vCAT

ネットワーク内部へ入ったマルウェアや攻撃者は、接続可能な機器やサービスを探索し、次の侵入先を探すことがあります。通常の業務では接続する必要がない仮想的なトラップを用意することで、その接続を確認すべき兆候として扱えます。

vCATは、vTrapに加えてプロファイルを利用します。
プロファイルは、ランサムウェアの通信の振る舞いを記録したものです。

vCATは、Intelligent Defense Switchの機能です。Security APでは利用できません。

vTrapへの接続を脅威の兆候として扱う判断は、TiControllerが行います。TiControllerとの接続がない場合、vCATは無効になります。

vTrapへの接続を検知したアクセス元端末について、TiFRONTを通過する通信を遮断します。対象は、その端末の通信全体です。

1. vTrapへの接続を検知する。

2. アクセス元端末について、TiFRONTを通過する通信を遮断する。

3. 管理者がイベントとアクセス元端末を確認する。

4. 影響範囲を確認し、必要に応じて解除または設定を見直す。

遮断の対象は、TiFRONTを通過する通信です。TiFRONTを経由せずに完結する通信まで、同じ範囲で止まるものではありません。vCATがネットワーク内のすべての脅威を検知するものでもありません。