目次

はじめに

発生フィルタとは何か。

ESA で Sophos または McAfee ウイルス対策ソフトウェアを実行していない場合でもアウトブレイク フィルタを使用できますか

発生フィルタはいつメッセージを検疫しますか。

発生フィルタ ルールはどのように書かれているか。

発生フィルタを設定するための最良の方法がありますか。

I レポートはどのように不正確な発生フィルタ支配するか。

アウトブレイク隔離がいっぱいになるとどうなりますか

アウトブレイク ルールの脅威レベルにはどのような意味がありますか

発生が発生するときどのように警告することができますか。

関連情報

概要

この資料はいくつかの Cisco E メール セキュリティ アプライアンス（ESA）の発生フィルタ、またはウイルス発生フィルタ（VOF）に関するより多くの FAQ を、記述し、回答したものです。

発生フィルタとは何か。

注: 現在実行している E メール セキュリティ用の AsyncOS のバージョンのためのユーザガイドを検討することを確かめて下さい。  例、Cisco E メール セキュリティ アプライアンスの AsyncOS 13.0 のためのユーザガイド、章: アウトブレイク フィルタ

アウトブレイク フィルタは大規模なウイルスの拡散や小規模な非ウイルス性の攻撃（フィッシング詐欺およびマルウェア配布など）が発生した際にネットワークを保護します。 データが収集され、ソフトウェアの更新が公開されるまで新たなアウトブレイクを検知できない、ほとんどのアンチマルウェア セキュリティ ソフトウェアとは異なり、シスコは感染が拡散したときにデータを収集し、ユーザにこれらのメッセージが到達することを防ぐためにリアルタイムで ESA に更新情報を送信します。

シスコは着信メッセージは、着信メッセージが安全またはアウトブレイクの一部であることを判断するルールを開発するためにグローバル トラフィック パターンを使用します。 アウトブレイクの一部である可能性があるメッセージは、シスコからアップデートされたアウトブレイクの情報または Sophos および McAfee によって発行される新しいアンチウイルス定義に基づいて安全と判断されるまで隔離されます。

小規模な非ウイルス性の攻撃で使用されるメッセージは、正当に見える外見、受信者情報、そして短期間だけオンラインに存在し Web セキュリティ サービスが知らないフィッシングおよびマルウェア Web サイトを参照するカスタム URL を使用します。 アウトブレイク フィルタはメッセージの内容を分析し、この種の非ウイルス性の攻撃を検出するために URL リンクを検索します。 アウトブレイク フィルタは Web セキュリティ プロキシによって潜在的に危険な Web サイトへのトラフィックをリダイレクトするために URL を書き換え、ユーザがアクセスしようとしている Web サイトが悪意があるかもしれないことを警告するかまたは Web サイトを完全にブロックします。

ESA で Sophos または McAfee ウイルス対策ソフトウェアを実行していない場合でもアウトブレイク フィルタを使用できますか

Cisco はウイルス添付ファイルに対する防御を高めることを発生フィルタに加えてアンチウィルス Sophos か McAfee が可能にすることを推奨します。 ただし、発生フィルタはアンチウィルス Sophos か McAfee が有効に なるように要求しないで独自に動作できます。

発生フィルタはいつメッセージを検疫しますか。

メッセージが隔離されるのは、メッセージに含まれている添付ファイルが、現在のアウトブレイク ルールまたはメール管理者が設定したしきい値に一致するかまたはこれらの値を超える場合です。 Cisco は Feature 鍵 有効ながある各 ESA に現在の発生ルールを送達します。 アウトブレイクの一部である可能性があるメッセージは、シスコからアップデートされたアウトブレイクの情報または Sophos および McAfee によって発行される新しいアンチウイルス定義に基づいて安全と判断されるまで隔離されます。

発生フィルタ ルールはどのように書かれているか。

発生ルールは Ciscoセキュリティ情報収集活動（SIO）によって、より速い応答時間をより強い保護に与えるために Ciscoセキュリティ アプライアンスのグローバル な 脅威 情報、評判ベースのサービスおよび洗練された分析を接続するセキュリティ生態系送達されます。  デフォルトで、アプライアンスはサービス更新の一部としてをチェックし、新しい発生を支配します 5 分毎にダウンロードします。

SIO は 3 つのコンポーネントで構成されています:

- SenderBase 、ネットワークおよび脆弱性データベースのモニタ世界で最も大きい脅威。

- Talos、証券アナリストおよび自動化 システムの Cisco グローバル なチーム。

- 動的更新は、自動的に発生としてアプライアンスに提供されるリアルタイム更新実行されます。

発生フィルタを設定するための最良の方法がありますか。

はい。  サービス レベルに関する推奨事項は次の通りです:

- 有効適応性があるルール

- 2M にスキャンするために最大メッセージ サイズを設定 して下さい

- イネーブルになった Web 相互対話 トラッキング

来信ポリシー レベルの設定は毎ポリシー基礎顧客ごとで決定される必要があります。

I レポートが不正確な発生フィルタ支配する仕組み

2 つの方法の 1 つの false positive か偽負を報告することができます:

1. Cisco サポート ケースをオープンして下さい: https://mycase.cloudapps.cisco.com/case

2. Talos の評判チケットを開いて下さい: https://talosintelligence.com/reputation_center/support

発生フィルター規則を精製できる条件は下記にあります:

