ATP イベントを検出する技術

HOWTO128784

Last Updated September 27, 2018

表: ATP イベント検出技術では、Symantec Advanced Threat Protection (ATP) がイベントの検出に使用する技術について説明します。

表: ATP イベント検出技術

イベントの種類	説明
高度な攻撃手法の検出	高度な攻撃手法の検出イベントのデータにより、ネットワークに脅威を与える可能性がある高度な攻撃の可能性が可視化されます。高度な攻撃手法の検出では、SONAR の動作ポリシーのエンフォースメントを活用して高度な攻撃手法を検出します。プロセス活動、Windows API、ファイルシステムの変更、レジストリの変更、ネットワーク活動などの動作に焦点を合わせます。高度な攻撃手法の検出データは、高度な攻撃に関する非常に詳しい情報で強化されています。詳しい情報を取得できると、イベントの範囲が把握しやすくなります。ATP では、MITRE の戦術、手法、手順を使用して高度な攻撃手法のイベントを強化することもできます。
ターゲット攻撃の分析	Symantec Advanced Threat Protection (ATP): Endpoint を実行すると、ターゲット攻撃の分析によるインシデント検出を強化できます。この機能を有効にすると、ATP はクラウドベースのターゲット攻撃の分析サービスからデータを毎時間受信します。ATP では、その情報を使用して、新しいインシデントを生成したり、既存の ATP インシデントに追加したりします。 Targeted Attack Analytics の有効化を参照してください。
ファイルのサンドボックス処理の実行と分析	このサンドボックス化サービスでは、仮想環境でファイルを起動し、その動作を監視します。 ATP は、シマンテック社のクラウドベースのサンドボックス化サービスまたはオンプレミスのサンドボックス化アプライアンスの使用をサポートします。 ATP によるクラウドサンドボックス処理またはオンプレミスサンドボックス処理の使用の設定を参照してください。
インサイトのファイル検出	Symantec Endpoint Protection がファイル評価サーバーで管理対象エンドポイントのファイルに関するクエリーを実行したか、またはインサイトがネットワークで起きた悪質な活動を検出しました。インサイトのクエリーは、安全、危険、および不明のすべての種類のファイルに実行できるので、Symantec Endpoint Protection クライアントは大量のインサイトイベントを生成することがあります。インサイトの検出内容を (危険なファイルのみなどの) 種類によってフィルタ処理する機能は現在サポートされていません。
Mobile Insight アプリの分析	Mobile Insight は、Android の実行可能ファイルの問題を検出します。
ブラックリスト	シマンテック社が提供するブラックリストに登録されているファイル、または ATP のブラックリストに登録されているファイルが検出されます。
Vantage ネットワーク侵入防止（IPS/NDC）	Vantage がエンドポイントの悪質な活動を検出したか、またはネットワークストリームに Vantage シグネチャベースの脅威が見つかりました。
ウイルス対策の判定	ウイルス対策エンジンは、エンドポイントでファイルの感染を判定し、Symantec Endpoint Protection Manager は遠隔測定のためにシマンテック社に判定データを送信します。
Symantec Online Network for Advanced Response (SONAR)	Symantec Endpoint Protection には、プロセス動作の検出および修復のための SONAR (Symantec Online Network for Advanced Response) 技術が含まれています。ただし、Symantec Endpoint Protection ではこれらの詳細に関する情報が提供されません。ATP と Symantec Endpoint Protection を統合すると、ATP は、管理対象エンドポイントで発生したシステム変更、システム変更が発生した順序、関連するファイル属性など、SONAR 検出に関する情報を提供することができます。この情報によって、環境内で発生する活動をより詳細に把握できます。 SONAR は、シマンテックが提供するオンラインのインテリジェンスネットワークと、Symantec Endpoint Protection エンドポイントのプロアクティブなローカル監視を組み合わせて利用するヒューリスティックシステムによって、新たな脅威を検出します。また、SONAR では、監視が必要なエンドポイントの変更や動作も検出します。アプリケーションの種類に基づいた検出ではなく、プロセスの動作に基づいた検出を行います。
疑わしいファイル分類子	ATP は不明な処置があるファイルを分析するのにファイル分類子を使います。ファイル分類子はファイルを属性で分別して、無数のファイルで訓練されたデシジョンツリーに基づいてファイルが良好か悪質かを判断します。この技術はシグネチャやサンドボックスでの起動の代わりに機械学習を使います。

ATP が検出したイベントタイプ

イベント、インシデント、エンティティについて

Legacy ID: v115336173_v127312507

ご意見ありがとうございます。以下にコメントがある場合はお知らせください。(ログインが必要です)