概要
Cato脅威防止はクラウドネイティブのセキュリティサービスであり、Cato Cloud内でWANおよびインターネットトラフィックを検査し、悪意のあるファイル、マルウェア、ネットワークを基にした攻撃、およびその他のセキュリティ脅威を検出しブロックします。 脅威防止はトラフィックを安全にするために、マルウェアを防ぐこと、悪意のあるドメインや宛先をブロックすること、エクスプロイトの試みとその他の攻撃活動を検出することで、ユーザーやリソースへの影響が出る前に脅威を阻止することを助けます。 この保護をリモートブラウザ隔離（RBI）などの高度な脅威防止サービスで拡張できます。これにより、Webセッションをユーザーのデバイスから隔離し、疑わしいファイルを隔離された環境で深い分析を行います。
より強力な脅威保護のための共有コンテキスト
Catoのセキュリティエンジンは単一のクラウドネイティブサービスで連携し、より正確な検出、一貫性のある施行、脅威ライフサイクル全体を通じて強力な保護を提供します。 エンジンは孤立した決定を下すのではなく、同じトラフィックを検査し、複数の保護層にわたって共有された分析を基にしています。 この統合アーキテクチャは、セキュリティコントロール間の調整を向上させ、脅威が広がったり被害をもたらしたりする前に停止することを助けます。
関連する記事
脅威防止におけるAIおよび機械学習
Cato脅威防止は、AIと機械学習をサービスインフラストラクチャの一部として使用して、脅威インテリジェンスを向上させ、検出の質を強化します。 これには、AIベースのIOC分類、トラフィックメタデータの機械学習分析、IPSにおける脅威保護、動的防止における行動に基づく予測分析が含まれます。 これらの機能はすべて一体となって保護エンジンを強化し、Catoが既知および未知の脅威をより効果的に特定するのを助けます。
TLSインスペクション
完全な脅威検査にはTLSインスペクションが必要であり、暗号化されたトラフィックにも分析が行われるようにします。
Catoはトラフィックをインラインで復号化、検査、再暗号化し、脅威防止と高度な脅威防止サービスが暗号化されたトラフィック、マルウェア対策、IPS、サンドボックスを含む分析を行えるようにします。 これにより、暗号化セッションへの脅威検査が拡張され、すべての保護層によってより多くのトラフィックが評価されることが可能になります。 細粒度の検査とバイパスルールは、検査するべきではないトラフィックを除外しつつ、セキュリティカバレッジを維持することに役立ちます。
TLSインスペクションは正当なサイトでのユーザーエクスペリエンスに影響を及ぼす可能性があるため、CatoはTLSインスペクション設定ウィザードを提供し、推奨される検査およびバイパスルールを迅速に展開しつつ、環境に合ったポリシーをカスタマイズするのに役立ちます。
Cato Cloudをバイパスするトラフィック
脅威防止エンジンはCato CloudのPoPsで実行され、そこを通過するトラフィックのみを検査します。 MPLSトラフィックやサイトやクライアントから直接パブリックインターネットに流出するトラフィックなど、Cato Cloudをバイパスするトラフィックは、脅威防止や高度な脅威防止サービスによって検査されません。 このトラフィックはCatoのインライン脅威検査の範囲外です。
関連する記事
脅威保護サービス
これらのサービスは、シグネチャに基づく検出、行動分析、および機械学習を組み合わせて、既知および未知の脅威を識別するために連携して階層的な保護を提供します。 これらすべてがCato Cloudで単一のセキュリティアーキテクチャの一部として動作するため、各層がより広範で協調的な脅威活動のビジョンに寄与します。 CMAでの集中管理により、ポリシーを簡単に設定し、イベントを監視し、すべての保護されたトラフィックに対する可視性を維持できます。
侵入防止システム（IPS）
Cato IPSは、既知の脆弱性、ボット、悪意のあるトラフィック、およびその他のネットワークベースの攻撃からアプリケーション、デバイス、およびネットワークサービスを保護するために、インバウンド、アウトバウンド、およびWANトラフィックを検査します。 このサービスには、評判分析、既知の脆弱性保護、アンチボット検出、ネットワーク行動分析、プロトコル検証、地理的制限、トンネリング攻撃検出など、複数の保護層が含まれています。
IPSシグネチャはCatoのセキュリティ研究により継続的に更新され、IPSポリシーはセキュリティカバレッジと運用の安定性のバランスをとるよう設計されています。 IPSは、ブロックモードでの保護を強制したり、トラフィックをブロックせずに監視したりでき、Cato Cloudを通過するトラフィック全体における既知の脆弱性の悪用を防止するのに役立ちます。
関連する記事
DNSの保護
IPSサービスには、アカウント内のトラフィックのためにDNSセキュリティを施行するためのDNS保護が含まれています。 DNS保護は、接続が宛先と確立される前に、悪意のあるドメインへのDNSリクエストをブロックし、フィッシングやマルウェア配送、コマンド＆コントロール通信などの脅威を攻撃フローの早い段階で阻止します。 DNS層で悪意のあるリクエストをブロックすることにより、DNS保護はペイロード送信前に攻撃を停止し、広範な脅威調査をサポートする可視性を提供します。
