メモリ常駐型マルウェアは、メモリ内でのみ実行され、ディスクには書き込まれないタイプの不正プログラムです。これにより、ステルス攻撃を仕掛け、従来のウイルス検知を回避することができます。Application Protection のランタイムアプリケーション自己保護 (RASP) 技術は、メモリデータを分析してメモリ常駐型マルウェアをリアルタイムで検知します。また、メモリ常駐型マルウェアのインジェクションと実行をインターセプトすることもできます。本トピックでは、メモリ常駐型マルウェアの防御機能の使用方法について説明します。
前提条件
Java アプリケーションを Application Protection にオンボードし、アプリケーションインスタンスが承認済みであることを確認してください。詳細については、「Application Protection へのアプリケーションのオンボード」をご参照ください。
検知と遮断のロジック
メモリ常駐型マルウェアの防御機能は、アプリケーショングループの承認済みインスタンス内で、メモリ常駐型マルウェア、インジェクションの試行、不正な実行呼び出しなどの脅威を検知します。
メモリ常駐型マルウェア検出: このエンジンは、メモリをスキャンして悪意のあるコードを探すことで隠れた脅威を検出し、コンソールにメモリ常駐型マルウェア検出アラートを表示します。アプリケーショングループの トロイの木馬の検出 スイッチを有効にすることで、このエンジンを有効化できます。
メモリ常駐型マルウェアの挿入: このエンジンは、挿入や実行動作など、メモリ常駐型マルウェアによる攻撃をリアルタイムで監視し、インターセプトします。このエンジンは、アプリケーショングループの検出タイプに In-memory Webshell Injection が含まれている場合にアクティブ化されます。アプリケーショングループの Protection Mode が [監視] に設定されている場合、エンジンはアラートの報告のみを行い、脅威はブロックしません。Protection Mode が 保護 に設定されている場合、エンジンは不審なコールを積極的にブロックし、対応するアラートを生成します。このエンジンは、さまざまなミドルウェアを標的とする攻撃から防御するために、2 つのインターセプト方法を提供します。
インジェクションプロセス中のインターセプト：RASP は、機密性の高い API 関数を監視することで、式の実行やデシリアライゼーションを介したメモリ常駐型マルウェアのインジェクションなど、攻撃者の挙動をリアルタイムで監視します。インジェクションプロセス中に攻撃をブロックし、マルウェアがアプリケーションコンテキストにインジェクトされるのを防ぐことができます。
実行中のインターセプト：メモリ常駐型マルウェアが正常にインジェクトされ、実行を試みた場合、RASP はディープラーニングと挙動認識を組み合わせてプログラムの実行を監視します。プログラムの挙動を既知の不正な署名のデータベースと比較することで、この技術は通常のビジネスオペレーションを中断することなく、マルウェアの有効化と実行を正確に特定し、防ぐことができます。その結果、マルウェアがシステムに埋め込まれていても、攻撃者はそれを使用できません。
アラートの表示と処理
デフォルトで、Application Protection はすべてのアプリケーショングループに対してメモリ常駐型マルウェアの検知を有効にします。アプリケーションを Application Protection にオンボードした後、次の手順に従ってメモリ常駐型マルウェアのアラートを表示し、処理します。
Security Center コンソールにログインします。
左側のナビゲーションペインで、 を選択します。 コンソールの左上で、アセットが配置されているリージョンとして Chinese Mainland または Outside Chinese Mainland を選択します。
アプリケーション保護 ページの [メモリ常駐型マルウェア対策] タブで、表示するアプリケーショングループと時間範囲を指定します。
トロイの木馬警告トレンド、トロイの木馬のタイプの分布、およびメモリ常駐型マルウェアのアラートのリストを確認します。
[Alert for In-memory Webshell Detection]：これらのアラートは、検知エンジンによって検知された静的なメモリ常駐型マルウェアファイルを特定します。以下に、これらのアラートの処理ステータスを説明します。
[Unhandled]：検知エンジンがマルウェアファイルを検知しました。アラートを迅速に手動で処理する必要があります。
自動処理およびブロック済み：メモリ常駐型マルウェアインジェクションエンジンが、アラートを発生させたマルウェアファイルの実行を検知し、その実行をブロックしました。RASP は、このマルウェアを高精度で防御できます。また、後続の実行試行もブロックします。アプリケーションを再起動して、メモリからマルウェアファイルを削除できます。
