Cato検知&対応は、脅威のためのストーリーを生成する新しいセキュリティレイヤーです。 Catoの高度な相関エンジンがトラフィックデータを分析し、潜在的な脅威に一致すると、ストーリーを生成します。 ストーリーには、共通のプロパティを持つトラフィックフローのデータが含まれており、同じ脅威に関連しています。 ストーリーワークベンチは、各ストーリーの詳細を表示し、脅威を理解し分析するのに役立ちます。 ストーリーを並べ替えたりフィルタリングしたりして、最も重要な潜在的攻撃を見つけ、そのストーリーを詳細に調査することができます。
ストーリーに含まれるデータの例は次のとおりです：
-
ネットワーク内のソース
-
ネットワークトラフィックの外部ターゲット
-
脅威の識別と説明
-
関連する地理的位置
-
関連アプリケーション
-
関連するトラフィックフロー
-
Cato内部データによるターゲットの人気度
-
Cato脅威インテリジェンスアルゴリズムによるターゲットの悪意スコア
ストーリーワークベンチは、アカウント内の潜在的な脅威に対するストーリーの概要を示します。
|
列 |
説明 |
|---|---|
|
ID |
このストーリーのユニークCato ID |
|
作成日 |
ストーリーの最初のトラフィックフローの日付 |
|
更新済み |
ストーリーの最新のトラフィックフローの日付 |
|
リスクスコア |
ストーリーに対するCatoのリスク分析（値は1 - 10） |
|
IoA |
ストーリーの攻撃指標 |
|
ソース |
ストーリーに影響を受けたネットワーク内のデバイスの名前またはIPアドレス |
|
種類 |
|
|
ステータス |
|
ストーリーをレビューする際にコンテキストを提供するために、ソース、表示、ステータス、および種類を含む詳細によって定義されたグループでストーリーを表示できます。 例えば、特定の送信元IPアドレスに関連するすべてのストーリーや、すべてのドメイン占有のストーリーを一緒に表示することができます。 これはストーリーを分析する際に広い視点を提供し、より早く、より正確な結論に到達するのに役立つ可能性があります。
各グループは、そのグループ内のストーリーに対する重大度を強調表示します。高、中、低の重大度のストーリーの数を含みます。
XDRインシデント検出におけるデータをフィルターする方法は2つあります：選択したアイテムでフィルターを自動的に更新するか、フィルターを手動で設定するかです。
フィルターオプションが利用可能なアイテムやフィールドの上にカーソルを置くと、 ボタンが表示されます。 アイコンをクリックしてフィルターオプションを表示します：
-
フィルタに追加 - アイテムをフィルタに追加し、XDRインシデント検出はこのアイテムを含むストーリーのみを表示します。 例えば、特定のリスクスコアのフィルタを適用した場合、画面にはそのリスクスコアを持つストーリーのみが表示されます。
-
フィルタから除外 - このアイテムを除外するようにフィルタを更新し、XDR インシデント検出はこのアイテムを含まないストーリーのみを表示します。
フィルタにアイテムを追加し続けることができ、フィルタを更新してさらに詳細を掘り下げるには、もう一度をクリックしてください。
XDR インシデント検出のデフォルトの時間範囲は、過去2日間です。 ストーリーをより長いまたは短い期間表示するために、異なる時間範囲を選択できます。 詳細については、時間範囲フィルタの設定を参照してください。
XDR インシデント検出の最大日付範囲は90日です。
ストーリーを分析する際に、より詳細な設定のためにストーリーフィルタを手動で設定できます。 フィルターを設定した後、ストーリーフィルタバーに追加され、新しいフィルターに一致するストーリーを表示するために画面が自動的に更新されます。
XDR インシデント検出でストーリーをクリックすると、別の画面で詳細を調査できます。 この画面には、潜在的な脅威を評価するのに役立ついくつかのウィジェットが含まれています。 脅威ハンティングや使用量の異常に関するストーリーのデータを分析するための特化したウィジェットがあります。
これらは脅威ハンティングストーリーのためのウィジェットです：
|
アイテム |
名前 |
説明 |
||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
1 |
ストーリーの概要 |
ストーリーに関する基本的な情報の概要、以下を含む：
|
||||||||||||||||||||||||||||||||
|
2 |
ストーリーのタイムラインを表示し、ストーリーの判定や深刻度の変更、新しいターゲットが識別された時期などを示します |
|||||||||||||||||||||||||||||||||
|
3 |
詳細 |
ストーリーを分析するための重要な情報、脅威の説明、関連トラフィックで検出されたカトの脅威シグネチャ、および脅威に対して識別されたMITRE ATT&CK®テクニックを含む。 MITRE ATT&CK®フレームワークについて詳しくは、MITRE ATT&CK® ダッシュボードの操作をご覧ください。
|
||||||||||||||||||||||||||||||||
|
4 |
送信元 |
脅威によって影響を受けたネットワーク内のデバイスに関する基本情報 |
||||||||||||||||||||||||||||||||
|
5 |
攻撃の地理的位置情報 |
ネットワーク内の送信元（オレンジ色の位置）および外部送信元（赤色の位置）の地理的な位置を示します。 送信元を繋ぐ矢印はトラフィックの方向を示します |
||||||||||||||||||||||||||||||||
|
6 |
攻撃分布 |
攻撃関連フローの時間配分。
|
||||||||||||||||||||||||||||||||
|
7 |
ターゲット |
ネットワークサイト外部の潜在的に悪意のあるソースに関するデータを表示します。
|
||||||||||||||||||||||||||||||||
|
8 |
攻撃関連フロー |
攻撃に関連するトラフィックフローの代表的なサンプルのデータを表示します。
|
これらは使用量の異常ストーリーのウィジェットです：
|
アイテム |
名前 |
説明 |
|---|---|---|
|
1 |
ストーリーの概要 |
ストーリーについての基礎情報の概要を提供し、以下を含みます：
|
|
2 |
ストーリーを分析するためのキー情報、脅威の説明と概要、およびその脅威に特定されたMITRE ATT&CK®技術を含む。 MITRE ATT&CK®フレームワークの詳細については、MITRE ATT&CK®ダッシュボードの操作をご覧ください。
|
|
|
3 |
異常の分布 |
過去14日間の異常な行動のグラフ
|
|
4 |
トップホスト |
異常に関連するトップホスト、関連する詳細が含まれています。 例として、上り帯域幅の異常では、ホストからのアップロード数が表示されます
|
|
5 |
トップアプリケーション |
異常に関連するトップアプリケーション、関連する詳細が含まれています。 例として、上り帯域幅の異常では、アプリからのアップロード数が表示されます
|
|
6 |
トップサーバー/宛先 |
異常に関連するトップサーバーと宛先、関連する詳細が含まれています。 例として、上り帯域幅の異常では、サーバーへのアップロード回数が表示されます
|
0件のコメント
サインインしてコメントを残してください。