- ファイル拡張子

- ファイル シグニチャ（マジック） （「本当」型を示すファイルのバイナリ シグニチャ）

- URL

- ファイル名

- ファイル サイズ

アウトブレイク隔離がいっぱいになるとどうなりますか

隔離が、割り当てられている最大スペース容量を超えるか、またはメッセージが最大時間設定を超えると、隔離を制限内に維持するため、メッセージが隔離から自動的にプルーニングされます。 メッセージはファーストイン ファーストアウト（FIFO）ベースで削除されます。 つまり、最も古いメッセージが最初に削除されます。 隔離からプルーニングする必要があるメッセージを解放（つまり配信）するか、または削除するように隔離を設定できます。 RELEASE メッセージに選択する場合メッセージは検疫から強制だったこと受信者に警告する規定 するテキストとタグ付けされる件名があるために、選ぶことができます。

アウトブレイク隔離から解放されたメッセージは、ウイルス対策モジュールにより再度スキャンされ、ウイルス対策ポリシーに基づいてアクションが実行されます。 このポリシーに基づき、メッセージの配信、削除、またはウイルスに感染した添付ファイルを削除した状態での配信のいずれかの処理が行われます。 アウトブレイク隔離からの解放後の再スキャン中に、ウイルスが検出されることがよくあります。 ESA mail_log またはメッセージ トラッキングを参照して、隔離に示されていた個々のメッセージがウイルスに感染していることが検出されたかどうか、およびそのメッセージが配信されるかどうか、配信される場合はその配信方法を確認できます。

システム隔離がいっぱいになる前に、使用中の隔離が 75% に達した時点でアラートが送信され、さらに 95% に達した時点で別のアラートが送信されます。 アウトブレイク隔離には、特定のウイルス脅威レベル（VTL）に一致するすべてのメッセージを削除または解放できる追加の管理機能があります。 これは点ウイルスに脅威を当たる検疫の容易なクリーニングをアンチウィルス アップデートが受信された後可能にします。

アウトブレイク ルールの脅威レベルにはどのような意味がありますか

アウトブレイク フィルタは、0 ～ 5 の脅威レベルで動作します。 脅威レベルは、ウイルス感染発生の可能性を評価します。 ウイルス感染発生リスクに基づき、脅威レベルは疑わしいファイルの隔離に反映されます。 脅威レベルはアンチウィルス ベンダーからのネットワーク トラフィック、疑わしいファイル アクティビティ、入力、および Cisco SIO によって分析を含むがそれに限定されずいくつかのファクタに、基づいています。  また、アウトブレイク フィルタではメール管理者がネットワークに対する脅威レベルの影響を増減できます。

レベル

リスク

意味

0

なし

メッセージが脅威であるリスクはありません。

1

低

メッセージが脅威であるリスクは低です。

2

低または中

メッセージが脅威であるリスクは低から中です。 それは「疑われた」脅威です。

3

中間

メッセージが確認されているアウトブレイクの一部であるか、メッセージの内容が脅威である中から高のリスクがあります。

4

高

メッセージが大規模アウトブレイクの一部であることが確認されているか、メッセージの内容が非常に危険です。

5

Extreme

メッセージの内容は膨大なスケールか大規模および非常に危ないである発生の一部に確認されます。

発生が発生するときどのように警告することができますか。

発生フィルタが新しい受け取ったり/ときメッセージ プロファイルの特定の型の検疫脅威レベルを上げるルールを設定されたアラート eメールアドレスに送られる電子メール メッセージによって警告することができますアップデートします。 水平な脅威が設定された閾値の下で下るとき、別のアラートは発信されます。 こうしてウイルス添付ファイルの進行状況を監視できます。  これらのメールは「情報」メールとして送信 されます。

注: 確認することはアラートが alertconfig コマンドを使用して CLI でに発信される、または GUI を受信しますことこれらのメール通知を、確認します eメールアドレス: システム 管理 > アラート。

設定するか、または設定を検討するため

- GUI： [Security Services] > [Outbreak Filters] で、[Edit Global Settings...] の下の設定を確認します。

- CLI：  outbreakconfig > setup

例：

> outbreakconfig

NOTICE: This configuration command has not yet been configured for the current cluster mode (Machine esa2.hc3033-47.iphmx.com).

What would you like to do?

1. Switch modes to edit at mode "Cluster Hosted_Cluster".

2. Start a new, empty configuration at the current mode (Machine esa2.hc3033-47.iphmx.com).

3. Copy settings from another cluster mode to the current mode (Machine esa2.hc3033-47.iphmx.com).

[1]>

Outbreak Filters: Enabled

Choose the operation you want to perform:

- SETUP - Change Outbreak Filters settings.

- CLUSTERSET - Set how the Outbreak Filters are configured in a cluster.

- CLUSTERSHOW - Display how the Outbreak Filters are configured in a cluster.

[]> setup

Outbreak Filters: Enabled

Would you like to use Outbreak Filters? [Y]>

Outbreak Filters enabled.

Outbreak Filter alerts are sent when outbreak rules cross the threshold (go above or back down below), meaning that new messages of certain types could be quarantined or will no longer be quarantined, respectively.

Would you like to receive Outbreak Filter alerts? [Y]> y

What is the largest size message Outbreak Filters should scan?

[2097152]>

Do you want to use adaptive rules to compute the threat level of messages? [Y]>

Logging of URLs is currently enabled.

Do you wish to disable logging of URL's? [N]>

Web Interaction Tracking is currently enabled.

Do you wish to disable Web Interaction Tracking? [N]>

The Outbreak Filters feature is now globally enabled on the system. You must use the 'policyconfig' command in the CLI or the Email Security Manager in the GUI to enable Outbreak Filters for the desired Incoming and Outgoing Mail Policies.

関連情報

- Cisco 電子メール セキュリティ アプライアンス - エンド ユーザ ガイド

- テクニカル サポートとドキュメント – Cisco Systems