デバイスコントロール

デバイスコントロールは、コンピューターに内蔵ないし接続されているデバイスへのユーザーアクセスを管理します（例：ハードディスク、カメラ、Wi-Fi モジュール）。これにより、こうしたデバイスが接続されたときにコンピューターを感染から保護し、データの損失や漏洩を防ぐことができます。

デバイスへのアクセスの判定基準

デバイスコントロールは、次の情報に基づいてアクセスをコントロールできます。

デバイス種別：プリンター、リムーバブルドライブ、CD/DVD ドライブなどの種別。
次のようにデバイスアクセスを設定できます：
- 許可：
- ブロック：
- ルールに準拠（プリンターとポータブルデバイスのみ）：
- 接続バスに依存する（Wi-Fi 以外）：
- 例外を除きブロック（Wi-Fi のみ）：
接続バス：接続バスとは、コンピューターへのデバイスの接続に使用されるインターフェイスです（例：USB、FireWire）。デバイス種別に対して接続バスに依存するモードが選択されている場合、本製品は接続インターフェイス（USB など）に応じてデバイスへのアクセスを許可または拒否します。
次のようにデバイスアクセスを設定できます：
- 許可：
- ブロック：
信頼するデバイス：「信頼するデバイス」は、信頼するデバイスの設定で指定されたユーザーが常にフルアクセスできるデバイスです。
次のデータに基づいて信頼するデバイスを追加できます。
- ID によるデバイス：各デバイスには固有の識別子があります（ハードウェア ID、または HWID）。これらの ID は、オペレーティングシステムのツールを使用してデバイスのプロパティで確認できます。デバイス ID の例：SCSI\CDROM&VEN_NECVMWAR&PROD_VMWARE_SATA_CD00\5&354AE4D7&0&000000。特定のデバイスを複数追加する場合は、ID でデバイスを追加すると便利です。
- モデルによるデバイス：各デバイスには製造元 ID（VID）および製品 ID（PID）があります。これらの ID は、オペレーティングシステムのツールを使用してデバイスのプロパティで確認できます。VID および PID の入力用テンプレート：VID_1234&PID_5678。組織内で特定のモデルのデバイスを使用する場合は、モデルでデバイスを追加すると便利です。この方法を使用することで、このモデルのデバイスをすべて追加できます。
- ID マスクによるデバイス：ID が類似する複数のデバイスを使用している場合、マスクを使用してデバイスを信頼リストに追加できます。* 文字は、任意の文字列を置き換えます。Kaspersky Endpoint Security では、マスクでの「?」記号の使用をサポートしていません。例：「WDC_C*」。
- モデルマスクによるデバイス：同一の VID または PID を持つ複数のデバイス（たとえば、製作元が同じデバイス）を使用している場合、マスクを使用してデバイスを信頼リストへ追加できます。* 文字は、任意の文字列を置き換えます。Kaspersky Endpoint Security では、マスクでの「?」記号の使用をサポートしていません。例：「VID_05AC&PID_*」。

デバイスコントロールは、アクセスルールを使用してデバイスへのユーザーアクセスを管理します。デバイスコントロールでは、デバイスの接続や切断のイベントを保存することもできます。イベントを保存するには、ポリシー内でイベントの記録を設定する必要があります。

デバイスへのアクセスが接続バスに依存する場合（ステータスの場合）、Kaspersky Endpoint Security ではデバイスの接続イベントと切断イベントが保存されません。Kaspersky Endpoint Security でデバイスの接続イベントと切断イベントを保存するには、デバイスへのアクセスを許可する（ステータス）か、デバイスを信頼リストに追加します。

デバイスコントロールでブロックされているデバイスがコンピューターに接続された場合、Kaspersky Endpoint Security はアクセスをブロックし通知を表示します（以下の図を参照）。

デバイスへのアクセスをブロックしたことに関する通知。ユーザーはデバイスへの一時的、または永続的なアクセス権をリクエストすることができます。

デバイスコントロールの通知

デバイスコントロールの動作アルゴリズム

ユーザーがデバイスをコンピューターに接続すると、Kaspersky Endpoint Security はデバイスへのアクセスを許可するかどうかを決定します（以下の図を参照）。

