EICAR マルウェア対策テストファイルを製品で使用する方法

技術的な記事 ID: KB59742
最終更新: 2023-02-22 22:28:36 Etc/GMT

環境

Endpoint Security (ENS) 脅威対策 10.x
VirusScan Enterprise (VSE) 8.8

European Institute for Computer Anti-virus Research (EICAR) マルウェア対策テストファイル

概要

EICAR マルウェア対策テストファイルは European Institute for EICAR によって開発されました。EICAR テストファイルは、ウイルス対策ソフトウェアがマルウェアとして検出する適正な DOS プログラムです。このテストファイルは、正常に実行されると (検出されず、ブロックもされない場合)、メッセージ "EICAR-STANDARD-ANTIVIRUS-TEST-FILE!" を表示します。

標準の EICAR テストファイルを入手するには次の 2 つの方法があります。

Eicar Web サイトから直接ダウンロードする。
テキストエディターを使用してファイルを作成する。
1. メモ帳などのテキストエディターを開きます。
2. 次の文字列を新しいファイルにコピーします。
  
  X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
  
  注: 3 つめの文字は大文字の「O」です。数字のゼロではありません。
3. eicar.com としてファイルを保存します。

EICAR テストファイルを使用してセキュリティソフトウェアが正しく動作していることを確認するには、いくつかの方法があります。

注意：

EICAR テストファイルを使用する場合は、ファイルを検出してブロックまたは隔離することはできますが、駆除することは できない ことに注意してください。その理由は、EICAR ファイルに「実際の」ウイルスコードが含まれていないためです。EICAR テストファイルは、ほとんどのウイルス対策製品が実際のウイルスであるかのように反応するように設計されています。ただし、EICAR ファイルの駆除は失敗します。この動作は予想どおりです。
EICAR テスト文字列は、上記の 68 文字で始まり、正確に 68 バイトの長さのファイルで検出されます。文字列/テキストを変更または追加すると、テストファイルが検出されない可能性があります。

コンテンツ
表示するセクションをクリックして展開します。

オンアクセススキャナーが正しく動作していることを確認する

オンアクセススキャナーが機能していることを確認するには、オンアクセススキャンを無効にします。次に、EICAR テストファイルをシステムにコピーし、実行してみます。

オンアクセススキャンを無効にします

注: この手順は、ご使用のオペレーティングシステムと製品によって異なります。ソフトウェアの適切なユーザーガイドを参照してください。

製品ドキュメントについては、製品ドキュメントポータルにアクセスしてください。
EICAR テストファイルのコピーを保存または作成します。
オンアクセススキャンを有効にします。
EICAR ファイルの開始を試みます。

オンアクセススキャナーが正しく機能している場合、マルウェアとして検出されます。

オンデマンドスキャナーが正しく動作していることを確認する

オンデマンドスキャナーが機能していることを確認するには、EICAR テストファイルをシステムにコピーします。次に、右クリックスキャンを実行します。

EICAR テストファイルのコピーを保存または作成します。
オンデマンドスキャンを有効にします。
EICAR ファイルを右クリックし、ポップアップメニューから 脅威のスキャン を選択します。

オンデマンドスキャナーが正しく機能している場合、マルウェアとして検出されます。

オンデリバリー電子メールスキャナーが正しく動作していることを確認する

オンデリバリー電子メールスキャナーが動作していることを確認するには、Telnet ユーティリティを使用します。Telnet を使用して、EICAR テスト文字列を既知の受信者に送信します。ローカルのメールクライアントから EICAR テスト文字列を含む電子メールを送信しようとすると、ウイルス対策ソフトウェアがテスト文字列を検出してブロックします。

Windows + R を押して、cmd と入力し、Enter キーを押します。
telnet 25 ( はメールサーバーまたはプロバイダーの SMTP (送信) サーバーの名前) と入力し、Enter キーを押します。
HELO または "EHLO " と入力し、Enter キーを押します。
MAIL FROM:you@server.com と入力し、Enter キーを押します。応答を受け取ります: 250 ok
RCPT TO:yourname@yourserver.com と入力し、Enter キーを押します。応答を受け取ります: 250 ok
DATA と入力し、Enter キーを押してメッセージを書き込みます。
最初の行に SUBJECT:yoursubject と入力し、Enter キーを 2 回押します。
メッセージ (この場合は EICAR テスト文字列) を入力し、Enter キーを押します。

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
行にピリオド (.) を 1 つ入力し、Enter キーを押してメッセージを送信します。次の例のいずれかのような応答を受け取ります。
- Message accepted for delivery
- 250 OK id=`a long id`
Telnet を終了するには、QUIT と入力して Enter キーを押します。

オンデリバリー電子メールスキャナが正しく機能している場合、マルウェアとして検出されます。

VSE フォルダーの除外が正しく機能していることを確認する

VSE の除外が正しく設定されているかどうかを確認するには、EICAR ファイルを除外フォルダーにコピーして、実行してみます。VSE の除外の詳細については、 KB50998 - ワイルドカードを使用してファイルとフォルダーの除外を管理する方法を参照してください。

