Kaspersky Security 11 for Windows Server
製品説明資料
2021年01月26日
カスペルスキー セールスエンジニアリング部
目次
1 Kaspersky Security for Windows Server 概要
2 アプケーション機能紹介
3 管理機能
１．Kaspersky Security for Windows Server 概要
Kaspersky Security for Windows Server (略称KSWS)
Kaspersky Security for Windows Serverは、
Windows Server で動作するセキュリティアプリケーションです。 Windows Server自体の保護や、NAS製品を保護するためのプラットフォームとして使用されます。 以下のような典型的なWindowsサービスを稼働させているサーバーで使用可能です。 Hyper-V Active Directory ドメインサービス DHCP サーバー DNS サーバー ファイルサービスと記憶域サービス リモートデスクトップサービス Web サーバー（IIS）
Windows Server Update Services など
様々な構成への対応
Windows Server Core モード Windowsのサーバー機能を利用する場合のHyper-V Server、Server Coreモードに対応
階層型ストレージ 階層型ストレージ（HSM）に対応使用しない/再解析ポイントを使用/拡張ファイル属性 を使用/不明なHSMシステム から設定を選択可能 ReFS (Resilient File System) MicrosoftのファイルシステムであるReFSに対応 クラスター構成対応 クラスター構成で共有されているディスクを保護 ターミナルサーバー対応 Windowsリモートデスクトップサービス、
Citrix XenApp環境に対応
仮想環境対応 VMware ESXi、Microsoft Hyper-V といった仮想化環境に対応。
製品の特長
様々な構成への対応
- Server Coreモードやターミナルサービスなど様々な構成に対応
サーバー用途に合わせたロードバランシング機能
- 使用するCPUスレッドを調整可能
管理の柔軟性
- サーバー管理者によるローカルコンソールを用いた管理。 - セキュリティ管理者によるKSCを用いた統合管理。 - ローカルコンソールを使用させない運用も可能。
他製品との連携によるセキュリティ強化、ふるまい検知オフロード。
- Kaspersky Sandbox連携サポート - Kaspersky EDR-Optimum連携サポート
ファイル変更監視、Windowsイベントログ監視
- ブルートフォース攻撃検知 67
Kaspersky Endpoint Security for Business Select
Kaspersky Endpoint Security for Business Advanced Kaspersky Hybrid Cloud Security CPU
Kaspersky Hybrid Cloud Security サーバー
Kaspersky Hybrid Cloud Security Enterprise CPU Kaspersky Hybrid Cloud Security Enterprise サーバー Kaspersky Endpoint Security for Storage
Kaspersky Security for Internet Gateways
＊注
Kaspersky Hybrid Cloud Security CPU ライセンスでは、
物理マシンに対して、 Kaspersky Security for Windows Serverを使用することは出来ません。
Kaspersky Security for Windows Server
Kaspersky Security for Windows Serverは以下のライセンスで使用可能です。 ライセンスにより使用出来る機能に差があります。
Kaspersky Security for Windows Server
ライセンスと機能対照表 Kaspersky Endpoint Security for Business KESBと省略 Kaspersky Hybrid Cloud Security KHCSと省略
ライセンス KESB Select KESB
