Heimdal 管理者ガイド
DNS セキュリティ エンドポイント編
Rev. 1.1

2023/11/29

目次
1

はじめに .......................................................................................................................................... 2
1.1

お客様に提供しているガイドについて ................................................................................. 2

1.2

Heimdal 管理者ガイドについて ............................................................................................ 2

2

Heimdal DNS セキュリティ エンドポイントとは ................................................................... 3

3

DarkLayer Guard の設定 ............................................................................................................... 6
3.1

HEIMDAL Agent - DarkLayer Guard ................................................................................. 134

DNS セキュリティ エンドポイントダッシュボード-DarkLayerGuard .................................. 17

5

グループポリシー設定 ................................................................................................................. 23

6

7

8

5.1

DarkLayerGuard ................................................................................................................... 23

5.2

VectorN Detection ............................................................................................................... 29

DNS セキュリティ エンドポイントと VPN 製品/サービス..................................................... 30
6.1

Cisco AnyConnect ................................................................................................................ 30

6.2

Fortinet FortiClient............................................................................................................... 33

6.3

Always ON VPN.................................................................................................................... 33

6.4

Palo Alto Global Protect ...................................................................................................... 33

6.5

その他の VPN 製品/サービス .............................................................................................. 34

VectorN Detection ....................................................................................................................... 35
7.1

VectorN Detection の仕組み ............................................................................................... 35

7.2

VectorN Detection エージェントの見方 ......................................................................... 36

7.3

DNS セキュリティ エンドポイントダッシュボード-VectorN Detection ....................... 37

7.4

VectorN Detection 設定 ...................................................................................................... 38

お問い合わせ ................................................................................................................................ 40

変更履歴
版

発行日

変更内容

第 1.0 版

2023/8/10

新規作成

第 1.1 版

2023/11/29

製品名変更

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

1

はじめに

1.1 お客様に提供しているガイドについて
弊社ではお客様に製品について提供しているサポートドキュメントとして以下の種類のものがあります。
1.

Heimdal 評価ガイド

2.

Heimdal 製品ガイド

3.

Heimdal 管理者ガイド

1.2 Heimdal 管理者ガイドについて
Heimdal のユーザーガイドについては以下をご用意しています。
1.

Heimdal 管理者ガイド プラットフォーム編

2.

Heimdal 管理者ガイド DNS セキュリティ エンドポイント編(当ガイド)

3.

Heimdal 管理者ガイド DNS セキュリティ ネットワーク編

4.

Heimdal 管理者ガイド パッチと資産管理 編

5.

Heimdal 管理者ガイド 次世代アンチウィルス 編

6.

Heimdal 管理者ガイド ランサムウェア暗号化防止 編

7.

Heimdal 管理者ガイド 特権アクセス管理 編

8.

Heimdal 管理者ガイド アプリケーション制御 編

9.

Heimdal 管理者ガイド E メールセキュリティ 編

10. Heimdal 管理者ガイド E メールフラウド予防 編
11. Heimdal 管理者ガイド リモートデスクトップ 編※必ず「Heimdal 管理者ガイド プラットフォーム編」と使用するモジュールのユーザーガ
イドをお読みください。
ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

2

Heimdal

DNS セキュリティ エンドポイントとは

DNS セキュリティ エンドポイントは、世界で最も先進的な DNS エンドポイント脅威ハンティングツールである DarkLayer Guard エンジンをベースにしており、ネットワークに侵入するために使用されるプロセス、ユーザー、URL、攻撃者の出所を特定できる脅威とプロセスの相関テクノロジーを利用しています。DNS セキュリティ エンドポイントは、
DarkLayer Guard を AI ベースのトラフィックパターン認識エンジンである VectorN
Detection と連動させることで、HIPS/HIDS や IOA/IOC の機能を提供し、隠れたマルウ
ェア、完全な自律コード、シグネチャを検出します。

