ケースを処理する🔗

Secureworks® Taegis™ XDR で検出とイベントを調査する際は、ケースを使用して関連情報をまとめて収集し、チームと共有します。お客様のテナント内の他のユーザーは、コメントの追加、関連データの追加、ケースのステータス変更などを行うことで、ケースを表示して処理できます。

注意

以下の内容は、ケースの編集方法に影響します。

クローズ済み ステータスのいずれかが設定されたケースは、ステータス フィールドと アーカイブ アクション以外は読み取り専用です。
アーカイブ済みケースは、アーカイブ解除 アクション以外は読み取り専用です。

Secureworks® Taegis™ MDR を契約している場合、ケースは Secureworks が脅威関連のアクティビティをお客様の組織に対して文書化、共有、エスカレーションする方法でもあります。

注意

ケースは契約期間中保持されます。ただし、デフォルトでは検出データとイベントデータは 12 か月間保持され、保持期間を過ぎるとケース内には表示されなくなります。お客様は、XDR Data Retention Policy に記載されているとおり、追加料金で保持期間を延長できます。

ケースページに移動する🔗

Taegis Menu から ケース を選択すると、現在のテナント内のすべてのケースを表示できます。これには、最初に作成したユーザーと作成日時、現在のステータス、最終更新日時、関係するエンティティ、および関連する検出、イベント、またはエージェントの数に関する情報が含まれます。

ヒント

ケースには、Detection Triage Dashboard の Recent Cases ウィジェットと、Taegis MDR Dashboard の Ongoing Cases ウィジェットからもアクセスできます。

ケースをフィルタリングする🔗

デフォルトでは、テーブルには過去 1 年間に作成され、アーカイブされていないすべてのケースが表示されます。ケースのテーブルをフィルタリングするには、次の操作を行います。

ケーステーブルの上にあるステータスカードを選択します。これにより、各ステータスごとのすべてのケース数が表示されます。数字は、その状態にあるケース数を示します。
- 合計 — Archived ステータスのものを除くすべてのケース。
- オープン — オープンステータスのケース。
- アクティブ — アクティブステータスのケース。
- アクション待ち — アクション待ちステータスのケース。
- 保留中 — 保留中ステータスのケース。
テーブル左側の折りたたみ可能なフィルターメニューを使用して、一致するケースの一覧を絞り込みます。
- フィルターを選択すると、テーブルは動的に更新され、結果件数には更新後のフィルタリング済み一覧が反映されます。
- フィルターメニュー右上の Reset Filter Selection アイコンを選択すると、すべてのフィルターを一度にクリアできます。
- メニューの開閉状態は、別の場所に移動した際にユーザー設定として保存されます。
列ヘッダーの右側にあるメニューアイコンを選択して、テーブル内の列を編集およびフィルタリングします。
Show Archived フィルターを選択して、アーカイブ済みおよびクローズ済みのケースをテーブルに表示します。詳細については、アーカイブ済みケースを参照してください。

ヒント

ケーステーブルでケースタイトルにカーソルを合わせると、完全なケースタイトルを含むツールチップが表示されます。

ケースの詳細を確認する🔗

テーブル内のケース名をクリックすると、ケースヘッダー、ケースの概要、主な発見事項、タイムライン、コメント などの主要情報の概要ビューを表示するスライドアウトが開きます。

注意

概要ビューではコメントを確認できますが、コメントを追加できるのは完全なケース詳細ページのみです。詳細については、ケースにコメントを追加するを参照してください。

スライドアウト内の 新しいタブ アイコンをクリックすると、完全なケース詳細ページが開き、すべての詳細を確認できます。

Ask Sophos AI🔗

テナント管理者は、ケース上部の Ask Sophos AI をクリックして、Sophos AI アシスタントを使用してケースを調査できます。

アシスタントの使用方法については、AI Assistant Overview を参照してください。

ケースヘッダー🔗

ケース詳細の上部では、ケース名の左側にケースのリスクスコアが表示されます。詳細については、ケースのリスクスコアを参照してください。

リスクスコアの右側には、ケースの一意の識別子である ID とケース名が表示されます。名前の右側にある Edit アイコンをクリックすると、ケース名を変更できます。

