Trellix Intelligent Sandbox

製品概要

マルウェア対策に必要な3つのF

FIND (検出)
革新的な解析技術が迅速かつ正確に連携することで、複数のプロトコル間で今日の高度な脅威を検出

FREEZE (被害の最小化)
ネットワークセキュリティソリューションとの統合により、デバイスへの感染の拡大を阻止

FIX (修復)
Trellix Threat Intelligence Exchange(TIE)で脅威情報を集約、各Trellix製品へ共有することで効率よく修復を行い、Trellix ePOで状況を確認

マルウェア対策に必要な3つのF

FIND、FREEZE、FIXの特長

多層化された検知テクノロジー (FIND)
アンチウイルスエンジン、クラウド上データベースでのファイルレピュテーション (GTI)、エミュレーションエンジンが含まれたリアルタイムダウンセレクターエンジンで、既知 (一部は未知) のマルウェアを検知します。それらで発見できない主に未知のマルウェアに対しては、更に動的解析(サンドボックス)、静的コード解析を実行して、より迅速且つ正確に脅威の状態を検知します。

リアルタイム防御 (FREEZE)
Trellix Network Security PlatformやSkyhigh Secure Web Gatewayとの連携により、検知したマルウェアをリアルタイムで防御します。

感染端末の特定と修復 (FIX)
Trellix Threat Intelligence Exchangeとの連携により感染端末を特定、修復します。

ダウンセレクター

ダウンセレクター(以下の①～⑤)は、負荷が高く・解析に時間が掛かる動的解析エンジンの手前で動作し、動的解析が必要なファイルの選択を行います。より多くの解析を実現するのに大いに役立ちます。

静的コード解析とは

シグネチャベースのテクノロジーは、未知の脅威に対する効果が限定的なのはよく知られていることです。そこで、実際の挙動 (ふるまい) を安全な仮想環境で解析することにより、未知のマルウェア検知を可能にしたのがサンドボックステクノロジーです。サンドボックスは標的型攻撃対策に有効ですが、それだけでは不安もございます。

特定の環境や日時にしか実行されないマルウェア・ハイパーバイザ—上では隠蔽工作のため実行されないマルウェア・IPアドレスやアプリケーションなど特定の環境下のみで実行するマルウェア・特定の日時まで実行を延ばすマルウェアインタラクティブなマルウェア何度か入力やクリックを経てからでなければ実行されないマルウェアまとめるサンドボックス解析ではクリーンなファイルに見えてしまう

Trellix Intelligent Sandboxのマルウェア解析レポートサンプル 1
サンドボックスでの動的解析ではコード全体の17%の解析に留まっている。 (赤は存在するが未実行の機能、青は実行済の機能)

実際にサンドボックス解析を行っても、これらの制限他が影響し、コードの半分は把握できても残りについてはどのような挙動を取るのか分からないケースも確認しています。
静的コード解析は、動的サンドボックス解析を補完してプログラムの内部構造を分析し、サンドボックスだけでは解析が困難な隠蔽されたコードやロジックを発見します。

Trellix Intelligent Sandboxのマルウェア解析レポートサンプル 2
サンドボックスでの解析結果は危険度3であったが、静的コード解析によって他のマルウェアと類似する未知のマルウェアを確認したため、最終結果は危険度5と判断された。静的コード解析により判明した既出マルウェアとの類似性(%)も報告される。