DNS セキュリティ エンドポイントは、DNS リクエストの発信元と宛先に基づいて、すべてのネットワークパッケージをフィルタリングします。手動または DHCP で設定された
DNS 値をクライアントホスト IP アドレス範囲の IP アドレスに置き換えることで、DNS
リクエストを自分自身で解決するようにコンピュータに指示します。ネットワークカードの設定による元の DNS 値は失われず、Windows レジストリの GUID の下に保存され、内部リソース（プリントサーバー、ローカルファイルサーバー、またはプライベート IP アドレ
スが割り当てられているもの）または外部リソースに対して DNS 要求が行われるときに使用されます。トラフィックフィルタリングエンジンは、悪意のあるパッケージがネットワー
クを介して通信するのをブロックし、マン・イン・ザ・ブラウザ(MIB)攻撃を防止し、ゼロ
アワー・エクスプロイト(ゼロデイ攻撃)を検出し、データや金銭的流出を防止し、データ損
失やネットワーク感染を防ぎます。



以下は、DarkLayer Guard の多層防御がマルウェア、ソーシャルエンジニアリング詐欺、DBD 攻撃に対してどのように機能するかの例です

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

脅威予防

DNS セキュリティ エンドポイントは、ユーザーが信頼できない接続を確立しないようにすることで、悪意のあるウェブサイトをブロックします。接続が確立された場合、攻撃者はゼ
ロデイ攻撃やリモートシェルコードの実行により、PC へのバックドアを開くことができます。DNS セキュリティ エンドポイントはまた、不正なウェブサイトに属するオンラインフ
ォームにデータが自動的に入力されないようにします。
DarkLayer Guard がどのように金銭的搾取を行うマルウェア（バンキング型トロイの木馬）からユーザーを保護しているかの例を以下に示します。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

DarkLayer Guard は、サイバー犯罪者の脅威に対応するため、毎週 800,000 件以上の新しい更新を受信します。フィルタの更新は 2 時間ごとに提供されます。更新は、新しく登録されたドメイン名、高度なマルウェアのリバースエンジニアリング、犯罪ネットワークのシンクホールの監視、電子犯罪分析中に収集されたデータなど、幅広いデータに基づいて行われます。このサイバー犯罪に対する洞察力により、Heimdal は PC やネットワークからハッカーが管理するサーバーへのデータ送信をブロックし、企業や個人のデータを流出から保護することができます。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

3

DarkLayer Guard の設定

Windows の場合
Windows では、DNS セキュリティ エンドポイントが有効になっている場合、DarkLayer
Guard は、ユーザーによって実行された DNS クエリを解決する前に、フィルタリングエ
ンジンとして動作するローカル DNS サーバーを作成します。DarkLayer Guard DNS サー
バーは、アクティブなネットワーク アダプタの DNS IP アドレスをハイジャックして、マルウェアをインストールしたり、サイバー攻撃のゲートウェイとして使用されたりする可能性のある悪意のある Web サイトやその他の Web ロケーション (サーバー、オンライン
広告など) をスキャンします。
DarkLayer Guard は、IPv4 および IPv6 の DNS (ドメイン名システム) IP アドレスを変更します。

IPv4 の場合、DNS IP アドレスは、DNS サーバー アドレスの自動取得 (DHCP によっ て 設 定 ) ま た は す で に 設 定 さ れ て い る 静 的 DNS IP ア ド レ ス か ら 127.7.7.x(DarkLayer Guard DNS IP アドレス) に変更されます。初期 DNS IP アドレスはWindows レジストリにバックアップされ、許可後に DNS クエリを解決するために使用されますジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1



IPv6 の場合、DNS IP アドレスは、DNS サーバー アドレスの自動取得 (DHCP で設定) またはすでに設定されている静的 DNS IP アドレスから、fe80::xxxx:yyyy:xxxx:zzz(DarkLayer Guard DNS IP アドレス) に変更されます。初期 DNS IP アドレスはWindows レジストリにバックアップされ、許可後に DNS クエリを解決するために使用されます。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1DNS IP アドレスが設定されると、インターネット経由でアクセスするすべての Web ロケーションは、HEIMDAL エージェントのインストールパスにローカルに設定されたデータベースを介して処理されます。このデータベースのサイズは約 15 MB で、ブロックされる
Web サイトの 95% はここにあります。
Web サイトが感染していると識別された場合、DarkLayer Guard はその Web サイトをブロックし、下のブロックページが表示されます。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1※現在、HTTPS は証明書の検証を必要とするため、HTTPS アドレスがブロックされた
場合、DNS セキュリティ エンドポイントは HEIMDAL Block Page を表示できません。

