Interop Tokyo 2016 のシスコブースで行ったシアター プレゼンをご紹介します。

1. * 本資料に記載の各社社名、製品名は、各社の商標または登録商標です。
セキュリティ事業
吉池克史
2016年6月
Cisco Advanced Malware Protection（AMP）:
レトロスペクティブで見えてくる
マルウェアの挙動

2. The AMP Everywhere
Architecture
AMP Protection Across the Extended Network
for an Integrated Threat Defense
AMP
Threat
Intelligence
Cloud
Windows OS Android Mobile Virtual MAC OS
CentOS, Red Hat
Linux for servers
and datacenters
AMP on Web and Email
Security AppliancesAMP on Cisco® NGFW
Firewalls
AMP Private Cloud
Virtual Appliance
AMP for Networks
(AMP on Firepower NGIPS
Appliance bundle)
AMP on Cloud Web
Security
and Hosted Email
CWS/CTA
Threat Grid
Malware Analysis + Threat
Intelligence Engine
AMP on ISR with Firepower
Services
AMP for Endpoints
AMP for Endpoints
Remote Endpoints
AMP for Endpoints can be
launched from AnyConnect

3. Cisco AMP はより優れたアプローチを提供
AMP
ポイントインタイム プロテクション レトロスペクティブ セキュリティ
インシデント レスポンス

4. Cisco AMP 既知、未知に対応した検知機能
ETHOS SPEROハッシュ エンジン サンドボックスDFC
ハッシュ エンジン：既知のマルウェアを検出
ETHOS/SPERO：未知、亜種のマルウェアを検出
DFC：通信先IPのレピュテーションをチェック
サンドボックス：ThreatGRIDテクノロジ

5. Cisco AMP はより優れたアプローチを提供
AMP
ポイントインタイム プロテクション レトロスペクティブ セキュリティ
インシデント レスポンス

6. レトロスペクティブ セキュリティ
トラジェクトリクラウドリコール

7. • 一度チェックしたハッシュ値を
クラウド上で記憶
• 一度パスしたファイルでも後から
マルウェアと分かることがある
• このハッシュ値の属性が変化して
マルウェア判定になった場合、自動
的に該当ファイルを暗号化された領
域へ隔離する
• フルスキャンをする必要が無い
クラウド リコール
Collective Security
Intelligence クラウド
ハッシュ値
属性値
3372c1ed
ab46837f
1e973164
fa2d726c
5c5e17bc
b888828c
cd7c4dfcc
234a370
このハッシュはPC-Aの
AAAというディレクトリ
にXXXというファイル名
で保存されている
Fil
e

8. • クラウド上に保存されたデータを元に、
• 過去にさかのぼってその時そのホスト
上で何が起こっていたのかを、3つの色
と、3つのアイコンで可視化します
• マルウェアは何によってインストール
されたのか
• マルウェアはどこからダウンロード
されたのか
• マルウェアが他に何かファイルを
作成していないか
デバイス トラジェクトリ

9. • AMPはSHA-256ハッシュにより全
てのファイルを識別しています
• これは、ハッシュが分かればどの
ファイルが“いつ”、“どこに”、現れ
たかを一瞬で検索することが可能
• 最初の感染端末、最後の感染端末を
把握
• 社内におけるマルウェアの拡散状況
を把握
• 任意のファイルが今どこにあるかを
把握
ファイル トラジェクトリ
①
②
③

10. Cisco AMP はより優れたアプローチを提供
AMP
ポイントインタイム プロテクション レトロスペクティブ セキュリティ
インシデント レスポンス

11. 誰でも簡単に行えるインシデント レスポンス
柔軟性
検索
アプリケーション
ブロック
カスタム
シグニチャ
柔軟な検索：IP、URL、ファイル名等のキーワードで検索し該当ホストを瞬時に表示
カスタム シグニチャ：ベンダを待たずに管理者が即時対応
アプリケーション ブロック：脆弱性のあるアプリケーションを遮断