エンティティの詳細🔗
エンティティの詳細ページでは、脅威インテリジェンスデータ、地理位置情報、有病率情報、関連する検出、ケース、イベントを表示することで、エンティティに関するより深いコンテキストを提供します。この包括的なビューは、エンティティの重要性とセキュリティインシデントへの関与を理解するのに役立ちます。
次の場所からエンティティを選択して、エンティティの詳細ページにアクセスします。
エンティティの詳細の主要コンポーネント🔗
すべてのエンティティタイプには、次の主要コンポーネントを表示する詳細ページがあります。
エンティティのプロパティ🔗
エンティティの詳細の概要セクションには、エンティティに直接関連付けられたデータが表示されます。これには次が含まれます。
- エンティティのタイプ
- 最後に確認された日時
- ユーザーが管理者であるかどうかなど、エンティティ固有のアトリビュート
- エンティティタイプに関連するその他のコンテキスト情報
関連する検出、ケース、イベント🔗
このセクションには、エンティティに関連するオープンおよびクローズ済みの検出、ケース、イベントの数が表示されます。
- 検出 はタイトルごとに集計されます。
- イベント はイベントタイプごとに集計されます。
- このセクションの下部にある View All を選択すると、完全な結果を含む詳細検索クエリにリダイレクトされます。
関連エンティティ🔗
関連エンティティセクションには、詳細ページへの移動元に応じて、検出またはケースのコンテキストでこのエンティティに直接関連する他のエンティティが表示されます。
- 検出ページからIPアドレスのエンティティ詳細ページにアクセスした場合、関連エンティティには、その検出のコンテキストでこのIPアドレスに関連するすべてのエンティティが表示されます。
- ケースからアクセスした場合は、ケースのコンテキストでそのIPアドレスに直接関連するすべてのエンティティが表示されます。
エンリッチメントプレイブック🔗
エンリッチメントプレイブックセクションでは、エンティティに対して設定済みのプレイブックをトリガーし、その結果を表示できます。たとえば、IDシステムでユーザーを検索したり、外部の脅威インテリジェンスでIPアドレスをエンリッチしたりできます。
注意
エンリッチメントプレイブックは、エンティティの詳細ページに表示される前に、自動化 で設定する必要があります。
ピボットサーチ🔗
ピボットサーチタブでは、設定可能な時間枠で、エンティティから関連するテレメトリーを検出、イベント、ケース全体で検索できます。
ピボットサーチを使用して、次のことを実行します。
- 異なるデータソースにまたがるエンティティのアクティビティを調査する。
- 時間枠を調整して、検索範囲を広げたり絞り込んだりする。
- エンティティに関連するパターンや異常をすばやく特定する。
アクションメニュー🔗
アクションメニューでは、エンティティに対して設定済みのレスポンスアクションをトリガーできます。
エンティティ固有のセクション🔗
一部のエンティティタイプには、そのタイプに関連する追加情報を表示するカスタマイズされたセクションがあります。
ユーザーエンティティ🔗
ユーザーエンティティは、異常な動作の特定に役立つ包括的な認証情報とアクティビティ情報を提供します。
プライベートIPアドレスからの最新の認証🔗
このセクションには、プライベートIP範囲からのユーザー認証に関与した最新のIPアドレスが表示されます。
このセクションは、カードレイアウトとテーブルレイアウトの両方で利用できます。右上のボタンを選択して、レイアウトを切り替えます。
パブリックIPアドレスからの認証🔗
このセクションには、パブリックIP範囲からのユーザー認証に関与したIPアドレスが表示されます。これには次の4つのサブタブが含まれます。
-
Common — 30日間にわたるユーザー認証に関与した最も一般的なIPアドレスを表示します。
一般的なパブリックIP - カードレイアウト -
Least Common — 30日間にわたるユーザー認証に関与した最も一般的でないIPアドレスを表示します。
