この記事では、XOps ストーリー ワークベンチとストーリードリルダウンページを使用して、使用量異常とイベント異常エンジンによって検出された異常な動作を分析する方法を説明します。
ストーリーワークベンチでの検出と対応 XOps ストーリーの詳細については、ストーリーワークベンチでの検出と対応 XOps ストーリーの確認 を参照してください。
CatoのXOpsサービスは、ユーザーおよびエンティティの振る舞い分析（UEBA）に基づいて異常なアクティビティを検出し、それがセキュリティ脅威を示す可能性があります。 使用量異常とイベント異常エンジンは、ネットワークトラフィックを監視および分析し、アカウントの侵害、内部脅威、および高度な攻撃の兆候である可能性のある異常な行動を特定します。 これらのエンジンは、ネットワークトラフィックのトレーニングを使用した機械学習および統計モデリング技術を取り入れ、アカウント内のユーザーとエンティティの行動モデルを基に構築します。 これらのモデルに基づいて、エンジンはさまざまなタイプの異常を特定できます。
XOps UEBA 異常エンジンと彼らが特定する異常の種類の簡単な説明は次のとおりです:
-
使用量異常 - アプリケーションの利用に関連する異常を特定します。 例: ユーザーが通常よりも多くのデータをアプリケーションにアップロードする
-
イベント異常 - ネットワーク上のエンティティが異常な数のセキュリティイベントをトリガーする異常を検出します。 例: ネットワークのサイトが通常よりも大幅に多くのインターネットファイアウォールブロックイベントをトリガーする
XOps UEBA 異常エンジンがストーリーを生成すると、ストーリーワークベンチでレビューし、ストーリーデータをさらに分析するためにドリルダウンできます。
ストーリーワークベンチで使用量の異常またはイベントの異常ストーリーをクリックして、別のページで詳細を調査します。 このページには、潜在的な脅威を評価するのに役立つ多数のウィジェットが含まれています。
ストーリーワークベンチページでセキュリティストーリーをクリックして、UEBAストーリーの詳細を表示します。
ストーリーワークベンチのドリルダウンには、AI によって生成されたナチュラルランゲージのストーリー説明を作成できるツールが含まれており、豊富なコンテキストを提供し、ストーリーをすばやく評価するのに役立ちます。 ストーリーの要約は、現在のストーリーの状態を反映するように動的に生成されます。 ストーリーが新しい情報で更新された場合、要約を再生成して変更を反映できます。
-
AI ストーリーサマリーは、管理者によってオンデマンドでのみ生成されます
ストーリーデータを第三者のAIサービスに送信する際の強固なデータセキュリティのために、Catoはトークン化を使用し、すべての機密データが CatoXOps プラットフォーム内に留まることを保証します。 これは機密情報を一意の識別子または「トークン」に置き換え、許可されていないエンティティにとってデータを無意味にします。 機密データが第三者サービスに公開されることはありません。 このアプローチは、ストーリーの詳細の機密性を確保し、堅牢なデータプライバシーとセキュリティ基準への取り組みに沿ったものです。
注意
注意: 生成的AIの制限により、ストーリーサマリーに提供される情報が時折不正確である場合があります。
これらは使用量異常またはイベント異常ストーリーのウィジェットです:
|
アイテム |
名前 |
説明 |
|---|---|---|
|
1 |
ストーリー要約 |
ストーリーに関する基本情報の要約、以下を含む:
|
|
2 |
ストーリータイムライン |
ストーリーのタイムラインを表示し、ストーリーの評決と重大度の変更、およびステータスが更新されたときなどを示します |
|
3 |
詳細 |
ストーリーに関する基本的な詳細情報、以下を含む:
|
|
4 |
異常分布 |
過去 14 日間の異常行動のグラフ。 使用量異常ストーリーの場合、グラフは関連するアプリのデータを表示します。 イベント異常ストーリーの場合、グラフは関連するイベントのデータを表示します。
|
|
5 |
送信元 |
異常に関連するネットワーク内のデバイスに関する基本的な情報 |
|
6 |
トップアプリケーション |
関連詳細を含む、異常に関連するトップアプリケーション。 例えば、上り帯域幅に関する異常のアプリは、アプリからの総アップロード量とともに表示されます
|
|
7 |
トップサーバー／宛先 |
異常に関与するトップサーバーおよび宛先とその関連詳細。 例えば、上り帯域幅に関する異常のサーバーは、そのサーバーへの総アップロード量とともに表示されます
|
|
8 |
トップホスト |
関連詳細を含む、異常に関連するトップホスト。 例:
異常に関連するアプリで事前にフィルターされたホストを表示するために、アプリケーション分析画面を開くには、すべて表示をクリックします |
|
9 |
ターゲット |
ストーリーに関連するネットワークサイト外の潜在的に悪意のあるソースのデータを表示します。 ターゲットテーブルの列の説明は次のとおりです:
|
|
10 |
トップ接続 |
異常に関連するトップ接続のデータ。 例えば、SDPユーザー上り帯域幅の異常の場合、最も多くのアップロード帯域幅を使用した接続です。 これらはテーブル列の説明です:
|
異常検出エンジンによって検出された一部の指標には、コネクタの設定、特定のライセンス、またはその両方の設定が必要です。 このテーブルには、これらの指標の前提条件が一覧されています。 表に記載されていない指標については、追加の前提条件はありません。
|
表示 |
前提条件 |
|---|---|
|
ユーザーのログイン失敗異常 |
CASBライセンスおよびこれらのコネクタのいずれか:
|
|
大量ダウンロード（ユーザーダウンロードイベント異常） |
CASBライセンス |
|
大量ダウンロード（サイトダウンロードイベント異常） |
CASBライセンス |
|
大量アップロード（ユーザーアップロードイベント異常） |
CASBライセンス |
|
大量アップロード（サイトアップロードイベント異常） |
CASBライセンス |
|
大量削除（異常な削除アクティビティ - ユーザー） |
CASBライセンス |
|
大量削除（異常な削除アクティビティ - サイト） |
CASBライセンス |
|
大量作成（異常なファイル作成アクティビティ - ユーザー） |
CASBライセンス |
|
初めて確認された非推奨または許可されていないプロトコルの使用 - サイト |
脅威防止ライセンス |
|
初めて確認された非推奨または許可されていないプロトコルの使用 - ユーザー |
脅威防止ライセンス |
|
C＆Cトラフィック異常 - ユーザー |
脅威防止ライセンス |
|
C＆C初回アップロードトゥーアンスリー・バケットCトラフィック異常 - サイト |
脅威防止ライセンス |
|
S3バケットへの初回アップロード |
CASBおよびアンチマルウェアライセンス |
|
メール削除の異常 |
CASBライセンスとこれらのコネクタ
|
0件のコメント
サインインしてコメントを残してください。