本ヘルプセンターは英語版を翻訳したものです。また、一部には翻訳ソフトウエアにより機械的に翻訳した内容が含まれます。翻訳については順次対応しておりますが、最新の情報になっていない場合があります。最新の情報は英語版のページでご確認ください。表示言語は、画面右上の言語名をクリックして切り替えられます。
本ヘルプセンターの一部の記事には外部リンクが含まれています。万一リンク切れなどお気づきの点がございましたら、お手数ですが弊社サポート窓口までご連絡ください。
挙動監視による不正プログラム/ランサムウェア検索の強化
Deep Securityには、Deep Security Agentで保護されているWindowsコンピュータに適用することで、不正プログラムとランサムウェアの検出率と駆除率の向上を実現するセキュリティ設定が用意されています。この設定を適用すると、パターンファイルとの照合による不正プログラムの検出にとどまらず、パターンファイルにまだ追加されていない新たな不正プログラムを含んでいる可能性がある不審なファイル (ゼロデイ攻撃) も特定できます。
このトピックの内容:
不正プログラム対策モジュールの概要については、不正プログラムの防止を参照してください。
強化された検索で実現される保護
脅威の検出: 不正プログラムの中には、検出を逃れるために、システムファイルや既知のインストール済みソフトウェアに関連するファイルを変更しようとするものがあります。不正プログラムは正規のファイルに代わって動作するため、多くの場合このような変更が表面化することはありません。Deep Securityでは、システムファイルとインストール済みソフトウェアを監視して、不正な変更を検出して未然に防ぐことができます。
攻撃コード対策: 不正プログラムの作成者は、不正なコードをユーザモードのプロセスにフックすることで、信頼されたプロセスに特権でアクセスし、不審なアクティビティを隠します。また、DLLインジェクションを通じてユーザプロセスにコードを挿入し、エスカレートされた特権でAPIを呼び出します。さらに、不正なペイロードを挿入してメモリ内でコードの実行をトリガする方法で、ソフトウェアのセキュリティホールに対して攻撃を仕掛けることもあります。Deep Securityの攻撃コード対策機能は、通常とは異なる操作を実行している可能性があるプロセスがないかを監視します。Deep Securityでは、Data Execution Prevention (DEP)、Structured Exception Handling Overwrite Protection (SEHOP)、ヒープスプレー防止などの複数のメカニズムを使用して、プロセスへの感染を判断し、プロセスを終了してさらなる感染を防止します。
拡張されたランサムウェア対策: ランサムウェアは最近ますます巧妙になり、標的を絞り込んだものが増えています。ほとんどの組織では、不正プログラム対策を含むセキュリティポリシーをエンドポイントに適用しており、既知のランサムウェア亜種には対応しています。ただし、新たな亜種の発生を検出して防止するには不十分です。Deep Securityが提供するランサムウェア対策機能は、不正な暗号化や変更からドキュメントを保護します。また、暗号化されたファイルのコピーを作成可能なデータ復元エンジンも組み込まれているため、ファイルがランサムウェアプロセスで暗号化された場合にも復元できる可能性が高くなります。
強化された検索を有効にする方法
強化された検索は、ポリシーまたは個々のコンピュータに適用する不正プログラム対策設定の一部として設定します。不正プログラム対策保護の設定に関する全般的な情報については、不正プログラム対策の有効化と設定を参照してください。
この設定は、Deep Security Agentで保護されているWindowsコンピュータにのみ適用できます。
強化された検索は、負荷の高いアプリケーションを実行しているAgentコンピュータのパフォーマンスに影響する可能性があります。強化された検索が有効なDeep Security Agentをインストールする前に、不正プログラム対策のパフォーマンスのヒントを確認することをお勧めします。
最初に、不正プログラムのリアルタイム検索設定で、強化された検索を有効にします。
- Deep Security Managerで、[ポリシー]→[共通オブジェクト]→[その他]→[不正プログラム検索設定] の順に選択します。
- 既存のリアルタイム検索設定をダブルクリックして編集します (不正プログラム検索設定の詳細については、不正プログラム検索の設定を参照してください)。