最も一般的でないパブリックIP - テーブルレイアウト -
Last Observed — 30日間にわたるユーザー認証に関与した最新のIPアドレスを表示します。
最後に確認されたパブリックIP -
ASN — 30日間にわたるユーザー認証に関与したIPアドレスについて、最も一般的なAutonomous System Number（ASN）を表示します。
一般的なASN - テーブルレイアウト
ヒント
これらのサブタブはすべて、テーブルビューで再ソートできます。テーブルビューには、30日間に関与したすべてのIPアドレスも含まれます。
ホスト🔗
このセクションには、ユーザーが認証した、または認証元となった最新および最も一般的に使用されるホストが表示され、カードレイアウトとテーブルレイアウトの両方で利用できます。
ログイン🔗
このセクションには、過去30日間のユーザーのログイン試行のヒストグラムが表示されます。
このヒストグラムを使用して、次のことを特定します。
- 認証アクティビティの異常な急増
- 非アクティブな期間
- 通常の動作から逸脱したログインパターン
ドメインおよびAuth Domainエンティティ🔗
ドメインおよびAuth Domainエンティティは、脅威インテリジェンスと通信テレメトリーを提供します。
脅威インテリジェンス🔗
このセクションには、Secureworks Counter Threat Unit™ (CTU)、VirusTotal、またはAPIVoidから取得した、ドメインで利用可能な脅威インテリジェンスが表示されます。
ヒント
脅威インテリジェンスが利用可能なエンティティには、潜在的に不正であることを示す Threat Intelligence Shield アイコンが表示されます。
ドメインへのHTTP通信🔗
このセクションには、このドメインをターゲットとするHTTPテレメトリーがあるかどうかが表示されます。
ドメインに対するDNSルックアップのソースIP🔗
このセクションには、このドメインに関係するDNSテレメトリーがあるかどうかと、その発信元が表示されます。
ファイルエンティティ🔗
ファイルエンティティは、有病率情報と関連イベントデータを提供します。
ホストにおけるFileHashの有病率🔗
ファイルに関連付けられたファイルハッシュがある場合、このセクションには、このハッシュのテレメトリーを報告したホストが表示されます。これを使用して、次のことを実行します。
- お客様の環境全体でファイルがどの程度広がっているかを判断する
- 侵害されている可能性のあるホストを特定する
- インシデントの範囲を評価する
その他のイベント🔗
このセクションには、このファイルを含む関連イベントタイプが表示されます。
FileHashエンティティ🔗
FileHashエンティティは、ファイルエンティティと同様の情報を提供しますが、ハッシュ値に重点を置いています。
ホストにおけるFileHashの有病率🔗
このセクションには、このファイルハッシュのテレメトリーを報告したホストが表示されます。
その他のイベント🔗
このセクションには、このファイルハッシュを含む関連イベントタイプが表示されます。
ホストエンティティ🔗
ホストエンティティは、セキュリティ体制やエージェントの詳細を含む包括的なエンドポイント情報を提供します。
脆弱性タブ🔗
脆弱性タブには、ホストが VDR の資産にマッピングされている場合、そのホストについてスキャンされた脆弱性が表示されます。マッピングプロセスの詳細については、資産マッピングロジック を参照してください。
脆弱性タブを使用して、次のことを実行します。
- ホスト上のセキュリティ上の弱点を特定する。
- パッチ適用の取り組みに優先順位を付ける。
- 潜在的な攻撃ベクトルを理解する。
エージェントの詳細🔗
このセクションには、エンドポイントの詳細ページ と同じエージェント情報が表示されます。内容は次のとおりです。
- エージェントのバージョン
- エージェントのステータス
- 最後に確認されたタイムスタンプ
- 設定の詳細
エンドポイントの詳細🔗
このセクションには、エンドポイントの詳細ページ と同じエンドポイント情報が表示されます。内容は次のとおりです。
