ネットワークエージェントのポリシー設定

すべて表示 | すべて非表示

ネットワークエージェントのポリシーを設定するには：

1. メインメニューで、［アセット（デバイス）］→［ポリシーとプロファイル］の順に移動します。
2. ネットワークエージェントポリシーの名前をクリックします。

   ネットワークエージェントポリシーのプロパティウィンドウが表示されます。

Windows、macOS、および Linux ベースのデバイスでは、様々な設定が使用可能であることを考慮してください。

［全般］タブ

このタブでは、ポリシーステータスを変更したり、継承ポリシーを設定したりすることができます：

• ［ポリシーのステータス］セクションで、ポリシーのステータスを選択します：
  • アクティブ
  • 非アクティブ

    このオプションをオンにすると、ポリシーは非アクティブになりますが［ポリシー］フォルダーに保持されます。必要に応じて、ポリシーをアクティブにすることができます。

• ［設定の継承］セクションでは、ポリシーの継承を設定できます。
  • 親ポリシーから設定を継承する

    このオプションをオンにすると、ポリシーの設定値は上位レベルグループのポリシーから継承されるため、ロックされます。

    既定では、このオプションはオンです。

  • 設定を子ポリシーへ強制的に継承させる

    このオプションをオンにすると、ポリシーの変更を適用した後に次の処理が実行されます：

    • 管理サブグループのポリシー（子ポリシー）に、ポリシーの設定値が継承されます。
    • 各子ポリシーのプロパティウィンドウの［全般］セクションにある［設定の継承］ブロックで、［親ポリシーから設定を継承する］が自動的にオンになります。

    このオプションをオンにすると、子ポリシーの設定はロックされます。

    既定では、このオプションはオフです。

［イベントの設定］タブ

このタブでは、イベントの記録と通知を設定できます。イベントは、［イベントの設定］タブの次のセクションの重要度に応じて配信されます：

• 機能エラー
• 警告
• 情報

それぞれのセクションのイベント種別リストには、イベントの種別と、管理サーバーでイベントが保存される既定の日数が表示されます。［プロパティ］をクリックすると、リストで選択したイベントについてのイベントログとイベント通知を設定できます。既定では、すべてのイベント種別で、管理サーバー全体を対象に指定された共通の通知設定が使用されます。しかしながら、目的のイベント種別の特定の設定を変更できます。

［アプリケーション設定］タブ

設定

［設定］セクションでは、ネットワークエージェントのポリシーを設定できます。

• ディストリビューションポイント経由でのみファイルを配信する

  このオプションをオンにすると、クライアントデバイスはアップデートサーバーからではなくディストリビューションポイントからのみアップデートを受信します。

  このオプションをオフにすると、クライアントデバイスは、様々なアップデート元から（アップデートサーバーから直接、ローカルまたはネットワークフォルダーから）アップデートを受信できます。

  既定では、このオプションはオフです。

• イベントキュー最大サイズを MB で指定
• アプリケーションがポリシーの拡張データをデバイスから取得可能である

  管理対象デバイスにインストールされたネットワークエージェントは、適用されたセキュリティ製品のポリシーに関する情報をセキュリティ製品（たとえば、Kaspersky Endpoint Security for Windows）に転送します。転送された情報は、セキュリティ製品のインターフェイスで表示できます。

  ネットワークエージェントは次の情報を転送します：

  • 管理対象デバイスへのポリシー導入の時間
  • 管理対象デバイスへポリシー導入の時点でのアクティブポリシーまたはモバイルユーザーポリシーの名前
  • 管理対象デバイスへポリシー導入の時点で管理対象デバイスが含まれていた管理グループの名前とフルパス
  • アクティブポリシーのプロファイルのリスト

    情報を使用して、デバイスに正しいポリシーが適用されていることを確認し、トラブルシューティングを行うことができます。既定では、このオプションはオフです。

• ネットワークエージェントを不正な削除・停止から保護し、設定の変更を防止する

  このオプションをオンにすると、管理対象デバイスにネットワークエージェントのインストールされた後、必要な権限がない場合はコンポーネントの削除や再設定が行えなくなります。また、ネットワークエージェントサービスを停止できなくなります。このオプションはドメインコントローラーに影響しません。

