マルウェア防御とファイル制御について
ライセンス：Protection、Malware、または任意
高度なマルウェア防御機能を使用すると、ネットワークで伝送されるマルウェア ファイルを検出、追跡、分析し、必要に応じてブロックするように ASA FirePOWER モジュールを設定できます。
システムは、PDF、Microsoft Office 文書など多数のファイル タイプに潜むマルウェアを検出し、オプションでブロックできます。ASA FirePOWER モジュールは、特定のアプリケーション プロトコル ベースのネットワーク トラフィックで、これらのファイル タイプの伝送をモニタします。ASA FirePOWER モジュールは該当するファイルを検出し、ファイルの SHA256 ハッシュ値を使用してマルウェア クラウド ルックアップを実行します。その結果に基づき、Cisco Cloud は ASA FirePOWER モジュールにファイルの性質を返します。
クラウドにあるファイルの性質が不正確だとわかっている場合、次のようにして、ファイルの SHA-256 値をファイル リストに追加できます。
-
クラウドがクリーンの性質を割り当てた場合と同じ方法でファイルを扱うには、クリーン リストにファイルを追加します。
-
クラウドがマルウェアの性質を割り当てた場合と同じ方法でファイルを扱うには、カスタム検出リストにファイルを追加します。
あるファイルの SHA-256 値がファイル リスト内で検出されると、システムはマルウェア ルックアップの実行もファイルの性質の検査も行わずに、適切なアクションを実行します。ファイルの SHA 値を計算するには、マルウェア クラウド ルックアップ アクションとマルウェア ブロック アクションのどちらか、および一致するファイル タイプを使用して、ファイル ポリシー内のルールを設定する必要があることに注意してください。ファイル ポリシーごとに、クリーン リストまたはカスタム検出リストの使用を有効にできます。
ファイルを検査またはブロックするには、ASA FirePOWER モジュールで Protection ライセンスを有効にする必要があります。ファイルをファイル リストに追加するには、Malware ライセンスも有効にする必要があります。
ファイルの性質について
システムは、Cisco Cloud から返される性質に基づいてファイルの性質を決定します。ファイル リストへの追加操作の結果、または脅威スコアに応じて、Cisco Cloud クラウドから返されるファイルの性質は次のいずれかになります。
-
Malware は、クラウドがマルウェアとしてファイルを分類したことを示します。
-
Clean は、クラウドでそのファイルがクリーンとして分類されているか、ユーザがファイルをクリーン リストに追加したことを示します。
-
Unknown は、クラウドが性質を割り当てる前にマルウェア クラウド ルックアップが行われたことを示します。クラウドはそのファイルをまだ分類していません。
-
[Custom Detection] は、ファイルをユーザがカスタム検出リストに追加したことを示します。
-
Unavailable：ASA FirePOWER モジュールがマルウェア クラウド ルックアップを実行できなかったことを示します。この性質で見られるイベントはごくわずかである可能性があります。これは予期された動作です。
 ヒント |
高速連続で複数のUnavailable マルウェア イベントが発生した場合は、クラウド接続およびポート設定を確認してください。詳細については、「セキュリティ、インターネット アクセス、および通信ポート」を参照してください。 |
ファイルの性質に基づいて、ASA FirePOWER モジュールはファイルをブロックするか、またはファイルのアップロードやダウンロードをブロックします。パフォーマンス向上のために、SHA256 値に基づくファイルの性質がすでにわかっている場合、アプライアンスは Cisco Cloud にクエリする代わりに、キャッシュ済みの性質を使用します。
ファイルの性質は変更される可能性があることに注意してください。たとえば、クラウドによる判定の結果、以前はクリーンであると考えられていたファイルが今はマルウェアとして識別されるようになったり、その逆、つまりマルウェアと識別されたファイルが実際にはクリーンであったりする可能性があります。あるファイルに関するマルウェア ルックアップを前の週に実行した後、そのファイルの性質が変更された場合、クラウドから ASA FirePOWER モジュールに通知が送信されるため、そのファイルの伝送が次回検出されたときにシステムは適切なアクションを実行できます。変更されたファイルの性質は、レトロスペクティブな性質と呼ばれます。
