Deutschこの文章では、お客様が検出に誤りがあると考えられる場合に、検出の調査を行うためにお客様が実行できる手順について説明しています。割合をできるだけ低くしながら、悪意のあるアクティビティに対する検出率を可能な限り高めることを目的にしていますが、検出に誤りが発生する可能性は常に存在します。ここではお客様が誤検知を調査し、それらの解決や報告を行う上での役立つアドバイスを記載しています。以下の内容について説明します。検出に誤りがあると考えられるためにお客様が調査を行う場合、検出されたファイルが正規のアプリケーションの一部であったり、検出があった後でユーザーがデバイスに関して問題を報告してきたので検出を確認するということが多いです。すべての検出を悪意のあるものとして扱い、それらが完全に安全であることが確認できるまではお客様の環境では認証しないことが重要です。検出において、これらは悪意はありませんが、企業ネットワーク上で実行する必要のないものである可能性があります。検出は次のような名前を持ちます。悪意のあるものではないため、これらのアプリケーションをお客様の環境に保持しておくかどうかはお客様の判断になります。詳細については、不要と思われるアプリケーション(PUA)とは?をご覧ください。調査する必要のある悪意のある検出には、次の例にような検出名がつきます。ML/PE-AMal/Generic-*C2/Generic-*CXmail/*検出のコンテキストを理解するお客様が検出を調査する場合、検出されたファイルに関してお客様がそのような情報やコンテキストを理解しているかということが重要になります。下記の表は悪意のあるファイルとクリーンなファイルに関する指標を示しています。これらの指標はあくまで目安をとして使用することが重要で、ファイルに実際に悪意があるか、クリーンであるかの確証として使用するものではありません。ファイルはクリーンであるすべての指標を示している場合でも、悪意のあるファイルである場合があり、また反対にクリーンなファイルでありながら疑わしい指標を多数示す場合もあります。未知なファイルが検出され、次の例のようなランダムな名前を持つ。34g6i2.exe7669727573.exedmlydXM=.dll正規のアプリケーションに属する既知のファイルの検出*。場所にある実行可能ファイル。C:\Users\<username>\AppData\Local\TempC:\Users\<username>\DesktopC:\Windows\Temp検出された場所またはアプリケーションに関連する名前を持つ実行ファイル。Setup.exe検出時またはその直後に作成されたファイルの検出。数週間または数ヶ月など長期間デバイス上にあったファイルの検出。同じデバイス上のその他の最近の検出。(新しいウイルス対策ソフトウェアのインストールを含む)。(この確認方法については下記を参照)。(確認方法については下記を参照)。正規のアプリケーションは定期的に悪意のある攻撃者の攻撃対象となっており、たとえば、攻撃者はこれらのアプリケーションに悪意のある動作を行わせるためにエクスプロイトを使用したりコードを注入しています。お客様の場合、検出が報告される脅威ケースが作成されます。脅威ケース」の順に選択して確認できます。脅威ケースでは検出のコンテキストとファイルがエンドポイントに侵入した根本原因に関する情報が提供されます。これによって、お客様のネットワークが直面している脅威を理解できるばかりでなく、攻撃対象となる箇所を減らすための改善点を理解するのにも役立ちます。実例と含む脅威ケースの詳細については、次をご覧ください。(左から右への順で説明します)。して表示され、このことからユーザーがメールを受け取ったことから始まった可能性が高いことが分かります。よって書き込まれます。開かれた可能性があることを示唆しています。含まれていたマクロを有効にしてことを示しています。すべての正規のアプリケーションですが、この脅威ケースは次のような情報を提供しています。根本原因はメールで、このメールはお客様のメールスキャン製品では阻止されませんでした。ユーザーはメールが疑わしものであることに気づかずに、ドキュメントを開いた上で、その中にある悪意のあるマクロを有効にしました。実行を許可されており、これはアプリケーションコントロールによってブロックできた可能性のあるものです。脅威ケースの詳細とその他の例については次の文章をご覧ください。他のウイルス対策ベンダーがファイルを検出しているかどうか確認する手順ファイルが悪意のあるものであるかどうかについて情報を得るために、ソフォス製品による検出内容を他のウイルス対策ベンダーの検出内容と比較することが役立つ場合があります。サイトでは、こうした内容をテストするのに大変役立つリソースが提供されています。URL/ドメインのサービスに対して検査します。どのように捉えるかの指標に過ぎず、ファイルが悪意のあるものか、クリーンなものかの確証として使用すべきではありません。他のすべてのベンダーが同じファイルを検出したとしても、それらが誤りである可能性もあります。