Heimdal ユーザーガイド
Ransomware Encryption Protection 編
Rev. 1.02023/05/22

目次
1はじめに .......................................................................................................................................... 2
1.1

Heimdal Ransomware Encryption Protection について .................................................... 2

1.2

ランサムウェア暗号化保護機能 ............................................................................................ 3

1.3

動作イメージ図 ....................................................................................................................... 3

2

Heimdal Agent ............................................................................................................................... 53

ダッシュボード ビュー ............................................................................................................... 7

4

エンドポイント設定 ..................................................................................................................... 11

5

API パラメータ ............................................................................................................................. 13

6

お問い合わせ ................................................................................................................................ 14

変更履歴
版

発行日

第 1.0 版

2023/05/22

変更内容
新規作成

ジュピターテクノロジー株式会社

Ransomware Encryption Protection
ユーザーガイド
Rev1.0

1

はじめに

1.1

お客様に提供しているガイドについて

弊社ではお客様に製品について提供しているサポートドキュメントとして以下の種類のものがあります。
1.

Heimdal 評価ガイド

2.

Heimdal 製品ガイド

3.

Heimdal ユーザーガイド

1.2

Heimdal ユーザーガイドについて

Heimdal のユーザーガイドについては以下をご用意しています。
1.

Heimdal ユーザーガイド プラットフォーム編

2.

Heimdal ユーザーガイド Email Fraud Prevention 編

3.

Heimdal ユーザーガイド Email Security 編

4.

Heimdal ユーザーガイド Threat Prevention Endpoint 編

5.

Heimdal ユーザーガイド Threat Prevention Network 編

6.

Heimdal ユーザーガイド Next-Gen Antivirus 編

7.

Heimdal ユーザーガイド Ransomware Encryption Protection 編(当ガイド)※必ず Heimdal ユーザーガイド プラットフォーム編」と使用するモジュールのユーザーガイドをお読みください。

1.3

Heimdal Ransomware Encryption Protection について

Heimdal Ransomware Encryption Protection は、ランサムウェア攻撃中に開始される悪意のある暗号化の試みからデバイスを保護する、100%シグネチャ不要の画期的なソリューシ
ョンです。REP は、従来のアンチウィルスの機能を拡張し、あらゆるタイプのランサムウ
ジュピターテクノロジー株式会社

Ransomware Encryption Protection
ユーザーガイド
Rev1.0ェア攻撃からエンドポイントを予防・保護することができるソリューションとなります。

1.4

ランサムウェア暗号化保護機能

REP は I/O の読み取り、書き込み、ディレクトリの列挙、およびファイルの実行のためのカーネルイベントを処理しています。実際のランサムウェアによって作成されているのと同じパターンを研究した上で、収集したイベントに対してパターンを照合しています。このエンジンは、プロセスが疑わしいという評決を下すまで、3 つのファイルが暗号化されることを許可します。フラグが立てられると、疑わしいプロセスに関する詳細が収集され、HEIMDAL サーバーに送信されます。これらの詳細には、プロセスのコマンドライン引数、ネットワーク接続（IP アドレスとポート）、検出時の読み取り/書き込み操作数、さらに疑わしいプロセスからルートプロセスへのトレースバックのプロセスツリーが含まれます。
ランサムウェア暗号化保護モジュールは、Heimdal Insights と呼ばれる新しい Windows サービスに基づいています。このサービスは、アクティブなプロセスを恒久的にスキャンし、各プロセスのアクションをマッピングし、実行中のプロセスで暗号化パターンを検索する役割を果たします。Heimdal Insights サービスは、グループポリシーでモジュールが有効になっている場合にのみ実行されます。グループポリシーで REP が無効になっている場合、Heimdal Insights サービスは存在しますが、実行されません。

