Eメールセキュリティアプライアンスでの高度なマルウェア防御のテスト

はじめに

このドキュメントでは、Cisco Eメールセキュリティアプライアンス(ESA)で高度なマルウェア防御(AMP)機能をテストおよび検証する方法について説明します。

バックグラウンド情報

開始する前に、ファイルレピュテーションおよびファイル分析機能キーがアクティブであり、AMPが受信メールポリシーで有効になっていることを確認します。この手順では、ESAが添付ファイルをスキャンし、マルウェアが検出されたときにドロップや書き換えなどの予期されたアクションを適用することを検証します。AMP判定エントリのmail_logsとGUIのMessage Tracking and Monitor > Advanced Malware Protectionで結果を確認します。

ESA 上での AMP のテスト

ESA用のAsyncOS 8.5のリリースにより、AMPはファイルレピュテーションスキャンとファイル分析を実行して、添付ファイル内のマルウェアを検出します。  

機能キー

AMPを実装するには、ファイルレピュテーションとファイル分析に有効でアクティブなESA機能キーが必要です。GUIの場合はSystem Administration> Feature Keysの順に選択するか、CLIの場合はfeaturekeysを使用して、機能キーを確認します。

セキュリティ サービス 

GUIからサービスを有効にするには、Security Services > File Reputation and Analysisの順に移動します。CLI からは、ampconfig を実行することができます。設定に対する変更を送信してコミットします。

受信メール ポリシー

サービスを有効にしたら、そのサービスを受信メール ポリシーに対応付ける必要があります。

1. [Mail Policies] > [Incoming Mail Policies] に移動します。
2. 必要に応じて、デフォルト ポリシーまたは事前設定ポリシーを選択します。 Incoming Mail PoliciesページのAdvanced Malware Protection列が表示されます。
3. その列の [Disabled] リンクを選択し、オプション ページで [Enable File Reputation] と [Enable File Analysis] を選択します。
4. 必要に応じて、メッセージ スキャン、スキャン不能の添付ファイルに対するアクション、および肯定的に識別されたメッセージに対するアクションで設定を拡張することができます。 
5. 設定に対する変更を送信してコミットします。

テスト

マルウェアのスキャンと検出を行うための受信メールポリシーが有効になりました。テストする本物のマルウェア サンプルを用意する必要があります。有効なサンプルが必要な場合は、「European Institute for Computer Antivirus Research（eicar）」ダウンロード ページを参照してください。

注意：これらのファイルまたはAVスキャナがこれらのファイルと組み合わされて、コンピュータまたはネットワーク環境に損害を与えた場合、シスコは責任を負いません。これらのファイルは自己責任でダウンロードしてください。 これらのファイルは、AVスキャナ、コンピュータ設定、およびネットワーク環境を使用して十分にセキュリティ保護されている場合にのみダウンロードしてください。この情報はテストや再現の目的に対して適用されます。

ESAを介して添付ファイルを送信し、有効な事前設定された電子メールアカウントを使用して通常の処理を行います。ESAのCLIとtail mail_logsを使用して、メールの処理中にメールを監視できます。メールログにメッセージID(MID)が表示されます。 出力は次のようになります。

Thu Sep 18 16:17:38 2014 Info: New SMTP ICID 16488 interface Management
(192.168.0.199) address 65.55.116.95 reverse dns host blu004-omc3s20.hotmail.com
verified yes
Thu Sep 18 16:17:38 2014 Info: ICID 16488 ACCEPT SG UNKNOWNLIST match sbrs
[-1.0:10.0] SBRS 5.5
Thu Sep 18 16:17:38 2014 Info: Start MID 1653 ICID 16488
Thu Sep 18 16:17:38 2014 Info: MID 1653 ICID 16488 From: <joe_user@hotmail.com>
Thu Sep 18 16:17:38 2014 Info: MID 1653 ICID 16488 RID 0 To: 
<any.one@mylocal_domain.com>
Thu Sep 18 16:17:38 2014 Info: MID 1653 Message-ID '<BLU437-SMTP10E1315A60354F2
906677B9DB70@phx.gbl>'
Thu Sep 18 16:17:38 2014 Info: MID 1653 Subject 'Your Daily Update''
Thu Sep 18 16:17:38 2014 Info: MID 1653 ready 2313 bytes from 
<joe_user@hotmail.com>
Thu Sep 18 16:17:38 2014 Info: MID 1653 matched all recipients for per-recipient 
policy DEFAULT in the inbound table
Thu Sep 18 16:17:38 2014 Info: ICID 16488 close
Thu Sep 18 16:17:39 2014 Info: MID 1653 interim verdict using engine: 
CASE spam negative
Thu Sep 18 16:17:39 2014 Info: MID 1653 using engine: CASE spam negative
Thu Sep 18 16:17:39 2014 Info: MID 1653 AMP file reputation verdict : MALWARE
Thu Sep 18 16:17:39 2014 Info: Message aborted MID 1653 Dropped by amp
Thu Sep 18 16:17:39 2014 Info: Message finished MID 1653 done 

