Netskope Advanced Threat Protectionには、高度なゼロデイ脅威や標的型攻撃を検出する複数の検出エンジンが搭載されています。包括的なマルチエンジンアプローチにより、より高い有効性と、一部の検出エンジンを回避するように最適化されている可能性のある巧妙な脅威に対する保護が保証されます。
Netskope Advanced Threat Protectionソリューションには以下が含まれます。
-
難読化解除と再帰的なファイル解凍機能に加え、350種類以上のインストーラー、パッカー、コンプレッサーに対応しています。
-
3,500種類以上のファイル形式ファミリーに対する実行前分析とヒューリスティック分析、およびWindows、Mac OS、Linux、iOS、Android、ファームウェア、Flash、PDF、その他のドキュメントタイプに対する3,000種類以上の静的バイナリ脅威指標。
-
ポータブル実行ファイル、Microsoft Office、PDFファイル、バッチファイル、Unicodeテキストファイル、アーカイブファイル、Microsoft Visio、RTF、Flash、HTML、Javaアプレット、その他のファイル形式など、30種類以上のファイル形式に対応したクラウドサンドボックス。例えば：
-
Archives
-
7-Zip (.7z)
-
レンペル・ジブ有限状態エントロピー（.lzfse）
-
Python Wheel (.whl)
-
Roshalアーカイブ（.rar、.rev）
-
テープアーカイブ（.tar）
-
ZIPアーカイブ（.zip）
-
ウェブ アプリケーション アーカイブ (.war)
-
Windowsアプリパッケージフォーマット（.msix）
-
-
証明書 (.pem、.crt、.cer、。鍵）
-
Executables
-
マイクロソフトソフトウェアインストーラー（.msi）
-
Windows実行ファイル（.exe）
-
-
マイクロソフトオフィス
-
Microsoft Access（.accdb、.mdb）
-
Microsoft コンパイル済み HTML ヘルプ (.chm)
-
Microsoft Excel (.xlsx、.xlsm)
-
Microsoft OneDrive (.one)
-
Microsoft Outlook (.msg, .mbx)
-
Microsoft PowerPoint (.pptx、.pptm)
-
Microsoft Silverlight (.xap)
-
Microsoft Word (.docx、.docm)
-
-
モバイル
-
Androidアプリケーションパッケージ（.apk）
-
Dalvik実行可能ファイル形式（.dex）
-
-
テキストベースのファイル形式
-
カンマ区切り値（.csv）
-
電子メールファイル(.eml)
-
拡張マークアップ言語（.xml、.sgm）
-
ハイパーテキストマークアップ言語 (.html、.htm、.xhtml)
-
JavaScriptオブジェクト表記法（.json）
-
ポータブルドキュメントフォーマット（.pdf）
-
Tab-Separated Values (.tsv)
-
テキストファイル（.txt）
-
-
Web Content
-
Adobe Flash (.swf)
-
Java (.jar)
-
MHTML ウェブ アーカイブ ファイル (.mht)
-
XPインストール（.xpiファイル）
-
-
Windowsファイル
-
Windowsバッチファイル（.bat）
-
Windowsコマンドプロンプト（.cmd）
-
Windowsショートカットファイル（.lnk）
-
-
-
機械学習は、PE、PDF、悪意のあるOfficeファイル、ファイル内の悪意のあるURLに対するMLモデルを使用して、未知の脅威、異常、および動作を検出するための詳細な分析を行います。
-
患者ゼロ アラート、サンドボックス API、RetroHunt API、および MITRE ATT&CK サンドボックス分析。
-
Netskopeがサンドボックス化を完了するまでファイルを保留することで、最初の感染者に対する保護措置を講じる。
-
マルウェア保持プロファイルを使用すると、悪意のあるファイルとして検出されたファイルを、SOC分析のために指定された場所に保持できます。
-
二次爆発および判決のためのサードパーティ製サンドボックスの統合。
高度な脅威対策は、従来のシグネチャベースの検出技術の限界を克服するディープスキャンエンジンを実現します。
-
未知のマルウェアを検出します（動的検出とシグネチャベース検出のどちらにも対応）。
-
動的分析を実行し、コマンド アンド コントロール (C2) ドメイン、IP、エンドポイント レジストリ キー、作成されたファイルなどの侵害の痕跡 (IOC) を特定できます。IOC は、アーティファクトを再分析することなく、同じマルウェアの次回の出現を検出するために使用できます。
-
患者ゼロアラートはゼロデイ攻撃の検出アラートを提供し、患者ゼロ保護ポリシーは、Netskopeの高度な脅威スキャンエンジンが無害であると判断した場合にのみ、未知のファイルをユーザーに公開します。Netskopeは未知のファイルを保留し、判定が下されるまでファイルの分析中であることをユーザーに通知します。Netskopeの高度な脅威検出エンジンは、ファイルの分析に最大10分（通常は約2分）かかる場合があり、その後、ファイルがユーザーに対してブロックされるか許可されるかが判断されます。
-
一般的なセキュリティオペレーションセンター（SOC）のワークフローに統合するためのREST API。
-
RetroHunt APIは、Netskopeアカウント内のトラフィックでファイルが(悪意的または無害かに関わらず)検出された場合、ハッシュ(例:MD5やSHA-256)で検出をクエリできるAPIを提供しています。さらに、各エンジンによる検出や評価のレポートも取得できます。詳しくは、Netskopeのテナントで Settings > Tools > REST API v2 にアクセスし、 API Documentationをクリックしてください。
-
サンドボックスファイル送信API。サンドボックスからファイルを送信し、詳細な分析レポートを取得できます。
-
-
マルウェア保持プロファイルを使用すると、インライン ユーザー トラフィックで悪意のあるものとして検出されたマルウェア サンプルを、顧客が指定したIaaSクラウドの場所に保持できます。 マルウェアのサンプルは、後日、追加分析のために回収することができます。保存場所はカスタマイズ可能で、ファイルは保護されます（zipファイル/パスワード）。
ATPアラートは マルウェア ページに表示されます。
高度な脅威対策統合の設定
Netskopeのクラウドプラットフォームは、ヒューリスティック分析、サンドボックス分析、ランサムウェアの検出と修復といった高度な脅威検出エンジンを含む、脅威防御機能を備えています。
また、 Palo Alto Networks Wildfire、 Juniper SkyATP、 Check Point SandBlast など、既存の信頼できる脅威検出製品を活用してNetskope ATPと連携させることもできます。高度な脅威対策ライセンスが必要です。
統合後、ステータスが緑色になっていることを確認してください。Settings > Threat Protection > Integrationへ移動してください。Advanced Threat Protectionの下で、 Status横にある緑色の矢印を探してください。ステータスが緑色であることを確認することで、ブロックリストに登録されたファイルと許可リストに登録されたファイルがランサムウェア検出スキャンに含まれていることが保証されます。
Palo Alto Networks Wildfireがサポートするファイル形式は以下のとおりです。
-
Androidアプリケーションパッケージ（APK）ファイル
-
Adobe Flashファイルアーカイブ（RARおよび7-Zip）ファイル
-
Javaアーカイブ（JAR）ファイル
-
Microsoft Office ファイル
-
Portable executable (PE) files
-
ポータブルドキュメントフォーマット（PDF）ファイル
-
Mac OS X files
-
Linux (ELF) files