マルウェア クラウド ルックアップから戻されたファイルの性質には、存続可能時間（TTL）値が割り当てられます。ファイルの性質が更新されないまま、TTL 値で指定された期間にわたって保持された後は、キャッシュ情報が消去されます。性質には、次の TTL 値があります。
-
[Clean]：4 時間
-
[Unknown]：1 時間
-
[Malware]：1 時間
キャッシュに照らしたマルウェア クラウド ルックアップの結果、キャッシュ済み性質がタイムアウトになったことが識別されると、システムはファイルの性質を判別するために新しいルックアップを実行します。
ファイル制御について
マルウェア ファイル伝送のブロックに加えて、（マルウェアを含むかどうかにかかわらず）特定のタイプのすべてのファイルをブロックする必要がある場合は、ファイル制御機能により防御網を広げることができます。マルウェア防御の場合と同様に、ASA FirePOWER モジュールはネットワーク トラフィック内で特定のファイル タイプの伝送をモニタし、そのファイルをブロックまたは許可します。
システムでマルウェアを検出できるすべてのファイル タイプだけでなく、さらに多数のファイル タイプに対するファイル制御がサポートされています。これらのファイル タイプは、マルチメディア（swf、mp3）、実行可能ファイル（exe、トレント）、PDF などの基本的なカテゴリにグループ分けされます。ファイル制御はマルウェア防御とは異なり、Cisco Cloud へのクエリを必要としないことに注意してください。
マルウェア防御とファイル制御の設定
ライセンス：Protection または Malware
ファイル ポリシーをアクセス コントロール ルールに関連付けることで、全体的なアクセス制御設定の一部として、マルウェア対策とファイル制御を設定します。この関連付けにより、アクセス コントロール ルールの条件と一致するトラフィック内のファイルを通過させる前に、システムは必ずファイルを検査するようになります。
ファイル ポリシーには、親アクセス コントロール ポリシーと同様に、各ルールの条件に一致するファイルの処理方法を決定するルールがいくつか含まれています。ファイル タイプ、アプリケーション プロトコル、転送方向の違いに応じて異なるアクションを実行する別個のファイル ルールを設定できます。
あるファイルがルールに一致する場合、ルールで以下を実行できます。
-
単純なファイル タイプ照合に基づいてファイルを許可またはブロックする
-
マルウェア ファイルの性質に基づいてファイルをブロックする
さらに、ファイル ポリシーは、クリーン リストまたはカスタム検出リストのエントリに基づいて、ファイルがクリーンまたはマルウェアである場合と同じように自動的にファイルを扱うことができます。
単純な例として、ユーザによる実行可能ファイルのダウンロードをブロックするファイル ポリシーを導入できます。ファイル ポリシーについて、およびファイル ポリシーとアクセス コントロール ルールとの関連付けについての詳細は、ファイル ポリシーの概要と作成 を参照してください。
マルウェア防御とファイル制御に基づくイベントのロギング
ライセンス：Protection または Malware
ASA FirePOWER モジュールは、システムによるファイル インスペクションの記録、ファイル イベントおよびマルウェア イベント処理の記録をログに記録します。
-
ファイル イベントは、システムがネットワーク トラフィック内で検出した（さらにオプションでブロックした）ファイルを表します。
-
マルウェア イベントは、システムがネットワーク トラフィック内で検出した（さらにオプションでブロックした）マルウェア ファイルを表します。
-
遡及的マルウェア イベントは、マルウェア ファイルの性質が変更されたファイルを表します。
システムがネットワーク トラフィックでのマルウェアの検出またはブロックに基づいてマルウェア イベントを生成する場合、ファイル イベントも生成します。ファイル内のマルウェアを検出するために、システムはまずファイル自体を検出する必要があるからです。
）が含まれます。このアイコンをクリックすると、それらのファイルのリスト、およびマルウェア ファイルの性質が表示されます。
フィードバック