この記事では、Detection & Response Storyページを使用して、アカウント内の潜在的な脅威のストーリーを分析する方法について説明します。
ストーリーワークベンチでストーリーをクリックすると、Detection & Response Storyページの詳細を掘り下げて調査できます。 このページにはストーリーの概要と関連するストーリーの概要が含まれています。 概要にはXOpsエンジンによって特定された潜在的な脅威を評価するためのウィジェットが多数含まれています。一方、関連するストーリーの概要は、分析のためにストーリーをより広い文脈に配置するのに役立ちます。
ストーリーワークベンチの掘り下げには、AIによって生成された自然言語のストーリー記述を作成できるツールが含まれており、これによって豊富なコンテキストが提供され、ストーリーを迅速に評価するのに役立ちます。 ストーリーサマリーは、ストーリーの現在の状態を反映するために動的に生成されます。 ストーリーが新しい情報で更新された場合、変更を反映するためにサマリーを再生成できます。
- AIストーリーの概要は管理者によってオンデマンドでのみ生成されます
ストーリーデータをサードパーティのAIサービスに送信する際の堅牢なデータセキュリティのために、CatoはXOpsプラットフォーム内にすべての機密データが保持されるよう、トークン化を使用しています。 これは、機密情報を「トークン」という一意の識別子に置き換えることを含み、データを無認可の存在に対して意味のないものにします。 機密データはサードパーティサービスにさらされることはありません。 このアプローチは、ストーリーの詳細の機密性を確保し、堅牢なデータプライバシーとセキュリティ標準への取り組みに適合します。
注意
ノート: 生成AIの制限により、ストーリーサマリーで提供される情報には不正確さが含まれることがあります。
検出と対応のストーリーには、特定された脅威を評価するためのウィジェットが含まれています。 ストーリー内で、関連するアラートやプロセス、ファイル、レジストリ値、スケジュールされたタスク、ネットワーク活動などの証拠を確認できます。 この証拠は以下の何れかで提示されます：
-
特定のアラートのコンテキストで提示される時系列プロセスツリー。 これは疑わしいと見なされたイベントのシーケンスと、アラートを生成した順序を理解するのに役立ちます。
ノート: API接続の問題により、これは一部のストーリーで利用できない場合があります。
- 証拠テーブルは、ストーリーの証拠の概要を提供します。 これにより、端末デバイスで特定の悪意のあるまたは疑わしい活動の普及状況をより広く評価するのに役立ちます。
これらはストーリー概要ウィジェットです：
注意
ノート: すべてのウィジェットがすべてのストーリーに含まれるわけではありません。 各ストーリーのウィジェットは、ストーリータイプと利用可能なデータに依存します。
| 名前 | 説明 | ||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| ストーリーの概要 |
概要は、次を含むストーリーの基本情報の概要を表示します：
アクションドロップダウンメニューを使用して、ストーリーを管理するを選択し、アナリストの判定、アナリストの重大度、ステータス、分類などのストーリー設定を変更します。 関連するストーリータブは、調査中のストーリーに対して、同じソースや異なるソースを含む類似した特徴を持つストーリーを迅速に確認することでコンテキストを提供します。 |
||||||||||||||||||||||||||||
| ストーリータイムライン | ストーリーの判定やセベリティの変更、新たに特定された関連ターゲットなど、ストーリーのタイムラインを表示します。 | ||||||||||||||||||||||||||||
| 詳細 |
次を含むストーリーの分析における重要な情報：脅威の説明、および脅威に対して特定されたMITRE ATT&CK®の技術。 その他の詳細は以下の通りです：
MITRE ATT&CK®フレームワークの詳細については、MITRE ATT&CK® ダッシュボードの利用をご覧ください。
|
||||||||||||||||||||||||||||
| エンティティ | ストーリーが発生したエンティティ。 これらはユーザー、サイト、データストア、アプリケーションなどであり得ます。 | ||||||||||||||||||||||||||||
| 警告/インシデント/検出 |
ストーリーに関連するアラートの詳細を表示します。
これらはテーブル内の列です：
|
||||||||||||||||||||||||||||
| 証拠 |
さまざまなストーリーアラートについて、証拠で識別されたプロセス、ファイル、およびレジストリ値の詳細を集約します。 証拠テーブルのいくつかの列はすべてのタイプの証拠で共有され、一部はタイプごとに固有です。 すべてのタイプの証拠に表示される列は以下です：
これは各証拠タイプの特定の列です:
|
||||||||||||||||||||||||||||