ケース名の下には、次の情報が表示されます。

タイプ: ケースのカテゴリ。詳細については、ケースタイプを参照してください。
優先度: お客様の組織に対するアクティビティの重要性と潜在的な影響を強調する指標。詳細については、ケース優先度を参照してください。
ステータス: ケースの現在のステータス。詳細については、ケースステータスを参照してください。
担当者: ケースの担当者。
作成者: ケースを作成したユーザーまたはシステム。
作成日時: ケースが作成された日時。
最終更新: ケースが最後に更新された日時。
タグ: ケースに追加されたタグ。

ケース詳細には、概要、証拠、対応、履歴、エンリッチメント の各タブがあります。

ヒント

証拠タブと履歴タブにカーソルを合わせると、サブタブのドロップダウンリストが表示され、任意のセクションに直接移動できます。

概要タブ🔗

概要タブには、次のセクションが表示されます。

ケースの概要🔗

ケースの概要セクションでは、Sophos AI を使用して、利用可能なケースデータに基づく自然言語の概要を生成します。概要はケースが最初に作成されたときに自動生成されますが、ケースが更新されても自動的には更新されません。

概要が最後に生成されて以降にケースに加えられた変更を反映するように概要を更新するには、セクション上部の Regenerate をクリックします。

概要が最後に生成された日時は、セクションの下部に表示されます。

注意

概要の品質は、ケースに追加された検出やイベント、主な発見事項の内容など、利用可能なケースデータに依存します。

ケース詳細🔗

ケース詳細セクションには、ケースに関する次の情報が表示されます。

担当者 — 現在ケースが割り当てられている相手。
タイプ — ケースのカテゴリ。詳細については、ケースタイプを参照してください。
優先度 — お客様の組織に対するアクティビティの重要性と潜在的な影響を強調する指標。詳細については、ケース優先度を参照してください。
ステータス — ケースの現在のステータス。詳細については、ケースステータスを参照してください。
アーカイブ済み — 該当する場合、ケースがアーカイブされた日時。
クローズ理由 — 該当する場合、ケースをクローズした際に入力された任意の理由。詳細については、ケースをクローズするを参照してください。
チケット — Zendesk など、お客様の組織またはチケットシステムの参照番号。

注意

このフィールドに対する手動変更は、お客様のチケットプロバイダーと連携しているプレイブックまたはその他の自動化プロセスによって上書きされる場合があります。
タグ — ケースに追加できるタグ。

ケースタイプ🔗

お客様の組織で実施しているさまざまな種類のケースを分類します。

Type	Description
セキュリティ調査	XDR の検出によって識別されたケースのデフォルトタイプ。
インシデント対応	インシデント対応エンゲージメントに関連する証拠とケース詳細を収集するために使用します。
脅威ハンティング	特定されていない隠れた脅威を調査するために使用します。
OT ケース	OT 関連のケースに使用します。
情報提供	情報を伝達する目的でのみ使用します。このタイプのケースは、セキュリティ関連インシデントを示すものではありません。

Secureworks は、Secureworks ユーザーのみが利用できる次のケースタイプも使用する場合があります。

Type	Description
Taegis MDR 脅威ハンティング	Taegis MDR Service の毎月の事前対応脅威ハンティング。
CTU 脅威ハンティング	Secureworks Counter Threat Unit (CTU™) によって実施される脅威ハンティング。
Taegis MDR Elite 脅威ハンティング	Elite Threat Hunting Service の一部として使用します。
Secureworks インシデント対応	Secureworks IR へのエスカレーションを自動化するために使用します。
Unlimited Response	Taegis MDR のお客様向け Unlimited Response の一部として使用します。
Taegis MDR OT ケース	Taegis MDR for OT Service の一部として、OT 関連のケースに使用します。

