エンドポイント用AMPまたはFireAMPによるエンドポイントIOCスキャンの実行

ダウンロードオプション

PDF (540.7 KB)
Adobe Reader を使ってさまざまなデバイスで表示
ePub (467.3 KB)
iPhone、iPad、Android、ソニーの Reader、または Windows Phone 上で、さまざまなアプリを使って表示
Mobi (Kindle) (541.9 KB)
Kindle デバイスで、または Kindle アプリを使って複数のデバイスで表示

Updated: 2015 年 4 月 8 日

Document ID:118899

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

内容

概要

前提条件

要件

使用するコンポーネント

背景説明

IOC シグニチャファイル

IOC シグニチャファイルでのスキャンの実行

IOC シグニチャファイルの作成

IOC シグニチャファイルのアップロード

スキャンの開始

概要

このドキュメントでは、Mandiant IOC エディタで侵入の痕跡（IOC）署名ファイルを作成する方法、Cisco FireAMP ダッシュボードにこのファイルをアップロードする方法、およびエンドポイント IOC スキャンを開始する方法について説明します。

前提条件

要件

エンドポイント IOC スキャンを実行する前に、ドライブに１ギガバイト以上の空き容量があることを確認することを推奨します。

使用するコンポーネント

このドキュメントの情報は、Cisco FireAMP Windows Connector バージョン 4.0.2 以降で利用可能なエンドポイント IOC スキャナに基づいています。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

背景説明

エンドポイント IOC スキャナ機能は、複数のコンピュータにわたり、セキュリティ侵害後のインジケータをスキャンするために使用する、強力なインシデント対応ツールです。

注：FireAMP では Mandiant 言語で IOC をサポートしていますが、Mandiant IOC エディタ自体はシスコにより開発されたものではなく、シスコではサポートしていません。シスコサポートでは、ユーザが作成した IOC またはサードパーティ製 IOS のトラブルシューティングは行いません。

IOC シグニチャファイル

IOC シグニチャファイルは、既知の脅威、攻撃者の攻撃手法、またはその他の侵害の証拠を特定する技術特性を説明する、拡張可能な XML スキーマです。

エンドポイント IOC は、OpenIOC ベースのファイルからコンソール経由でインポートされます。このファイルは、名前、サイズ、ハッシュなどのファイルプロパティと、プロセス情報、実行中のサービス、Microsoft Windows レジストリエントリなどのシステムプロパティをトリガーとして使用するように作成されています。IOC 構文は、インシデント対応者が特定のアーティファクトを検索したり、マルウェアファミリの洗練された相関検出を作成するロジックを使用したりするために使用できます。

IOC シグニチャファイルでのスキャンの実行

IOC シグニチャファイルでスキャンを実行するには、以下の 3 つのステップを完了する必要があります。

IOC シグニチャファイルを作成します。
IOC シグニチャファイルをアップロードします。
スキャンを開始します。

以降のセクションで、これらのステップについて説明します。

IOC シグニチャファイルの作成

注：この例では、Mandiant IOC エディタを使用して、test.txt という名前のテキストエディタの IOC シグニチャファイルを作成します。

IOC シグニチャファイルを作成するには、次の手順を実行します。

[IOCe]を開き、[File] > [New] > [Indicator] に移動します。ブランクのワークスペースが表示されます。ここで、IOC の作成を開始できます。

注：特定の目的に応じた IOS を作成する場合は、該当するプロパティを備えたバイナリロジックを使用します。初期演算子は OR です。この最も単純な演算子をベースに、作業を開始できます。これにより IOC の初期機能が有効になるので、演算子を変更する必要はありません。スキャンで IOS シグニチャファイルを使用するには、少なくとも 2 つのプロパティまたは条件がファイルに設定されている必要があります。
演算子を追加するために、[Items]ドロップダウンメニューをクリックします。追加する必要がある最初のプロパティは、[File Extension contains]です。[Items]ツリーメニュー内でこのプロパティを見つけてクリックします。
プロパティを追加した後、画面右端にある小さいアイコンをクリックして [Configuration] ペインを開きます。このペイン内の [Content]フィールドを使用して、照合するファイル拡張子を追加します。たとえば、test.txt ファイルを照合するには、[txt] を追加します。
次は、論理演算子を追加する必要があります。この例では、[test]テキストファイルと一致させるので、[AND]演算子を使用して、次のプロパティを追加します。[Items]ツリーメニュー内でファイル名を見つけて選択します。[Properties] ペインで、検索対象のファイルの名前を追加します。たとえば、[Content] フィールドに [test]を追加します。
この単純な IOC には、他に追加しなければならないプロパティはないので、この時点でファイルを保存できます。[File] > [Save]の順にクリックします。これで、.ioc 拡張子が付いたシグニチャファイルがシステムに保存されます。

IOC シグニチャファイルのアップロード

スキャンを実行するには、IOC ファイルを FireAMP ダッシュボードにアップロードする必要があります。IOC シグニチャファイル、XML ファイル、あるいは複数の IOC ファイルが含まれる zip アーカイブを使用できます。ダッシュボードによって圧縮解除されて、IOC シグニチャを含むファイルが解析されます。構文エラーがある場合や、サポートされていないプロパティが使用されている場合は、通知されます。

ヒント：アップロードできるファイルのサイズは、最大 5 メガバイトです。

以下の手順に従って、IOC シグニチャファイルを FireAMP ダッシュボードにアップロードします。

FireAMP クラウドコンソールにログインし、[Outbreak Control] > [Installed Endpoint IOC]に移動します。
[Upload]をクリックします。これにより、[Upload Endpoint IOCs] ウィンドウが表示されます。

IOC シグニチャファイルのアップロードが正常に完了すると、シグニチャがリストに表示されます。
シグニチャの実際の XML データを表示するには、[View]をクリックします。

スキャンの開始

シグニチャファイルをアップロードした後、フルスキャンを実行します。最初のスキャンは、コンピュータ全体のメタデータのカタログを作成する必要があるため、フルスキャンである必要があります。これは、1 ～ 2時間かかる可能性があります。フルスキャンによってシステムのカタログが構築された後は、フラッシュスキャンを実行できます。

注：フルスキャンは CPU を駆使します。PC の使用中にはフルスキャンを実行しないようにしてください。このスキャン機能を定期的に使用する予定の場合は、カタログを再構築するために毎月 1 回フルスキャンを実行できます。

IOC スキャンを実行するには、2 つの方法を使用できます。1 つは、イベントまたはダッシュボードから即時スキャンを実行するという方法です。このスキャンは、次回 PC がクラウドにハートビートを送信するとトリガーされます。

注：初めてフルスキャンを実行する場合は、[Re-catalog before scan]オプションをオンにする必要はありません。

もう 1 つの方法は、ダッシュボードの [Outbreak Control]メニューから、スケジュールされたエンドポイント IOC スキャンを作成することです。オフピーク中にスキャンを実行したい場合は、このオプションが最適です。スケジュールされたタスクを作成し、[Log on as Batch] グループポリシーアクセス権限を許可するには、対象のコンピュータへのアクセス権限が割り当てられたアカウントのクレデンシャルを入力する必要があります。