セキュリティ対策機能～ウイルスおよびマルウェア対策保護編～ Part.2【Climb Cloud Backup & Security】

本ブログでは、Part.1に引き続きClimb Cloud Backup & Security(以降はCCB&Sと省略します)に実装されている、マルウェアやランサムウェア等のウイルスを検知する機能がまとまったウイルスおよびマルウェア対策保護機能について、仕様や設定手順をご紹介します。

振る舞い検知エンジン

振る舞いベースの検知エンジンを使用して、プロセスの行動パターンを解析し、悪意ある行動を検出する機能です。
マルウェアの典型的な振る舞いを検出することが可能なので、未知のマルウェア検知に役立ちます。

保護計画でウイルスおよびマルウェア対策保護 > 振る舞い検知エンジンを選択し、トグルを有効化します。

不審な振る舞いを検出した際に実行するアクションを指定できます。
・通知のみ：アラートの発報のみ実行します。
・プロセスの停止：アラートの発報および検知したプロセスの停止を実行します。
・検疫：アラートの発報および検知したプロセスの停止に加えて、検疫機能を用いて不審な実行ファイルを隔離します。

エクスプロイト保護

ウイルスに感染したプロセスによるソフトウェア脆弱性の拡散・悪用を防ぐ機能です。
エクスプロイト (脆弱性への攻撃) が検出された場合、エクスプロイトによるアクティビティが疑われるプロセスを停止させることが可能です。

保護計画でウイルスおよびマルウェア対策保護 > エクスプロイト保護を選択し、トグルを有効化します。

以下の追加オプションを設定可能です。
・メモリ保護：メモリ上の各領域(ページ)の権限変更を検出し、本来実行できないShellコードの悪意のある実行を防ぎます。
・リターン指向プログラミング(ROP)保護：ROP攻撃を検出、防止します。
・権限昇格保護：攻撃者による不審なコードおよびアプリケーションを使用した権限昇格を検出、防止します。
・コードインジェクション保護：コードインジェクション攻撃を検出、防止します。

リアルタイム保護

振る舞いやマルウェアシグネチャをベースにマシン上で実行されるプロセスを監視し、マルウェアのインストールおよび実行を検出機能です。
マシンが起動している限り、24時間365日監視を行うため、マルウェアの侵入を常に防止します。

保護計画でウイルスおよびマルウェア対策保護 > リアルタイム保護を選択し、トグルを有効化します。

マルウェア等の不審なプロセスを検出した際に実行するアクションを指定できます。
・通知のみ：アラートの発報のみ実行します。
・ブロックと通知：アラートの発報および検知したプロセスの停止を実行します。
・検疫：アラートの発報および検知したプロセスの停止に加えて、検疫機能を用いて不審な実行ファイルを隔離します。

スキャンモードを、以下の2つから選択できます。
・スマートオンアクセス：ァイルへの読み書きやプログラム起動等、すべてのプロセスを監視します。
・実行時：.exeファイルや.msiファイル等の実行ファイルが起動された際の挙動のみ監視します。

潜在的に迷惑なアプリケーション

検知をすり抜け、第三者によって意図せずインストールされたアプリケーションの実行を検知する機能です。
パフォーマンスを低下させる可能性のあるソフトウェア、不要な広告の表示を防止するソフトウェアなどからマシンを保護します。

保護計画でウイルスおよびマルウェア対策保護 > 潜在的に迷惑なアプリケーションを選択し、トグルを有効化します。

不審なアプリケーションを検出した際に実行するアクションを指定できます。
・通知のみ：アラートの発報のみ実行します。
・ブロックと通知：アラートの発報および検知したプロセスの停止を実行します。
・検疫：アラートの発報および検知したプロセスの停止に加えて、検疫機能を用いて不審な実行ファイルを隔離します。

スケジュールスキャン

指定したスケジュール or 特定のタスクをトリガーに、定期的にマルウェアスキャンを行う機能です。
コンスタントにマルウェア検査を行うことで、マルウェアの感染防止および早期発見に役立ちます。

保護計画でウイルスおよびマルウェア対策保護 > スケジュールスキャンを選択し、トグルを有効化します。

スケジュールスキャンでは、スキャンモードが3つ用意されています。
・クイックスキャン：マルウェアが日損でいる可能性が高い領域のみをスキャンします。
・完全スキャン：すべてのファイルをスキャンします。
・カスタムスキャン：保護計画にて指定した任意のフォルダまたはファイルのみをスキャンします。

スケジューリングに関しては、日次/週次/月次はもちろん、特定の時間間隔で実行することも可能です。また、スキャンモードごとに指定できます。

他にも、以下のタスクをトリガーとしてスキャンを実施することも可能です。

保護除外

各検知機能の検知対象から特定のプロセスやフォルダ、ファイルを除外する機能です。
あらかじめ、除外設定を行うことで誤検知を防ぎます。

保護計画でウイルスおよびマルウェア対策保護 > 除外を選択し、除外するものは信頼済み項目へ、アクセスや実行をブロックするものはブロック済み項目へ、それぞれ追加します。

動作検証

開発元メーカーAcronisが下記URLにて、テスト用のファイルを提供していますので、こちらを使用して実際に不審なファイルのダウンロードがブロックされるのか検証します。
https://care.acronis.com/s/article/64996-Antimalware-detection-test-files-and-URLs?language=ja

対象マシン：Windows 2019
保護計画：リアルタイム保護のみ有効化

上記URLからテスト用ファイルのダウンロードを実施したところ、下記のようにリアルタイム保護機能によってブロックされました。