Heimdal 管理者ガイド
DNS セキュリティ ネットワーク編
Rev. 1.12023/11/29

目次
1

はじめに .......................................................................................................................................... 21.1

お客様に提供しているガイドについて ................................................................................. 21.2

Heimdal 管理者ガイドについて ............................................................................................ 22

Heimdal DNS セキュリティ ネットワークとは ......................................................................... 33

DNS セキュリティ ネットワークの設定 ..................................................................................... 64

Heimdal DNS セキュリティ ネットワークログエージェント................................................. 165

DNS セキュリティ ネットワークビュー ................................................................................... 196グループポリシー設定 ................................................................................................................. 28786.1DarkLayerGuard ................................................................................................................... 28

6.2

VectorN Detection ............................................................................................................... 34

VectorN Detection とは .............................................................................................................. 35
7.1

VectorN Detection の仕組み ............................................................................................ 35

7.2

VectorN Detection エージェントの見方 ......................................................................... 36

7.3

VectorN Detection ダッシュボードの見方...................................................................... 37

7.4

VectorN Detection 設定 ...................................................................................................... 39

お問い合わせ ................................................................................................................................ 40

変更履歴
版

発行日

変更内容

第 1.0 版

2023/08/10

新規作成

第 1.1 版

2023/11/29

製品名変更

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

1

はじめに1.1 お客様に提供しているガイドについて
弊社ではお客様に製品について提供しているサポートドキュメントとして以下の種類のものがあります。
1.

Heimdal 評価ガイド

2.

Heimdal 製品ガイド

3.

Heimdal 管理者ガイド

1.2 Heimdal 管理者ガイドについて
Heimdal のユーザーガイドについては以下をご用意しています。
1.

Heimdal 管理者ガイド プラットフォーム編

2.

Heimdal 管理者ガイド DNS セキュリティ エンドポイント編

3.

Heimdal 管理者ガイド DNS セキュリティ ネットワーク 編(当ガイド)

4.

Heimdal 管理者ガイド パッチと資産管理 編

5.

Heimdal 管理者ガイド 次世代アンチウィルス 編

6.

Heimdal 管理者ガイド ランサムウェア暗号化防止 編

7.

Heimdal 管理者ガイド 特権アクセス管理 編

8.

Heimdal 管理者ガイド アプリケーション制御 編

9.

Heimdal 管理者ガイド E メールセキュリティ 編

10. Heimdal 管理者ガイド E メールフラウド予防 編
11. Heimdal 管理者ガイド リモートデスクトップ 編※必ず「Heimdal ユーザーガイド プラットフォーム編」と使用するモジュールのユーザーガイドをお読みください。

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

2

Heimdal DNS セキュリティ ネットワークとはローカルとクラウドのフィルタリングのユニークな組み合わせにより、最小限のシステム占有と消費を保証します。HEIMDAL Security の機械学習エンジニアが、DarkLayer Guardのために、悪意のある DNS の予測を可能にするニューラルネットワークの構築とトレーニングに成功しました。非常に多く勾配ブースティング決定木（GBDT）と 24 以上の DNS特徴と基準を採用した新しいニューラルネットワーク AI は最先端です。HEIMDAL Security
は、正しい検出率を倍増させ、登録されるに違いない未来のドメインを予測し、通常であれば人間の目による検出を免れていた悪意のあるドメインを検出するアルゴリズムの能力を持っています。VectorN Detection エンジンのパワーと組み合わせることで、企業のセキュリティに対するあらゆる悪意ある攻撃の試みに対して、事実上止められなくなるでしょう。
HEIMDAL Security の DNS セキュリティ機能は、世界で最も先進的な DNS 製品であり、感染したユーザーやプロセスを特定するために使用されます。最先端のネットワーク＆エンドポイント防御、検知、応答ソリューションは、ネットワーク、サーバー、エンドポイントに攻撃が到達する前に攻撃をブロックします。既存のウイルス対策ソフトウェアと互換性のある DNS セキュリティ ネットワーク機能は、悪意のあるドメインや、C&C、フィッシング、一般的に悪意のあるサーバーとの通信を事前にブロックすることで、DNS トラフィックを保護するソリューションです。

A. Heimdal DNS リゾルバによる DNS クエリのフィルタリング
DNS セキュリティ ネットワークは DNS サーバーに設定され、DNS クエリをハイムダ
ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

