この記事では、アカウント内の潜在的な脅威のストーリーを分析するために、検出＆amp;対応ストーリーページをどのように使用するかについて説明します。
注記
注記: XOpsは、セキュリティおよび運用のためのCatoの統合分析レイヤーであり、インサイトとガイド付きの修正を提供します。 XOpsはXDRに取って代わりました。詳しくは、XOps FAQを参照してください。
ストーリーワークベンチでストーリーをクリックすると、XOpsの検出＆対応ストーリーページで詳細を確認して調査することができます。 このページにはストーリーの概要と関連するストーリーの概要が含まれています。 概要には、XOpsエンジンによって特定された潜在的な脅威を評価するのに役立つ多数のウィジェットが含まれており、関連ストーリーの概要は、分析のための幅広いコンテキストでストーリーを位置付けるのを助けます。
ストーリーワークベンチドリリングダウンには、AIが生成した自然言語によるストーリーの説明を作成できるツールが含まれており、豊かな文脈を提供し、ストーリーを迅速に評価するのに役立ちます。 ストーリーの要約は、ストーリーの現在の状態を反映するために動的に生成されます。 ストーリーが新しい情報で更新されると、変更を反映させるために要約を再生成できます。
-
AIストーリーの要約は、管理者によってオンデマンドでのみ生成されます
サードパーティのAIサービスへのストーリーデータの送信時のデータセキュリティを強化するために、Catoはトークン化を使用して、すべての機密データがCatoXOpsプラットフォーム内に留まるようにします。 これには、機密情報を一意の識別子、または「トークン」に置き換えることが含まれ、データを不正者にとって無意味にします。 機密データは決して第三者のサービスに公開されることはありません。 このアプローチは、ストーリーの詳細の機密性を保証し、強力なデータプライバシーおよびセキュリティ基準に対する当社の取り組みと一致しています。
注記
注意: 生成型AIの制限により、ストーリーの要約に提供される情報には時折不正確な情報が含まれる場合があります。
検出および応答のストーリーには、特定された脅威を評価するためのウィジェットが含まれています。 ストーリー内では、プロセス、ファイル、レジストリ値、スケジュールされたタスク、ネットワークアクティビティなどの関連アラートとサポート証拠を確認できます。 これらの証拠は次のいずれかで表示されます。
-
具体的なアラートのコンテキストで提示された時系列プロセスツリー。 これは、疑わしいと判断されアラートを生成したイベントの順序を理解するのに役立ちます。
注意: これはAPI接続の問題により、いくつかのストーリーで利用できない場合があります。
-
証拠テーブルは、ストーリーの証拠の概要を提供します。 これにより、エンドポイントデバイスでの特定の悪意のあるまたは疑わしい活動の普及状況をより広範に評価することができます。
これらはストーリー概要ウィジェットです：
注意
注意: すべてのウィジェットがすべてのストーリーに含まれているわけではありません。 各ストーリーのウィジェットはストーリーの種類と利用可能なデータに依存します。
|
名称 |
説明 |
||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
ストーリーサマリー |
概要は、ストーリーに関する基本情報の概要を示します。
アクションドロップダウンメニューを使用して、ストーリーの管理を選択し、アナリストの評価、アナリスト重大度、ステータス、分類などのストーリー設定を変更します。 関連ストーリータブは、同じソースのストーリーやネットワーク上のさまざまなソースに関連する特徴を持つストーリーを素早く確認することで、調査しているストーリーのコンテキストを提供します。 |
||||||||||||||||||||||||||||
|
ストーリー判定や重大度の変更、新しいターゲットの特定時期など、ストーリーのタイムラインを表示します |
|||||||||||||||||||||||||||||
|
詳細 |
脅威の説明、およびその脅威に特定されたMITRE ATT&CK®技術を含む、ストーリー分析のための主要情報。 その他の詳細には以下が含まれます：
MITRE ATT&CK®フレームワークについて詳しくは、MITRE ATT&CK®ダッシュボードの使用を参照してください。
|
||||||||||||||||||||||||||||
|
ソース |
脅威によって影響を受けたネットワーク上のユーザーとデバイスに関する基本情報 |
||||||||||||||||||||||||||||
|
アラート/インシデント/検出 |
ストーリーに関連するアラートの詳細を示します。
テーブルの列は次のとおりです。
|
||||||||||||||||||||||||||||
|
証拠 |
ストーリーアラートの証拠で特定されたすべてのプロセス、ファイル、およびレジストリ値の詳細を集約します。 証拠テーブルの列の一部は、すべての証拠タイプで共有されており、一部はタイプごとに特有です。 すべての証拠タイプに表示される列は次のとおりです。
各証拠タイプに特有の列は次のとおりです。
|
||||||||||||||||||||||||||||
|
攻撃の地理的位置 |
脅威に関連するネットワーク内のソース（オレンジの位置）および外部ソース（赤い位置）の地理的位置を表示します。 ソースを繋ぐ矢印がトラフィックの方向を示します |