Advanced KHCSCPU サーバーKHCS Enterprise KHCS CPU KHCS Enterprise サーバー ファイルアンチウイルス ✔ ✔ ✔ ✔ ✔ ✔ 脆弱性攻撃ブロック ✔ ✔ ✔ ✔ ✔ ✔ ファイアウォール管理 ✔ ✔ ✔ ✔ ✔ ✔ アンチクリプター ✔ ✔ ✔ ✔ ✔ ✔ アプリケーション起動コントロール ✔ ✔ ✔ デバイスコントロール ✔ ✔ ✔ ✔ ✔ ファイル変更監視 ✔ ✔ Windowsイベントログ監視 ✔ ✔ トラフィックセキュリティ - ドライバーインターセプター・モード - リダイレクターモード ✔ ✔ ✔ ✔ ✔ トラフィックセキュリティ - 外部プロキシ・モード 8
Kaspersky Security for Windows Server
9
ライセンスと機能対照表 その他のライセンス
注
Kaspersky Security for Internet Gatewayライセンスでは、
Kaspersky Web Traffic Security アプケーションも使用出来ます。
• Kaspersky Endpoint Security for Storage
• Kaspersky Security for Internet Gateways
トラフィックセキュリティ
- 外部プロキシ・モード ✔
トラフィックセキュリティ
- 外部プロキシ・モード ✔
NetApp、EMC Celerra / VNX、 Isilonなど、NASのセキュリティ保護を行う。 for Storageの機能については本資料では触れません。
２．アプケーション機能紹介
～セキュリティ機能
11
ファイルアンチウイルス、ヒューリスティックアナライザ
スクリプト監視
Kaspersky Security Network(KSN)
ネットワーク脅威対策
脆弱性攻撃ブロック
トラフィックセキュリティ（Webコンテンツカテゴリブロック、outlookプラグイン）
アンチクリプター
ファイルのリアルタイム保護
ファイルアンチウイルス
12次のオブジェクトをスキャン
• ファイル • 代替のファイルシステムストリーム（NTFS ストリーム） • ローカルハードディスクおよびリムーバブルドライブの マスターブートレコードとブートセクター• Windows Server 2016 と Windows Server 2019 のコンテナーファイル
アクティブな脅威を検知した場合に、簡易スキャンタスクを起動可能。
Kaspersky Sandbox連携（Kaspersky Sandboxライセンスが必要）
ヒューリスティックアナライザー
プログラムのふるまいを分析することで、既知のマルウェアだけではなく、 未知または既知の新種（亜種）のマルウェアを検知することが可能。 パターンマッチング ヒューリスティックアナライザー ウイルス定義 データベース プログラム/ファイル ウイルス定義データベースとスキャン対象の プログラムやファイルを比較し、一致する場 合に検出する プログラムの動作 プログラムの動作（ふるまい）を分析し、 不審な挙動を検出する 13スクリプト監視 ー Microsoft AMSI連携
危険なスクリプトまたは危険な可能性のあるスクリプトを制御することが可能 制御内容は「許可」もしくは「ブロック」
対応しているスクリプト
VB ScriptやJscriptなどの Microsoft Windows のスクリプトテクノロジー（アクティブスクリプト）を 使用して作成されたスクリプト 実行不可 危険なスクリプト 危険な可能性がある スクリプト 正常なスクリプト ※ スクリプト監視はサーバーや他のアプリケーションの動作に影響を及ぼす可能性があります。 利用する場合には十分に事前検証を実施してください。 実行可能 14
スクリプトを複雑に難読化 攻撃者 AMSIの仕組み ① 何重もの難読化が施されていたとしても、 実行時には、最終的に難読化は解除される。 KSWS ② AMSIが難読化を解除された スクリプトをKESに引き渡す。 ③ KSWSでスキャン。 検知・駆除を行う。 AMSI
複雑に難読化されたスクリプトの検知能力を向上。
クラウド上のレピュテーション情報を利用し、より最新の脅威に対応することが可能
Kaspersky Security Network
レピュテーションの照会 Kaspersky Security Center レピュテーションの結果 レピュテーションの照会(代理) レピュテーションの結果 世界中のKasperskyユーザーからの レピュテーション情報 社内ネットワーク
KSN
Kaspersky Security Network 最も高度なグローバルクラウド セキュリティネットワーク ダイナミックな分類とレピュテーション 「ゼロデイ」脅威からの リアルタイムプロテクション カスペルスキーの各製品との統合ネットワーク脅威対策
17
• 不正侵入防止機能、IPS (Intrusion Prevention System)