デバイスコントロールの動作アルゴリズム

デバイスが接続されてアクセスが許可されている状況で、アクセスをブロックするようにアクセスルールを編集できます。この場合、（フォルダーの内容の表示や、読み取りまたは書き込みの実行など）次にデバイスへのアクセスが試行されたときに、Kaspersky Endpoint Security はアクセスをブロックします。ファイルシステムのないデバイスは、次回デバイスが接続されたときにのみブロックされます。

Kaspersky Endpoint Security がインストールされているコンピューターのユーザーが、誤ってブロックされたと考えられるデバイスへのアクセスを要求できるようにするには、アクセス要求の手順を伝えます。

デバイスコントロールの設定

パラメータ	説明
一時アクセスの要求を許可する（Kaspersky Security Center コンソール内でのみ利用可能）	このチェックボックスをオンにすると、Kaspersky Endpoint Security のローカルインターフェイスで［アクセスを要求］が有効になります。このボタンを使用して、ユーザーはブロックされたデバイスへの一時アクセスを要求できます。
デバイスと Wi-Fi ネットワーク	このテーブルには、各アクセスステータスなど、デバイスコントロールの分類に従って、考えられるすべてのデバイスの種類が表示されます。
接続バス	それぞれのアクセスルールのステータスなど、デバイスコントロールの分類に従って、すべての使用可能な接続バスのリストが表示されます。Kaspersky Endpoint Security は、接続バスに依存するモードが選択されている場合、接続バスの種別に応じてデバイスへのアクセスを許可または拒否します。
信頼するデバイス	信頼するデバイスと、それぞれのデバイスに対してアクセス権が付与されているユーザーのリストです。
アンチブリッジ	アンチブリッジは、ネットワークブリッジの作成をブロックし、コンピューターで複数のネットワーク接続が同時に確立することを防止します。この機能を使用することで、セキュリティ保護が不十分で接続が許可されていないネットワークから社内ネットワークを保護できます。アンチブリッジは、デバイスの優先度を参照することで、複数のネットワーク接続の確立をブロックします。デバイスのリスト上の位置が高くなるほど、優先度が高くなります。現在有効な接続と新しい接続の種別が同じ場合（たとえば、両方とも Wi-Fi など）、Kaspersky Endpoint Security は現在有効な接続をブロックし、新しい接続の確立を許可します。現在有効な接続と新しい接続の種別が異なる場合（たとえば、1 つはネットワークアダプターでもう 1 つは Wi-Fi など）、Kaspersky Endpoint Security は優先度が低い方の接続をブロックし、優先度が高い方の接続を許可します。アンチブリッジの使用がサポートされるのは、次の種別のデバイスです：ネットワークアダプター、Wi-Fi、モデム。
メッセージのテンプレート	ブロックに関するメッセージ：ユーザーがブロック対象のデバイスにアクセスしようとしたときに表示されるメッセージのテンプレート。ユーザーが、アクセスがブロックされているデバイスに含まれるファイルに対するファイル操作を試行した場合にも、このメッセージが表示されます。管理者に送信するメッセージ：そのデバイスへのアクセスが誤ってブロックされている場合、またはデバイスの操作が誤ってブロックされている場合に、ユーザーが LAN 管理者に送信するメッセージのテンプレートが含まれています。ユーザーがアクセス権を要求した後、Kaspersky Endpoint Security は Kaspersky Security Center にイベントを送信します：デバイスへのアクセスブロックに関するメッセージが管理者に送信されました。このイベントの説明には、代用変数を含む管理者へのメッセージが含まれます。これらのイベントは、事前定義されたイベント抽出［ユーザー要求］を使用して Kaspersky Security Center コンソールで確認できます。組織で Kaspersky Security Center が導入されていない、または管理サーバーに接続されていない場合は、本製品は指定されたメールアドレスの管理者にメッセージを送信します。

参照：製品のローカルインターフェイスを使用した管理

デバイスコントロールメッセージのテンプレートの編集

アンチブリッジ

ページのトップに戻る