Heimdal 管理者ガイド
ランサムウェア暗号化防御 編
Rev. 1.02023/07/31

目次
1はじめに ............................................................................................................................................. 2
1.1

お客様に提供しているガイドについて................................................................................... 2

1.2

Heimdal 管理者ガイドについて .............................................................................................. 2

1.3

Heimdal ランサムウェア暗号化防止について ...................................................................... 2

1.4

ランサムウェア暗号化保護機能 .............................................................................................. 3

1.5

動作イメージ図 ......................................................................................................................... 3

2

Heimdal Agent .................................................................................................................................. 53

ダッシュボードビュー...................................................................................................................... 74

グループポリシーの設定 ................................................................................................................ 115

API パラメータ ................................................................................................................................ 136

お問い合わせ ................................................................................................................................... 14

変更履歴版

発行日変更内容

第 1.0 版

2023/05/22

新規作成第 2.0 版

2023/07/31

名称変更

ジュピターテクノロジー株式会社

ランサムウェア暗号化防止
ユーザーガイド
Rev1.0

1

はじめに

1.1

お客様に提供しているガイドについて

弊社ではお客様に製品について提供しているサポートドキュメントとして以下の種類のものがあります。
1.

Heimdal 評価ガイド

2.

Heimdal 製品ガイド

3.

Heimdal 管理者ガイド

1.2

Heimdal 管理者ガイドについて

Heimdal の管理者ガイドについては以下をご用意しています。
1.

Heimdal 管理者ガイド プラットフォーム編

2.

Heimdal 管理者ガイド エンドポイント脅威予防 編

3.

Heimdal 管理者ガイド ネットワーク脅威予防 編

4.

Heimdal 管理者ガイド パッチと資産管理 編

5.

Heimdal 管理者ガイド 次世代アンチウィルス 編

6.

Heimdal 管理者ガイド ランサムウェア暗号化防止 編(当ガイド)

7.

Heimdal 管理者ガイド 特権アクセス管理 編

8.

Heimdal 管理者ガイド アプリケーション制御 編

9.

Heimdal 管理者ガイド E メールセキュリティ 編

10. Heimdal 管理者ガイド E メールフラウド予防 編
11. Heimdal 管理者ガイド リモートデスクトップ 編※必ず Heimdal ユーザーガイド プラットフォーム編」と使用するモジュールのユーザーガイドをお読みください。

1.3

Heimdal ランサムウェア暗号化防止について

Heimdal ランサムウェア暗号化防止機能は、ランサムウェア攻撃中に開始される悪意のあジュピターテクノロジー株式会社

ランサムウェア暗号化防止
ユーザーガイド
Rev1.0る暗号化の試みからデバイスを保護する、100%シグネチャ不要の画期的なソリューションです。HEIMDAL 暗号化防止は、従来のアンチウィルスの機能を拡張し、あらゆるタイプのランサムウェア攻撃からエンドポイントを予防・保護することができるソリューションとなります。

1.4

ランサムウェア暗号化保護機能

HEIMDAL 暗号化防止は I/O の読み取り、書き込み、ディレクトリの列挙、およびファイルの実行のためのカーネルイベントを処理しています。実際のランサムウェアによって作成されているのと同じパターンを研究した上で、収集したイベントに対してパターンを照合しています。このエンジンは、プロセスが疑わしいという評決を下すまで、3 つのファイルが暗号化されることを許可します。フラグが立てられると、疑わしいプロセスに関する詳細が収集され、HEIMDAL サーバーに送信されます。これらの詳細には、プロセスのコマンドライン引数、ネットワーク接続（IP アドレスとポート）、検出時の読み取り/書き込み操作数、さらに疑わしいプロセスからルートプロセスへのトレースバックのプロセスツリーが含まれます。ランサムウェア暗号化保護モジュールは、Heimdal Insights と呼ばれる新しいWindows サービスに基づいています。このサービスは、アクティブなプロセスを恒久的にスキャンし、各プロセスのアクションをマッピングし、実行中のプロセスで暗号化パターンを検索する役割を果たします。Heimdal Insights サービスは、グループポリシーでモジュールが有効になっている場合にのみ実行されます。グループポリシーで REP が無効になっている場合、Heimdal Insights サービスは存在しますが、実行されません。

