FAQ

EDR機能について教えてください

目次

はじめに(弊社のEDRとは)
 脅威の検索(クライアントに特定のファイルが存在しないか検索する機能)
 結果のレポート(検索を実施した結果のレポートを生成する機能)
 駆除(マルウェアを駆除する機能)
 端末隔離(感染が確認されたクライアントを隔離する機能)
EDR利用ケース
 ケース①:流行/注意の必要なマルウェアが自組織内のマシンに存在しないか確認する
 ケース②:発見されたマルウェアが他のマシンに存在しないか確認する
注意事項
ハッシュ計算の種類とハッシュ計算の対象ファイルについて
利用の流れ
 1. ポリシーの配布
 2. オンデマンドハッシュ計算の配布
 3. IoC情報(痕跡情報)の登録
 4. ハッシュ検索
 5. レポート生成
 6. 隔離/駆除(マルウェアへの対処)
   隔離
   駆除
よくあるお問い合わせやトラブルシュート


はじめに(弊社のEDRとは)

AMC/yarai v3.2から搭載されている「EDR(Endpoint Detection and Response)機能」は、運用上求められる機能を標準搭載し、専門知識を持った人材が不在でも運用可能であることを目指し、以下のように、シンプルな「ハンティング機能(Detection)」と「レスポンス機能(Response)」に特化しています。

  • 脅威の検索
  • 結果のレポート
  • 駆除
  • 端末隔離




‼ 重要

EDR機能については、yarai/AMC v3.4.0にて、全般的なパフォーマンス向上(負荷軽減)となっています。そのため、EDR機能を使用する場合には、まずはyarai/AMC v3.4.0以降へアップデートしていただくことを推奨します。


脅威の検索(クライアントに特定のファイルが存在しないか検索する機能)

ハッシュ値(SHA256)を元にクライアントに該当ファイルが存在しないか検索します。

結果のレポート(検索を実施した結果のレポートを生成する機能)

検索結果はレポート化できます。生成されたレポートは感染の有無の社内報告などに利用できます。


駆除(マルウェアを駆除する機能)

検索で見つかったマルウェアを駆除することができます。

端末隔離(感染が確認されたクライアントを隔離する機能)

決められたポリシーに沿った通信以外を遮断することが可能です。物理的にLANケーブルを抜く対応の代替としてリモートから実施できます。

EDR利用ケース

ケース①:流行/注意の必要なマルウェアが自組織内のマシンに存在しないか確認する

流行しているマルウェアや標的型攻撃が発覚した際、マルウェアの注意喚起などが行われるケースがありますが、該当マルウェアのハッシュ値が公開されている場合、そのマルウェアが自組織内にも存在しないかを確認することが可能です。


ケース②:発見されたマルウェアが他のマシンに存在しないか確認する

自組織内のクライアントでマルウェアが発見された場合、他に同一のマルウェアが存在しないか確認したいケースもあると考えられます。yaraiのオンデマンドスキャン機能も利用できますが、オンデマンドスキャンではプロセスの挙動をリアルタイムで監視して検知する「動的解析エンジン(HIPSや機械学習やZDP)」は働かないため、検知されない可能性があります。このような場合、EDR機能が有効だと検知したマルウェア情報のハッシュ値を元にクライアントの検索を行うことが可能です。

注意事項

‼ 重要



ハッシュ計算の種類とハッシュ計算の対象ファイルについて

ハッシュ計算には以下の2種類が存在します。

  • リアルタイムハッシュ計算
    ポリシーで設定します。生成や更新などが行われたファイルのハッシュ値をリアルタイムで計算する機能になります。

  • オンデマンドハッシュ計算
    配布命令で実行します。クライアント上に存在するファイルに対してハッシュ計算を行う機能になり、マシン全体を走査します。基本的には一度配布して完了すれば再度実行する必要はありません。
⚠ 注意

クライアント内に存在するすべてのファイルのハッシュ値を漏れなく計算するため、オンデマンド・リアルタイム何れのハッシュ計算も実施/有効化する必要があります。後述の「利用の流れ」を参考にしてください。

ハッシュ計算の対象ファイルについては、ご利用の環境や設定などに依存する場合がありますが、原則的には以下の通りとなります。

ハッシュ計算の種類 ローカルドライブ リムーバブルドライブ ネットワークドライブ
リアルタイムハッシュ計算
オンデマンドハッシュ計算 × ×

※オンデマンド・リアルタイム何れのハッシュ計算においても、全ての拡張子/ファイルタイプのファイルがハッシュ計算対象となります。

⚠ 注意

パフォーマンスに影響を与える可能性があるため、頻繁に書き込みが行われるフォルダや拡張子については、適宜ハッシュ計算例外リストに登録することもご検討ください。



利用の流れ

1. ポリシーの配布

AMCのオペレーションマニュアルに従って、AMCにてEDRおよび隔離機能の「ポリシー設定」を行ってください。

‼ 重要

  • 「EDR機能の適用」、「ハッシュ検索機能の適用」、「リアルタイムハッシュ計算機能の適用」は必ず「ON」にしてください。
  • 「ハッシュ計算対象ファイルの上限サイズ」を大きな値に設定した場合、パフォーマンスに大きな影響を与える可能性があるため、注意してください。


