侵害されたホスト:詳細情報

感染ホストとは、攻撃者が不正アクセスを取得したという確信度が高いシステムです。ホストが侵害されると、攻撃者はコンピューターに対して次のようないくつかのことを行うことができます。

• ジャンクまたはスパムメールを送信して他のシステムを攻撃したり、違法なソフトウェアを配布したりする。

• パスワードやアカウント番号などの個人情報を収集します。

• コンピュータのセキュリティ設定を無効にして、簡単にアクセスできるようにします。

感染したホストは、ホストのIPアドレスまたはIPサブネットとして、脅威レベル(xxx.xxx.xxx.133や脅威レベル5など)とともにリストされます。特定されると、ジュニパー ATP クラウドはアクションを推奨し、セキュリティ ポリシーを作成して、感染したホスト上の受信および送信トラフィックに対して適用アクションを実行できます。ジュニパー ATP クラウドは、クライアントが C&C サーバーに接続しようとしているか、クライアントがマルウェアをダウンロードしようとしているかなど、複数の指標と独自のアルゴリズムを使用して、感染したホストの脅威レベルを判断します。

データフィードURLは、opスクリプトを実行してSRXシリーズファイアウォールを設定すると自動的に設定されます。「 ジュニパー ATP クラウド スクリプトのダウンロードと実行」を参照してください。

図1 は、マルウェアをダウンロードすることでデバイスに感染ホストとしてのラベルを付ける方法の一例を示しています。

表1:感染したホストの特定

ステップ	説明
1	IPアドレス10.1.1.1のクライアントがSRXシリーズファイアウォールの背後にあり、インターネットからファイルをダウンロードするように要求します。
2	SRXシリーズファイアウォールは、インターネットからファイルを受信し、ファイルをクライアントに送信する前に、セキュリティポリシーをチェックして、アクションを実行する必要があるかどうかを確認します。
3	SRXシリーズファイアウォールには、ダウンロードしたばかりの同じタイプのファイルを検査のためにクラウドに送信することを義務付けるジュニパーATPクラウドポリシーがあります。 このファイルはクラウドにキャッシュされないため、この特定のファイルが検査のためにクラウドに送信されるのは今回が初めてです。SRXシリーズファイアウォールがファイルをクライアントに送信している間、クラウドが徹底的な検査を実行します。
4	この例では、クラウド分析によって、ファイルの脅威レベルがマルウェアであることを示すしきい値よりも高いと判断し、この情報をSRXシリーズファイアウォールに送り返します。 クライアントは感染ホストリストに登録されます。
5	ジュニパー ATP クラウドは、クライアントのインターネットアクセスをブロックします。 クライアントは、管理者がさらなる分析を実行して安全であると判断するまで、感染ホストリストに残ります。

ホストのステータスを表示するには、ジュニパー ATP Cloud Webポータルから Monitor>Hostsに移動します。SRXシリーズファイアウォールで show services security-intelligence statistics CLIコマンドを使用して、クイックレポートを表示することもできます。

感染したホストの設定ウィンドウ>メールを設定して、ホストの脅威レベルが指定されたしきい値以上になった場合にユーザーに警告することができます。

マルウェアとホストステータスイベントsyslogメッセージが /var/log/messagesで作成されます。Junos OSは、ストリームモードとイベントモードを使用したログの転送をサポートしています。

注:

syslogを使用するには、同じ組織内のすべてのSRXシリーズファイアウォールのシステムログを設定する必要があります。たとえば、Organization1にSRX1とSRX2が含まれている場合、SRX1とSRX2の両方でシステムログを有効にする必要があります。システムロギングの設定の詳細については、 SRXスタートガイド - システムロギングを参照してください。

• ストリームモードを使用したマルウェアイベントsyslog。

• ストリームモードを使用したホストステータスイベントsyslog。

• イベントモードを使用したマルウェアイベントsyslog

• イベントモードを使用したホストステータスイベントsyslog。

syslogレコードには、以下のフィールドが含まれています。

表2:Syslogレコードフィールド

フィールド	説明
タイムスタンプ	syslogエントリの日時
tenant_id	内部一意ID
sample_sha256	ダウンロードされたファイルのSHA-256ハッシュ値。
client_ip	IP4とIP6の両方をサポートするクライアントIPアドレス。
mw_score	マルウェアスコアこれは 0 から 10 までの整数です。
mw_info	マルウェア名または簡単な説明。
client_username	マルウェアの可能性をダウンロードしたユーザーのユーザー名。
client_hostname	マルウェアの可能性をダウンロードしたデバイスのホスト名。
host_status	ホストステータス。現在はまだ in_progressです。
host_policy	このアクションを適用したジュニパーATPクラウドポリシーの名前。
threat_level	ホストの脅威レベル。これは 0 から 10 までの整数です。
infected_host_status	感染したホストのステータス。これは、 Added、 Cleared、 Present、 Absentのいずれかです。
理由	ログエントリの理由。これは、 Malware、 CC、 Manualのいずれかです。
詳細	入力理由の簡単な説明(例: malware analysis detected host downloaded a malicious_file with score 9, sha256 abc123