||||||||||||||||||||||||||||
|
ターゲットアクション |
各ターゲットに関連するイベントには、次の情報が含まれます： |
||||||||||||||||||||||||||||
|
攻撃分布 |
攻撃関連フローの時間分布。
|
||||||||||||||||||||||||||||
|
ターゲット |
ストーリーに関連するネットワークサイト外部の潜在的な悪意のあるソースのデータを示します。
|
||||||||||||||||||||||||||||
|
攻撃に関連するフロー |
攻撃に関連するイベントの代表的なサンプルのデータを表示します。
|
||||||||||||||||||||||||||||
|
サインインイベント (このウィジェットはMicrosoft Entra IDコネクタが必要です) |
アラートの当日とその前の2日間のユーザーのサインインイベントからデータを分類したチャート。 ドロップダウンを使用して、チャート上に表示されるデータのタイプを選択します。 オプションは次のとおりです。
|
||||||||||||||||||||||||||||
|
ユーザーのサインインイベント (このウィジェットはMicrosoft Entra IDコネクタが必要です) |
アラートの当日および前の2日間のユーザーのサインインイベントからのデータを示します。 テーブル内の列は次のとおりです。
|
関連するストーリーの概要は、同じソースを持つストーリーとネットワーク上の異なるソースに関連する類似した特徴を持つストーリーを迅速に確認することで、調査しているストーリーのコンテキストを提供します。 概要は、各関連ストーリーの主要な詳細を示し、関連するストーリーのために事前にフィルタリングされたXDR インシデント検出を開くか、特定の関連ストーリーのために検出 & 対応のストーリーページを容易に開くことができます。
関連するストーリーの概要には以下のテーブルが含まれています：
-
最も類似したストーリーのテーブルは、調査されているこのストーリーと同じ指標やターゲットなど、類似した特徴を持つストーリーにネットワーク内の他のソースが関与しているかどうかを迅速に確認できます。 このテーブルには、ターゲットの類似性 のスコアに基づいて最大5つの類似したストーリーが表示されます。 テーブルは特定の時間範囲には制限されません。
-
ソース上のストーリーのテーブルは、選択した時間範囲内で、このストーリーのソースによって生成されたすべてのストーリーを表示します。 デフォルトの時間範囲は直近の2週間です。 これにより、このソースに対する活動のより広範なコンテキストを評価できます。 例えば、これにより、このストーリー内の動作がこの特定のソースにとって異常か通常のものであるかを判断するのに役立ちます。
次のアクションは両方のテーブルで実行できます：
-
テーブル内のストーリーを表示するために事前フィルターされたXDR インシデント検出を開くには、「ワークベンチで表示」 をクリックします
-
ストーリー行をクリックして、そのストーリーの検出 & 対応のストーリーページを開く
これらは関連するストーリーのテーブル内の列です：
-
作成時間 - ストーリーが生成された時間
-
最終更新 - 新しいターゲットや判定の変更など、最新のストーリー更新の時間
-
インディケーション - ストーリーの攻撃指標。 インディケーションについて詳しくは、インディケーションカタログの使用を参照してください
-
をクリックして、このストーリーの検出&レスポンスストーリーページを新しいタブで開きます
-
インジケーションの詳細を知るには、
をクリックします
-
-
ソース - ネットワーク内のIPアドレス、デバイス名、またはSDPユーザー名
-
ターゲットの類似性 (最も類似したストーリーのみ) - 機械学習モデルによって計算された、調査されたストーリーと共通するターゲットの類似度レベル (パーセンテージで示されます)
-
一般的なターゲット (最も類似したストーリーのみ) - 調査されているストーリーと共通のターゲットURLやIPアドレス
-
重大度 - ストーリーに関するCatoのリスク分析 (値は1 (低リスク) - 10 (高リスク)の範囲です)
-
ストーリーのステータス - 値には以下が含まれます：
-
オープン - ストーリーは生成され、未解決の状態です
-
保留中 顧客 - ストーリーは顧客に送信され、返答待ちです
-
保留中 アナリスト - セキュリティアナリストからのさらなる情報待ちです
-
クローズ - セキュリティアナリストがストーリーを閉じました
-
再オープン - XOpsプロデューサーがクローズドストーリーに一致する新しいトラフィックを検出し、自動的にストーリーを再オープンしてさらなるレビューを可能にしました。 ストーリーが最初にクローズされた後に12時間またはそれ以上経過した後に検出されたトラフィックに対して、ストーリーが再開されます。 12時間以内にストーリーが再開されることはありません。これにより、緩和またはミュートによるストーリーの処理が可能になります
-
-
アナリストの判断 - アナリストによってストーリーに割り当てられた判定
-
アナリストによる分類 - アナリストによって定義された脅威の種類の詳細な分類
0件のコメント
サインインしてコメントを残してください。