Indexを使用します。Indexを使用すれば、エンドポイントのリソース使用率を最小限に抑え、利用可能な場合はファイルシステムのジャーナル処理と連携するように最適化できます。このソリューションでは、ローカルファイルシステムのインデックスが作成され、ファイルのハッシュ値が計算され、ファイルの属性とマジックナンバーが収集されます。この情報はSQLiteデータベースに記録され、休止中ファイルに対する脅威インジケータの検出とレポート作成に使用されます。概要Indexでは、次の手順で、個々のエンドポイント上にあるファイルシステムのインベントリが作成および管理されます。初期インベントリを実行するファイルシステムの変更を検出するファイルのハッシュ値を計算するマジックナンバーを計算する初期インベントリを実行するファイルシステムのインベントリは、エンドポイントのSQLiteデータベースに保存されます。WindowsWindowsエンドポイントの場合、Indexは最初のインベントリにMFTを使用します。Windowsエンドポイントの場合、IndexはデフォルトでNTFSジャーナルを使用し、ドライブ文字でエンドポイント上のすべての固定ドライブに対して、完全、高速かつ効率的にインベントリを渡します。Traceのリアルタイムイベントレコーダーのデータを使用して、ファイルのイベントを収集します。エンドポイントでTraceを使用できない場合は、プラットフォームに依存しない方法を使用してエンドポイント上のファイルシステムでインデックスを作成します。Xエンドポイントの場合、プラットフォームに依存しない方法を使用して、エンドポイント上のファイルシステムでインデックスを作成します。ファイルシステムの変更を検出する新しいファイルシステムの変更は、データベースに取り込まれます。WindowsWindowsシステムでは、ドライブがジャーナルモードになっている場合、最初のインデックス作成が完了した後に、変更が発生してから数秒以内に変更が検出されます。ドライブがジャーナリングされていない場合、Indexはプラットフォームに依存しないモードで動作し、次回にインデックスを渡す際に変更が検出されます。Indexは、NTFSジャーナルに変更があるかどうかをチェックし、データベースのインベントリを更新する非同期スレッドを開始します。ファイルに変更が加えられた場合、そのファイルのために保存されたハッシュ値が削除されます。ファイルの作成または変更が検出されると、そのファイルには、ファイル名、ファイルのサイズ、ファイルの作成時刻、ファイルの変更時刻、およびディレクトリ名を含むようにインデックスが作成されます。1つ以上のNTFSハードリンクを含むファイルの場合、Indexは関連するファイル参照番号ですべてのハードリンクを記録します。このため、ハードリンクが削除されても、残りのハードリンクはデータベースに残ります。最初のインデックス作成後、Indexはタイムスタンプの作成や変更など、ファイルの属性のみに加えられた変更を検出しません。ファイルの内容が変更された場合、Indexは新しいファイルの変更タイムスタンプを記録しますが、ファイルの作成タイムスタンプは更新しません。Traceパッケージがエンドポイントにデプロイされている場合、IndexはTraceデータベースで収集されたファイルのイベント情報を照会します。Traceを使用できない場合、Indexはプラットフォームに依存しないインデックスの作成方法を使用します。プラットフォームに依存しないインデックスの作成では、Indexがディレクトリツリーを走査してファイルの変更を取得するため、変更に時間がかかります。Xプラットフォームに依存しないインデックスの作成方法では、Indexがディレクトリツリーを走査してファイルの変更を取得するため、変更に時間がかかります。変更されたファイルのみをトラッキングする代わりに、各ハッシュを渡す前にインデックス全体が再構築されますファイルのハッシュ値を計算するファイルシステムの最初のインベントリが完了した後、Indexはファイルのハッシュ値を計算してデータベースに格納します。ファイルのハッシュ値は、ファイルのインデックスが作成されたときに、すぐには計算されません。Indexのハッシュスレッドは、設定された再スキャン間隔でスリープします。この間隔は、デフォルトでは1時間です。スレッドが起動すると、ハッシュのないデータベース内でファイルのハッシュ値が計算されます。Indexでは、3つの異なるハッシュタイプの計算がサポートされています。MD5、SHA-1、またはSHA-256が使用されます。デフォルトでは、MD5ハッシュのみが計算されます。Indexでは、ハッシュタイプの組み合わせを計算するように設定できます。ファイル内の変更が検出されると、データベース内のハッシュ値カラムがクリアされます。必要に応じて、ハッシュ値の計算を無効にすることができます。マジックナンバーを計算するマジックナンバーとは、ファイルの最初の4バイトです。マジックナンバーを使用すると、ファイルのタイプを識別できます。マジックナンバーのエントリを持たないファイルのハッシュ値を渡す際に、マジックナンバーが記録されます。Deploymentガイド:を参照してください。