コンテンツにスキップ

Threat Score🔗

組織は、増え続けるセキュリティ製品のインベントリから発生する終わりのない検出の流れへの対応を続けています。その結果、セキュリティアナリストは検出疲れをますます経験しています。これは、調査する誤検知の数が多いために検出に対して感覚が鈍くなる現象です。コンテキストの不足は、業界を悩ませている高い誤検知率の主な原因の1つです。最終的に、検出疲れは実際の脅威への対応時間の増加と、セキュリティアナリストの警戒心の低下につながります。

Secureworks® Taegis™ Threat Score は、特許出願中の Taegis Prioritization Engine によって検出に割り当てられる、コンテキストを考慮した優先度の値です。Prioritization Engine は、お客様のテナント内および Taegis のグローバルなお客様基盤内で観測されたコンテキストを使用して、反復的なタスクを自動化し、誤検知を減らすことで、セキュリティアナリストのトリアージワークフローを改善します。スコアの範囲は 0 ～ 10 で、スコアが高いほどお客様の組織に対するリスクが高いことを示します。

重要

Threat Score は、2023 年 10 月 18 日以降に作成された検出で利用できます。この日付より前に作成された検出には、関連付けられた Threat Score はありません。

Threat Score

仕組み🔗

各 重大 および 高 重大度の検出は、作成時に評価され、Threat Score が割り当てられます。検出をトリアージする際、セキュリティアナリストは脅威の妥当性と重大性を判断するために数十のデータポイントを評価します。これには、類似する検出やエンティティが以前にどのようにトリアージされたか、関与するエンティティに関するコンテキスト、検出ソース、検出ロジック、攻撃段階、その他多くのデータポイントの確認が含まれます。Prioritization Engine は、機械学習やその他の自動分析手法を使用してこれらのタスクの多くを自動化し、テナントコンテキスト、グローバルコンテキスト、およびセキュリティアナリストのアクションに基づいて継続的に学習し適応します。以下の傾向も Threat Score に組み込まれています。

  • これは新しい種類の検出ですか、それとも頻繁に発生していますか？
  • 検出の精度はどの程度ですか？
    • どのくらいの頻度でケースに追加されましたか？
    • どのくらいの頻度でケースに追加されませんでしたか？
    • どのくらいの頻度で True Positive: Malicious として解決されましたか？
  • それらのエンティティを含む検出は、以前にどのようにトリアージされましたか？
    • ケースに追加された他の検出に、それらが存在していましたか？
    • ケースに追加されなかった他の検出に、それらが存在していましたか？
    • True Positive: Malicious として解決された他の検出に、それらが存在していましたか？

評価対象外の検出🔗

すべての新しい検出には Threat Score がありますが、情報、低、および 中 重大度の検出は、検出の元の重大度に基づきます。たとえば、これらの検出のいずれかの重大度が 0.2 の場合、結果の Threat Score は 2 になります。これは、Threat Score を使用して検出を並べ替えたりフィルターしたりできるようにするために必要です。以下の検出も Prioritization Engine による評価から除外されます。

  • カスタム検出
    • カスタム検出 に割り当てられる Threat Score は、カスタムルールで定義された検出の重大度に基づきます。
  • Bring Your Own Threat Intelligence Detections
    • Bring Your Own Threat Intel 検知機から作成された検出もカスタムと見なされ、検出の重大度に基づきます。
  • 抑止済みの検出
    • 抑止済みの検出 は定義済みルールに基づいて自動的に解決されるため、エンジンが学習する内容の主要な構成要素がこれらの検出には欠けています。

Threat Score の根拠🔗

スコア付けされた各検出には、Prioritization Engine が Threat Score を計算するために使用した主な寄与要因の要約が含まれます。要因は Global Insights、Tenant Insights、Entity Insights に分かれており、それぞれ過去 24 時間以内に類似する検出とエンティティがどのようにトリアージされたかを示します。これらの寄与要因は、検出テーブル、検出概要パネル、または検出の詳細内で Threat Score をクリックすると表示できます。さらに、この情報は検出の詳細内の Insights タブ でも利用できます。

Contributing Factors

注意

寄与要因はすべての検出で利用できるとは限りません。これは一般に、評価されていない検出、まれな検出、またはトリアージされる頻度が低い検出で見られます。

寄与要因の説明🔗

寄与要因のメトリクスは、24 時間のローリングウィンドウのデータに基づいており、類似する検出とそれに関連するエンティティが最近どのようにトリアージされたかをすばやく確認できます。

類似するタイトルを持つ検出に関する Insights🔗

「類似するタイトルを持つ検出に関する Insights」セクションでは、他の類似する検出が最近どのようにトリアージされたかを、グローバルおよびお客様のテナント内の両方で迅速に確認できます。

