稼働中の攻撃インジケーター

攻撃インジケータープロセスが適切に機能していることを確認することは、正確な検出と対応のために非常に重要です。このセクションでは、IoA コンポーネントが正常に動作していることを確認し、一般的な問題のトラブルシューティングを行い、問題を効率的に解決するための手順を説明します。以下の手順に従って、すべてが想定通りに動作していることを確認します。

• 攻撃インジケーター (IoA) の監視がドメインコントローラー全体で動作していることを確認します。

  • ドメインへの接続をチェックする — 設定を検証して、ドメインの接続が機能していることを確認します。詳細は、ドメインを参照してください。

• SYSVOL の IoA GPO フォルダーを検証します。

  • SYSVOL ディレクトリの IoA GPO フォルダーをチェックして、各ドメインコントローラーが最新の .gz ファイルを生成していることを確かめます。

  • この .gz ファイルを生成していないドメインコントローラーがある場合は、次の手順に進みます。

• IoA イベントリスナープロセスが実行中であることを確認します。

  • Register-TenableADEventsListener.exe プロセスが実行中であることを確認します。

  • 最新バージョンでは、このプロセスは Register-TenableADEventsListener.exe に加えて、タスクマネージャーで [Tenable - IOA Events Listener] として表示されます。

    詳細は、イベントログリスナーの検証を参照してください。

• プロセスが実行されていない場合

  • ドメインコントローラー上の EDR/ウイルス対策ソフトウェアが Register-TenableADEventsListener.exe プロセスをブロックしていないことを確認します。

    詳細は、アンチウイルス検出を参照してください。

• プロセスを手動で開始します。

  • タスクスケジューラーで関連タスク (TenableADTask_*) を編集し、[OK] をクリックしてプロセスを再起動します。

• 問題が解決しない場合はエスカレートします。上記の手順を実行しても問題が解決しない場合は、Tenable にサポートケースを提出してください。Register-TenableADEventsListener.exe プロセスの実行を妨げている問題が潜んでいる可能性があります。