GBの空き容量が必要です。Indexのインストールに使用される領域は、インデックスを作成するローカルディスク上で使用されている領域の使用量によって異なります。実際にインデックスデータベースに必要となる領域は、ローカルディスク上のファイルとディレクトリの数や、構成されたハッシュに比例します。見積もりのために、インデックスデータベースは、1GBの使用済みドライブ容量に対して約1MBのスペースを使用します。インデックスデータベースに必要な容量の計算について詳しくは、テクニカルアカウントマネージャに問い合わせてください。CPUの使用状況Indexは、エンドポイントのCPU使用率を監視し、必要に応じて調整します。ファイルシステムのインベントリおよびハッシュ値の計算中に、計算されたCPU使用率が、設定済みのCPU使用率の上限を超えると、インデックス処理が一時停止します。インデックス処理を一時停止すると、全体のCPU使用率が、定義済みのCPU使用率の上限まで平均化されます。CPUの使用率が一時的に上限を超えている可能性があります。CPUの使用率は、Index構成ファイルに含まれるCPUUsageLimitパラメータを介して設定されます。3〜5%に設定することをお勧めします。制限に達するか超過すると、プロセスのランタイムと構成されたCPU使用率の上限に基づいて、動的で適応性のあるアルゴリズムを使用してIndexプロセスが一時停止します。Clientをインストールする必要があります。Deploymentガイドを参照してください。Indexソリューションをインストールします。詳細については、Indexのインストールを参照してください。Responseのアップグレードを参照してください。Traceを使用したライブファイルのイベントを監視する場合、Traceのエンドポイントパッケージでファイルのイベント記録を使用可能にする必要があります。次のセンサー結果を確認してください。(問題は見つかりませんでした)」と表示されるのを確認します。Traceエンドポイントフィルタ)]センサーを実行して、ファイルイベントがリストにないことを確認します。Client>\Tools\EPI\TaniumEndpointIndex.exe。TaniumによるAV除外の詳細については、Taniumサポートナレッジベース:セキュリティソフトウェアの例外(ログインが必要です)を参照してください。Indexツールを予定済みアクションで適切なエンドポイントにデプロイします。オペレーティングシステムによってエンドポイントをターゲットにする必要があります。オペレーティングシステムによってターゲットにする方法には、OS固有のコンピュータグループを作成する方法があります。デフォルトでは、エンドポイントにIndexをデプロイするアクションは無効になっています。(予定済みアクション)]の順にクリックします。(編集)]をクリックします。Indexツールのディストリビューションをデプロイ)エンドポイントパッケージのディストリビューションについて、スケジュールの詳細とターゲットシステムを指定します。(再発行)]間隔を選択することで、後ほどオンラインになるエンドポイントがIndexツールを確実に取得できるようにします。パッケージについて、エンドポイントのアクショングループを選択します。(プレビューを表示して続行)]をクリックします。必要に応じて、ターゲットエンドポイントのリストを確認し、アクショングループを調整します。(アクションを保存)]をクリックします。Indexツールのディストリビューション)]パッケージを追加します。Client>\Tools\EPIディレクトリに保存されます。Client>\Tools\EPI\EndpointIndex.db。エンドポイントでのデプロイを確認するIndexがエンドポイントにインストールされていることを確認し、Indexツールが最新状態に更新されていることを確認します。(Indexに最新ツールを搭載)]センサーは、エンドポイントにインストールされたIndexのバージョン、およびツールが最新であるかどうかを返します。このセンサーは、次の2つのデータを返します。(パッケージが必要です)サーバにインポートされたソリューションのバージョンと、エンドポイントにデプロイされたIndexのバージョンが一致しない、Linux、Mac、またはWindowsのエンドポイントの数を指定します。これらのエンドポイントに、Indexパッケージをデプロイする必要があります。Index構成のディストリビューション)]パッケージを使用して、Indexの構成設定をカスタマイズします。デフォルトのパッケージには、ご使用の環境に合わせてIndex設定をカスタマイズするためのテンプレートとして使用するサンプル構成ファイルが含まれています。以下のようなカスタマイズ可能な設定があります。