at least
version 5.5 with SP2.")

        :end (admin)

    )

)

パラメータ:

• scv_version(">=541000076")

  SCV 製品のビルド番号を表します。SCVのチェックを担当するDLLのバージョンです。この番号は、クライアントのビルド番号とは異なります。SCV製品は、クライアントを更新することなく、アップグレードが可能であり、場合によってはアップデートも可能です。

文字列は、演算子の後に "vvshhhbbb "というフォーマットでDLLのバージョン番号が続きます。例えば、DLLのバージョンを54.1.0.220以上にしたい場合は、次のような構文になります。

scv_version (">=541000220")

SCVMonitor は"begin_or" と "begin_and" 構文をサポートしていません（特別な意味を持つ表現とラベル参照）。

パラメータ:

• exe ("VerifyScript.bat")

  実行ファイルを実行します。実行ファイルの名前と、実行ファイルへのフルパスを入力します。

• run_as_admin ("no")

  検証スクリプトを管理者権限で実行するかどうかを決定します。デフォルトは"no"です。他の値は "yes "のみである。

• run_timeout (10)

  実行ファイルの終了を待つ時間（秒）。設定された時間内に実行ファイルが終了しない場合、処理は失敗とみなされ、マシンは「未検証」に分類される。デフォルト値は0であり、"no timeout "と同じである。

ScriptRun は "begin_or" と "begin_and" の構文をサポートしていません (特別な意味を持つ表現とラベル参照してください)。

パラメータ:

• logged_on_to_policy_server 真偽

  SCVを満たすために、ユーザがPolicy Serverにログオンしている必要があるかどうかを指定します。

• policy_refresh_rate ("168")

  デスクトップポリシーが有効である時間（時間単位）。168時間を経過すると、デスクトップポリシーは有効とみなされず、ユーザはもはやSCVを満たさない。本パラメータを指定しない場合、ポリシーの鮮度チェックは行われません。

• mismatchmessage (「ここにメッセージをどうぞ」)

  user_policy_scvのチェックに失敗したときに表示されるメッセージです。

• dont_enforce_while_connecting

  このパラメータが存在する場合、ユーザは Security Gateway に接続する際に SCV を満たします。ユーザがSCVを満たすのは、接続処理の間だけです。

パラメータ:

すべてのbooleanパラメータ（true またはfalse ）については、値を引用符で囲む必要はありません。

• disconnect_when_not_verified (true/false)

  true" の場合、DesktopがSCVを満たさない場合、リモートアクセスクライアントはサイトから切断されます。

• block_connections_on_unverified (true/false)

  true" の場合、デスクトップがSCVを満たさない場合、リモートアクセスクライアントは開いているすべての接続を切断します。

  注：このパラメータが真の場合、VPNサイトとの接続だけでなく、マシンへのすべての接続がブロックされます。

• ip_forwarding_mismatchmessage ("Message string placed here")

  値は、ip転送が有効な場合に表示される文字列である。例：ip_forwarding_mismatchmessage（"どうぞ...など"）

  これは、IP転送がSCVチェックの一部である場合、つまり、パラメータが「True」として定義されている場合にのみ関連します。

• not_verified_script ("script_name.bat")

  DesktopがSCVを満たさない場合に実行される実行ファイル名。次の3つのパラメータは、実行ファイルの実行に関連するその他のオプションを提供します。

• not_verified_script_run_show (true/false)

  true" の場合、実行ファイルの進行状況が画面上に表示されます。

• not_verified_script_run_admin (true/false)

  true" の場合、実行ファイルは管理者権限で実行されます。

• not_verified_script_run_always (true/false)

  true" の場合、DesktopがSCVを満たさないたびに実行ファイルが実行されます。false "の場合、リモートアクセスクライアントセッションごとに1回実行されます。

• :allow_non_scv_clients (true/false)

  true" の場合、OSがSCVをサポートしていなくても、クライアントは検証済みの状態を実施するセキュリティゲートウェイに送信します。