運用ツールで、安定的にインフラを活用できるかというソリューションも含む。PROTECTIONと言うキャッチで売っている)SandBlastには、何が含まれているか2種類のエンジンがある。・ThreatEmulation(3-4年製品として続いているSandBox機能)・ThreatExtraction(メール無害化)CheckPoint社の製品は、SoftWareBladeという製品名称に表現されるようにセキュリティ機能ごとにバラ売りで提供するのが通常だったのがSandBlastについては、2つのソリューションを併せたライセンス商材としている。機能を削っての販売はしない。要らない物を不要な料金で買わされるという印象を持つのではなくサンドボックスをご利用いただいたお客様が、もれなくもう片方も使えるようになったという考え方に近い。【ThreatExtraction】の説明ThreatExtractionとは、新しく始まるメール無害化のソリューションである。・ThreatExtractionのキャッチフレーズ未然にゼロ秒でゼロ・マルウェアに従来のSandBox機能では、マルウェアかどうかの判定をしていた。→Extractionは判定をしていない。元の添付ファイルなどのドキュメント、があってマルウェア判定をせずに(ドキュメントを再構築。無害化処理には・javaスクリプトのような、アクティブコンテンツを除去する。・データ情報だけを新しく再構築するという動きがある。文書ファイルについてくる、マルウェアが動きうるフィールドを削りましょうという製品である。デメリットはないのか?期待しない動きはしないようになるのではないか。業務に影響が出てこないのか?→メーカーが考えている限りは、処理の最後に(宝情報推察の補足:添付ドキュメントが画面出力されるであろう最終結果の直前で)無害化を働かせるような工夫はしている。なんでもかんでもPDFにしてしまう。・元々のフォーマットを維持しながら、アクティブコンテンツを除去する。→PDFをおすすめする。7%を放置するつもりは無いエクスプロイト(宝情報補足:ウイルス感染させる、段階的な仕組みの中のひとつ)する動きを止めるように、ThreatExtractionだけでなく、CP社の別の製品との組み合わせを推奨している。いう機器構成で導入するのか。メールをリレー、中継するサーバ)として構成する必要がある。対象となる文書ファイルを、中継の過程で脅威を取り除いた後にメール利用者に届ける。リレーサーバのひとつとして、メールがやってきて内部のメールサーバがあって、リレーをする。その途中にスキャンや無害化を施す。現在、SMTPプロトコルに対応している。HTTP/HTTPSにも、対応予定(機能拡張予定で、既に購入済みの顧客に対してライセンス買い増ししていただくなどは考えていない)現在の対応添付ファイルの形式が以下の通りpdf/doc/docx/xls/xlsx/ppt/pptx/dot/docm/dotx/dotm/xltx/xlsm/xltm/xlsb/xlam/xlsb/xlam/pps/pptm/pot/potm/ppam/ppsx/ppsm/fdfチェックが要る要らないの選択をお客様ポリシーにあわせてオンオフ設定する。従来のOSレベルのThreatEmulationは、マルウェアが現在動いている動作を検知して防御するような、所謂[振る舞いの検知]をしている。Emulationが監視出来るネットワーク範囲内で、ファイルが動いてはじめて検査が出来る。・どういった、仮想OSへのレジストリへの操作があったのか。・OSが動作しているソフトに寄ってどういう通信をしているのか・OS内で動作するソフトが、どのようにOSのシステムファイルやデータファイルを変更したかといった動きをOS(ThreatEmulationはWindowsなどOSのようにふるまう)の空間上で見ていた。最近は、攻める側も、いたちごっこの繰り返し。サンドボックスのセキュリティが存在することを認知して、回避してくるマルウェアも出現している。(サンドボックスである事をマルウェア側が認識すると、マルウェアが動作しない)そのため、OSレベルではなく、CPUレベルでの検知と、防御が必要になってきている。感染の手順の説明サンドボックスも、従来は、4段階目のマルウェアしか対応していない。Exploitの時点で止めるようになっている。OSレベルでは、動的な検査をするのに対してCPUレベルでは静的なチェックをする。変なメモリアドレスにアクセスしてないかなど、コードをチェックする。CPUのデバッグモードや、APIをつかって、連携している。intelのCPUをつかったアプライアンスである事をフルに利用して連携をしている。この技術は、他のサンドボックスにはない。Exploitをここで止める。ことにより[100点満点に近づけて行く。]サンドボックスのエンジンはThreatEmulation44種類のファイルに対応(当日紹介されていたのは下記39種類)pdf/doc/docx/xls/xlsx/ppt/pptx/exe/tar/zip/rar/Seven-Z/rtf/dot/docm/xlt/xlm/xltx/xlsm//xltm/xlsb/xla/xlam/xll/xtw/pps/pptm/potx/potm/ppam/ppsx/ppsm/sldx/sldm/csv/scr/swf/hwp/jarThreatEmulationのログ確認など検査結果レポートを取得可能(OSタイプごとに取得可能)もちろん、サマリも表示はされる。