Kaspersky Security for Virtualization 6.0 Agentless

仮想マシンのネットワーク動作スキャナーの設定

疑わしいネットワーク動作の検知機能は、Enterprise ライセンスで本製品を利用している場合にのみ使用できます。

保護対象の仮想マシンに対して、ネットワーク動作スキャナーを設定するには：

1. Kaspersky Security Center 管理コンソールで、関連する仮想マシンを範囲に含むポリシーのプロパティを開きます：
   1. コンソールツリーで、ポリシーが作成されたフォルダーまたは管理グループを選択します。
   2. 作業領域で、［ポリシー］タブを選択します。
   3. ポリシーのリストでポリシーを選択し、ポリシーをダブルクリックすると、ポリシーのプロパティウィンドウが開きます。
2. ポリシーのプロパティウィンドウの［ネットワーク脅威対策］セクションで、［侵入防止］サブセクションを選択します。
3. 仮想マシンのネットワーク動作スキャナーが無効になっている場合は、［仮想マシンのネットワーク動作の監視］をオンにします。
4. ［設定］をクリックします。

   ［ネットワーク動作スキャナーのパラメータ］ウィンドウが表示されます。

5. Kaspersky Security により、ネットワークの動作の兆候を検知すべきアプリケーションのカテゴリが指定されます：
   • アドウェア

     

     アドウェアに特有のネットワークの動作の検知を有効または無効にします。

     アドウェアは、ユーザーに広告情報を表示し、検索内容を広告サイトに転送して、ユーザーに関するマーケティング情報をアドウェアの開発者に送信するよう設計されています。スパイウェア型のトロイの木馬とは異なり、アドウェアは、このような情報をユーザーの同意を得てから転送します。

     このチェックボックスをオンにすると、Kaspersky Security は保護対象の仮想マシンのトラフィックでアドウェアに特有の動作を検知します。

     このチェックボックスをオフにすると、アドウェアに特有の動作の検知が無効になります。

     既定では、このチェックボックスはオフです。

   • その他のプログラム

     

     仮想マシンやユーザーデータへの攻撃に使用される可能性がある、正規のソフトウェア特有のネットワークの動作の検知を有効または無効にします。

     対象となるアプリケーションは、たとえば、ファイルダウンロードプログラム、リモート管理プログラム、ユーザーアクティビティモニター、パスワード管理アプリケーションなどです。これらのプログラムは通常、合法の目的で使用されます。ただし、犯罪者がこれらのプログラムへのアクセス権を取得すると、プログラムの機能の一部を利用して、仮想マシンやユーザーデータに損害を与える場合があります。

     このチェックボックスをオンにすると、Kaspersky Security は保護対象の仮想マシンのトラフィックで、仮想マシンやユーザーのデータに損害を与える目的で使用される可能性がある正規のソフトウェア特有の動作を検知します。

     このチェックボックスをオフにすると、それらのプログラムに特有の動作の検知が無効になります。

     既定では、このチェックボックスはオフです。

   Kaspersky Security は、保護対象の仮想マシンのトラフィックでウイルス、ワーム、トロイの木馬などのマルウェアに特有のネットワークの動作を常に検知します。

6. 検知されたネットワークの動作が、保護対象のインフラストラクチャへの侵入の兆候ではないことを確認できる場合は、保護対象の仮想マシンのトラフィックでの疑わしいネットワーク動作の検知を適用しないルールのリストを設定できます。

   リストにネットワーク動作の検知ルールを追加するには、リストの上部にある［追加］をクリックして、リストに次の形式でルール ID を入力します。<数値>:<数値>:<数値>。

   適用されたルールに関する情報は、疑わしいネットワーク動作が検知されたときに Kaspersky Security Center に送信されたイベントのテキストで確認できます。

7. ［ネットワーク動作スキャナーのパラメータ］ウィンドウで、［OK］をクリックします。
8. ［
   疑わしい動作の検知時の処理（ネットワーク保護を標準モードで導入している場合）

   

   このドロップダウンリストには、ネットワーク保護が標準モードで導入されている場合、保護対象の仮想マシンのトラフィックで疑わしいネットワーク動作を検知したときに Kaspersky Security が実行できる処理が含まれます。次の中からいずれかを選択できます：

   • 無視する：疑わしいネットワーク動作を示す仮想マシンに関して、処理が実行されません。
   • 接続を終了する：疑わしいネットワーク動作を示す保護対象の仮想マシンと他の仮想マシンとの間の接続を終了します。

     既定では、この処理が選択されています。

   • 接続を終了し、送信元 IP アドレスからのトラフィックをブロックする：疑わしいネットワーク動作を示す保護対象の仮想マシンと他の仮想マシンとの間の接続を終了し、疑わしいネットワーク動作の発生源となっている IP アドレスからのトラフィックをブロックします。ネットワーク攻撃または疑わしいネットワーク動作が検知された VLAN でトラフィックがブロックされます。トラフィックのブロック時間は［脅威の検知時にトラフィックを N 分間ブロックする］フィールドで設定されます。

   疑わしいネットワーク動作の検知に関する情報が Kaspersky Security Center に送信されます。

   ［仮想マシンのネットワーク動作の監視］がオンの場合は、処理を選択できます。

   ］をドロップダウンリストで選択します。

   ネットワーク保護が監視モードで導入されている場合、疑わしいネットワーク動作を検知すると、［無視する］の処理が実行されます。

9. 必要に応じて、［
   脅威の検知時にトラフィックを N 分間ブロックする

   

   ネットワーク攻撃または疑わしいネットワーク動作の発生源となっている IP アドレスからのトラフィックをブロックする期間。ネットワーク攻撃または疑わしいネットワーク動作の発生源の判断には、トラフィックが VLAN からのものであるかが考慮されます。Kaspersky Security は、ネットワーク攻撃または疑わしいネットワーク動作が検知された VLAN でのみ IP アドレスからのトラフィックをブロックします。

   既定のブロック期間は 60 分です。

   ］の設定の値を変更します。
10. 必要に応じて、Kaspersky Security でネットワークの脅威からの保護の除外ルールを設定して、特定の IP アドレスのトラフィックをスキャンから除外したり、これらのトラフィックの処理時に特別な処理を適用します。
11. ポリシーのプロパティウィンドウで［OK］をクリックします。