MA:一般的なMalware Analysis設定の構成

Document created by RSA Information Design and Development on Feb 16, 2017
Version 1Show Document
  • View in full screen mode
  

このトピックでは、Security Analytics Malware Analysisサービスの基本的な構成設定について説明します。セッションの解析、手動でのファイル アップロード、およびSecurity Analytics Malware Analysisが使用するさまざまなスコア モジュールを有効化し、調整するには、いくつかの基本的な設定が必要です。また、データ リポジトリによるファイル共有も設定できます。

Security Analytics Malware Analysisでは、セッションやファイルの解析に関する3つの使用モードがあります。3つの選択肢を組み合わせて使用することによって、Malware Analysisでの解析を実行できます。選択項目は次のとおりです。

  • Security Analytics Coreサービスの常時ポーリング:Security Analytics Coreサービスの常時ポーリングを有効化および構成できます。有効化および構成すると、Security Analytics Malware Analysisは、Security Analytics Coreサービスで要解析のタグが付けられたセッションを常時ポーリングします。デフォルトでは常時ポーリングは無効化されています。常時ポーリング中に使用するDOS(Denial of Service)攻撃防止を有効化できます。[統合]タブ内のオプションを使用して常時ポーリングしているMalware Analysisサービスへの接続をテストできます。 

注:10.3.5以前のMalware Analysisでコア サービスを常時ポーリングのサービスとして追加する場合は、RESTポートを使用します。たとえば、ネイティブのNexGenポート(50005)ではなくRESTポート(50105)を使用して、10.3.5のMalware AnalysisにConcentratorを追加します。

  • Security Analytics Coreサービスのオン デマンド解析:Security AnalyticsのInvestigationモジュールから直接、セッションを解析できます。この方法では、Security Analytics Coreセッションを手動で制御し、セッションに含まれるファイルの処理方法(サンドボックスに送信するなど)をより細かく制御できます。解析するファイルのタイプごとに、特定のオプションを指定して、コミュニティやサンドボックスでの解析処理に送信できます。 
  • 手動でのファイルのアップロード:ローカルやネットワークのディレクトリにあるファイルを手動でアップロードし、解析することができます。アップロードできるファイルの最大サイズを構成できます。

基本設定の表示

基本設定を表示するには、次の手順を実行します。

  1. Security Analyticsメニューで、[Administration]>[サービス]を選択します。
  2. サービス]グリッドで、Malware Analysisサービスを選択し、>[表示]>[構成]を選択します。
    全般]タブが開いた状態で、サービスに対する[サービス]の[構成]が表示されます。

常時スキャンの構成

標準的なサブスクリプションのオプションでは、Security Analytics Malware Analysisのファイル処理数は制限されており、サンドボックス処理のためにThreatGrid Cloudに送信できるファイル数は1日あたり1,000個までです。サンドボックスの使用を最適化するため、Malware Analysis構成では、複数の使用方法からSecurity Analytics Malware Analysisで使うものを選択できます。常時ポーリングを有効または無効に設定できます。

常時ポーリングを構成する際の考慮点は、DOS防止(Denial of Service (DOS) Prevention)パラメータです。デフォルトではこの機能は無効になっています。この機能を有効にする前に、ご使用の環境の設定を慎重に検討する必要があります。

DOS防止が無効になっている場合、Malware Analysisは先入れ先出し方式でキューに入れられたセッションを解析します。DOS攻撃によって急激にキューがいっぱいになり、Malware Analysisがセッションの処理でビジー状態となっている間に、その後のセッションでマルウェア攻撃が発生していることがあります。後のセッション(実際の攻撃)がキューの先頭に到達せず、攻撃が開始されるまで解析されないことがあります。

DOS防止を有効にすると、Malware Analysisは、単一のIPアドレスからのセッションが多すぎる場合にそれをDOS攻撃として処理します。IPアドレスが[レート ウィンドウあたりのDOSセッション数]を超える場合、Malware Analysisは、[DOSセッションのロックアウト時間(秒)]に達するまで、そのアドレスからのセッションを無視します。その後、Malware AnalysisはそのIPアドレスからのセッションの解析を再開します。そのIPアドレスからの無視されたセッションはまったく解析されないため、セッションのロックアウト期間中にマルウェア攻撃がすり抜ける可能性があります。

[DOS Garbage Collection Interval (Seconds)]設定を使用して、Malware Analysisは、指定された秒数後にIPソースのメモリ内ストレージをクリアします。この間隔でアクティビティのほとんどないIPアドレスはメモリからクリアされます。IPアドレスが[DOS Garbage Collection Interval (Seconds)]以上の間隔でアクティブな状態になる場合、Malware AnalysisはそれをDOS攻撃として識別しないことがあります。