PROTECTION]のソリューションを提供している。シナリオ】ThreatEmulationを既に使用しているお客様で漠然と感じている不安が通販の問い合わせ窓口、コールセンターなどの人員Web通販で、顧客とのやり取りに、メールをうける。受付担当の人がメールを開く。事業がクリティカル(致命的)になりうる。振るまい検知を目的としてSandBox(ThreatEmulation)の導入をするも、ファイルが検査される間留められるため通販の受付担当者に届くまでの時間が長いという課題があった。ワンクッション置いて、メールの先頭に添付ファイルのURLリンクを表示する。メール受信者が業務に必要なファイルと判断すればURLのダウンロードリンクをクリックする。(オリジナルのファイルはMTAにたまっている)その時には、受信から少しの時間が経っているためSandboxの検査結果が出ている(ファイルが悪い物かどうか白黒ついている)・黒ならダウンロード出来ない。・白ならそのまま使える。大小4種類サイジング目安は、月刊のファイル検査数で判断。専用機アプライアンスMTAとして構成する。・ThreatExtractionを通過したメール文面、添付ファイルがおかしいファイルと判定が下るとSandBlastによるブロック画面が表示されダウンロードができない様子。・設定した要件を超えてるソフトを使用している旨、報告が管理レポートに上がる様子。画面ショット、どういったマルウェア(悪意のあるソフトウェア)ファイルが動作しようとしているか。レポートより見える様子。対策の仕方がわからない。結果的に、わからない。体制が整わない間に狙われる。いった事がおこっているのかさえわからない。そんな課題に直面されている企業もある。ニュースで、情報漏洩がとりだたされていますが、被害に会った企業は、対策をなにもやっていないわけではない。・ファイアウォールは行ってる・アンチウイルスは行ってるなぜか?抜け道があって、一旦いれて安心してしまい、以降最新の状態に更新していない。(機器リプレイスも含めて)そもそもの意識レベルが低いので、もっと高くして、保つ必要がある。各社は、ポイントポイントで場当たり的に対策しているため、セキュリティポリシーにも一貫性が無く穴がだらけなまま対策している気になっている事がほとんど。多少は領域を重ねながら面で包括的に防ぐようなソリューションの組み合わせが必要。色々な攻撃手法がある。・標的型攻撃は、相手をきめうちする。BOTウイルス感染させてC&Cサーバから、銀行口座情報を抜き出したり。・ランサムウェアは特定サイトに仕込まれて、表示した人をランダムに攻撃する場合もある。・プログラムを遠隔で強制的にダウンロードされて、システムが乗っ取られる被害なども。(といった、第二部は、セキュリティ被害トレンドと、管理ツールのデモご紹介でした。)【質疑応答】(主に第一部にまつわる重要な】質問だけ抜粋しています)Q:SandBlastの機器構成例に、透過モードがあるのかA:透過モードは無い。社外と、社内メールサーバの間に設置し、中継をさせる。Q:ThreatExtractionで、添付ファイルにパスがかけられているものについては処理がどうなるかA:Officeとzipの2種類に分類される。Officeのパスワードが、かかってるものは、無害化出来ない。Officeの保護機能がかかっている事で、ユーザのメール受信を許可するか拒否するかを管理者側で選択は出来る。[Zipファイル]暗号化、zipには、現在非対応。そもそもThreatExtractionはzipに対応していない。解凍しようとする機能は追加しようとしている。・解凍できなかった場合、メールを止めるのか止めないか選択出来るようにする。・解凍出来た場合は、もちろん、スキャンする。今現在のところ、対応している範囲は、[[添付ファイルの]]無害化のところに対する機能であるがメール本文のチェックはしていない。[[添付ファイルのみ]]メール本文などの脅威については、既存のメールセキュリティで、できるであろうとしている。(CP社の各セキュリティサーバを統合管理する、サーバ製品の)Smart-1などにログが格納される。Q:Smart-1には、どれくらいの容量や期間ログが保存されるか。A:Smart-1管理サーバを、アプライアンスで出しているのが、5モデル。管理サーバをソフトウェア供給もしている。するとHDDは積み放題。自由にsyslogサーバを立ててそちらへ、ログの吐き出しが出来る。600アプライアンスをはじめとする、GAiAEmbededと違うところとして[機器のリンクアップ/ダウン]などのシステムログだけでなく[どの機能が働いて、どの動きを防御した]などのセキュリティログが出力出来る。Point社は、大規模向けのセキュリティ対策製品についてはワールドワイドで導入実績No.1のメーカーです。大企業向けの製品(エンタープライズ向け製品)で、脅威になる情報をどんどん回収して小規模向けのUTM製品(CheckPoint700シリーズなど)のマルウェア定義ファイル作成に役立てて行ってます。そのため、小規模製品での検知率の高さや最新のマルウェア対応速度などを謳う事が出来ます。4000シリーズ、後継の5000シリーズを販売していて、導入事例ができましたのでご紹介致します。Tips【SandBlast(サンドブラスト)】標的型攻撃対策セミナー「メール無害化ソリューション」に参加してきました。お問い合わせ代理店様サポート。