上の例は、AMP がマルウェアの添付ファイルを検出し、デフォルト設定に基づく最終アクションとしてドロップしたことを示しています。

同じ詳細が GUI からのメッセージ トラッキングにも表示されます。

受信メールポリシーからAMP設定で確実に特定されたマルウェアまたはその他の高度なオプションを配信することを選択した場合、次のメール処理結果が表示される可能性があります。

Thu Sep 18 21:54:30 2014 Info: MID 1655 AMP file reputation verdict : MALWARE
Thu Sep 18 21:54:30 2014 Info: MID 1655 rewritten to MID 1656 by AMP

次のように、レピュテーション判定は MALWARE に対して肯定的なままです。 書き換えられるアクションは、[WARNING: MALWARE DETECTED]のメッセージ変更アクションと件名行のプリペンドに従います。  

クリーン ファイルまたは処理中にマルウェアとして特定されなかったファイルの場合は、次の判定がメール ログに書き込まれます。

Thu Sep 18 21:58:33 2014 Info: MID 1657 AMP file reputation verdict : CLEAN

AMP+ メッセージの高度なメッセージ追跡

また、GUI から、メッセージ トラッキングと高度なドロップダウン メニューを使用することによって、高度なマルウェア防御肯定メッセージを直接検索することができます。

高度なマルウェア防御レポート

ESAのGUIでは、AMPを通じて肯定的に識別されたメッセージのレポートトラッキングも確認できます。Monitor > Advanced Malware Protectionの順に移動し、必要に応じて時間範囲を変更します。以前の入力の例と同様に表示されます。

トラブルシュート

AMP によって肯定的にスキャンされた既知の本物のマルウェア ファイルが表示されない場合は、メール ログを確認して、AMP がメッセージをスキャンする前に他のサービスがメッセージや添付ファイルに対してアクションを実行しなかったことを特定します。

以前使用した例で Sophos Anti-virus が有効になっている場合は、それが実際に添付ファイルでウイルスを検出してアクションを実行します。

Thu Sep 18 22:15:34 2014 Info: New SMTP ICID 16493 interface Management 
(192.168.0.199) address 65.55.116.95 reverse dns host blu004-omc3s20.hotmail.com
verified yes
Thu Sep 18 22:15:34 2014 Info: ICID 16493 ACCEPT SG UNKNOWNLIST match sbrs
[-1.0:10.0] SBRS 5.5
Thu Sep 18 22:15:34 2014 Info: Start MID 1659 ICID 16493
Thu Sep 18 22:15:34 2014 Info: MID 1659 ICID 16493 From: <joe_user@hotmail.com>
Thu Sep 18 22:15:34 2014 Info: MID 1659 ICID 16493 RID 0 To: 
<any.one@mylocal_domain.com>
Thu Sep 18 22:15:34 2014 Info: MID 1659 Message-ID '<BLU437-SMTP2399199FA50FB
5E71863489DB40@phx.gbl>'
Thu Sep 18 22:15:34 2014 Info: MID 1659 Subject 'Daily Update Final'
Thu Sep 18 22:15:34 2014 Info: MID 1659 ready 2355 bytes from 
<joe_user@hotmail.com>
Thu Sep 18 22:15:34 2014 Info: MID 1659 matched all recipients for per-recipient
policy DEFAULT in the inbound table
Thu Sep 18 22:15:35 2014 Info: ICID 16493 close
Thu Sep 18 22:15:35 2014 Info: MID 1659 interim verdict using engine: 
CASE spam negative
Thu Sep 18 22:15:35 2014 Info: MID 1659 using engine: CASE spam negative
Thu Sep 18 22:15:37 2014 Info: MID 1659 interim AV verdict using Sophos VIRAL
Thu Sep 18 22:15:37 2014 Info: MID 1659 antivirus positive 'EICAR-AV-Test' 
Thu Sep 18 22:15:37 2014 Info: Message aborted MID 1659 Dropped by antivirus
Thu Sep 18 22:15:37 2014 Info: Message finished MID 1659 done

受信メール ポリシーの Sophos Anti-virus 構成時の設定が、ウイルスに感染したメッセージのドロップに設定されます。 この場合は、添付ファイルに対するスキャンまたはアクションを実行するために AMP がアクセスされることはありません。

ただし、いつもそうであるとは限りません。メールログとメッセージID(MID)を確認して、別のサービスまたはコンテンツ/メッセージフィルタがAMP処理の前にMIDに対してアクションを実行せず、アクションに到達したことを確認する必要がある場合があります。

関連情報

• ESAでの高度なマルウェア防御のベストプラクティスガイド
• Cisco Eメールセキュリティアプライアンスアドミニストレータガイド – 高度なマルウェア防御
• Cisco E メール セキュリティ アプライアンス：エンドユーザ ガイド
• テクニカル サポートとドキュメント – Cisco Systems

更新履歴

改定	発行日	コメント
1.0	14-Nov-2014	初版