  ローカル管理者権限で操作されているワークステーション上のネットワークエージェントを保護するには、このオプションをオンにします。

  既定では、このオプションはオフです。

• アンインストール用パスワードを使用する

  このオプションをオンにすると、［変更］をクリックして、klmover ユーティリティおよびネットワークエージェントのリモートアンインストール時に使用するパスワードを指定できます。

  klmover ユーティリティは、仮想管理サーバーの管理下にある管理対象デバイスを移動する場合にのみ使用されます。

  既定では、このオプションはオフです。

リポジトリ

［リポジトリ］セクションでは、情報ネットワークエージェントから管理サーバーに詳細が送信されるオブジェクトの種別を選択できます。このセクションの設定の一部を変更することがネットワークエージェントのポリシーで禁止されている場合、それらの設定を変更することはできません：

• インストール済みアプリケーションの詳細
• パッチの情報を含める

  クライアントデバイスにインストールされたアプリケーションのパッチに関する情報が管理サーバーに送信されます。このオプションをオンにすると、データベースに保存されるデータの容量が増えるとともに管理サーバーと DBMS での負荷が増大します。

  既定では、このオプションはオンです。Windows でのみ使用できます。

• Windows Update 更新プログラムの詳細

  このオプションをオンにすると、クライアントデバイスにインストールする必要のある Microsoft Windows 更新プログラムに関する情報が管理サーバーに送信されます。

  このオプションをオフにしても、［適用なアップデート］セクションのデバイスのプロパティに更新プログラムが表示されることがあります。たとえば、組織のデバイスにこれらの更新プログラムによって修正できる脆弱性がある場合などに、こうしたことが起こる可能性があります。

  既定では、このオプションはオンです。Windows でのみ使用できます。

• ソフトウェアの脆弱性と対応するアップデートの詳細

  このオプションをオンにすると、管理対象デバイスで検出されたサードパーティソフトウェア（Microsoft ソフトウェアを含む）の脆弱性に関する情報、およびサードパーティの脆弱性（Microsoft ソフトウェアを含まない）を修正するソフトウェアアップデートに関する情報が、管理サーバーに送信されます。

  このオプション（ソフトウェアの脆弱性と対応するアップデートの詳細）を選択すると、ネットワーク負荷、管理サーバーのディスク負荷、およびネットワークエージェントのリソース消費が増加します。

  既定では、このオプションはオンです。Windows でのみ使用できます。

  Microsoft ソフトウェアのソフトウェアアップデートを管理するには、［Windows Update 更新プログラムの詳細］を使用します。

• ハードウェアレジストリの詳細

ソフトウェアのアップデートと脆弱性

［ソフトウェアのアップデートと脆弱性］セクションでは、Windows アップデートの検索を設定し、実行ファイルの脆弱性のスキャンを有効化できます。［ソフトウェアのアップデートと脆弱性］セクションの設定は、Windows を実行しているデバイスでのみ使用できます：

• ［Windows Update 検索モード］で、更新プログラムの検索モードを選択できます：
  • アクティブ

    このオプションをオンにすると、管理サーバーがネットワークエージェントのサポートにより、クライアントデバイス上の Windows Update エージェントからアップデート元である Windows Update Server または WSUS への要求を開始します。次に、ネットワークエージェントが、Windows Update エージェントから受け取った情報を管理サーバーに渡します。

    このオプションは、脆弱性とアプリケーションのアップデートの検索タスクで［アップデートサーバーに接続してアップデートを取得］が選択されている場合にのみ有効になります。

    既定では、このオプションがオンです。

  • パッシブ

    このオプションをオンにすると、ネットワークエージェントは、Windows Update エージェントとアップデート元との前回の同期で取得した更新プログラムの情報を定期的に管理サーバーに渡します。Windows Update エージェントとアップデート元が同期されない場合、管理サーバー上のアップデートの情報が最新ではなくなります。