ケース優先度🔗

ケースを作成する際は、次の表に示すケース優先度を使用して、お客様の組織に対する関連アクティビティの重要性と潜在的な影響を強調するとともに、各ケースに対応すべき順序を判断します。ケースを処理する中で優先度を変更することもできます。

Secureworks によって作成されたケースでは、アナリストが評価した脅威と関連アクティビティの潜在的影響に基づいて、アナリストが手動で優先度を設定します。自動的に作成されるケースについては、ケーステンプレートによって優先度が設定される場合もあります。

Priority	Description
重大	即時の対応を必要とする差し迫った脅威をもたらすアクティビティ。ランサムウェアの発生、攻撃者による hands on keyboard、データ流出、認証情報ダンプ、内部ドメインおよびネットワーク列挙、永続化の作成と実行などが該当する場合があります。
高	迅速な対応を必要とする、潜在的に重大なアクティビティ。たとえば、ホスト感染、盗まれた認証情報、悪用の成功など。
中	ログイン失敗や脆弱性スキャンなど、影響が拡大する可能性があるアクティビティ。
低	インスタントメッセージング、アドウェア、ポートスキャンなど、影響を引き起こす可能性が低いアクティビティ。

ケースステータス🔗

ケースのステータスは、ケースのトリアージ、処理、解決に伴って変化し、チームのワークフローを追跡できます。

Status	Description
オープン	ケースが作成されています。
アクティブ	ケースが進行中です。
アクション待ち	ケースを継続するために追加のアクションが必要です。詳細については、ケースをアクション待ちに変更するを参照してください。
保留中	ケースは一時停止されています。
クローズ済み：セキュリティインシデントを確認	お客様の組織のシステムまたはデータが侵害されたか、それらを保護するために講じられた対策が失敗しました。ケースは完了しています。
クローズ済み：承認されたアクティビティ	アクティビティは承認済みまたは想定内です。ケースは完了しています。
クローズ済み：脅威を抑制済み	セキュリティインシデントに関連する脅威は、セキュリティ制御によってすでに抑制されています。ケースは完了しています。
クローズ済み：脆弱性の対象外	対象システムは問題となっているエクスプロイトの脆弱性対象ではないため、このケースはセキュリティインシデントを構成しません。ケースは完了しています。
クローズ済み: 誤検知の検出	検出が示したアクティビティは発生していません。これはセキュリティインシデントではないため、ケースは誤検知としてクローズされます。
クローズ済み：原因不明	アクティビティの根本原因は特定されておらず、それ以上のアクティビティも検知されていません。ケースは完了しています。
クローズ済み：情報提供	アクティビティに対して実施された分析では、特筆すべき発見事項には至りませんでした。ケースは完了しています。

注意

ケースはトリアージ中に Draft ステータスになる場合があり、XDR のケースからは表示できません。ケースをエスカレーションする必要があることが確認されると、Draft ステータスは削除され、ケースはエスカレーションされて表示可能になります。

ヒント

Taegis MDR を契約している場合、Taegis MDR Dashboard は、含まれる統計を生成するためにケースの解決状況に依存します。

主な発見事項🔗

主な発見事項セクションには、お客様と共同作業者がケースの分析を記録するためのスペースがあります。ケースの進行に応じて独自のレポートを記述するには、Pencil アイコンをクリックします。

新しいケースを作成する際、主な発見事項セクションを空白にするか、Security Investigation テンプレートを選択できます。このテンプレートでは、主な発見事項に次のセクションが入力されます。