ル DNS リゾルバに転送します。このエンジンは、悪意のあるパッケージがネットワークを介して通信するのをブロックし、マン・イン・ザ・ブラウザ攻撃を防止し、ゼロアワー・エクスプロイトを検出し、データや金銭の流出を防ぎ、データ損失やネットワーク感染を防止します。顧客の DNS サーバーは、アクセスルール（DNS サーバーのパブリック IP アドレス）によって識別され、DNS クエリをハイムダル DNS リゾルバにルーティングし、解決前にフィルタリングします。
B. ハイブリッド DNS（DNS サーバー上でローカルに実行）による DNS クエリのフィルタリング
この機能により、アクセスルールが不要になるため、お客様が選択した DNS フォワーダーを使用できる利点と、特にローカル DNS リゾルバに動的 IP アドレスを設定できる利点がもたらされます。ハイブリッド DNS エンジンは、DNS クエリを解決する前に、フィルタリングエンジンとして動作するローカル DNS サーバーを作成します。ハイブ
リッド DNS は、DNS フォワーダーに設定された DNS IP アドレスをハイジャックして、マルウェアをインストールしたり、サイバー攻撃のゲートウェイとして使用される可能性のある悪意のあるウェブサイトやその他のウェブロケーション（サーバー、オンライン広告など）をスキャンします。
ハイブリッド DNS は、DNS フォワーダーの DNS（ドメインネームシステム）IP アドレスを 127.8.8.1（ハイブリッド DNS ループバック IP アドレス）に変更します。初期
DNS フォワーダーは Windows レジストリにバックアップされ、許可後に DNS クエリを解決するために使用されます。DNS IP アドレスが設定されると、インターネット経
由でアクセスするすべての Web ロケーションは、HEIMDAL エージェントのインストールパスにローカルに設定されたデータベースを介して処理されます。

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

3

DNS セキュリティ ネットワークの設定

DNS セキュリティ ネットワークを設定するには、以下の手順に従ってください
1.

HEIMDAL Dashboard にログインします。

2.

Network Settings セクションにアクセスします。

3.

Threat Prevention タブで、DarkLayer Guard モジュールがオンになっていることを確認します。

4.

Access Rule セクションで、パブリック IP アドレス (名前とサブネットが必要) を追加し、Update Network Settings ボタンを押します。次のサブネットで 1 つまたは複数のパブリック IP アドレスを追加できます：/32、/31、/30。より広い範囲については、弊社カスタマーポータルにお問い合わせください。アクセスルールの変更は 30 分ごとに反映されます。

アクセスルールを追加できるのは、アクセスルールとして追加しようとしているパブリッ
ク IP アドレスから HEIMDAL Dashboard にログインしている場合のみです。
パブリック IP アドレスまたはサブネットに新しいアクセスルールが追加されると、データベースに許可リストが作成されます。アクセスルールから削除すると、DNS サーバーを通じたフィルタリングが停止され、DNS セキュリティ ネットワークを通じてトラフィックを転送している場合、DNS サーバーで接続性の問題が発生する可能性があります。
Threat Prevention NetworkDNS フォワーダー（Windows Server 上）
組織で DNS セキュリティ ネットワークを実装するには、組織内の DNS サーバーを以下のIP アドレスを DNS フォワーダーとして使用するように設定する必要があります。
193.243.129.53
ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

76.223.127.10
重要AWS の技術的制限により、セカンダリ IP アドレス（セカンダリ DNS フォワーダ）は FQDN（完全修飾ドメイン名）に解決されませんが、「解決できません」というメッセージが表示されます。FQDN の検証は行われませんが、DNS フォワーダーは正しいサーバーを指し、トラフィックを正しく転送します。
DNS サーバーで DNS フォワーディングを設定するには、以下の手順に従う必要があります
1. サーバーマネージャーから DNS マネージャーを開きます。

2. DNS サーバーを右クリックし、プロパティを選択します。

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.13. フォワーダー、タブを選択し、編集ボタンをクリックします。

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

4. DNS の IP アドレス（193.243.129.53 と 76.223.127.10）を入力し、それぞれの IP アドレスの後に Enter を押します。両方の IP アドレスを入力したら、OK を押します。
HEIMDAL セキュリティフォワーダーは、DNS サーバーのパブリック IP アドレスがHEIMDAL ダッシュボードでアクセスルールとして追加されている場合にのみ検証されます（検証の 30 分前）。

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1DNS フォワーダーは次のようになりますジュピターテクノロジー株式会社DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

5. DNS Forwarders を設定した後、notblockedbyheimdalsecurity.com というウェブサイトにアクセスして、DNS セキュリティ ネットワークが機能しているかどうかをテストすることができます。サイトのテキストに「Heimdal Security はこのページをブロックしました」と表示されていれば、DNS セキュリティ ネットワークが正常に動作していることを意味します。
Threat Prevention Network DNS フォワーダー（Ubuntu/Debian の場合）
DNS セキュリティ ネットワークを組織で実装するには、DNS セキュリティ ネットワーク
IP アドレスを DNS フォワーダーとして使用するように、組織内の DNS サーバーを設定する必要があります
193.243.129.53
76.223.127.10

