ランサムウェアアクティビティの検出ルール

この検出ルールは、Shield Proアドオンの一部としてのみ利用可能です。 ランサムウェアアクティビティの検出ルールは、ユーザーのデバイスがランサムウェアによって侵害されていることを示す、Box上の大規模な暗号化のインスタンスを特定しようとします。 ユーザーアクティビティの監視とBox機械学習の利用により、ランサムウェア攻撃の兆候となる可能性のある不審なファイル拡張子を特定します。 ランサムウェアアクティビティの検出ルールは、管理対象ユーザー、外部ユーザー、匿名ユーザーのアクティビティを監視します。

​

ランサムウェアアクティビティの検出ルールの作成、編集、削除

この検出ルールを作成または変更するには、Box Shieldアドオンが有効になっているアカウントで管理者権限 (または [会社のShield構成を作成、編集、削除する] 権限が有効になっている共同管理者権限) が必要です。 脅威検出ルールの作成、編集、削除のガイダンスに特化したページを参照してください。 ランサムウェアアクティビティ固有の設定については、以下を確認してください。

​

ランサムウェアアクティビティ固有の設定

• ターゲットユーザーのセッションの終了

​

ターゲットユーザーのセッションの終了

管理対象ユーザーのアクティブなセッションによってランサムウェアアクティビティのアラートがトリガーされたときに、Box Shieldがその管理対象ユーザーのアクティブなセッションをすべて終了するリクエストを開始するかどうかを決定します。 この対応アクションにより、管理者がアラートを調査するのを待つことなく、潜在的なランサムウェアインシデントを検出後、直ちに封じ込めることができます。 この設定を有効にすると、以下のようになります。

• Box Shieldはランサムウェアアクティビティのアラートが生成されると、直ちにターゲットユーザーのアクティブなセッションをすべて終了するリクエストを開始します。
• この設定は、外部ユーザーではなく、管理対象ユーザーに対して生成されるランサムウェアアクティビティのアラートに適用されます。
• これは単一の終了イベントであり、継続的な制限を課すものではありません。 ユーザーはセッションの終了後、再度Boxにログインできます。
• ターゲットユーザーには、セッション終了のメールが送信されます。
• 自動で実行された処理はアラートページに記録されます。その際、セッションを終了したユーザーとしてBox Shieldが表示されます。

デフォルトではオフになっています。 この設定がオフになっている場合でも、アラートを調査した後に、アラートページからターゲットユーザーのセッションを手動で終了できます。 詳細については、アクティブなセッションをすべて終了するを参照してください。

​

ランサムウェアアクティビティのアラート

ランサムウェアアクティビティが検出されると、Shieldダッシュボードにアラートが表示されます。 アラートには、アラートID、日付、アラートの原因になったアクティビティを行ったアカウント所有者の名前とメールアドレス、リスクスコア、アラートの原因になったアクセスが行われたIPアドレスが含まれます。 アラートの詳細を確認するには、次の手順に従います。

1. [管理コンソール] > [Shield] に移動します。
2. [ダッシュボード] タブをクリックします。
3. (省略可) アラートに [ランサムウェアアクティビティ] でフィルタをかけます。
4. アラートの一覧表で、アラートをクリックします。
5. アラートの詳細ページが表示されます。

アラートの詳細ページには、次の内容が表示されます。

• アラートサマリー: アラート名、アラートID、アラートタイプ、リスクスコア、アラートの作成日、ターゲットユーザーを含む、アラートの概要。
• アクティビティの概要: 名前変更されたファイルの総数、変更された一意のファイル拡張子、影響を受けたコンテンツ所有者を含む、検出された不審なファイル拡張子と関連付けられた異常なアクティビティに関する情報。
• ターゲットユーザーの詳細: IPアドレス、IP登録者、利用可能な地域/国のデータを含む、アラートがトリガーされた際のターゲットユーザーの位置に関する情報。
• ファイルへの影響: 影響を受けた上位5人のコンテンツ所有者や上位5つのファイル拡張子を示す、ユーザーのアクティビティから影響を受けたファイルの概要。 ファイルの復元もここから開始できます。

ダッシュボードでは、アラートの後にフィードバックボックスが表示されます。 これを使用すると、機能の改善に役立つ提案やコメントをBoxに提供できます。

​

エンドユーザーへの影響

• ランサムウェアアクティビティがユーザーのアカウントから検出されても、エンドユーザーには通知されません。このアクティビティが通知されるのはShieldの管理者のみです。
• アラートへの対応としてユーザーのセッションが終了された場合 (Box Shieldによる自動実行か、管理者による手動実行かを問わず)、ユーザーにはその旨がメールで通知されます。

​

アラートの処理と是正

この検出ルールには、ランサムウェア攻撃の兆候となる可能性のある不審なファイル拡張子が特定された場合に考えられる以下の処理が用意されています。

​

アクティブなセッションをすべて終了する

ランサムウェア検出のアラートにフラグを付けた管理対象ユーザーのアクティブなユーザーセッションはすべて、Box Shieldによる自動実行でも、管理者による手動実行でも終了できます。

​

自動終了

ルールで [ターゲットユーザーのセッションの終了] 設定が有効になっている場合、Box Shieldは、ランサムウェアアクティビティのアラートが生成されると直ちに、管理対象ユーザーのアクティブなセッションをすべて終了するリクエストを開始します。 自動で実行された処理は、アラートページのセッション終了カードに記録されます。記録の形式は、管理者による終了と同じですが、セッションを終了したユーザーとしてBox Shieldが表示されます。

​

手動終了

管理者は、管理対象ユーザーのアクティブなセッションをアラートページから手動で終了できます。

1. [ランサムウェアアクティビティ] アラートページに移動します。
2. アラートページから [セッションを終了] を選択します。

管理対象ユーザーは、自動実行か手動実行かを問わず、自身のアクティブなセッションが終了した後、再度Boxにログインできます。 セッションが終了すると、エンドユーザーには、何が起こったかを説明するメールが届きます。これは自動終了の場合も手動終了の場合も同じです。

​

コンテンツの復元

ランサムウェアアクティビティの検出アラートが生成されたら、ランサムウェアによる影響を是正できます。 Shieldダッシュボードから [コンテンツリカバリ] を開始できます。 コンテンツを復元するには、次の手順に従います。

1. [ランサムウェアアクティビティ] アラートページに移動します。
2. アラートページから [コンテンツを復元] を選択します。
3. インシデントが収束したと確信しているかどうかを確認するポップアップが表示されます。 チェックボックスをオンにすると、復元を進めることができます。
4. 新しいコンテンツリカバリタスクが以下の情報とともに表示されます。
   • ターゲットユーザー。
   • 開始日時 (管理者が設定したタイムゾーン)。
     • モデルの検出時刻に24時間のバッファを加算して算出されます。
   • 終了日時 (現地時間)。
     • 管理者がShieldアラートで [コンテンツを復元] ボタンを選択した時刻によって算出されます。
5. [ファイルを復元] を選択します。
6. 詳細を確認し、[復元] を選択します。 コンテンツリカバリプロセスは、開始すると、変更または一時停止できません。
7. 完了すると、コンテンツリカバリを確認するメールが届きます。

詳細については、コンテンツリカバリについてを参照してください。