1.5

動作イメージ図

図は HEIMDAL 暗号化防止の動作イメージです。

ジュピターテクノロジー株式会社

ランサムウェア暗号化防止
ユーザーガイド
Rev1.0ジュピターテクノロジー株式会社

ランサムウェア暗号化防止
ユーザーガイド
Rev1.0

2

Heimdal Agent

HEIMDAL Agent は、Heimdal ランサムウェア暗号化防止機能が検出した検出数、総プロセス数、最新の検出時間に関する情報を表示します。

Ransomware Encryption Protection セクションには、検出数、プロセス名、PID、所有者、日付、ステータスに関する情報が含まれています。

ジュピターテクノロジー株式会社

ランサムウェア暗号化防止
ユーザーガイド
Rev1.0ジュピターテクノロジー株式会社

ランサムウェア暗号化防止
ユーザーガイド
Rev1.03

ダッシュボードビュー※ダッシュボードの設定方法については Heimdal プラットフォーム共通ガイドを参照ください。
Endpoint Detection ＞ Ransomware Encryption Protection のダッシュボードビューには、組織内のエンドポイント上で実行されている HEIMDAL Agent が収集したすべての情報が表示されます。収集された情報は、HEIMDAL Agent エンジンによってインターセプトされた検出されたプロセスを指します。上部には、検出された数に関する統計が表示されます。

収集された情報は、以下のビューに配置されます： Latest
Detections と Hostname/Detections です

Latest Detections
このビューには、以下の詳細が記載されたテーブルが表示されます：ホスト名、ユーザー名、プロセス名、ブロック理由、PID、所有者、ステータス、タイムスタンプ。
このビューでは、1 つまたは複数の感染したファイルを選択し、それを除外したり、ストレージに追加したりすることができます。

ジュピターテクノロジー株式会社

ランサムウェア暗号化防止
ユーザーガイド
Rev1.0Process Name 列で、プロセスをクリック (または Forensics の 'F' アイコン) してプロセスの詳細を表示したり、VirusTotal のアイコンをクリックして VirusTotal の詳細分析を取得することができます。なお、HEIMDAL 暗号化防止のエントリーについては、90 日間の保存ポリシーを設けています。つまり、90 日以上前の Latest Detections ビューからのエントリーはすべて削除されます。

Hostname/Detections

このビューでは、以下の詳細が記載されたテーブルが表示されます：ホスト名、ユーザー名、一致した数。

Process Details ビューでは、親プロセスと生成されたプロセス、その PID、ユーザー名、ファイル名、パス、コマンドライン、スレッド数、上位 3 つの暗号化ファイル、書き込み操作、読み取り操作、MD5、署名、所有者についての情報を提供します。

ジュピターテクノロジー株式会社

ランサムウェア暗号化防止
ユーザーガイド
Rev1.0また、検出されたプロセスのネットワークアクティビティに関する情報が表示され、ファイアウォールでブロックする IP アドレスを 1 つまたは複数選択できます（1 つ、複数、またはすべてのグループポリシー上で）。

除外（例外登録）は、1 つまたは複数の検出を選択し、ドロップダウンメニューから Excludeと Apply ボタンを押すことによって行うことができます。これにより、1 つまたは複数のグループポリシー、またはすべてのグループポリシーのファイルを除外することができる次のモーダルがポップアップ表示されます。検出は、ファイル名、フォルダパス、ファイルパス、MD5 で除外することができます：

ジュピターテクノロジー株式会社

ランサムウェア暗号化防止
ユーザーガイド
Rev1.0CSV ダウンロード機能により、各ビューに対応する標準モードまたは詳細モードのすべての情報を含む CSV レポートを生成し、ダウンロードすることができます。
フィルタ機能により、許可された検出またはブロックされた検出によってエントリーをフィルタリングすることができます。