Incident Summary
Recommendations
Technical Details
References

ヒント

主な発見事項セクションは Markdown formatting をサポートしているため、ケースと発見事項を簡単に書式設定できます。

証拠タブ🔗

証拠タブには、ケースに関連する収集済みドキュメントが 1 か所にまとめて表示され、次のサブタブが含まれます。

検出 — ケースに追加された検出。ケース開始に使用された最初の検出には、Genesis Detections であることを示すフラグアイコンが付きます。
エンティティ — ケースの一部であるイベントから抽出されたすべてのエンティティ。エンティティは、ユーザー名、ホスト名、IP アドレス、ファイルなど、インシデントで役割を果たしたデータです。詳細については、エンティティを参照してください。
イベント — ケースに追加されたイベント。ケース開始に使用された最初のイベントには、Genesis Event(s) であることを示すフラグアイコンが付きます。
エージェント — ケース内の検出またはイベントの影響を受けたデバイス。
検索 — ケースにリンクされた検索クエリ。選択すると検索が開きます。

注意

ケースから検索クエリを削除しても、検索クエリ自体が削除されるわけではなく、両者のリンクが解除されるだけです。
添付ファイル — ケースに関連するファイル添付を表示および管理します。最大ファイルサイズは 2GB です。

エンティティ🔗

エンティティサブタブのテーブルからエンティティ名を選択すると、右側にエンティティ詳細のサイドドロワーが開きます。エンティティ詳細には、タイプに応じて、エンティティが最初に確認された日時と最後に確認された日時、関連エンティティ、関連検出、利用可能な場合は脅威インテリジェンスなど、追加情報が含まれます。サイドドロワービューから 新しいタブ アイコンを選択すると、完全なエンティティ詳細ページが開きます。

ヒント

ケースの右サイドバーから Entity Graph を選択すると、Entity Graph が起動し、ケースに関連付けられたエンティティとその関係および詳細を視覚的に調査できます。詳細については、Entity Graph を使用してケースを詳細に調査するを参照してください。

エンティティを並べ替えてフィルタリングする🔗

エンティティテーブルをカスタマイズするには、次の操作を行います。

列ヘッダーの横にあるメニューアイコンを選択して、列の固定、自動サイズ調整、リセットを行います。
列アイコンを選択して、テーブルに表示する列を選択します。

エンティティに対応アクションを実行する🔗

お客様のテナントで関連する自動化が設定されている場合、エンティティに対して対応アクションを実行できます。エンティティテーブルのアクション列、またはエンティティ詳細のサイドドロワーのいずれかから、3 点アイコンをクリックします。

ヒント

Entity Graph からエンティティに対して対応アクションを実行することもできます。詳細については、Entity Graph を使用してケースを詳細に調査するを参照してください。

CEL Explorer でエンティティを表示する🔗

アクションメニューからCEL Explorerで表示を選択し、CEL式の結果を自動化設定で利用するために、表示中のデータに対してテストできます。詳細については、CEL Explorer を参照してください。

対応タブ🔗

対応タブには、ケースに関連付けられたエンティティで利用可能な対応アクションを確認して実行するための一元的な場所が用意されています。単一のエンティティに対してアクションを実行することも、複数のエンティティに一度に実行することもできます。

注意

ケース自体に対して実行されるアクションは、概要ビューの 3 点アイコンまたは完全な詳細ページの Actions メニューをクリックすると確認できます。

表示されるアクションの一覧は、次の内容に基づいて動的に計算されます。

ケースに含まれるエンティティタイプ
製品の利用資格と権限

Run Action をクリックすると、そのアクションを実行できるエンティティの一覧が表示されます。この一覧には、アクションの設定で除外したエンティティは含まれません。詳細については、アクションの追加を参照してください。

ケース内に存在するエンティティに対して利用可能な対応アクションがある場合は、次のようにアクションを実行します。

実行したいアクションの Run Action をクリックします。
スライドアウトが表示され、アクションを実行できるエンティティが読み込まれます。
チェックボックスをクリックして、目的のエンティティを選択します。
Confirm and Execute をクリックします。

アクションの実行後、詳細を含むコメントがケースに追加されます。ケースに対する対応アクション実行の完全な履歴と各実行の詳細を表示するには、履歴タブに移動し、Execution History サブタブをクリックします。