アクセス保護ルールを無効にして、サービスが停止しないようにします。
1. [スタート]、[プログラム]、[McAfee]、[VirusScan コンソール] の順にクリックします。
2. アクセス保護 を右クリックし、プロパティを選択します。
3. アクセス保護 タブをクリックします。
4. 左下で、[McAfee サービスの停止を防止] の選択を解除します。
5. 適用をクリックし、OK をクリックします。
McShield サービスを停止します。
1. Windows + R を押して、services.msc と入力し、OK をクリックします。
2. [McAfee McShield] を右クリックして、 [停止] を選択します。
EICAR.COM のコピーをローカルハードディスクに保存します。
テストする各除外フォルダーに EICAR.COM をコピーします。
McShield サービスを開始します。
1. Windows + R を押して、services.msc と入力し、OK をクリックします。
2. McAfee McShield を右クリックし、開始を選択します。
3. サービスウィンドウを閉じます。
EICAR.COM を実行します。
1. EICAR.COM がコピーされている各フォルダーを参照します。
2. 除外された各フォルダーで EICAR.COM をダブルクリックします。除外が正しく設定されている場合は、EICAR.COM は検出されずに実行されます。この結果は、除外されていない場所でファイルを実行して、使用している EICAR サンプルが検出されていることを確認することによっても確認できます。VSE は EICAR.COM をウイルスとして検出し、その実行を阻止します。
アクセス保護ルールを再度有効にして、サービスが停止しないようにします。
1. [スタート]、[すべてのプログラム]、[McAfee]、[VirusScan コンソール]の順にクリックします。
2. [アクセス保護] を右クリックし、[プロパティ] を選択します。
3. [アクセス保護] タブをクリックします。
4. 左下で、[McAfee サービスの停止を防止] を選択します。
5. 適用をクリックし、OK をクリックします。
6. VirusScan コンソールを閉じます。

スパイウェア対策コンポーネントまたはアドオンが正しく動作していることを確認する

スパイウェア対策ソフトウェアが正しく動作しているかどうかをテストするには、EICAR-PUO テストファイルを作成します。EICAR-PUO テストファイルは、標準の EICAR テスト文字列と同じように機能します。ただし、スパイウェア対策ソフトウェアからは、ウイルスではなく不審なプログラムとして検出されます。

EICAR-PUO テストファイルを作成するには:

メモ帳などのテキストエディタを開きます。
次の文字列を新しいファイルにコピーします。

X5]+)D:)D<5N*PZ5[/EICAR-POTENTIALLY-UNWANTED-OBJECT-TEST!$*M*L
[ファイル]、[保存] を選択します。
ファイル名を入力して、保存をクリックします。

注意：
- ファイルを簡単に認識できるようにするために、テクニカルサポートでは、ファイルを EICAR-PUO.COM として保存することをお勧めします。保存されるファイルのサイズは約 68 ~ 70 バイト です。
- 標準 EICAR 検出のすべての機能は、EICAR-PUO にも当てはまります。
- EICAR-PUO テストファイルは、標準の EICAR テストファイルと同じ方法で テスト カテゴリの下に識別されます。
- EICAR-PUO はスパイウェア対策テストファイルです。このため、不審なプログラムの検出を有効にする必要があります。

Endpoint Security マルウェア対策スキャンインターフェース (AMSI) が正しく動作していることを確認する

AMSI スキャンが正しく動作していることを確認するには、ENS ポリシーで AMSI を有効にして、システムで EICAR PowerShell コマンドを実行します。

注: AMSI はサポートされているオペレーティングシステムでのみ動作します。 (例: Windows 10、Windows Server 2016)。

ENS で AMSI 統合を有効にします。
PowerShell を起動して、次のコマンドを実行します。

powershell echo '"X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*"'
脅威の検出がトリガーされることを確認します: EICAR!ams!XXXXX

ENS スクリプトスキャンが正しく動作していることを確認する

ENS スクリプトスキャンが正しく動作していることを確認するには、ENS ポリシーのスクリプトスキャンを有効にして、EICAR HTML ファイルを作成します。

ENS ポリシーのスクリプトスキャンを有効にします。
ブラウザのスクリプトスキャンプラグインを有効にします。
メモ帳などのテキストエディタを開きます。
eicar.html ファイルを作成します。ファイルへ以下の内容を追加します。

注: HTML のソースパスを変更します。eicar.html が作成された場所を参照します (例: C:\temp\eicar.html )。

<!DOCTYPE html>
<html>

<head>
<script type='text/javascript' src='file:///C:/temp/eicar.js'></script>
</head>
<body>
<h1>An Eicar Test</h1>
<p id="demo">Click the button</p>
<button type="button" onclick="eicar()">Try it</button>

</body>
</html>
eicar.js のオンアクセススキャンポリシーで除外を作成します。除外が作成されない場合、オンアクセススキャンはスクリプトスキャンではなく EICAR を検出します。
メモ帳などのテキストエディタを開きます。
C:\temp に eicar.js ファイルを作成します。ファイルに以下の内容を追加します。

function eicar() {
alert("X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*");
}
Internet Explorer を開いて、C:\temp\eicar.html を開きます。[ 再試行] をクリックします。
ポップアップメッセージが表示されていることを確認します。メッセージには、"Internet Explorer がこの Web ページでスクリプトまたは ActiveX コントロールの実行を制限しています" と記載されています。
JC/Eicar で脅威の検出がトリガーされたことを確認します。

以前のドキュメント ID ^(Secured)

613376

免責事項

この記事の内容のオリジナルは英語です。英語の内容と翻訳に相違がある場合、常に英語の内容が正確です。一部の内容は Microsoft の機械翻訳による訳文となっています。

影響を受ける製品

言語:

この記事は、次の言語で表示可能です:

Knowledge Center

EICAR マルウェア対策テストファイルを製品で使用する方法

環境

概要

関連情報

以前のドキュメント ID ^(Secured)

免責事項

影響を受ける製品

言語:

Title

Title

Knowledge Center

EICAR マルウェア対策テスト ファイルを製品で使用する方法

環境

概要

関連情報

以前のドキュメント ID (Secured)

免責事項

影響を受ける製品

言語:

地域を選択してください

Title

Title

EICAR マルウェア対策テストファイルを製品で使用する方法

以前のドキュメント ID ^(Secured)