関連トピック

# APT Blocker について

APT 攻撃は、高度なマルウェアやゼロデイ エクスプロイトを悪用してネットワークや機密データに長期間侵入するネットワーク攻撃の一種です。APT 攻撃はきわめて洗練されており、政府や金融セクター企業など、知名度の高い特定機関を攻撃の対象とすることがよくあります。こうした高度なマルウェアの悪用は、小規模のネットワークや知名度の低い組織にも向けられています。

APT 攻撃は最新のターゲットを絞ったマルウェア技法やゼロデイ エクスプロイト (ソフトウェア ベンダーが未発見または未修正の欠陥) を悪用してネットワーク内で感染し拡散するため、従来の署名ベースのスキャン方法では、これらの脅威に対し十分な保護を提供することはできません。APT マルウェアは、長期間ネットワークに存在できるように設計されています。マルウェアからの通信は隠され、マルウェアの存在を示す証拠はすべて削除されるため、検出を逃れることができます。

APT Blocker は、Lastline が提供するフル システム エミュレーション分析を利用する登録サービスで、ネットワーク内に入り込んだファイルやメール添付ファイル内の APT マルウェアの特性や動作を特定します。APT Blocker は、ウイルス対策プログラムのような他の従来型のスキャナとは異なり、署名を使用しません。ネットワークに入ってくるファイルはスキャンされ、ファイルの MD5 ハッシュが生成されます。この MD5 ハッシュは HTTPS を介して Lastline のクラウドベースのデータセンターに送信されます。Lastline はこのファイルを解析済みファイルのデータベースと比較し、スキャン結果をすぐに返送します。この解析により既知のマルウェア脅威との一致が見つかった場合は、ファイルのブロック、ドロップ、検疫などの措置を直ちに講じることができます。ファイル解析の結果はローカル キャッシュに保存されるため、同じファイルが再度処理される場合は、ファイルの MD5 ハッシュをデータセンターに再度送信する必要なく、結果が直ちに判明します。

管理下のネットワークにローカルの Lastline オンプレミス APT Blocker サーバーを設置して、要求を送信することができます。大規模の企業ネットワークで、セキュリティやデータ プライバシー上の理由から APT Blocker サーバーをローカルに設置して使用している組織もあります。詳細については、次を参照してください：APT Blocker サーバーの設定を構成する。

解析済みファイルの結果と一致しない場合、そのファイルは以前に扱われたり解析されたことがないことになります。そのファイルは Lastline データセンターに送信され、次世代サンドボックス環境で綿密な APT アクティビティ解析を受けます。この分析はファイル転送と同時に行われます。SMTP と IMAP プロキシ以外のプロキシでは、デバイスが分析結果を待機している間に接続が許可されます。結果が返送され、マルウェア アクティビティの証拠がファイル内に存在することが判明すると、Firebox はアラーム通知を生成することができます。APT Blocker アクティビティを監視する方法、および WatchGuard Dimension レポートを使って APT Blocker アクションを追跡する方法の詳細については、次を参照してください：APT Blocker のアクティビティを監視する。

## APT Blocker スキャンの制限について

分析のために APT Blocker が Lastline に送信するファイルの最大サイズは、Gateway AntiVirus スキャンの制限に基づいています。ほとんどの Firebox の場合、既定のスキャン制限は 1 MB です。Firebox T10 および XTM 2 Series の既定値は 512 KB です。APT Blocker は分割ファイルのスキャンおよび解析はできませんが、ほとんどのマルウェアは 1 MB 未満のファイル内に配信されます。ファイルはサイズが大きいほど、ウイルスのように素早く広がる可能性は低くなります。スキャン制限の詳細については、次を参照してください：Gateway AntiVirus のスキャンの制限についてスキャン制限の設定方法の詳細については、次を参照してください：Gateway AntiVirus のアクションを構成する。

Lastline は最大 10 MB のサイズまでの分析用ファイルを受け入れます。Gateway AntiVirus のスキャン上限を 10 MB よりも大きいサイズに設定した場合、APT Blocker はそのファイルを Lastline に送信せず、「ファイル サイズが送信サイズ制限を超過しています」というログ メッセージを生成します。

## サポートされているプロキシ ポリシー

APT Blocker は以下のプロキシ ポリシーのファイルをスキャンできます：

- HTTP プロキシ
- HTTPS プロキシ、APT Blocker がコンテンツ インスペクションに使用される HTTP プロキシ アクションで有効化されている場合
- FTP プロキシ
- SMTP プロキシ
- IMAP プロキシ
- POP3 プロキシ

SMTP および IMAP プロキシにおける APT Blocker の詳細については、次を参照してください：SMTP および IMAP プロキシの APT Blocker。

## サポートされているファイルの種類

APT Blocker は以下のファイルの種類をスキャンできます：

- Windows PE (Portable Executable) ファイル
  これには 32 ビットおよび 64 ビット バージョンの Windows オペレーティング システムで使用される .cpl、.exe、.dll、.ocx、.sys、.scr、.drv、および .efi の拡張子が付けられたファイルが含まれます。
- Adobe PDF ドキュメント
- Microsoft Office ドキュメント
- リッチ テキスト形式 (RTF) ドキュメント
- Android 実行可能ファイル (.apk)
- Apple Mac アプリケーション ファイル (.app)
- 電子メール添付ファイルのみの JavaScript (.js) ファイル

APT Blocker は、圧縮アーカイブ内のファイルも検査できます。APT Blocker は以下のアーカイブ ファイルの種類をサポートします：

- gzip
- tar
- zip
- rar
- 7z

## APT 脅威レベル

APT Blocker は、脅威の重大度に基づいて APT アクティビティを分類します。

- 高
- 中
- 低
- クリーン

高、中、および 低 脅威レベルは、マルウェアの重大度を示しています。この分類は、ファイルが Lastline によって解析される際に割り当てられたスコアによって決まります。高レベルは、解析でマルウェアの特性がより多く特定されたため、高いスコアを示します。これらすべての脅威レベルをマルウェアとみなし、既定アクションである ドロップ を使用することが推奨されます。

高、中、および 低 脅威レベル脅威レベルに対して、アクション (許可、ドロップ、ブロック、検疫) の割り当て、アラーム、通知、ログ記録の設定が可能です。

クリーン 脅威レベルは、開始時のファイル ハッシュ チェックまたは Lastline クラウド データ センターへのアップロードによりスキャン済みであり、マルウェアが入っていないと判断されたことを示しています。クリーン 脅威レベルは、既定で 許可 に設定されており、変更することはできません。クリーン 脅威レベルは、Lastline が分析したファイルで、クリーンでありマルウェアを含まないと判定されたもののステータスを追跡するのに役立ちます。クリーン ファイルのステータスをログできるよう、ログ チェックボックスが有効化されていることを確認してください。

WatchGuard は、3 つすべての脅威レベルに対し、APT Blocker 構成で アラーム および ログ オプションを選択し、APT Blocker アクティビティを監視することをお勧めします。

## APT Blocker の有効化と構成

Firebox で APT Blocker を有効にするには、以下を実行する必要があります。

1. Firebox 機能キーを取得する
2. 機能キーを手動で追加または削除する
3. プロキシ ポリシーの Gateway AntiVirus を有効にする
4. APT Blocker を構成する

APT Blocker は Gateway AntiVirus と同じスキャン プロセスの一部です。プロキシ アクションで APT Blocker が有効になっている場合、APT Blocker は、コンテンツが AV Scan アクションで構成されたプロキシ アクション ルールに一致する場合にコンテンツのみをスキャンします。

#### 関連情報

Gateway AntiVirus について

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索