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1重要
AWS の技術的制限により、セカンダリ IP アドレス（セカンダリ DNS フォワーダ）は FQDN（完全修飾ドメイン名）に解決されず、「解決できません」というメッセージが表示されます。FQDN の検証は行われませんが、DNS フォワーダーは正しいサーバーを指し、トラフィックを正しく転送します。
DNS サーバーで DNS フォワーディングを設定するには、以下の手順に従う必要があります
1. インターフェイスファイル（/etc/network/interfaces）を開いて編集する

sudo nano /etc/network/interfaces
2. 以下の設定を追加します（これはオプションです）

auto eth0
iface eth0 inet static
address 192.168.1.2 #an IP at your choicenetmask 255.255.255.0
gateway 192.168.1.1
dns-nameservers 193.243.129.53 76.223.127.10
3. resolv.conf ファイル（/etc/resolv.conf）を開いて編集する。

sudo nano /etc/resolv.conf
4. 以下の設定を追加する

nameserver 193.243.129.53
nameserver 76.223.127.10#options edns0

5. マシンを再起動する。
6. apt パッケージのキャッシュを更新する

sudo apt-get update
ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

7. DNS サーバーに BIND をインストールする

sudo apt-get install bind9 bind9utils bind9-doc
8. named.conf.options ファイル（/etc/bind/named.conf.options）を開いて編集する

sudo nano /etc/bind/named.conf.options
9. 以下の設定を追加する

options {directory "/var/cache/bind";// If there is a firewall between you and nameservers you want// to talk to, you may need to fix the firewall to allow
multiple// ports to talk. See http://www.kb.cert.org/vuls/id/800113// If your ISP provided one or more IP addresses for stable// nameservers, you probably want to use them as forwarders.
// Uncomment the following block, and insert the addresses
replacing// the all-0's placeholder.
forwarders {193.243.129.53;
76.223.127.10;};//========================================================================// If BIND logs error messages about the root key being
expired,// you will need to update your keys. Seehttps://www.isc.org/bind-keys
ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1//========================================================================
dnssec-validation no;auth-nxdomain no; # conform to RFC1035
listen-on-v6 { any; };};
10. 以下のコマンドラインを使用してバインドを再起動する

sudo systemctl restart bind9
11. ポート 53 をブロックするファイアウォールルールがある場合は、以下のコマンドラインでブロックを解除できる。

sudo ufw allow 53
12. BIND を設定した後、ウェブサイト notblockedbyheimdalsecurity.com にアクセスして、DNS セキュリティ ネットワークが機能しているかどうかをテストできます。サイト上のテキストに「Heimdal Security はこのページをブロックしました」と表示されていれば、DNS セキュリティ ネットワークが正常に動作していることを意味します。

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

下のページが表示された場合は、プロテクションがまだ機能していないことを意味します。

重要DNS フォワーダーを変更してから正しいブロックページが表示されるまで、30～60 分かかることがあります。ただし、フォワーダーを変更した直後から、保護は有効になります。

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

4

Heimdal DNS セキュリティ ネットワークログエージ
ェントHEIMDAL DNS リゾルバを介して DNS クエリをフィルタリングする場合、HEIMDAL DNS
セキュリティ ネットワーク LogAgent を使用すると、許可されたリクエストと防止された攻撃の IP アドレスを、ネットワークフィルタリングが行われたホスト名に関連付けることができます。ハイブリッド DNS を介して DNS クエリをフィルタリングする場合、HEIMDAL DNS セ キ ュ リ テ ィ ネ ッ ト ワ ー ク LogAgent は す べ て の 情 報 を 収 集 し 、HEIMDAL ダッシュボードに報告します。HEIMDAL LogAgent は DNS サーバーにインストールされ、HEIMDAL 管理者が問題のエンドポイントのプライベート（ローカル）IP アドレスとホスト名を特定することで、悪意のある行動がどこから始まったかを確認するのに役立ちます。
必要条件
1. HEIMDAL DNS セキュリティ ネットワーク LogAgent は、32 ビットおよび 64 ビットアーキテクチャでサポートされており、Windows Server 2012/2012 R2、WindowsServer 2016、Windows Server 2019、Ubuntu 18.04（およびそれ以上）にインストールできます。
2. HEIMDAL DNS セキュリティ ネットワーク LogAgent は Npcap OEM を必要とするため、WinPcap（および CSIS LogAgent）が DNS サーバーにすでに存在する場合は、アンインストールすることをお勧めします。Npcap は、HEIMDAL LogAgent のインストール操作中に自動的にインストールされます。Npcap ドライバと相互作用する他のアプリケーション（Azure Advanced Threat Protection Sensor など）は、HEIMDAL DNS
セキュリティ ネットワーク LogAgent のフローと競合する可能性があり、応答を停止したり、HEIMDAL Dashboard へのデータ取り込みを停止したりする可能性があります。

3. HEIMDAL LogAgent は、以下の IP アドレスのポート 443 を通して、弊社の Log Agent
API にア クセ スする 必要 があ りま す： 3.68.42.215 およ び 3.122.156.8 (logagentapi.heimdalsecurity.com)。

