セキュリティ侵害インジケーター(IOC)のスキャン

セキュリティ侵害インジケーター(IOC)とは、コンピューターへの認証されないアクセス(コンピューターの侵害)の痕跡を示すオブジェクトまたは活動に関する一連のデータです。たとえば、システムへのログインを複数回失敗すると、セキュリティ侵害インジケーターの構成要素となります。IOC スキャンタスクは、コンピューターのセキュリティ侵害インジケーターを検索し、脅威への対応方法を確立するのに役立ちます。

Kaspersky Endpoint Security は IOC ファイルを使用して侵害インジケーターを検索します。IOC ファイルとは、本製品が検知の判断時に一致させる一連のインジケーターを含むファイルです。IOC ファイルは OpenIOC 標準に準拠している必要があります。Kaspersky Endpoint Security は IOC ファイルを自動で作成し、また、ユーザーが作成した IOC ファイルを読み込むこともできます。手動で侵害インジケーターを追加する場合は、IOC ファイルの要件を参照してください。

以下のリンクをクリックすることでダウンロードできるファイルには、Kaspersky Endpoint Detection and Response がサポートするすべての OpenIOC 標準の IOC タームの一覧が含まれています。

こちらのリンクから IOC_TERMS.XLSX ファイルをダウンロードできます

IOC スキャンタスクの実行モード

Kaspersky Endpoint Security では、次のモードでIOC スキャンが実行されます:

IOC スキャンタスクの実行

脅威への対応時に、Kaspersky Sandbox がIOC スキャンタスクを自動で作成することがあります。Kaspersky Endpoint Detection and Response Optimum では、手動でIOC スキャンタスクの作成のみできます。

IOC スキャンタスクを次の方法で手動で作成することができます:

Web コンソールでのみ設定できます。

脅威に対するスタンドアロンの IOC スキャンタスクを作成するには、Kaspersky Security Center バージョン 13.2 が必要です。

IOC スキャンタスクを作成するには:

  1. Web コンソールのメインウィンドウで、[デバイス]→[タスク]の順に選択します。

    タスクのリストが表示されます。

  2. 追加]をクリックします。

    タスクウィザードが起動します。

  3. タスクの設定を指定します:
    1. アプリケーションドロップダウンリストで、Kaspersky Endpoint Security for Windows (11.7.0)を選択します。
    2. タスク種別]で、[IOC スキャン]を選択します。
    3. タスク名]に簡潔な内容を入力します。
    4. タスクを割り当てるデバイスの選択]で、タスク範囲の指定方法を選択します。
  4. タスク範囲の指定方法に応じて、対象デバイスを選択します。[次へ]をクリックします。
  5. タスクの実行に使用するユーザーアカウントの認証情報を入力します。[次へ]をクリックします。

    既定では、Kaspersky Endpoint Security はタスクをシステムユーザーアカウント(SYSTEM)として開始します。

    システムアカウント(SYSTEM)にはネットワークドライブの IOC スキャンタスクを実行する権限がありません。ネットワークドライブに対してタスクを実行する場合に、そのドライブにアクセス権のあるユーザーアカウントを選択してください。

    ネットワークドライブのスタンドアロンの IOC スキャンタスクには、タスクのプロパティで、そのドライブにアクセス権のあるユーザーアカウントを手動で選択する必要があります。

  6. 終了]をクリックして、ウィザードを終了します。

    タスクのリストに新しいタスクが表示されます。

  7. 新しいタスクをクリックします。

    タスクのプロパティウィンドウが表示されます。

  8. アプリケーション設定]タブを選択します。
  9. IOC スキャン設定]を選択します。
  10. 侵害インジケーターを検索するために IOC ファイルを読み込みます。

    IOC ファイルの読み込み後、IOC ファイルのインジケーターのリストが表示できます。必要に応じて、タスク範囲から一時的に IOC ファイルを除外することができます。

    タスク実行後の IOC ファイルの追加または削除は推奨されません。前回実行された IOC スキャン結果が正しく表示されないことがあります。IOC ファイルの侵害インジケーターを検索するには、新しいタスクを追加するようにしてください。

  11. IOC 検知時の動作の設定:
    • コンピューターをネットワークから分離する:このオプションを選択した場合、Kaspersky Endpoint Security は脅威の拡散を防ぐためにコンピューターをネットワークから分離します。分離時間はEndpoint Detection and Response コンポーネントの設定で設定できます。
    • コピーを隔離に移動し、オブジェクトを削除する:このオプションを選択した場合、Kaspersky Endpoint Security はコンピューターで検知された悪意のあるオブジェクトを削除します。オブジェクトを削除する前に、後で復元する必要があった場合に備えて Kaspersky Endpoint Security はオブジェクトのバックアップコピーを作成します。バックアップコピーは隔離に移動されます。
    • 簡易スキャンを実行する:このオプションを選択した場合、Kaspersky Endpoint Security は簡易スキャンタスクを実行します。既定では、カーネルメモリ、実行中のプロセスおよびスタートアップオブジェクト、ディスクブートセクターをスキャンします。
  12. 詳細]に移動します
  13. タスクの一部として分析される必要のあるデータ種別(IOC ドキュメント)を選択します。

    Kaspersky Endpoint Security は、読み込まれた IOC ファイルの内容に従って IOC スキャンタスク用のデータ種別(IOC ドキュメント)を自動で選択します。選択されたデータ種別の選択解除は推奨されません。

    次のデータ種別に対してスキャン範囲を追加で設定できます:

    • ファイル - FileItem:事前定義された範囲を使用してコンピューター上の IOC スキャン範囲を設定します。

      既定では、Kaspersky Endpoint Security はコンピューターの重要な領域(ダウンロードフォルダー、デスクトップ、一時的なオペレーティングシステムのファイルがあるフォルダーなど)のみの IOC をスキャンします。スキャン範囲を手動で追加することもできます。

    • Windows イベントログ - EventLogItem:イベントが記録された際の時間周期を入力します。IOC スキャンにアプリケーションイベントログ、システムイベントログ、セキュリティイベントログなど、Windows イベントログを選択することもできます。

    Kaspersky Endpoint Security はデータ種別[Windows レジストリ - RegistryItem]に対しては、レジストリキー一式をスキャンします。

  14. 保存]をクリックします。
  15. タスクの横にあるチェックボックスをオンにします。
  16. 開始]をクリックします。

Kaspersky Endpoint Security はコンピューター上にある侵害インジケーターの検索を実行します。[結果]のタスクのプロパティでタスクの結果を確認できます。[アプリケーション設定] → [IOC スキャン結果]の順に選択して、タスクのプロパティで侵害インジケーターに関する情報を表示することができます。

IOC スキャン結果は 30 日間保持されます。この期間を経過すると、Kaspersky Endpoint Security は最も古いデータを自動的に削除します。

ページのトップに戻る