Security Analytics Malware Analysisで常時ポーリングを構成するには、[常時スキャン構成]セクションで次の手順を実行します。

  1. 常時ポーリングを有効にするには、[Enabled]をクリックします。
  2. (オプション)クエリーのデフォルト値を変更する場合は、[Query Expiry]、[Query Interval]、[Meta Limit]、[Time Boundary]に新しい値を入力します。
  3. Security Analytics Malware AnalysisがMalware Analysisアプライアンスにクエリーを実行して解析用のデータを取得できるよう構成するには[Source Host]、[Source Port]を指定します。
  4. (オプション)Malware Analysisアプライアンスのデフォルトのログオン認証情報を変更する場合は、[Username]と[User Password]を指定します。
  5. Malware AnalysisアプライアンスとSecurity Analytics Coreサービスの間の通信にSSLを使用する場合は、[SSL]を有効化します。
  6. (オプション)DOS(Denial of Service)防止機能を構成するには、次の操作を行います。
    • Denial of Service (DOS) Prevention]パラメータを有効化します。
    • DOS防止のためのセッション制限を設定します。
      • Malware Analysisが単一のIPアドレスのセッションをカウントするタイム ウィンドウの秒数([DOS Session Rate Window Length])を指定します。このウィンドウはレート ウィンドウと呼ばれ、該当するIPソースから最初のセッションを受信したときにカウンターが設定されます。デフォルト値は60秒です。
      • DOS Number Sessions per Rate Window]に、レート ウィンドウあたり許可されるセッションの数を指定します。デフォルト値は200セッションです。レート ウィンドウ内でセッション数が上限に達したとき、Malware AnalysisはそのIPアドレスからのセッションを無視します。そのIPからのセッションはまったく解析されません。Malware Analysisは、ロックアウト時間が終了するまでセッションを無視し続けます。
      • DOS Session Lockout Time (Seconds)]にロックアウト時間(この間に該当IPアドレスからのセッションは無視され、解析もされません)を指定します。デフォルト値は60秒です。ロックアウト時間を経過すると、Malware AnalysisはそのIPアドレスからのセッションの解析を再開します。
      • DOS Garbage Collection Interval (Seconds)]に、Security AnalyticsがIPソースのメモリ内オブジェクトを削除するまでの、IPアドレスの非アクティブ間隔を指定します。デフォルト値は120秒です。
  7. Apply]をクリックします。
    変更は、Security Analytics Malware Analysisが新しいパケットを受け取るとすぐに有効となります。
  8. 選択したコア サービスへのMalware Analysisサービスの接続をテストするには、[統合]タブの[常時スキャンの接続テスト]セクションの[接続のテスト]ボタンをクリックします。 

手動でのファイル アップロードの構成

手動でのファイル アップロードの最大ファイル サイズを構成するには、次の操作を行います。

  1. [その他]セクションで、Malware Analysisスキャン用に手動でアップロードできるファイルの最大サイズをMB単位で入力します。
  2. Apply]をクリックします。
    変更はすぐに有効となります。

データ リポジトリの構成

Security Analytics Malware Analysisでは、アプライアンスに格納できるファイル数に制限があります。データ リポジトリの構成では、ファイル システムの保存期間は60日間です。この設定によって、ファイルがSecurity Analytics Malware Analysisアプライアンスに保存される期間が決まります。古いファイルが削除された場合、リカバリすることはできません。Malware Analysisは毎日、ファイル システムの保存期間を過ぎたファイルを削除し、ディスク領域を圧迫しないようにしています。

ファイルを定期的に削除するため設定は、ファイル システムの保存期間だけです。使用されているディスク領域の容量に基づいて削除されるわけではありません。この設定を変更する必要がある場合、管理者は、指定された保存日数の間に予想されるディスク領域の使用量に基づいて、保存期間を構成する必要があります。

Security Analyticsユーザー インタフェースで表示できるデータ リポジトリのパラメータは次のとおりです。

  • リポジトリの場所は/var/lib/netwitness/rsamalware/spectrumです。この値は編集しないでください。
  • ファイル共有プロトコル。[File Sharing Protocol]で指定するプロトコルによるアクセスを許可し、Malware Analysisサービスからファイルをコピーできるようにします。
  • ファイル保存期間(日数)。