OSやアプリケーションの脆弱性を突くネットワークからの攻撃をブロック 近年復活したワーム型マルウェア、ランサムウェアをブロック可能
攻撃を検知した端末からの接続を、一定時間すべてブロック
脆弱性攻撃ブロック
• プロセスメモリを脆弱性攻撃から保護する機能 18 脆弱性攻撃ブロックコンポーネントは、保護対象プロセスに外部のプロセス保護エージェントを 挿入することによってプロセスメモリを脆弱性攻撃から保護。 プロセス保護エージェントは動的にロードされ、整合性を監視し脆弱性を攻撃されるリスクを軽減する。 • 脆弱性攻撃ブロックモード 脆弱性攻撃時に終了する： 脆弱性攻撃が実行された時にプロセスを終了。 （保護されている重要なオペレーティングシステムプロセスの脆弱性に対する攻撃試行を検知した場合は、 脆弱性攻撃ブロック設定に示されたモードに関係なくプロセスを終了しない） 通知のみ：19
脆弱性攻撃ブロック技術 説明
Data Execution Prevention（DEP） Data Execution Prevention は、保護されたメモリ領域でのすべてのコードの実行をブロックします。 Address Space Layout Randomization（ASLR） プロセスのアドレス空間におけるデータ構造の配置に対する変更。
Structured Exception Handler Overwrite Protection（SEHOP） 例外レコードの置換または例外ハンドラの置換。 NULL ページの割り当て NULL ポインタのリダイレクト防止。
LoadLibrary のネットワークコールチェック（Anti ROP） ネットワークパスからの DLL ロードに対する保護。 Executable Stack（ROP 対策） スタックの領域の無許可実行のブロック。
アンチ RET チェック（ROP 対策） CALL インストラクションが安全に起動するかどうか確認します。 アンチスタックピボット（ROP 対策） 実行可能アドレスへの ESP スタックポインタの再配置に対する保護。 単純な Export Address Table Access 監視
（EAT Access 監視とデバッグレジスタによる EAT Access 監視） kernel32.dll、kernelbase.dll および ntdll.dll でのエクスポートアドレステーブルに対する読み込みアクセスの保護 ヒープスプレーの割り当て（Heapspray） 悪意のあるコードを実行するためのメモリ割り当てに対する保護。
実行フローシミュレーション
（Return Oriented Programming 対策） （ROP ガジェットの可能性あり）の検知。Windows API コンポーネントにおいて潜在的な危険性があるインストラクション連鎖 IntervalProfile コールの監視
（Ancillary Function Driver Protection（AFDP）） AFD ドライバーの脆弱性を使用した権限の昇格に対する保護（QueryIntervalProfile のコールによる Ring 0 におけるすべてのコードの実行）。 Attack Surface Reduction（ASR） 保護対象プロセスを介した脆弱なアドインの起動のブロック。
Anti Process Hollowing（Hollowing） 信頼するプロセスの悪意のあるコピーの作成と実行に対する保護。
Anti AtomBombing（APC） 非同期プロシージャーコールを経由したグローバルアトムテーブルの悪用（APC）をブロック。 Anti CreateRemoteThread（RThreadLocal） 保護対象のプロセスに、別のプロセスがスレッドを作成することをブロック。
Anti CreateRemoteThread（RThreadRemote） 保護対象のプロセスが、別のプロセスにスレッドを作成することをブロック。
トラフィックセキュリティ
トラフィックセキュリティで実現できる機能 • メール脅威対策 Microsoft Outlookメールをスキャン Microsoft Outlook アドインを追加インストール 受信メールのスキャン •アンチウイルスのためのメールスキャン •アンチフィッシングのためのメールスキャン •アンチウイルス・フィッシングのための添付ファイルスキャン （圧縮されたオブジェクトを含む） 20 • Web脅威対策 HTTPSスキャン 証明書が無効のサイト接続拒否設定（イントラサイトなど、IPでの除外可能） Webコンテンツカテゴリブロック TOR接続ブロックトラフィックセキュリティは、Microsoft Windows Server 2008 R2以上でサポート
トラフィックセキュリティ