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1HEIMDAL DNS セキュリティ ネットワーク LogAgent は、以下の方法でインストールできます：
A. HEIMDAL ダッシュボードからのインストール
HEIMDAL Dashboard から DNS サーバーに HEIMDAL LogAgent をインストールするには、特定のサーバーで HEIMDAL Agent が動作している必要があります。この条件を満たす場合は、HEIMDAL ダッシュボードにログインし、management > Active Clients をクリックし、DNS サーバーを選択し、ドロップダウンメニューから TPN LogAgent とハイブリッド DNS のインストールをクリックします。

この機能は、次の HEIMDAL Agent Group Policy チェックで起動し、DNS サーバーにHEIMDAL LogAgent をインストールします。
B. スタンドアロン HEIMDAL LogAgent のインストール（Windows Server 上）
DNS サーバーに HEIMDAL LogAgent をインストールするには、HEIMDAL Dashboardにログインし、Guide セクション > Download and Install タブに進み、スタンドアロンの HEIMDAL DNS セキュリティ ネットワーク LogAgent（Windows 用）をダウンロー
ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

ドします。HEIMDAL LogAgent をダウンロードしたら、DNS サーバーにインストールし、HEIMDAL ライセンスキーを使用してアクティベートします。HEIMDAL LogAgent
は、コントロールパネル→プログラムと機能（Npcap OEM とともに）からアンインストールできます。
C. スタンドアロン HEIMDAL LogAgent のインストール（Ubuntu の場合）
DNS サーバーに HEIMDAL LogAgent をインストールするには、HEIMDAL Dashboardにログインし、Guide セクション > Download and Install タブに移動し、スタンドアロンの HEIMDAL DNS セキュリティ ネットワーク LogAgent（Ubuntu 用）をダウンロードします。LogAgent スクリプトをダウンロードしたら、解凍し、ターミナルで以下のコマンドラインを実行してインストールしますsudo sh install-ubuntu.sh <replace_with_license_key_here>
HEIMDAL LogAgent の状態を見るには、以下のコマンドラインを実行することもできます。

sudo sh uninstall-ubuntu.sh

重要新しいバージョンが利用可能になると、HEIMDAL LogAgent は自動的にアップデートします。

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

5

DNS セキュリティ ネットワークビュー

DNS セキュリティ ネットワークビューには、組織内の DNS サーバー上で実行されているHEIMDAL Agent/HEIMDAL Log Agent によって収集されたすべての情報が表示されます。
収集された情報は、DNS サーバーを経由した DNS クエリです。上部には、分析されたトラフィックリクエスト数、防止された攻撃数、防止された攻撃%およびカテゴリブロック数に関する統計が表示されます。

収集された情報は、以下のビューに表示されます：「標準」、「脅威の種類」、「最新の脅威」、「最も使用されているドメイン」です。
Standard
このビューは、以下の詳細を持つテーブルを表示します：ホスト名(HEIMDAL Log Agent は、リクエストを行うエンドポイントのホスト名を収集する必要があります)、IP アドレス
(HEIMDAL Log Agent は、リクエストを行うエンドポイントのローカル/内部 IP アドレスを収集する必要があります)、承認されたリクエスト、防止された攻撃、およびリスクレベル(これは次の式に従って計算されます：低リスクレベル - 防御された攻撃回数が日数より少ない場合、中リスクレベル - 防御された攻撃回数が日数と等しいかそれ以上で、1.66 * 日数より少ない場合、高リスクレベル - これら 2 つのレベルを超える場合）。このビューのデータは 1 時間ごとに更新されます。

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

Threat Type
このビューには、以下の詳細が記載された表が表示されます：脅威の種類とヒット数。このビューのデータは 1 時間ごとに更新されます。

Latest Threats
このビューは、以下の詳細を持つテーブルを表示します：ホスト名（HEIMDAL ログエージ
ェントは、リクエストを行うエンドポイントのホスト名を収集する必要があります）、クラ
イアント IP アドレス（HEIMDAL ログエージェントは、リクエストを行うエンドポイントのローカル/内部 IP アドレスを収集する必要があります）、ドメイン、脅威タイプ、日付と時刻。データは、最新の脅威とフォレンジックフィルターを使用してフィルタリングするこジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

とができます。

フォレンジックフィルターには、以下の詳細が表示されます：IP アドレス、プロトコル、URL、日付。

このビューのデータはリアルタイムで更新されます。
Category Blocks
このビューは、以下の詳細を持つテーブルを表示します：ホスト名(HEIMDAL ログエージェ
ントはリクエストを行うエンドポイントのホスト名を収集する必要があります)、IP アドレス(HEIMDAL ログエージェントはリクエストを行うエンドポイントのローカル/内部 IP ア
ドレスを収集する必要があります)、ドメイン、日付。

標準ビューおよび最新脅威ビューで、名前の代わりに N/A タグを使用してリストされているホスト名は、Forward Lookup Zones にリストされないことに注意してください。これをジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

修正するには、これらのホスト名を Forward Lookup Zones に追加する必要があります。
Most Used Domains
このビューには、以下の詳細が表示されます：ドメインと合計ヒット数。このビューのデー
タは 1 時間ごとに更新されます。

Investigate
このビューでは、検索フィールドに入力したドメインの DNS 関連の統計を取得できます。
このビューは 3 つのサブセクションに分かれていますa.

