Deep Securityの侵入防御ルールイベントをアラート登録する設定(検知間隔の変更)

こんにちは、ひろかずです。

Deep Securityで侵入防御イベントを検知しても、アラート登録されなければメール通知も行えません。
今回は、侵入防御イベントを検知した際にアラート登録される設定について一筆書きます。

#前提

- Deep Security Managerの導入が完了していること。
- ライセンスを投入していること。
- 最低でもRelayを導入しており、管理対象になっていること。
- イベントの記録時間とアラート検知時間の差に疑問がある人。
- [Deep Security Manager導入後の動作確認(Agentの導入とManagerへの追加)](http://qiita.com/fnifni/items/6f76ee87996730cee298)から流れてきた人

#参照情報
一応、[マニュアルの24頁,42頁,186-187頁](http://www.trendmicro.com/ftp/jp/ucmodule/tmds/90SP1/Deep_Security_9_SP1_Admin_Guide_JP.pdf)になります。

#工程
1.アラート設定の変更
2.検知間隔の変更
3.テスト等で直ぐに検知したい時の操作

#1.アラート設定の変更
アラートタブから「アラートの設定」を選択します。
![アラート設定1.png](https://qiita-image-store.s3.amazonaws.com/0/46611/0513b2e7-f345-0963-4067-356d687c06c5.png "アラート設定1.png")

「侵入防御ルールアラート」をダブルクリックします。
![アラート設定2.png](https://qiita-image-store.s3.amazonaws.com/0/46611/49b9d6db-886a-09cc-0294-8b2c02f321d4.png "アラート設定2.png")

「(ルールに関係なく)すべてのルールでアラート」にチェックを入れて「適用」します。
![アラート設定3.png](https://qiita-image-store.s3.amazonaws.com/0/46611/bac7e577-709d-9507-e108-11ee24c206c6.png "アラート設定3.png")

それでは、動作確認としての`http://fnifni.com/Hello`にアクセスします。

*#上記動作確認がよくわからない人は、[Deep Security Manager導入後の動作確認(Agentの導入とManagerへの追加)](http://qiita.com/fnifni/items/6f76ee87996730cee298)を参照してください。*

しばらくすると、アラート画面に侵入防御アラートとして記録されます。
アラート検知したのは、`10:25`ですね。
動作確認のアクセスをしてから随分経ってますが・・・
![アラート設定4.png](https://qiita-image-store.s3.amazonaws.com/0/46611/c1ae23d3-5b94-9f55-ddb4-9ded23e72eda.png "アラート設定4.png")

イベントとレポート画面を見ると、検知日時は`10:16`になっています。
![アラート設定5.png](https://qiita-image-store.s3.amazonaws.com/0/46611/c8dd9586-6f1d-7952-6004-f6c5bc8766d8.png "アラート設定5.png")

これは、Managerが定期的に行うハートビートの際に、侵入防御ルールに合致した(処理した)というAgentのイベントを回収しており、Managerがログを確認した時点でアラート通知しているためです。
この辺の話は、[マニュアルの42頁](http://www.trendmicro.com/ftp/jp/ucmodule/tmds/90SP1/Deep_Security_9_SP1_Admin_Guide_JP.pdf)に書いてあります。

もう一つ試してみましょう。
そのまま、再度、動作確認としての`http://fnifni.com/Hello`にアクセスします。

イベントとレポート画面には記録されますが、
![アラート設定6.png](https://qiita-image-store.s3.amazonaws.com/0/46611/92ccb173-b60d-5e0f-f55a-564720658834.png "アラート設定6.png")

アラート画面の時刻には変化がありません。
![アラート設定7.png](https://qiita-image-store.s3.amazonaws.com/0/46611/323efab4-e578-7b5b-c403-741dd449eb62.png "アラート設定7.png")

これは、連続検知した場合でもアラート通知(主にメール:要追加設定)が大量記録(大量配信)されないようにする措置だと思われます。
アラートをキーにして運用する場合、検知したら速やかにアラートを消去すると良いでしょう。


#2.検知間隔の変更
アラートの時刻とイベントに記録された時刻に差(上記例では9分程度)がありました。
これは、ハートビート間隔がデフォルト「10分」になっているためです。

できるだけ早くアラート検知したい場合は、ハートビート間隔を短くすることで対応できます。

ハートビート間隔は、ポリシー単位、コンピュータ単位で設定できます。
今回は、コンピュータ単位での設定を紹介します。

コンピュータ画面から対象のインスタンスをダブルクリックし、設定タブ内の「ハートビート間隔(分)」を調整します。
最短で1分間隔に設定することができます。
![ハートビート1.png](https://qiita-image-store.s3.amazonaws.com/0/46611/4b469f9f-7976-a2c2-222c-af633c3e12a3.png "ハートビート1.png")

お馴染みの動作確認としての`http://fnifni.com/Hello`にアクセスします。
`10:42`にアラートが記録されましたね。
![ハートビート2.png](https://qiita-image-store.s3.amazonaws.com/0/46611/d79d3f46-9323-ac54-b0fd-de512ee93b43.png "ハートビート2.png")

イベント記録時刻は、`10:41:58`でした。
誤差は1分以内ですので、ハートビート間隔の変更は機能してますね。
![ハートビート3.png](https://qiita-image-store.s3.amazonaws.com/0/46611/7b6195f9-103b-8feb-dcaf-4fbdeb44c670.png "ハートビート3.png")


#3.テスト等で直ぐに検知したい時の操作
ハートビート間隔を変更しないまでも、テスト等で直ぐにアラート検知したい場合があります。
その際は、コンピュータ画面で対象のインスタンスを右クリックして「イベントの取得」を選択します。
![イベントの取得.png](https://qiita-image-store.s3.amazonaws.com/0/46611/365220cb-09a9-2f68-5480-423cffe06cc8.png "イベントの取得.png")

以上で、侵入防御ルールイベントについてのアラート設定は終わりです。
お疲れ様でした。