    アップデート元のメモリキャッシュからアップデートを取得する場合は、このオプションを選択します。

  • 無効

    このオプションをオンにすると、管理サーバーは更新プログラムに関する情報を要求しません。

    このオプションは、たとえば手元のローカルデバイスで最初にアップデートをテストしたい場合などに選択します。

• 実行ファイルの開始時に脆弱性をスキャンする

  このオプションをオンにすると、実行ファイルが実行時にスキャンされ、脆弱性がないかチェックされます。

  既定では、このオプションはオフです。

再起動の設定

［再起動の設定］セクションでは、アプリケーションの正しい使用、インストール、またはアンインストールのために管理対象デバイスのオペレーティングシステムの再起動が必要な場合に行う動作を指定できます。［再起動の設定］セクションの設定は、Windows を実行しているデバイスでのみ使用できます：

• OS を再起動しない

  操作後に、クライアントデバイスは自動的には再起動されません。操作を完了するには、デバイスを再起動する必要があります（手動で、またはデバイスの管理タスクを使用して）。必要な再起動についての情報は、タスク履歴とデバイスのステータスに保存されます。このオプションは、継続的な稼働が不可欠なサーバーなどのデバイスで実行するタスクに適切です。

• 必要に応じて自動的に OS を再起動する

  インストールの完了に再起動が必要な場合は常に、クライアントデバイスは自動的に再起動されます。このオプションは、定期的に稼働が一時停止（シャットダウンまたは再起動）するデバイスのタスクに有用です。

• ユーザーに処理を確認する

  手動で再起動を要求する再起動リマインダーがクライアントデバイスの画面に表示されます。このオプションで、いくつかの詳細設定を定義可能です：ユーザーに表示されるメッセージテキスト、メッセージの表示頻度、（ユーザーの確認なしに）再起動が強制実行されるまでの時間。このオプションは、ユーザーにとって最も好都合な時間を指定して再起動できることが要求されるワークステーションに最適です。

  既定では、このオプションがオンです。

  • 通知の繰り返し間隔（分）

    このオプションをオンにすると、オペレーティングシステムを再起動するように、ユーザーへのメッセージが指定された頻度で表示されます。

    既定では、このオプションはオンです。既定の間隔は 5 分です。1 分から 1,440 分までの値を指定できます。

    このオプションをオフにすると、確認メッセージは 1 回だけ表示されます。

  • 次の時間経過後に強制的に再起動する（分）

    ユーザーへの確認メッセージを表示した後で、指定した時間が経過すると、強制的にオペレーティングシステムが再起動します。

    既定では、このオプションはオンです。既定の間隔は 30 分です。1 分から 1,440 分までの値を指定できます。

• セッションがブロックされたアプリケーションを強制終了する

  アプリケーションを実行すると、クライアントデバイスの再起動が妨げられる場合があります。たとえば、ドキュメント作成アプリケーションでドキュメントを編集しており、その内容が保存されていない場合、アプリケーションはデバイスの再起動を許可しません。

  このオプションをオンにすると、ブロックされたデバイス上のアプリケーションが、再起動の前に強制的に閉じられます。これにより、保存していなかった作業内容が失われる場合があります。

  このオプションをオフにすると、ブロックされたデバイスは再起動されません。このデバイス上のタスクのステータスでは、デバイスの再起動が必要であることが表示されます。ブロックされたデバイスでは、実行中のアプリケーションすべてをユーザーが手動で終了し、デバイスを再起動する必要があります。

  既定では、このオプションはオフです。

Windows デスクトップ共有

［Windows デスクトップ共有］セクションでは、デスクトップアクセスの共有時にリモートデバイスで実行される管理者の処理の監査を有効にしたり、設定したりできます。［Windows デスクトップ共有］セクションの設定は、Windows を実行しているデバイスでのみ使用できます：

• 監査を有効にする

  このオプションをオンにすると、リモートデバイスにおける管理者の処理の監査が有効になります。リモートデバイスにおける管理者の処理の記録は次に保存されます：

  • リモートデバイスのイベントログ
  • リモートデバイス上のネットワークエージェントのインストールフォルダーにある、拡張子が syslog のファイル
  • Kaspersky Security Center Cloud コンソールのイベントデータベース

  管理者の処理の監査が使用可能である条件は次の通りです：

  • 脆弱性とパッチ管理のライセンスが使用されている
  • 管理者がリモートデバイスのデスクトップに対する共有アクセスを開始する権限を持っている

  このオプションをオフにすると、リモートデバイスにおける管理者の処理の監査が無効になります。

  既定では、このオプションはオフです。

• 読み取り時に監視する必要のあるファイルのマスク

  リストにはファイルマスクが含まれます。監査が有効になると、マスクと一致する管理者の読み取りファイルが監視され、ファイルの読み取りに関する情報が保存されます。リストは、［監査を有効にする］がオンの場合に使用できます。ファイルマスクを編集し、新しいマスクをリストに追加できます。新しいファイルマスクは、新しい行のリストに指定する必要があります。

