HTTPファイルのダウンロード詳細

このページにアクセスするには、>ファイルの監視>HTTPファイルのダウンロードに移動します。シグネチャIDリンクをクリックして、ファイルのダウンロード詳細ページに移動します。

このページでは、ダウンロードしたファイルの全般、静的分析、動作分析、ネットワークアクティビティ、マルウェアの動作の概要を表示できます。このページはいくつかのセクションに分かれています。

表1:HTTPファイルのダウンロード詳細ページ
ボタン/リンク	目的
誤検知の報告	このボタンをクリックすると、新しい画面が開き、ジュニパーネットワークスにレポートを送信して、誤った位置や誤った検出をジュニパーに通知できます。ジュニパーは報告書を調査しますが、この調査によって判決が変わることはありません。修正(システムをクリーンとしてマーク)を行う場合は、手動で行う必要があります。
STIXレポートをダウンロード	Structured Threat Information eXpression(STIX)レポートが利用可能な場合、このページにダウンロードリンクが表示されます。リンクをクリックして、レポートをJSON形式またはXML形式でダウンロードします。デフォルトでは、レポートはSTIX 2.1 JSON形式でダウンロードされます。XMLバージョンは、JSONバンドルが利用できない場合にのみダウンロードされます。ブロックリストに載っているファイル、アドレス、URLなど、収集されたオープンソースの脅威情報を表示できます。 STIXは、Trusted Automated eXchange of Indicator Information(TAXII)を使用して脅威情報の報告と共有に使用される言語です。TAXIIは、HTTPSを介して当事者間で脅威情報を通信するためのプロトコルです。 STIXとTAXIIは、標準化された形式での脅威情報の自動交換をサポートする、コミュニティ主導のオープンな標準です。ジュニパー ATP クラウドは、この情報やその他のソースを使用します。この情報交換は自動的に行われます。STIXには管理者設定は必要ありません。 STIXレポートは異なります。このページの下部にあるサンプルレポートをご覧ください。ジュニパー ATP クラウドは、脅威インテリジェンスを共有することもできます。脅威共有ページから共有する脅威情報を制御できます。脅威インテリジェンス共有の設定を参照してください。
Zipファイルのダウンロード	(利用可能な場合)このリンクをクリックして、分析用に隔離されたマルウェアをダウンロードします。このリンクでは、マルウェアが含まれるパスワードで保護されたzipファイルをダウンロードできます。zipファイルのパスワードは、問題のファイルのジュニパーATPクラウドUIの[一般]タブに表示されているマルウェアexeファイル(64文字の英数字文字列)のSHA256ハッシュです。
PDFレポートをダウンロード	このリンクをクリックして、問題のファイルに関する詳細なレポートをダウンロードできます。レポートには、ファイルの脅威レベル、検出されたプロトコル、ファイルのカテゴリとサイズに関する詳細が表示されます。また、クライアントIPアドレス、ユーザー名、および利用可能な場合には追加情報も含まれています。このデータは、TOC付きのフォーマットされたPDFで提供されます。

ページの上部には、以下の情報が簡単に表示されます(UIを右にスクロールすると、その他のボックスが表示されます)。

脅威レベル—これは割り当てられた脅威レベル(0-10)であり、このボックスにはファイル名と脅威カテゴリも表示されます。
上位の指標—このボックスには、マルウェア名、一致するシグネチャ、アンチウィルス状態、ファイルの送信元であるIPアドレス/URLが記載されています。
蔓延—このボックスには、このマルウェアが確認された頻度、ネットワーク上の個々のホストがファイルをダウンロードした数、および使用されたプロトコルに関する情報が記載されています。

ファイルの概要

表2:一般的な概要フィールド
フィールド	定義
脅威レベル	これは、割り当てられた脅威レベル0〜10です。10が最も悪意のある人物です。
グローバルな普及率	このファイルがさまざまな顧客に見られる頻度。
最後のスキャン	疑わしいファイルを検出するための最後のスキャンの日時
ファイル名	疑わしいファイルの名前。例:unzipper-setup.exe、20160223158005.exe、wordmui.msi。
カテゴリー	ファイルの種類例:PDF、実行ファイル、ドキュメント
サイズ	ダウンロードされたファイルのサイズ。
プラットフォーム	ファイルのターゲットOS 例:Win32
マルウェア名	可能であれば、ジュニパー ATP クラウドがマルウェアの名前を特定します。
タイプ	可能であれば、ジュニパー ATP クラウドが脅威のタイプを判断します。例:トロイの木馬、アプリケーション、アドウェア。
ひずみ	可能であれば、ジュニパー ATP クラウドが検出されたマルウェアのストレインを特定します。例:Outbrowse.1198、Visicom.E、Flystudio
sha256とmd5	ファイルがマルウェアかどうかを判断する1つの方法は、ファイルのチェックサムを計算し、ファイルが以前にマルウェアとして識別されたことがあるかどうかを確認することです。