ドライバーインターセプター： アプリケーションがネットワークドライバーでトラフィックを監視。 指定したポートの着信トラフィックをすべて監視および分析。 リダイレクター： Webブラウザーから送信された要求をプロキシサーバーとして処理し、 取得したトラフィックを内部の ICAP サーバーにリダイレクト。 Web ブラウザーには、プロキシサーバー接続設定を指定する。 外部プロキシ： 外部プロキシサーバーからのトラフィックを処理。 ICAPプロトコルを使用して接続。外部プロキシモードは、Kaspersky Security for Internet Gatewaysのみで使用できます。
トラフィックセキュリティの３つのモード
21
トラフィックセキュリティ活用例
22
証明書が無効のサイト接続拒否 コンテンツカテゴリブロック
トラフィックセキュリティ活用例
リモートデスクトップ接続
ドライバーインターセプターモードで動作
Kaspersky Security for Windows Server
各セッションで、メール脅威対策 ウェブ脅威対策が有効になる。
23
リモートデスクトップサービス Windows Server
アンチクリプター
共有フォルダ上のファイルに対して、悪意のある暗号化の試行があった場合に、 その攻撃を仕掛けているコンピューターからのアクセスをブロック
それ以外のコンピューターからはアクセスが可能
正常なクライアントPC File ServerWindows
ランサムウェアによる ファイルアクセス ランサムウェアに感染 正常なファイルアクセス アクセスブロック アクセス可能
【ランサムウェア対策】
24信頼しないホストのブロック
Kaspersky Security for Windows Serverで保護しているサーバー上のネットワークリソース （ファイルサーバーなど）にアクセスして悪意のある動作や暗号化を実行しようと したホスト に対して、保護しているサーバーへのアクセスをブロックする • リアルタイムスキャン、アンチクリプターで検知したホストを自動的に 信頼しないホストに追加 • 信頼しないホストをブロックする時間を指定可能 • 管理者が手動でホストを選択しブロックを解除することも可能 25
26
「アンチクリプター」と「信頼しないホストのブロック」
アンチクリプターにより、 暗号化を検知。 検知したホストを自動的に 信頼しないホストに追加。27
Kaspersky Sandbox連携（Kaspersky Sandboxライセンスが必要）
Kaspersky Endpoint Security for Business エージェント
Kaspersky Security Center ふるまい検知をオフロードし、 KSWSの機能を強化: 未知のマルウェア、 ゼロディエクスプロイトなどへの対策 使用例 • 負荷の高いターミナルサーバーでの使用。
• Kaspersky Security Network 脅威データベース との通信が出来ないエンドポイントの保護強化
28
２．アプケーション機能紹介
～コントロール機能
29
アプケーション起動コントロール
デバイスコントロール
ファイアウォール管理
コントロール機能一覧
アプリケーション起動コントロール
• 不要なアプリケーションの起動をブロックすることでマルウェアへの感染リスクを低減 • アプリケーションの起動ルールを設定することで下記オブジェクトを許可／ブロック可能 実行ファイル / スクリプト / MSIパッケージの起動 / DLLモジュールのロード 信頼されていない アプリケーション 信頼されている アプリケーション 実行不可 実行可能 • ルール or 統計情報による コントロール • 適用範囲の指定 実行ファイル / DLL / スクリプト / MSI • KSN情報を利用した 信頼アプリケーションの判別 実行可能ユーザーの指定※ KESB Advanced、 KHCS Enterpriseライセンス購入時のみ利用可能。
アプリケーション起動コントロールルール
• アプリケーション起動コントロール用のルールを個別に作成可能。 • ルールの作成は管理者による個別作成とXMLファイルによるインポートが可能。 • 「ファイルのプロパティからルールを適用する基準を設定」を利用し、 対象ファイルのSHA256ハッシュを自動読み込みも可能。 31アプリケーション起動コントロールルールの自動作成
• 指定されたフォルダーの指定されたファイル種別に基づき、アプリケーション起動コントロールの 許可ルールのリストを自動的作成
• 検索した結果をアプリケーション起動コントロールルールに自動反映
デバイスコントロール