- [一般] タブで以下のオプションを選択します。
- 不審なアクティビティ/不正な変更 (ランサムウェアを含む) を検出する:前述した脅威の検出、攻撃コード対策、ランサムウェア検出の各機能を有効にします。
- ランサムウェアによって暗号化されたファイルをバックアップおよび復元する:このオプションを選択すると、ファイルの暗号化がランサムウェアプロセスによるものである場合に備えて、暗号化されたファイルのバックアップコピーが作成されます。
- [OK] をクリックします。
初期設定では、リアルタイム検索はすべてのディレクトリを検索するように設定されます。この設定をディレクトリリストの検索に変更すると、強化された検索が想定どおりに機能しない場合があります。たとえば、[検索対象ディレクトリ] を「Folder1」に設定した場合にFolder1でランサムウェアが発生すると、Folder1の外部にあるファイルがランサムウェアによって暗号化された場合、ランサムウェアが検出されない可能性があります。
次に、不正プログラム検索設定をポリシーまたは個々のコンピュータに適用します。
- コンピュータエディタまたはポリシーエディタ
これらの設定は、ポリシーまたは特定のコンピュータについて変更できます。
ポリシーの設定を変更するには、[ポリシー] 画面に移動し、編集するポリシーをダブルクリック (またはポリシーを選択して [詳細] をクリック) します。
コンピュータの設定を変更するには、[コンピュータ] 画面に移動し、編集するコンピュータをダブルクリック (またはコンピュータを選択して [詳細] をクリック) します。で、[不正プログラム対策]→[一般] の順に選択します。 - [不正プログラム対策のステータス] が [オン] または [継承 (オン)] であることを確認します。
- [一般] タブには、[リアルタイム検索]、[手動検索]、[予約検索] の各セクションがあります。該当するセクションで、[不正プログラム検索設定] リストから上記の手順で作成した検索設定を選択します。
- [保存] をクリックします。
強化された検索で問題が検出された場合の動作
有効になっている強化された検索の設定に一致するアクティビティやファイルが検出されると、イベントがログに記録されます ([イベントとレポート]→[イベント]→[不正プログラム対策イベント] の順に選択するとイベントのリストを表示できます)。このイベントは [主要なウイルスの種類] 列に「不審なアクティビティ」または「不正な変更」として記録され、[対象] 列と [対象の種類] 列に詳細が表示されます。
Deep Securityでは強化された検索の設定に関連するさまざまなチェックが実施され、問題を検出したチェックの種類に基づいて処理が実行されます。実行される処理は、「アクセス拒否」、「終了」、または不審なオブジェクトの「駆除」です。実行される処理はDeep Securityによって決定され、「駆除」以外の処理は変更できません。
- アクセス拒否: 不審なファイルをオープンまたは実行しようとする挙動を検知すると、ただちにその操作をブロックして不正プログラム対策イベントを記録します。
- 終了: 不審な操作を実行したプロセスを終了し、不正プログラム対策イベントを記録します。
- 駆除: 不正プログラム検索設定をチェックし、[処理] タブでトロイの木馬に対して指定されている処理を実行します。トロイの木馬ファイルに対して実行される処理に関連して、1つ以上のイベントが追加で生成されます。
イベントをダブルクリックすると詳細が表示されます。
ランサムウェアに関連するイベントの場合は、[対象ファイル] タブが追加で表示されます。
特定されたファイルを調べて無害であることが判明した場合は、イベントを右クリックして[許可] をクリックし、コンピュータまたはポリシーの検索除外リストにそのファイルを追加します。検索除外リストは、ポリシーエディタまたはコンピュータエディタで [不正プログラム対策]→[詳細]→[挙動監視保護の例外] の順に選択して確認できます。
Agentをインターネットに直接接続できない場合の対処
このトピックで説明した強化された検索機能は、Global Census ServerとGood File Reputation Serviceでファイルをチェックするため、インターネットへのアクセスを必要とします。Deep Security Agentがインターネットに直接アクセスできない場合は、インターネットにアクセスできない エージェントを設定するで回避策について参照してください。