例えば、ユーザーに対して facebook をブロックすると決めた場合、facebook.com は
HTTPS プロトコルを使用しているため、ユーザーが facebook.com にアクセスしようとジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

するたびに、ローカルのエンドポイントのブラウザは上のエラーを受け取ります。これは、ユーザーが facebook.com にアクセスしようとするとき、ブラウザが安全な接続を完了す
る前に Facebook からの証明書検証を期待していることを意味します。検証は受信されず、代わりにブラウザセッションは Heimdal Security 証明書を受信するため、リクエス
トは失敗します。最初に接続を確立する必要があるため、リダイレクトはできません。
管理者がホスト名に対する脅威の種類を知りたい場合、HEIMDAL ダッシュボード内に脅
威ビューというビューがあり、ターゲット環境から最もブロックされた脅威の種類が一覧表示されます。

また、
悪意のあるドメインで nslookup を実行すると、解決する IP アドレスは 52.166.12.23 になります。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

ローカルのデータベースで処理された後、ウェブサイトがブロックされていなければ通過しますが、次の処理があります。ウェブサイトは、クラウド上の別のデータベース（約 6GBのサイズ）を通して解析され、そこで再度チェックされます。悪意があると判断された場合、
DarkLayer Guard がブロックします。安全な場合は、通常通りウェブサイトにアクセスできます。

macOS の場合macOS では、DNS セキュリティ エンドポイントが有効になっている場合、Heimdal Agent
は DNS プロキシを作成し、DarkLayer Guard エンジンと同様にトラフィックをフィルタリングします。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1DNS プロキシをインストールするためには、Heimdal エージェントはシステム拡張プロフ
ァイルのインストール許可を必要とします。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

重要
このフィルタリング処理はミリ秒単位で行われるため、インターネット接続速度には影響しません。

3.1 HEIMDAL Agent - DarkLayer Guard

HEIMDAL Agent は、防御された攻撃、対象となったプロセス、および VectorN 検出に関する情報を表示します。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

有効にすると、悪意のあるドメインが照会されるたびに、ポップアップ ウィンドウがユー
ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

ザーに表示されます。クリックすると、脅威防御 > DarkLayer Guard ビューの HEIMDAL
エージェントにリダイレクトされます

HEIMDAL Agent - Threat Prevention セクションに表示された情報は、HEIMDAL Dashboard> DNS セキュリティ エンドポイントビューに報告されます。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

4

DNS セキュリティ エンドポイントダッシュボードDarkLayerGuard

組織内のエンドポイントで実行されている HEIMDAL Agent によって収集されたすべての情報が表示されます。収集された情報は、HEIMDAL Agent の DarkLayer Guard エンジンによってフィルタリングされた DNS クエリを指します。上部には、分析されたトラフィック
リクエストの数、防止された攻撃の数、防止された攻撃の割合、およびカテゴリブロックの数に関する統計が表示されます。

収集された情報は以下のビューに表示されます：Standard、Threat Type、Hostname/Latest
Threats、TTPC、Category Blocks、Full Logging。
Standard
このビューには、以下の詳細の表が表示されます：ホスト名、ユーザー名、IP アドレス、分析された要求、防止された攻撃、リスクレベル。

Threat Type
このビューには、以下の詳細が表示されます：脅威の種類、一致数、最も標的とされたホス
ト名、ユーザー名の詳細が表示されます。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

Hostname/Threats
このビューには、以下の詳細が表示されます：ホスト名、ユーザー名、ブロックされたドメ
イン、脅威の種類、一致数。

Latest Threats
このビューには、以下の詳細が表示されます：ホスト名、ユーザー名、脅威タイプ、脅威タ
イプ、脅威ソース、TTPC、日付。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1TTPC (Threat To Process Correlation)
TTPC（Threat To Process Correlation：脅威とプロセスの相関）は、悪意があるとしてブロックされた通信リクエストを開始したプロセスについての見通しを提供します。
このビューには、以下の詳細が表示されます：TTPC 検出、一致数、最も多く検出されたホ
スト名、ユーザー名、最も多く検出された感染ドメイン、最後に照合した時間。