インデックス処理とハッシュの間隔(RescanIntervalの設定)CPUのしきい値を調整する(CPUUsageLimitの設定)ハッシュするファイルの最大サイズ(MaxFileSizeToHashMBの設定)インデックス処理から除外するファイルとフォルダ(ExcludeFromIndexingとExcludeFromHashingの設定)計算するハッシュタイプ、またはハッシュを無効にする(HashesToCalculateの設定)config.iniファイルがすでにエンドポイントにインストールされている場合、Indexツールのパッケージとアクションによって、エンドポイント上で変更されたconfig.iniファイルを上書きすることはできません。Index構成のディストリビューション)]パッケージを使用します。(パッケージ)]に移動します。(編集)]をクリックします。config.iniファイルを追加します。必要な設定に合わせてファイルを更新し、config.iniとして保存します。(追加)]をクリックして、カスタマイズしたconfig.iniファイルをアップロードします。(保存)]をクリックします。Index構成のディストリビューション)]パッケージをデプロイします。(予定済みアクション)]をクリックします。(編集)]をクリックします。デプロイの詳細を編集し、特定のアクショングループに対するパッケージのディストリビューションを指定します。Client>\Tools\EPIディレクトリに保存されます。変更されたconfig.iniファイルは、Indexをアップグレードする際に保持されます。(Mac用のインデックス処理の開始をデプロイ)]の保存されたアクションを使用します。コンピュータの再起動時にインデックス処理が再開されるようにするには、保存されたアクションを予定済みアクションとして設定します。(インデックス処理の開始をデプロイ)]を1時間ごとに実行するようスケジュールします。これらのアクションの詳細については、以下を参照してください。(インデックスステータス)]センサーを使用します。ステータス値の詳細については、TaniumナレッジベースIndexのリファレンス:インデックスのステータスを参照してください。(インデックスクエリファイル)]センサーを使用して、インデックスの付いたファイルに関する詳細を取得します。(最終更新日)]のタイムスタンプを返します。結果にはタイムスタンプが含まれるので、各ファイルに対して一意な文字列が返されます。文字列の総数を減らすには、次のワークフローを使用します。一意の文字列を返す可能性の低い、次のセンサーのいずれかを使用して開始します。(インデックスクエリファイルのアクセス許可)上記のセンサーから結果を取得したら、以下のセンサーにドリルダウンして詳細を調べることができます。(インデックスクエリファイルのアクセス許可)これらのセンサーの詳細については、TaniumナレッジベースIndexのリファレンス:センサーを参照してください。Indexによって計算されたハッシュとそのリストを比較することができます。MD5、SHA1、またはSHA256のハッシュを使用できます。パッケージを編集します。(パッケージ)]の順に移動します。(Mac用インデックスクエリブラックリストのディストリビューション)]パッケージを選択します。(編集)]をクリックします。blacklist.txtファイルを更新します。このファイルには、カンマまたはキャリッジリターンで区切られたハッシュのリストが含まれています。ハッシュがコンマで区切られている場合は、同じタイプのハッシュをグループ化します。ブラックリストは100,000以上のエントリで正常にテストされていますが、少数のハッシュから開始し、ブラックリストを定期的に更新します。入っているファイルを削除します。blacklist.txtファイルを編集します。(追加)]をクリックして、更新されたblacklist.txtファイルをアップロードします。(保存)]をクリックします。Consoleでは、オペレーティングシステムベースの質問を使用して、パッケージをデプロイするコンピュータを探します。(アクションのデプロイ)]をクリックします。(Mac用インデックスクエリブラックリストのディストリビューション)]パッケージを選択します。デプロイされたブラックリストとIndexで計算されたハッシュを比較します。センサーを使用します。このセンサーは、ブラックリストにリストされているファイルパスとハッシュのリストを返します。トラブルシューティングIndexが実行されていないデフォルトでは、構成デプロイパッケージには構成ファイルsample_config.iniのサンプルが含まれています。(インデックスステータス)]センサーが次のメッセージを返します。(構成ファイルがありません)。ファイルに置き換えられたことを確認します。Indexエンドポイントの設定をカスタマイズするを参照してください。Indexによって報告されたファイルとディレクトリパスが、他の方法で報告された内容と異なる。Indexで報告されるファイルやディレクトリパスと他の方法で報告されるファイルやディレクトリパスの間に違いがあることがあります。Windowsでは、ハードリンク、シンボリックリンク、およびユーザーに表示される一部のファイルのジャンクションが使用されます。MFTでファイルを列挙すると、ファイルの最初のハードリンクのソースパスが表示されますが、表示されないハードリンクもあります。