注記
Cloud サンドボックス分析を使用するには、Advanced Threat Protection ライセンスが必要です。
行動ベース分析は、セキュリティチームが高度な脅威を検出するための重要な技術です。制御されたサンドボックス環境で疑わしいファイルを爆発させることにより、観察された悪意のあるファイルの動作を記録し、フォレンジック分析に使用できます。 Netskopeのクラウドベースの動的サンドボックス分析エンジンは、回避技術に強く、Netskopeの高性能なクラウド規模のセキュリティプラットフォーム上に構築されているため、脅威からの保護を最適化します。
Netskope Cloud サンドボックス エンジン:
- 制御されたサンドボックス環境内でファイルを爆発させる。
- サンプルを監視し、広範囲にわたる悪意のある動作を検出します。
- 巧妙なゼロデイマルウェアを検出します。
- REST APIのサンプル送信を許可します。
侵害指標（IOC）を構造化脅威情報表現（STIX）形式でエクスポートすることで、他の組織と情報を一貫して交換できます。同様に、アーティファクトの分析中に生成されたネットワークトラフィック（つまり、PCAPファイル）をエクスポートすることもできます。例えば、解析結果から、ドロッパーが実行中に第2段階のペイロードをダウンロードしていることがわかるかもしれない。
また、検出されたアーティファクトのハッシュをテナントにすぐに追加し、VirusTotal でサンプルを検索し、REST API を使用してサンプルをサンドボックスに直接送信することもできます。
クラウドサンドボックスの分析結果を表示するには：
- Incidents > Malwareへ移動してください。
- Malware Name欄でマルウェア名をクリックすると、マルウェアの詳細ページに移動します。
- File Name列でファイル名をクリックすると、ファイル詳細ページが表示されます。
- Netskope Cloud Sandboxセクションを展開してください。以下の情報が表示されます。
- Observed Behavior: MITRE ATT&CK ® for Enterprise にマッピングされた戦術、技術、手順 (TTP) のツリー表現で観察されたサンプル動作を示します。
MITRE ATT&CKフレームワークは、現実世界の観測に基づいた、攻撃者の戦術と技術に関する、世界的にアクセス可能な知識ベースです。Netskope Cloud サンドボックスで観察された動作は MITRE ATT&CK ®フレームワークにマッピングされ、セキュリティ チームがインシデントの規模と影響を迅速に理解し、実用的な軽減策を推進できるようになります。
- Screenshots検出処理中にユーザーのモニターに表示された内容を示します。
- Processes Monitoredマルウェアが検出された際に発生したプロセス全体の流れを示します。
- Sandbox Files Dropped検出プロセス中に作成されたファイルのハッシュ値とファイル名を表示します。
- Accessed Hosts: サンプルが検出プロセス中にアクセスしたホストの地理的位置情報、ホスト名、IPアドレス、国、およびプロトコルを表示します。
- Observed Behavior: MITRE ATT&CK ® for Enterprise にマッピングされた戦術、技術、手順 (TTP) のツリー表現で観察されたサンプル動作を示します。