セキュリティ侵害インジケーター(IOC)のスキャン

セキュリティ侵害インジケーター(IOC)とは、コンピューターへの認証されないアクセス(コンピューターの侵害)の痕跡を示すオブジェクトまたは活動に関する一連のデータです。たとえば、システムへのログインを複数回失敗すると、セキュリティ侵害インジケーターの構成要素となります。IOC スキャンタスクは、コンピューターのセキュリティ侵害インジケーターを検索し、脅威への対応方法を確立するのに役立ちます。

Kaspersky Endpoint Security は IOC ファイルを使用して侵害インジケーターを検索します。IOC ファイルは、本製品が検知の判断時に一致させる一連のインジケーターを含むファイルです。IOC ファイルは OpenIOC 標準に準拠している必要があります。

IOC スキャンタスクの実行モード

Kaspersky Endpoint Detection and Response を使用して、侵害されたデータを検知する標準の IOC スキャンタスクを作成できます。標準の IOC スキャンタスクは Web コンソールで手動で作成および設定されたタスクまたはタスクのグループを意味します。タスクは、ユーザーが準備した IOC ファイルを使用して実行されます。手動で侵害インジケーターを追加する場合は、IOC ファイルの要件を参照してください。

以下のリンクをクリックしてダウンロードできるファイルには、すべての OpenIOC 標準の IOC タームの一覧が含まれています。

こちらのリンクから IOC_TERMS.XLSX ファイルをダウンロードできます

Kaspersky Endpoint Security は、本製品が Kaspersky Sandbox ソリューションの一部として使用されている場合はスタンドアロンの IOC スキャンタスクをサポートします。

IOC スキャンタスクの作成

IOC スキャンタスクは、手動で作成することができます:

EDR Optimum のタスクは、Web コンソールおよび Cloud コンソールで設定できます。EDR Expert のタスク設定は Cloud コンソールのみで使用可能です。

IOC スキャン]タスクを作成するには:

  1. Web コンソールのメインウィンドウで、[デバイス]→[タスク]の順に選択します。

    タスクのリストが表示されます。

  2. 追加]をクリックします。

    タスクウィザードが起動します。

  3. タスクの設定を指定します:
    1. アプリケーションドロップダウンリストで、Kaspersky Endpoint Security for Windows (12.0)を選択します。
    2. タスク種別]で、[IOC スキャン]を選択します。
    3. タスク名]に簡潔な内容を入力します。
    4. タスクを割り当てるデバイスの選択]ブロックで、タスク範囲の指定方法を選択します。
  4. タスク範囲の指定方法に応じて、対象デバイスを選択します。次の手順に進みます。
  5. タスクの実行に使用するユーザーアカウントの認証情報を入力します。次の手順に進みます。

    既定では、Kaspersky Endpoint Security はタスクをシステムユーザーアカウント(SYSTEM)として開始します。

    システムアカウント(SYSTEM)にはネットワークドライブの IOC スキャンタスクを実行する権限がありません。ネットワークドライブに対してタスクを実行する場合に、そのドライブにアクセス権のあるユーザーアカウントを選択してください。

    ネットワークドライブのスタンドアロンの IOC スキャンタスクには、タスクのプロパティで、そのドライブにアクセス権のあるユーザーアカウントを手動で選択する必要があります。

  6. ウィザードを終了します。

    タスクのリストに新しいタスクが表示されます。

  7. 新しいタスクをクリックします。

    タスクのプロパティウィンドウが表示されます。

  8. アプリケーション設定]タブを選択します。
  9. IOC スキャン設定]に移動します。
  10. 侵害インジケーターを検索するために IOC ファイルを読み込みます。

    IOC ファイルの読み込み後、IOC ファイルのインジケーターのリストが表示できます。

    タスク実行後の IOC ファイルの追加または削除は推奨されません。前回実行された IOC スキャン結果が正しく表示されないことがあります。IOC ファイルの侵害インジケーターを検索するには、新しいタスクを追加するようにしてください。

  11. IOC 検知時の動作の設定:
    • コンピューターをネットワークから分離する:このオプションを選択した場合、Kaspersky Endpoint Security は脅威の拡散を防ぐためにコンピューターをネットワークから分離します。分離時間はEndpoint Detection and Response コンポーネントの設定で設定できます。
    • コピーを隔離に移動し、オブジェクトを削除する:このオプションを選択した場合、Kaspersky Endpoint Security はコンピューターで検知された悪意のあるオブジェクトを削除します。オブジェクトを削除する前に、後で復元する必要があった場合に備えて Kaspersky Endpoint Security はオブジェクトのバックアップコピーを作成します。バックアップコピーは隔離に移動されます。
    • 簡易スキャンを実行する:このオプションを選択した場合、Kaspersky Endpoint Security は簡易スキャンタスクを実行します。既定では、カーネルメモリ、実行中のプロセスおよびスタートアップオブジェクト、ディスクブートセクターをスキャンします。
  12. 詳細]に移動します。
  13. タスクの一部として分析される必要のあるデータ種別(IOC ドキュメント)を選択します。

    Kaspersky Endpoint Security は、読み込まれた IOC ファイルの内容に従って IOC スキャンタスク用のデータ種別(IOC ドキュメント)を自動で選択します。選択されたデータ種別の選択解除は推奨されません。

    次のデータ種別に対してスキャン範囲を追加で設定できます:

    • ファイル - FileItem:事前定義された範囲を使用してコンピューター上の IOC スキャン範囲を設定します。

      既定では、Kaspersky Endpoint Security はコンピューターの重要な領域(ダウンロードフォルダー、デスクトップ、一時的なオペレーティングシステムのファイルがあるフォルダーなど)のみの IOC をスキャンします。スキャン範囲を手動で追加することもできます。

    • Windows イベントログ - EventLogItem:イベントが記録された際の時間周期を入力します。IOC スキャンに使用する必要のある Windows イベントログを選択することもできます。既定では、次のイベントログが選択されています:アプリケーションイベントログ、システムイベントログ、セキュリティイベントログ。

    Kaspersky Endpoint Security はデータ種別Windows レジストリ - RegistryItemに対しては、レジストリキー一式をスキャンします。

  14. コンピューターのプロパティウィンドウで、[スケジュール]タブを選択します。
  15. タスクのスケジュールを設定します。

    このタスクでは Wake-on-LAN は使用できません。コンピューターの電源がオンになっていて、タスクを実行できることを確認してください。

  16. 変更内容を保存します。
  17. タスクの横にあるチェックボックスをオンにします。
  18. 開始]をクリックします。

Kaspersky Endpoint Security はコンピューター上にある侵害インジケーターの検索を実行します。[結果]のタスクのプロパティでタスクの結果を確認できます。[アプリケーション設定]→[IOC スキャン結果]の順に選択して、タスクのプロパティで侵害インジケーターに関する情報を表示することができます。

IOC スキャン結果は 30 日間保持されます。この期間を経過すると、Kaspersky Endpoint Security は最も古いデータを自動的に削除します。

ページのトップに戻る