同様に他のいずれのベンダーも検出していなくてとも、新しいゼロデイ攻撃であるために検出されておらず、クリーンなファイルではない可能性もあります。2つの方法は次のようになります。(ドラッグアンドドロップでもアップロードできます)。ファイルが削除または既にクリーンアップされている場合、アップロードするためのコピーがないことがあります。ハッシュを使用することをお勧めします。ハッシュを見つけることは通常は簡単ですが、詳細については次の文章をご覧ください。それをアップロードするのが最も簡単な方法です。お客様がこれを実行できない場合には、ソフォスのテクニカルサポートにお問い合わせください。1つとなる可能性があります。ウイルス対策ベンダーがファイルを検出しているこれはファイルが悪意のあるもので、お客様の環境から削除する必要があること強く示す指標です。誤検知という可能性もありますが、その可能性は低いので、最初にソフォスのテクニカルサポートに問い合わせずに、このファイルを認証するようなことはお勧めできません。(マルウェアの判別には多くのグレーな領域があります)。ファイルはクリーンでありながら、少数のベンダーが誤ってそれを悪意のあるファイルとして検出している可能性もあります。このシナリオでは、お客様がご存知のベンダーで評価の安定しているベンダーの判断を参考にするというのが適切です。会社が検出てしているというのがより良い指標となります。ことを強く示す指標であり、お客様の環境に保持していても安全である可能性が高いです。ファイルが疑わしいと考えられる場合は、ソフォスに解析を依頼するためにこちらのページから提出してください。お客様が検索しているファイルがない多くのマルウェアの亜種は検出を避けるために定期的に変更とアップデートを行っており、また攻撃ごとに固有のファイルである場合もあるため、このことはファイルが悪意のあるものである可能性を示唆しています。このことはファイルがクリーンであるが固有のファイルであることも意味している可能性があります。ファイルのような場合です。ファイルのコンテキストを理解することも役に立つ場合があります。使用しているお客様は、クリーンアップを行った後でもファイルを復元できます。この機能によって、ファイルがマルウェアとして不正に検出されて削除された後でも、ファイル、ファイルに関連する権限、レジストリキーなどを復元できます。ドキュメントやスクリプトは復元できません。検出後にファイルを復元するには以下を実行します。検出が行われたデバイスを見つけます。「イベント」タブを選択します。(クリーンアップイベントではなく、検出された場所に関するイベントである必要があります)。右側に「詳細」のオプションがある場合には、ファイルが復元可能であることを意味しています。「詳細」オプションを選択すると「イベントの詳細」画面が表示されます。ここには検出、ファイル、その場所に関する情報が表示されます。ハッシュの情報も表示されます。提出する場合や、このファイルに関してソフォスのテクニカルサポートに問い合わせを行う場合にもこの情報が役立ちます。ファイルが電子的に署名されている場合、証明書の詳細も表示されます。以下によって許可を行うオプションがあります。このファイルとこの検出の一部としてクリーンアップされたすべてのコンポーネントが復元されます。パスはその場所で検出およびクリーンアップされたファイルを復元します。検出されクリーンアップされた同じデジタル署名によって署名されたすべてのファイルが復元されます。アプリケーションの許可を行うと、「許可するアプリケーション」のセクションへのリンクを含む確認メッセージが表示され、このセクションを使用して以前に許可されたアプリケーションの確認や禁止を行うことができます。注:ファイルが電子的に署名されたものである場合にのみ証明書のオプションは表示されます。ソフォスでは安全であることが確認されない限り、アプリケーションの許可は行わないことをお勧めします。以下によって許可を行えます。そのハッシュを持つすべてのファイルがお客様の環境のすべてのデバイスにおいて再度検出されることがなくなります。特定の場所にある同名のファイルがホワイトリストに登録されます。(例:SHA-256が変更された場合)。この証明書によって電子的に署名されたすべてのファイルをホワイトリストに含めます。これは、アプリケーションのファイルに署名している正規のアプリケーションが、検出されないようにするのに役立ちます。使用するのが安全です。管理の環境全体で許可されることになります。複数のデバイスが同じファイルを検出していた場合には、それらすべてが復元されることを意味しています。テクニカルサポートまでお問い合わせください。検出に関する説明ソフォスのファイル検出テクノロジーの比較ご意見・お問い合わせこの文章に関して誤りやお気づきの点などがございましたら、下記のセクションを使用して、この文章に関する評価とコメントをお知らせください。お客様からの貴重なフィードバックは、有用な情報を引き続きお客様にご提供させていただくために活用させていただきます。%>Anonymous-ja-JP。