Category Blocks
ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

このビューには、以下の詳細が表示されます：ホスト名、ユーザー名、IP アドレス、および
カテゴリー ブロックされたドメイン

Full Logging
以下の詳細の表が表示されます：ホスト名、許可された要求、防止された攻撃、およびリス
クレベル

Domain ビューには、以下の詳細が表示されます：ドメインと合計ヒット数

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1Investigate
このビューでは、検索フィールドに入力したドメインの DNS 関連の統計を取得できます。
このビューは 3 つのサブセクションに分かれています。
A) Global Threat Intelligent- 最もアクセス数の多いプロセスのトップ 3、DNS セキュリ
ティ エンドポイントマッチ（選択した時間枠で、ドメインが DNS セキュリティ エン
ドポイント経由で検知された回数）、グローバル DNS セキュリティ エンドポイントマ
ッチ（選択した時間枠で、ドメインがグローバル Heimdal Security データベースの DNS
セキュリティ エンドポイントで検知された回数）を表示します、同じ IP アドレスに関連するドメイン/URL は、DNS セキュリティ エンドポイント + DNS セキュリティ
ネットワークが一致（選択した時間枠で、ドメインが DNS セキュリティ エンドポイ
ント と DNS セキュリティ ネットワークによって検知された回数）、グローバル DNS
セキュリティ エンドポイント + DNS セキュリティ ネットワークが一致（選択した時
間枠で、ドメインがグローバル Heimdal Security データベース内の DNS セキュリティ エンドポイント と DNS セキュリティ ネットワークによって検知された回数）
B) Predictive DNS Score - DNS セキュリティ エンドポイントのブロックリスト（ブロックリストの一致）にドメイン（当該ドメイン）が存在することを裏付ける人工知能ア
ルゴリズム（0～100 の範囲）に基づく悪質性スコアを表示します。スコアが高いほど、問題のドメインが感染している確率が高くなります。予測 DNS スコアは、上記のスコアに基づいてリスクレベル（なし、低、中、高、重大）を表示します。
C) DNS Statistics（DNS 統計） - 選択したドメインに対する 1 日のヒット数をグラフで表示します（青色線はクエリ時にクエリされたドメインがクリーンであることを示し、赤線はクエリ時にクエリされたドメインが感染していることを示す)。
D)

Requester distribution - 問題のドメイン（問題のドメインへの DNS クエリの発信元）をコールしたトップパブリック IP アドレスのマップと統計を表示します。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

App Discovery
このビューには、環境内の DarkLayer Guard エンジンによって検出されたアプリケー シ
ョンのリストと、次の詳細が表示されます：アプリケーション名、ベンダー、リスク レベ
ル、インストール済みエンドポイント。App Discovery はクラウドアクセスセキュリティブ
ローカー（CASB）として使用でき、不適切なクラウドアプリの使用状況の可視化など、組織全体のクラウドアプリの使用を管理および制御するための包括的な機能を提供します。

Download CSV 機能により、各ビューに対応する Standard または Verbose モードの全情報を含む CSV レポートを生成し、ダウンロードすることができます。
Filters（フィルタ）機能では、オペレーティングシステム別にエントリをフィルタリングできます。
ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

5

グループポリシー設定

エンドポイント設定に移動するには、HEIMDAL ダッシュボードにログインし、Endpoint
Settings 設定ボタン（右上）をクリックし、グループポリシーを選択する必要があります。
※一般設定やグループポリシーについては Heimdal ユーザーガイド プラットフォーム編を参照してください

5.1 DarkLayerGuard
DarkLayer Guard エンジンを有効にすることで、HEIMDAL エージェントはコンピュータを感染から保護するネットワークフィルタを有効にします。

DNS セキュリティは 2 つのモジュールで構成されています：DarkLayer Guard と VectorN
Detection です。このグループポリシーセクションは、HEIMDAL エージェントに組み込
まれた HEIMDAL DNS セキュリティエンジンを管理するために設計されています。

Force DHCP DNS usage
この機能は、DarkLayer Guard エンジンの背後で、ネットワーク インターフェイス カー
ドの DNS を自動 (DHCP) に設定します。DarkLayer Guard エンジンが NIC にジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

127.7.7.x または fe80::yyyy:yyyy:xxxx:xxxx を追加できない場合、自動 DNS (DHCP によって自動的に設定) に戻ります。このオプションは、以下の場合に有効にすることをお勧めします
組織内で VPN 接続を使用している組織の誰も静的 DNS IP アドレスを使用していない。

