大規模感染状況の管理 親トピック

ウイルス/不正プログラム、トロイの木馬、ワーム、またはその他のスパイウェア/グレーウェアが、突然ネットワーク上の多くのExchangeサーバやパーソナルコンピュータを攻撃すると、大規模感染が発生します。セキュリティパッチなどの最新コンポーネントが適用されていないソフトウェア、設定が不十分なウイルス対策ソフトウェア、または、新たに発生してまだパターンファイルのない不正プログラムなど、攻撃が発生する理由はいろいろあります。大規模感染時には、組織内の広範囲に分散したグループとの通信が混乱し、対応に時間がかかります。
大規模感染が発生したときに管理者が実行する処理は、4つの一般的な段階に分けることができます。
  1. そのセキュリティイベントが確かな問題であり、誤った警告ではないことの確認
  2. セキュリティイベントへの対応
  3. セキュリティイベントの分析
  4. Exchangeサーバおよびメールボックスの回復
InterScanには、大規模感染の各段階で管理者を支援するいくつかの便利な機能があります。大規模感染の脅威が発生した場合、次の機能を検討してください。
  1. セキュリティイベントが本当に不正プログラムの大規模感染であることを確認するには、次の手順に従ってください。
    • トレンドマイクロのWebサイトで、ウイルス/不正プログラムの警告と最新のセキュリティ情報を確認します。
      https://www.trendmicro.com/vinfo/jp/threat-encyclopedia/
    • InterScan通知を確認します。InterScanは、大規模感染の状況が発生すると、自動的に警告を送信するように設定できます。さらに、InterScanは、検出された脅威に対して処理を実行する際に、管理者またはその他の指定したユーザに通知するよう設定できます。
    • セキュリティイベントを素早く分析するには、[概要] 画面を表示するか、手動レポートを作成します。セキュリティイベントの詳細については、InterScanのログのクエリを実行します。
  2. 対応
    • コンポーネントの手動アップデートを実行して、すぐに最新のInterScanコンポーネントをダウンロードします。
    • アップデートに続き、インフォメーションストア全体の手動検索を実行します。トレンドマイクロの推奨設定やトレンドマイクロの推奨処理などのトレンドマイクロが推奨する初期設定を使用するか、さらに具体的な検索フィルタを設定します。検索対象が正確に分かっている場合には、[セキュリティリスク検索] 画面で [指定のファイル] を選択し、InterScanで検出するファイル名を入力します。
  3. 分析
    • ログクエリを実行し、攻撃についての情報を取得します。ログには、日時、送信者と受信者、感染した添付ファイルの名前などの有益な情報が含まれています。
    • セキュリティ問題の分析に関するサポートが必要な場合には、トレンドマイクロのテクニカルサポートにお問い合わせください。本ドキュメントの「製品サポート情報」を参照してください。
  4. 復旧
    • Exchange環境を復旧したら、設定とセキュリティポリシーの変更を検討します。次の点について考慮してください。
      • 処理を実行する前にファイルをバックアップするようInterScanを設定します。これにより、回復不可能な処理を実行することを防ぎます。
      • リアルタイムモニタを使用したり、ログやレポートを生成することにより、結果を監視します。
      • サーバ管理ツールを使用し、テスト済みの安全なInterScanサーバから別のサーバへ、迅速かつ簡単に構成を複製できます。