| 攻撃の地理位置情報 | あなたのネットワーク内のソース（オレンジの場所）と、脅威に関連する外部ソース（赤い場所）の地理位置を示します。 ソースを結ぶ矢印はトラフィックの方向を示します | ||||||||||||||||||||||||||||
| ターゲットアクション |
各ターゲットに関連するイベントは、次の情報を含みます: |
||||||||||||||||||||||||||||
| 攻撃の分布 |
攻撃に関連するフローの時間分布です。
|
||||||||||||||||||||||||||||
| ターゲット |
ストーリーに関連してあなたのネットワークサイト外部の潜在的に悪意のあるソースのデータを示します。
|
||||||||||||||||||||||||||||
| 攻撃関連フロー |
攻撃に関連するイベントの代表的なサンプルを示します。
|
||||||||||||||||||||||||||||
|
サインインイベント (このウィジェットにはMicrosoft Entra IDコネクタが必要です) |
警告の日付とそれに続く2日間のユーザーのサインインイベントからのデータの内訳を示すチャートです。 ドロップダウンを使用して、チャートに表示するデータタイプを選択します。 これらはオプションです:
|
||||||||||||||||||||||||||||
|
ユーザーのサインインイベント （このウィジェットにはMicrosoft Entra IDコネクタが必要です） |
警告の日付およびその前2日間のユーザーのサインインイベントからのデータを表示します。 これはテーブル内の列です:
|
関連ストーリーのサマリーは、調査中のストーリーの文脈を提供し、同じソースを持つストーリーや、ネットワーク上で異なるソースを持つ類似の特徴を持つストーリーを素早く確認できるようにします。 サマリーは、関連するストーリーごとの主要な詳細を示し、関連するストーリー用に予めフィルタリングされたストーリー作業台や、特定の関連ストーリーの検出＆応答ストーリーページを簡単に開くことができます。
これは、関連ストーリーのサマリー内のテーブルです:
- トップ類似ストーリー テーブルでは、ネットワーク内の他のソースが、このストーリーを調査中のインディケーションやターゲットといった類似した特徴を持つストーリーに関与しているかどうかを素早く確認できます。 このテーブルは、ターゲット類似性 スコアに基づいて、最大5件の類似ストーリーを表示します。 このテーブルは特定の期間に制限されません。
- ソースに対するストーリー テーブルは、選択した期間内に、このストーリーで生成されたすべてのストーリーを表示します。 デフォルトの時間範囲は過去2週間です。 これにより、このソースの活動の広範な文脈を評価できます。 例えば、これにより、このストーリーの行動がこの特定のソースにとって異常または通常であるかどうかを判断するのに役立ちます。
以下のアクションは両方のテーブルで実行可能です:
- ワークベンチで表示 をクリックして、テーブル内のストーリーを表示するように予めフィルタリングされたストーリー作業台を開きます
- ストーリーの行をクリックして、そのストーリーの検出＆応答ストーリーページを開きます
これは、関連ストーリーのテーブル内の列です:
- ストーリーが生成された作成時間
- 最新のストーリー更新の最終更新 （例: 新しいターゲットまたは変更された判決）
-
インディケーション - ストーリーの攻撃の指標。 インディケーションについて詳しくは、インディケーションカタログの使用をご覧ください.
-
をクリックして、このストーリーの検出と対応ページを新しいタブで開きます。
-
をクリックして、表示に関するより詳しい情報を参照してください。
-
- ソース - ストーリーに関与しているネットワーク上のデバイス名またはSDPユーザーなどのIPアドレス
- ターゲット類似性 (トップ類似ストーリーのみ) - 調査中のストーリーと共通するターゲットの類似度レベル。機械学習モデルによって計算されたパーセンテージで示されます。
- 共通ターゲット (トップ類似ストーリーのみ) - 調査中のストーリーとの共通ターゲットのURLまたはIPアドレス
- 重大度 - Catoによるストーリーのリスク分析（値は1（低リスク）から10（高リスク）まで）
-
ストーリーのステータス - 値を含む:
- オープン - ストーリーが生成され解決されていない
- 顧客保留中 - ストーリーが顧客に送信され、応答待ち
- アナリスト保留中 - セキュリティアナリストからのさらなる情報を待っている
- クローズ - セキュリティアナリストがストーリーを閉じた
- 再オープン - XOps プロデューサーが閉じたストーリーと一致する新しいトラフィックを検出し、さらにレビューできるようにストーリーを自動的に再オープンしました。 ストーリーは、最初に閉じられたストーリーから12時間以上経過して検出されたトラフィックについて再度開かれます。 12時間以内であれば、ストーリーを軽減またはミュートすることで処理できるようにするために再度開くことはありません。
- アナリストの評価 - アナリストによってストーリーに割り当てられた評価
- アナリストの分類 - アナリストによって定義された脅威タイプの詳細な分類
0件のコメント
サインインしてコメントを残してください。