Use default loopback address
この機能により、DarkLayer Guard はネットワーク インターフェイス カードの DNS を
127.7.7.x ではなく 127.0.0.1 (IPv4 の場合)、fe80::yyyy:yyyy:xxxx:xxxx (IPv6 の場合) ではなく ::1 に設定します。これにより、DarkLayer Guard エンジンは単一のアダプタからのトラフィックを遮断するようになります。この設定は、HEIMDAL Threat Prevention と
特定の VPN 製品、および仮想化製品などの他のソフトウェアとの互換性を確保するのに役立ちます
Force NCSI fix
この機能を使用すると、DarkLayer Guard と同時に実行した場合にトレイ メニューに接続グローブが表示されるネットワーク接続状況インジケータが修正されます。HEIMDAL
エージェントは、次のパスに値 1 (デフォルトは 0) を設定します。
Computer¥HKEY_LOCAL_MACHINE¥SYSTEM¥CurrentControlSet¥Services¥NlaSvc¥Parameters¥Internet¥EnableActiveProbing
で、hosts ファイル (C:¥Windows¥System32¥drivers¥etc)に Microsoft IP Address を追加します。
Improve TTPC accuracy
悪意のある DNS リクエストを実行するプロセスの傍受を改善するために、（まだインストールされていない場合は）Sysmon サービスをインストールして更新する。

Sysmon のログは、イベントビューアーのログ > アプリケーションとサービスのログ-> Microsoft > Windows > Sysmon > Operational にあります。DNS 要求のログに使用されるイベント ID は 22 です。



DarkLayer Guard - エンドポイント エンディングが Sysmon からプロセス ID を取得し、Window プロセスにクエリを実行する場合、プロセスがすでに強制終了または停止されている可能性があります。この場合、DarkLayer Guard - Endpoint はプロセ
ス情報を取得できないため、HEIMDAL ダッシュボードに一般的な「-」が表示されます；
ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

同じドメインにアクセスした場合、2 分間の待ち時間が発生し、その間に複数回アクセスされた場合でも、特定のドメインのエントリが 1 つだけ表示されます。イベント
ビューアのログでは、ドメインがアクセスされるたびにエントリが表示される。

Full logging
エンドポイントからの DNS リクエストに関する詳細情報を取得する（お客様の環境で行われたすべての DNS リクエストをログに記録します）。
Disable DarkLayer Guard for IPv6
IPv6 の DarkLayer Guard フィルタリングを無効にできます。
DoH Compatibility Mode
この機能は、アクティブブラウザ（Google Chrome または Mozilla Firefox）が DNS over
HTTPS パッケージを採用しないようにし、HEIMDAL™脅威防御が提供するより包括的な
DNS トラフィックフィルタリングに取って代わります。
Cisco Anyconnect/Fortinet compatibility mode
この機能は、Cisco Anyconnect/Fortinet の IPv6 フィルタリングの既知のバグを解決するた
めに、Cisco Anyconnect アダプタ上で IPv6 から IPv4 にトラフィックをリルートします。
Use supported VPN forwarders
エンドポイントのすべてのアダプタで、DarkLayer Guard エンジンが VPN アダプタによって提供/設定された DNS IP アドレスを使用するようにします。
High Compatibility Mode
この機能は、関連するすべての Microsoft Windows サービスが正常に起動できるように、
現在インターネットにアクセスしているネットワークインターフェイスカード上でDarkLayer Guard フィルタを適用する際に 15 ミリ秒の遅延を設定します。通常起動が許可されるサービスは、ドメイン検出、ネットワークドライブ認証などの重要な拡張環境タスクを担当します。
Pause DarkLayer Guard when Cisco Anyconnect or Fortinet is detected
この機能は、エンドポイントが Cisco Anyconnect/Fortigate に接続されている間、
DarkLayer Guard エンジンを一時停止します。Cisco Anyconnect/Fortigate から切断すると、DNS フィルタリングは自動的に再有効化されます。
ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1DNS server response validation
DarkLayer Guard は DNS リゾルバをテストし、いずれかの DNS リゾルバが失敗した場合に備えて交互に使用します (1 番目の DNS が再び稼働するまで、2 番目の DNS で 1
番目の DNS を変更します)。
Check Interval
フィルタリングデータベースの新しい更新をチェックする DarkLayer Guard エンジンの時間間隔を設定できます。
Domains allowlist
この機能により、Heimdal ダッシュボード管理者は、Heimdal™ Threat Prevention でブロックされているドメインを許可リストにすることができます。CSV ファイルをアップロードすることで、ドメイン、サブドメイン、トップレベルドメイン（.com、.co.uk など）、または複数のドメインを一度に許可リストにすることができます（Excel ワークブッ
ク/シートを CSV ファイルとして保存する場合、ドメイン/サブドメインは自動的にカンマ[,]で区切られ、1 つの同じ行にリストされる必要があります。
）

