関連トピック

# TDR Host Ransomware Prevention について

Threat Detection and Response Host Sensor には、ファイルを特定して検疫し、ランサムウェアの特徴である悪意のある動作を行うプロセスを停止する機能を備える Host Ransomware Prevention (HRP) が含まれています。

## HRP モード

以下の 2 つのモードのいずれかで、Host Ransomware Prevention を有効化することができます。

- 検出 — ランサムウェアの特徴を示すプロセスとファイルが Host Sensor で特定され、手動介入のためにそれが Threat Detection and Response に通知されます。
- 防止 — ランサムウェアの特徴を示すファイルが Host Sensor で検出され、そのプロセスが自動的に終了され、ランサムウェアによりファイルが暗号化される前に、そのファイルが検疫に送られます。このアクティビティはすでに緩和されたインジケータとして、Host Sensor から Threat Detection and Response アカウントに報告されます。Host Sensor で HRP 防止 アクションが正常に完了されなかった場合も、手動介入のために、その情報が TDR アカウントに送信されます。

管理者認証を持つユーザーは、グローバル Host Sensor 設定で Host Ransomware Prevention モードを構成することができます。オペレータ認証を持つユーザーは、グループの Host Sensor 設定で Host Ransomware Prevention モードを構成することができます。

検出モードまたは防止モードで HRP を有効化すると、Host Sensor により、非表示のデコイのフォルダとファイルがエンドポイントに作成されます。ユーザーが非表示のファイルを削除しても、次回の起動時に Host Sensor によりそれが自動的に再度作成されます。

## HRP アクションおよび脅威スコア

防止モードで HRP が構成されている場合は、ランサムウェアによりファイルが実行され暗号化される前に、Host Sensor で即座にアクションが発生して、ランサムウェアの強制終了および検疫が試みられます。Host Sensor から TDR アカウントまたはインターネットに接続できない状態でも、このアクションは即座に実行されます。

次回に Host Sensor から TDR アカウントに接続されたときに、HRP イベントのレポートおよび実行されたアクションに関する情報が送信されます。ThreatSync により、HRP イベントのインジケータが作成され、脅威スコアが割り当てられます。

防止 モードの場合：

- Host Sensor 修正アクションが成功すると、HRP インシデントに脅威スコア 1 (修正済み) が割り当てられます。
- Host Sensor 修正アクションが失敗すると、HRP インシデントに脅威スコア 10 (重大) が割り当てられます。

検出 モードでは、すべての HRP インシデントに脅威スコア 7 (高) が割り当てられます。

## HRP インジケータ

ランサムウェアには複数のプロセスを作成する能力があるため、HRP インジケータには、検出された脅威に関連する複数のプロセスを強制終了する、または複数のファイルを検疫するアクションを含めることができます。

インジケータ リストをフィルタして HRP インジケータのみを表示するには、以下の手順を実行します：

1. ThreatSync > インジケータ の順に選択します。
2. をクリックして、すべてのフィルタをクリアします。
3. インジケータ 列の上部で、Host Ransomware Prevention を選択します。

HRP インジケータに関連するすべてのアクションおよびファイルの詳細なリストを表示するには、以下の手順を実行します：

1. HRP インジケータの HRP インジケータ 列で、追加情報 をクリックします。
   Host Ransomware Prevention の追加情報のダイアログ ボックスが表示されます。

1. 脅威の詳細の Host Ransomware Prevention セクションで、詳細 をクリックします。
   インジケータに関連するすべてのファイルに対して実行されたアクション リストが含まれている動作の概要ダイアログ ボックスが表示されます。

1. インジケータの完全なアクション リストを表示するには、リストの一番下にあるリンクをクリックします。
   このインジケータのアクション ログが表示されます。

インジケータ ページの詳細については、次を参照してください：TDR インジケータを管理する。

## HRP アクションおよび検疫済みファイル

HRP アクションの一環として、Host Sensor では 1 つまたは複数のファイルを検疫することができます。前のセクションで説明されているように、HRP インジケータの詳細にファイルの検疫アクションが表示されます。

HRP インジケータに関連するファイルを検疫から削除するには、インジケータで HRP により検疫されたファイルを元に戻す アクションを実行します。詳細については、次を参照してください：検疫からファイルを削除する

## HRP アクションおよびホワイトリスト

ランサムウェアを防止するために、MD5 が分析のために TDR に送信される前に、Host Sensor で即座にアクションが発生して、プロセスの強制終了が実行されます。これは、ファイルの MD5 がホワイトリストに追加されていても、Host Sensor でそれがランサムウェアとして検出された場合は、依然としてプロセスが強制終了されるということです。

たとえファイルがランサムウェアの特徴を示していても、Host Sensor でそのファイルが無視されるようにするには、ディレクトリの場所に例外を追加します。起動時および例外リストが更新されたときに、Host Sensor で例外リストが取得されます。詳細については、次を参照してください：TDR の除外を構成する。

#### 関連情報

TDR 脅威スコアについて

TDR Host Sensor 設定を構成する

TDR グループを管理する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索