ファイル共有を構成するには、[リポジトリ構成]セクションで次の手順を実行します。

  1. [File Sharing Protocol]の構成をクリックし、[FTP]または[SAMBA]を選択します。
  2. ファイルが削除される前にリポジトリに保持される日数を指定します。
  3. 適用]をクリックします。

変更はすぐに有効となります。

スコア モジュールの調整

[モジュール構成]セクションには、次のようなSecurity Analytics Malware Analysisの構成オプションが用意されています。

  • 3つのスコア モジュール(静的(Static)、コミュニティ(Community)、サンドボックス(Sandbbox))のいずれかまたはすべてを完全に無効にします。スコア モジュールを無効または有効にする場合には、各スコア モジュールが検出する対象を良く理解してから行うようにしてください。
  • Security Analytics Malware Analysisは、Microsoft Office、Windows PE、PDFの各ファイルを含むセッションに、Malware Analysisサービスで調査するためのタグを付けます。Malware Analysisで、Windows PE、Microsoft Office、PDFドキュメントを完全に無視するように構成できます。必要に応じて、Security Analytics Coreの設定を調整してこれらのファイルを無視するように設定します。これにより、Security Analytics Malware Analysisでの調査対象のタグが付けられなくなります。

スコア モジュール調整の適用例を次に示します。ルール グループを設定したり、システム パフォーマンスを解析したりする場合に、PDFドキュメントは解析せずに、Microsoft OfficeとWindows PEドキュメントは解析するなど、さまざまなシナリオをテストできます。このシナリオを3つのスコア モジュールのそれぞれでテストできます。テストの結果、システム パフォーマンスが向上した場合は、それらの情報や経験を活用できます。

静的解析のスコアの構成

静的(Static)解析のスコアを構成するには、[モジュール構成]セクションで次の手順を実行します。

  1. デフォルトでは、静的解析モジュールは有効になっています。静的(Static)解析をすべて有効または無効にするには、[Enabled]チェックボックスで設定します。
  2. セッションでPDF、Microsoft Office、Windows PEのファイルの解析を構成するには、[Bypass PDF]、[Bypass Office]、[Bypass Executable]のチェックボックスのいずれかを選択します。
  3. デジタル署名されたWindows PEファイルのAuthenticode検証に対するユーザー環境設定を構成するには、[Validate Windows PE Authenticate Settings via Cloud]チェックボックスをオンにします。デジタル署名されたWindows PEファイルが検証のためにRSA Cloudに送信されないようにする場合は、このチェックボックスをオフにします。
    無効化した場合、(Authenticode検証をスキップして)すべての静的解析がローカルで実行されます。この設定に関係なく、PDFドキュメントとMS OfficeドキュメントはAuthenticode検証の対象ではないため、静的解析の実行中にネットワーク通信が行われることはありません。
  4. 適用]をクリックします。
    変更は、Security Analytics Malware Analysisが新しいパケットを受け取るとすぐに有効となります。

コミュニティ解析のスコアの構成 

コミュニティ(Community)モジュールを有効にすると、セキュリティ コミュニティでは、処理が可能なタイプのすべてのドキュメントを解析します。これは、ネットワーク セッションとファイルの属性を、RSA Cloudに送信することによって実現されます。RSA Cloudは、情報を処理するために、必要に応じて、セキュリティ コミュニティ パートナーへの外部接続を行う場合があります。 

ファイルのコンテンツが解析のためにコミュニティに送信されることはありません。その代わりに、ファイルのMD5/SHA-1ハッシュが送信され、アンチウイルス ソフトを使用した検出とブラックリストへの登録に使用されます。同様に、この処理の一環として、セッション メタ情報も取得および解析されます。URLやドメイン名などのメタ要素が調べられ、既知の不正なURL/ドメインなどを識別するためにRSA Cloudに送信されます。

コミュニティ解析を有効にして、処理するドキュメント タイプを制限できます。ファイルのコンテンツ(ハッシュを除く)がネットワークの外部に送信されるリスクはありません。

注:処理が行われるRSA Cloudへのアクセスを取得するには、Malware AnalysisサービスをRSAカスタマ サービスに登録する必要があります。これを行うには、[統合]タブ内のオプションを使用するか、またはRSA Customer Careに連絡する、という2つの方法があります。

