ThreatSenseは、ウイルスを検出する多数の複雑な方法から構成される技術です。この技術は事前対応型なので、新しいウイルスが広がる初期の段階でも保護することができます。この技術では、システムのセキュリティを大幅に強化するために連携して動作するコード分析、コードエミュレーション、汎用シグネチャ、ウイルスシグネチャを組み合わせて使用します。検査エンジンは、複数のデータストリームを同時に検査して、最大限の効率および検出率を確保することができます。また、ThreatSense技術によってルートキットを除去することもできます。
|
|
自動スタートアップファイルチェックの詳細については、「スタートアップ検査」を参照してください。
|
ThreatSenseエンジンの設定オプションを使用すると、ユーザーはさまざまな検査パラメーターを指定することができます。
•検査するファイルの種類および拡張子
•さまざまな検出方法の組み合わせ
•駆除のレベルなど
設定ウィンドウにアクセスするには、ThreatSense技術を使用する任意の機能(下記を参照)の詳細設定(F5)ウィンドウにあるThreatSenseエンジンパラメータ設定]をクリックします。セキュリティシナリオごとに異なる設定が必要になることがあります。これを念頭に、ThreatSenseは、次の保護モジュールについて個々に設定することができます。
•メール転送保護
•オンデマンドメールボックスデータベース保護
•メールボックスデータベース保護
•Hyper-V検査
•リアルタイムファイルシステム保護
•マルウェア検査
•アイドル状態検査
•スタートアップ検査
•ドキュメント保護
•電子メールクライアント保護
•Webアクセス保護
ThreatSenseのパラメーターは機能ごとに高度に最適化されているので、パラメーターを変更すると、システムの動作に大きく影響することがあります。たとえば、常にランタイム圧縮形式をスキャンするようにパラメーターを変更したり、リアルタイムファイル保護機能のアドバンスドヒューリスティックを有効にすると、システムの処理速度が低下することがあります(通常は、新しく作成されたファイルのみがこれらの方法を使用してスキャンされます)。コンピュータの検査を除く全ての機能について、ThreatSenseの既定のパラメーターを変更しないことをお勧めします。
このセクションでは、感染を検査するコンピューターのコンポーネントおよびファイルを定義できます。
メモリ
システムメモリを攻撃対象とするマルウェアを検査します。
ブートセクタ/UEFI
MBR（マスターブートレコード）にウイルスがないかどうかブートセクタを検査します。Hyper-V仮想マシンの場合、ディスクMBRは読み取り専用モードで検査されます。
WMIデータベース
WMIデータベース全体を検査し、データとして埋め込まれた感染ファイルまたはマルウェアへの参照を検索します。
システムレジストリ
システムレジストリ、すべてのキーとサブキーを検査し、データとして埋め込まれた感染ファイルまたはマルウェアへの参照を検索します。
電子メールファイル
プログラムは以下の拡張子をサポートします。DBX (Outlook Express)およびEML。
アーカイブ
プログラムは以下の拡張子をサポートします。ARJ、BZ2、CAB、CHM、DBX、GZIP、ISO/BIN/NRG、LHA、MIME、NSIS、RAR、SIS、TAR、TNEF、UUE、WISE、ZIP、ACE、およびその他多数。
自己解凍アーカイブ
自己解凍形式(SFX)とは、解凍に特殊なプログラム(アーカイブ)を必要としないアーカイブです。
圧縮された実行形式
圧縮された実行形式(標準の解凍形式とは異なる)は、実行後メモリー内で解凍されます。スキャナでは、コードのエミュレーションによって、標準の静的圧縮形式(UPX、yoda、ASPack、FSGなど)のほかにも多数の圧縮形式を認識できます。
|
|
メールボックスデータベース保護機能については、検査するオブジェクトの下の設定に関係なく、添付された電子メールファイル(たとえば.eml files)が検査されます。これは、ESET Mail Securityによる検査のために送信される前に、Exchange Serverが添付された.emlファイルを解析するためです。VSAPIプラグインは、元の.emlファイルを受信する代わりに、.eml添付ファイルから抽出されたファイルを取得します。
|
|
システムの侵入を検査するときに使用する方法を選択します。使用可能なオプションは次のとおりです。
ヒューリスティック
ヒューリスティックは、悪意のあるプログラムの活動を分析するアルゴリズムです。この技術の主な利点は、前には存在しなかったり、これまでの検出エンジンで特定されていなかったりした悪意のあるソフトウェアを特定できる点です。
アドバンスドヒューリスティック/DNA署名
アドバンスドヒューリスティックは、ESETが開発した独自のヒューリスティックアルゴリズムで構成されます。このアルゴリズムは、コンピューターワームやトロイの木馬を検出するために最適化され、高度なプログラミング言語で記述されています。アドバンスドヒューリスティックを使用すると、ESET製品の脅威検出機能が大幅に高まります。シグネチャは確実にウイルスを検出し、特定することができます。自動アップデートシステムを利用することにより、新しいシグネチャを使用するためのウイルス検出時間を短縮できます。シグネチャの欠点は、既知のウイルス(またはこれらのウイルスの多少の変更が加えられたバージョン)しか検出しない点です。
