ランサムウェア、標的型攻撃に有効な脅威インテリジェンス Threat Detection and Response｜WatchGuard 統合脅威管理（UTM）

ソリューション

ランサムウェア、標的型攻撃に有効な脅威インテリジェンス

ネットワークからエンドポイントまで、脅威情報をスコアリングするThreat Detection and Response
～脅威インテリジェンスを活用した脅威検知・レスポンスの自動化ソリューション～

2017年にランサムウェアワームが登場し、ランサムウェアの拡張が加速する。

CodeRedやConfickerなどのネットワークワームに見られる自動増殖の特性をサイバー犯罪者が使うようになることで、2017年はランサムウェアが新たなレベルへと進化するでしょう。ランサムウェアが自己複製を無限に繰り返してネットワーク全体に感染が拡散するような状況は想像したくありませんが、自己増殖型ランサムウェア、すなわち、ランダムワームが登場して大混乱するようになるのは時間の問題です。

エンドポイントまで可視化を拡張

ネットワークとエンドポイント、それぞれで検知した脅威に関する情報をクラウドの共有基盤に集約して解析
（脅威情報をスコアリング）

TDR (Threat Detection Response) インシデント・レスポンスの自動化

ネットワークとエンドポイントの相関分析

【図】インテリジェント防御の実現

TDR動作概要

【図】脅威情報のクラウド共有基盤

インシデント

【画面】脅威情報のクラウド共有基盤、同期／管理

ネットワークセンサーとホストセンサーの検知イベントをホスト単位に表示
相関分析により、脅威度をスコアリング

Hostセンサー

脅威検知情報をクラウドの共有基盤に集約し、ネットワークとエンドポイントを相互に相関付け
重要度を表示、気づかなかった脅威や脆弱性を早期に発見

【図】脅威情報のクラウド共有基盤

ベースラインサーベイ･･･インストール／バージョンアップ／サービス起動時に、ホストの情報を取得してThreat Syncへ送信
－特定フォルダ内の実行ファイル情報を取得（ファイル名、MD5ハッシュ値、タイムスタンプ、パスなど）
－レジストリ情報を取得（キー名、値、パス）
－プロセス情報を取得（プロセスID、プロセスの振舞いなど）
Heart Beatによる同期（https通信）

30秒間隔でThreat SyncへHeart Beatを送信し同期

レジストリ値の差分情報を定期的に取得し送信
サポートOS
－Windows 7
－Windows 8.1
－Windows Server 2003 R2
－Windows Server 2003 SP2
－Windows Server 2008 R2 SP1
－Windows Server 2008 SP2
－Windows Server 2012 R2
－Windows 10
－RedHat / CentOS 6 Linux

ThreatSync™　脅威のスコアリング

【図】ThreatSync™ 脅威のスコアリング

脅威を早期に発見、レスポンスを自動化

ThreatSync™は、脅威を継続的に分析して、重要度に基づきスコアと優先順位付けを行う

ポリシーベースの修復は、修復までの時間を短縮し、人的リソースの必要性を最小限に抑えることが可能

Hostセンサー　－Host Ramsomware Prevention

ランサムウェアに特化した振舞い検知エンジンを搭載
保護機能により、ランサムウェアによる暗号化プロセスをインジェクション

ランサムウェアがファイルを暗号化する前に、プロセス停止し感染を防御

脅威の未然対応および拡散阻止

脅威検知とレスポンス（自動化）
ThreatSync™でスコアリングされた脅威フィード（MD5ハッシュ値)は, Host Sensor間で共有されマルウェアの感染を未然に防御

＜ポリシー＞

・スコア6以上の脅威に自動レスポンス（検疫、プロセス停止、レジストリ削除）するようポリシーを作成

・営業部A氏のPCでファイルAがダウンロードされ、その時点ではファイルを実行せずにスコア2と判定

・技術部B氏のPCでファイルAが実行され、その振舞いによりスコア6と判定

・営業部A氏のPCでベースラインサーベイが実行され、ファイルAのMDハッシュ値をThreatSyncへ送信

・スコア6以上の脅威検知としてイベントが識別され、ポリシーにより自動レスポンスを実行

・スコア6以上の脅威が実行される前に未然にレスポンス対応
・脅威がネットワークに拡散されることを阻止

TDRが防御する攻撃ステップの範囲

【図】TDRが防御する攻撃ステップの範囲

TDRは、Total Securityに標準で含まれます

１つのアプライアンスと１つのパッケージで包括的なセキュリティ対策を実現

製品	Support	Total Security	Basic Security
ステートフルファイアウォール	〇	〇	〇
モバイルVPN	〇	〇	〇
ブラウンチオフィスVPN	〇	〇	〇
アプリケーションプロキシ	〇	〇	〇
不正侵入検知・防御（IPS）		〇	〇
アプリケーションコントロール		〇	〇
URLフィルタリング（Web Blocker）		〇	〇
スパム対策（spamBlocker）		〇	〇
ウィルス対策（Gateway AntiVirus）		〇	〇
レピュテーションセキュリティ（RED）		〇	〇
Network Discovery		〇	〇
標的型攻撃対策（APT Blocker）		〇
情報漏えい防止（DLP）		〇
Dimension Command		〇
Threat Detection & Response		〇
サポート	スタンダード（24x7）	ゴールド（24x7）	スタンダード（24x7）