イベントの詳細🔗

イベントは、検索結果、ケース、および検出の詳細から表示できます。各イベントに表示される詳細は、イベントタイプと利用可能なデータによって異なります。

イベントの表を表示しているときに、イベントタイトルを選択すると、プレビュー用のサイドパネルでそのイベントの主要な詳細の一部を表示できます。これにより、結果テーブル内を引き続き参照しても、現在位置やフィルターを失わずに済みます。イベントの完全な詳細を表示するには、Open in New Tab アイコンを選択します。イベントの詳細が新しいタブで開きます。

ヒント

プレビュー用サイドパネルの幅は、押したままドラッグして調整します。

イベントの詳細🔗

ほとんどのイベントには、次のものが含まれます。

イベントの概要 — イベントで発生した内容の短い概要です。
Netflow図 — NetflowイベントおよびNIDSイベントでは、Netflow図が表示される場合があります。

Netflow図を表示するNetflowイベント
イベント詳細テーブル — イベントに関する正規化された情報の一部を提供します。テーブル内の項目は、イベントタイプによって異なります。
正規化されたデータ — イベントに関するすべての正規化された情報を、展開/折りたたみ可能なツリービューのJSON形式で表示します。

Authイベントのイベント詳細におけるJSONビュー
元のデータ — 利用可能な場合は、イベントの正規化前の元データを表示します。
タイムラインで表示 — 一部のイベントで利用できるオプションで、選択したイベントから、同じホスト上で発生した関連する検出とイベントのタイムラインビューへ、host_id によってピボットできます。詳細については、関連イベントのタイムラインビューを参照してください。

Processイベントの詳細🔗

上記のイベント詳細に加えて、Processイベントには次のものが含まれます。

系統 — プロセスツリーの視覚的でインタラクティブなビューです。詳細については、Processイベントの系統を参照してください。
関連イベント — 現在のProcessイベントに関連するNetflow、スレッドインジェクション、Persistence、およびスクリプトブロックイベントの詳細検索への直接リンクです。

データタイプ🔗

検出 — イベントまたはイベントセットに基づいて検知機から出力され、XDR検出をトリガーします。
イベント — 単一時点でのセキュリティテレメトリー。

イベントタイプ🔗

Antivirusイベント — ホストやネットワーク上のマルウェア活動に関連するイベント。
API Callイベント — プロセスがオペレーティングシステムのAPIを呼び出そうとした（成功・失敗を問わず）事例。
Authイベント — ログイン成功・失敗、ログオフなどのアクティビティ。
Cloud Auditイベント — クラウドベースのアプリケーションやクラウドホスト型インフラからの監査イベント。
検出発見事項イベント — エンドポイントエージェントやXDR外部の他のソースから生成された検出。
DHCPイベント — クライアントおよびサーバーのDHCPアクティビティ（IPアドレスの割り当てなど）の記録。
DNSイベント — ホストによるドメイン名解決要求の記録。
Emailイベント — フィッシングやスパムなどの手法に関連するEmailセキュリティサービスからのイベント。
Encryptイベント — SSL/TLS接続やX.509証明書メタデータに関連するイベント。
ファイル変更イベント — プロセスがファイルの作成、変更、書き込み、削除を試みた事例。
Genericイベント — syslogやその他一部の取り込みソースからのすべての生ログメッセージを保存します。Genericイベントは他のイベントタイプにも正規化される場合があります。
HTTPイベント — HTTP接続の詳細（例：プロキシサーバーログから）。
管理イベント — エンタープライズ環境のホストから管理情報へアクセスされた事例（例：WindowsのWMI経由）。
Netflowイベント — ボックス内外の通信に関するネットワークトラフィック情報（送信元/送信先IPやポートを含む）。
NIDSイベント — ネットワーク侵入検知・防御システムからのイベント。
Persistenceイベント — Runキー、スケジュールタスク、サービスなど、攻撃者が侵害システムで永続化を維持するためによく使う手法に関連するイベント。
Processイベント — 他のライブプロセスでの任意コード実行。Processイベントには、プログラムの起動や関連するコマンドライン、親子関係、ホスト上で実行されたプログラムやコマンドに関する情報、メインの親実行ファイル（例：WindowsのPowerShell）によって起動されたターゲットプログラムの情報などが含まれる場合があります。
Process Moduleイベント — 異なるプロセスによってライブラリがロードされた際に生成されるイベント。
Registryイベント — 特定のWindowsレジストリエントリのプロパティで、攻撃の検出に役立つ場合があります。
Script Blockイベント — 攻撃者や他のエンティティによってリモートエンドポイント上でコード（スクリプト）のブロックが実行された事例。
Taegis Agentイベント — Taegis Agentによって報告された検出。
テクニック発見事項イベント — エンドポイントエージェントやXDR外部の他のソースで観測された不正な挙動の指標。
サードパーティアラートイベント — XDR外部のソースで生成されたアラートのイベント記録。
スレッドインジェクションイベント — スレッドが異なるターゲットプロセスのメモリアドレス空間内にコードを挿入し実行した事例。

イベントからケースを作成する🔗

イベント詳細ページの上部で、Actions ドロップダウンを開き、Create New Case を選択します。Create New Case ダイアログが表示されます。

新しいケース
ケースのタイトルを入力し、Priority と Type を選択します。
Key Findings Template を空白または Security Investigation に指定し、Submit を選択します。ケースが作成されます。

イベントを既存のケースに追加する🔗

イベント詳細ページの上部で、Actions ドロップダウンを開き、Add to Existing Case を選択します。Add Evidence to Case ダイアログが表示されます。
イベントを追加するケースを選択し、Submit を選択します。