1.5

動作イメージ図

図は REP の動作イメージです。

ジュピターテクノロジー株式会社

Ransomware Encryption Protection
ユーザーガイド
Rev1.0ジュピターテクノロジー株式会社

Ransomware Encryption Protection
ユーザーガイド
Rev1.0

2

Heimdal Agent

HEIMDAL Agent は、検出された検出数、総プロセス数、最新の検出時間に関する情報を表示します。

Ransomware Encryption Protection セクションには、検出数、プロセス名、PID、所有者、日付、ステータスに関する情報が含まれています。

ジュピターテクノロジー株式会社

Ransomware Encryption Protection
ユーザーガイドRev1.0ジュピターテクノロジー株式会社

Ransomware Encryption Protection
ユーザーガイド
Rev1.03ダッシュボードビュー※ダッシュボードの設定方法については Heimdal プラットフォーム共通ガイドを参照ください。
Endpoint Detection ＞ Ransomware Encryption Protection のダッシュボード

ビューには、組織内のエンドポイント上で実行されている HEIMDAL Agent が収集したすべての情報が表示されます。収集された情報は、HEIMDAL Agent エンジンによってインターセプトされた検出されたプロセスを指します。上部には、検出された数に関する統計が表示されます。

収集された情報は、以下のビューに配置されます： Latest
Detections と Hostname/Detections です

Latest Detections
このビューには、以下の詳細が記載されたテーブルが表示されます：ホスト名、ユー
ザー名、プロセス名、ブロック理由、PID、所有者、ステータス、タイムスタンプ。
このビューでは、1 つまたは複数の感染したファイルを選択し、それを除外したり、ストレージに追加したりすることができます。

ジュピターテクノロジー株式会社

Ransomware Encryption Protection
ユーザーガイド
Rev1.0Process Name 列で、プロセスをクリック (または Forensics の 'F' アイコン) してプロセスの詳細を表示したり、VirusTotal のアイコンをクリックして VirusTotal の詳細分析を取得することができます。なお、REP のエントリーについては、90 日間の保存ポリシーを設けています。つまり、90 日以上前の Latest Detections ビューからのエントリーはすべて削除されます。

Hostname/Detections

このビューでは、以下の詳細が記載されたテーブルが表示されます：ホスト名、ユーザー名、一致した数。

Process Details ビューでは、親プロセスと生成されたプロセス、その PID、ユーザー名、ファイル名、パス、コマンドライン、スレッド数、上位 3 つの暗号化ファイル、書き込み操作、読み取り操作、MD5、署名、所有者についての情報を提供します。

ジュピターテクノロジー株式会社

Ransomware Encryption Protection
ユーザーガイド
Rev1.0また、検出されたプロセスのネットワークアクティビティに関する情報が表示され、ファイアウォールでブロックする IP アドレスを 1 つまたは複数選択できます（1 つ、複数、またはすべてのグループポリシー上で）。

除外（例外登録）は、1 つまたは複数の検出を選択し、ドロップダウンメニューから Excludeと Apply ボタンを押すことによって行うことができます。これにより、1 つまたは複数のグループポリシー、またはすべてのグループポリシーのファイルを除外することができる次のモーダルがポップアップ表示されます。検出は、ファイル名、フォルダパス、ファイルパス、MD5 で除外することができます：

ジュピターテクノロジー株式会社

Ransomware Encryption Protection
ユーザーガイド
Rev1.0CSV ダウンロード機能により、各ビューに対応する標準モードまたは詳細モードのすべての情報を含む CSV レポートを生成し、ダウンロードすることができます。
フィルタ機能により、許可された検出またはブロックされた検出によってエントリーをフィルタリングすることができます。

ジュピターテクノロジー株式会社

Ransomware Encryption Protection
ユーザーガイド
Rev1.0

4

エンドポイント設定

Ransomware Encryption Protection モジュールは、悪意を持ってエンドポイント上のファイルに対して暗号化操作を実行するプロセスを検出します。このモジュールは、IO の読み取り、書き込み、ディレクトリの列挙、およびファイルの実行のためのカーネルイベントを処理しています。パターンは、実際のランサムウェアによって作成されているのと同じパターンを研究した後、収集したイベントと照合されます。このエンジンは、プロセスが疑わしいという評決を下すまで、3 つのファイルが暗号化されることを許可します。フラグが立てられると、疑わしいプロセスに関する詳細が収集され、Heimdal のサーバーに送信されます。
Home＞Endpoint Settings >ポリシーを選択 > Endpoint Detection > Ransomware
Encryption Protection