- オペレーティングシステム
- ハードウェア仕様
- ネットワーク設定
コマンド履歴🔗
このセクションには、エンドポイントの詳細ページ と同じコマンド履歴が表示されます。内容は次のとおりです。
- エンドポイントで実行されたコマンド
- 実行タイムスタンプ
- コマンドのユーザーコンテキスト
エンドポイント履歴🔗
このセクションには、エンドポイントの詳細ページ と同じエンドポイント履歴が表示され、次の内容が示されます。
- エージェントのインストールと更新
- 設定変更
- 接続イベント
IPアドレスエンティティ🔗
IPアドレスエンティティは、地理位置情報、脅威インテリジェンス、ネットワーク通信データを提供します。
脅威インテリジェンス🔗
このセクションには、Secureworks Counter Threat Unit™ (CTU)、VirusTotal、またはAPIVoidから取得した、IPアドレスで利用可能な脅威インテリジェンスが表示されます。
地理位置情報🔗
このセクションには、IPアドレスの地理位置情報が表示されます。内容は次のとおりです。
- 国
- 地域/州
- 市区町村
- 座標
- 組織/ISP
宛先ポート別の送信通信🔗
このセクションには、このIPアドレスのNetflowテレメトリーが表示され、宛先IPアドレスとポートが集計されます。これを使用して、次のことを実行します。
- 異常なアウトバウンド接続を特定する
- 潜在的なデータ流出を検出する
- 通常の通信パターンを理解する
宛先ポート別の受信通信🔗
このセクションには、このIPアドレスのNetflowテレメトリーが表示され、ソースIPアドレスとポートが集計されます。これを使用して、次のことを実行します。
- 外部ソースからの接続試行を特定する
- 潜在的なスキャンまたは攻撃アクティビティを検出する
- インバウンドトラフィックパターンを監視する
IPアドレスに関連付けられたユーザー🔗
このセクションには、認証またはHTTPイベントを通じてこのIPアドレスに関連するユーザーが表示されます。
その他のイベント🔗
このセクションには、このIPアドレスを含む関連イベントタイプが表示されます。
プロセスエンティティ🔗
プロセスエンティティは、プロセス実行の詳細と系統情報を提供します。
プロセスツリー🔗
プロセスツリーには、プロセスの親系統と子プロセスが表示され、完全な実行チェーンを確認できます。
Secureworks® Taegis™ XDR のプロセスイベントツリーでは、次のことを実行できます。
- プロセスイベントの親系統と子プロセスを確認する。
- ホストIDからピボットサーチする。
- プロセスとユーザーが昇格された権限を持っているかどうかを確認する。
- プロセス間の関係と実行フローを理解する。
注意
プロセスツリーには過去30日間のプロセスのみが表示され、それ以前のプロセスは表示されません。
ヒント
プロセスツリーの視覚的でインタラクティブなビューについては、プロセスイベントの系統 を参照してください。
ベストプラクティス🔗
エンティティの詳細ページを使用する際は、次のベストプラクティスを考慮してください。
- 複数のセクションを確認する: 単一のデータポイントに依存しないでください。エンティティを包括的に理解するために、詳細内の利用可能なすべてのセクションを確認してください。
- 時間枠を効果的に使用する: ピボットサーチで時間枠を調整し、関連データの発見と情報過多の回避のバランスを取ってください。
- エンリッチメントプレイブックを活用する: 外部ソースから追加のコンテキストを自動的に収集するために、エンリッチメントプレイブックを設定して使用してください。
- レイアウトを切り替える: 対応しているセクションでは、分析ニーズに応じてカードレイアウトとテーブルレイアウトを切り替えてください。
- 調査の手がかりをたどる: 関連エンティティと関連する検出を使用して、調査範囲を広げてください。
- 異常を監視する: 脅威インテリジェンス指標を持つエンティティや、認証および通信データに異常なパターンがあるエンティティには特に注意してください。