ジュピターテクノロジー株式会社

ランサムウェア暗号化防止
ユーザーガイド
Rev1.04

グループポリシーの設定

Heimdal ランサムウェア暗号化防止機能は、悪意を持ってエンドポイント上のファイルに対して暗号化操作を実行するプロセスを検出します。このモジュールは、IO の読み取り、書き込み、ディレクトリの列挙、およびファイルの実行のためのカーネルイベントを処理しています。パターンは、実際のランサムウェアによって作成されているのと同じパターンを研究した後、収集したイベントと照合されます。このエンジンは、プロセスが疑わしいという評決を下すまで、3 つのファイルが暗号化されることを許可します。フラグが立てられると、疑わしいプロセスに関する詳細が収集され、Heimdal のサーバーに送信されます。
Home＞Endpoint Settings >ポリシーを選択 > Endpoint Detection > Ransomware
Encryption Protection

ジュピターテクノロジー株式会社

ランサムウェア暗号化防止
ユーザーガイド
Rev1.0Ransomware Encryption Protection - Heimdal ランサムウェア暗号化防止機能のオン/オフを切り替えます。

General Settings
Reporting mode - 有効にすると、Heimdal ランサムウェア暗号化防止機能が検出したプロセスをブロックせずに報告します
Agent Baloon Notifications - 暗号化検出時の Agent バルーン通知の ON/OFF ができます。
Isolate on Tamper Detection - Tamper Detection が行われた際の隔離機能の ON/OFF を設定することができます。この機能を有効にすると、ファイアウォール製品/サービスが有効になり、この動作が観測されたエンドポイントがネットワークから隔離されます（したがって、横移動が防止されます）。本機能を利用するためには、Next-Gen Antivirus & MDM および Firewall 製品/サービスのライセンスが必要であり、Firewall 製品が無効になっている場合でも、自動的に有効にします（それ以外の場合は、該当するチェックボックスがグレーアウト/非機能になります）。
Exclusions - ファイル名、ファイルパス、ディレクトリパス、MD5、ワイルドカードをHEIMDAL 暗号化防止機能でブロックされないように除外することができます。除外セクシ
ョンには、除外リストを含む CSV レポートをダウンロードするためのダウンロードボタンがあります。

ジュピターテクノロジー株式会社

ランサムウェア暗号化防止
ユーザーガイド
Rev1.0

5

API パラメータ

本 API は、お客様の Heimdal ランサムウェア暗号化防止機能の統計情報（ホスト名、IPAddress、ファイル、脅威カテゴリ、感染名、プロセス名、ステータス、解決、タイムスタンプ）を取得します。

GET メソッド
パラメータ: encryptiondetection
オプションパラメータ: resolution
例:

https://rcdashboard.heimdalsecurity.com/api/heimdalapi/encryptiondetection?customer
Id=229584&startDate=2021-04-06T12:00&endDate=2021-05-06T11:59

Output:"hostname": "WORKSTATIONADU¥¥hcj","ip": "192.168.100.23","file": "c:¥¥onedrivetemp¥¥s-1-5-21-2261967463-2817085238-8613880733245¥¥be749d47aef34e508a1bd9262bfcd9cb-355d93c8d1ec4505b8c642b2e8973223be38a1826a6b4baf9d8ecc7e12a238bca4f9b0bc6a7ad1c9011a3aa33a9a45f9f19ad4b5.temp","threatCategory": "trojan","infectionName": "TR/Agent.gyl","processName": "-",
"status": "Infected","resolution": "FNOTEXIST","timestamp": "2021-04-05T08:30:47.1134657+00:00"※その他 API の設定方法については Heimdal プラットフォーム共通ユーザーガイドを参照ください。
ジュピターテクノロジー株式会社

ランサムウェア暗号化防止ユーザーガイド
Rev1.0

6お問い合わせHeimdal についてご不明な点がございましたら、以下までお問い合わせください。

ジュピターテクノロジー株式会社（Jupiter Technology Corp.）

住所：〒183-0023 東京都府中市宮町一丁目 40 番地 KDX 府中ビル 6F

URL：

https://www.jtc-i.co.jp/

電話番号：

042-358-1250

FAX 番号：

042-360-6221

ご購入のお問い合わせ：
お問い合わせフォーム

https://www.jtc-i.co.jp/contact/scontact.php

メール

sales@jtc-i.co.jp

製品サポートのお問い合わせ：カスタマーポータル https://www.jtc-i.co.jp/support/customerportal/

ジュピターテクノロジー株式会社

ランサムウェア暗号化防止
ユーザーガイド
Rev1.0