※ KESB Advanced、 KHCSライセンス購入時のみ利用可能。 33 不正なデバイスの使用を制御。 USBメモリー、マスストレージ、スマートフォンなどの不正な接続を防止。 使用方法 許可するデバイスを登録。 マスクを使用したデバイスの登録が可能。 USB種別（デバイスクラス）の設定は無い。 デバイスルールは、接続履歴、XMLファイル、拒否ログからも生成可能。 マスクを使用したデバイスの登録 ローカルコンソールログからルール生成34
デバイスコントロール KSC上のログからルール生成
Kaspersky Security Centerの抽出から ブロックログをエクスポート。
ファイアウォール管理
35 Windowsファイアウォールを管理。 ファイアウォールの実コンポーネントはWindowsファイアウォール。 このコンポーネントをインストールしタスクを開始すると、 それ以降Windowsファイアウォールは、KSWSファイアウォール管理によって管理される。 ルール追加は、 KSWSファイアウォール管理に対して行う。 タスクが初めて開始された時に、KSWSはWindows ファイアウォール設定で指定されたすべての 着信ネットワークトラフィックルールを読み取ってファイアウォール管理タスク設定にコピーする。 KSWSファイアウォール管理を停止すると、 Windowsファイアウォールも停止する。 ファイアウォールログは、 Windowsファイアウォールのログとなる。 （Windowsのデフォルトではイベント書き込みがされない）ファイアウォール管理
36 Windowsファイアウォール設定に（手動または新しいアプリケーションのインストール時に自動で） 新しいルールが作成された場合、KSWSはそのルールを削除します。 Windowsファイアウォール設定からKSWSファイアウォール管理に登録された既存のルールが削除された場合、 KSWSファイアウォール管理タスクが再起動された時に KSWSはそのルールを復元します。 Windowsファイアウォール設定でKSWSファイアウォール管理に登録された既存のルールのパラメータが 変更された場合、KSWSはその変更を元に戻します。 Windowsファイアウォール設定を変更した場合 KSWSファイアウォール管理設定に新しいルールが作成された場合、 Windows ファイアウォールにルールを強制的に適用します。 KSWSファイアウォール管理設定から既存のルールが削除された場合、 KSWSは Windowsファイアウォール設定からルールを強制的に削除します。 KSWSファイアウォール管理は、送信ネットワークトラフィックでのブロックルールを使用しません。 KSWSファイアウォール管理タスクの開始時に、Windowsファイアウォール設定からそのようなルールを すべて削除します。 KSWSファイアウォール管理を変更した場合ファイアウォール管理
37
ルール追加
アプケーション指定、受信ポート指定で行う。 許可ルールのみ。
38
２．アプケーション機能紹介
～システム監査機能
39
Windowsイベントログ監視
ファイル変更監視
Windowsイベントログ監視
• Windows イベントログの監査結果に基づいて保護環境の整合性を監視 • サイバー攻撃の試みを示す可能性のある異常な動作がシステム内で検知し管理者に通知。 • ユーザー指定のルールまた定義済みルールに基づいて、Windowsイベントログの検討と侵入工作の特定が行われる。 40 ブルートフォース攻撃検知 定義済みのルール ※ KHCS Enterpriseライセンス購入時のみ利用可能。41
Windowsイベントログ監視
ユーザー指定ルール 任意のログを指定可能 ソース、IDの指定が可能 プルダウンだけでなく、 手入力可能。42
Windowsイベントログ監視
検知されたログ詳細
（プロパティで表示しているのは定義済みルールによる監視）
43
ファイル変更監視
USN ログを不正に利用しようとする 動作をブロック。 変更監視ルールを作成し、 ファイルおよびフォルダーを指定。 指定した監視範囲にある指定したファイルおよびフォルダーで実行される処理を追跡。 保護対象デバイスでセキュリティ違反を示した可能性があるファイル変更を検知。 前提条件 ReFS および NTFS ファイルシステム Windows USN ジャーナルが有効。 ※ KHCS Enterpriseライセンス購入時のみ利用可能。44
ファイル変更監視
• ローカル操作、ネットワーク共有からの操作、
アプケーションによる変更等によるファイル変更を検知。（ブロックはしません） • USNログの削除をブロック
45
２．アプケーション機能紹介
～その他
ロードバランシング/スケーラビリティ 設定
• Kaspersky Security for Windows Server で使用される処理対象プロセスの数を指定可能。
