「Kaspersky Cloud Sandbox /Cloud Threat Attribution Engine」のご紹介～追加リソース不要のサンドボックス・属性分析サービス～

2023年01月06日
株式会社カスペルスキー
セールスエンジニアリング本部

V1.0

Cloud Sandboxのご紹介

2

Copyright © 2023 Kaspersky Lab. All rights reserved.

Kaspersky Cloud Sandbox とはオブジェクトの動的解析をクラウド上のサンドボックスで実現するソリューション
・カスペルスキーがクラウド上に提供するサンドボックスを使用したオブジェクト解析サービスです。
・クラウドベースの為、サンドボックス用の機器の購入が不要でメンテナンスにかかるランニングコストを削減することが可能です。
・統計データから収集した脅威インテリジェンス、ふるまい分析、サンドボックスを回避する最新手法に対する信頼性の高い回避対策、自動クリック、文書スクロール、ダミープロセスなどのユーザ操作のシュミレート技術を組み合わせたハイブリットアプローチを採用しています。

3

Copyright © 2023 Kaspersky Lab. All rights reserved.

解析方法
さまざまなファイルを解析するための柔軟な設定
・以下の3パターンの解析が可能です。
①解析したいファイルをドラッグ＆ドロップでアップロード②解析したいファイルがダウンロードされるURL③アクセスした際の挙動を解析したいURL

4

Copyright © 2023 Kaspersky Lab. All rights reserved.

解析方法
さまざまなファイルを解析するための柔軟な設定
・オプションを設定することで、オブジェクト解析をさまざまな条件で実施することが可能です。
①ファイル実行環境
Windows XP / Windows 7 / Windows 7 x64 / Windows 10 x64 / Android x86 / Android ARM②インターネットチャネル
Tor / Tarpit(インターネットにアクセスせず実行) / AU / BR / DE / EG / JP / KR / RU / US③その他オプション-HTTPS複号-ドキュメント内のリンク追跡-特定のパラメータを使用したオブジェクト実行-解析時間 (30～500秒)

5

Copyright © 2023 Kaspersky Lab. All rights reserved.

解析結果
・対象のオブジェクト解析後、ファイルの実行結果と分析結果が以下のカテゴリごとに表示されます。

6

項目説明サマリ

実行タスクの詳細 （ファイル実行時に検知したアイテム・アクティビティ・抽出ファイルのサマリ)検知検知された脅威、適用されたネットワークルール、疑わしい活動

静的分析結果オブジェクトの静的分析結果 (Androidのサンドボックス環境で解析した場合のみ表示)

システムアクティビティ

ファイル実行中に読み込まれたPEイメージおよび登録された様々な動作抽出されたファイル実行されたファイルによってダウンロード・ドロップされたファイル

ネットワークアクティビティ

ファイル実行中に登録されたネットワーク動作

Copyright © 2023 Kaspersky Lab. All rights reserved.

解析結果：「検知」カテゴリ
検知されたオブジェクト・ファイルの実行中に登録された動作を提供
・検知カテゴリではファイル実行中に検知や登録されたアイテム・アクティビティに関する情報を提供します。
①検知したマルウェア-ファイル実行中に脅威として検知されたマルウェアの一覧->マルウェア名をクリックすることで脅威に関する「検出日」や「プラットフォーム」、「攻撃の地理的分布」といった詳細情報が「Kasperskｙ THREATS」で確認可能

7

Copyright © 2023 Kaspersky Lab. All rights reserved.

解析結果：「検知」カテゴリ②ネットワークトリガールール-実行されたファイルからのトラフィック分析に適用されたＳＮＯＲＴ・Ｓｕｒｉｃａｔａルール③ファイルのダウンロードに関する情報 (「解析したいファイルがダウンロードされるURL」を指定して解析した場合のみ表示)-ファイルダウンロードプロセス(HTTPリクエストのメソッド、ユーザーエージェント)-ファイルのダウンロード元から送信されたWebアドレスに対するリクエスト、Webアドレスからのレスポンス

8

Copyright © 2023 Kaspersky Lab. All rights reserved.

解析結果：「検知」カテゴリ④Execution map-各アクティビティのシーケンスの関係を可視化、各ツリー要素は危険レベルによって色分けされ、クリックすることで詳細情報を表示-疑わしいアクティビティにはMITRE ATT&CK(攻撃を戦術・技術・手法の観点で分類したナレッジベース)の情報がマッピング

9

Copyright © 2023 Kaspersky Lab. All rights reserved.

解析結果：「検知」カテゴリ⑤スクリーンショット-対象のオブジェクトを解析環境で実行した際の動作を記録した一連のスクリーンショット->提供されたスクリーンショットはダウンロード可能

10

Copyright © 2023 Kaspersky Lab. All rights reserved.

