ビュー:

仮想パッチ機能(iVP)が正しく動作しているかを確認する手順は以下のとおりです。
なお、特定のルールに対してのテストを行なう手順はありません。

  • InterScan Web Security など、ゲートウェイでウイルスを検出する機能をご利用ではないことを事前にご確認ください。
  • 仮想パッチのテストには HTTP 通信を使用します。
  • プロキシサーバなど HTTP ゲートウェイにおいてウイルス対策機能をご利用の場合、一時的に対象エージェントからの HTTP 通信を許可していただくか、プロキシサーバを経由しない HTTP 経路をご用意いただきますようお願いいたします。

事前確認 仮想パッチのライセンスを有効化にする

オンプレミス版 Apex One は、仮想パッチのライセンスが有効化されていることを確認してください。
下記製品 FAQ の『仮想パッチのライセンスを有効化する手順』をご参照ください。

Apex One SaaS は仮想パッチのライセンスの有効化は不要です。

Step 1 仮想パッチのポリシーを作成する

仮想パッチのルールを有効にして、ポリシーを作成します。

  1. Apex Central の管理コンソールへログオンし、[ポリシー] → [ポリシー管理] へ移動します。
  2. 新規ポリシー [作成] ボタンをクリック、もしくは該当のポリシーを選択して [ポリシーの編集] 画面を開きます。
  3. [仮想パッチの設定] 項目にて [仮想パッチを有効にする] が有効になっていることを確認します。
  4. 以下 2 つのルールが有効になっている事を確認します。無効の場合は有効にします。
    ■識別子：1005924
    ■名前：Restrict Download Of EICAR Test File Over HTTP

    ■識別子：1004715
    ■名前：HTTP Web Client Decoding
「1005924 - Restrict Download Of EICAR Test File Over HTTP」のステータスを「有効」に変更すると下記メッセージが表示されます。
「すべて設定」をクリックすると上記の 2 つのルールが「有効」になります。

Step 2 エージェントへのポリシー配信

仮想パッチのルールを有効にしたポリシーを、動作確認をするエージェントに配信します。

  1. Step 1 で作成したポリシーについて、[対象] の指定で動作確認をするエージェントを設定します（画像はラベルを選択）。「配信」をクリックしてポリシーをエージェントに配信します。
  2. ポリシー配信が完了したことを確認します。

Step 3 仮想パッチ機能の動作確認

Eicar を使用して、仮想パッチ機能の動作確認をします。

  1. ポリシーを割り当てたエージェントで、下記製品 FAQ にアクセスします。
  2. 『ウイルス検索機能の確認』の確認手順 2.「こちらのサイト」をクリックします。
  3. 「各製品共通テストウイルス」のサイトが開きましたら、eicar.com のリンクを右クリックし、「リンクをコピー」などから URL をコピーします。
    ※「リンクをコピー」の表示はブラウザによって異なります。
  4. コピーした URL の冒頭の「https」を「http」に変更してアクセスします。
  5. 仮想パッチ機能が正しく動作している場合、Eicar のダウンロードはされずにエラーが表示されます。Apex One エージェントがウイルスとして Eicar を検出する場合は、ルールが正しく動作していません。
    ※ エラーメッセージはブラウザによって異なります。
    ※ Apex One エージェントのポップアップなどは特に表示されません。

Step 4 ログの確認

仮想パッチにより通信がブロックされたログは、Apex Central 側で確認します。

  1. Apex Central の管理コンソールへログインし、[レポート] → [ログ] → [ログクエリ] へ移動します。
  2. ログの種類として、プルダウンメニューから [セキュリティログ] → [ネットワークイベント] → [IPS] を選択して確認します。

FAQ 正常に動作している場合の挙動について

Q1. 正常に動作している場合の動きを教えてください。

「IPS ルール：規定値」の場合、以下のような動作になります。

動作モード eicar.com のダウンロード 理由/ルール モード 処理
インライン ダウンロードできません 1005924 - Restrict Download Of EICAR Test File Over HTTP 防御 リセット
タップ（検出のみ） ダウンロードは実施可能です 1005924 - Restrict Download Of EICAR Test File Over HTTP 検出のみ ログ

Q2. タップ（検出のみ）の場合の「処理：ログ」の意味について。

「タップ（検出のみ）」の時の「処理：ログ」とは、Apex Central のログクエリにログを出力するという意味合いです。
「処理：ログ」は、当該通信を検出してイベント（ログ）を生成した一方、通信自体はブロックせず通過させたことを示します。
この検出イベントはログクエリに出力されます。ログクエリ以外に別途出力される、確認用のログはありません。

Q3. タップ（検出のみ）の場合の「処理：ログ」に、ログを出力する以外の意味合いはありますか。

「ログ」という処理は「検出してイベントを記録するが、通信はブロックしない（検出のみ）」という意味であり、それ以上の特別な意味合いはありません。
「リセット」（接続をリセットしてブロック）に対し、タップ（検出のみ）モードではブロック動作を行わず記録のみとなるため「ログ」と表示されます。

キーワード: Corp_KCS