静的分析

ジュニパー ATP クラウドは、潜在的なサンプル機能を説明するために、ドキュメントの種類、証明書の詳細、署名者情報などの静的なファイル情報を提供します。

図1:統計分析情報

動作解析

ジュニパーのATPクラウドは、ネットワーク行動分析と機械学習(ML)を提供して、暗号化された接続と暗号化されていない接続が無害または悪意のあるものかどうかを判断します。検出のためにトラフィックを復号化するには、SSLプロキシが必要であることに注意してください。

動作分析タブには、ファイル実行の動作の傾向がレーダーチャートで表示され、各軸にマルウェアのカテゴリや動作が表示されます。このデータは、マルウェアのカテゴリを特定し、そのカテゴリを重大度にマッピングするのに役立ちます。

マルウェアの優先度は、低、中、高に分類されます。

図2の左側のレーダーチャートには、サンプルが上記のマルウェアタイプのいずれかに属する確率が含まれています。この形状は、特定のマルウェアタイプ(この場合はトロイの木馬)を指しています。これは、サンプルのマルウェアの種類がトロイの木馬である可能性が最も高いことを示しています。なお、このグラフ図 2 は、サンドボックス後に悪意のある可能性のあるサンプルには存在しない可能性があることに注意してください。グラフでは、緑はそのカテゴリのクリーン、オレンジはそのカテゴリの疑わしいもの、赤はそのカテゴリの悪意のあるマルウェアを示します。

図2:マルウェアカテゴリ情報 Radar chart shows malware behaviors like Trojan, Worm, and Adware with risk levels. Pie chart categorizes risks as High, Medium, Low, detailing behaviors like Ransomware and Exfiltration.

Radar chart shows malware behaviors like Trojan, Worm, and Adware with risk levels. Pie chart categorizes risks as High, Medium, Low, detailing behaviors like Ransomware and Exfiltration.

表3:動作解析フィールド
動作カテゴリ	サンプル動作定義
ターゲット設定	ボリューム情報をチェック
きめ細かな動作	デバイスドライバーと通信するためのコードが含まれます。サービスを削除するためのコードが含まれます。システムDLL範囲で割り当てられたメモリ。
難読化	既知のコード難読化技術を利用します。
回避	VMを検出するためのコードが含まれます。大量の未使用のコード(難読化コードの可能性)が含まれています。実行時にAPIコールを決定するためのコードが含まれます。
永続性	起動時にアプリケーションを実行するようにレジストリキーを変更します。
ネットワーキング	メモリまたはバイナリにはインターネットアドレスが含まれます。

HTTPダウンロード

このセクションには、疑わしいファイルをダウンロードしたホストのリストが表示されます。このホストのホスト詳細ページに移動する IPアドレスをクリックします。デバイスシリアル番号をクリックして、デバイスページに移動します。そこから、プロファイル、許可リスト、ブロックリストのバージョンなど、ジュニパー ATP クラウド設定のデバイスバージョンとバージョン番号を表示できます。デバイスのマルウェア検出接続タイプ(テレメトリ、送信、またはC&Cイベント)を表示することもできます。

ネットワークアクティビティ

ネットワークアクティビティセクションでは、以下のタブに情報を表示できます。

連絡されたドメイン—利用可能な場合、ジュニパー ATP クラウドサンドボックスでファイルを実行中に連絡されたドメインが一覧表示されます。
連絡されたIP—ファイルの実行中に連絡されたすべてのIPと、宛先IPの国、ASN、評判が記載されています。レピュテーションフィールドは、ジュニパーIPインテリジェンスデータの宛先に基づいています。
DNSアクティビティ—このタブには、外部に接続されたサーバーのドメイン名を検索するためのリバースルックアップなど、ファイル実行中のDNSアクティビティが一覧表示されます。このタブには、宛先サーバーの既知のレピュテーションも表示されます。

動作の詳細

動作の詳細タブには、疑わしいアクティビティに関する情報と、動作分析中にキャプチャされたプロセスの詳細が表示されます。例えば、マルウェアが実行可能ファイルをドロップして新しいプロセスを開始した場合、これらの詳細は動作の詳細タブに表示されます。サンドボックス内で発生したマルウェア分析の動作分析ウィンドウのスクリーンショットも表示されます。これは、ファイルがマルウェアかどうかを判断するのに役立ちます。分析されたファイルがランサムウェアである場合、分析中にその身代金メッセージやその他の情報がスクリーンショットに表示されることがあります。

スクリーンショットは、新しく分析されたファイルでのみ利用できることに注意してください。

STIXレポートのサンプル

図3:STIXのXMLレポートのサンプル Sample STIX XML Report

図4:STIX 2.1 JSONレポート Sample STIX 2.1 JSON Report

のサンプル

このページの内容