セキュリティ侵害インジケーター(IOC)のスキャン
セキュリティ侵害インジケーター(IOC)とは、コンピューターへの認証されないアクセス(コンピューターの侵害)の痕跡を示すオブジェクトまたは活動に関する一連のデータです。たとえば、システムへのログインを複数回失敗すると、セキュリティ侵害インジケーターの構成要素となります。IOC スキャンタスクは、コンピューターのセキュリティ侵害インジケーターを検索し、脅威への対応方法を確立するのに役立ちます。
Kaspersky Endpoint Security は IOC ファイルを使用して侵害インジケーターを検索します。IOC ファイルは、本製品が検知の判断時に一致させる一連のインジケーターを含むファイルです。IOC ファイルは OpenIOC 標準に準拠している必要があります。
IOC スキャンタスクの実行モード
Kaspersky Endpoint Detection and Response を使用して、侵害されたデータを検知する標準の IOC スキャンタスクを作成できます。標準の IOC スキャンタスクは Web コンソールで手動で作成および設定されたタスクまたはタスクのグループを意味します。タスクは、ユーザーが準備した IOC ファイルを使用して実行されます。手動で侵害インジケーターを追加する場合は、IOC ファイルの要件を参照してください。
以下のリンクをクリックしてダウンロードできるファイルには、すべての OpenIOC 標準の IOC タームの一覧が含まれています。
こちらのリンクから IOC_TERMS.XLSX ファイルをダウンロードできます
Kaspersky Endpoint Security は、本製品が Kaspersky Sandbox ソリューションの一部として使用されている場合はスタンドアロンの IOC スキャンタスクをサポートします。
IOC スキャンタスクの作成
IOC スキャンタスクは、手動で作成することができます:
- アラートの詳細(EDR Optimum のみ)で作成する。
アラートの詳細(Alert details)は、収集済みの検知した脅威に関する情報を全体的に表示するツールです。アラートの詳細には、コンピューター上に表示されるファイルの履歴が含まれます。アラートの詳細の管理について詳しくは、Kaspersky Endpoint Detection and Response Optimum のヘルプおよび Kaspersky Endpoint Detection and Response Expert のヘルプを参照してください。
- タスクウィザードを使用する。
EDR Optimum のタスクは、Web コンソールおよび Cloud コンソールで設定できます。EDR Expert のタスク設定は Cloud コンソールのみで使用可能です。
[IOC スキャン]タスクを作成するには:
- Web コンソールのメインウィンドウで、 [デバイス] → [タスク]をクリックします。
タスクのリストが表示されます。
- [追加]をクリックします。
タスクウィザードが起動します。
- タスクの設定を指定します:
- アプリケーションドロップダウンリストで、Kaspersky Endpoint Security for Windows (12.6)を選択します。
- [タスク種別]から[IOC スキャン]を選択します。
- [タスク名]に簡潔な内容を入力します。
- [タスクを割り当てるデバイスの選択]ブロックで、タスク範囲の指定方法を選択します。
- タスク範囲の指定方法に応じて、対象デバイスを選択します。次の手順に進みます。
- タスクの実行に使用するユーザーアカウントの認証情報を入力します。次の手順に進みます。
既定では、Kaspersky Endpoint Security はタスクをシステムユーザーアカウント(SYSTEM)として開始します。
システムアカウント(SYSTEM)にはネットワークドライブの IOC スキャンタスクを実行する権限がありません。ネットワークドライブに対してタスクを実行する場合に、そのドライブにアクセス権のあるユーザーアカウントを選択してください。
ネットワークドライブのスタンドアロンの IOC スキャンタスクには、タスクのプロパティで、そのドライブにアクセス権のあるユーザーアカウントを手動で選択する必要があります。
- ウィザードを終了します。
タスクのリストに新しいタスクが表示されます。
- 新しいタスクをクリックします。
タスクのプロパティウィンドウが表示されます。
- [アプリケーション設定]タブを選択します。
- [IOC スキャン設定]に移動します。
- 侵害インジケーターを検索するために IOC ファイルを読み込みます。
IOC ファイルの読み込み後、IOC ファイルのインジケーターのリストが表示できます。
タスク実行後の IOC ファイルの追加または削除は推奨されません。前回実行された IOC スキャン結果が正しく表示されないことがあります。IOC ファイルの侵害インジケーターを検索するには、新しいタスクを追加するようにしてください。
- IOC 検知時の動作の設定:
- コンピューターをネットワークから分離する:このオプションを選択した場合、Kaspersky Endpoint Security は脅威の拡散を防ぐためにコンピューターをネットワークから分離します。分離時間はEndpoint Detection and Response コンポーネントの設定で設定できます。
- コピーを隔離に移動し、オブジェクトを削除する:このオプションを選択した場合、Kaspersky Endpoint Security はコンピューターで検知された悪意のあるオブジェクトを削除します。オブジェクトを削除する前に、後で復元する必要があった場合に備えて Kaspersky Endpoint Security はオブジェクトのバックアップコピーを作成します。バックアップコピーは隔離に移動されます。
- 簡易スキャンを実行する:このオプションを選択した場合、Kaspersky Endpoint Security は簡易スキャンタスクを実行します。既定では、カーネルメモリ、実行中のプロセスおよびスタートアップオブジェクト、ディスクブートセクターをスキャンします。
- [詳細]に移動します。
- タスクの一部として分析される必要のあるデータ種別(IOC ドキュメント)を選択します。
Kaspersky Endpoint Security は、読み込まれた IOC ファイルの内容に従って IOC スキャンタスク用のデータ種別(IOC ドキュメント)を自動で選択します。選択されたデータ種別の選択解除は推奨されません。
次のデータ種別に対してスキャン範囲を追加で設定できます:
- ファイル - FileItem:事前定義された範囲を使用してコンピューター上の IOC スキャン範囲を設定します。
既定では、Kaspersky Endpoint Security はコンピューターの重要な領域(ダウンロードフォルダー、デスクトップ、一時的なオペレーティングシステムのファイルがあるフォルダーなど)のみの IOC をスキャンします。スキャン範囲を手動で追加することもできます。
- Windows イベントログ - EventLogItem:イベントが記録された際の時間周期を入力します。IOC スキャンに使用する必要のある Windows イベントログを選択することもできます。既定では、次のイベントログが選択されています:アプリケーションイベントログ、システムイベントログ、セキュリティイベントログ。
Kaspersky Endpoint Security はデータ種別Windows レジストリ - RegistryItemに対しては、レジストリキー一式をスキャンします。
- ファイル - FileItem:事前定義された範囲を使用してコンピューター上の IOC スキャン範囲を設定します。
- コンピューターのプロパティウィンドウで、[スケジュール]タブを選択します。
- タスクのスケジュールを設定します。
このタスクでは Wake-on-LAN は使用できません。コンピューターの電源がオンになっていて、タスクを実行できることを確認してください。
- 変更内容を保存します。
- タスクの横にあるチェックボックスをオンにします。
- [開始]をクリックします。
Kaspersky Endpoint Security はコンピューター上にある侵害インジケーターの検索を実行します。[結果]のタスクのプロパティでタスクの結果を確認できます。[アプリケーション設定]→[IOC スキャン結果]の順に選択して、タスクのプロパティで侵害インジケーターに関する情報を表示することができます。
IOC スキャン結果は 30 日間保持されます。この期間を経過すると、Kaspersky Endpoint Security は最も古いデータを自動的に削除します。