Global Threat Intelligent - 最もアクセス数の多いプロセスのトップ 3、DNS セキュリ
ティ エンドポイントマッチ（選択した時間枠で、ドメインが DNS セキュリティ エンドポイント経由で検知された回数）、グローバル DNS セキュリティ エンドポイントマ
ッチ（選択した時間枠で、ドメインがグローバル Heimdal Security データベースの DNS
セキュリティ エンドポイントで検知された回数）を表示します、同じ IP アドレスに関連するドメイン/URL は、DNS セキュリティ エンドポイント + DNS セキュリティ
ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

ネットワークが一致（選択した時間枠で、ドメインが DNS セキュリティ エンドポイ
ントと DNS セキュリティ ネットワークによって検知された回数）、グローバル DNS
セキュリティ エンドポイント + DNS セキュリティ ネットワーク が一致（選択した時間枠で、ドメインがグローバル Heimdal Security データベース内の DNS セキュリ
ティ エンドポイントと DNS セキュリティ ネットワークによって検知された回数）b.

Predictive DNS Score - Threat Prevention Endpoint ブロックリスト（ブロックリストの一致）上のドメイン（当該ドメイン）の存在と裏付けされた、人工知能アルゴリズ
ム（0～100 の範囲）に基づく悪質性スコアを表示します。スコアが高いほど、問題のドメインが感染している確率が高くなります。予測 DNS スコアは、上記のスコアに基づいてリスクレベル（なし、低、中、高、重大）を表示しますc.

DNS Statistics（DNS 統計） - 選択したドメインに対する 1 日のヒット数をグラフで表示します（青色の線はクエリ時にクエリされたドメインがクリーンであることを示し、赤線はクエリ時にクエリされたドメインが感染していることを示す)

d.

Requester distribution - 問題のドメイン（問題のドメインへの DNS クエリの発信元）をコールしたトップパブリック IP アドレスのマップと統計を表示します。

App Discovery
App Discovery はクラウドアクセスセキュリティブローカー（CASB）として使用でき、不適切なクラウドアプリの使用を可視化するなど、組織全体のクラウドアプリの使用を管理および制御するための包括的な機能を提供します。このビューには、DarkLayer
Guard エンジンによって検出されたアプリケーションのリストと、以下の詳細が表示されます：アプリケーション名、ベンダー、インストールされているエンドポイント、リスクレベルです。このビューのデータはリアルタイムで更新されます。
ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1CSV ダウンロード機能を使用すると、各ビューに対応するすべての情報を含む CSV レポートを作成し、ダウンロードすることができます。

DNS セキュリティ ネットワークの設定
HEIMDAL ダッシュボードで DNS セキュリティ ネットワークを設定するには、Network Settings セクション > Threat Prevention タブにアクセスする必要があります。
DarkLayer Guard - DNS セキュリティ ネットワーク モジュールのオン/オフを切り替えます
ログエージェントのロギング - HEIMDAL ダッシュボード内の検知ログのレポートをオン/オフにします
ハイブリッド DNS - DNS クエリをフィルタリングするために DNS サーバー上でローカルに実行される HEIMDAL DNS サーバーをオン/オフします
ドメイン許可リスト/ブロックリスト - ネットワーク内のユーザーに対してドメイン/サブドメインの許可リスト/ブロックリストを作成できます

Block By Category- この機能を使用すると、カテゴリに含まれるドメインのグループ
ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

をブロックできます（例：ソーシャル、スポーツ、ギャンブル、金融、健康など）。ハ
イブリッド DNS を使用している場合、カテゴリによるブロックはサポートされません。

Custom block pages - この機能により、DNS セキュリティ ネットワークが悪意のあるドメイン (またはブロックリストに登録されたドメイン) へのアクセスをインターセプトしてブロックする際に、デフォルトの Heimdal ブロックページに代わるカスタ
ム HTML ブロックページを追加できます。カスタムブロックページは、ハイブリッド
DNS を使用している場合はサポートされません

DNS セキュリティ エンドポイントと DNS セキュリティ ネットワークを使用している場合、許可リスト/ブロックリストに関しては DNS セキュリティ ネットワークが優先される。例えば、DNS セキュリティ エンドポイントではなく DNS セキュリティ ネットワークでドメインをブロックリストにした場合、エンドポイントがグループポリシーでそのドメインを許可リストにしていても、DNS セキュリティ ネットワークが最初にそのドメインをフィルターするので、ユーザーはブロックバナーを受け取る。
ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

