イベントの系統とプロセスツリー🔗

このページでは、系統ビューとプロセスツリービューを使用してプロセスアクティビティを調査する方法について説明します。これらの可視化により、プロセスの関係を理解し、親子の実行チェーンを追跡し、関連する検出や主なアクティビティを特定し、調査中に関連イベントを移動できます。時間をまたいでプロセスの祖先と子孫を柔軟に探索するには系統ビューを使用し、プロセスとその関連アクティビティを簡略化したトップダウン表現で確認するにはプロセスツリービューを使用します。

Previewモードのプロセスツリー。

プロセスツリービューは現在、Previewモードにオプトインしているユーザーのみが利用できます。

系統ビュー🔗

プロセスおよび検出結果イベントの系統タブには、プロセスの系統を視覚的かつ対話的に表示するビューが表示されます。このビューは、プロセスツリーの任意の部分を柔軟に移動したいユーザー向けです。これにより、必要に応じて時間を前後に移動する柔軟性が得られます。

このビューでは、ユーザーは検出、関連イベント、および主なアクティビティを表示できます。

系統を表示する🔗

プロセスまたは検出結果のイベント詳細ページを開いて系統にアクセスします。イベントは検索結果、ケース、および検出詳細ページから表示できます。
イベント詳細から、系統タブを選択します。
グラフには、表示しているプロセスと、その祖先および子プロセスが表示されます。

注意

系統には過去30日間のプロセスのみが表示され、それより古いプロセスは表示されません。ソースプロセスイベント自体が30日より古い場合、系統タブは無効になります。

ヒント

クエリエディターで、次のクエリを使用してプロセスおよび検出結果イベントを検索します: FROM process および FROM detectionfinding。

系統を探索する🔗

利用可能な場合、系統グラフには次の情報が表示されることがあります。

プロセスの作成日時
プロセスが昇格されていることを示すアイコン
プロセス名
検出がそのプロセスに関連付けられていることを示すオレンジ色で強調表示されたアイコン
関連する検出、主なアクティビティ、または関連イベントの数
プロセスの非表示の子プロセス数
2つのプロセス間の時間差
プロセスがブロックされていることを示すアイコン
プロセスがソースイベントであることを示すアイコン

ヒント

グラフの右上にある凡例ツールチップを選択すると、グラフに表示される可能性があるアイコンの一覧とその意味を確認できます。

系統を検索する🔗

検索ボックスに文字列を入力して、読み込まれたイベントの系統を検索します。検索は、読み込まれた系統と補助データに対して contains 検索を使用して適用されます。一致する文字列と補助データを持つ系統プロセスノードが強調表示されます。

ボタンを使用して、前の3日間または次の3日間のデータを読み込みます。検索は、新しいデータが読み込まれると自動的に適用されます。

ヒント

フィルター切り替えを使用して、一致する検索結果を持つ系統オブジェクトのみを読み込みます。

一致する主なアクティビティの検索結果が強調表示されます。

プロセスの詳細をさらに表示する🔗

次の方法で、プロセスの詳細をさらに表示できます。

プロセスノードにカーソルを合わせると、基本詳細、完全なイメージパス、ユーザーが管理者である場合は注記付きのユーザー名、およびイベント詳細を新しいタブで開くためのリンクが表示されます。

プロセスにカーソルを合わせる
系統内のプロセスノードをクリックすると、グラフの下にある情報タブが開きます。

情報タブを開く

情報タブには、プロセスの詳細とコマンドラインが表示されます。情報タブから次のアクションを実行します。
- プロセス名を選択して、イベント詳細を新しいタブで開きます。
- フィールドの横にある虫眼鏡を選択して、そのフィールドに基づくピボットサーチを実行します。

ヒント

サイズを変更するには、グラフの下のタブの上にあるハンドルを使用します。

主なアクティビティを表示する🔗

グラフの下にある主なアクティビティタブには、Sophos Endpoint Agent によって生成された、選択したプロセスノードに関連付けられた主なアクティビティが表示されます。

注意

主なアクティビティタブは、お客様の環境に Sophos Agent がある場合にのみ表示されます。

主なアクティビティタブは、次の2つの方法で表示できます。

グラフ内のプロセスノードの下にある主なアクティビティリンクを選択します。
または、グラフ内のプロセスノードを選択してから、主なアクティビティタブを選択します。

主なアクティビティは Sophos Agent から表示されます。これは、セキュリティ上の価値があるエンドポイントイベントを取得します。これらは、侵害の指標である可能性があり、不審である可能性があり、プロセスの系統内で強調表示が必要なアクションを実行するプロセスのスナップショットです。

主なアクティビティは次の要素で構成されます。

イベントタイプ: エンドポイントでトリガーされた基盤となる検出イベントによって表示されるイベント。
アクティビティ値: イベントから表示される主要データ。
Raw Data: 生データオブジェクト全体。View Raw Data をクリックすると、ドロワーでこれを表示できます。

主なアクティビティの生データ

子プロセスを表示する🔗

グラフの下にある子プロセスタブには、選択したプロセスノードの子プロセスイベントが表示されます。子プロセスタブは、次の2つの方法で表示できます。

グラフから子プロセス数を選択します。
または、グラフ内のプロセスノードを選択してから、子プロセスタブを選択します。

プロセス名を選択すると、イベント詳細が新しいタブで開きます。

系統内に子プロセスを表示する🔗

これらの子プロセスを系統グラフに追加して、脅威の調査に役立てることができます。

単一のプロセスを追加するには、アクション列の目アイコンをクリックします。プロセスを非表示にするには、もう一度アイコンをクリックします。
複数のプロセスを追加するには、左側のチェックボックスを使用して目的のプロセスを選択し、グラフに追加をクリックします。プロセスを非表示にするには、チェックボックスを使用して グラフから削除 をクリックします。