|
駆除設定により、感染ファイルからウイルスを駆除するときのスキャナーの動作が決まります。駆除には、3つのレベルがあります。リアルタイムファイルシステム保護と他の保護モジュールには次の修復(駆除)レベルがあります。
常に検出を修正する
オブジェクトの修復中に検出の修正を試みます。ユーザー操作はありません。システムファイルは例外です。このようなオブジェクトで検出を修正できない場合は、オブジェクトが元の場所に残されます。
安全な場合は検出を修正する、そうでない場合は保持する
オブジェクトの駆除中に検出の修正を試みます。ユーザーの操作はありません。システムファイルやアーカイブ(感染していないファイルと感染したファイル)の検出を修復できない場合、報告されたオブジェクトは元の場所に残されます。
安全な場合は検出を修正する、そうでない場合は確認する
オブジェクトの修復中に検出の修正を試みます。一部の場合で、ESET Mail Securityで自動アクションを実行できない場合は、アクション(削除または無視)を選択する必要があります。ほとんどの場合、この設定が推奨されます。
常にエンドユーザーに確認する
ESET Mail Securityによる自動アクションは実行されません。アクションの選択を求めるメッセージが表示されます。
|
拡張子は、Filenameの一部であり、ピリオドで区切られています。拡張子は、ファイルの種類と内容を規定します。ThreatSenseパラメーター設定のこのセクションでは、検査から除外するファイルの種類を指定できます。
その他
オンデマンドコンピュータの検査でThreatSenseエンジンパラメータ設定を設定する場合は、[その他]セクションの次のオプションも設定できます
代替データストリーム(ADS)を検査
NTFSファイルシステムによって使用される代替データストリームは、通常の検査技術では検出できないファイルとフォルダの関連付けです。多くのマルウェアが、自らを代替データストリームに見せかけることによって、検出を逃れようとします。
低優先でバックグラウンド検査
検査が行われるたびに、一定の量のシステムリソースが使用されます。システムリソースにかなりの負荷がかかるプログラムを使用している場合、優先度が低い検査をバックグラウンドで実行することによって、アプリケーションのためにリソースを節約することができます。
すべてのオブジェクトをログに記録する
このオプションを選択すると、検査済みのファイルをすべて記録します。
スマート最適化を有効にする
SMART最適化を有効にすると、スキャンの速度を最高に保ちながら最も効率的なスキャンレベルが確保されるように、最適な設定が使用されます。さまざまな保護モジュールで高度に検査を行い、それぞれで異なる検査方法を使用して、それらを特定のファイルタイプに適用します。SMART最適化を無効にすると、特定のモジュールのThreatSenseコアのユーザー定義設定のみがスキャンの実行時に適用されます。
最終アクセスのタイムスタンプを保持
データバックアップシステムでの利用などを考慮して、検査済みファイルへのアクセス日時を更新せずに元のまま保持するには、このオプションを選択します。
|
[制限]セクションでは、検査対象のオブジェクトの最大サイズおよびネストされたアーカイブのレベルを指定できます。
既定のオブジェクトの設定
有効にすると、既定の設定を使用します(制限なし)。 ESET Mail Securityはカスタム設定を無視します。
オブジェクトの最大サイズ
検査対象のオブジェクトの最大サイズを定義します。これにより、特定の保護モジュールでは、指定した値より小さいサイズのオブジェクトのみが検査されます。上級ユーザーが大きいオブジェクトを検査から除外する必要がある場合のみ、このオプションを変更してください。既定値:無制限
オブジェクトの最大検査時間（秒）
オブジェクトの検査の最長時間の値を定義します。ここでユーザー定義の値が入力されていると、検査が終わっているかどうかにかかわらず、その時間が経過すると保護モジュールは検査を停止します。既定値:無制限
アーカイブ検査の設定
アーカイブ検査設定を修正するには、既定のアーカイブ検査の設定をオフにします。
スキャン対象の下限ネストレベル
アーカイブの検査の最大レベルを指定します。既定値:10.メールボックス転送保護で検出されたオブジェクトの場合、実際のネストレベルが+1です。電子メールのアーカイブ添付ファイルは最初のレベルと見なされるためです。
|
|
ネストレベルが3に設定されている場合、ネストレベル3のアーカイブファイルは実際のレベル2までトランスポート層でのみ検査されます。このため、レベル3までのメールボックス転送保護によってアーカイブを検査する場合は、アーカイブネストレベルの値を4に設定します。
|
スキャン対象ファイルの最大サイズ
このオプションでは、検査対象のアーカイブ(抽出された場合)に含まれているファイルの最大サイズを指定できます。既定値:無制限
|
|
一般的な環境では既定値を変更する理由はないので、その値を変更しないことをお勧めします。
|
|