  既定では、*.txt、*.rtf、*.doc、*.xls、*.docx、*.xlsx、*.odt、*.pdf のファイルマスクが指定されます。

• 変更時に監視する必要のあるファイルのマスク

  リストには、リモートデバイス上のファイルのマスクが含まれます。監査が有効になると、マスクと一致するファイルで管理者によって行われた変更が監視され、その変更に関する情報が保存されます。リストは、［監査を有効にする］がオンの場合に使用できます。ファイルマスクを編集し、新しいマスクをリストに追加できます。新しいファイルマスクは、新しい行のリストに指定する必要があります。

  既定では、*.txt、*.rtf、*.doc、*.xls、*.docx、*.xlsx、*.odt、*.pdf のファイルマスクが指定されます。

パッチとアップデートの管理

［パッチとアップデートの管理］セクションでは、管理対象デバイスでのアップデートのダウンロードと配信や、パッチのインストールを設定できます。［コンポーネントに適用可能でステータスが「未定義」であるアップデートとパッチを自動的にインストールする］をオンまたはオフにします。

接続

［接続］セクションには 3 つのサブセクションが含まれます：

• ネットワーク
• 接続プロファイル
• 接続スケジュール

［ネットワーク］サブセクションでは、管理サーバーからクライアントコンピューターへの接続を設定したり、UDP ポートの使用を有効化したり、UDP ポート番号を定義したりできます。

• ［管理サーバーへの接続］設定グループでは、次の設定を指定できます：
  • ネットワークトラフィックを圧縮する

    このオプションをオンにすると、送信される情報量が減ることでネットワークエージェントによるデータ送信速度が向上し、これにより管理サーバーの負荷が軽減されます。

    クライアントコンピューターの CPU の負荷は増加する可能性があります。

    既定では、このチェックボックスはオンです。

  • Microsoft Windows ファイアウォールにネットワークエージェントのポートを開ける

    このオプションをオンにすると、ネットワークエージェントの動作に必要なポートが Microsoft Windows ファイアウォールの除外リストに追加されます。

    既定では、このオプションはオンです。

  • 既定の接続設定でディストリビューションポイントの接続ゲートウェイを使用する（使用可能な場合）

    このオプションをオンにすると、ディストリビューションポイントの接続ゲートウェイが、管理グループのプロパティで指定された設定で使用されます。

    既定では、このオプションはオンです。

• UDP ポートを使用する

  ネットワークエージェントが UDP ポートを経由して管理サーバーを接続する場合は、［UDP ポートを使用］をオンにして、［UDP ポート番号］を指定します。既定では、このオプションはオンです。管理サーバーに接続するための既定の UDP ポートは 15000 です。

• UDP ポート番号

  このフィールドに、UDP ポート番号を入力できます。既定のポート番号は 15000 です。

  レコードには 10 進法が使用されます。

  Windows XP Service Pack 2 で稼働するクライアントデバイスでは、UDP ポート 15000 が OS のファイアウォールによりブロックされます。このポートを手動で開く必要があります。

• ディストリビューションポイントを使用して管理サーバーへ強制的に接続する

  ［プッシュサーバーを実行］をディストリビューションポイントの設定ウィンドウでオンにする場合、このオプションをオンにします。オンにしないと、ディストリビューションポイントはプッシュサーバーとして動作しません。

［接続プロファイル］設定グループでは、［管理サーバー接続プロファイル］に新しい項目は追加できないため、［追加］は無効になっています。設定済みの接続プロファイルも変更できません。

