メインコンテンツへスキップ

セキュリティスキャン判定において、実際には「セキュリティソフトによるスキャン」であるが、「ユーザーによる行動」として判定がされてしまう

更新

セキュリティスキャン判定機能は、SVMを用いた自動判定をおこなっており、クリックまでの時間・IPアドレス・ブラウザ情報等の複数ロジックにて統計的に推測したうえで判定をおこなっております。また、一部行動についてはスキャン判定の判定対象外のものがあります。

  • 当該機能が未学習場合には判定が実態とは異なる場合があり、メールソフトを含むセキュリティソフトによるアクセスが「ユーザーによる行動」として判定されるケースが発生する可能性がございます。
  • スキャン判定機能の対象外となっている行動については、すべて「ユーザーによる行動」として判定されます。

スキャン判定機能の詳細概要

始めにご確認いただきたい点

1.「行動履歴」>「IPアドレス」にて、該当行動のアクセスされたIPアドレスがどちらのサービス経由であるか、参考情報のご確認

  • Whois検索や、逆引きDNS等にてアクセス元の参考情報のご確認をお願いします
    ※Whois検索の場合は、ホスト名ではなく帯域の管理者事業者名が出る場合があります

2.「行動履歴」>「セキュリティスキャン判定」にて、対象行動がセキュリティスキャン判定機能の「判定対象」であるかのご確認

  • 「セキュリティスキャン判定」にカーソルを合わせると、スキャンの判定根拠のご確認が可能です
  • 以下の一部行動については、スキャン判定機能の判定対象外です
    • 判定対象外の機能は全て「ユーザーによる行動」として判定されます

フィッシングフォーム入力、フィッシングフォーム送信、ClickFix コマンド実行、報告、終了後の報告、*返信

*「返信」は、自動返信判定機能で判定します。
訓練メールへの返信が自動返信かどうか判定する機能」の仕様・設定方法

対象ユーザーによるヒアリングに伴い、正しい判定結果へ戻す場合

ユーザーへのヒアリング等により、実態と異なる判定結果となっている場合には、スキャン判定の結果を手動にて更新対応をご検討ください。

判定結果の更新方法

判定が実態とは異なるケースに該当するパターン(例)

  1. 対象の行動がセキュリティスキャン判定機能の判定対象外となっている
    1. 対象外となっている行動は、上記の「2.「行動履歴」>「セキュリティスキャン判定」にて、対象行動が、セキュリティスキャン判定機能の判定対象であるかのご確認」をご確認ください。
    2. ユーザーへのヒアリングの伴い、実際には「セキュリティソフトによる行動」である可能性が高い場合には、リクエストフォームよりお問い合わせください。
       
  2. メールセキュリティサービスを利用しており、メールソフトとは別の該当のサービス側でセキュリティスキャンが発生している
     
  3. 海外在籍ユーザーへ訓練メールを配信している場合
    1. メールソフト側が使用するIPアドレスのうち、スキャン判定機能側で把握していないIPアドレスからのアクセスが該当の場合、事業者の照合に失敗しているケース
    2. メールソフト側以外のセキュリティ機能(IPアドレス)よりアクセスがあった場合
       
  4. VPNや共有サーバー経由のアクセス等で、スキャン判定機能側で判断が不可となっているケース
    1. 従業員全のインターネット通信が会社のゲートウェイ（プロキシ）を通り、同じ出口IPで外に出る構成となっている場合には、「会社の出口IP」機能にて回避可能な場合があります
  5. ネタバラシページや、攻撃体験ページを遷移する際にセキュリティソフト側でスキャンがされている
    1. メールソフト側のホワイトリストの設定にて、訓練送信元ドメインを登録することで当該事象の発生を回避できる可能性があります。
  6. 【Microsoft 365をご利用の場合】Outlookにおける標準搭載の報告機能より訓練メールの対して不審メール報告している場合
    1. メールソフト側が使用するIPアドレスのうち、スキャン判定機能側で把握していないIPアドレスからのアクセスとなっているケース
    2. セキュリオの固定IPアドレスからの配信機能を用い、Microsoft Defenderにて該当の固定IPを設定することで、回避できる可能性があります
    3. 本事象・回避策に関する詳細については、以下のサポートをご参照ください

関連記事