Threat Emulationの詳細設定の構成

Threat Emulationのアップデート

Threat Emulation セキュリティゲートウェイ上のCheck Point Software Bladeは、サンドボックス内のファイルの動作を監視して、悪意のあるファイルかどうかを判断します。頭字語：TEはThreatCloud Check Point 全製品のサイバーインテリジェンスセンターです。脅威センサーの革新的なグローバルネットワークに基づいて動的に更新され、脅威データを共有し、最新のマルウェアとの戦いにおいて協力するよう組織に呼びかけます。に接続し、エンジンとOSのイメージを更新します。Threat Emulationアプライアンスのデフォルト設定は、エンジンとイメージを自動的に更新することです。

。初期設定では、1日1回パッケージをダウンロードする設定になっています。

ベストプラクティス- ネットワークのアクティビティが低いときにパッケージをダウンロードするようにThreat Emulationを設定します。

Threat Emulationオペレーティングシステムイメージのアップデートパッケージは、通常2GB以上です。アップデートパッケージの実際のサイズは、お客様の設定に関係します。

脅威のエミュレーションイメージの更新

Threat EmulationのOSイメージのアップデートパッケージは、通常数ギガバイト以上になります。アップデートパッケージの実際のサイズは、お客様の設定に関係します。

初期設定では、週に一度、日曜日にパッケージをダウンロードするようになっています。日曜日が出勤日の場合は、更新設定を出勤日以外に変更することをお勧めします。

Threat Emulation Applianceの詳細設定

Threat Emulationアプライアンスのこれらの詳細設定を変更することで、展開に合わせてThreat Emulationを細かく調整することができます。

エミュレーションの制限を設定する

エミュレーション待ちのファイルが増えすぎないように、このエミュレーション制限の設定を行います。

• 最大ファイルサイズ(100,000KBまで)

• ソフトウェア・ブレードがエミュレーションを行う最大時間

• ファイルがキューでエミュレーションを待つ最大時間（Threat Emulationアプライアンスの場合のみ）

これらの理由でエミュレーションがファイルに対して行われなかった場合、Threat PreventionのFail Mode 設定により、ファイルが許可されるかブロック トラフィックとファイルをブロックし、UserCheckメッセージを表示することができるUserCheckルールアクションです。されるかが定義されます（「フェイルモード」を参照）。

ThreatSpectエンジン ネットワークトラフィックを解析し、複数の層（レピュテーション、シグネチャ、不審なメールの発生、行動パターン）のデータを相関させてボットやウイルスを検出する独自の多層型エンジンです。が過負荷になった場合、または検査中に失敗した場合の動作を選択します。例えば、Anti-Botの検査が内部障害で途中で終了してしまった場合。デフォルトでは、このような状況では、すべてのトラフィックが許可されます。

• Allow all connections (Fail-open) - エンジンの過負荷や故障の状況では、すべての接続が許可されます（デフォルト）。

• Block all connections (Fail-close) - エンジンの過負荷や故障の状況では、すべての接続がブロックされます。

Threat Emulation Software Blade 特定のセキュリティソリューション (モジュール):(1) セキュリティゲートウェイでは、各Software Bladeがトラフィックの特定の特性を検査します (2) 管理サーバでは、各Software Bladeで異なる管理機能を使用できます。がファイルのエミュレーションを行うまでの待ち時間の最大値を設定することができます。MTAにメールが保持される最大時間を構成する別の設定があります（「MTAを使用するためのネットワークの設定」を参照）。

ファイルが最大時間以上エミュレーションを待っている場合。

• Threat Emulation Software Blade - Threat Preventionプロファイルの設定は、ファイルが許可されるかブロックされるかを定義します。

• MTA - MTAの設定は、ファイルが許可されるかブロックされるかを定義します。

エミュレーションの制限を設定する

ローカル・キャッシュの変更

Threat Emulationの解析でファイルがクリーンであると判断されると、ファイルハッシュがキャッシュに保存されます。Threat Emulationは新しいファイルをエミュレーションに送信する前に、新しいファイルとキャッシュを比較します。一致するものがあれば、追加エミュレーションのために送信する必要はありません。Threat Emulationは、キャッシュを使用して、ネットワークパフォーマンスの最適化を支援します。この設定は変更しないことをお勧めします。

ローカル・キャッシュのサイズの変更

スレットエミュレーション仮想インタフェース

Threat Emulationアプライアンスは、ファイルエミュレーションを行うために仮想IPアドレスとネットマスクを持つ必要があります。この設定は、ThreatCloudでのエミュレーションには使用されません。

重要- この仮想IPアドレスは、ネットワーク内で既に使用されている場合のみ変更してください。