その結果、MFTをスキャンすると、通常のディレクトリトラバーサルとは異なるファイルのディレクトリパスが生成される可能性があります。MFTのリンクは、ファイルのフルパスを見つける際に、問題を引き起こす可能性があります。System32ディレクトリで「見つからない」と思われるファイルを検索すると、C:\Windows\SysWow64ディレクトリなど、別の場所でファイルが見つかる可能性があります。usersディレクトリからC:\ProgramDataディレクトリへのシンボリックリンクが形成されます。Indexはリンクに従い、C:\ProgramDataに含まれるデータベース内でファイルを記録します。これらのファイルのハッシュは正しく、ユーザーに表示されるディレクトリに含まれる、リンクされたファイルと一致します。法医学的分析では、MFTのリンクによって生じる違いはほとんど問題になりません。ほとんどの場合、IOCはインジケータ項目としてフルパスを使用せず、代わりにファイル名とMD5ハッシュを使用します。政府から入手できるファイルのブラックリストには、MD5ハッシュも含まれています。Indexのバージョン1.7.0以降では、Windowsのハードリンクがトラッキングされるようになりました。詳細については、ハードリンクが記録されていないを参照してください。ハードリンクが記録されていないIndexがファイルの最初のハードリンクのみを記録し、他のハードリンクピアは記録していない場合、どのマシンですべてのハードリンクを記録するよう構成されているか確認できます。(すべてのマシンからインデックスステータスを取得する)」と尋ねます。(ハードリンクのトラッキングを有効にするためにIndexデータベースを削除する)」というメッセージが表示される場合、これらのエンドポイントにはハードリンクをトラッキングできるIndexのバージョンがインストールされています。Indexがファイルシステムに含まれるハードリンクをトラッキングするのに必要な情報をすべて取得するには、ファイルシステムの再インデックス処理が必要になります。Endpointインデックスデータベースを削除する)]パッケージをデプロイし、再インデックス処理を開始します。再インデックス処理メッセージの実行Indexをしばらく実行されていない状態から開始された場合、Indexが停止したか、エンドポイントがオフラインになっているため、TaniumEndpointIndex.logファイル内に次のようなメッセージが表示されます。(LAST_JOURNAL_ID_SEEN-CがDBに見つかりません。再インデックスを実行中...)このメッセージは、Indexの再起動時に、NTFSジャーナルに最後のシーケンス番号更新(USN)がなくなっているため、インデックス処理が再開されたことを示します。(インデックス処理の開始をデプロイ)]予定済みアクションを使用して、インデックス処理が無効になっている場合は1時間ごとにIndexを再起動します。予定済みアクションの使用:新しいエンドポイントをキャッチします。再起動後にオンラインになるエンドポイントをキャッチします。これらの新しいエンドポイントと再開されたエンドポイントのインデックス処理を開始します。ファイルのハッシュまたはマジックナンバーがない一部のファイルには、Indexデータベースにハッシュやマジックナンバーが存在しないことがあります。このような状況は、以下の理由により発生します。ファイルのインベントリは完了していますが、初回のハッシュ受け渡しが完了していません。ファイルは変更されましたが、RescanIntervalタイマーはファイルの再ハッシュを開始していません。ファイルがロックされているため、Indexはファイルをハッシュするための読み取りロックを取得できません。ファイルのサイズが、MaxFileSizeToHashMBの設定値よりも大きいです。このファイルは、ExcludeFromHashing正規表現から除外されました。参照:ログ設定ログレベルconfig.iniファイルのlogging.loggers.root.levelプロパティのレベルを次のリストに示します。これらのレベルは、最小から最大まで詳細にリストされています。(トレース)]にレベルを設定した場合、ログファイルには詳細な情報が出力されます。これらのレベルの情報のほとんどは、Taniumテクニカルチームによるデバッグを目的としています。MBに達すると、ファイルはTaniumEndpointIndex.log.タイムスタンプ.gzに移動します。Indexは最大10個のログファイルを保持し、古いログファイルを削除します。Client>\Tools\EPIディレクトリに保存されます。ダンプ(.dmp)ファイルインデックスプロセスがクラッシュした場合、TaniumEndpointIndex_[0-9].dmpログファイルが作成されます。ファイルはローテーションし、TaniumEndpointIndex_0.dmpが常に最新のファイルになります。参照:Indexセンサーとパッケージ各Indexセンサーとパッケージのパラメータの詳細については、Taniumナレッジベース:Indexのリファレンスを参照してください。Inc.の登録商標です。問い合わせ先サイトクレジット。