Access Rule* - DNS サーバーを経由するトラフィックをフィルタリングするために、パブリック IP アドレスを追加します。ここでは、パブリック IP アドレスまたはサブネットを指定できます。

FILL CURRENT IP - サブネットフィールドに現在のパブリック IP アドレスを自動的に追加し、アクセスルールとして追加できるようにします。


アクセスルールを追加できるのは、アクセスルールとして追加しようとしている
パブリック IP アドレスから HEIMDAL ダッシュボードにログインしている場合のみです

追加できるサブネットは/32、/31、/30 のみです

パブリック IP アドレスまたはサブネットに新しいアクセスルールが追加されると、データベースに許可リストが作成されます。アクセスルールから削除すると、DNSサーバーによるフィルタリングが停止され、DNS セキュリティ ネットワーク経由でトラフィックを転送している場合、DNS サーバーで接続性の問題が発生する可能性があります。
警告：パブリック IP アドレスまたはサブネットに対して新しいアクセスルールが追加されると、そのルールはデータベースに許可リストに登録されます。アクセスルールから削除すると、DNS サーバーを介したフィルタリングが停止され、DNSセキュリティ ネットワークを介してトラフィックを転送している場合、DNS サーバーで接続性の問題が発生する可能性があります。

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

Log unknown hostnames - DNS セキュリティ ネットワークのビュー (標準ビューおよび最新の脅威ビュー) で、不明な (N/A) ホスト名がログに記録され、表示されます。
Log local domains - インターセプトされたローカルドメインのログと表示
Policy check interval - 脅威防御ログエージェントのチェック間隔を設定します。
Update Network Settings -DNS セキュリティ ネットワークモジュールで実行されたすべての設定を更新しますジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

6

グループポリシー設定

エンドポイント設定に移動するには、HEIMDAL ダッシュボードにログインし、EndpointSettings 設定ボタン（右上）をクリックし、グループポリシーを選択する必要があります。
※一般設定やグループポリシーについては Heimdal ユーザーガイド プラットフォーム編を参照してください

6.1 DarkLayerGuard
DarkLayer Guard エンジンを有効にすることで、HEIMDAL エージェントはコンピュータを感染から保護するネットワークフィルターを有効にします。

DNS セキュリティは 2 つのモジュールで構成されています：DarkLayer Guard と VectorN
Detection です。このグループポリシーセクションは、HEIMDAL エージェントに組み込まれた HEIMDAL DNS セキュリティエンジンを管理するために設計されています。

Force DHCP DNS usage
この機能は、DarkLayer Guard エンジンの背後で、ネットワーク インターフェイス カー
ドの DNS を自動 (DHCP) に設定します。DarkLayer Guard エンジンが NIC にジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

127.7.7.x または fe80::yyyy:yyyy:xxxx:xxxx を追加できない場合、自動 DNS (DHCP によって自動的に設定) に戻ります。このオプションは、以下の場合に有効にすることをお勧めします組織内で VPN 接続を使用している組織の誰も静的 DNS IP アドレスを使用していない。

Use default loopback address
この機能により、DarkLayer Guard はネットワーク インターフェイス カードの DNS を127.7.7.x ではなく 127.0.0.1 (IPv4 の場合)、fe80::yyyy:yyyy:xxxx:xxxx (IPv6 の場合) ではなく ::1 に設定します。これにより、DarkLayer Guard エンジンは単一のアダプタからのトラフィックを遮断するようになります。この設定は、HEIMDAL Threat Prevention と特定の VPN 製品、および仮想化製品などの他のソフトウェアとの互換性を確保するのに役立ちます
Force NCSI fixこの機能を使用すると、DarkLayer Guard と同時に実行した場合にトレイ メニューに接続グローブが表示されるネットワーク接続状況インジケータが修正されます。HEIMDAL
エージェントは、次のパスに値 1 (デフォルトは 0) を設定します。
Computer¥HKEY_LOCAL_MACHINE¥SYSTEM¥CurrentControlSet¥Services¥NlaSvc¥Parameters¥Internet¥EnableActiveProbing
で、hosts ファイル (C:¥Windows¥System32¥drivers¥etc)に Microsoft IP Address を追加します。
Improve TTPC accuracy
悪意のある DNS リクエストを実行するプロセスの傍受を改善するために、（まだインストールされていない場合は）Sysmon サービスをインストールして更新する。

Sysmon のログは、イベントビューアーのログ > アプリケーションとサービスのログ-> Microsoft > Windows > Sysmon > Operational にあります。DNS 要求のログに使用されるイベント ID は 22 です。

DarkLayer Guard - エンドポイント エンディングが Sysmon からプロセス ID を取得し、Window プロセスにクエリを実行する場合、プロセスがすでに強制終了または停止されている可能性があります。この場合、DarkLayer Guard - Endpoint はプロセス情報を取得できないため、HEIMDAL ダッシュボードに一般的な「-」が表示されます；
ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

