Netwrix Auditor for Windows Server
Netwrix Auditor を実行 → "Reports" → "Windows Server" → "Windows Server Changes" に移動 → "Programs Added and Removed" レポートを選択 → "View" をクリックします。
レポートをメールで定期的に受け取るには、"Subscribe" ボタンをクリックし、希望するスケジュールを選択します。
以下の手順に従って、新しいソフトウェアのインストールに対するアラートを設定するのが最適です：
- Netwrix Auditor のホームページから "Alerts" に移動 → "Add" をクリック → アラートの名前を指定します。
- "Recipients" タブに切り替え → "Add Recipient" をクリック → アラートを配信したいメールアドレスを指定します。
- 「Filters」タブに移動 → 次のフィルターを調整します：
- アラートを保存するには「Add」をクリックします。
誰かが新しいソフトウェアをインストールするたびに、次のような同様のアラートが届きます：
ネイティブ監査
- eventvwr.msc を実行 → Windows Logs → 「Application」ログを右クリック → プロパティ：
- 「Enable logging」チェックボックスが選択されていることを確認してください
- ログのサイズを少なくとも 1 GB に増やしてください
- 保持方法を「Overwrite events as needed」または「Archive the log when full」に設定してください。
- イベント ビューアー（Event Viewer）を開き、MsiInstaller イベント ソースを持つ 11707 のイベント ID についてアプリケーション ログを検索して、最新のインストール済みソフトウェアを見つけます。
- あらゆるソフトウェアのインストール時にトリガーされる即時アラートを作成するには、次の PowerShell スクリプトをパラメーターを設定して編集し、任意の場所に .ps1 ファイルとして保存します（例: detect_software.ps1）：
#Mail SMTP Setup Section
$Subject = "New Software Has Been Installed on $env:COMPUTERNAME" # Message Subject
$Server = "smtp.server" # SMTP Server
$From = "From@domain.com" # From whom we are sending an e-mail(add anonymous logon permission if needed)
$To = "to@uncc.edu" # To whom we are sending
$Pwd = ConvertTo-SecureString "enterpassword" -AsPlainText –Force #Sender account password
#(Warning! Use a very restricted account for the sender, because the password stored in the script will be not encrypted)
$Cred = New-Object System.Management.Automation.PSCredential("From@domain.com" , $Pwd) #Sender account credentials
$encoding = [System.Text.Encoding]::UTF8 #Setting encoding to UTF8 for message correct display
#Generates human readable userID from UserSID in log.
$UserSID = (Get-WinEvent -FilterHashtable @{LogName="Application";ID=11707;ProviderName="MsiInstaller"}).UserID.Value | select -First 1
$objSID = New-Object System.Security.Principal.SecurityIdentifier("$UserSID")
$UserID = $objSID.Translate([System.Security.Principal.NTAccount])
#Generates email body containing time created and message of application install.
$Body=Get-WinEvent -FilterHashtable @{LogName="Application";ID=11707;ProviderName='MsiInstaller'} | Select TimeCreated,Message | select-object -First 1
#Sending an e-mail.
Send-MailMessage -From $From -To $To -SmtpServer $Server -Body "$Body . Installed by: $UserID" -Subject $Subject -Credential $Cred -Encoding $encoding
- タスク スケジューラを実行 → 新しいスケジュール タスクを作成 → 名前を入力 → [トリガー] タブ → [新しいトリガー] → 次のオプションを設定します:
- イベントでタスクを開始
- ログ - アプリケーション
- ソース - 空白
- イベントID – 11707。
- 「操作」タブへ移動 → 次のパラメーターで新しいアクションを作成します:
- アクション - プログラムの開始
- プログラム スクリプト：PowerShell
- 引数を追加（任意）：-File "スクリプトへのファイル パスを指定"
- 「OK」をクリックします
- これで、Windows サーバー上で行われるすべてのソフトウェア インストールについて、ソフトウェアのインストール時刻、ソフトウェア名、インストーラの userID（SID）に関する詳細を含む e-mail メッセージで通知されます。
企業のソフトウェア インストール ポリシー違反を検出
Windows Server 上での、偶発的または意図的な未許可のソフトウェア インストールは、マルウェアがネットワークに侵入することを可能にし、パフォーマンスの問題や、機密データの喪失、または漏えいにつながる可能性があります。脅威は組織の内側だけでなく外部のハッカーからももたらされます。従業員が悪意のあるプログラムを知らないうちにダウンロードしてインストールし、その結果としてソフトウェア インストール ポリシーに違反してしまうことがあるためです。だからこそ、どのソフトウェアがインストールされたのか、Windows で誰がソフトウェアをインストールしたのか、そしてそれがいつ起きたのかを把握しておくことが重要です。PowerShell スクリプトを使ってイベント ビューアーで Windows インストーラのログを探すこともできますが、そのには PowerShell スクリプト作成の専門知識が必要で、対応が大変になる可能性があります。
侵害やダウンタイムのリスクを減らすために、IT 担当者は、新しいソフトウェアがインストールされたときにそれを検知し、誰が・何を・どこで・いつ・どのようにしたかといった詳細を素早く把握できる必要があります。Netwrix Auditor for Windows Server は、インストール済みアプリケーションのイベント ログを調べることで、不正なソフトウェア インストールを含め、Windows Server インフラ全体で何が起きているかを完全に可視化します。IT 担当者はアラートを作成するだけで、新しいソフトウェアがインストールされるたびに詳細な e-mail 通知を直ちに受け取り、Windows 上で誰がプログラムをインストールしたのかも確認できるため、組織の資産を十分に保護できます。
共有する