履歴タブ🔗

履歴タブには、ケースの履歴に関連するデータが 1 か所にまとめて表示され、次のサブタブが含まれます。

タイムライン🔗

タイムライン サブタブには、ケースの検出、イベント、アクションの時系列ビューが表示され、ケースの範囲と進行状況を視覚化するのに役立ちます。

デフォルトでは、タイムラインにはケース作成の 30 日前から、最後のケース更新の 30 日後までのすべての検出、イベント、監査履歴アクションが表示されます。日時ピッカーを使用して期間を変更します。
フィルターを使用して、アクティビティタイプごとに含めるまたは除外することができます: 検出、イベント、および/または 監査履歴。

注意

ケースタイムラインは、新しい Detections インターフェイスが一般提供されて以降に作成された検出のみをサポートします。

監査ログ🔗

監査ログサブタブには、ケースに関連する監査ログのテーブルが表示されます。

実行履歴🔗

実行履歴サブタブには、ケースに対するプレイブック実行の履歴が表示されます。行のタイムスタンプをクリックすると、プレイブック実行ログを表示する詳細サイドドロワーが開きます。

エンリッチメントタブ🔗

エンリッチメントタブには、そのケースで実行されたエンリッチメントプレイブックインスタンスが表示されます。エントリをクリックすると、プレイブックの出力とその実行履歴を表示できます。

ケース詳細の右側にあるサイドバーには、次のツールへのリンクがあります。

ケースコメント: コメントアイコンをクリックすると、ケースのコメントを確認および追加できます。詳細については、ケースにコメントを追加するを参照してください。
Entity Graph: Entity Graph アイコンをクリックすると、ケースに関与するエンティティと関連データを相関付けた視覚表現が開きます。詳細については、Entity Graph を調査するを参照してください。
CyberChef: CyberChef アイコンをクリックすると、Sophos XDR でデータを暗号化、エンコード、デコード、分析するために CyberChef が開きます。詳細については、CyberChef を参照してください。

Entity Graph を使用してケースを詳細に調査する🔗

ケースに関連付けられたエンティティを詳しく調査し、それらの関係と詳細を確認するには、ケース詳細の右サイドバーから Entity Graph を選択して Entity Graph を起動します。

ヒント

ケーステーブルのアクション列から Entity Graph アイコンを選択して、Entity Graph を起動することもできます。

ケースにコメントを追加する🔗

ケース詳細の右サイドバーから、ケース内のコメントを確認、追加、返信できます。

ケースに独自のコメントを追加するには、次の手順に従います。

ケース詳細ページを開きます。
右サイドバーのコメントアイコンをクリックして、コメント スライドアウトを開きます。
メッセージを入力します。

ヒント

コメントのテキスト入力フィールドは、基本的な HTML タグと絵文字をサポートしているため、必要に応じて 🙂 、🤔、あるいは 😱 を使用できます。

ヒント

他のユーザーに @ メンションすると、XDR でそのユーザーに通知が送信され、返信できるようになります。

Taegis MDR を契約している場合は、コメントに @secureworks を追加することで、Secureworks Threat Hunter チームと直接やり取りできます。これにより、お客様のサポートチームに通知され、ディスカッションに含まれます。

@ メンションを使用したコメントに返信する場合、新しいコメントは適切な @ メンションで自動的に開始され、対象者が確実に通知を受け取れるようになります。この自動メンションは不要であれば削除できます。
保存を選択します。

ヒント

ハンドルをドラッグして、コメントパネルの幅を調整します。

ケースを引き継ぐ🔗

ケースの現在の所有者は 担当者 と呼ばれます。コメントを追加したりケースを変更したりする他のユーザーは 共同作業者 です。担当者と共同作業者のアバターはケースのヘッダーに表示されます。各ケースには、一度に 1 人の担当者がいます。これは、お客様の組織の誰か、または Secureworks の誰かです。

