Jan 24

9 min read

Box Shieldの脅威検出の設定方法

Image originally publish in ancient-origins.net by Thornews

Box Shieldでは、ユーザーの普段の業務活動から逸脱した行動について警告するさまざまな脅威検出ルールを設定し、適用することができます。

脅威検出を使用すると、以下のことが可能です。

アクセス権限を悪用してデータを盗んだりコンテンツにアクセスしたりしたアカウント所有者を検出する。
場所、アクティビティ、アクセスパターンなどの状況に基づいて、侵害されたアカウントを検出する。
企業のBoxアカウントにアップロードされるコンテンツで潜在的なマルウェアを検出し、ダウンロードの制限を適用する。
ルールと行動に基づいて、セキュリティに関する重要な決定を行う。

Box Shieldには、設定および適用可能な検出ルールが数種類用意されています。検出ルールは、アカウント所有者のアクティビティで特定の種類の異常なイベントを監視し、該当するイベントを検出するとShieldの通知を送信します。検出ルールの種類は以下のとおりです。

悪意のあるコンテンツ

このルールの種類では、企業のBoxアカウントにアップロードされるコンテンツで潜在的なマルウェアを検出します。悪意のあるコンテンツのルールでは、複数の種類のマルウェア検出が行われます。

自分のファイルとマルウェアを含むことが判明しているファイルを比較する、脅威の評価スキャン
ファイルのコンテンツを評価する、特定のファイルの種類のディープスキャン

マルウェアディープスキャンは、Box Shield脅威検出の悪意のあるコンテンツのルールで利用できる、追加のスキャン機能です。

この機能をテストするために、ウイルス対策ソフトウェアを起動するよう特別に設計されたEICARのマルウェアテストファイルをアップロードしました。その結果を以下に示します。

以下に、1つのテストファイルの詳細を示します。

Shieldが潜在的なマルウェアを検出すると、Boxでは、デフォルトで、Boxウェブアプリから悪意のあるコンテンツにアクセスしているユーザー全員に警告のバナーが表示され、このルールの設定時に選択したダウンロードの制限が適用されます。

マルウェアディープスキャンの詳細については、こちらのBoxのサポート記事を参照してください。

不審な場所

このルールの種類では、通常とは異なる場所やホストIPアドレス、または除外対象に指定されている場所やホストIPアドレスからコンテンツにアクセスしていると思われるユーザーを検出します。

このルールをテストしたとき、2000年代の初めに、財産を取り戻すための支援を求めてきたナイジェリアの詐欺のことを思い出しました。私のVPNからはナイジェリアには接続できないため、南アフリカを使ってテストする必要がありました。

このアラートの詳細は以下のとおりです。

不審なセッション

このルールの種類では、ユーザーエージェント文字列が異常、IDが異常、アプリケーションの種類が一般的ではない、IPアドレスが新しい、ログイン場所が考えられないほど高速に変化しているなどの特徴があるセッションでコンテンツにアクセスしていると思われるユーザーを検出します。

このルールの種類が検出する条件は一意に決めにくいため、テストするのはかなり困難です。VPNの正規のユーザーとしてさまざまな場所から接続しているように見えることもあれば、異なるネットワーク上の他のコンピュータから別のブラウザを使用していたり、モバイルデバイスから同じファイルにアクセスしていたりすることもあります。

ほとんど検出されないかまったく検出されないと報告するお客様もいれば、多数の誤検出を報告するお客様もいます。それでも、アプリ内で常に誤検出を報告して、機械学習の微調整に役立てることができます。その効果はお客様によって異なることに注意してください。

私はこのルールを実行しようとしましたがうまくいかず (ハッカーには向いていません)、Boxアプリのログインページにリダイレクトされて終わりました。つまり、そもそもルールが実行される状況になる以前に、Boxアプリのセキュリティメカニズムが侵入を許さないのです。