Cato XOpsサービスへようこそ

脅威防止 - Cato の XOps 脅威防止プロデューサーは、IPS やアンチマルウェアなどの Cato のリアルタイム セキュリティ サービスによって生成されたイベントで、一連の攻撃行動を検出します。 脅威防止ストーリーは、アナリストが即時かつ高信頼の脅威に集中するのを手助けします。

脅威防止ストーリーは通常、セキュリティ サービスのいずれかによってブロックされたトラフィックのイベント、つまり相関されたブロック イベントに基づいています。 しかし、トラフィックが既にブロックされているとはいえ、このトラフィックが進行中の脅威に関係している可能性があります。 XOps ストーリーでは、疑わしいトラフィックのコンテキストと詳細を調査して、さらなる緩和が必要な脅威がまだ存在するかどうかを判断するのに役立てることができます。

脅威防止ストーリーの詳細については、Drilling-Down and Analyzing XOps Security Stories を参照してください。

脅威ハンティング - 脅威ハンティング プロデューサーは、膨大な量の過去のトラフィック データを保持するデータ レイク を継続的にスキャンして、潜在的な脅威を示すトラフィック パターンを検出します。 脅威防止プロデューサーが最近のイベントに焦点を当てているのに対し、脅威ハンティングプロデューサーは保存されたトラフィックデータに時間とともに相関を求めます。 正確性を確保するために、1 週間分のデータにわたって相関関係が特定されます。 さらに、脅威防止プロデューサーがイベントログのデータを見るのに対し、脅威ハンティングプロデューサーはトラフィックフローからより広いデータセットを分析します。 これにより、脅威ハンティングプロデューサーは、従来の方法では検出が困難な、より回避しやすい脅威を検出することができます。

以下は、サイバースクワッティングフィッシング脅威に関連する40の異なるトラフィックフロー（シグナル）を特定した脅威ハンティングストーリーの概要ページです:

脅威ハンティングストーリーについての詳細は Drilling-Down and Analyzing XOps Security Stories を参照してください。

使用異常 - Catoのユーザーとエンティティの動作分析(UEBA)機能の一部として、このプロデューサーは、機械学習アルゴリズムによって計算されたベースラインと比較して、ユーザーおよびサイトのネットワーク活動の逸脱を生成します。 例えば、特定のユーザーが通常よりも多くの上流帯域幅を使用していることが検出されます。

使用異常ストーリーについての詳細は Analyzing XOps UEBA Stories for Usage and Events Anomalies を参照してください。

イベント異常 - CatoのUEBA機能のもう1つの要素として、このプロデューサーは、ネットワーク上のエンティティが通常とは異なる多くのセキュリティイベントを引き起こすことを検出します。 例えば、特定の方向に向けられたトラフィックに対して、ユーザーが通常では考えられないほど多くのIPSブロックイベントに関連付けられている場合、ユーザーのデバイスに潜在的な感染があることを示す可能性があります。

イベント異常ストーリーについての詳細は Analyzing XOps UEBA Stories for Usage and Events Anomalies を参照してください。

エクスペリエンス異常: 特定のサイトやアプリケーションのアプリケーションエクスペリエンスにおける異常な変更を検出します。 アプリケーションを14日間モニタリングした後、TTFB（最初のバイトまでの時間）を使用してベースラインを作成します。 プロデューサーはトラフィックを1日に一度確認し、アプリケーションエクスペリエンスがベースラインと著しく異なる場合にストーリーを生成します。 ストーリーは、影響を受けたサイト、アプリケーション、トラフィックフロー、パフォーマンスの問題を確認するのに役立ちます。

アカウント運用: ユーザー、サイト、サービスに影響を与える可能性のあるアカウントレベルの問題を検出します。 これには、ディレクトリ同期の失敗、ライセンス使用量の過多、証明書の期限切れ、コネクタの問題、その他設定または運用上の問題が含まれます。 プロデューサーは問題を理解し、そのスコープと影響を確認し、通常の運用を復元するためのガイド付き修復手順に従うストーリーを生成します。

予測インサイト: サービスに影響を与える前にパフォーマンスと可用性のリスクを検出します。 これは、ネットワークのトレンド、リソース使用状況、設定のコンテキストを分析し、問題の発生を予測します。 サイトのソケットが許容されるCPU使用率を超えると予想される場合に、ストーリーを生成できます。 ストーリーは予測を確認し、問題が重大になる可能性がある時期を理解し、ガイド付き修復手順に従うのに役立ちます。

