サンドボックス環境でファイルをスキャンする

サンドボックス環境は、ファイルを安全に実行し、分析して高度な脅威保護を提供するための環境です。この記事では、サンドボックス環境の説明とその有効化方法を詳述しています。

概要

サンドボックス環境は、隔離された安全な仮想環境であり、潜在的に悪意のあるファイルが実行・分析され、ネットワークにリスクを与えないようにします。これにより、包括的なマルウェア調査のための詳細なフォレンジック分析が提供されます。

ファイルがサンドボックス環境で実行・分析されると、包括的なレポートが生成され、CMAでダウンロード可能になります。このレポートには、ファイルの潜在的リスクの全体像を提供するための静的および動的分析の両方が含まれています。サンドボックス分析レポートの理解を参照してください。

サンドボックス環境は、高度な脅威保護ライセンスでのみ利用可能です。詳細情報については、営業担当者にお問い合わせください。

サンドボックス環境でファイルをスキャンする

マルウェア対策ポリシーで悪意のある、または疑わしいと特定されたすべてのファイルは、自動的にサンドボックス環境でスキャンされます。サンドボックス環境を有効化すると、デフォルトANY - ANYルールで不審および悪意のあるファイルをブロックするアクションがBlock & Scanに変更されます。

特定のファイルをサンドボックス環境でスキャンするためにアップロードすることもできます。

ファイルは仮想Windows 10 OS環境でスキャンされます。

静的および動的分析の理解

サンドボックス環境では、ファイルが静的および動的分析によってスキャンされます。これにより、既知および未知の脅威の広範な検出が保証されます。

静的分析

静的分析は、機械学習(ML)モデルを活用して、ファイルの特性を実行せずに分析し脅威を検出します。サンドボックス環境の静的分析：

ファイルのメタデータと埋め込まれた属性をスキャン
署名、ファイル操作、PEヘッダー、および行動特性に基づいて既知の脅威を迅速に検出

動的分析

動的分析は、ファイルを隔離された環境で実行し、その行動を観察して悪意のある活動を検出します。サンドボックス環境の動的分析：

リアルタイムでファイルの行動を観察し、回避的または未知の脅威を特定
静的分析で検出を回避する多型脅威を含む高度なマルウェアを検出

ユースケース

詳細なフォレンジック分析

ABC社は、検出専用のマルウェア対策ソリューションに依存しています。これでは脅威の操作方法への可視性が提供されず、攻撃戦術、ペイロードの行動、または潜在的なシステムへの影響を十分に理解することを妨げます。

この問題に対処するために、脅威分析機能を向上させるサンドボックス環境を有効化します。疑わしいファイルが検出されると、それは自動的に静的および動的分析のためにサンドボックス環境に送信されます。サンドボックス環境は、予期しないネットワーク接続、重要なファイルの変更試行、または権限昇格の試みなどの活動を監視します。

スキャンレポートから会社は次のことができます：

詳細な洞察を得て根本原因を調査
攻撃がシステムに与える全体的な影響を理解
MITRE ATT&CKなどのフレームワークに行動をマッピングし、構造化された対応を行います。

サンドボックス環境を使用することで、検出までの平均時間と対応までの平均時間を短縮し、全体的なセキュリティ体制を強化します。

制御された環境で疑わしいファイルをテストする

ABC社の従業員は、疑わしいファイルが添付されたメールを受け取り、マルウェア対策ポリシーによってブロックされました。従業員は、ファイルが安全であると主張し、ITセキュリティチームにアクセスを希望しました。

従業員にファイルへのアクセスを提供する前に、それをサンドボックス環境にアップロードして、制御された環境で実行します。

サンドボックス環境での動的分析により、ファイルが権限昇格の技術を試みたことが識別され、悪意のある判定が下されています。 ITチームはファイルへのアクセスを提供せず、潜在的な攻撃を回避します。

サンドボックス環境の有効化

このサンドボックス環境は、マルウェア対策ポリシーから有効化されます。

サンドボックス環境を有効化するには：

ナビゲーションメニューから、セキュリティ > マルウェア対策 をクリックします。
サンドボックストグルを有効にします。

サンドボックス環境で特定のファイルをスキャンする

疑わしいと思われる特定のファイルを調査・分析するには、手動でサンドボックス環境にアップロードします。ファイルをアップロードした後、レポートが生成されます。

特定のファイルをスキャンするには：

ナビゲーションメニューから、セキュリティ > サンドボックスレポートをクリックします。
ファイルをアップロード & レポートを生成をクリックします。
ファイルのアップロードパネルが開きます。
スキャンしたいファイルをアップロードします。
ファイルをアップロード & レポートを生成をクリックします。

パスワードで保護されたファイルのスキャン

攻撃者は、セキュリティスキャンを回避するために、しばしばパスワード保護されたアーカイブとOfficeドキュメント内にマルウェアを仕込みます。サンドボックス環境がサポートされているタイプの暗号化されたファイルを受信すると、一般的にマルウェアキャンペーンで観察された事前定義されたパスワードリストを使用してファイルを開くことを試みます。いずれかのパスワードが成功した場合、ファイルコンテンツが抽出され、標準的な静的解析および動的解析で分析されます。

サンドボックス環境でのパスワード保護されたファイルのスキャンの事前定義されたパスワードのリストを見るには（この記事を見るためにはログインが必要です）。

サンドボックス環境のテスト

サンドボックス環境をテストし、サンプルレポートを受け取るには、この記事の下部にあるzipファイルを手動でサンドボックス環境にアップロードしてください。このファイルはマルウェアテストファイルです。

サンドボックスファイルの要件

サンドボックス環境は以下のファイルタイプをサポートしています：

PE / 32ビット & 64ビット、EXE & DLL
Office文書 / OLE & Open XMLフォーマット
RTF文書
PDF文書
スクリプト / Javascript(JS/JSE/WSF)、Visual Basic Script(VBS/VBE)、PowerShell
Java / JARファイル
Windowsショートカット / LNK & URLファイル
Windowsバッチ / BATファイル
アーカイブまたは圧縮タイプ
7-zipアーカイブ
aceアーカイブ
arjアーカイブ
bzip2圧縮
gzip圧縮
lha 1.x & 2.xアーカイブ
microsoftキャビネットアーカイブ
tarアーカイブ
posix tarアーカイブ
rarアーカイブ
xz圧縮
zipアーカイブ
iso 9660 cd-rom
.app (macOSは静的分析のみサポート)
.dmg (macOSは静的分析のみサポート)

既知の制限

100MBを超えるファイルはサポートされていません。