同じドメインにアクセスした場合、2 分間の待ち時間が発生し、その間に複数回アクセスされた場合でも、特定のドメインのエントリが 1 つだけ表示されます。イベント
ビューアのログでは、ドメインがアクセスされるたびにエントリが表示される。

Full logging
エンドポイントからの DNS リクエストに関する詳細情報を取得する（お客様の環境で行われたすべての DNS リクエストをログに記録します）。
Disable DarkLayer Guard for IPv6
IPv6 の DarkLayer Guard フィルタリングを無効にできます。
DoH Compatibility Mode
この機能は、アクティブブラウザ（Google Chrome または Mozilla Firefox）が DNS over
HTTPS パッケージを採用しないようにし、HEIMDAL™脅威防御が提供するより包括的なDNS トラフィックフィルタリングに取って代わります。
Cisco Anyconnect/Fortinet compatibility mode
この機能は、Cisco Anyconnect/Fortinet の IPv6 フィルタリングの既知のバグを解決するた
めに、Cisco Anyconnect アダプタ上で IPv6 から IPv4 にトラフィックをリルートします。
Use supported VPN forwarders
エンドポイントのすべてのアダプタで、DarkLayer Guard エンジンが VPN アダプタによって提供/設定された DNS IP アドレスを使用するようにします。
High Compatibility Mode
この機能は、関連するすべての Microsoft Windows サービスが正常に起動できるように、現在インターネットにアクセスしているネットワークインターフェイスカード上でDarkLayer Guard フィルターを適用する際に 15 ミリ秒の遅延を設定します。通常起動が許可されるサービスは、ドメイン検出、ネットワークドライブ認証などの重要な拡張環境タスクを担当します。
Pause DarkLayer Guard when Cisco Anyconnect or Fortinet is detected
この機能は、エンドポイントが Cisco Anyconnect/Fortigate に接続されている間、DarkLayer Guard エンジンを一時停止します。Cisco Anyconnect/Fortigate から切断すると、DNS フィルタリングは自動的に再有効化されます。
ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1DNS server response validation
DarkLayer Guard は DNS リゾルバをテストし、いずれかの DNS リゾルバが失敗した場合に備えて交互に使用します (1 番目の DNS が再び稼働するまで、2 番目の DNS で 1番目の DNS を変更します)。
Check Interval
フィルタリングデータベースの新しい更新をチェックする DarkLayer Guard エンジンの時間間隔を設定できます。
Domains allowlist
この機能により、Heimdal ダッシュボード管理者は、Heimdal™ Threat Prevention でブロックされているドメインを許可リストにすることができます。CSV ファイルをアップロードすることで、ドメイン、サブドメイン、トップレベルドメイン（.com、.co.uk など）、または複数のドメインを一度に許可リストにすることができます（Excel ワークブッ
ク/シートを CSV ファイルとして保存する場合、ドメイン/サブドメインは自動的にカンマ[,]で区切られ、1 つの同じ行にリストされる必要があります。
）

Block by Category
この機能は、カテゴリに含まれるドメインのグループをブロックすることができます（例：ソーシャル、スポーツ、ギャンブル、金融、健康、その他）。

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

Block by Category Schedule
この機能は、カテゴリによるブロックが有効になっている場合にのみ利用可能で、カテゴリによるブロック機能が適用される特定の時間間隔をスケジュールすることができます。
Domains blocklist
この機能により、Heimdal Dashboard 管理者は、Heimdal™ Threat Prevention - Endpointが脅威とみなさないドメインをブロックリストに登録したり、特定のドメインへのアクセスをブロックしたりすることができます。CSV ファイルをアップロードすることで、ドメイン、サブドメイン、トップレベルドメイン（.com、.co.uk など）、または複数のドメインを一度にブロックリストにすることができます（Excel ワークブック/シートを CSV ファイルとして保存する場合、ドメイン/サブドメインは自動的にカンマ[,]で区切られ、1 つの同じ行にリストされる必要があります。

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1Custom block pages
この機能により、Threat Prevention - Endpoint が悪意のあるドメイン（またはブロックリストに登録されたドメイン）へのアクセスを遮断してブロックする際に、デフォルトのHeimdal ブロックページに代わるカスタム HTML ブロックページを追加できます。

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

6.2 VectorN Detection
エンドポイント設定については後述の VectorN Detection 設定を参照してください

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク管理者ガイド
Rev1.1

7

VectorN Detection とはVectorN Detection は悪意のあるスクリプトやマルウェアに感染している可能性が最も高いエンドポイントを特定します。悪意のあるドメイン要求のパターンを識別し、それに応じてフィルタリングします。VectorN Detection によって感染の可能性があると特定されたコンピュータは、最終的にシステム管理者によって脅威として扱われ、調査され、手動または自動で脅威のスキャンが行われます。