Microsoft Endpoint Alerts - Microsoft Defender for Endpoint を使用する顧客は、Defender アラートデータを Cato XOps と統合して、エンドポイントデバイスのためのストーリーを生成することができます。 Microsoftエンドポイントアラートのプロデューサーは、Defender アラートを同一デバイス上で24時間以内に関連付けてストーリーを作成します。 エンドポイントアラートストーリーには、Defenderによって検出されたアラートに関するすべての関連証拠が含まれています。 このストーリーによって、エンドポイントに焦点を広げることで、ネットワーク内の潜在的な脅威のより完全な概要を把握することができます。

Microsoft Defender for Endpoint と Cato XOps の統合についての詳細は、Microsoft Defender for Endpoint Alerts: Configuring the XOps Integration を参照してください。

Microsoft Entra ID Alerts - Microsoft Entra ID Protection からのアラートデータを統合して、Cato XOps ストーリーを生成できます。 これにより、アナリストはリスキーなサインインデータをXOps調査のより広いコンテキストに含めることができます。 Cato Entra Identity Alertエンジンは、同じユーザーのEntra ID保護アラートからデータを相関させて24時間以内にストーリーを作成します。

Entra ID アラートと Cato XOps の統合についての詳細は、Microsoft Entra ID: Configuring the XOps Integration を参照してください。

クラウド検出と対応: Wizの問題を使用してクラウド環境のリスクを検出します。 これには、安全でない構成、脆弱なアプリケーション、さらされた資格情報、脅威の検出が含まれます。 プロデューサーは、Wizの問題をほぼリアルタイムで処理し、Stories Workbenchでストーリーを生成します。 これらのストーリーは、WizのクラウドインテリジェンスとCatoのコンテキストを組み合わせて、クラウドリスクを調査し、環境を超えた攻撃を特定するのに役立ちます。

Catoエンドポイントアラート - Cato EPPソリューションは、エンドポイントデバイスのストーリーを生成するためにCato XOpsと統合します。 Catoエンドポイントアラートプロデューサーは、24時間以内に同じデバイスで発生したすべてのCato EPPアラートからデータを相関させて、ストーリーを作成します。 Catoエンドポイントアラートストーリーには、Cato EPPによって検出されたすべての関連証拠が含まれています。

Cato エンドポイント アラート ストーリーについての詳細は、Cato Endpoint Protection (EPP): Configuring the XOps Integration を参照してください。

SentinelOne アラート - SentinelOne を使用する顧客は、SentinelOne EDR からデータを統合して、エンドポイント デバイスのストーリーを生成できます。 SentinelOneプロデューサーは、90日以内にエージェントUUID（デバイスID）と脅威ファイルハッシュに基づいてSentinelOne EDRインシデントを相関させて、ストーリーを作成します。 これらのストーリーには、SentinelOneによって検出されたインシデントに関するすべての関連証拠が含まれています。 ストーリーは、元のアラートが生成された後、ほぼリアルタイムで作成されます。

SentinelOne アラートの統合についての詳細は、SentinelOne EDR: Configuring the XOps Integration を参照してください。

CrowdStrike アラート - CrowdStrike を使用する顧客は、インシデント ID に基づいて CrowdStrike 検出からのデータを統合できます。 これらのストーリーには、CrowdStrikeによって識別された検出に関するすべての関連証拠が含まれています。 ストーリーは、元のアラートが生成された後、ほぼリアルタイムで作成されます。

CrowdStrike アラートの統合についての詳細は、CrowdStrike: Configuring the XOps Integration を参照してください。

サイト運用 - Cato XOpsは、ネットワーク運用をセキュリティ運用と一つのプラットフォームに統合する「ネットワークXDR」として正式に知られる「Site Operations」という独自のAIOpsプロデューサーを備えています。 このプロデューサーは、接続性やパフォーマンスに関連するさまざまな指標を検出し、ネットワークに関する問題のためのストーリーを生成します。 例えば、WANリンクが断続的に高いパケットロスを経験している場合、プロデューサーはリンクに関連するすべてのデータを含む1つのストーリーを作成します。

Cato XOps のネットワークストーリーについてさらに詳しくは、サイトオペレーションストーリーを確認してください。