Block by Category
この機能は、カテゴリに含まれるドメインのグループをブロックすることができます（例：ソーシャル、スポーツ、ギャンブル、金融、健康、その他）。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

Block by Category Schedule
この機能は、カテゴリによるブロックが有効になっている場合にのみ利用可能で、カテゴ
リによるブロック機能が適用される特定の時間間隔をスケジュールすることができます。
Domains blocklist
この機能により、Heimdal Dashboard 管理者は、Heimdal™ Threat Prevention - Endpoint
が脅威とみなさないドメインをブロックリストに登録したり、特定のドメインへのアクセ
スをブロックしたりすることができます。CSV ファイルをアップロードすることで、ドメイン、サブドメイン、トップレベルドメイン（.com、.co.uk など）、または複数のドメインを一度にブロックリストにすることができます（Excel ワークブック/シートを CSV フ
ァイルとして保存する場合、ドメイン/サブドメインは自動的にカンマ[,]で区切られ、1 つの同じ行にリストされる必要があります。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1Custom block pages
この機能により、Threat Prevention - Endpoint が悪意のあるドメイン（またはブロックリ
ストに登録されたドメイン）へのアクセスを遮断してブロックする際に、デフォルトのHeimdal ブロックページに代わるカスタム HTML ブロックページを追加できます。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

5.2 VectorN Detection
エンドポイント設定については 7.4 VectorN Detection 設定を参照してください

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

6

DNS セキュリティ エンドポイントと VPN 製品/サービス

DNS セキュリティ エンドポイントは NIC に設定された DNS IP アドレスを使用してトラフィックをフィルタリングし、悪意のあるドメインまたはサブドメインへのアクセスを阻止します。一部の VPN 製品/サービスもコンピュータ上の NIC と相互作用するため、ヘイ
ムダルの脅威防御 - エンドポイントは、企業内で使用されている最も有名な VPN 製品/サービスのリストとの互換性を提供するように開発されており、企業顧客は脅威防御 - エンドポイントと VPN 製品/サービスの両方の保護レイヤーを使用できるオプションがあることを知っておくことが重要です。以下に、DNS セキュリティ エンドポイントと互換性のある VPN ベンダーを示します。
1. Cisco AnyConnect
2. Fortinet FortiClient
3. Always ON VPN
4. Palo Alto Global Protect
5. Other VPN products/services

6.1 Cisco AnyConnect
DNS セキュリティ エンドポイントは、Cisco AnyConnect VPN サービスと互換性があります。設定するには、HEIMDAL Dashboard にログインし、Endpoint Settings> Your Group
Policy> Threat Prevention > DarkLayer Guard タ ブ に ア ク セ ス し 、 Cisco
AnyConnect/Fortinet 互換モードを有効にする必要があります。この機能を動作させるには、以下の IP アドレス（これらは HEIMDAL Security クラウドサービスの IP アドレスです）をスプリット除外するように Cisco インターフェースを設定する必要もあります（フルトンネルまたはスプリットインクルードトンネルはサポートされていません）。



40.119.146.250



40.114.223.57
ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

40.87.128.228



40.121.66.93



52.172.28.76



152.199.21.175



168.63.8.217

13.95.20.191



52.166.12.23



オプションで、127.7.7.7.0/24 も追加できる

重要
Cisco のドキュメント（https://www.cisco.com/c/en/us/support/docs/security/anyconnect-secure-mobilityclient/200395-Interop-between-AnyConnect-and-the-OpenD.html）によると、VPN ヘ
ッドエンドは、AnyConnect クライアントからのトラフィックを処理するために、いくつかの異なる方法で構成できます。
1. 完全なトンネル構成 (tunnel-all)：これにより、エンドポイントからのすべてのトラフ
ィックが暗号化された VPN トンネルを介して送信されるため、トラフィックが平文
でパブリック・インターフェース・アダプタを離れることはありません。
2. トンネルの分割設定：



