検出の詳細🔗
Secureworks® Taegis™ XDR は、検知機からの1つまたは複数のイベントを受け取り、それを 検出 に変換します。検出の詳細を確認して、さらに調査すべきかどうかを判断します。
検出を管理する🔗
必要なロールを持つユーザーは、検出に対して次のアクションを実行できます。
検出の詳細を表示する🔗
XDR 全体のどこからでも検出タイトルを選択すると、その詳細を表示できます。
検出ページのようなアプリケーション内の一部の領域では、検出に関するいくつかの重要な詳細を表示するプレビュー用サイドパネルが開きます。これにより、現在の位置やフィルターを失うことなく、複数の検出を引き続き参照できます。
検出の完全な詳細を表示するには、検出タイトルを選択します。または、
アイコンを選択して、新しいタブで詳細を開きます。
Recent Detectionsウィジェットのような XDR の他の領域では、自動的に完全な検出詳細ページが開きます。
注意
RESEARCH で始まる検出は、その検知機または検出を生成したメカニズムがリサーチモードで動作していることを示しています。これは、検出の実現可能性や誤検知率を検証するプロセスの一環です。
ヒント
Threat Score は、特許出願中の Taegis Prioritization Engine によって検出に割り当てられる、コンテキストを認識した優先度の値です。詳細については、Threat Scoreを参照してください。
検出 CTU Publications 🔗
検出が Secureworks Counter Threat Unit™ (CTU) によって公開された Malware Family または Threat Group にリンクされている場合、検出タイトルと説明にアイコンとリンクが表示されます。
タイトルまたは説明のリンクを選択すると、CTU publication の詳細を表示するサイドパネルが開きます。
Summaryタブ🔗
Affected Entities🔗
Affected Entitiesパネルには、検出内のソースエンティティとターゲットエンティティの詳細が表示されます。
- エンティティをクリックすると、そのエンティティの詳細ページに移動します。このページには、脅威インテリジェンスや関連する検出とケースを含む、そのエンティティについて把握しているすべての詳細が一覧表示されます。
- Shield アイコンをクリックすると、利用可能な脅威インテリジェンスを表示できます。
- Affected Entitiesパネル内の項目にある Magnifying Glass アイコンをクリックすると、それに対してピボットサーチを実行し、さらにトリアージできます。
Detection Details🔗
検出の種類によっては、Detection Detailsパネルに次の情報が含まれる場合があります。
- First and Last Activity — イベントが最初に発生した時刻と最後に発生した時刻
- Inserted At — イベントがログに記録された時刻
-
重大度 — そのアクティビティがお客様の環境に対してどの程度の潜在的脅威をもたらすかを示す尺度です。重大度スコアは1～100の範囲です。スコアが高いほど、そのアクティビティがもたらす潜在的脅威は大きくなります。
注意
検出の重大度レベルが変更されている場合は、メッセージが表示されます。
-
Threat Score — 検出に割り当てられるコンテキスト認識型の優先度値
- 検知機 — 検出を作成したイベントを記録した検知機タイプ
- 信頼度 — 検出が正確であり、不正なアクティビティを表していると当社のシステムがどの程度確信しているかを示す尺度です。信頼度スコアは1～100の範囲です。スコアが高いほど、その検出が実際の不正なアクティビティを示していると当社がより確信していることを意味します。
- ケース — その検出が追加されたケース
- Process Data — プロセスイベントのコマンドライン、プログラムハッシュ、プロセスID、および時間枠
Detection Description🔗
Detection Descriptionセクションでは、Secureworks Counter Threat Unit™ (CTU) によってキュレーションされた検出の概要を提供します。
Taegis AI Detection Analysis🔗
Taegis AI Detection Analysis は、検出ロジックと関連イベントを確認し、その後、検出をわかりやすい言葉で要約します。これにより、検出の優先順位付け、コンテキストの提供、推奨アクションの提示を通じて、アナリストがセキュリティ検出を迅速に理解して対応するのに役立ちます。
View Analysis を選択して、Detection Analysisの概要を生成します。
生成された概要を確認し、thumbs up または down のフィードバックアイコンを使用して、生成されたコンテンツに対するフィードバックを提供します。
Taegis AI Detection Logic Explanation🔗
Taegis AI Detection Logic Explanation は、Taegis Watchlist 検出の背後にある検出ロジックを理解するのに役立ちます。複雑な検出ルールをわかりやすい言葉で説明し、システムが潜在的なセキュリティ脅威をどのように特定したかを要約します。Detection Logic Explanation は、説明が利用可能な場合、Taegis Watchlist検知機によって検知された任意の検出で表示できます。
注意
調査モードにある一部のルールでは、説明を利用できない場合があります。
生成された説明を確認し、thumbs up または down のフィードバックアイコンを使用して、生成されたコンテンツに対するフィードバックを提供します。
Taegis AI Command Line Explanation🔗
Taegis AI Command Line Explanation は、複雑なコマンドラインを理解しやすい言葉に変換します。これは、アナリストがコマンドラインロジックをすばやく理解するのに役立ちます。