ジュピターテクノロジー株式会社

Ransomware Encryption Protection
ユーザーガイド
Rev1.0Ransomware Encryption Protection - Ransomware Encryption Protection モジュールのオン/オフを切り替えます。

General Settings
Reporting mode - 有効にすると、Ransomware Encryption Protection が検出したプロセスをブロックせずに報告します
Agent Baloon Notifications - 暗号化検出時の Agent バルーン通知の ON/OFF ができます。
Isolate on Tamper Detection - Tamper Detection が行われた際の隔離機能の ON/OFF を設定することができます。この機能を有効にすると、ファイアウォール製品/サービスが有効になり、この動作が観測されたエンドポイントがネットワークから隔離されます（したがって、横移動が防止されます）。本機能を利用するためには、Next-Gen Antivirus & MDM および Firewall 製品/サービスのライセンスが必要であり、Firewall 製品が無効になっている場合でも、自動的に有効にします（それ以外の場合は、該当するチェックボックスがグレーアウト/非機能になります）。
Exclusions - ファイル名、ファイルパス、ディレクトリパス、MD5、ワイルドカードを REPモジュールでブロックされないように除外することができます。除外セクションには、除外リストを含む CSV レポートをダウンロードするためのダウンロードボタンがあります。

ジュピターテクノロジー株式会社

Ransomware Encryption Protection
ユーザーガイド
Rev1.05API パラメータ

本 API は、お客様の Ransomware Encryption Protection の統計情報（ホスト名、IP Address、ファイル、脅威カテゴリ、感染名、プロセス名、ステータス、解決、タイムスタンプ）を取得します。

GET メソッド
パラメータ: encryptiondetection
オプションパラメータ: resolution
例:

https://rcdashboard.heimdalsecurity.com/api/heimdalapi/encryptiondetection?customer
Id=229584&startDate=2021-04-06T12:00&endDate=2021-05-06T11:59

Output:"hostname": "WORKSTATIONADU¥¥hcj","ip": "192.168.100.23","file": "c:¥¥onedrivetemp¥¥s-1-5-21-2261967463-2817085238-8613880733245¥¥be749d47aef34e508a1bd9262bfcd9cb-355d93c8d1ec4505b8c642b2e8973223be38a1826a6b4baf9d8ecc7e12a238bca4f9b0bc6a7ad1c9011a3aa33a9a45f9f19ad4b5.temp","threatCategory": "trojan","infectionName": "TR/Agent.gyl","processName": "-",
"status": "Infected","resolution": "FNOTEXIST","timestamp": "2021-04-05T08:30:47.1134657+00:00"※その他 API の設定方法については Heimdal プラットフォーム共通ユーザーガイドを参照ください。
ジュピターテクノロジー株式会社

Ransomware Encryption Protection
ユーザーガイド
Rev1.0

6

お問い合わせHeimdal についてご不明な点がございましたら、以下までお問い合わせください。

ジュピターテクノロジー株式会社（Jupiter Technology Corp.）

住所：〒183-0023 東京都府中市宮町一丁目 40 番地 KDX 府中ビル 6F

URL：

https://www.jtc-i.co.jp/

電話番号：

042-358-1250

FAX 番号：

042-360-6221

ご購入のお問い合わせ：
お問い合わせフォーム

https://www.jtc-i.co.jp/contact/scontact.php

メール

sales@jtc-i.co.jp

製品サポートのお問い合わせ：カスタマーポータル https://www.jtc-i.co.jp/support/customerportal/

ジュピターテクノロジー株式会社

Ransomware Encryption Protection
ユーザーガイド
Rev1.0