スプリットインクルードトンネル：VPN ヘッドエンドで定義された特定のサブネ
ットまたはホストのみを宛先とするトラフィックがトンネルを横切って送信され、それ以外のトラフィックはクリアテキストでトンネルの外部に送信されます。



スプリットエクスクルードトンネル：VPN ヘッドエンドで定義された特定のサブネットまたはホストのみを宛先とするトラフィックは暗号化から除外され、平文でパブリックインターフェイスから送信され、それ以外のトラフィックは暗号化されてトンネルを越えて送信されます。

Cisco AnyConnect VPN の場合、Cisco ASA 5585-X インターフェース（またはその他の Cisco ASA インターフェース）では、Advanced > Split Tunneling メニュー
で、以下の画像のように分割除外を追加/編集して、分割除外を設定できます。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

設定後、Cisco AnyConnect インターフェースの［Route Details］タブに分割排除が反映されるはずです。

Full Tunelling または Split-Include を使用するセットアップでは、Cisco Anyconnect
または Fortinet が検出されたときに、Threat Prevention Network 保護（DNS サー
バーレベルで設定される）と Pause DarkLayer GUARD を併用することをお勧めします。この設定により、ユーザーは Cisco AnyConnect で VPN に接続し、DarkLayer
Guard の保護を一時停止できます（したがって、インターネット接続のタイムアウト
ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

の可能性を排除できます）。

6.2 Fortinet FortiClient
脅威防御 - Endpoint は Fortinet の FortiClient VPN サービスと互換性があります。設定するには、HEIMDAL Dashboard にログインし、[Endpoint Settings] > [YourGroup Policy] > [Threat Prevention] タブ > [DarkLayer Guard] タブにアクセスし、
Cisco AnyConnect/Fortinet 互換モードを有効にする必要があります。

6.3 Always ON VPN
脅威対策 - Endpoint は、Always ON VPN サービスと互換性があります。設定するに
は、HEIMDAL Dashboard にログインし、[Endpoint Settings] > [Your Group Policy]> [Threat Prevention] タブ > [DarkLayer Guard] タブにアクセスし、[support PPP
adaptor] を有効にする必要があります。

6.4 Palo Alto Global Protect
脅威防御 - Endpoint は、Palo Alto の Global Protect VPN サービスと互換性があります。設定するには、HEIMDAL Dashboard にログインし、[Endpoint Settings] >[Your Group Policy] > [Threat Prevention] タブ > [DarkLayer Guard] タブにアクセスし、Cisco AnyConnect/Fortinet 互換モードを有効にする必要があります。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

6.5 その他の VPN 製品/サービス
VPN が TAP アダプタを作成する場合、HEIMDAL エージェントは IPv4 上のループバ
ック 127.7.7.x（または IPv6 用のそれぞれのもの）を適用することができず、トラフ
ィックはフィルタリングされません。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

VectorN Detection

7

このモジュールは、悪意のあるスクリプトやマルウェアに感染している可能性が最も高い
エンドポイントを特定します。悪意のあるドメイン要求のパターンを識別し、それに応じてフィルタリングします。VectorN Detection によって感染の可能性があると特定されたコンピュータは、最終的にシステム管理者によって脅威として扱われ、調査され、手動または自動で脅威のためにスキャンされます説明2017 年、企業が貴重な情報を失ったケースの 55%以上が、データ窃取マルウェアやデータ使用攻撃のせいでした。データ窃取マルウェアのうち、従来のウイルス対策ソフトウェアで検出されるのは約 19%です。検出率が低い原因は、マルウェアが常に挙動や攻撃方法を変えるポリモーフィズムにあります。 情報窃盗はもはや PC 自体で起こっているのではなく、ネットワーク全体に広がっているため、データ窃盗の問題はさらに増加しています。
VectorN Detection は、シグネチャやアクセス検知だけに依存するのではなく、トラフィッ
クと使用法のアルゴリズムを採用しています。

