侵害されたホスト: 詳しく

感染したホストとは、攻撃者が不正アクセスを取得した可能性が高いシステムです。ホストが侵害されると、攻撃者はコンピューターに対して次のようないくつかのことを行うことができます。

• 迷惑メールやスパムメールを送信して、他のシステムを攻撃したり、違法なソフトウェアを配布したりすること。

• パスワードや口座番号などの個人情報を収集します。

• コンピュータのセキュリティ設定を無効にして、簡単にアクセスできるようにします。

感染したホストは、ホストの IP アドレスまたは IP サブネットとして、脅威レベル(xxx.xxx.xxx.133 や脅威レベル 5 など)とともに一覧表示されます。特定されると、Juniper ATP Cloudがアクションを推奨し、セキュリティポリシーを作成して、感染したホストのインバウンドトラフィックと送信トラフィックに強制アクションを実行できます。Juniper ATP Cloudは、C&Cサーバーに接続しようとするクライアントやマルウェアをダウンロードしようとするクライアントなど、複数の指標と独自のアルゴリズムを使用して、感染したホストの脅威レベルを判断します。

データフィードのURLは、opスクリプトを実行してSRXシリーズファイアウォールを設定すると自動的に設定されます。 「Juniper ATP Cloudスクリプトをダウンロードして実行する」を参照してください。

図1 は、マルウェアをダウンロードすることで、デバイスが感染ホストとしてラベル付けされる方法の一例を示しています。

表 1:感染したホストの特定

歩	形容
1	IPアドレス10.1.1.1のクライアントは、SRXシリーズファイアウォールの背後にあり、インターネットからファイルをダウンロードするよう要求しています。
2	SRXシリーズファイアウォールは、インターネットからファイルを受信し、そのセキュリティポリシーをチェックして、ファイルをクライアントに送信する前に何らかのアクションが必要かどうかを確認します。
3	SRXシリーズファイアウォールにはJuniper ATP Cloudポリシーがあり、ダウンロードされたばかりの同じタイプのファイルを検査のためにクラウドに送信する必要があります。 このファイルはクラウドにキャッシュされないため、この特定のファイルが検査のためにクラウドに送信されるのは今回が初めてです。クラウドが徹底的な検査を実施している間、SRXシリーズファイアウォールはファイルをクライアントに送信します。
4	この例では、クラウド分析によって、ファイルがマルウェアであることを示すしきい値よりも高い脅威レベルがあると判断され、この情報をSRXシリーズファイアウォールに送り返します。 クライアントが感染したホストリストに登録されます。
5	Juniper ATP Cloudは、クライアントによるインターネットアクセスをブロックします。 管理者は、管理者が詳細な分析を行い、安全であると判断するまで、感染したホストリストに残ります。

ホストのステータスは、Juniper ATP Cloud Web ポータルの [Monitor>Hosts] に移動して表示できます。また、SRXシリーズファイアウォールで show services security-intelligence statistics CLIコマンドを使用して、クイックレポートを表示することもできます。

[ 感染したホストの設定> ]ウィンドウで電子メールを設定し、ホストの脅威レベルが指定したしきい値以上になったときにユーザーに警告することができます。

マルウェアとホストのステータスイベントのsyslogメッセージが /var/log/messagesで作成されます。Junos OSは、ストリームモードとイベントモードを使用したログ転送をサポートしています。

手記：

syslogを使用するには、同じレルム内のすべてのSRXシリーズファイアウォールのシステムログを設定する必要があります。たとえば、REALM1にSRX1とSRX2が含まれている場合、SRX1とSRX2の両方でシステムログが有効になっている必要があります。システムロギングの設定について、詳しくは 「SRXスタートガイド - システムロギング」を参照してください。

• ストリーム モードを使用したマルウェア イベント syslog。

• ストリーム モードを使用したホスト ステータス イベント syslog。

• イベント モードを使用したマルウェア イベント syslog

• イベント モードを使用したホスト ステータス イベント syslog。

syslog レコードには、以下のフィールドが含まれます。

表 2:Syslog レコード フィールド

畑	形容
タイムスタンプ	syslogエントリーの日時
tenant_id	内部固有 ID
sample_sha256	ダウンロードされたファイルの SHA-256 ハッシュ値。
client_ip	IP4 と IP6 の両方をサポートするクライアント IP アドレス。
mw_score	マルウェア スコア。これは 0 から 10 までの整数です。
mw_info	マルウェアの名前または簡単な説明。
client_username	潜在的なマルウェアをダウンロードしたユーザーのユーザー名。
client_hostname	潜在的なマルウェアをダウンロードしたデバイスのホスト名。
host_status	ホストステータス。現在は in_progressのみです。
host_policy	このアクションを適用したJuniper ATP Cloudポリシーの名前。
threat_level	ホストの脅威レベル。これは 0 から 10 までの整数です。
infected_host_status	感染したホストのステータス。 Added、 Cleared、 Present、 Absentのいずれかです。
理由	ログ エントリの理由。 Malware、 CC、 Manual のいずれかです。
細部	入力理由の簡単な説明(例: malware analysis detected host downloaded a malicious_file with score 9, sha256 abc123