関連トピック

# APT Blocker による TDR Sandbox 分析

TDR では、APT Blocker サービスを利用して、Host Sensor で特定された新しい不審なファイルが分析されます。WatchGuard APT Blocker サービスでは、Lastline が提供する最善のフル システム エミュレーション解析を利用して、ネットワーク内に入り込んだファイルの APT マルウェアの特性や動作が特定されます。Firebox により保護されているネットワークにホストが接続されていない場合でも、TDR Host Sensor により不審なファイルがアップロードされ分析されます。Sandbox 分析結果は、ファイルに割り当てられた APT 脅威レベルで表されます。TDR ThreatSync 分析エンジンで、APT 脅威レベルに基づき、インジケータに割り当てられた脅威スコアを上げるかどうかが判断されます。

サンドボックスは、Lastline のクラウドベースのデータセンターにあります。TDR アカウントのサンドボックスは、TDR アカウント データが保存されているのと同じ地域にあります。たとえば、TDR アカウントの地域が欧州の場合は、サンドボックスも欧州にもあります。

## APT Blocker による Sandbox 分析を有効化する

APT Blocker による Sandbox 分析機能により、分析のために、Host Sensor からファイルをアップロードすることができます。この機能は、有効化するか無効化するかを選択することができます。この機能を構成するには、TDR アカウントでこれを有効化する必要があります。

APT Blocker による Sandbox 分析を有効化するには、以下の手順を実行します。

1. 設定 > 全般 の順に選択します。
2. APT Blocker による Sandbox 分析機能を有効化するには、機能オン チェックボックスを選択します。
3. 保存 をクリックします。

詳細については、次を参照してください：TDR 全般設定。

## ファイルのサンドボックス アクション

ファイルのサンドボックス アクションにより、分析のために、Host Sensor から不審なファイルがアップロードされます。このアクションが許可されるように Sandbox ポリシーを構成すること、または Host Sensor からファイルのサンドボックス アクションが要求された後に手動アクションとしてそれを選択することができます。

コンテンツ インスペクションと証明書検証が有効化されている HTTPS プロキシ ポリシーを持つ Firebox の配下に Host Sensor がインストールされている場合は、HTTPS パケット フィルタ ポリシーを構成して、分析のために Host Sensor からファイルがアップロードされることを許可しなければならない場合があります。詳細については、次を参照してください：TDR トラフィックのファイアウォール ポリシーを構成する。

Host Sensor では、次の条件で、分析のためにファイルが TDR にアップロードされます。

- プロセスまたはレジストリ ヒューリスティックで、ファイルが不審であることが Host Sensor に示されている。
- ファイルの MD5 値が以前に分析されたファイルと一致しない。
- アクティブな TDR Sandbox ポリシーまたは手動 TDR アクションにより、ファイルのサンドボックス アクションが指定された。

ファイルのサンドボックス アクションには、最大 20 分を要します。ファイルのサンドボックス アクションの進行中に、以下のイベントが発生します。

- Host Sensor からファイルが TDR クラウドにアップロードされる
- 分析のために、TDR から安全な地域のサンドボックスにファイルが送信される
- Lastline によりファイルが実行され、ファイルの脅威が分析される
- Lastline から TDR に APT 脅威レベル結果が送信される
- TDR で、インジケータに関連付けられている脅威スコアが更新される

Host Sensor から Sandbox 分析の要求が発信された場合にのみ、TDR でインジケータの脅威スコアが調整されます。別の Host Sensor から同じファイルに対して Sandbox 分析の要求が発信された場合でも、Host Sensor から Sandbox 分析の要求がない場合は、TDR ではインジケータ脅威スコアが調整されません。

Host Sensor からは、 Host Ransomware Prevention (HRP) イベントのファイルのサンドボックス アクションは要求されません。防止モードで HRP が有効化されている場合は、Host Sensor でランサムウェアが検出されると、自動的にアクションが発生して、ファイルが検疫され、プロセスが終了されます。詳細については、次を参照してください：TDR Host Ransomware Prevention について。

## APT 脅威レベルおよびインジケータ脅威スコア

不審なファイルが最初に検出されると、TDR ではヒューリスティックに基づいてインジケータ スコアが割り当てられ、ファイルのサンドボックス アクションが要求されます。APT Blocker による Sandbox 分析では、脅威の重大度に基づいて APT アクティビティが分類されます。TDR における APT 脅威レベルは、Firebox の APT Blocker の APT 脅威レベルと同じです。

高、中、低 の APT 脅威レベルは、マルウェアの重大度を示しています。この分類は、ファイルが Lastline によって解析される際に割り当てられたスコアによって決まります。高、中、低 の APT 脅威レベルの場合は、TDR によりインジケータ脅威スコアが上昇します。

クリーン APT 脅威レベルは、ファイルにマルウェアが含まれていないと判断されたことを示すものです。クリーンの APT 脅威レベルの場合は、TDR ではインジケータ脅威スコアが変更されません。

APT 脅威レベル | TDR 脅威スコア
--- | ---
高 | 9 (重大)
中 | 8 (深刻)
低 | 7 (高)
クリーン | 変更なし

Sandbox ポリシーと修正ポリシーの組み合わせを構成して、TDR Host Sensor で新しく発生した脅威を自動的に分析して対応するように設定することができます。修正ポリシーの詳細については、次を参照してください：推奨 TDR ポリシー。

## Sandbox 分析ステータスを表示する

APT Blocker による Sandbox 分析のステータスを表示するには、以下の手順を実行します。

1. ThreatSync > インジケータ の順に選択します。
2. をクリックして、すべてのフィルタをクリアします。
3. 要求されたアクション 列ヘッダーで、ファイルのサンドボックス アクションを選択します。適用 をクリックします。
   インジケータ リストがフィルタされ、Host Sensor からファイルのサンドボックス アクションの要求が発せられたインジケータのみが表示されます。

1. 結果 列には、各 Host Sensor のファイルのサンドボックス アクションのステータスが表示されます。
2. インジケータの詳細を見るには、インジケータ 列で、追加情報 をクリックします。

インジケータの追加詳細の APT Blocker による Sandbox 分析 セクションに、Sandbox 分析ステータスが表示されます。

- Sandbox 分析が完了していない場合は、 APT Blocker による Sandbox 分析 ステータスは 不明 となります。ファイルのサンドボックス アクションが進行中の場合、またはアクションを許可するポリシーが存在しない場合に、このステータスが表示されます。

- Sandbox 分析が完了すると、APT Blocker による Sandbox 分析 ステータスに APT 脅威レベルが示されます。必要に応じて、インジケータ スコアもファイル分析に基づいて調整されます。

TDR でインジケータを管理する方法の詳細については、次を参照してください：TDR インジケータを管理する。

#### 関連情報

TDR ポリシーを構成する

APT Blocker について

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索