7.1 VectorN Detection の仕組み
VectorN Detection エンジンは、DarkLayer Guard のドメインブロック内のパターンを検索する機能です。VectorN Detection は、高度な機械学習アルゴリズムを使用して隠れた脅威を検出し、HIPS/HIDS および IOA/IOC 機能を提供することで、隠れたマルウェアも検出します。あるドメインが 1 日に複数回、ごく短時間にブロックされた場合、あるドメインが毎日特定の時間にブロックされた場合、複数のドメインがごく短時間にブロックされた場
合などにパターンが検知されます。
マルウェアのパターン
Infostealer（インフォステアラー）：同じドメインから同じ時間帯に悪意のある活動を 1
カ月にわたって検出する。



APT 系統：1 日のうち、同じ時間帯に同じドメインから悪意のある活動を検出する。
ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

ボットネットの系統：1 カ月の間、1 日の同じ時間帯に任意のドメインからの悪意のある活動を検出する。



ブロックされた攻撃：1 分間に少なくとも 4 つのブロックされた攻撃に代表される悪意のある活動を検出。

7.2 VectorN Detection

エージェントの見方

HEIMDAL Agent の Threat Prevention セクションで、VectorN 検出、マルウェアパターン、および感染確率を確認できます。

See Details ボタンを押すと、VectorN 検出ビューが表示され、以下の詳細が表示されます：
感染確率、総検出数、ブロックされたマルウェアパターン、感染リスク、TTPC、日付、アクションの詳細が表示されます。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

7.3 DNS セキュリティ エンドポイントダッシュボード-VectorN
Detection

このビューには組織内のエンドポイントで実行されている HEIMDAL Agent によって収集されたすべての情報が表示されます。収集された情報は、DarkLayer Guard ドメインブロ
ック内で識別されたパターンを参照しています。上部には、VectorN 検出の数に関する統計が表示されます。

収集された情報は、Standard に表示されます。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1VectorN Endpoint
このビューには、以下の詳細が表示されます：ホスト名、マルウェアパターン、感
染確率、カウント、TTPC、および最後に一致した時間。検出されたパターンを選択すると、傍受されたプロセスを隔離するか、分析用に HEIMDAL Security のス
トレージにアップロードするか、または非表示にすることができます (検出は 30
日間無効になります)。Resolve オプションは、グループポリシーで「リスクまたは感染を持つユーザーの昇格の解除とブロック」（De-elevate and blockelevation for users with risk or infections ）が有効になっている場合に、特権ア
クセス管理製品を介して昇格できない誤検出パターンがある場合に使用できます。
VectorN Detection を解決した後、非表示がコンピュータに反映されるまで 24 時間待つ必要があります。

Show Dismissed Detections は、非表示の VectorN パターンを表示します。Download CSV
機能により、各ビューに対応する Standard または Verbose モードのすべての情報を含む
CSV レポートを生成してダウンロードできます。Filters（フィルタ）機能では、オペレーティングシステム別にエントリをフィルタリングできます。

7.4 VectorN Detection 設定

VectorN 検出エンジンは、DarkLayer Guard ドメインブロック内のパターンを検出するた
め、 DarkLayer Guard - Endpoint モジュールが有効になっている必要があります。悪意のあるドメイン要求のパターンを識別し、それに応じてフィルタリングします。
ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

VectorN Detection - VectorN 検出エンジンをオン/オフします（DarkLayer Guard モジ
ュールも有効にする必要があります）。

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1

8

お問い合わせHeimdal についてご不明な点がございましたら、以下までお問い合わせください。

ジュピターテクノロジー株式会社（Jupiter Technology Corp.）

住所：〒183-0023 東京都府中市宮町一丁目 40 番地 KDX 府中ビル 6F

URL：

https://www.jtc-i.co.jp/

電話番号：

042-358-1250

FAX 番号：

042-360-6221

ご購入のお問い合わせ：
お問い合わせフォーム

https://www.jtc-i.co.jp/contact/scontact.php

メール

sales@jtc-i.co.jp

製品サポートのお問い合わせ：カスタマーポータル https://www.jtc-i.co.jp/support/customerportal/

ジュピターテクノロジー株式会社

DNS セキュリティ エンドポイント
管理者ガイド
Rev1.1