J セキュリティ基礎
マルウェア感染時に監視の記録が役立つ場面
マルウェアの検知は、セキュリティソフトの役割です。では監視ソフトは、感染した後に何の役に立つのでしょうか。感染時の記録の使い方を整理します。
感染したときに知りたいこと
| 知りたいこと | 記録から分かるか |
|---|---|
| いつ感染したか | 外部媒体の利用やダウンロードの記録から推定できる |
| 何が持ち出されたか | ファイル操作と送信の記録から確認できる |
| 他に感染した端末 | 同じ操作の有無から絞り込める |
感染の検知はできませんが、影響の範囲を絞る材料になります。
初動で見る記録
感染が疑われる端末について、感染が推定される時刻の前後の記録を確認します。外部媒体の接続、実行ファイルの起動、外部への送信。同じ操作をした端末を探し、二次感染の有無を確認します。この作業が、被害の拡大を防ぎます。
感染経路の特定
添付ファイルの開封、不審なサイトの閲覧、外部媒体の接続。記録から経路の候補を絞り、再発防止につなげます。経路が分かれば、教育や制限の対象を具体化できます。
関連して情報漏洩 経路もご覧ください。
平時にできる備え
感染時の調査は、記録が残っていて初めて機能します。保存期間が短いと、感染が判明した時点で記録が消えている場合があります。調査に必要な期間を確保し、外部媒体の利用と送信の記録は長めに残します。
保存期間の設計は監視 ログ 保存期間をご覧ください。
よくある質問
Q. 監視ソフトでマルウェアを検知できますか。
A. 検知は主な役割ではありません。不審な操作の記録から、感染の兆候に気づける場合があります。
Q. 感染した端末の記録は消すべきですか。
A. 調査が終わるまで保存します。端末を初期化すると記録も失われるため、先に記録を保全してください。
確認チェックリスト
- 感染が疑われる時刻の前後の記録を、確認する手順がある
- 外部媒体の接続記録を、保存している
- 同じ操作をした端末を、特定できる状態か
- 端末を初期化する前に、記録を保全する手順がある
- 調査に必要な期間の記録が、残る設定になっている
- 経路の特定結果を、再発防止に反映している
まとめ
監視ソフトは感染を検知しませんが、影響の範囲と経路を絞る材料になります。平時から保存期間を確保し、初動で前後の記録を確認できる状態にしてください。
iMonitor でできること
本記事の内容を踏まえて、機能と導入条件を確認したい方は次のページをご覧ください。