未処理および監視対象：メモリ常駐型マルウェアインジェクションエンジンが、アラートを発生させたマルウェアファイルの実行を検知しましたが、実行はブロックしませんでした。この挙動は、アプリケーショングループの保護モード設定によって決まります。ワンクリックでアプリケーショングループの保護機能を有効にできます。
以下に、アラートのアクティブステータスと非アクティブステータスについて説明します。
アクティブ：アラートを発生させたアプリケーションインスタンスはオンラインです。
非アクティブ：アラートを発生させたアプリケーションインスタンスはオフラインです。
[Alert for In-memory Webshell Insertion]：これらのアラートは、メモリ常駐型マルウェアインジェクションモデルによって検知されたイベントを特定します。
対象のアラートの「操作」列で、詳細 をクリックします。詳細 タブと Alert Analysis タブを確認し、アラートを処理する必要があるかどうかを判断します。
詳細 タブで、メモリで実行中の Java プログラムのソースコードを表示する場合は、Decompiled Java File スイッチをオンにします。このスイッチをオフにすると、セキュリティセンターでは逆コンパイルされたコードは表示されません。
Alert Analysis タブでは、大規模言語モデル (LLM) を使用して、メモリ内で実行されているコードの分析を提供します。これには、コードがメモリ常駐型マルウェアとして特定された理由の具体的な証拠も含まれます。これにより、検知されたマルウェアが実際の脅威をもたらすかどうかをより正確に評価でき、セキュリティ判断と対応効率が向上します。
重要Alert Analysis タブでコンテンツを表示するには、Decompiled Java File スイッチをオンにする必要があります。アラート分析機能は、逆コンパイルされた Java ファイルを分析します。
メモリ常駐型マルウェアのアラートを処理します。
メモリ常駐型マルウェアを手動で処理するには、オフピーク時間帯にアプリケーションを再起動して駆除します。その後、コンソールで処理ステータスを 処理済みの表示 に設定します。
ワンクリックで保護を有効化: 影響を受けるサーバーを含むアプリケーション グループについて、保護 を 保護 に変更します。変更後、エンジンは、このアプリケーション グループで検出されたメモリ常駐型マルウェアによる今後のすべてのインジェクションまたは実行の試みを自動的にインターセプトするようになります。
無視：アラートに対応する必要がない場合は、コンソールで対応ステータスをIgnoreに設定します。
ホワイトリストに追加: 攻撃アラート タブに移動します。対象のメモリ常駐マルウェアインジェクションのアラートの操作列で、処理 をクリックしてアラートをホワイトリストに追加します。詳細については、「アラートをホワイトリストに追加する」をご参照ください。
説明メモリ常駐型マルウェアの検知アラートは、ホワイトリストに追加できません。
防御の有効化または無効化
アプリケーショングループのメモリ常駐型マルウェア防御を有効または無効にするには、次の手順に従ってください。
Security Center コンソールにログインします。
左側のナビゲーションペインで、を選択します。 コンソールの左上で、資産が配置されているリージョンとしてChinese MainlandまたはOutside Chinese Mainlandを選択します。
アプリケーション保護 ページで、アプリケーションの設定 タブをクリックします。対象のアプリケーション グループの操作列で、保護ポリシー をクリックします。
保護ポリシー パネルの 保護ポリシー タブで、検出タイプとして In-memory Webshell Injection を含む保護ポリシーグループを選択または選択解除します。
検出タイプとしてIn-memory Webshell Injection を含む保護ポリシーグループを選択すると、メモリ常駐型マルウェアインジェクションエンジンが有効になります。Protection Modeが監視に設定されている場合、エンジンはアラートを報告するだけで、脅威をブロックしません。保護モードが保護に設定されている場合、エンジンはアラートを報告し、メモリ常駐型マルウェアのインジェクションおよび実行の試行をブロックします。
保護ポリシー パネルの 検出ポリシー タブで、トロイの木馬の検出 スイッチをオンまたはオフにし、OK をクリックします。
[In-memory Webshell] スイッチをオンにすると、アプリケーショングループに対してメモリ常駐型マルウェアの検知が有効になります。
