マルウェア: ディスク上の悪意のあるファイル（YARA）

このドキュメントでは、Security Command Center の脅威の検出結果のタイプについて説明します。脅威の検出結果は、クラウド リソースで潜在的な脅威が検出されたときに、脅威検出機能によって生成されます。利用可能な脅威の検出結果の一覧については、脅威の検出結果のインデックスをご覧ください。

概要

VM Threat Detection は、既知のマルウェアのシグネチャに関して Compute Engine VM の永続ディスクをスキャンし、悪意のある可能性のあるファイルを検出しました。

顧客への対処方法

この検出結果に対応する手順は次のとおりです。

ステップ 1: 検出結果の詳細を確認する

  1. 検出結果の確認の説明に従って、Malware: Malicious file on disk (YARA) の検出結果を開きます。検出結果の詳細パネルが開き、[概要] タブが表示されます。

  2. [概要] タブで、次のセクションの情報を確認します。

    • 検出された内容（特に次のフィールド）:
      • YARA ルール名: 一致した YARA ルール。
      • ファイル:: パーティション UUID と、検出された悪意のある可能性のあるファイルの相対パス。
    • 影響を受けているリソース（特に次のフィールド）:
      • リソースの完全な名前: 影響を受ける VM インスタンスの完全なリソース名。この VM を含むプロジェクトの ID が含まれます。

  3. この検出結果の完全な JSON を表示するには、検出結果の詳細ビューで [JSON] タブをクリックします。

  4. [JSON] で、次のフィールドを確認します。

    • indicator
      • signatures:
        • yaraRuleSignature: 一致した YARA ルールに対応するシグネチャ。

ステップ 2: ログを確認する

Compute Engine VM インスタンスのログを確認する手順は次のとおりです。

  1. Google Cloud コンソールで、[ログ エクスプローラ] に移動します。

    [ログ エクスプローラ] に移動

  2. Google Cloud コンソールのツールバーで、検出結果の詳細の [概要] タブにある [リソースの完全な名前] 行の VM インスタンスを含むプロジェクトを選択します。

  3. ログで、該当する VM インスタンスの侵入の徴候を確認します。たとえば、不審なアクティビティや不明なアクティビティ、不正使用された認証情報の徴候を探します。

Amazon EC2 VM インスタンスのログを確認する方法については、Amazon CloudWatch Logs のドキュメントをご覧ください。

ステップ 3: 権限と設定を確認する

  1. 検出結果の詳細の [概要] タブの [リソースの完全な名前] フィールドで、リンクをクリックします。
  2. ネットワークやアクセスの設定など、VM インスタンスの詳細を確認します。

ステップ 4: 攻撃とレスポンスの手法を調査する

[VirusTotal インジケーター] でリンクをクリックして、VirusTotal で悪意があるというフラグが付いているバイナリの SHA-256 ハッシュ値を確認します。VirusTotal は、悪意のある可能性のあるファイル、URL、ドメイン、IP アドレスに関するコンテキストを提供する Alphabet 社のサービスです。

ステップ 5: レスポンスを実装する

次の対応計画は、この検出結果に適切な場合もありますが、運用に影響する可能性もあります。調査で収集した情報を慎重に評価して、検出結果を解決する最適な方法を判断してください。

  1. VM のオーナーに連絡します。

  2. 必要に応じて、悪意のある可能性のあるファイルを見つけて削除します。パーティション UUID とファイルの相対パスを取得するには、検出結果の詳細の [概要] タブにある [ファイル] フィールドをご覧ください。検出と削除をサポートするには、エンドポイントの検出と対応ソリューションを使用します。

  3. 必要に応じて、不正使用されたインスタンスを停止し、新しいインスタンスに置き換えます。

  4. フォレンジック分析を行う場合は、仮想マシンと永続ディスクのバックアップを検討してください。

  5. さらに調査するには、Mandiant などのインシデント対応サービスの利用をご検討ください。

次のステップ