特定のDNS保護を有効または無効にして、許可、ブロック、またはシンクホールなどのアクションを各保護に対して定義できます。 シンクホールアクションは、悪意のあるドメインへのDNSリクエストを元の宛先ではなくシンクホールサーバーにリダイレクトします。 これは、内部DNSプロキシを使用する環境を含む、リクエストの送信元エンドポイントを特定するのに役立ち、感染の可能性があるデバイスの検出をサポートします。
関連する記事
疑わしい活動の監視（SAM）
疑わしい活動の監視は、標準のIPSシグネチャでは監視されない、ネットワーク活動の疑わしい活動に対するIPSの可視性を拡大します。 SAMは妥協や侵害を示す可能性のある活動を特定しますが、そのトラフィックが明確に悪意のあるものでないため、トラフィックをブロックせずに監視します。
時間をかけてイベントを相関させることで、SAMはノイズを軽減し、セキュリティチームに初期段階の攻撃活動に対する可視性を向上させます。 これにより、IPS署名ベースの制御では検出されない脅威を識別するのに役立ちます。 これは、直接的な防止をトリガーしない活動の調査コンテキストを追加し、署名ベースの制御だけでは見過ごされる可能性のある脅威を特定するのに役立ちます。
関連する記事
マルウェア対策とNGマルウェア対策
Catoのマルウェア対策とNGマルウェア対策は、悪意のあるファイルがネットワークに侵入することを防ぐための2層の保護を提供します。 両方の層は、WANおよびインターネットトラフィックからファイルを同時にスキャンします。
マルウェア対策は既知のファイル署名とヒューリスティック分析を使用して悪意のあるファイルを検出します。 NGマルウェア対策は、機械学習と予測モデルを使用して、ファイルを良性、疑わしい、または悪意のあるものとして分類し、未知およびゼロデイマルウェアを検出します。 この階層型アプローチは、ランサムウェア、トロイの木馬、その他のコモディティマルウェアをブロックし、ユーザーエクスペリエンスに影響を与えません。
関連する記事
高度な脅威防止
高度な脅威防止サービスは、標準の脅威防止対策をバイパスする可能性のある高度な脅威に対して、追加の保護を提供します。 これらのサービスは、孤立したブラウジング、 高度なファイル分析、行動ベースの防止を通じてCatoの保護を拡張し、高度な攻撃手法の検出と阻止を助けます。
リモートブラウザー隔離（RBI）
RBIはインターネットファイアウォールポリシーの一部であり、ユーザーをウェブやブラウザベースの脅威から保護しつつ、インターネットアクセスをブロックしません。 RBIはユーザーのデバイス上でWebコンテンツをレンダリングする代わりに、ブラウジングセッションをCato Cloud内の隔離された環境で実行し、安全な視覚表現をブラウザにストリーミングします。 これは、ランサムウェア、マルウェア、フィッシング、悪意のある広告、クロスサイトスクリプティング（XSS）などの脅威から保護しつつ、ユーザーがリスクのあるまたは未知のウェブサイトに安全にアクセスできるようにします。 RBIは、ユーザーがセキュリティ制御をバイパスせずにリスクのあるブラウジング活動に対する保護を拡張します。
関連する記事
動的防止
動的防止は行動に基づくセキュリティエンジンであり、検出された脅威に応じて適応的な制御を事前に適用し、攻撃面を減少させ、環境に影響が及ぶ前に脅威を軽減します。 これは、従来のポイント検出とは異なり、より広範囲なコンテキストや、時間をかけて活動を分析することで、正当なツールを使用するか孤立して良性に見える場合に疑わしい行動を識別するのに役立ちます。 異常な行動が検出された場合、動的防止は自動的に一時的な制御を適用し、行動の変化に応じてそれらを調整または解除することができます。
関連する記事
サンドボックス
サンドボックスは、潜在的に悪意のある又は疑わしいファイルをネットワークへのリスク無しに実行および分析する隔離された安全な環境です。 これにより、不明で回避的な脅威を検出するための詳細なマルウェア調査が可能になります。 アンチマルウェアポリシーで悪意のあるまたは疑わしいと識別されたファイルは、サンドボックスで自動的にスキャンされ、特定のファイルを分析のためにアップロードすることもできます。
関連する記事
MITRE ATT&CK®ダッシュボード
MITRE ATT&CKフレームワークは、攻撃者の戦術と技術の知識ベースであり、セキュリティチームが攻撃活動を分類および調査するのに役立ちます。 Cato MITRE ATT&CKダッシュボードは、MITRE ATT&CKフレームワークを使用してネットワークでの攻撃活動に対する可視性を提供します。 これにより、Catoのセキュリティサービスによって検出される脅威をATT&CK戦術と技術にマップし、セキュリティチームが攻撃がどのようにキルチェーンをたどるかを理解するのを助けます。 ダッシュボードには、戦術の概要、技術の内訳、イベントのタイムライン、影響を受けるデバイスなどの分析とビジュアライゼーションが含まれています。 特定の技術やソースを掘り下げ、セキュリティイベントを調査し、環境での攻撃パターンを分析することができます。 これにより、個々の検出と広範な攻撃のストーリーをつなぎ、 セキュリティチームに脅威が環境全体でどのように展開されるかのより明確なビジョンを提供します。