Explain Command Lines をクリックして、コマンドラインの説明を生成します。
生成された説明を確認し、thumbs up または down のフィードバックアイコンを使用して、生成されたコンテンツに対するフィードバックを提供します。
IDR Detection Enrichment🔗
Taegis™ IDR のお客様には、該当するID情報が相関付けされ、IDR モジュールで収集されたユーザー情報でエンリッチされた検出内に、指紋アイコン 
も表示されます。
JSONタブ🔗
JSONタブには、展開可能なJSONビューで検出が表示されます。
Eventsタブ🔗
Eventsタブには、検出の作成につながったイベントのテーブルが含まれます。
- イベントの完全なテーブルをエクスポートするには、Actions > Export All as CSV を選択します。
- イベントテーブルの一部をエクスポートするには、エクスポートしたい項目のチェックボックスを選択し、Actions > Export Selected as CSV を選択します。
- イベントをケースに追加するには、追加したい項目のチェックボックスを選択し、Actions > Add to Existing Case または Create New Case を選択します。詳細については、ケースを開始して追加するを参照してください。
イベントを選択すると、イベントの詳細を表示するサイドドロワーが開きます。
Entitiesタブ🔗
Entitiesタブには、検出に関与するエンティティのテーブルが表示されます。データには、エンティティのタイプ、利用可能な脅威インテリジェンスエンリッチメントがある場合はShieldアイコン付きの名前、および最初と最後に確認された日時が含まれます。
- エンティティの完全なテーブルをエクスポートするには、テーブルの上にある Export All を選択します。
- エンティティ名をクリックすると、サイドパネルの概要ビューが開き、新しいタブで完全なエンティティの詳細を開くオプションが表示されます。
Vulnerabilitiesタブ🔗
Vulnerabilitiesタブには、検出に関連付けられた資産が VDR のサーバー資産にマッピングされている場合、その資産に関連する脆弱性データが表示されます。マッピングプロセスの詳細については、資産マッピングロジックを参照してください。
データには、該当する場合、脆弱性の重大度、タイプ、詳細、ホスト、およびCVEが含まれます。
脆弱性行の左側に表示されるフラグは、当社の検出ロジックがその脆弱性が検出アクティビティに関連している可能性を示したことを意味します。これは根本原因を示している可能性があり、または攻撃された、もしくは悪用された脆弱性をさらに調査すべきことを示している場合があります。
注意
検出に関連付けられた脆弱性がない場合、Vulnerabilitiesタブは表示されません。
Historyタブ🔗
Historyタブには、検出の完全な監査ログが含まれます。各ログには、タイムスタンプ、アクティビティのカテゴリとタイプ、ユーザー名とメールアドレス、および変更ログが含まれます。
ヒント
Show Only Update Events オプションをオンに切り替えると、検出に対して行われた更新に関連するログのみを表示できます。すべてのログを表示するにはオフのままにします。
Insightsタブ🔗
Insightsタブには、追加のコンテキストを加え、関連する検出とケースを一覧表示する複数のセクションが含まれます。
Threat Score🔗
最初のセクションには、検出のThreat Scoreが一覧表示されます。詳細については、Threat Scoreを参照してください。
Related Detections🔗
detectionsセクションには、表示中の検出と共通する要素を持つ検出が一覧表示されるため、アナリストはそれらの検出が実際に表示中の検出に関連しているかどうかをすばやく判断できます。これらはオープンとクローズ済みの検出に整理され、さらに、Agent/Sensor ID、File、Hostnameなど、表示中の検出と共通するエンティティタイプごとに整理されます。
ヒント
重大、高、中 の重大度の検出は、デフォルトで表示されます。他の重大度も含めたい場合は、検出テーブルのフィルターを変更してください。
Related Cases🔗
casesセクションには、表示中の検出に関連するエンティティを含むオープンおよびクローズ済みのケースが、エンティティタイプごとに整理されて一覧表示されます。これにより、アナリストはトリアージ中に、あるエンティティに対してすでにケースがオープンされているかどうかをすばやく判断し、重複したケースの作成を避けることができます。クローズ済みのケースは、以前にそのエンティティのケースがどのように処理されたかについてのコンテキストを追加できます。
脅威インテリジェンスを表示する🔗
検出の脅威インテリジェンス情報を表示する方法は2つあります。
- 詳細ページのShieldアイコン: Affected Entities セクションのShieldアイコンを選択して、直接的な脅威インテリジェンス情報を表示します。
- Entitiesタブ - Entitiesタブに移動し、Shieldアイコンが付いたエンティティを選択して、その脅威インテリジェンス情報を表示します。
詳細については、脅威インテリジェンス検出エンリッチメントを参照してください。
Entity Graphで検出を詳細に調査する🔗
検出に関連付けられたエンティティを詳しく調査し、それらの関係と詳細を確認するには、検出詳細ページの右上から Entity Graph を選択して、Entity Graphを起動します。
検出を共有する🔗
テナント内の別のユーザーと検出を共有するには、直接URL用の Copy share link アイコンを選択します。
CEL Explorerで検出を表示する🔗
アクションメニューからCEL Explorerで表示を選択し、CEL式の結果を自動化設定で利用するために、表示中のデータに対してテストできます。詳細については、CEL Explorer を参照してください。