  • Global Insights — お客様のテナントが存在する Taegis 環境またはリージョン内のすべてのテナントからの Insights
    • Number of Detections Observed — すべてのテナントにおいて、検出作成時点から過去 24 時間以内に観測された類似検出の件数
    • Percentage Escalated — ケースに追加された類似検出の割合
    • Percentage Resolved — トリアージされ、ケースに追加されなかった類似検出の割合
    • Percentage True Positive: Malicious — True Positive: Malicious ステータスが割り当てられた検出の割合
  • Tenant Insights — 検出が作成されたテナントからの Insights
    • Number of Description Observed — お客様のテナント内において、検出作成時点から過去 24 時間以内に観測された類似検出の件数
    • Percentage Escalated — ケースに追加された類似検出の割合
    • Percentage Resolved — トリアージされ、ケースに追加されなかった類似検出の割合
    • Percentage True Positive: Malicious — True Positive: Malicious ステータスが割り当てられた検出の割合
類似するエンティティを持つ検出に関する Insights🔗

類似するエンティティを持つ検出に関する Insights では、そのエンティティが存在した他の検出が最近どのようにトリアージされたかをすばやく確認できます。

  • Percentage Escalated — そのエンティティが存在した検出のうち、ケースに追加された割合
  • Percentage Resolved — そのエンティティが存在した検出のうち、トリアージされ、ケースに追加されなかった割合
  • Percentage True Positive: Malicious — True Positive: Malicious ステータスが割り当てられた検出の割合

ヒント

割合の合計が 100% にならない場合があることは想定内です。オープンな検出は、まだ判断が下されていないため、トリアージ計算には含まれません。

Threat Intelligence🔗

VirusTotal および APIVoid から関連する脅威インテリジェンスヒットを持つエンティティは、Threat Score の計算に考慮され、Threat Score Contributing Factors パネルおよび Detection Insights タブに表示されます。この情報を使用して調査の優先順位を決定してください。確認済みの TI ヒットを伴う高い Threat Score は、特に複数のソースによって裏付けられている場合、より高い緊急度を示します。

Contributing Factors Threat Intelligence

寄与要因 Insights の解釈🔗

Insights は、情報を手動で検索しなくても、検出と関連するエンティティに関するコンテキストを提供します。以下は、分析プロセスの支援のために、表示された Insights をどのように解釈できるかの例です。

  • High Global Observed Count & High Global Resolved Percentage

    • グローバルで観測された検出数が多く、解決済みの割合が高い場合、以下を示している可能性があります。
      • これは頻繁に発生する検出であり、誤検知である可能性があります。
      • 不適切なシグネチャにより検出の急増が発生しました。
      • 承認済みまたは不正でないアクティビティにより検出の急増が発生しました。

  • High Global Observed Count & High Global Escalated Percentage

    • グローバルで観測された検出数が多く、エスカレーションされた割合が高い場合、以下を示している可能性があります。
      • 複数のお客様にまたがる大規模な攻撃が発生しています。

  • Low Global Observed Count & High Global Escalated Percentage

    • グローバルで観測された検出数が少なく、エスカレーションされた割合が高い場合、以下を示している可能性があります。
      • 新しい、または発生頻度の低い攻撃が観測されており、正当な脅威である可能性があります。
      • 新しい、または発生頻度の低い攻撃が観測されており、結論に至るには追加の分析が必要な場合があります。

  • Same Global & Tenant Observed Counts

    • この種類の検出はまれであり、最近はお客様のテナント内でのみ観測されています。

  • High Entity Resolved Percentage

    • そのエンティティは最近他の検出でも確認されており、それらは誤検知であった可能性があります。

  • High Entity Escalated Percentage

    • そのエンティティは最近他の検出でも確認されており、それらは正当な脅威に関連していた可能性があります。

Threat Score と検出重大度の比較🔗

Threat Score🔗

検出重大度は脅威の重大性を普遍的に表すことが多い一方で、Threat Score はお客様固有の組織に合わせた脅威レベルを表します。お客様のテナント内および Taegis のグローバルな脅威状況から観測された複数の要因を組み合わせることで、セキュリティアナリストには、どの脅威に最初に注力すべきかを優先順位付けするための包括的なスコアが提供されます。

検出重大度🔗

検知機または検出ソースによっては、重大度はアルゴリズム、元のセキュリティ制御、または対策を作成したセキュリティ研究者によって設定される場合があります。重要な点は、重大度は従来、組織のコンテキストに依存せず、その脅威が成功した場合の重大性を表すために割り当てられてきたということです。各組織は固有であり、重要なコンテキストが欠けていることが多いため、重大度だけでは、セキュリティアナリストがどこに注意を向けるべきかを判断するための信頼できる指標にはなりません。それにもかかわらず、業界は何十年にもわたってこの方法で運用されてきました。検出重大度の詳細については、Detection Severity and Confidence を参照してください。