ケースを特定のユーザーに引き継ぐ方法は 2 つあります。

担当者を選択する🔗

ケース詳細ページを開きます。
現在の担当者の名前を選択します。
担当者を選択します。入力を開始すると、名前またはメールアドレスで一覧を絞り込めます。自分自身、テナント全体、または特定のユーザーを選択できます。Taegis MDR の契約者は、ケースを Secureworks に割り当てることもできます。
ケースのステータスは アクション待ち に変わります。自分自身に割り当てた場合は アクティブ になります。新しい担当者には、アプリ内通知と、受信を選択している場合はメールで通知されます。

ケースをアクション待ちに変更する🔗

ケースのステータスドロップダウンリストから アクション待ち を選択します。
ポップアップモーダルで、アクションを待っているユーザーを選択します。
Assign Case を選択します。
ケースのステータスは アクション待ち に変わります。新しい担当者には、アプリ内通知と、受信を選択している場合はメールで通知されます。

テナント内の別のユーザーとケースを共有するには、共有アイコンをクリックして直接 URL を取得します。

CEL Explorer でケースを表示する🔗

アクションメニューからCEL Explorerで表示を選択し、CEL式の結果を自動化設定で利用するために、表示中のデータに対してテストできます。詳細については、CEL Explorer を参照してください。

ケースをエクスポートする🔗

すべてを CSV にエクスポートする🔗

ケースのテーブルの CSV ファイルをダウンロードするには、次の手順に従います。

Taegis Menu から ケース を選択して、ケースページを表示します。
必要に応じてテーブルをフィルタリングします。

ヒント

列の内容に応じてフィルタリングできますが、最終的な CSV ファイルには可能なすべての列が含まれます。
Actions → Export All as CSV を選択します。ダウンロードの準備ができると、Data Exports テーブルに表示されます。

選択した項目を CSV にエクスポートする🔗

テーブルの単一行の CSV ファイルをダウンロードするには、目的の行のアクション列からエクスポートアイコンを選択します。

複数の選択した行をエクスポートするには、次の手順に従います。

Taegis Menu から ケース を選択して、ケースページを表示します。
必要に応じてテーブルをフィルタリングします。

ヒント

列の内容に応じてフィルタリングできますが、最終的な CSV ファイルには可能なすべての列が含まれます。
エクスポートしたい行の左側にあるチェックボックスを選択します。
Actions → Export Selected as CSV を選択します。ダウンロードの準備ができると、Data Exports テーブルに表示されます。

ケース詳細を PDF にエクスポートする🔗

個々のケースの詳細を PDF ファイルとしてエクスポートすることもできます。これを行うには、次の手順に従います。

Taegis Menu から ケース を選択してケースページを表示し、エクスポートしたいケースの名前を選択します。
ケース詳細ページで、Actions → Export to PDF を選択します。

ケースの PDF をエクスポート
レポートに Top Level Findings および/または Key Findings を含めるかどうかを選択し、Print を選択します。
ダウンロードの準備ができると、Completed Reports に表示されます。

アーカイブ済みケース🔗

ケースが不要になった場合や誤って作成された可能性がある場合は、アーカイブできます。

アーカイブ済みケースを表示するには、次の操作を行います。

フィルターメニューから Show Archived を選択して、アーカイブ済みおよびクローズ済みのケースをテーブルに表示します。
ステータスカードを使用して状態別に表示します。
- Archived — アーカイブされたケース。
- Closed — クローズコードのいずれかを使用してクローズされたケース。
フィルターメニューを使用して、結果をさらに絞り込みます。

個別のケースをアーカイブする🔗

重要

ケースをアーカイブするには、最初にクローズされている必要があります。

個別のクローズ済みケースは、次の 2 つの方法のいずれかでアーカイブします。

ケース詳細ページから Actions → Archive を選択します。

詳細から個別のケースをアーカイブ
ケーステーブルのアクション列から Archive アイコンを選択します。

テーブルから個別のケースをアーカイブ

複数のケースをアーカイブする🔗

重要