ゴールド イメージをクローンとは別のポリシーにすることをお勧めします。センサー グループを使用して、ゴールド イメージ ポリシーを継承するクローンを回避します。
センサー グループの詳細については、VMware Carbon Black Cloud ユーザー ガイド を参照してください。
開始するには、Standard ポリシー ルールをフル クローン ポリシーに複製することを推奨します。次に、Horizon フル クローンに対して次の特定のポリシー設定を推奨します。
[全般] タブ
- [名前] – 簡単に識別できるように、センサーをフル クローンとして区別する名前をポリシーに指定することをお勧めします。
- [説明] - このポリシーは Horizon フル クローン用に最適化されています。特別な考慮事項によりパフォーマンスが向上し、レピュテーション、行動、および的を絞った防止の強力な基盤が提供されます。
- [ターゲット バリュー] - 中
[センサー] タブ
- [システム トレイにセンサー メッセージを表示] - この設定を有効にして、次のサンプル テキストのようなメッセージを追加します: 「仮想デスクトップ ポリシー - 質問や懸念事項がある場合は、[email protected] にお問い合わせください。問題と利用可能なレプリケーション手順に関するコンテキストを提供します。」
[防止] タブ - 権限
- [バイパス ルール (例外)] –ポリシーレベルのバイパス ルールは、VDI 環境での安定性の確保に役立ちます。
あらゆる組織で、パフォーマンスとセキュリティの間のトレードオフを理解する必要があります。VMware では、例外を使用することを推奨します。利害関係者と連携して、リスクおよび利点 (パフォーマンス vs. 可視性) を確認し、必要に応じてバイパス ルールを適用します。
Carbon Black Cloud は例としてサポートされるメソッドの例外を提供します。VDI 環境にインストールされたアプリケーションを確認し、必要なバイパス ルールを適用してください。
以下の例は、VMware ソリューションの公開ドキュメントに基づいています。追加のバイパス ルールが必要な場合があります。
VMware バイパス ルールのベスト プラクティス
**\Program Files\VMware\**, **\SnapVolumesTemp**, **\SVROOT**, **\SoftwareDistribution\DataStore**, **\System32\Spool\Printers**, **\ProgramData\VMware\VDM\Logs**, **\AppData\VMware\**
防止
ブロックおよび隔離
ベスト プラクティスでは、[ブロックおよび隔離]ルールを適用して、特定の攻撃面に対処することを推奨しています。
[ローカル スキャン] タブ
- [アクセス時のファイル スキャン モード] – 有効
- [シグネチャの更新を許可する] - 有効
フル クローンがゴールド イメージから再作成されることはほとんどありません。このため、事実上シグネチャの更新を受信することはありません。フル クローンの[シグネチャの更新を許可する]を有効にします。
[センサー] タブ
- [バックグラウンド スキャンを実行] –無効パフォーマンスを最適化するには、ゴールド イメージでバックグラウンド スキャンを完了してから、クローンに割り当てられたポリシーでバックグラウンド スキャンを無効にすることをお勧めします。
- [ネットワーク ドライブ上のファイルをスキャン] - 無効
- [ネットワーク ドライブ上の実行をスキャン] - 有効
- [クラウド スキャンの実行を遅延させる] - 有効。この重要な設定は、実行前のレピュテーション検索の唯一の参照ポイントとして機能します。無効の場合、エンドポイントは実行前の予防策として[パスでのアプリケーション]および[拒否リスト]のルールに依存する必要があります。
- [Hash MD5] - 無効センサーは常に SHA-256 を計算します。
- [非アクティブになっている VDI センサーの自動登録解除] – センサーの意図しないアンインストールを防ぐにはこの設定を無効にします。