コミュニティ(Community)解析のスコアを構成するには、[モジュール構成]セクションで次の手順を実行します。

  1. コミュニティ(Community)解析をすべて有効または無効にするには、[Enabled]チェックボックスで設定します。デフォルト値は、[Disabled]です。
  2. セッションでPDF、Microsoft Office、Windows PEのファイルの解析を構成するには、[Bypass PDF]、[Bypass Office]、[Bypass Executable]の3種類のチェックボックスのいずれかを選択します。
  3. 適用]をクリックして変更を保存すると、すぐにSecurity Analytics Malware Analysisが新しいパケットを受信できるようにします。

サンドボックス解析のスコアの構成

デフォルトでは、サンドボックス(Sandbox)モジュールは無効になっており、MS OfficeファイルとPDFファイルは処理されません。その目的は、外部のネットワークに機微情報を送信するかどうかをユーザーが指定するようにするためです。ドキュメント タイプの処理が除外されていない場合、(ハッシュだけではなく)ファイル全体が宛先のサンドボックス サーバに送信されます。

加えて、サンドボックス解析を実行するときに元のファイル名を保存することを選択できます。

注:Preserve Original File Name when Performing Sandbox Analysis]パラメータを指定しない場合、Security Analyticsはファイルをハッシュ化します。

サンドボックス(Sandbox)モジュールを有効にする場合、サンドボックスの処理で、ローカルのGFI Sandbox、ローカルのThreatGrid Sandbox、またはCloudバージョンのThreatGrid Sandboxのいずれかを指定する必要があります。CloudバージョンのThreatGrid Sandboxは、ThreatGridによって直接提供されます。アクティベーション キーをThreatGridから取得し、[ThreatGRID]タブで構成します。

GFI Sandbox設定

ローカルにインストールされたGFI Sandboxを使用するには、GFIを有効にし、GFI Sandboxサーバのサーバ名とサーバ ポートを指定する必要があります。[Max Poll Period]と[Polling Interval ]によって、送信したサンプルの処理が終了するのを待機する時間と、ステータスを確認する頻度(秒単位)を指定します。[Ignore Web Proxy Settings]オプションを選択することにより、Security Analytics Malware AnalysisにWebプロキシをバイパスするように設定することができます。Security Analytics Malware AnalysisでWebプロキシが構成されていない場合、この設定は無視されます。

ThreatGrid Sandbox設定

注:ThreatGridのスコアを有効にする場合には、このサイトから送信されたサンプルがThreatGridによって正当と認識されるようにするため、ThreatGridから提供されたサービス キーを構成する必要があります。Security Analyticsを使用してThreatGrid APIキーを登録してから、ローカルにインストールされたThreatGrid SandboxまたはThreatGrid Cloud Sandboxを有効化して構成できます。次の詳細タスクを参照してください。ThreatGrid APIキーの登録

[Ignore Web Proxy Settings]を選択することにより、Security Analytics Malware AnalysisにWebプロキシ設定をバイパスするように設定することができます。Security Analytics Malware AnalysisでWebプロキシが構成されていない場合、この設定は無視されます。

サンドボックス(Sandbox)のスコアを構成するには、[モジュール構成]セクションで次の手順を実行します。

  1. サンドボックス(Sandbox)解析をすべて有効または無効にするには、[Enabled]チェックボックスで設定します。デフォルト値は、[Disabled]です。
  2. セッションでPDF、Microsoft Office、Windows PEのファイルの解析を構成するには、[Bypass PDF]、[Bypass Office]、[Bypass Executable]の3種類のチェックボックスのいずれかを選択します。
  3. 有効なサンドボックス ベンダーを構成します。3つのオプションが用意されています。
    1. ローカルにインストールされたGFI Sandboxのインスタンスを使用するには、GFI Sandboxサーバのサーバ名とサーバ ポート、最大ポーリング期間(Max Poll Period)とポーリング間隔(Polling Interval)を指定し、[Ignore Web Proxy Settings]チェックボックスをオンにします。
    2. ローカルにインストールされたThreatGridのインスタンスを使用するには、ThreatGridスコアを有効にして、ThreatGridサービス キーを指定し、必要に応じて[Ignore Web Proxy Settings]チェックボックスをオンにします。
    3. ThreatGrid Cloudを使用するには、まずThreatGrid APIキーを登録する必要があります。その後でThreatGridスコアを有効化して、ThreatGridサービス キーを指定し、ThreatGridサーバのURL(https://panacea.threatgrid.com)を入力します。必要に応じて、[Ignore Web Proxy Settings]チェックボックスをオンにします。
  4. Apply]をクリックします。
    変更はすぐに有効となります。
You are here
Table of Contents > 基本的な設定 > 一般的なMalware Analysis設定の構成

Attachments

    Outcomes