解析結果：「静的分析結果」カテゴリ
Androidを標的にしたマルウェアの動的解析結果
・静的分析結果カテゴリではAndroidの解析環境で実行された関する情報を提供します。
①マニフェスト-アプリの内部構造などが記載されたxmlファイル②モジュール、コンポーネント-検知されたモジュールのパス、説明-検知されたコンポーネント名、重大度、ステータス、説明③権限-検知されたアプリの権限ステータス、重大度、権限の値、説明④Android App Bundle-Android App Bundle(Google PlayがAPKの生成と署名を行ったアプリのコンパイル済みコードとリソースをすべて含むアップロード形式)のファイルタイプ、パス、サイズおよびMD5ハッシュ値-Android App Bundleの画像

11

Copyright © 2023 Kaspersky Lab. All rights reserved.

解析結果：「システムアクティビティ」カテゴリ
・システムアクティビティカテゴリでは、ファイル実行中に読み込まれたPEイメージおよび登録された様々な動作に関する情報を提供します。
①PEイメージ-ファイル実行中に読み込まれたPEイメージのファイルパスとファイルサイズ②ファイル操作、レジストリ・プロセス・同期オブジェクトに関するオペレーション-ファイル実行中に登録されたファイル・レジストリの操作、ファイルと様々なプロセスの通信-作成された同期オブジェクトの操作

12

Copyright © 2023 Kaspersky Lab. All rights reserved.

解析結果：「抽出されたファイル」カテゴリ
・抽出されたファイルカテゴリでは、実行されたファイルによって保存されたファイル関する情報が提供されます。
①アップロードされたオブジェクトに含まれるファイルの情報-ファイルの危険レベル、MD5ハッシュ値、ファイル名、使用されたパッカーの名前など②実行されたファイルによって保存されたファイル、ネットワークトラフィックから抽出されたファイル-ファイルのステータス、MD5ハッシュ値、ファイル名、検知されたオブジェクト名など

13

Copyright © 2023 Kaspersky Lab. All rights reserved.

解析結果： 「ネットワークアクティビティ」カテゴリ
動的解析中に発生した通信の詳細を提供
・ネットワークアクティビティでは：ファイル実行中に登録されたHTTP(S)・DNSリクエスト情報を提供します。
①ネットワークセッション-ファイル実行中に登録されたIP/TCP/UDP/DNS/TLS/FTP/IRC/POP3/SMB/SMTP/SOCKSセッション②HTTP(S)リクエスト-ファイルの実行中に登録されたHTTP(S)リクエスト

14

Copyright © 2023 Kaspersky Lab. All rights reserved.

Kasperskyの脅威インテリジェンスサービスとの連携
サービス連携によるインシデントレスポンスの強化
・Threat Lookup：脅威ルックアップサービスと連携することで、検知したオブジェクト名からワンクリックで脅威情報の詳細を確認可能です。

ワンクリックでThreat Lookupの検索結果に移動

15

Copyright © 2023 Kaspersky Lab. All rights reserved.

Cloud Threat Attribution Engineのご紹介

16

Copyright © 2023 Kaspersky Lab. All rights reserved.

Cloud Threat Attribution Engine とはコードの類似性を解析し、攻撃者を特定するための技術的証拠を示すソリューション
・サンプルから抽出された遺伝子型(16バイト長の小さなバイナリ断片)と60,000件以上のAPTマルウェアサンプルを含んだ大規模のAPTデータベースをクラウド上で比較し、攻撃者を特定するマルウェア属性分析サービスです。
・特許取得の類似コード比較技術に基づいた独自の製品で、OSに依存せずあらゆるファイルの解析が可能です。
＝攻撃の背後にいる攻撃者・攻撃グループの情報を提供し、適切かつ迅速なインシデントレスポンスを支援します。

17

Copyright © 2023 Kaspersky Lab. All rights reserved.

解析方法
対象オブジェクトの動的解析と属性分析を一度に実施
・以下の2パターンの分析が可能です。
①分析したいファイルをドラッグ＆ドロップでアップロード②分析したいファイルがダウンロードされるURL・Cloud Threat Attribution EngineはCloud Sandboxとの同時解析が可能です。

18

Copyright © 2023 Kaspersky Lab. All rights reserved.

解析結果
・対象のオブジェクト解析後、既知のAPTサンプルとの類似性に基づき、考えられるファイルの属性に関する情報を提供します。
①サマリ-オブジェクト判定および分析結果に関する一般情報②サンプル・コンテンツ-抽出されたファイルのステータス、データベースと一致した遺伝子型・文字列の数、考えられる攻撃者グループ名

19

Copyright © 2023 Kaspersky Lab. All rights reserved.

解析結果③類似サンプル-分析されたファイルに類似するオブジェクトのハッシュ値、考えられる攻撃者グループ、攻撃者グループの別名④分析されたファイルと一致した遺伝子型、文字列

20

Copyright © 2023 Kaspersky Lab. All rights reserved.