なお、頻繁にファイルの書き込みを行うフォルダが判明している場合、ハッシュ計算例外リストに該当フォルダを登録してポリシーに含めておくことで、ハッシュ計算によるパフォーマンスへの影響を最小化できます。



2. オンデマンドハッシュ計算の配布

‼ 重要

オンデマンドハッシュ計算(以降「ハッシュ計算」とする)は、マシン全体を走査してハッシュ値のデータベースを作成する処理であり、本機能の利用時には必ず実行して完了させる必要があります。

⚠ 注意

  • ハッシュ計算はCPUやディスクのリソースを消費するため、数台でテストしてから段階的に配布することを推奨します
  • ハッシュ計算は完了まで数時間以上かかります
    ※計算中にOSをシャットダウンした場合も次回起動時に途中から再開されます
  • パフォーマンスの観点から、オンデマンドスキャンと同時にハッシュ計算を配布しないでください。

クライアントに存在するファイルのハッシュ値を計算していきます。クライアントで計算されたハッシュ値の情報はクライアント側でデータベース化されて保存されます。

AMCのオペレーションマニュアルに従って、AMCにて「ハッシュ計算」の配布を行ってください。


※クライアントの「EDR機能準備状況」ステータスが「準備完了」になっていない場合、ハッシュ計算は実行されません。

なお、「EDR機能準備状況」ステータスの「準備完了」以外のステータスとその対処方法については以下の通りです。「準備完了」になるまで対応を実施してください。

ステータス 状況 対応方法
ポリシーOFF状態 EDRが有効なポリシーが配布されていない状態 EDRが有効なポリシーを配布する
OS再起動待ち 旧バージョンからアップデート後、OSの再起動をしていない状態 該当クライアントのOSを再起動する
ポリシーOFF状態 + OS再起動待ち 上記2つとも発生している状態 EDRが有効なポリシーを配布して、該当クライアントのOSを再起動する


クライアントのハッシュ計算の完了状況は「ハッシュ計算状況」ステータスから確認が可能です。

‼ 重要

必ず「ハッシュ計算状況」ステータスが「準備完了」になることを確認してください。この段階で、EDR機能を利用する準備が完了となります。


3. IoC情報(痕跡情報)の登録

IoCとはIndicators of Compromiseの略で、侵入の痕跡情報という意味になり、組織内で特定のマルウェアに侵入されているかを判断するための情報になります。yaraiではこのIoCの情報としてファイルのハッシュ値(SHA256)の登録が可能になっており、このハッシュ値をベースにクライアント側で検索を実施します。

AMCのオペレーションマニュアルに従って、AMCにて「IoCグループ」の作成とハッシュ値の登録を行ってください。


4. ハッシュ検索

クライアントに対してIoC情報に登録されているハッシュ値を持つファイルが存在しないか検索する命令配布を行います。

AMCのオペレーションマニュアルに従って、AMCにて「ハッシュ検索」の配布を行ってください。


5. レポート生成

実施したハッシュ検索レポートは管理コンソールから確認できます。

AMCのオペレーションマニュアルに従って、AMCにて「レポート生成」を行ってください。


6. 隔離/駆除(マルウェアへの対処)

万一クライアントでマルウェアの存在が確認された場合、マルウェアの対処を行います。ネットワークから隔離する、確認されたマルウェアを駆除するなどの対応を実施してください。

隔離

AMCのオペレーションマニュアルに従って、AMCにて「隔離」を行ってください。

駆除

AMCのオペレーションマニュアルに従って、AMCにて「駆除」を行ってください。


よくあるお問い合わせやトラブルシュート

EDR機能利用後にパフォーマンスへの影響が確認された場合、以下のFAQを参考に切り分けを実施してください。
EDR機能導入後にパフォーマンスが悪化した場合の切り分け方法を教えてください

また、本機能は今後のバージョンで機能追加やパフォーマンス改善が行われる場合があります。随時、以下のFAQも参照してください。
各バージョンで追加された新機能および不具合修正について

それ以外では、以下の参考FAQを参照してください。

この内容は参考になりましたか?
  • このフォームにお寄せいただいたご意見への回答は行っておりません(回答が必要な場合は販売店までお問い合わせください)
  • お名前、ご連絡先等の個人情報は入力しないようお願いいたします
  • 250文字以内でご記入をお願いいたします
ご回答いただきまして、ありがとうございます。
今後の参考にさせていただきます。
Powered by i-ask
pagetop