実行中プロセスの最大数 • デフォルトは自動決定 • 手動設定の場合、最大数は８ リアルタイム保護のプロセス数 • デフォルトは自動決定 • 手動設定の場合、「実行中プロセスの最大数」まで設定可能 バックグラウンドスキャンのプロセス数 • デフォルトは自動決定（１つ） • 手動設定の場合、最大4つ • 「実行中プロセスの最大数」に含まれない プロセッサ数 実行中プロセス最大数 １ 1 2～4 2 4～ 4 プロセッサ数 実行中プロセス最大数 １ 1 2～ 2 46
• スケーラビリティ設定の各用途は下記 設定名 用途・内容 実行中プロセスの 最大数 •• リアルタイム保護 / オンデマンドスキャン / 定義DB更新タスクに使用定義DB更新タスクは使用時だけメモリーに存在する リアルタイム保護の プロセス数 • 「リアルタイム保護のプロセス数」は「実行中のプロセスの最大数」に一致することがある • オンデマンドスキャン、定義DB更新タスクが同時に起動したときには、 「リアルタイム保護のプロセス数」が使用される • リアルタイム保護のプロセスを保持したい場合「実行中のプロセスの最大数」は 「リアルタイム保護のプロセス数」を上回る必要がある バックグラウンド スキャンのプロセス数 •• バックグラウンドスキャンに利用される（オンデマンドスキャンで設定可能）バックグラウンドスキャンは、使用時だけメモリーに存在する • サーバーパフォーマンスは主に「リアルタイム保護のプロセス数」に依存 • ファイルスキャン時に「実行中プロセスの最大数」のプロセスが「リアルタイム保護のプロセス」の ロードに失敗するとファイルアクセスは遅延する • オンデマンドスキャンで「バックグラウンドモードでタスクを実行する」を有効にすると優先度が 「低」となりタスクの実行に必要な時間が長くなるがプログラムの実行速度が上がる可能性がある • 複数のバックグラウンドタスクを優先度「低」で且つ１つのプロセスで処理を実行できる 47
ロードバランシング/スケーラビリティ 設定
スキャンの除外対象とするプロセス（信頼するプロセスのリスト）
• スキャンの除外とするプロセスは「信頼するプロセスのリスト」に登録 • ローカルの管理コンソール上では「Kaspersky Security」を右クリックし「信頼ゾーン の設定」を開き「信頼するプロセス」から設定可能 ファイルのバックアップ処理を確認しない →データのバックアップコピー中に リアルタイム保護を無効 保護対象のサーバーで実行中のプロセス リストから選択 4849 UPS バックアップ電源に切り替わった場合、 新たにスキャンを開始しない、現在のスキャンを停止する、 処理が可能。
セキュリティと信頼性
オンデマンドスキャンタスクがクラッシュした場合、 指定した回数まで復元を試行。定義データベース更新時の負荷軽減
メモリーに存在する仮想ドライブへ、 定義ファイルをストアする際に、ディスクサブシステムを 最適化する３．管理機能
管理の容易さ (Kaspersky Security Centerによる統合管理)
• 管理サーバーであるKaspersky Security Centerを利用することで統一したポリシーで集中管理が可能。 • 定義適用の状況、バージョン管理、状態チェックなど全て一元管理可能 Kaspersky Security Center Console • リモートインストール • 管理者への通知 • 通知設定(メール/SNMPなど) • アプリケーションの動作管理 51
52
サーバー管理者への委任 ローカル管理
ローカルコンソールとKaspersky Security Centerによる集中管理
Kaspersky Security Centerによる
集中管理 ITマネージャー集中管理
＋
Kaspersky Security for Windows Serverには、ローカルコンソールがあり、 サーバー管理者に設定を委譲することも可能。
ポリシーによる一部設定ロックも可能。
管理ツール連携
• Syslogサポート
ログをsyslogに転送し、ローカルのログを転送時に削除することも可能 • SNMPサポート
• パフォーマンスカウンター
Kaspersky Security for Windows Server 独自の
Microsoft Windows システム監視用パフォーマンスカウンターを登録。 • WMI （Windows Management Instrumentation）サポート
Web-Based Enterprise Management（WBEM）標準でデータを受信し、 Kaspersky Security for Windows Server とそのコンポーネン トの情報を 収集する目的で WMI を使用するクライアントシステムを使用可能。
54
通知設定
KSCでもローカルコンソールでも、設定可能。
イベントごとに設定 通知上限で設定可能
Appendix
56
