こんにちは。ネットワールドの大谷です。
本稿は「Predictive Alin AIとMetaDefender Aetherの検証レポート ～Alin/Aether概要・導入編～」の続きとなります。 今回は、脅威ファイルのスキャン検証を実施しましたのでそちらの紹介をしようと思います。
検証
■脅威ファイルをスキャンした際の挙動
脅威となり得るファイルをスキャンした場合どのような処理となるのかを検証してみます。 検証対象のファイルは以下となります。
- 古いインストーラファイル
- フィッシングの訓練メール
以前とあるzip解凍ソフトウェアの古いインストーラーファイルに複数の脆弱性が認められたというニュースがあったため、今回はそのインストーラーファイルをスキャンいたしました。
また、フィッシングの訓練メールをAetherにて分析したときにどういった挙動を起こすのかを確認していきます。 ※今回Aetherの設定はデフォルト設定とさせていただきます。
まずは古いインストーラをスキャンします。 しばらくすると、「Adaptive Sandbox」で複数の脅威指標が確認されました。
「Adaptive Sandbox」の欄をクリックすると、解析結果が表示されます。
赤枠の箇所でどんな脅威が起こったかがわかります。
「Adaptive Sandbox Full Report」をクリックし、詳細な解析結果を確認します。
Aetherの解析結果では、対象ファイルにWiper系マルウェアとの類似性が認められるとの判定が表示されました。
今回使用したファイルは古いインストーラであり、実際にマルウェアであることを確認したわけではありません。
しかしながら、従来のアンチウイルス検知だけでは把握できない潜在的なリスクを、Aetherが振る舞い分析から抽出できている点は興味深い結果でした。
続いて、フィッシングメールをスキャンした結果を確認していきます。
まずは、送られていたメールをeml形式で保存し、MetaDefender Coreにてスキャンします。
スキャンをすると、Adaptive Sandboxにて「High Risk」と表示されました。 また、「High Risk Verdict by Sandbox」という理由で、ファイルはBLOCKされました。
Adaptive Sandboxの欄をクリックし、詳細を見ていきます。
「URL rendering detected a potential phishing attack」という解析結果となりました。
SandboxによるURLレンダリング解析の結果、 フィッシングメールの可能性があると判定されました。
これにより、MetaDefender Email Gateway Securityなどのオプションと組み合わせることにより、 お客様のメールボックスに到達する前にフィッシングメールの検知なども可能です。
本稿では、脅威ファイルをスキャンした際のAetherの挙動について紹介いたしました。
今回の検証から、Aetherは既知マルウェアだけでなく、 脆弱性を含む可能性のあるファイルやフィッシングメールについても 多角的な分析を実施できることを確認できました。
次回はログの調査やトラブルシュートについて紹介したいと思います。
本記事が導入や検証を行う際の参考になれば幸いです。