［接続スケジュール］サブセクションでは、ネットワークエージェントから管理サーバーにデータを送信する時間間隔を指定できます。

• 要求時に接続
• 指定の時間間隔で接続

［接続スケジュール］サブセクションでは、ネットワークエージェントから管理サーバーにデータを送信する時間間隔を指定できます。

• 要求時に接続

  このオプションをオンにすると、ネットワークエージェントが管理サーバーへのデータ送信を要求された時に、接続が確立されます。

  既定では、このオプションがオンです。

• 指定の時間間隔で接続

  このオプションをオンにすると、ネットワークエージェントは指定した時間に管理サーバーへ接続します。複数の接続時間帯を追加できます。

ディストリビューションポイント別のネットワークポーリング

［ディストリビューションポイント別のネットワークポーリング］セクションでは、ネットワークの自動ポーリングを設定できます。ポーリングの設定は、Windows を実行しているデバイスでのみ使用できます。次のオプションを使用してポーリングを有効にしたり、頻度を設定できます：

• Windows ネットワーク

  このオプションをオンにすると、［簡易ポーリングのスケジュールを設定する］と［完全ポーリングのスケジュールを設定する］をクリックして設定したスケジュールに従って、ディストリビューションポイントによってネットワークが自動的にポーリングされます。

  このオプションをオフにすると、管理サーバーはネットワークをポーリングしません。

  既定では、このオプションはオンです。

• IP アドレス範囲

  このオプションをオンにすると、［ポーリングのスケジュールを設定する］をクリックして設定したスケジュールに従って、ディストリビューションポイントによって IP アドレス範囲が自動的にポーリングされます。

  このオプションをオフにすると、ディストリビューションポイントは IP アドレス範囲をポーリングしません。

  既定では、このオプションはオフです。

• ドメインコントローラー

  このオプションをオンにすると、［ポーリングのスケジュールを設定する］をクリックして設定したスケジュールに従って、ディストリビューションポイントによって Active Directory が自動的にポーリングされます。

  このオプションをオフにすると、ディストリビューションポイントはドメインコントローラーをポーリングしません。

  10.2 より前のバージョンのネットワークエージェントドメインコントローラーのポーリング頻度は、［ポーリング間隔（分）］で設定できます。このフィールドは、このオプションをオンにすると使用可能になります。

  既定では、このオプションはオフです。

ディストリビューションポイントのネットワーク設定

［ディストリビューションポイントのネットワーク設定］セクションで、インターネットアクセス設定を指定できます：

• プロキシサーバーを使用する
• アドレス
• ポート番号
• ローカルアドレスにプロキシサーバーを使用しない

  このオプションをオンにすると、ローカルネットワークのデバイスへの接続にプロキシサーバーが使用されません。

  既定では、このオプションはオフです。

• プロキシサーバー認証

  このチェックボックスをオンにすると、入力フィールドでプロキシサーバーの資格情報を指定できます。

  既定では、このチェックボックスはオフです。

• ユーザー名
• パスワード

KSN プロキシ（ディストリビューションポイント）

［KSN プロキシ（ディストリビューションポイント）］セクションでは、ディストリビューションポイントを使用して管理対象デバイスからの KSN リクエストを転送するようにアプリケーションを設定できます：

• ディストリビューションポイントで KSN プロキシを有効にする

  ディストリビューションポイントとして使用しているデバイス上で KSN プロキシサービスが実行されます。この機能を使用することで、ネットワーク上でトラフィックを分配しなおし、最適化できます。

  この機能は、Linux または macOS を実行するディストリビューションポイントデバイスでサポートされていません。

  ディストリビューションポイントは、Kaspersky Security Network に関する声明に記載されている KSN の統計情報をカスペルスキーに送信します。既定では、KSN 声明は「%ProgramFiles%\Kaspersky Lab\Kaspersky Security Center\ksneula」にあります。

  既定では、このオプションはオフです。管理サーバーのプロパティウィンドウで、［Kaspersky Security Network への参加に同意する］がオンになっている場合にのみ使用できます。

  アクティブ / パッシブモードのクラスターのノードをディストリビューションポイントに割り当て、ノード上で KSN プロキシサーバーを有効にできます。

• ポート

  管理対象デバイスが KSN プロキシサーバーへの接続に使用する TCP ポートの番号。既定のポート番号は 13111 です。

• UDP ポート

  ネットワークエージェントが UDP ポートを経由して管理サーバーを接続する場合は、［UDP ポートを使用］をオンにして、［UDP ポート番号］を指定します。既定では、このオプションはオンです。管理サーバーに接続するための既定の UDP ポートは 15000 です。