2017 年、企業が貴重な情報を失ったケースの 55％以上が、データ窃取マルウェアやデータ使用攻撃のせいであった。データ窃取マルウェアのうち、従来のウイルス対策ソフトウェアで検出されるのは約 19%です。検出率が低い原因は、マルウェアが常に挙動や攻撃方法を変えるポリモーフィズムにある。 情報窃盗はもはや PC 自体で起こっているのではなく、ネットワーク全体に広がっているため、データ窃盗の問題はさらに増加しています。
VectorN Detection は、シグネチャやアクセス検知だけに依存するのではなく、トラフィックと使用法のアルゴリズムを採用しています。

7.1

VectorN Detection の仕組み

VectorN Detection エンジンは、DarkLayer Guard のドメインブロック内のパターンを検索する機能です。VectorN Detection は、高度な機械学習アルゴリズムを使用して隠れた脅威を検出し、HIPS/HIDS および IOA/IOC 機能を提供することで、隠れたマルウェアも検出します。あるドメインが 1 日に複数回、ごく短時間にブロックされた場合、あるドメインが毎日特定の時間にブロックされた場合、複数のドメインがごく短時間にブロックされた場合などにパターンが傍受されます。
マルウェアのパターン- Infostealer（インフォステアラー）：同じドメインから同じ時間帯に悪意のある活動を 1 カ
月にわたって検出する
ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

- APT 系統：1 日のうち、同じ時間帯に同じドメインから悪意のある活動を検出する；- ボットネットの系統：1 カ月の間、1 日の同じ時間帯に任意のドメインからの悪意のある活動を検出；- ブロックされた攻撃：1 分間に少なくとも 4 つのブロックされた攻撃に代表される悪意のある活動を検出。

7.2

VectorN Detection エージェントの見方

HEIMDAL Agent の Threat Prevention セクションで、VectorN 検出、マルウェアパターン、および感染確率を確認できます。

See Details ボタンを押すと、VectorN 検出ビューが表示され、以下の詳細が表示されます：
感染確率、総検出数、ブロックされたマルウェアパターン、感染リスク、TTPC、日付、アクションの詳細が表示されます。

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

7.3 VectorN Detection

ダッシュボードの見方

ダッシュボードの VectorN Detection ビューには、組織内のエンドポイントで実行されている HEIMDAL Agent によって収集されたすべての情報が表示されます。収集された情報は、DarkLayer Guard ドメインブロック内で識別されたパターンを参照しています。上部には、VectorN 検出の数に関する統計が表示されます。

VectorN Endpoint
このビューには、以下の詳細が表示されます：ホスト名、マルウェアパターン、感染確率、カウント、TTPC、および最後に一致した時間。検出されたパターンを選択すると、傍受されたプロセスを隔離するか、分析用に HEIMDAL Security のストレージにアップロードするか、または非表示にすることができます (検出は 30 日間無効になります)。Resolve オプ
ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

ションは、グループポリシーで「リスクまたは感染を持つユーザーの昇格の解除とブロック」（De-elevate and block elevation for users with risk or infections ）が有効になっている場合に、特権アクセス管理製品を介して昇格できない誤検出パターンがある場合に使用できます。VectorN Detection を解決した後、非表示がコンピュータに反映されるまで 24 時間待つ必要があります。

VectorN Network
このビューには、以下の詳細が表示されます：ホスト名、マルウェア パターン、感染確率、カウント、および最後に一致した時間。

Show Dismissed Detections は、非表示の VectorN パターンを表示します。Download CSV
機能により、各ビューに対応する Standard または Verbose モードのすべての情報を含むCSV レポートを生成してダウンロードできます。Filters（フィルター）機能では、オペレーティングシステム別にエントリをフィルタリングできます。

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

7.4 VectorN Detection 設定
VectorN Detection は、DarkLayer Guard ドメインブロック内のパターンを検出するため、DarkLayer Guard - Endpoint モジュールが有効になっている必要があります。悪意のあるドメイン要求のパターンを識別し、それに応じてフィルタリングします。

VectorN Detection - VectorN 検出エンジンをオン/オフします（DarkLayer Guard モジュー
ルも有効にする必要があります）

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1

8

お問い合わせHeimdal についてご不明な点がございましたら、以下までお問い合わせください。

ジュピターテクノロジー株式会社（Jupiter Technology Corp.）住所：〒183-0023 東京都府中市宮町一丁目 40 番地 KDX 府中ビル 6F

URL：

https://www.jtc-i.co.jp/

電話番号：

042-358-1250

FAX 番号：

042-360-6221

ご購入のお問い合わせ：
お問い合わせフォーム

https://www.jtc-i.co.jp/contact/scontact.php

メール

sales@jtc-i.co.jp

製品サポートのお問い合わせ：カスタマーポータル https://www.jtc-i.co.jp/support/customerportal/

ジュピターテクノロジー株式会社

DNS セキュリティ ネットワーク
管理者ガイド
Rev1.1